Google Chrome拡張機能を許可しないが、Firefox拡張機能を許可するという客観的な理由はありますか？
最近、私が働いている会社は、Chromeの拡張機能の使用を禁止しています。また、アカウントの同期も許可されません。 Chromeを使用してフロントエンドコードをテストし、拡張機能を使用して生産性を向上させる（JSONビュー、Redux開発ツール）ため、これは事実上すべてのWeb開発者に影響しました。
残念ながら、これは適切なコミュニケーションなしに一晩で変更され、この変更の明確な理由はありません。
ただし、ポータブルバージョンのFirefoxを使用して、必要なすべての拡張機能をインストールできることに気づきました。
現在、私はChrome 62.0およびFirefox 56.0.2（ポータブル）を使用しています。会社は正式に FrontMotion を許可しているため、ポータブルバージョンを使用しています。そのインストール。
この かなり古い投稿 では、Googleの深刻なセキュリティ問題は表示されませんChrome（プライバシーを除く）。
質問：Google Chromeの拡張機能を禁止する客観的な理由はありますが、Firefox拡張機能を許可しますか？
私は質問に答えることはできませんが、これがあなたの問題にいくつかの光を当てることができれば幸いです。
企業のセキュリティルールでは、一部のブラウザ拡張機能の使用を禁止する必要がありますか？
私見答えはYESです。ブラウザー拡張機能は、通常のブラウザーに代わってほとんどすべてのことを実行できます。つまり、ローカルファイアウォールはそれらを検出しません。
ありますか目的 YYY（別のブラウザーまたはブラウザー拡張機能）よりもXXX（ブラウザー拡張機能の任意のブラウザーをここに置く）を信頼する理由。
ITセキュリティの信頼は、コードの監査と評判の2つの主要な要素に基づいています。前者は客観的ですが、後者はそうではありませんが、すべてを検討するのに十分な時間も知識もないため、主に後者を使用していることを認めなければなりません。チャネルを保護するためにHTTPSに依存している場合、データを受信したら、証明書の所有者を信頼してデータに悪影響を及ぼすことがないようにし、証明書の署名者を信頼します。要するに、拡張機能が他の拡張機能よりも評判が良いかどうかを言うことは可能かもしれませんが、それは拡張機能によってのみ可能であり、ブラウザによってグローバルに行うことはできません。
ユースケースでのポータブルFirefoxの使用は許容できるソリューションですか？
それでも私の意見ですが、セキュリティチームからのルールを無視できる階層的な場所にいない限り、ここでは大きなNOと言いたいと思います。私のアドバイスは、最初に一般的に使用する拡張機能のリストと、可能な置換機能のリストを作成することです。次に、客観的なセキュリティとその評判（まだセキュリティの観点から）に関する要素をできるだけ多く収集する必要があります。次に、Chrome=拡張機能の最近の禁止が生産性の実質的な低下につながることをマネージャーに伝え、可能な代替品（Firefox for Chrome）。次に、受け入れ可能なリストに同意するか、グローバルセキュリティとグローバル生産性の両方に責任を負う担当者がグローバルな権限を持つ人は、一部のルールが守られていないことを知る方法がないため、企業のルールを黙って無視することは常に悪い決定です。
そして、上司がセキュリティが生産性やその逆よりも重要であると選択した場合、彼はその選択に対する権限を持っていますが、あなたはそうではないかもしれません。
私は Andersが正しい 、そしてChrome拡張機能の禁止を設定した人は、Firefoxについて考えていませんでした。Firefoxを使用して移動していることに気付いたら禁止、彼らはおそらくそれも禁止するでしょう（またはとにかくしようとします）。
FWIWはい、ブラウザの拡張機能はセキュリティの観点から問題を引き起こす可能性があり、状況によってはそれらを禁止または大幅に制限する理由がわかります。とはいえ、別のブラウザーを含めて独自のソフトウェアをインストールできることは、同じ理由で同じように問題があるため、拡張機能を禁止することを許可することには一貫性がないように見えます。
いずれにせよ、ここでの本当の問題はコミュニケーションの欠如であるようです。延長禁止が既存の公式ポリシーに基づいていた場合、すべての従業員はポリシーを認識していたはずです。そうでない場合、そのようなポリシーは作成され、適切に発表されているはずです。
とはいえ、Chrome/Firefox拡張機能（ [〜＃〜] soup [〜＃〜] ）の作成者として、または少なくとも以前は使用されていました、Chrome Web StoreとFirefox Add-の間のセキュリティレビュープロセスの実際の違い基本的に、違いは、Firefoxアドオンが 必須の手動セキュリティレビュープロセス を使用していたことですが、Chrome Web保存のみ 手動レビュー用の拡張機能にフラグを付ける 自動ヒューリスティックチェックに失敗した場合。
基本的に、私の拡張機能をFirefoxアドオンとChrome Web Storeに送信することでの個人的な経験は、多かれ少なかれ次のとおりです。
Firefoxアドオン：開発者アカウントにサインアップし、拡張機能を送信しました。 2週間後、私の拡張機能（確かに、その時点で既にかなり大きくなっている）が完全に確認および承認されたという電子メールを受け取りました。レビュー担当者は、（ 2,000行未満 かなり高密度のJavaScriptの中で）重要ではないHTMLサニタイズのバグを発見し、XSSの脆弱性を引き起こした可能性があるため、詳細な目でコードを明確に調べました。彼らのレビューでも述べたように、入力は信頼できるソースからのものではありませんでした。その後の拡張機能の更新は、通常、最大で数日以内に承認されます。
