GoogleがChromeウェブストアの拡張機能アップロードセキュリティを強化、開発者アカウント乗っ取り対策を強化

記事の要約

• Chromeウェブストアに拡張機能アップロード時のセキュリティ強化機能が追加された
• 開発者はRSA公開鍵を登録し、署名されていないアップロードを拒否できるようになった
• 開発者アカウントが乗っ取られても、不正な拡張機能の公開を防ぐことが可能になった

Chromeウェブストアの拡張機能アップロードセキュリティ強化

Googleは2025年5月7日、Chromeウェブストアへの拡張機能アップロード時に、信頼できる秘密鍵による署名を必須とする追加の検証機能を導入したと発表した。これにより、開発者アカウントが乗っ取られても、第三者が不正な拡張機能をアップロードして公開することが困難になるのだ。

従来、Chromeウェブストアの拡張機能はGoogleによって署名されていたが、この鍵はGoogleが管理しており、誰でも開発者ダッシュボードにアクセスできればアップロードが可能だった。今回の変更で、開発者はRSA公開鍵をChromeウェブストアに登録できるようになり、この公開鍵で署名されていないアップロードは拒否される仕組みだ。

アップロードされたパッケージがこの検証に合格すると、既存の秘密鍵で自動的に再パッケージ化されたうえで公開される。そのため、拡張機能のIDは変わらず、Chromeによって信頼された鍵で署名されることになる。この機能はオプトイン方式で、有効化しない場合は従来通りGoogleによる署名が行われる。

Chromeウェブストア拡張機能アップロードセキュリティ強化の詳細

RSA公開鍵について

RSA公開鍵は、非対称暗号方式の一つであるRSA暗号で用いられる公開鍵である。公開鍵暗号方式では、公開鍵と秘密鍵のペアを用いて暗号化と復号を行う。

• 公開鍵は誰でも入手可能で、暗号化に使用される
• 秘密鍵は所有者だけが保有し、復号に使用される
• 公開鍵で暗号化されたデータは、対応する秘密鍵でしか復号できない

今回のChromeウェブストアのセキュリティ強化では、開発者が保有する秘密鍵で署名された拡張機能のみが承認されるため、高いセキュリティが確保されるのだ。

Chromeウェブストア拡張機能アップロードセキュリティ強化に関する考察

今回のセキュリティ強化は、開発者アカウントの乗っ取りによる不正な拡張機能の公開リスクを大幅に軽減する効果が期待できる。これは、ユーザーのセキュリティと信頼性を向上させる上で非常に重要なアップデートだ。しかし、全ての開発者がこの機能を有効化するとは限らないため、依然としてリスクは完全に排除できない可能性がある。

今後、この機能の利用率を監視し、必要に応じて啓発活動を行うことが重要となるだろう。また、より高度なセキュリティ対策として、多要素認証の導入や、アップロードされた拡張機能のコードの自動検査機能の強化なども検討すべきだ。これにより、より安全なChromeウェブストアを実現できる可能性がある。

さらに、この機能をより使いやすく、導入しやすいように、開発者向けのドキュメントやサポート体制の充実も必要となるだろう。開発者にとって負担の少ない、安全な拡張機能の公開環境を提供することが、Chromeウェブストアの健全な発展に繋がるのだ。

参考サイト/関連サイト