微软安全团队工程师力挺Chrome MV3扩展计划 认为打击广告拦截只是阴谋论
内容提要
谷歌Chrome浏览器的新版本MV3限制了广告扩展程序的能力，引起争议。有人认为这是谷歌打击广告拦截扩展程序的方式，但也有人认为是为了减少扩展程序的滥用，保护隐私和安全。建议尽量少使用扩展程序，定期删除不需要和不认识的扩展程序，了解扩展程序的风险，并制定相应策略保护企业安全。
延伸解读
MV3争议背后的安全逻辑
文章指出，MV3限制广告拦截能力引发争议，但微软工程师ericlaw认为这是阴谋论。他解释，旧版扩展权限过大，可读取和修改所有网站数据，恶意扩展能窃取邮件、发钓鱼邮件、删改网盘文件等，风险甚至超过密码泄露，因为2FA对已登录的恶意扩展无效。因此Chrome团队旨在减少API滥用，而非打击广告拦截。
供应链攻击：扩展生态的隐形威胁
ericlaw强调，扩展作者可能无意作恶，但账号被劫持、使用带后门的库或付费转让分发权，都会导致恶意更新。攻击者通过审核后，Chrome自动更新会波及大量用户。近期已有开发者遭钓鱼攻击的案例。这提醒用户，扩展风险不仅来自作者本身，还来自整个供应链的脆弱环节。
用户与企业的防御策略
针对扩展风险，文章建议用户尽量少用扩展，优先使用浏览器内置功能，定期在about:extension中删除不需要或不认识的扩展，并检查家人的扩展。企业IT安全人员应制定策略，通过组策略阻止某些权限，或创建内部Web Store，仅允许安装经安全团队审查的扩展，以防范供应链攻击。
Q&A
MV3对广告扩展程序的限制有什么争议？
MV3限制了广告扩展程序的能力，引发了人们对谷歌打击广告拦截扩展程序的质疑。
为什么旧版本的扩展程序存在安全风险？
旧版本扩展程序可以在所有网站上读取和修改数据，用户常常忽视权限请求，导致恶意扩展程序获取敏感信息。
如何保护自己免受恶意扩展程序的威胁？
建议尽量少使用扩展程序，定期删除不需要的扩展，并了解扩展程序的风险。
谷歌MV3的主要目的是什么？
谷歌MV3的主要目的是减少扩展程序API的滥用，保护用户隐私和安全。
供应链攻击如何影响扩展程序的安全性？
供应链攻击可能导致扩展程序被黑客劫持，用户面临更大的安全威胁。
IT安全行业从业者应如何应对扩展程序的风险？
IT安全从业者应制定策略，控制扩展程序权限，并可创建内部Web Store以审查扩展程序。
