mvc export to pdf : Convert pdf file to jpg on SDK application API .net html azure sharepoint deploying_and_securing_google_chrome_in_a_windows_enterprise1-part58

A home user can also install the enterprise version of Chrome and import the policy templates into 
Windows local policy, if they are running a version of Windows which supports local policy, to take 
advantage of the policies in this guide. 
DoD administrators should also consult the Defense Information Systems Agency (DISA) Security 
Technical Implementation Guide (STIG) for Chrome
[7]
. The DISA STIG for Chrome provides policies, in 
addition to the policies in Table 1, and Security Content Automation Protocol (SCAP) data which can be 
used for automated compliance checking. 
Policy Path 
Policy Name 
Policy State 
Policy Value 
Google Chrome\Configure 
remote access options\ 
Enable firewall traversal from remote 
access host 
Disabled 
Google Chrome\Content 
Settings\ 
Default geolocation setting 
Enabled 
Do not allow any site to track the 
users’ physical location 
Google Chrome\Content 
Settings\ 
Default mediastream setting 
Enabled 
Do not allow any site to access my 
camera and microphone 
Google Chrome\Content 
Settings\ 
Default notification setting 
Enabled  
Do not allow any site to show 
desktop notifications 
Google Chrome\Content 
Settings\ 
Default popups setting 
Enabled 
Do not allow any site to show 
popups 
Google Chrome\Extensions\ Configure extension installation 
blacklist 
Enabled 
Google Chrome\Extensions\ Configure extension installation 
whitelist 
Enabled 
Add the extension IDs for any 
approved extensions otherwise 
leave Policy State as Not Configured 
Google Chrome\Password 
manager 
Allow users to show passwords in 
Password Manager 
Disabled 
Google Chrome\Password 
manager 
Enable the password manager 
Disabled 
Google Chrome\Policies for 
HTTP Authentication 
Supported authentication 
Enabled 
negotiate 
Google Chrome\ 
Allow running plugins that are 
outdated 
Disabled 
Google Chrome\ 
Always runs plugins that require 
authorization 
Disabled 
Google Chrome\ 
Continue running background apps 
when Google Chrome is closed 
Disabled 
Google Chrome\ 
Disable proceeding from the Safe 
Browsing warning page 
Enabled 
Google Chrome\ 
Disable saving browser history 
Disabled 
Google Chrome\ 
Disable SPDY protocol 
Enabled  
Google Chrome\ 
Disable support for 3D graphics APIs 
Enabled 
Google Chrome\ 
Disable synchronization of data with 
Google 
Enabled 
Google Chrome\ 
Disable taking screenshots 
Enabled 
Google Chrome\ 
Disable URL protocol schemes 
Enabled 
file, javascript 
Google Chrome\ 
Enable AutoFill 
Disabled 
Google Chrome\ 
Enable Google Cloud Print proxy 
Disabled 
Google Chrome\ 
Enable Instant 
Disabled 
Google Chrome\ 
Enable network prediction 
Disabled 
Google Chrome\ 
Enable reporting of usage and crash-
related data 
Disabled 
7
Application Security - Browser Guidance. http://iase.disa.mil/stigs/browser_guidance/browser_guidance.html 
Convert pdf file to jpg on - Convert PDF to JPEG images in C#.net, ASP.NET MVC, WinForms, WPF project
How to convert PDF to JPEG using C#.NET PDF to JPEG conversion / converter library control SDK
bulk pdf to jpg converter online; convert multi page pdf to jpg
Convert pdf file to jpg on - VB.NET PDF Convert to Jpeg SDK: Convert PDF to JPEG images in vb.net, ASP.NET MVC, WinForms, WPF project
Online Tutorial for PDF to JPEG (JPG) Conversion in VB.NET Image Application
.pdf to jpg converter online; convert pdf to jpg file
Policy Path 
Policy Name 
Policy State 
Policy Value 
Google Chrome\ 
Enable Safe Browsing 
Enabled 
Google Chrome\ 
Enable search suggestions 
Disabled 
Google Chrome\ 
Enable submission of documents to 
Google Cloud Print 
Disabled 
Google Chrome\ 
Import saved passwords from default 
browser on first run 
Disabled 
Google Chrome\ 
Incognito mode availability 
Enabled 
Incognito mode disabled 
Google Chrome\ 
Specify a list of disabled plugins 
Enabled 
Google Chrome\ 
Specify a list of enabled plugins 
Enabled 
Shockwave Flash, Chrome PDF 
Viewer 
Google Chrome\ 
Specify whether the plugin finder 
should be disabled 
Enabled 
Google Chrome\ 
Whether online OCSP/CRL checks are 
performed 
Enabled 
Table 1: Recommended Chrome policies and values 
Note that some policies only need to change their state to Enabled or Disabled as shown in the Policy 
State column. Other policies may need additional configuration which is noted in the Policy Value 
column. Some of the Policy State and Policy Value combinations may seem unintuitive but they have 
been tested to ensure they enforce the correct behavior. Some of the policies from Table 1 are 
discussed in more detail in the following sections of the paper. 
