Chrome เตรียมบล็อกการเปลี่ยนแทปใหม่โดย Extension ที่ติดตั้งในระดับนโยบาย เป็นค่าเริ่มต้น

จากรายงานโดยเว็บไซต์ GBHack ได้กล่าวถึงการที่ทาง Google ได้ทำการปรับปรุงฟีเจอร์ด้านความปลอดภัยของ Chrome ที่จะมาช่วยป้องกันไม่ให้ส่วนขยายที่ถูกบังคับติดตั้งโดยนโยบายองค์กร (Policy-Installed Extensions) เข้ามาแอบยึด (Hijacking) เปลี่ยนหน้าแท็บใหม่ หรือ แอบเปลี่ยนเครื่องมือค้นหา (Default Search Engine) บน Chrome ที่ใช้งานบนเครื่องมือของผู้ใช้งานทั่วไปที่ไม่ได้อยู่ภายใต้การควบคุมดูแลขององค์กร (Unmanaged Consumer Device)

ทั้งหมดนี้เนื่องมาจาก Chrome ในปัจจุบันมีการรองรับการบังคับการติดตั้ง (Forced-Installation) ส่วนเสริมพิเศษที่นโยบายองค์กรบังคับให้พนักงานใช้งานบนคอมพิวเตอร์ของบริษัท รวมทั้งอนุญาตให้ส่วนเสริมเหล่านั้นสามารถปรับเปลี่ยนการตั้งค่าต่าง ๆ ของเว็บเบราว์เซอร์ได้ ในจุดนี้นั้นทำให้ทางบริษัท และ ผู้ดูแลระบบของทางบริษัท (Admin หรือ Administrator) สามารถสอดส่องดูแลการใช้งานคอมพิวเตอร์และเว็บเบราว์เซอร์ของพนักงานได้โดยง่าย แต่การอนุญาตดังกล่าวนั้นกลับไม่ได้จำกัดวงอยู่แค่ภายใน Chrome ที่ใช้งานภายในองค์กรเท่านั้น แต่กลับครอบคลุมถึงรุ่นที่ใช้งานทั่วไปด้วย และนั่นก็ทำให้มัลแวร์สามารถอาศัยช่องโหว่ของการอนุญาตดังกล่าว ทำการแอบเพิ่มกุญแจนโยบาย (Policy Key) ลงไปบน Chrome โดยไม่ได้รับอนุญาตจากเหยื่อ เพื่อที่จะบังคับติดตั้งส่วนเสริมอันตรายลงบนเว็บเบราว์เซอร์ และใช้ส่วนเสริมนั้นปรับเปลี่ยนการตั้งค่าการเปิดใช้แท็บใหม่ และ เปลี่ยนเครื่องมือค้นหาเริ่มต้น เพื่อพาเหยื่อไปยังเว็บไซต์ปลอมของแฮกเกอร์

ซ้ำร้าย ด้วยระบบการอนุญาตติดตั้งของ Chrome แบบดั้งเดิมนั้นจะถือว่าส่วนเสริมที่ถูกบังคับติดตั้งเหล่านี้ เป็นการติดตั้งโดยผู้ดูแลระบบ (Administrator-Installed Extensions) ทำให้ผู้ใช้งานนั้นไม่สามารถถอนการติดตั้งส่วนเสริมเหล่านี้ได้ มิหนำซ้ำ ในบางครั้ง Chrome อาจยังแสดงค่าว่าตัวเครื่องนั้นถูกจัดการโดยองค์กร (Managed by your organization) ทั้งที่เครื่องนั้นเป็นเครื่องของผู้ใช้งานทั่วไปที่ไม่ได้สังกัดหรือทำงานในองค์กรใด ๆ โดยทาง Google ได้ทำการขนานนามเครื่องใช้งานตามบ้านเหล่านี้ว่า ทำงานอยู่ภายใต้สภาพแวดล้อมที่มีความน่าเชื่อถือต่ำ (Low Trust Environment) จากการที่ Chrome ทำการอ่านค่านโยบายที่บรรจุอยู่ในเครื่อง (Local) และบังคับใช้โดยไม่ได้ยืนยันนั้นมาจากองค์กรที่น่าเชื่อถือได้ เช่น การยืนยันด้วยโดเมน (Domain) ขององค์กร หรือ การยืนยันด้วยบริการจัดการอุปกรณ์เคลื่อนที่ (MDM Service) เปิดช่องให้มัลแวร์เข้ามาฉวยโอกาสได้ 

ทำให้ทาง Google ลงมาจัดการเรื่องความปลอดภัยของ Chrome ใหม่ด้วยการปรับเปลี่ยนให้ฟีเจอร์บล็อกการกระทำการดังกล่าวของส่วนเสริมที่ถูกบังคับติดตั้งบนคอมพิวเตอร์ที่ไม่ได้อยู่ภายใต้องค์กรใด ๆ อย่าง "enables the kBlockDseNtpOverrideExtensionsOnUnmanagedDevices” ให้เป็นค่าเริ่มต้น (Default) ซึ่งด้วยฟีเจอร์นี้ ตัว Chrome จะบล็อกการติดตั้งส่วนเสริมบังคับใด ๆ ที่สามารถจัดการปรับเปลี่ยนการตั้งค่าแท็บใหม่ และ ปรับเปลี่ยนตัวค้นหาเริ่มต้น บนเครื่องที่ไม่อยู่ภายใต้การจัดการองค์กรในทันที หลังจากที่บล็อกสำเร็จตัว Chrome จะทำการเพิ่มหมายเลขประจำตัวส่วนเสริม (Extension ID) ลงไปยังรายชื่อบล็อก (Blocklist) ในทันที เพื่อป้องกันการพยายามติดตั้งในอนาคต