「Tabbrowser Extensionsに深刻なセキュリティホール」記事へのコメント

Firefoxのポリシー

[Anonymous Coward]

要はFirefoxの側が、拡張機能の側に、セキュリティーホールを作れるくらいの自由度を認めているってことですよね。

これって、ある意味、Firefoxのセキュリティーホールとも言えるんじゃないかなあ。

Re:Firefoxのポリシー

[deleted user (9158)]

extensionがどんなものか、って全然知らないのでどなたかに教えていただきたいのですが。

ユーザがextensionをインストールできるwebサイトを追加している場合で、そのwebサイトが
改竄をうけて、改竄者が拡張の新しいバージョンを設置した場合、ユーザは自動更新で改竄されたバージョンをインストールしちゃうんでしょうか。

Firefoxがextension用のサンドボックスを用意できてないなら、その分だけextensionの健全性を信用しないとだめですよね。
私はTBEは使っていませんが、SwitchProxy Toolを一時期update.mozilla.orgではなく開発者のサイトからインストールして使ってたり、/.Jで知ってRadialContextを使ってたりしています。
インストールの許可をあたえたのはユーザ(自分)で、そのユーザの自己責任に違いはありませんが、他ユーザの「便利だよー」って誘惑に打ち勝ってセキュリティを守れるかというと、これは難しいところですよね。