「ユーザーのログイン情報を盗む Google Chrome エクステンションのコード」記事へのコメント

ユーザのログイン情報を盗むInternet Explorerアドオンのコード

[Anonymous Coward]

本家 /. 記事によると、ユーザーのログイン情報を盗む Internet Explorer 向けのエクステンションのコードが公開されたとのこと (作成者のブログ記事) 。

このエクステンションは IE のセキュリティ上の問題を実証するために開発されたとのことで、Web サービスへのログインの際に使われるフォームに入力された ID やパスワードを盗み、Ajax を使って特定のサイトに送信するというものだそうだ。ブログ上でコードの解説も行われている。

作成者である Foo Bar 氏が記事で補足しているが、このエクステンションは Internet Explorer のリポジトリ

Re:

[Anonymous Coward]

コピペ厨乙。
だがこれの問題ってIEじゃなくてChromeの脇の甘さの問題に尽きると思うんだがね。ためしに今のIEで実装してみるといいよ。

Re:ユーザのログイン情報を盗むInternet Explorerアドオンのコード

[Anonymous Coward]

ActiveXとか拡張ツールバー同じことが言える。
拡張機能よりは入れるのが手間だし警戒もするけれど、悪意があるソフトに引っかかった場合のリスクは段違いに大きい。
Chromeのアドオンの場合は「履歴のみアクセス」「ページに干渉する」といった機能別に警告が出るので、最悪でもそこまでの被害で済む。
IE系向けの場合「(ActiveX含む)ネイティブな実行ファイルを実行してインストールしてね☆」が平気でまかり通るから、いきなりPCの全権限を強奪される。

「入れるのが手間だし警戒もする」ってのは確かにソレナリに強固だけれど、警告を理解してアドオン入れれる人にすればIEの方が危険。

Chromeの脇が甘いってわけじゃない。
コレを回避したかったら、Appleみたくストアをガチガチに管理するくらいしか手は無いよ。
でも、それはGoogleの方針に一致しないから、警告を山ほど出すことでユーザにその管理権限を委ねている。
この問題は、委ねられた管理権限を理解せず警告を無視してアドオンを入れてしまうという、ユーザの問題。
甘いと言えるのは、啓蒙活動が少なすぎるんじゃないかってくらいかな。

# それはそれとしてバグの量的には、Chromeの脇はかなり甘いと思う。