Nach Angaben von Google soll die neue Funktion genau diesen Missbrauch von Richtlinieninstallationen eindämmen. Anunoy Ghosh von Google schrieb, dass in „Umgebungen mit geringem Vertrauen“, also auf nicht verwalteten Verbrauchergeräten, erzwungene Installationen und Empfehlungen über Unternehmensrichtlinien missbraucht würden, um Hijacker für Suchmaschinen oder die Seite für neue Tabs festzusetzen. Die betreffende Funktionsmarkierung mit dem Namen kBlockDseNtpOverrideExtensionsOnUnmanagedDevices soll deshalb standardmäßig aktiviert werden und die Schutzkette auf nicht verwalteten Windows- und macOS-Systemen einschalten.
Bislang erlaubt Chrome Organisationen, über Unternehmensrichtlinien Erweiterungen zwangsweise zu installieren und Browsereinstellungen zentral zu steuern. In sauber verwalteten Arbeitsumgebungen, die an eine Domäne oder ein Mobile-Device-Management-System angebunden sind, ist das laut Bericht grundsätzlich kein Problem. Auf gewöhnlichen Verbraucher-PCs werde dieselbe Funktion aber von Schadsoftware ausgenutzt.
Konkret kann ein schädliches Programm lokale Chrome-Richtlinienschlüssel hinzufügen und so eine Erweiterung zwangsweise installieren, die die New-Tab-Seite ersetzt, die Standardsuchmaschine ändert oder Suchanfragen umleitet. In solchen Fällen kann Chrome annehmen, die Erweiterung sei von einem Administrator installiert worden. Das erschwert es Nutzern, die Erweiterung zu deaktivieren oder zu entfernen. Teilweise zeigt Chrome dann auch den irreführenden Hinweis „Von Ihrer Organisation verwaltet“ an, obwohl der Rechner tatsächlich keiner Organisation gehört und von keiner verwaltet wird.
Google bezeichnet solche Verbraucher-PCs als Umgebungen mit geringem Vertrauen, weil Chrome lokal gespeicherte Richtlinien ohne Bestätigung durch eine vertrauenswürdige Instanz wie eine Domäne oder einen MDM-Dienst ausliest. Der geplante Schutz würde daher Installationsversuche blockieren, wenn richtliniengesteuerte Erweiterungen die New-Tab-Seite oder die Standardsuchmaschine überschreiben sollen.
Wird ein solcher Versuch erkannt, bricht Chrome die Installation ab und speichert die Erweiterungs-ID in einer Liste blockierter Erweiterungen. Außerdem soll der Browser bei späteren Richtlinienprüfungen nicht erneut versuchen, dieselbe blockierte Erweiterung herunterzuladen. Damit würden wiederholte Installationsversuche und zusätzliche Netzwerkaktivität vermieden.
Auch für bereits manuell installierte Erweiterungen ändert sich das Verhalten. Eine vom Nutzer selbst installierte Erweiterung soll nicht mehr in eine gesperrte, richtliniengesteuerte Erweiterung umgewandelt werden. Sie bleibt unter Kontrolle des Nutzers und kann weiterhin deaktiviert oder entfernt werden.
Verliert ein zuvor verwaltetes Gerät seinen vertrauenswürdigen Verwaltungsstatus, während lokale Richtlinienschlüssel weiter vorhanden sind, soll Chrome betroffene Erweiterungen, die die New-Tab-Seite oder die Suchmaschine überschreiben, automatisch deinstallieren. Zusätzlich baut Google Messwerte ein, um zu erfassen, wie häufig solche richtlinienbasierten Hijacker auftreten und wie oft Chrome sie blockiert.
Für legitime Administratoren ist laut Google eine Ausnahmerichtlinie vorgesehen, mit der sich der Schutz abschalten lässt, falls eine erforderliche Unternehmens-Erweiterung die New-Tab-Seite oder die Suchmaschine überschreibt. Die Änderungen im Chromium-Gerrit befinden sich laut BleepingComputer aber noch in Prüfung. In der stabilen Chrome-Version ist die Funktion daher noch nicht verfügbar.