3.1 User Settings and User Cache Location 
The Set user data directory policy is used to determine where user data, such as bookmarks and history, 
is stored. By default this data is stored in a Chrome user data folder under the path of 
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\. The data stored under the AppData’s Local 
folder does not roam when Windows roaming profiles are used. Enterprises that use roaming profiles 
may want to change the previously mentioned Chrome policy so the Chrome user data folder will be 
stored in the user’s roaming profile. For example, setting the policy value to 
${roaming_app_data}\Chrome\ results in various user data folders and files getting created under the 
path of C:\Users\<user>\AppData\Roaming\Chrome\. The AppData’s Roaming folder roams when 
Windows roaming profiles are used. 
Now that the user data folder is stored in the user’s roaming profile, the temporary Chrome cache files 
will also be stored in the user’s roaming profile at C:\Users\<user>\AppData\Roaming\Chrome\User 
Data\Default\Cache\. Enterprises may want to change the cache storage location so the cache is stored 
at a location that does not roam. The cache location is controlled by the Set disk cache directory policy. 
Setting the policy value to ${local_app_data}\Chrome\ results in a cache folder getting created under 
the path of C:\Users\<user>\AppData\Local\Chrome\. Table 2 contains a list of some of the Chrome 
variables
[8]
that can be used to specify different paths in Windows. 
Chrome Variable Name 
Windows Path Location 
${roaming_app_data} 
C:\Users\<user>\AppData\Roaming 
${local_app_data} 
C:\Users\<user>\AppData\Local 
${documents} 
C:\Users\<user>\My Documents 
8
Supported Directory Variables. http://www.chromium.org/administrators/policy-list-3/user-data-directory-variables 
Online Convert Jpeg to PDF file. Best free online export Jpg image
Convert a JPG to PDF. You can drag and drop your JPG file in the box, and then start immediately to sort the files, try out some settings and then create the
pdf to jpeg converter; convert pdf to gif or jpg
Online Convert PDF to Jpeg images. Best free online PDF JPEG
Online PDF to JPEG Converter. Download Free Trial. Convert a PDF File to JPG. Drag and drop your PDF in the box above and we'll convert the files for you.
convert pdf to jpg; convert pdf to jpg for online
Chrome Variable Name 
Windows Path Location 
${profile} 
C:\Users\<user> 
${global_app_data} 
C:\Users\All Users\AppData 
Table 2: Chrome variables for Windows and their corresponding file system locations 
Note that when a Chrome update is installed, the enterprise Chrome installer is not aware of the Set 
user data directory and Set disk cache directory policies so the installer will still create folders 
containing default data at C:\Users\<user>\AppData\Local\Google\. Chrome uses those policy values 
when it is launched by the user. 
3.2 Default Search Provider 
Some enterprises may want to have a standard default search provider. Setting a default search 
provider allows users to perform searches without having to first visit a search engine’s web page. If 
setting a specific default search provider is desired, then using a provider that supports HTTPS 
connections is recommended. The example in Table 3 shows how to configure the policies under 
Google\Google Chrome\Default search provider\ to set https://encrypted.google.com as the default 
search provider.  
