@zundan @mmasuda セキュリティチェックを嬉々としてやるような我々は特殊だと思っています。

面接で生まれて初めて脆弱性診断をしたら「面白そうにやっていたので採用した」と後日面接官から直接言われた経験があるのですが、そのときは「セキュリティチェックを面白がるって特殊なのか」と思ったものでした。

@h12o @mmasuda 自分で診断できるのうらやましい！僕はできないので拡張なしで生きております…。

@zundan @mmasuda いやさすがにそうは言ってもすべてがすべて診断できるわけもなく……でもときどきIPAに脆弱性を投げつけたりはしておりますが😅

@zundan @h12o
外形的なチェックしかしてないですね。

・製造元の身元ははっきりしているか
・要求する権限は過大ではないか
・きちんとリリースが継続的に行われているか

まぁこんな感じ。ザルですね。

@mmasuda @zundan 実際は「ザル」なチェックしかできないと思いますし、「ザル」でも水切りの役にはたつわけで、やらないよりはやった方がいいなと。そもそもザルすら使っていない人はとても多いのですし。

@h12o @zundan
大きな話になると、昨今話題の「サプライチェーンリスク」なんですけど、基本的には外形的なざるチェックが基本にならざるを得ないよなぁというのが昨今の悩みです。
重要取引先ならチェックを重点的に入れられる・入れるべき・コストを掛けられるけど、そういうところばかりではないし。

@mmasuda @h12o 最近のブラウザ拡張は与える権限を制御できるんですね！どれか試してみようかな…（老害なので情報が古い

@zundan @mmasuda
https://support.google.com/chrome_webstore/answer/186213?hl=ja

@h12o @mmasuda ありがとうございます！コビーとペーストの内容が危険度低ということは、パスワードはコピペしないものなのかあ、とか、アクセストークンが含まれるかもしれない、ウェブサイトでユーザーが閲覧したページ上のデータが見える「特定の」ウェブサイトはどのウェブサイトなのかとか、どうして危険度高じゃないのか、とか、酔っ払いの老害には難しすぎました…ﾄﾎﾎ

@zundan @h12o

結局のところリスク(与える権限)とベネフィット(機能の利便性)におうじて個々人で判断するしかないというやつ。

そしてこういうあいまいな言い方すると普通の人には「ｾﾞﾝｾﾞﾝﾜｶﾗﾅｲ！」とキレられるアレ。

@zundan @h12o

例えばこれを見てインストール許可を判断できるのかというのはいつも思っているところ。

@mmasuda @h12o 仕事に使うやつは会社がインストールしてって言ってくるので会社が監査してくれてると思って仕事で使うブラウザにつっこんでおりますw