不久前因在 Chrome 瀏覽器上暗戳戳做小動(dòng)作而被瘋狂 diss 的谷歌刷了一波好感。

本周一，谷歌宣布了一系列擴(kuò)展程序規(guī)范，確保進(jìn)一步規(guī)范和管理擴(kuò)展程序，這一輪打擊行動(dòng)目的是阻止擴(kuò)展程序獲得合理范圍之外的那些權(quán)限。

擴(kuò)展程序的存在對(duì)Chrome來(lái)說(shuō)似乎是個(gè)“磨人的小妖精”，一方面有近半數(shù)的用戶(hù)在Chrome中使用各類(lèi)擴(kuò)展程序來(lái)阻止廣告、檢查語(yǔ)法、管理密碼、管理多個(gè)Gmai賬戶(hù)、翻譯其它語(yǔ)言的文本以及將標(biāo)簽折疊到列表中供以后使用。

但 Chrome 應(yīng)用程序以及 Chrome 網(wǎng)上應(yīng)用店的開(kāi)放性也為惡意軟件、間諜軟件、挖礦軟件、社交網(wǎng)絡(luò)帳戶(hù)劫持者以及其他的惡意擴(kuò)展打開(kāi)了大門(mén)。

惡意擴(kuò)展程序算個(gè)讓谷歌工程師禿頭的問(wèn)題，多年來(lái)一直試圖解決。

為了加強(qiáng)隱私和安全性，Google 在預(yù)計(jì)本月底推出的 Chrome 70 更新中搞了一波擴(kuò)展新規(guī)：

首先，用戶(hù)可以限制擴(kuò)展程序在某些特定網(wǎng)站，也可以設(shè)置每次運(yùn)行擴(kuò)展須征求用戶(hù)許可。另外，會(huì)加入選項(xiàng)讓使用者可以自定擴(kuò)展功能可以取存哪個(gè)網(wǎng)站的資料，限制開(kāi)發(fā)者獲取過(guò)多的使用者瀏覽資料。 這種更改不會(huì)完全阻止惡意擴(kuò)展，但可以限制其可以造成的損害。

其次，谷歌還禁止了開(kāi)發(fā)者使用混淆代碼進(jìn)行擴(kuò)展。畢竟被混淆的代碼難于理解，使調(diào)試以及除錯(cuò)也不太容易，更會(huì)增大反向工程難度。最重要的是，Google 有 70% 的惡意程序和違反規(guī)則的擴(kuò)展功能都包含這樣的設(shè)計(jì)，谷歌爸爸大手一揮，要求現(xiàn)有擴(kuò)展功能的開(kāi)發(fā)者在年底之前把代碼混淆的部分移除。 不過(guò)為了簡(jiǎn)化代碼架構(gòu)加速審批，仍然允許收縮代碼（即刪除了無(wú)關(guān)空格和長(zhǎng)變量名稱(chēng)的代碼）。

另外，如果負(fù)責(zé)擴(kuò)展程序的開(kāi)發(fā)人員帳戶(hù)被入侵，擴(kuò)展程序可能會(huì)被篡改甚至進(jìn)行惡意攻擊。為此谷歌明年將要求開(kāi)發(fā)者使用兩步身份驗(yàn)證，給黑客破解賬戶(hù)增加難度。

最后，谷歌還計(jì)劃推出一個(gè)新的擴(kuò)展清單，使用戶(hù)更好地控制他們的擴(kuò)展授權(quán)。

當(dāng)然，圍觀群眾都在拭目以待，畢竟這是一場(chǎng)持久戰(zhàn)。

參考來(lái)源：arstechnica

雷鋒網(wǎng)雷鋒網(wǎng)雷鋒網(wǎng)

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。