ブラウザ拡張機能は、ページ内容、Cookie、プロキシ設定、さらにはログイン情報まで取得できる場合があります。本記事では4種類の権限、危険度の高い組み合わせ、チームでの確認・管理方法を整理します。
業務アカウントにログイン済みのブラウザへサードパーティ製の拡張機能を入れることを、深く考えずに済ませる人は少なくありません。しかし、拡張機能に与えられる権限は、インストールした人が想像しているより広いことがよくあります。
拡張機能は実際に何へアクセスできるのか
拡張機能の権限は、一度許可すると継続して有効になるのが基本です。インストール時に「許可」を押した後は、その拡張機能が何を読み、何を変更したかについて、通常は改めて通知されません。影響の大きさで見ると、主に4つに分けられます。
まずページ内容です。該当する権限を持つ拡張機能は、開いている任意のページ上の文章、フォーム、ボタンを読み取り、変更できます。広告管理画面であれば、配信データ、アカウント残高、受信箱を見るだけでなく、本人に代わって「送信」を押すことも可能です。
Cookieとローカルストレージは、とくに過小評価されやすい領域です。Cookieにはログイン状態が保存されており、それを取得されることはセッションそのものを取得されることに近い意味を持ちます。LocalStorageには、トークン、下書き、画面設定などが残っている場合があります。拡張機能がサイトデータを読める時点で、単にページを見るだけの範囲をすでに超えています。
次はプロキシ設定です。プロキシを変更できる拡張機能は、すべての通信を指定したサーバーへ流すことができます。この権限が悪用されても警告が出るとは限らず、アクセスしたページが気付かないうちに差し替えられているという形で現れることがあります。
ログイン情報や入力データも重要です。自動入力やパスワード管理系の拡張機能は、各サイトで入力したユーザー名やパスワードを読み取れる場合があります。また、閲覧履歴やタブへのアクセスを求める拡張機能もあり、その場合は現在のページだけでなく、同時にどのページを開いているかまで把握できます。
本当に危険なのは権限の組み合わせ
現在のページだけを読み、自社サイト上でのみ動く拡張機能であれば、リスクは限定的です。注意すべきなのは、複数の権限が同時にそろう場合です。ページ内容を読み、Cookieも読み、自分でネットワーク通信も行える。この3つがそろうと、ページ上のデータをそのまままとめて外部へ送れてしまい、画面上には何の変化も見えない可能性があります。
さらにプロキシ設定まで変更できれば、通信先も自分では決められなくなる場合があります。加えてリモート更新に対応していると、更新を自分で開始せず、その内容も確認できないことがあります。すると、今日審査したバージョンと、3か月後にブラウザで動いているものが同じとは限りません。
インストール前に確認しておきたいこと
問題が起きてから削除するより、インストール前に数分確認する方が現実的です。
出所は明確か。公式ストアから提供され、管理主体が明示されている拡張機能なら、少なくとも問題が起きたときに連絡先をたどれます。出所不明のZIPファイルや、第三者のまとめサイトから入手した版は、ストアの審査を通っていません。
権限の範囲と機能は釣り合っているか。表計算データを書き出すだけの拡張機能に、すべてのサイトのCookieを読む権限やプロキシを変更する権限は不要です。機能に比べて権限が明らかに広すぎる場合は、いったん導入を見送る方がよいでしょう。
開発者と更新履歴も確認します。変更履歴が具体的な修正内容を書いているのか、抽象的な文言だけなのか、最終更新からどれだけ時間が経っているのか、報告された問題に返信があるのかを見ます。長期間メンテナンスされていない拡張機能は、ブラウザエンジンの更新で不具合が出ても、修正されないことが珍しくありません。
リモートコードやリモート設定を要求しているか。これは、利用者が知らない間に拡張機能の動作が変えられるかどうかに関わります。
チームでは利用範囲を絞るべき
個人なら本人の注意に頼ることもできますが、チームではそうはいきません。人数が増えるほど拡張機能の入手元がばらばらになり、問題が起きても誰が何を入れたのか追いにくくなります。
現実的なのは環境を分けることです。拡張機能が必要な環境と、重要な業務アカウントを扱う環境を分離し、決済や主要な管理画面のアカウントは、できるだけ拡張機能のないクリーンなブラウザで操作します。そのうえで定期的に棚卸しを行い、使われていない拡張機能や出所が不明なものを削除します。さらに、新しい拡張機能を入れるときは用途を明記するというルールを設けるだけでも、多くの不測の事態を減らせます。
複数のアカウントや複数のメンバーが端末を共有する場合は、PurpleMarkで用途ごとに独立したブラウザ環境を作り、試験的な拡張機能を使う環境と重要アカウントの環境を分ける方法が、管理しやすくする一般的な手段です。
拡張機能を全面的に避ける必要はありません。権限の内容を理解し、適切な環境で使うのであれば、実際に時間を節約できます。
