はい。ウェブメッセンジャーへの必要なアクセス権を持つブラウザー拡張機能は、ページがメッセージを復号して表示した後、そのテキストを読めます。参加者間で使われる暗号を破る必要はありません。すでに内容が読める状態になっているエンドポイントの一つへのアクセスです。
すべての拡張機能がすべてのサイトを読めるわけではありません。リスクは付与された権限、拡張機能の動作、ブラウザー環境に依存します。すべての拡張機能がスパイウェアだとも、公式ストアへの掲載でリスクがなくなるとも思い込まず、その範囲を確認してください。
コンテンツスクリプトがページを見る仕組み
Chrome のコンテンツスクリプト文書は、アクセスを許可されたサイトで、コンテンツスクリプトがページの Document Object Model、つまり DOM を読み取り、変更できると説明しています。
通常、これらのスクリプトは隔離された JavaScript ワールドで動き、変数はページの変数と分離されています。ただし、ページの DOM は依然として共有面です。チャットメッセージや下書きがそこに存在する場合、JavaScript 変数の隔離は、拡張機能がそのテキストを読めないという約束ではありません。
この違いは重要です。拡張機能は、読み取れるメッセージを取得するために秘密の暗号鍵を盗む必要がないからです。一方、通常のサイトアクセス権が、すべてのブラウザー Cookie への無制限アクセスなど、あらゆる能力を自動的に与えるわけでもありません。詳細は追加の権限やインターフェースに依存します。
E2EE がエンドポイントへのアクセスを解決しない理由
エンドツーエンド暗号化は、認可されたエンドポイント間の内容を保護します。アプリは受信内容を読む人に提供しなければならず、侵害された、または過剰な権限を持つローカル環境は、その読み取れるコピーにアクセスできます。
暗号学的境界は単に「ネットワークソケット」ではなく、E2EE はトランスポート暗号化以上のものです。しかし、認可されたエンドポイントの出力や入力を観察できるソフトウェアに対する万能の防御ではありません。
同じ理由で、耐量子鍵交換へ更新しても、権限のある拡張機能が暗号化前の下書きを読むことは止められません。
役立つ対策と避けるべき主張
| 対策 | 役立つ可能性があること | 保証しないこと |
|---|---|---|
| 拡張機能のサイトアクセス制限 | 許可されたスクリプトが動作できる場所を限定する | 引き続き許可されたサイトで拡張機能が信頼できること |
| 拡張機能を追加しない別プロファイル | そのプロファイルで拡張機能への露出を減らす | OS のマルウェアや侵害されたブラウザーからの保護 |
| Web Workers またはエクスポート不可の鍵 | 特定の鍵処理リスクを減らし得る | 後で利用者に表示される平文の機密性 |
| Content Security Policy | ページの一部のスクリプトやリソースの動作を制限する | ブラウザーが認可した拡張機能に対する万能の障壁 |
| Shadow DOM または canvas 描画 | 描画とカプセル化を変える | 敵対的なローカルソフトウェアに対する信頼できる安全境界 |
Manifest V3 は拡張機能の能力や規則を変えますが、許可されたコンテンツスクリプトがページを調べられるという文書化された能力をなくすものではありません。描画技術によってメッセンジャーが「拡張機能に侵されない」とする主張には、はるかに強い証拠が必要です。
機密性の高いチャットの前に Chrome の権限を確認する
Chrome の拡張機能管理ガイドを使い、インストール済みの拡張機能とサイトへのアクセス権を確認してください。機能が利用できる場合は、本当に必要なサイトだけにアクセスを制限するか、選択時に有効化する設定にします。使わなくなった拡張機能は削除してください。
権限の変更に注意してください。ただし、有害な更新は必ず新しい権限を要求するとは考えないでください。コードはすでに持っているアクセス権を悪用できます。Chrome の権限警告の文書は、追加権限がいつ警告を発生させるかを説明しています。
シークレットモードも、自動的に拡張機能のない環境になるわけではありません。Chrome はそこで個別の拡張機能を有効にできます。実際の設定を確認してください。同様に、Chrome のウェブページについての主張を、異なるランタイムを使う独立したデスクトップアプリに無差別に当てはめないでください。
拡張機能によるメッセージ漏えいを疑う場合
影響を受けた環境での機密通信をやめてください。疑わしい拡張機能を無効化または削除し、ブラウザーを更新して、残る拡張機能と権限を確認します。認証情報やアカウントへのアクセスが漏れた可能性があれば、信頼できる環境からアカウントのセッションを確認し、サービスの復旧ガイドに従ってください。
拡張機能を削除すると、そのブラウザーでの今後の動作は防げますが、すでにコピーされた内容は取り戻せません。異常のないように見えるチャット履歴は、漏えいがなかった証拠ではありません。
Livara の境界
Livara の脅威モデルは、侵害されたエンドポイントからの保護を明示的に対象外としています。Proof Labが提供するのは APK ハッシュの確認と限定された暗号技術の実演であり、ブラウザーセッションに悪意ある拡張機能がないという認証ではありません。
拡張機能の権限境界は、実用上可能な限り小さく保ってください。強いメッセージ暗号化と信頼できるエンドポイントは、相互に補完する要件です。