Policy Name 
Policy State 
Policy Value 
Enable the default search provider 
Enabled 
Default search provider name 
Enabled 
Google Encrypted Search 
Default search provider search URL 
Enabled 
https://encrypted.google.com/search?{google:acceptedSuggestion}{g
oogle:originalQueryForSuggestion}sourceid=chrome&ie={inputEncodi
ng}&q={searchTerms} 
Table 3: Default search provider values for Google encrypted search 
If users type text into the Omnibox that is not a URL, then a secure search will be performed. The 
Omnibox is the name for Chrome’s address bar as shown in Figure 4. 
Figure 4: Using the Omnibox configured with a secure default search provider 
3.3 Safe Browsing 
The Chrome safe browsing feature displays a warning message for web sites that are known to contain 
malware or phishing attacks by looking up web sites in a list of known bad web sites maintained by 
Google. It is important to note that safe browsing does not send web site URL information to Google. 
Instead, a list of known bad web sites is downloaded to the system. This download occurs silently in the 
background when Chrome is running. As a user browses web sites, the URLs are checked against the 
locally stored list of bad web sites. This provides a security benefit without compromising privacy. In 
some cases a SHA1 hash of a URL is sent to Google for further safety verification but even then the clear 
text URL is not sent in order to protect the user’s privacy. Setting the Enable Safe Browsing policy to 
Enabled is recommended since this feature can effectively block initial malware infections. 
C# Image Convert: How to Convert Adobe PDF to Jpeg, Png, Bmp, &
C# sample code for PDF to jpg image conversion. This demo code convert PDF file all pages to jpg images. // Define input and output files path.
convert pdf to jpg for; convert pdf into jpg
C# Image Convert: How to Convert Dicom Image File to Raster Images
RasterEdge.XDoc.Office.Inner.Office03.dll. RasterEdge.XDoc.PDF.dll. This demo code convert dicom file all pages to jpg images.
to jpeg; change pdf to jpg file
10 
3.4 Protocol Schemes 
Chrome supports handling of a number of protocol schemes. Setting the Disable URL protocol schemes 
policy to Enabled and setting its value to file, javascript is recommended to block arbitrary file system 
access and to block arbitrary execution of JavaScript in the Omnibox.  
Administrators can add more protocol schemes as necessary based on their network’s operational 
security needs. For example, ftp could be added to the policy to block Chrome from handling File 
Transfer Protocol (FTP) connections. A value of view-source could be added to the policy to prevent 
users from viewing the source of web pages. 
3.5 3D Graphics 
By default Chrome supports WebGL which is a technology that renders 3D graphics in a web browser 
using hardware acceleration from the Graphics Processing Unit (GPU) of modern video cards. Currently, 
there are very few web sites that use this technology so disabling it has little effect on users and reduces 
the attack surface. However, WebGL is sandboxed due to running in the sandboxed Chrome GPU 
rendering process. Setting the Disable support for 3D graphics API's policy to Enabled, unless 3D 
content is required, is recommended. If 3D content is required, then set this policy back to Not 
Configured
3.6 Cookies 
Cookies are often used by web sites to store stateful data in the browser that can be used again the next 
time a user visits the web site
[9]
. Chrome has the ability through policy to block cookies from all web 
sites. This setting may break many web sites that use cookies to manage a user’s login or logout state. It 
is possible to block cookies from all web sites and then selectively whitelist domains or web sites where 
cookies are allowed
[10]
. Applying this policy to all user workstations comes with an extremely high 
administrative overhead for managing the whitelist depending on the level of granularity used. 
Administrators may also not be able to easily or correctly determine which web sites to add to the 
cookie whitelist policy. 
The example in Table 4 shows how to configure the policies under Google\Google Chrome\Content 
Settings\ to set the Block cookies on these sites and the Allow cookies on these sites policies to block 
cookies from all web sites except for those in the .gov and .mil domains. When these policies are 
configured they override the Default cookies setting policy if it has been enabled. This example is not 
meant as literal guidance. 
