本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録

otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr

[junkcollector]

普通のWindowsフリーソフトでも、普通のAndroidアプリでも、Linuxにrpmで何かをインストールしてもそれなりに危険なわけですが、何故Chrome拡張だけそんなに危険性を強調するのか気になる。

[magi00]

アップデートで後から差し替えられたらまず分からない。

[demodemodatte]

クロムの拡張が怖いというよりかはソースも信頼も何もわからない拡張いれること事態が問題って話では？　拡張を提供してる側を監視する体制が無い限りどこも一緒だと思うけど。

[dobonkai]

詳しくないんでよくわかんないんですけどこれって野良アプリ（拡張）ってことでいいのかな？公式のサイトにあるやつなら事前にチェックが入っていて一応は安全って認識でいいの？よくわからん。

[NyaRuRu]

Chromeの場合，グループポリシーで色々設定できたりします． https://support.google.com/chrome/a/answer/187202?hl=ja たとえば許可された拡張以外全面禁止とかもできます． http://f.hatena.ne.jp/NyaRuRu/20140302164852

[kuippa]

だからマニフェストを書かせるようになったんではないかな。本当に必要なエクステはみんな自作すればいいのさ。

[makou]

拡張の自動アップデート時ってどうなんだろう。

[vvakame]

“最近はフロントエンドのTypeScriptを書くお仕事をしています” "最近はフロントエンドのTypeScriptを書くお仕事をしています" "最近はフロントエンドのTypeScriptを書くお仕事をしています"

[kiichi0114]

一度ひどい目にあったことがあります。http://kcszk.com/blog/archives/3490

[nakakzs]

最近Googleが、ストア通さない拡張機能を排除したけど、やっぱり危険性に気づいているのではないかと。かといってストア通しているからといって安心できないのは、昨今のニュース通り。

[kuuka2h]

任意のサイトで起動する拡張ってだけでPermissionがこういうのできちゃうのと同じになっちゃう

[rch850]

コメントに書いてあるけど manifest ちゃんと書けって話。お行儀悪い常駐型もいなくなってほしいね（Event Pages 使おう）

[houyhnhm]

野良拡張はそりゃ危険ですよね。

[i196]

危ないのは分かったが、さてどうするか全くノーアイデアだわ

[youg0717]

個人的に作っている奴<all_urls> にしてた。。悪いことはしてないけど、警戒されてしまうなぁ / 本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録

[kazuyadesse]

やばやば( ´ ▽ ` )ﾉ

[accent_32]

Chromeちゃんはバックグラウンドで更新がかかっていく事（知らない間に悪意あるコードを入れられ、また消せる）、しかもアドオンの買収が盛んなのが困りもの。信用出来る作者からいつの間にかって事がおこる。

[machupicchubeta]

chrome extension

[jurgen]

何でもできちゃう。

[open_your_eyes]

レビューちゃんと見とく 開発者ページがあれば見とく インストール時に要求される権限を確認するさらに可能なら ソースコード見とく。　~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 　の　permissions　注意

[blackcatdelta]

言い換えれば万能ともとれるね。作り方を間違えなければ・・・

[piayo]

permission権限確認時に「すべてのサイトにアクセス」ってのは注意してる

[Nyarineko]

拡張は悪（ぇ

[deztecjp]

まあ、強いていえば、大勢が使っている拡張機能だけ入れるのがいいんじゃないかと思う。万一のとき責任を問われにくいし、「誰かが問題に気付く」可能性も高い。

[ooiooiooi0313]

本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言ってお

[kamei_rio]

一般人が作成した拡張機能を買い取って云々、って話もあったな

[teramako]

危険性という意味ではフリーソフトだろうが何だろうが危険なわけだが、○○ストアというものでマネタイズの仕組が整ってきてしまったためにヤバい奴らが増えた印象はある。

[kisato_mii]

確かに。。最近はお気に入り拡張だけで固まってるけど新しいのを使うときは慎重にしたいなぁ

[satmat]

Manifestファイルで指定したドメインへのアクセスをユーザが許可しないと、同一起源制約に引っかからなかったっけ？野良拡張だと制限なしなのかな。

[manaten]

海外で野良タクシーに乗るとの大差ないのでは

[tyage]

そうですね

[y-kawaz]

自動更新で必要なパーミッション変わったら再確認出て無効化されるよね。

[Pasta-K]

確かにcontentScriptを使う拡張作れば、さり気なく情報抜いたり出来るなぁって大学の学生ポータルの背景を変える拡張作った時に一瞬思った / id:dobonkai ストアに載せても特にその辺のレビューないので危険なの作れそうです

[Falky]

Extention Defender拡張は善意のユーザから危険な拡張だと申告があったものをDB化して照合してるだけで、動作をスキャンしているわけではない。マイナーな拡張やアップデートでevil化したばかりの拡張は素通りするので注意。

[masa-wo]

使うときもセキュリティ的に留意。

[akimaruworks]

今のところよっぽどじゃなければ拡張なんてそんなに入れないけど、これアップデートの時に乗せられたらどうしようもないな…

[sekt2o]

適当に使ってるから気をつけよう

[michael-unltd]

拡張のパワー

[solidstatesociety]

とはいっても、みんながすぐ行動できるとは限らないので、Extention Defenderで Scanとかやってみるといいお。 https://www.extensiondefender.com/