GoogleがChrome向けに、ブラウザ拡張機能を悪用した不正な設定変更を防ぐ新たなセキュリティ機能を開発していることが明らかになりました。特に、企業向けの管理ポリシーを悪用して個人ユーザーのChromeに拡張機能を強制的にインストールし、新しいタブページや検索エンジンを乗っ取る攻撃への対策が盛り込まれる見込みです。
強制インストールされた拡張機能を悪用
今回の対策で焦点となっているのが、Chromeの「ポリシーによって強制的にインストールされた拡張機能」です。
本来、企業や組織が管理するPCでは、管理者がポリシーを設定して特定の拡張機能をChromeへ強制的に導入することがあります。しかし、この仕組みが悪用されると、個人ユーザーのPCに不正な拡張機能をインストールされる可能性があります。
攻撃者がこの仕組みを利用すると、新しいタブページを別のページに変更したり、Chromeのデフォルト検索エンジンを勝手に変更したりすることが可能になります。検索結果を特定のサイトへ誘導することで、広告収入を狙ったり、悪意のあるサイトへユーザーを誘導したりすることにもつながります。
さらに厄介なのが、企業の管理ポリシーによって導入された拡張機能としてChromeに認識される点です。ユーザー自身が所有するPCであっても、Chrome側では管理者によってインストールされた拡張機能として扱われ、通常の方法では削除できないケースも考えられます。
ユーザーがインストールした拡張機能の乗っ取りも防止
Googleは、ユーザーが自分でインストールした拡張機能についても、後から組織の管理ポリシーによって管理対象へ変更されることを防ぐ仕組みを検討しています。
これにより、ユーザー自身がインストールした拡張機能については、引き続きユーザー側で管理できるようになる見込みです。不要になった場合に削除するなど、インストールした本人がコントロールできる状態を維持することが狙いとみられます。
現時点では、このセキュリティ機能が安定版Chromeへ導入される具体的な時期は明らかになっていません。Googleが十分な検証を終えた段階で、デフォルトで有効化される予定とされています。
Chromeの拡張機能は便利な一方、ブラウザの設定を変更できる強い権限を持つものもあります。今回の対策が導入されれば、ユーザーが気づきにくい形で拡張機能を悪用されるリスクの低減につながりそうです。
