「本当は怖いChrome拡張」がなぜ本当にやばいのか。野良よりストアに気をつけよう

本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録といった記事が話題になってました。

ではなぜChrome拡張が本当にやばいのか、上の記事では野良(ストアなしで自分でDLして取り込む)の拡張について説明されているようです。

この記事のブコメでこういったブコメがありました。

詳しくないんでよくわかんないんですけどこれって野良アプリ（拡張）ってことでいいのかな？公式のサイトにあるやつなら事前にチェックが入っていて一応は安全って認識でいいの？よくわからん。

その答えは

ストアの拡張もやばい、というかそっちのほうがやばい

「ストアにあるやつならGoogleが審査してるから安全じゃねーの？」という思いがあると思います。

Chromeのストアでは一番最初に、おそらくいたづらで登録されないようにという措置かもしれませんが、初回のアプリ登録だけ5ドル支払わないとデベロッパー登録できません。

そして拡張を申請すると審査があります。

ただし初回だけ。

そうです。審査はあるんです。

私はChrome拡張をひとつストアに登録してあるからわかるのですが、おそらくアプリ登録時のこの時だけです。

一度公開されたら、差し替えの時に審査されません。

100%とはいいませんが、きっと審査されてないと思います。登録から公開までは審査があって、実際に公開されるまで2,3日かかります。

しかし拡張をアップデートするなどして差し替えをすると、5分〜1時間以内に反映されます。

これ審査されてない。

つまり、一度正常な動作の拡張を登録した後は、不正な動作のするものに取替えが可能だということです。

なぜ野良よりストアの拡張のほうが危険なのか

野良の拡張であれば、一度ローカルに保存し、そこでソースが確認できます。

ある程度知識があれば不穏なコードに気づくはずです。仮に読めなくても不要に難読化してある怪しいコードであれば、避けることもできます。
また、野良インストールしたものは自動でアップデートということはありません。

しかしストアにある拡張の場合、一度インストールするまでローカルでソースが確認できません。そしてこいつらは拡張にアップデートがあれば自動アップデートされます。

つまり野良よりストアの拡張のほうが危険性が高いと思います。

拡張が実行されるのはWebページを読み込んだ時です。念に念を押す場合は、一度インストールした後、Webページにアクセスしたり既に開いてるタブを更新することなく、インストールフォルダにもぐってソースコードを確認すべきかもしれません。

私の作った拡張は安全だよ

ということで、Chrome拡張の本当の危険性について解説いたしました。

ところで私は「Chrome ウェブストア - 草刈り機」という拡張をストアで公開しています。

概要は「草を大量に生やした目障りなリンクやニコ生ニュースを非表示にするChromeアドオン「草刈り機」を公開しました。」で書いています。

ぜひお試しください。

怪しくないよ！

追記

このようなブコメを発見

拡張をfirefox,chrome,operaで公開してる。updateでもfirefox、operaは人がチェックしているので公開に数日かかる。厳しいなと思ったのはoperaだったので、blinkになったoperaにしてる。/chromeはカードを登録。firefox,operaはメアドのみ

結論：Opera最強。Opera使いましょう。

ちなみにOperaでもエクステンションを公開してます。(旧Operaですが。Opera12)

拙作、旧Opera拡張はこちら => Operaエクステンション処女作できました。 - 3DCGおよびプログラミング學習帳

押さえておきたい書籍

GOOGLEの全貌 そのサービス戦略と技術

グーグルクローム Google Chrome完全活用術 スマホ⇔PCで連携・共有できる爆速Webブラウザー

Google Chrome OS ~最新技術と戦略を完全ガイド~