Kdyby Docekal cas od casu prehazel ten pisek ... tak by trebas zjistil, ze vsechny pluginy jsou jen souborem scriptu ... zcela otevrenych a pristupnych => kdokoli se muze podivat, co ve skutecnosti delaji.
A jen tak pro doplnění. Co je asi tohle? Součást pluginu pro dělání Screenshotů pro Chrome.
Directory of C:\Users\Daniel\Local Settings\Google\Chrome\User Data\Profile 1\Extensions\alelhddbbhepgpmgidjdcjakblofbmce\3.4.5_0\plugins
25. 08. 2013 14:16 <DIR> .
25. 08. 2013 14:16 <DIR> ..
25. 08. 2013 14:16 358 400 screen_capture.dll
25. 08. 2013 14:16 81 868 screen_capture.so
25. 08. 2013 14:16 <DIR> screen_captures.plugin
25. 08. 2013 14:16 86 000 screen_capture_64.so
3 File(s) 526 268 bytes
O tom ze zrovna Chrome je 'etalon bezpecnosti' asi nikdo soudny nepochybuje :-)
Nicmene v clanku zmineny addon pro Firefox (XPI soubor) neni/nebyl nic jineho nez zazipovane JavaScript soubory, zadne nativni DLL tam nejsou. Takze slo zjistit co presne to dela.
To že zrovna v tomhle případě teoreticky šlo o čistě JS neznamená, že to tak je vždy. A o to tady jde. A je jedno jestli je to Chrome nebo Firefox - do obou lze cpát přeložený kód do kterého není vidět.
Proto se ve Firefoxu rozlisuji na addony/extensions (typicky JS) a pluginy (nativni DLL zavisle na platforme).
Co jsem tim chtel rict, ze dnes popularni argument "kdyz jsou od toho zdrojaky, je to bezpecne, protoze bla bla bla" v praxi selhava a tento pripad je toho prikladem.
To v Chrome taky. Až na to,ž e addon/extension může obsahovat plugin - a pokud se dobře pamatuju, tak ve Firefoxu je tenhle model stejný. Ale tohle na 100% nevím, Firefox jsem opustil už dávno, takže přeci jen víc vidím do Chrome.
Jinak on ani ten JS moc "bezpečný" být nemusí - viděl jsem mraky sraček v JS kde ten podstatný kód by tak zakódovaný, že to nejdřív jeden musel dekódovat a pak teprve začít analyzovat - přece to tam nebudou dávat rovnou.
Musím pana Dočekala podpořit. Běžný uživatel si přece nespustí virtualizaci aby mohl instalátoru dovolit nainstalovat rozšíření (bavím se o jakémkoli browseru) a následně zanalyzoval, že instalátor opravdu jen přidal rozšíření do browseru a toto rozšíření že je prostý skript, který nic škodlivého nedělá. V jakémkoli jiném případě se vrátil k původnímu stavu systému.
Myslím, že někteří už opravdu potřebujete aby ty prázdniny skončily.
Kupodivu se FF tomu cpani celkem dost aktivne brani. A uz docela dlouho si nenecha nainstalovat addon pekne potichu.
A to nemluvim o tom, ze pokud je to dllko v necem jako .net ... tak lze ziskat zdrojak lusknutim prstu.
A to pise clovek, ktery obcas az hnidopissky vytyka jinym jejich nepresnosti!
"... federální soud smetl ze stolu"? Opravdu smetl, nikoli pouze zamítl, pane Dočekale?