Policy Name 
Policy State 
Policy Value 
Block cookies on these sites 
Enabled 
Allow cookies on these sites 
Enabled 
[*.]gov 
[*.]mil 
Table 4: Example policies for allowing cookies on specific web sites 
9
HTTP cookie. https://en.wikipedia.org/wiki/HTTP_cookie 
10
Cookies Allowed For Urls. http://www.chromium.org/administrators/policy-list-3#CookiesAllowedForUrls 
C# Create PDF from images Library to convert Jpeg, png images to
C# Create PDF from Raster Images, .NET Graphics and REImage File with XDoc Batch convert PDF documents from multiple image formats, including Jpg, Png, Bmp
best pdf to jpg converter; batch pdf to jpg online
VB.NET PDF Convert to Images SDK: Convert PDF to png, gif images
Convert PDF documents to multiple image formats, including Jpg, Png, Bmp, Gif, Tiff, Bitmap, .NET Graphics, and REImage. Turn multipage PDF file into image
batch pdf to jpg converter online; convert pdf to high quality jpg
11 
Figure 5 shows the icon Chrome uses to notify a user that it has blocked cookies. A user can click on the 
blocked cookie icon to view more information about which specific cookies have been allowed and 
which specific cookies have been blocked. 
Figure 5: The blocked cookie notification icon in the Chrome Omnibox 
As an alternative to maintaining a cookie whitelist, administrators can configure Chrome to 
automatically delete all cookies when a user closes Chrome. Some enterprises may wish to keep all 
cookies on a system for forensics purposes while other enterprises may wish to have cookies deleted 
due to privacy and anonymity concerns. Setting the Default cookies settings policy to Enabled and its 
value to Keep cookies for the duration of the session is recommended if an enterprise doesn’t need to 
retain cookies for forensic purposes. This is a new value for this policy in Chrome 21 that replaces the 
deprecated Clear site data on browser shutdown policy. 
Third party cookies are web site cookies that come from a different web site than what the user is 
currently browsing. Advertising companies may often use third party cookies to track user activity across 
multiple web sites which can negatively impact user privacy and anonymity
[9]
. Setting the Block third 
party cookies policy to Enabled is recommended to block these types of cookies. The icon from Figure 5 
also displays when third party cookies are blocked. 
Unfortunately, a very small amount of web sites may not work correctly when third party cookies are 
blocked. In some cases the impact may be minor but in other cases this policy may prevent users from 
signing out of web sites. This issue may occur when a web site uses a different domain exclusively for 
handling the sign in or sign out process. This issue may confuse users since they may be under a false 
impression that they are completely and correctly signed out from a web site when they are not. Since 
the user may still be signed into a web site until the browser is closed, they may be signed in longer than 
desired which could be an operational security concern.  
If an enterprise needs to retain cookies for forensics purposes or the policy negatively impacts user 
experience or operational security as already discussed, then the Block third party cookies policy should 
not be enabled. If this policy is enabled, then configuring the Default cookies setting policy as previously 
mentioned can be used to overcome the issue since all cookies will be deleted once the browser is 
closed. 
3.7 JavaScript 
JavaScript is commonly used by many web sites to enhance the user experience and often provides 
critical web site functionality. Chrome has the ability through policy to block JavaScript from running on 
all web sites. This is a secure but very restrictive setting which will break many web sites. Most users 
need JavaScript enabled to properly view and use web sites. It is possible to prevent JavaScript from 
running on all web sites and then selectively whitelist domains or web sites where JavaScript is 
C# WPF PDF Viewer SDK to convert and export PDF document to other
Convert PDF to image file formats with high quality, support converting PDF to PNG, JPG, BMP and GIF. C#.NET WPF PDF Viewer Tool: Convert and Export PDF.
change format from pdf to jpg; .net pdf to jpg
C# TIFF: C#.NET Code to Convert JPEG Images to TIFF
demo1.jpg", @"C:\demo2.jpg", @"C:\demo3.jpg" }; // Construct List in imagePaths) { Bitmap tmpBmp = new Bitmap(file); if (null Use C# Code to Convert Png to Tiff.
best pdf to jpg converter online; convert pdf file into jpg format
12 
allowed
[5]
. This is good security practice for security sensitive systems such as servers and administrative 
workstations. Applying this policy to all user workstations comes with an extremely high administrative 
overhead for managing the whitelist depending on the level of granularity used. Administrators should 
only apply this policy to all user workstations if users are not allowed to execute JavaScript or if 
administrators can quickly respond to user requests for adding web sites to the whitelist. 
