Microsoftは、Microsoft EdgeにおけるManifest V2(MV2)ブラウザ拡張機能サポートを2027年初頭までに完全に廃止する計画を発表しました。これにより、より制限の厳しいManifest V3(MV3)拡張機能プラットフォームへの移行が完了することになります。
今回の移行は、より厳格な権限制御を課し、拡張機能によるリモートホスト型コードの実行を防止することで、ブラウザのセキュリティとパフォーマンスを向上させることを目的としています。
Microsoftによると、企業向けの廃止プロセスは2027年1月初旬に世界規模で開始され、2027年4月下旬までに完了する見込みです。この廃止は、Windows、macOS、Linux上のEdgeユーザーに影響し、Canary、Dev、Beta、Stableの各チャネルが対象となります。
Manifest V2は長年にわたり、ブラウザ拡張機能がウェブリクエストの傍受機能を含む強力なAPIにアクセスするために使用されてきました。しかし、この旧来の拡張機能フレームワークは、セキュリティやガバナンス上のリスクを招きかねない特定の設計を許容してしまいます。
大きな懸念の一つがリモートホスト型コードです。これは、拡張機能がインストール後に外部サーバーからJavaScriptなどのロジックをダウンロードして実行できてしまう仕組みを指します。
この方式では、ブラウザのアドオンストアによるレビューを経ることなく、拡張機能の挙動を後から変更できてしまう余地が生まれます。
拡張機能の開発者側のインフラが侵害された場合や、正規の拡張機能が後に信頼できない第三者に売却された場合、リモートで読み込まれるコードが改ざんされ、ブラウザデータの収集、不要なコンテンツの挿入、ウェブトラフィックの改変、あるいは悪意ある機能の配信につながる可能性があります。
Manifest V3はこの問題に対処するため、リモートホスト型コードをブロックし、実行可能な拡張機能のロジックを拡張機能本体にパッケージ化することを義務付けています。これにより、ブラウザプラットフォームおよびユーザーは、インストール時や更新時に配信されるコードをより明確に把握できるようになります。
MV3はまた、より厳格な権限体系と、サービスワーカーをベースとしたバックグラウンド実行モデルを導入しています。これは、常駐的なリソース消費を抑え、旧来の拡張機能に伴う攻撃対象領域を縮小することを狙った設計です。
Microsoftによれば、MV2拡張機能については、edge://extensionsのEdge拡張機能管理ページおよびMicrosoft Edgeアドオンの製品ページ上で、順次廃止に関する警告が表示されるようになるとのことです。
一般ユーザー向けには、展開の過程でMV2拡張機能がデフォルトで無効化されます。当初はユーザーが対象の拡張機能を手動で再度有効化できる場合もありますが、Microsoftによればこのオプションは段階的に廃止されていく予定です。
企業管理下のデバイスについては、一般ユーザー向け展開の期間中、ExtensionManifestV2Availabilityポリシーによって一時的な例外措置が設けられます。
このポリシーにより、組織はアプリケーションや拡張機能の展開を移行する間、MV2サポートを維持することが可能です。ただし、企業向けの廃止プロセスが開始されると同時にこのポリシーは削除されるため、管理対象エンドポイントを含むすべてのデバイスでMV2拡張機能が動作しなくなります。
今回の変更は、ExtensionInstallForcelistやExtensionInstallAllowlistといったポリシーを通じてブラウザ拡張機能を強制インストールまたは許可リスト化している企業のセキュリティチームにとって、大きな影響を及ぼします。
組織は現在のEdge拡張機能環境の棚卸しを行い、すべてのMV2依存関係を洗い出した上で、Edgeアドオンストアで既にMV3版が提供されているかどうかを確認する必要があります。
社内の業務用拡張機能については特に注意が必要です。開発チームは、企業向けの廃止期限までに、MV2のマニフェスト、権限設定、バックグラウンドスクリプト、ネットワークリクエスト処理を、MV3に対応した設計へと移行しなければなりません。
管理者は、展開ポリシーを更新して代替となるMV3拡張機能のIDを参照させるとともに、従業員やヘルプデスクチーム、サードパーティの拡張機能ベンダーに対しても今回の変更について周知しておくべきです。
2027年初頭までに移行を完了させることで、組織はブラウザ拡張機能の停止を回避しつつ、拡張機能のコード、権限、実行時の挙動に対するより強力な制御を手にすることができます。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/microsoft-edge-manifest-v3-blocks-remotely-hosted-extension-code/
