保护Chrome本机消息主机

Question

我正在使用通过Chrome扩展程序启动的Chrome Native Messaging开发应用程序.

我的问题是:我如何确保主机应用程序与我提供的相同？

我需要确保扩展名调用的应用程序的真实性.如果我没有读取注册表的权限或检查某些内容是否已更改,我该如何获取？

Answer 1

这是一个很好的问题，我猜答案是“不幸的是，你不能”。

实现某种加密哈希（例如 Chrome 用于验证扩展文件的加密哈希）会很有趣，但这并不是一个非常有力的保证。

考虑（所有这些假设）：

• 您可以通过这种方式轻松保护注册表项/清单，但是文件本身呢？
• 假设您固定了可执行文件的哈希值，那么更新它就会变得很痛苦（您也必须同步更新扩展）。可以使用某种公钥签名而不是哈希来解决。
• 假设您将可执行文件固定在清单中。它的数据文件怎么样？更重要的是，本机应用程序使用的库怎么样？

保护 Chrome 扩展程序/应用程序很容易，因为您依赖的唯一“库”/运行时是 Chrome 本身（并且您信任它）。本机应用程序可以依赖于系统上的很多很多东西（例如已经提到的库），您如何跟踪？

不管怎样，这似乎是一件值得头脑风暴的有趣的事情。查看 Chrome错误跟踪器是否已经有类似的内容，如果没有 - 尝试提出功能请求。也许尝试一些与 Chromium 相关的邮件列表来询问开发人员。