The example in Table 5 shows how to configure the policies under Google\Google Chrome\Content 
Settings\ to set the Block Javascript on these sites and the Allow Javascript on these sites policies to 
block JavaScript from running on all web sites except for those in the .gov and .mil domains. When these 
policies are configured they override the Default Javascript setting policy if it has been enabled. This 
example is not meant as literal guidance. 
Policy Name 
Policy State 
Policy Value 
Block Javascript on these sites 
Enabled 
Allow Javascript on these sites 
Enabled 
[*.]gov 
[*.]mil 
Table 5: Example policies for allowing JavaScript to run on specific web sites 
A more manageable option for user workstations is deploying a Chrome extension, such as ScriptNo, 
that blocks all JavaScript execution by default and allows the user to selectively enable JavaScript for the 
web sites they need to visit where JavaScript is essential for the web site to operate correctly. This 
option takes control away from administrators and places a significant amount of trust in the user to not 
enable JavaScript on malicious sites. Many users may require training to effectively use a JavaScript 
blocking extension without becoming frustrated and allowing all sites to execute JavaScript. 
3.8 Plugins 
Chrome supports a plugin architecture that allows it to display web content it does not natively support. 
Most plugins do not run in the Chrome sandbox. Plugins that are not sandboxed run under the privilege 
level of the user and have access to many system resources such as the file system and network. 
Allowing arbitrary plugins to execute will increase the overall attack surface of Chrome. An installation 
of Chrome includes several plugins by default as shown in Table 6. 
Plugin Name 
Description 
Type 
Sandboxed 
Native Client 
Executes native code in the browser. Used mostly for games. 
PPAPI Yes 
Chrome Remote Desktop Viewer Used for Chrome remote desktop also known as Chromoting. It 
was named Remoting Viewer in Chrome 21 and earlier versions. 
PPAPI Yes 
Chrome PDF Viewer 
Renders Adobe PDF files using the built-in sandboxed PDF viewer. PPAPI Yes 
Shockwave Flash 
Renders Adobe Flash content using an included Adobe Flash 
Player plugin. This plugin is only available by default in Chrome 21 
and earlier versions. 
NPAPI No 
Shockwave Flash 
Renders Adobe Flash content using the Pepper Flash plugin. This 
plugin is only available by default in Chrome 21 and later 
versions. 
PPAPI  Yes 
Google Update 
Uses Google Update to check for Chrome updates. 
NPAPI No 
Table 6: Default plugins installed with Chrome 
Blacklisting all plugins and then selectively whitelisting necessary plugins is recommended. This can be 
done by setting the Specify a list of disabled plugins policy to * to blacklist all plugins and then setting 
13 
the Specify a list of enabled plugins policy to a list of plugin names that should be allowed. Whitelisting 
prevents users from running unauthorized plugins.  
Common products
[11]
such as Oracle Java, Adobe Reader, RealPlayer, Apple QuickTime, and Microsoft 
Silverlight also install Chrome plugins to render their content. Table 7 contains a list of plugin names that 
can be used to whitelist plugins for common products. 
Plugin Name(s) 
Description 
Type 
Sandboxed 
Adobe Acrobat 
Renders Adobe PDF files in the 
browser. 
NPAPI No 
Shockwave Flash 
Renders Adobe Shockwave web 
content. 
NPAPI No 
Apple QuickTime 7.7.2 
Renders Apple audio and video 
web content. 
NPAPI No 
Java Deployment Toolkit 7.0.50.255 
Java(TM) Platform SE 7 U5 
Allows web-based Java 
applications. 
NPAPI No 
2007 Microsoft Office system 
Renders Microsoft Office 2007 
documents in the browser. 
NPAPI No 
Microsoft Office 2010 
Renders Microsoft Office 2010 
documents in the browser. 
NPAPI No 
Silverlight Plug-In 
Renders Microsoft audio and 
video content in the browser. 
NPAPI No 
RealPlayer(tm) G2 LiveConnect-Enabled Plug-In (32-bit) 
RealJukebox NS Plugin 
RealNetworks(tm) Chrome Background Extension Plug-In (32-bit) 
Renders RealNetworks audio 
and video in the browser. 
