В Chrome введены ограничения на установку сторонних дополнений

Компания Google объявила [4] об активации новых правил установки дополнений в web-браузере Chrome. Отныне пользователи Chrome на платформе Windows по умолчанию смогут установить дополнения только из официального каталога-магазина Chrome App Store [5]. Все ранее установленные из внешних источников дополнения, которые не представлены в Chrome App Store, будут заблокированы.

К версиям для OS X и Linux, а также тестовым сборкам, новые правила не применяются. Для установки дополнений из сторонних источников в стабильных выпусках Chrome для платформы Windows потребуется внесение специальных изменений в настройки, в частности, необходимо перевести web-браузер в режим разработчиков [6] (включается в сhrome://extensions), в котором не действуют ограничения по установке дополнений. Для установки дополнений в обход Chrome App Store также можно использовать корпоративные политики [7] установки. Для организации установки с сайта производителя можно использовать систему Inline-установки [8] (дополнение должно присутствовать в Chrome App Store).

Причиной применения ограничений является плачевная ситуация с массовым навязыванием пользователю непрошеных и вредоносных дополнений. Многие недобросовестные производители ПО в процессе установки программ без спроса у пользователя автоматически устанавливают связанные со своими программами дополнения в Chrome. Подобные неконтролируемые дополнения представляют угрозу с точки зрения безопасности и негативно влияют на производительность и стабильность работы web-браузера.

Более существенную опасность представляют дополнения, которые используются злоумышленниками в качестве инструмента для выполнения вредоносных действий. Например, в процессе атак на систему пользователя внедряются дополнения, которые осуществляют перехват параметров аутентификации, отслеживают перемещения пользователя или выполняют действия по подстановке рекламных блоков на открываемые страницы. В Firefox похожие средства для борьбы с непрошеными дополнениями были добавлены три года назад.

Следует напомнить, что в июне вступят в действие новые правила размещения дополнений в каталоге Chrome App Store, запрещающие распространение раздутых многофункциональных дополнений. В соответствии с новыми правилам, дополнения в Chrome Web Store должны быть нацелены на решение одной конкретной задачи и быть легко воспринимаемыми. Каждое дополнение может быть связано только с одним интерфейсным блоком (UI "surface"), т.е. размещать в интерфейсе одну кнопку или предоставлять одно действие, привязанное к контексту текущей страницы (иконки в адресной строке, такие как подписка на RSS или показ места на карте).

Кроме того, компания Google напомнила [9] о грядущем прекращении поддержки NPAPI-плагинов (Netscape Plugin Application Programming Interface). Для Linux поддержка NPAPI уже прекращена в выпуске Chrome 35, для Windows и OS X начиная с января связанный с NPAPI контент по умолчанию требует клика для активации. В Chrome 37 для Windows и OS X будет применено более сложное для обхода
блокирование контента [10], для обработки которого используются плагины NPAPI. Полное удаление кода поддержки NPAPI ожидается в конце года. Начиная с сегодняшнего дня использующие NPAPI расширения и приложения будут скрыты в Chrome Web Store, в том числе из результатов поиска и каталогов.

Сообщается, что за восемь месяцев с момента объявления о намерении избавиться от поддержки NPAPI, интенсивность использования NPAPI-плагинов сократилась на 12.9%. Например, доля использования плагина Silverlight снизилась с 15% до 13.3%, Google Earth с 9.1% до 0.1%,
Unity с 9.1% до 3.1%, Java c 8.9% до 7.2%, Facebook c 6% до 4.2%. В качестве альтернативы NPAPI компания Google продвигает PPAPI (Pepper API), который разработан для устранения проблем с переносимостью и производительностью классического NPAPI, а также для упрощения создания плагинов, работающих в виде отдельных процессов. По мнению Google вся функциональность, для которых требовались NPAPI-плагины может быть реализована средствами JavaScript API или через технологию Native Client.