「Webブラウザ用プラグインAPIのオープンな規格、開発開始」記事へのコメント

老技術者の繰言(-1:オフトピック)

[Anonymous Coward]

えぇ？ なんでぇ、ActiveX、ActiveXってなぁ。ブラウザに使ってるのは「ActiveX コントロール」だろう？ 今の若いやつぁ、何でもかんでも略せばいいと思ってからに、マッタク。あぁ？ Excelはコントロールじゃねぇ？ じゃぁ、「ActiveX EXE」つやいいだろうが。実際どうやってるのかはおらぁよくしらんがな。

もとをただせば、OLEがはじまりで、その後、COMだのActiveXだの名前を変えつつ、中身は何にも変わってないのが今のActiveXっつー仕掛けだろう。3.1の頃にもあったくらいだし、セキュリティなんてなくて当然。それをブラ

同じ土俵に上がった気もする

[Lizy (19775)]

OSの機構の延長でActiveXコントロールを使えるようにしたブラウザと、プラグイン用APIを実装したブラウザ。なにがどうやったっておんなじ土俵に上がるわけねぇんだよ。技術や利便性の優劣だけじゃない。設計思想があまりに違う。

今回のこのAPIというのは、単にブラウザ～プラグイン間における共通インタフェース（プラグインのメソッド・プロパティアクセスや、イベントハンドリング）を定めようとしているんですよねぇ。

このAPI仕様に沿って作成されるプラグインという

Re:同じ土俵に上がった気もする

[ruto (17678)]

ActiveXの危険性と呼ばれているもののほとんどはActiveXではなくそれを使うブラウザの危険性なのではないでしょうか。
Webから勝手にダウンロードしてインストールしたりとか。

ブラウザのプラグインはJavaアプレットと違ってそんなに沢山のプログラムをダウンロードして実行するわけではないので別にサンドボックスに閉じ込めなくてもいいと思います。

Re:同じ土俵に上がった気もする

[miri (12057)]

ブラウザの問題だというのは賛成です。危険なプラグインをロードすれば危険なのは、ほとんどのブラウザで同じだと思います。

＃ActiveXコントロール特有の問題が存在しないとも思えませんが。

しかし、どれが安全なプラグインなのかを見分けることは初心者には難しいことです。署名の確認はプラグインの開発元の証明書で行われ、スパイウェアの混入するようなプラグインの開発元にも、「信頼された証明機関」とされる機関からコード署名可能な証明書が発行されます。なぜなら、その証明書はプラグインではなくその開発元を証明しているに過ぎないからです。

で、そういうことを解決するには、Javaや.NETやFlashなどのサンドボックスを利用して機能制限のあるプラグインとするか、ブラウザやOSの開発元からプラグインの特定のバージョンへの信頼の派生を自動的にもっときめ細かに（配布元を信頼するのではなく独自に）確認する方法を確立しないといけないと思われます。

プラグインのバージョン毎に証明書を準備することは有名なプラグインなら可能だと思いますし、信頼度に段階をもたせて、安全なプラグインなら自動的なダウンロードを可能にする、などのことが可能な状態にならないと、信頼性警告ダイアログの本来の意味は発揮される事はないと思います。

つまり、初心者には一元的な信頼性確認元も必要だということです。
プラグインシステムの統一を図るなら、その辺まで踏み込んでほしいと思います。