[論文レビュー] Manifest V3 Unveiled: Navigating the New Era of Browser Extensions

Nikolaos Pantelaios, Alexandros Kapravelos|arXiv (Cornell University)|Apr 12, 2024

Web Application Security Vulnerabilities被引用数 1

ひとこと要約

この論文は、ChromeのマニフェストV3（V3）拡張フレームワークを評価し、その採用状況、セキュリティの向上、および残存するリスクを分析している。517の悪意あるV2拡張をV3に変換し、動的テストを実施した結果、87.8%の悪意あるAPIが削除されたが、56%はウェブアクセス可能なリソースを通じて依然として悪意ある機能を保持していた。これは、V3のプライバシーおよびパフォーマンス向上にもかかわらず、継続的なセキュリティ課題が存在することを示している。

ABSTRACT

Introduced over a decade ago, Chrome extensions now exceed 200,000 in number. In 2020, Google announced a shift in extension development with Manifest Version 3 (V3), aiming to replace the previous Version 2 (V2) by January 2023. This deadline was later extended to January 2025. The company's decision is grounded in enhancing three main pillars: privacy, security, and performance. This paper presents a comprehensive analysis of the Manifest V3 ecosystem. We start by investigating the adoption rate of V3, detailing the percentage of adoption from its announcement up until 2024. Our findings indicate, prior to the 2023 pause, less than 5% of all extensions had transitioned to V3, despite the looming deadline for the complete removal of V2, while currently nine out of ten new extensions are being uploaded in Manifest V3. Furthermore, we compare the security and privacy enhancements between V2 and V3 and we evaluate the improved security attributable to V3's safer APIs, examining how certain APIs, which were vulnerable or facilitated malicious behavior, have been deprecated or removed in V3. We dynamically execute 517 confirmed malicious extensions and we see a 87.8% removal of APIs related to malicious behavior due to the improvements of V3. We discover that only 154 (29.8%) of these extensions remain functional post-conversion. This analysis leads to the conclusion that V3 reduces the avenues for abuse of such APIs. However, despite the reduction in APIs associated with malicious activities, the new Manifest V3 protocol is not immune to such behavior. Our research demonstrates, through a proof of concept, the adaptability of malicious activities to V3. After the proof of concept changes are applied, we showcase 290 (56%) of the examined malicious extensions retain their capability to conduct harmful activities within the V3 framework.

研究の動機と目的

• 2020年の発表以降、Chrome拡張機能におけるマニフェストV3の実世界での採用率を評価すること。
• V2と比較して、マニフェストV3が導入したセキュリティおよびプライバシーの向上、特に悪意あるAPIの使用を抑える効果を評価すること。
• 悪意ある拡張がV3アーキテクチャに適応できるか、特にサードパーティJavaScriptインジェクションなどの代替攻撃ベクトルを通じて行えるかを調査すること。
• コミュニティからのフィードバックがV3移行プロセスに与える影響を分析し、移行プロセスにおける未解決の問題を特定すること。

提案手法

• 自動的および手動的な手法を用いて、V2の517の確認済み悪意ある拡張を収集・分析し、マニフェストV3に変換した。
• 制御されたサンドボックス環境で、元のV2および変換済みV3バージョンの悪意ある拡張を動的に実行し、実行時動作を観察した。
• V3における高リスクまたは悪意ある利用が可能なAPI（例：webRequest、unsafe-eval）の削除を追跡・測定し、V2とV3バージョンでの存在を比較した。
• 悪意ある拡張がV3での検出を回避するために用いる、ユーザー行動や環境に応じた条件付きアクティベーションなどのエビジョン技術を特定・逆解析した。
• 外部ドメインからJavaScriptコードをロードできるウェブアクセス可能なリソース（WAS）が、V3における新たな攻撃表面である役割を評価した。
• 縦断的分析を通じて採用傾向を分析し、2023年移行後の拡張機能アップロードパターンを比較することで、V3の採用状況を評価した。

実験結果

リサーチクエスチョン

• RQ1 マニフェストV3は、Chrome拡張機能において現在どの程度採用されているのか。また、2020年の発表以降、どのように変化してきたのか。
• RQ2 マニフェストV3が導入したセキュリティおよびプライバシーの向上は、V2と比較して悪意ある拡張の攻撃表面をどの程度縮小しているのか。
• RQ3 悪意ある拡張は、マニフェストV3のエコシステムにおいてもその機能を維持できるのか。もしそうなら、どのような新しいまたは代替のメカニズムを通じてか。
• RQ4 コミュニティからのフィードバックは、マニフェストV3の進化にどのような役割を果たしているのか。初期の開発者からの懸念のうち、未解決のものがあるか。

主な発見

• 2023年のデッドライン延長の前は、Chrome拡張機能の5%未満がマニフェストV3に移行していたが、2024年には新たにアップロードされた拡張機能の90%がV3であった。
• マニフェストV3により、悪意ある行動に関連する87.8%のAPIが非推奨または削除され、一般的な攻撃の攻撃表面が顕著に縮小された。
• これらの改善にもかかわらず、分析対象の517の悪意ある拡張のうち154（29.8%）が、V3への変換後も完全に機能し続けた。
• プロトタイプ実証により、悪意ある拡張のうち290（56%）が、外部ドメインからJavaScriptコードをロードするウェブアクセス可能なリソースを活用することで、V3でも依然として悪意ある機能を保持していることが示された。
• IPベースの無効化、クエリベースのトリガー、開発者ツールの検出といったエビジョン技術が観察され、悪意ある行動者が適応的であることが示された。
• 本研究では、ウェブアクセス可能なリソースがV3における重要な新たな攻撃ベクトルであると特定した。これは、外部コードのロードを通じてV3のセキュリティ強化を回避する手段を提供する。