Manifest V3 揭秘：导航浏览器扩展的新时代
密码学与安全
2024-04-29 v1
摘要
十多年前引入的 Chrome 扩展目前数量已超过 200,000 个。2020 年，Google 宣布通过 Manifest Version 3 (V3) 转变扩展开发模式，目标是在 2023 年 1 月前取代之前的 Version 2 (V2)。该截止日期后来被延长至 2025 年 1 月。该公司的决定基于增强三大支柱：隐私、安全和性能。本文对 Manifest V3 生态系统进行了全面分析。我们首先调查了 V3 的采用率，详细说明了从其发布到 2024 年的采用百分比。我们的研究结果表明，在 2023 年暂停之前，尽管面临完全移除 V2 的逼近截止日期，所有扩展中只有不到 5% 过渡到了 V3，而目前十分之九的新扩展正以 Manifest V3 上传。此外，我们比较了 V2 和 V3 之间的安全性和隐私性增强，并评估了归功于 V3 更安全的 API 所带来的安全性提升，检查了某些存在漏洞或助长恶意行为的 API 是如何在 V3 中被弃用或移除的。我们动态执行了 517 个已确认的恶意扩展，并发现由于 V3 的改进，87.8% 与恶意行为相关的 API 被移除。我们发现这些扩展中只有 154 个（29.8%）在转换后仍能发挥作用。分析得出结论，V3 减少了此类 API 被滥用的途径。然而，尽管与恶意活动相关的 API 有所减少，新的 Manifest V3 协议并不能免疫此类行为。我们的研究通过概念验证展示了恶意活动对 V3 的适应性。在应用概念验证更改后，我们展示了所检查的恶意扩展中有 290 个（56%）保留了在 V3 框架内进行有害活动的能力。
引用
@article{arxiv.2404.08310,
title = {Manifest V3 Unveiled: Navigating the New Era of Browser Extensions},
author = {Nikolaos Pantelaios and Alexandros Kapravelos},
journal= {arXiv preprint arXiv:2404.08310},
year = {2024}
}