Jetpackのセキュリティ性(続報)

Firefox Security Jetpack

Jetpackのセキュリティ性の続き

どうも待っているのは性に合わないようで、バグ登録してみた

Jetpackのセキュリティ性で挙げた、XPCOMが利用可能なことに対する言及し、

  • do not require write access to the file system
  • do not require Places access
Labs/Extensions2/Target Add-ons - MozillaWiki

に違反しているのでは？ という内容だ（少なくともそのつもりで書いた。拙い英語なので分かりにくいかもしれないが。）

対して、プロダクト・リーダーのAza Raskinさん*2から返答があり、

  • 最初は制限をとても強くして開発していたが、当初はJetpackAPI実装する時間がなく、制限が強すぎて生産性(?)が完全に失われてしまった
  • そこで、次から制限をゆるくし、APIが整ってきたら徐々に強くしていくことにした

とのこと（たぶんこんな意のことが書かれている）。

また、

Provides access to only the privileges needed, with security issues always be presented in social-terms, and not technical-terms

Mozilla Labs Jetpack | Exploring new ways to extend and personalize the Web

が現在は正しくないのでは、というツッコミに対して、

  • そうするつもりである。まだできていないが、目標だ

と回答しているみたい。

結論

  • 今現在は、セキュアだと謳うほどセキュアではない。
  • 最終的にはXPCOMは使えなくなると思われる。
    • 誤解されたくないので追記:直接xpconnect*3が使えなくなるというだけで、JetpackのAPI経由からなら間接的に使えるでしょう。

*1:セキュリティ問題として登録したのでユーザ登録しないと見れない

*2:Ubiquityの開発も行っている人

*3:JavaScriptからXPCOMを使うためのフック