네. 웹 메신저에 필요한 접근 권한을 가진 브라우저 확장 프로그램은 페이지가 메시지를 복호화해 표시한 뒤 그 텍스트를 읽을 수 있습니다. 참여자 사이에 사용되는 암호를 깰 필요는 없습니다. 이미 내용을 읽을 수 있는 엔드포인트 중 하나에 접근하는 것입니다.
모든 확장 프로그램이 모든 사이트를 읽을 수 있는 것은 아닙니다. 위험은 부여한 권한, 확장 프로그램의 동작, 브라우저 환경에 달려 있습니다. 모든 확장 프로그램이 스파이웨어라고 단정하거나 공식 스토어 등록만으로 위험이 사라진다고 생각하지 말고 그 범위를 검토하세요.
콘텐츠 스크립트가 페이지를 보는 방법
Chrome의 콘텐츠 스크립트 문서는 콘텐츠 스크립트가 접근을 허용받은 사이트에서 페이지의 문서 객체 모델, 즉 DOM을 읽고 수정할 수 있다고 설명합니다.
이 스크립트는 보통 격리된 JavaScript 환경에서 실행되므로 그 변수는 페이지의 변수와 분리됩니다. 하지만 페이지 DOM은 여전히 공유 영역입니다. 채팅 메시지나 초안이 그곳에 있다면, JavaScript 변수의 격리가 확장 프로그램이 그 텍스트를 읽을 수 없다는 약속은 아닙니다.
이 구분이 중요한 이유는, 확장 프로그램이 읽을 수 있는 메시지를 수집하기 위해 비밀 암호화 키를 훔칠 필요가 없기 때문입니다. 반대로 일반적인 사이트 접근 권한이 모든 브라우저 쿠키에 대한 무제한 접근 같은 모든 능력을 자동으로 부여하지도 않습니다. 세부 사항은 추가 권한과 인터페이스에 달려 있습니다.
E2EE가 엔드포인트 접근을 해결하지 못하는 이유
종단간 암호화는 허가된 엔드포인트 사이의 내용을 보호합니다. 애플리케이션은 받은 내용을 읽는 사람에게 제공해야 하며, 침해되었거나 과도한 권한을 가진 로컬 환경은 그 읽을 수 있는 사본에 접근할 수 있습니다.
암호학적 경계는 단순히 “네트워크 소켓”이 아니며, E2EE는 전송 암호화 이상입니다. 그러나 허가된 엔드포인트의 출력이나 입력을 관찰할 수 있는 소프트웨어를 막는 일반적인 방어 수단은 아닙니다.
같은 이유로 양자내성 키 교환으로 업그레이드해도 권한을 가진 확장 프로그램이 암호화 전의 초안을 읽는 것을 막을 수 없습니다.
도움이 되는 통제와 피해야 할 주장
| 통제 | 도움이 될 수 있는 부분 | 보장하지 않는 것 |
|---|---|---|
| 확장 프로그램의 사이트 접근 제한 | 허용된 스크립트가 작동하는 위치를 제한 | 여전히 허용된 사이트에서 확장 프로그램이 신뢰할 만하다는 것 |
| 확장 프로그램을 추가하지 않은 별도 프로필 | 해당 프로필의 확장 프로그램 노출 감소 | 운영체제 악성코드나 침해된 브라우저로부터의 보호 |
| Web Workers 또는 내보낼 수 없는 키 | 특정 키 처리 위험을 줄일 수 있음 | 나중에 사용자에게 표시되는 평문의 기밀성 |
| 콘텐츠 보안 정책 | 특정 페이지 스크립트 및 리소스 동작 제한 | 브라우저가 승인한 확장 프로그램에 대한 보편적 장벽 |
| Shadow DOM 또는 canvas 렌더링 | 렌더링과 캡슐화 변경 | 악성 로컬 소프트웨어에 대한 신뢰할 수 있는 보안 경계 |
Manifest V3는 확장 프로그램의 기능과 규칙을 바꾸지만, 허용된 콘텐츠 스크립트가 페이지를 검사할 수 있다는 문서화된 능력을 없애지는 않습니다. 렌더링 기법이 메신저를 “확장 프로그램으로부터 안전하게” 만든다는 주장에는 훨씬 강한 증거가 필요합니다.
민감한 채팅 전에 Chrome 권한 검토하기
Chrome의 확장 프로그램 관리 안내를 사용해 설치된 확장 프로그램과 사이트 접근 권한을 검토하세요. 기능을 사용할 수 있다면 실제로 필요한 사이트로 접근을 제한하거나 선택했을 때만 활성화되도록 하세요. 더 이상 사용하지 않는 확장 프로그램은 삭제하세요.
권한 변경에 주의하되, 유해한 업데이트는 모두 새 권한을 요청해야 한다고 생각하지 마세요. 코드는 이미 가진 접근 권한을 악용할 수 있습니다. Chrome의 권한 경고 문서는 추가 권한이 언제 경고를 발생시키는지 설명합니다.
시크릿 모드라고 자동으로 확장 프로그램이 없는 환경이 되는 것은 아닙니다. Chrome에서는 그곳에서도 개별 확장 프로그램을 활성화할 수 있습니다. 실제 설정을 확인하세요. 마찬가지로 Chrome 웹페이지에 관한 주장을 다른 런타임을 쓰는 독립형 데스크톱 앱에 무차별적으로 적용하지 마세요.
확장 프로그램이 메시지를 노출했다고 의심된다면
영향받은 환경에서 민감한 통신을 중단하세요. 의심스러운 확장 프로그램을 비활성화하거나 삭제하고, 브라우저를 업데이트한 뒤 남아 있는 확장 프로그램과 권한을 검토하세요. 자격 증명이나 계정 접근이 노출되었을 수 있다면 신뢰할 수 있는 환경에서 계정 세션을 검토하고 서비스의 복구 안내를 따르세요.
확장 프로그램을 삭제하면 그 브라우저에서 앞으로 작동하는 것은 막을 수 있지만, 이미 복사된 내용을 회수할 수는 없습니다. 깨끗해 보이는 채팅 기록은 정보 노출이 없었다는 증거가 아닙니다.
Livara의 경계
Livara의 위협 모델은 침해된 엔드포인트에 대한 보호를 명시적으로 제외합니다. Proof Lab은 APK 해시 확인과 범위가 제한된 암호 기술 시연을 제공하는 것이지, 브라우저 세션에 악성 확장 프로그램이 없다고 인증하는 것이 아닙니다.
확장 프로그램의 권한 경계를 실용적으로 가능한 한 작게 유지하세요. 강력한 메시지 암호화와 신뢰할 수 있는 엔드포인트는 서로 보완하는 요구 사항입니다.
