「トロイの木馬が含まれるFirefox用アドオン、公式アドオンサイト内で見つかる」記事へのコメント

ザルチェック

[Anonymous Coward]

野良アドオンは危険、”安全なサイト（Mozilla Add-ons）から”としながらも
安全性のチェックがザルだと意味がないですね。

Re:

[jobsa (39063)]

”安全なサイト（Mozilla Add-ons）から”
ってどこに書いてあります？

Mozillaのサイトでも、「作者を信頼しているアドオン以外はインストールしないでください」と注意書きありますよ。
ザルとかじゃなく、そんな安全性を担保した配布サイトではないです。

Re:

[Anonymous Coward]

> Mozillaのサイトでも、「作者を信頼しているアドオン以外はインストールしないでください」と注意書きありますよ。
> ザルとかじゃなく、そんな安全性を担保した配布サイトではないです。

そう言ってしまうと、「Firefoxのアドオンはどれもインストールしないでください」
と言っているようなものですよ。

直接会ったことがあり、私生活も含めてよく知っている人物でもない限り、
その作者を信用するなんてことできないと思いますが。

なにをもって信用すればいいんでしょうか？

Mozillaのサイトの注意書きは、ユーザに「自己責任で」と転嫁しているだけですね。

Re:ザルチェック

[jobsa (39063)]

いやいや、自己責任で、と転嫁してるんじゃなくて、自己責任なんですよ。

何を持って信用するかは、個人で判断するしかないでしょう。
Microsoftなど名の通った会社とかなら大丈夫だと判断する人も多いでしょう。
これは別にfirefox拡張に限らず、ウェブ上でソフトをダウンロードして使う際にも、当然のように気をつけなければならないことです。

上場企業のベクターが配布してるソフトだから大丈夫だろう、っていう人もいるでしょうし、気をつけねばと思う人もいるだろう。
実際、ソフトにウイルスが混入してたこともあるし、そもそもそのソフトが悪意のある行動をしないことも保証してないですよ。

Re:

[Anonymous Coward]

>いやいや、自己責任で、と転嫁してるんじゃなくて、自己責任なんですよ。
そう自己責任。
Firefoxそのものを使うのも自己責任。

ただ、

野良Add-onではなく、厳格な審査(をしているらしい)Mozilla Add-onsでは"何か"を保証しているのではないでしょうか。
今回の場合は作者の意図が故意であったかどうかは別として、不適切なアドオンをMozilla Add-onsで提供した。

以前piro氏がwindowsをフォーマットして再起動させる拡張のデモを行ったことがありました。
また悪意を持った拡張を作ることは簡単だとも言っていました。
悪意になるものを排除できなかった、それが問題だと思っています。

Re:

[Anonymous Coward]

いやいやいや、悪意があるかどうかなんて、年単位で裁判やっても決着がつかなかったりするのに、ネット越しに見抜くなんて神業ですよ。しかも、拡張作者がマルウェアの作者ではない場合は、「悪意」がないんですから、余計に困難です。

実際の拡張レビューはこんな感じです。
https://addons.mozilla.org/en-US/developers/docs/policies/reviews [mozilla.org]

バイナリはソース提出義務があり、黎明期にくらべると遥かに強力な体制でレビューしています。まあ、それだけやってこのザマだとも言えますけど。今回は、別のアンチウィルスソフトを試してみたら2件見つかった、という話なので、ウィルススキャンをやっているのに引っかからなかった場合は、誰が責任を取るべきなんでしょうね。