Firefox の拡張機能更新に中間者攻撃の危険性 - えむもじら

ITmedia エンタープライズ：Firefoxの拡張機能に設計上の欠陥、「Google Toolbar」などで影響という記事（元記事）で、以下のように述べられています。 問題は、ベンダーが提供する主要な拡張機能が、SSLで暗号化された「https://」から始まるサイトから提供されていないこと。このため、中間者攻撃（Man in the Middle攻撃）を受けても、ユーザー側ではアクセス先が正しいサーバなのか、それとも偽のサーバに誘導されているのかどうかを確認することができないという。 注：以下、最初の段落とそれ以降とで主張がずれているように見えますが、書いているうちにだんだんと問題が分ってきたためです。（2008/5/18追記） この記事の言わんとすることは、SSL でない http でアクセスすると Man in the Middle 攻撃を喰らうとやばいぞということですが、それっ

[as365n2]

Fx拡張に限った話ではない、と。

[inugamix]

Mozilla Developer News によれば、Firefox 3 ではこの問題に対する対策を検討しているということです、だそうです。

[Kazabana]

インストール済みの拡張機能がAMO経由で更新されるか確認不可というのは…。コード署名も義務化すべき時期かと。GoogleToolbarがユーザの確認を待たずに自動的に更新するのも…。

[cloverleaf24]

Firefoxのセキュリティ問題