NPAPI No 
Table 7: Common plugins available for Chrome 
Table 6 and Table 7 show the risk associated with enabling certain plugins. If the plugin uses the 
Netscape Plugin Application Programming Interface (NPAPI), then it is not sandboxed. If the plugin uses 
the Pepper Plugin Application Programming Interface (PPAPI), then it may be sandboxed. Sandboxed 
plugins should always be preferred over non-sandboxed plugins. As shown in Table 6 and Table 7, most 
common plugins are not sandboxed. Chrome added a sandboxed version of Adobe Flash starting with 
version 21 of Chrome and has included a sandboxed Adobe PDF reader plugin since version 8 of Chrome. 
Also note that only sandboxed plugins are allowed when running the Windows Store App, formerly 
known as Metro or Modern UI, version of Chrome in Windows 8 so no NPAPI plugins will work
[12]
.  
An administrator can view which plugins are available in Chrome by typing chrome://plugins in the 
Chrome Omnibox. Click the Details link on the right side of the Chrome plugins page to view plugin 
details such as the Type field, which indicates if the plugin uses NPAPI or PPAPI, the Location field, which 
displays the path of the executable that is used by the plugin, and the Name field, which can be used to 
whitelist the plugin.  
When whitelisting plugins an administrator must use the exact spelling and letter casing displayed in the 
Name field for the specific plugin to be allowed. If the spelling or letter casing does not match, then the 
specific plugin will not be whitelisted. Some plugins have a version number in their plugin name that 
makes it more difficult to whitelist the plugin. The whitelisting policy supports using * and ? characters 
11
Chrome Plug-ins. http://support.google.com/chrome/bin/answer.py?hl=en&answer=142064 
12
NPAPI plug-ins in Windows 8 Metro mode. http://blog.chromium.org/2012/07/npapi-plug-ins-in-windows-8-metro-mode 
14 
as wildcard characters in the policy value. Use QuickTime Plug-in* or QuickTime Plug-in ?.?.? in the 
policy value to allow all versions of QuickTime plugins to run. Use *Microsoft Office* in the policy value 
to allow all versions of Microsoft Office plugins to run. Some products, such as Java and RealPlayer, may 
install multiple plugins for their content and all the plugins can be enabled or disabled using similar 
wildcard techniques. 
In addition to whitelisting plugins, an administrator could also whitelist URLs that are allowed to run 
whitelisted plugins. For example, it is possible to configure Chrome so that the Adobe Flash plugin is 
only allowed to run on specific web sites. The example in Table 8 shows how to configure the policies 
under Google\Google Chrome\Content Settings\ to set the Block Plugins on these sites and the Allow 
Plugins on these sites policies to block plugins from running on all web sites except for those in the .gov 
and .mil domains. An administrator could also choose to further restrict plugins to only run on web sites 
that use HTTPS connections. When these policies are configured they override the Default plugins 
setting policy if it has been enabled. This example is not meant as literal guidance. 
Policy Name 
Policy State 
Policy Value 
Block Plugins on these sites 
Enabled 
Allow Plugins on these sites 
Enabled 
[*.]gov 
[*.]mil 
Table 8: Example URL whitelist allowing plugins to run on specific web sites 
Some Chrome plugins are automatically updated by an internal update mechanism that runs while 
Chrome is running. Chrome does not rely on Google Update to perform plugin updates. The NPAPI and 
PPAPI Flash plugins are examples of plugins that Chrome automatically updates. Chrome is not 
responsible for updating plugins, such as those shown in Table 7, that are installed by other products. 
Those plugins are typically updated by running the associated product’s installer for the new version of 
the product. 
Since setting the Allow running plugins that are outdated policy to Disabled is recommended, Chrome 
may automatically disable plugins that it detects as being outdated. This is done to protect the user from 
getting exploited due to viewing web content with outdated plugins that may contain known 
vulnerabilities. This is an important protection mechanism since most plugins are not sandboxed. Figure 
6 shows an example of what a user will see on a web site when the plugin has been disabled due to 
enabling this policy. The content on the web site has been replaced by a notice which informs the user 
that the plugin has been disabled. 
