「Tabbrowser Extensionsに深刻なセキュリティホール」記事へのコメント

Firefoxのポリシー

[Anonymous Coward]

要はFirefoxの側が、拡張機能の側に、セキュリティーホールを作れるくらいの自由度を認めているってことですよね。

これって、ある意味、Firefoxのセキュリティーホールとも言えるんじゃないかなあ。

Re:Firefoxのポリシー

[Sakura Avalon (12557)]

そうには違いないのですが、ExtensionならばFixを待たずとも外すだけで当面の危機は去るというメリットがありますね。セキュリティとは別になりますが、いろんなExtension試していたらFirefox自体が立ち上がらなくなったのでセーフモードで起動して一部のExtensionを削除したところしっかり元に戻りました。起動しなくなるのは困りものですが再インストールまでしなくても済むのはかなり助かります。

＃IEのActiveXコントロールは個別にそして明示的に削除する方法ありましたっけか？もちろんRegEditいじって不能にするとかはできるでしょうけど。

Re:Firefoxのポリシー

[kei100 (5854)]

＞＃IEのActiveXコントロールは個別にそして明示的に削除する方法ありましたっけか？もちろんRegEditいじって不能にするとかはできるでしょうけど。

ツール＞インターネットオプション＞設定＞オブジェクトの表示

でも、セットアップのランチャが残ってるだけで本体は別とか、
アプリケーションの追加と削除にあったりするので確実とは限らないです。

# まぁ、Firefoxでも同じ事ですが

Re:Firefoxのポリシー

[Anonymous Coward]

>＃IEのActiveXコントロールは個別にそして明示的に削除する方法ありましたっけか？

Win XP SP2なら個別に有効・無効を切り替えることができますよ。
＃削除はそこではできないようですが。

IEの[ツール]-[アドオン]で開くことのできるアドオンの管理
ダイアログでActiveXやブラウザ拡張などの有効、無効を切り
替えることができます。

Re:Firefoxのポリシー

[Anonymous Coward]

> ExtensionならばFixを待たずとも外すだけで当面の危機は去るというメリットがありますね。

外れたフリをしてしっかり活動し続けるExtensionが書けたりはしないのでしょうか。

Re:Firefoxのポリシー

[greentea (17971)]

拡張機能ダイアログを乗っ取るExtensionを作れば可能でしょう。
でもセーフモードから起動orプロファイルからExtension強制削除でどうにかなるかと。

こういうのが作れること自体がFirefoxのセキュリティホールって意見もあったけど、
ある程度はまったくその通りだと思う。

レジストリやプロファイル外のファイルの編集は認めないor尋ねるようにしないと
(今はIEの方が普及しているのでスパイウェアも0に近いかもしれないけれどFirefoxが普及したら)
ActiveXと同じ状況になるのは明らか。

--
1を聞いて0を知れ!

Re:Firefoxのポリシー

[Anonymous Coward]

>こういうのが作れること自体がFirefoxのセキュリティホールって意見もあったけど、
>ある程度はまったくその通りだと思う。
まだ1.0が出たばかりだし、それはこれから改良されるのに期待しましょう。
きっとVer 3.1よりは早いと思いますよ．

Re:Firefoxのポリシー

[greentea (17971)]

そういう制限はできるだけ早いうちにしておかないと、
某OSのSP2みたいに、○○が動かないとか、警告がうっとうしいとか、そんな状況になるのでは？

一切セキュリティホール無しなんてのはありえないと思いますが、
安心してアップデートできるようにしてもらいたいです。

--
1を聞いて0を知れ!

Re:Firefoxのポリシー

[deleted user (9158)]

extensionがどんなものか、って全然知らないのでどなたかに教えていただきたいのですが。

ユーザがextensionをインストールできるwebサイトを追加している場合で、そのwebサイトが
改竄をうけて、改竄者が拡張の新しいバージョンを設置した場合、ユーザは自動更新で改竄されたバージョンをインストールしちゃうんでしょうか。

Firefoxがextension用のサンドボックスを用意できてないなら、その分だけextensionの健全性を信用しないとだめですよね。
私はTBEは使っていませんが、SwitchProxy Toolを一時期update.mozilla.orgではなく開発者のサイトからインストールして使ってたり、/.Jで知ってRadialContextを使ってたりしています。
インストールの許可をあたえたのはユーザ(自分)で、そのユーザの自己責任に違いはありませんが、他ユーザの「便利だよー」って誘惑に打ち勝ってセキュリティを守れるかというと、これは難しいところですよね。

Re:Firefoxのポリシー

[Anonymous Coward]

> これって、ある意味、Firefoxのセキュリティーホールとも言えるんじゃないかなあ。

セキュリティホールのあるソフトウェアが作成・実行出来る OS に、セキュリティーホールがあるとは言えないでしょう。
ましてやそれが堂々巡りしてハードウェア、さらにはインターネット自体の欠陥であると主張できますか?

拡張のセキュリティホールが、Firefox のセキュリティホールにつながるわけではありません。
この場合 Firefox と拡張 (タブブラウザ拡張) のセキュリティホールの関係性は切り離すべきです。

Firefox に何らかの対策機構 (たとえば拡張ごとの IP フィルタや、ファイルの読み書き制御とか?) が設けられるのも、面白いかもしれません。だけど重くなるんじゃ・・・。

Re:Firefoxのポリシー

[Anonymous Coward]

ActiveXコントロールと同じだってことですね。

ActiveXコントロールは、署名ありが当然だったけど、
Mozilla extentionは、署名の仕組みは歩けど、誰も署名してない
っぽくないですか？

Firefox=セキュア、Firefox+extension=?

[Anonymous Coward]

セキュリティのことを考えて IE から Firefox に乗り換えるっていう人も多いだろうけど、
そういう人は、署名なしのextensionなんて絶対にインストールしないんでしょうね。

署名があったからといって悪意のextensionではないという証拠にはならないかもしれないけど。