使用しているブラウザ拡張機能に基づいてプロファイリングされる可能性があることをご存知ですか？広告主はどの拡張機能がインストールされているかを検出し、その情報を使用してあなたがどのようなユーザーであるかを把握することができます。
たとえば、あなたは常に満額を払わないよい買い物客であることを誇りにしていますか？アクティブなプロモコードをウェブから検索する買い物拡張機能を使用しているのかもしれません。オンラインツールを構築する開発者ですか？ サイトのパフォーマンス監査、アクセシビリティ確認、またはページ要素の検査用の拡張機能を使用しているかもしれません。 または、生産性の高い人物ですか？ タブ管理、コンテンツの要約、さらには時間設定のタスク追跡用の拡張機能を使用している可能性があります。
広告主があなたのブラウザ拡張機能を気にする理由は、それらがあなたがどのようなオーディエンスに属しているのか、そして何を購入する可能性があるのかを明かすからです。しかし、それは広告主だけではありません。あなたについてのデータがより多く存在するほど、詐欺師、身分詐称の犯人、ストーカーが悪用する可能性があるデータも多くなります。
ウェブサイトがあなたがインストールしたものを検出できる場合、予想以上に多くのことをあなたについて知ることができます。
これは仮説的な問題ではありません。 最近のレポートでは、LinkedInが訪問者のブラウザで6,000以上のChrome拡張機能をスキャンするスクリプトを使用し、そのデータをユーザープロファイルにリンクしていることが判明しました。
また、今年初めに、サイバー犯罪者が大手データブローカーであるGravy Analyticsに侵入しました。あまり知られていない企業で、膨大な量のスマートフォンロケーションデータを収集しています。同社は合法的にこのデータを収集していますが、流出により非常に機密情報が漏えいし、数百万人の人々が危険にさらされました。
どの拡張機能がプロファイリングされるのか？
昨年、博士課程の学生グループがブラウザ拡張機能の選択を通じてユーザーを追跡する特定のウェブサイトの方法を調査しました。1人の学生が10,000以上の拡張機能の印象的なリストをコンパイルしました。彼らの調査結果は、ブラウザの基礎となるテクノロジーに何らかの変更を加えなければ、拡張機能が完全に身を隠すことができないことを示しています。
Malwarebytes Browser Guardを例として取り上げてください。それは「このサイトはホワイトリストにあるか？」または「ユーザーに告知する必要があるセキュリティイベントがあるか？」などを確認するために内部的に通信する必要があります。ブラウザの動作方法により、このメッセージングシステムはウェブページから完全に分離されていないため、監視される可能性があります。
暗号化がこれを解決すると思うかもしれませんが、そう単純ではありません。1つの拡張機能だけが特定の方法でデータを暗号化する場合、その動作自体が固有のフィンガープリントになります。
Browser Guardを検出不可能にした方法
とはいえ、広告主や詐欺師がそれをインストールしたことを確認しにくくするために、Browser Guardにいくつかの手法を導入しました。 隠れることで、Browser Guardは他の人が学べることを減らし、彼らが対応できる方法を制限します。
ブラウザストレージAPIを使用する
ページに残されたデータは、どの拡張機能がインストールされているかを把握するために使用できます。 Browser Guardはブラウザベンダーが提供する利用可能な拡張機能ツールを使用して、このような種類のトレースを残さないようにしています。
動的URLを使用する
use_dynamic_urlはブラウザ拡張機能のマニフェストファイルで有効にできるフラグです。
- この設定はChromeとEdgeではデフォルトでオフになっています。
- Firefoxはこの動作をデフォルトで有効にしており、オフにする方法はありません。
では、フィンガープリントにはどのような意味がありますか？
以前は、ウェブサイトは拡張機能によって読み込まれた画像などの特定のリソースをチェックするだけでした。 そのリソースが見つかった場合、拡張機能がインストールされていることがわかります。
しかし、動的URLは各ブラウジングセッションに対して新しく固有のIDを生成するため、サイトが同じトリックを試すと、拡張機能が存在しないように見えます。
実際のところ、この手法は一部のアンチアドブロッカーによって、マシンで実行されているアドブロッカーを検出するためにも使用されていることがわかっています。
他の人があなたの拡張機能について検出できること（Chromeのみ）
Chromeでこれを読んでいる場合は、下のボタンをクリックして、公開されているリソースを使用して検出できるインストール済み拡張機能を確認してください。この記事で説明したのと同じ手法です。
その後、ChromeにBrowser Guardをインストールして、それがどのようにプライベートに保たれているかを確認してください。