Figure 6: Web content for a plugin that has been disabled due to being outdated 
15 
Administrators can also view the status of plugins by typing chrome://plugins in the Chrome Omnibox. 
Click the Details link on the right side of the page. There will be a link labeled Download Critical Security 
Update near the plugin name for the associated plugin that has been disabled due to being outdated. 
3.9 Extensions 
Extensions are customization mechanisms that add extra features and functionality to the Chrome 
browser. Most, but not all, extensions can be downloaded via the Google Chrome Web Store
[13]
Extensions can be written by anyone so caution should be used when determining which extensions are 
allowed to be installed in an enterprise. Using only extensions from the Google Chrome Web Store does 
not guarantee safety since Google does not author many of the extensions. Despite the risks, extensions 
are usually much less risky than plugins since extensions usually do not have full access to the system 
like most plugins do. Allowing extensions can have both usability and security benefits, but always keep 
in mind the amount and type of data an extension can access and where an extension may send data. 
Extensions request a level of permission which grants them access to certain resources in the browser. 
Google categorizes the permissions into three levels of risk which are displayed in Table 9.  
Risk 
Extension Permissions 
High 
Access all data on the computer and web sites you visit. It could use the web cam or read and write files. 
Medium  
Access your data on all web sites you visit. 
Low  
Access your bookmarks, history, clipboard data, physical location, open tabs, extension list. 
Table 9: Chrome extension risk categorization based on permissions 
Extensions that request access to All data on your computer and web sites you visit are highly 
privileged extensions that can do almost anything inside or outside the browser. High risk extensions 
contain NPAPI plugins and do not run in the sandbox. Avoiding installation of high risk extensions, unless 
absolutely necessary, is recommended. More information about extensions and their risks can be found 
in Appendix C. 
While Google categorizes extensions at a particular risk level based on the browser or operating system 
resources the extension accesses, the risk in allowing an extension should also take into consideration 
the operational security needs of the network rather than only relying on Google’s risk categorization. 
For example, Google categorizes extensions that access your physical location, based on geolocation 
information, as a low risk. The operational security needs of one network may categorize geolocation as 
a high risk while another network may categorize geolocation as a medium risk.  
An administrator can check the permissions an extension requires by viewing the extension’s Details 
page on the Chrome Web Store. See Figure 7 for an example of a high risk extension. 
13
Chrome Web Store – Extensions. https://chrome.google.com/webstore/category/extensions 
16 
Figure 7: Example of a high risk extension in the Chrome Web Store 
Extension permissions are also displayed in the Confirm New Extension dialog when a user installs an 
extension as shown in Figure 8. 
Figure 8: Chrome extension installation prompt displaying a permission warning 
If an administrator allows extensions, then blacklisting all extensions by setting the Configure extension 
installation blacklist policy to * and then selectively whitelisting approved extensions is recommended. 
Extensions can be whitelisted by adding the extension ID to the Configure extension installation 
whitelist policy. Table 10 shows some example extensions. It is common for many extensions to be 
categorized as a medium risk when using Google’s risk categorization. 
Extension Name 
Extension ID 
Sandboxed 
Risk 
Google SSL Web Search 
lcncmkcnkcdbbanbjakcencbaoegdjlp 
Yes 
Low 
AdBlock 
gighmmpiobklfepjocnamgkkbiglidom 
Yes 
Medium 
Do Not Track 
ckdcpbflcbeillmamogkpmdhnbeggfja 
Yes 
Medium 
Flash Block 
gofhjkjmkpinhpoiabjplobcaignabnl 
Yes 
Medium 
HTTPS Everywhere 
gcbommkclmclpchllfjekcdonpmejbdp 
Yes 
Medium 
Disconnect 
jeoacafpbcihiomhlakeieifhpjdfeo 
Yes 
Medium 
Ghostery 
mlomiejdfkolichcfleclcbmpeanij 
Yes 
Medium 
ScriptNo 
oiigbmnaadbkfbmpbfijlflahbdbdgdf 
Yes 
Medium 
Screen Capture (by Google) 
cpngackimfmofbokmjmljamhdncknpmg 
No 
High 
Documents you may be interested
Documents you may be interested