Chromeウェブストア：拡張機能を送信できるようにするには、 $ 5の登録料を支払う する必要がありました。私の銀行は明らかにその請求を詐欺の可能性があるとしてフラグを立て、それを通過することを拒否していたので、これは実際にはしばらく時間がかかりました。結局私は自分の銀行に電話して手動で請求を許可することでそれを整理することができました。登録プロセスを完了した後、私は延長を提出し、それは（IIRC）ほぼ即座に公開されました、明らかに自動チェックに合格しました。
もちろん、Googleの自動チェックがチェックしているものを正確に把握していないと、バグやマルウェアの検出がどれほど優れているかはわかりません。しかし、Mozillaのレビュアーがキャッチした自分の拡張機能で、ほとんどXSSのバグを見つけられなかったことは知っています。
より一般的には、私の印象では、Googleは拡張機能の作成者を追跡可能かつ説明可能にすることに重点を置いています（登録料を介して、少なくとも私のクレジットカードの詳細を知っていることを意味しますが、悪意のある俳優がそれを回避する方法を見つけることができると確信しています） ）および意図的なマルウェアの検出について。そして 彼らはいつでもそれをキャッチするとは限らないようです。 一方、以前のFirefoxアドオンのレビュープロセスは、マルウェアを排除しただけでなく、実際に潜在的なセキュリティホールを見つけようとしました。よく意図された拡張。また、既存の拡張機能の更新を手動で確認することにより、Firefoxアドオンシステムは、開発者アカウントのハイジャック攻撃を阻止します 最近、いくつかの正当なChrome拡張機能を侵害しています。
残念ながら、Makyenが以下のコメントで指摘しているように、この違いは存在しません。数か月前の時点で、Firefoxアドオンは 半自動拡張レビュープロセスに移動 と同じですChromeウェブストアが使用しています。
リンクされたブログの投稿では、「新しいWebExtensions APIがユーザーにセキュリティや安定性の問題を引き起こす可能性が低い」という変更が動機となっています。残念ながら、その推論は私を本当に納得させるものではありません。WebExtensions（SOUPのような純粋なコンテンツスクリプト拡張機能でさえ）は、悪意のある俳優の手に多大な損害を与える可能性があります。
基本的にコンテンツスクリプトAPIは、拡張機能にアクセスするすべてのWebページと入力するすべてのパスワードまたはクレジットカード番号への無料アクセスを基本的に提供します。拡張機能をインストールすると、コンテンツスクリプトを実行する可能性があるサイトについて通知されます。オン—しかし、非常に多くの拡張機能（広告ブロッカー、プライバシー拡張機能などを含む）は、すべてのサイトにスクリプトを挿入する機能をすでに必要としているため、たとえそれが何を意味するかを理解している場合でも、ほとんどのユーザーはその警告に注意を払うことはありません。
上記のリンクされた発表からわずか1週間後、 ビットコインマイナーが埋め込まれた2つの拡張機能 がすでにFirefoxアドオンに見つかりました。つまり、拡張機能に関して言えば、Firefoxの以前のセキュリティ上の利点はChromeは今ではノスタルジアです。：
はい。
正当な理由が考えられます。
- Chrome拡張機能はalwaysが自動的に更新されます。
- Firefox拡張機能は自動更新する必要はありません。
これは、Chrome「すべてのウェブサイトの情報を読み取る」権限を持つ拡張機能の開発者のアカウントが侵害された場合、泥棒が世界中の悪意のあるコードを非常に迅速に押し出すことができることを意味します1-そして、電子メールから銀行口座まで、あらゆる種類の口座が危険にさらされます。ユーザーがゆっくりと予測できないペースで更新できるようにすると、（1）更新が完了するまでに悪意のあるコードが発見されて削除される可能性が高くなり、（2）攻撃自体が行われる可能性が高くなります。 （1）の警告のため、試行される可能性は低くなります。
今、これがあなたの会社の理由かどうかはわかりません。私の経験では、人々（そしてGoogleでさえ）はこの脅威を忘れ、そして/または敷居の下で（そして私の意見では、危険に誤ってそうですが）開発者の妥協の脅威をブラッシングしているようです。しかし、これは正当な懸念事項であり、危険なマルウェアが強制的な自動更新によって世界中に広がるのは時間の問題だと思います。
1これについてあなたがどう考えているかについて、あまりにも素朴であってはいけません。 「自動テストを実行する」、「更新をずらす」などと考えている場合は、悪意のあるコードが悪意のあるアクティビティ、特にネットワークのアクティビティの兆候をすぐに示す必要がないことを理解してください。更新がプッシュされている間、休止状態になり、後でアクティブ化するように設定できます。同時にグローバルにアクティブ化された後、tonのユーザーとWebサイトから資格情報を送信できます捕獲されて無効になる前に母船に戻ります。
おそらくあなたの会社には、Google Chrome extensions。
私に起こったので、私はそれを割引しません。
Firefox拡張機能については知りませんが、Chrome拡張機能でブラウザの出力を操作していました。マルウェアを見つけました。自分で調査し、Googleに報告しましたが、何も起こりませんでした。表面は、同じドメインの各タブで個別のセッションを行うことができる非常に便利なプラグインでした。
したがって、私の個人的な経験では、Googleはアプリ/拡張機能の監視/モデレートが苦手です。 Chrome=にあるすべてのプラグインは、多くの危険なことを可能にします。
Google Chrome拡張機能を許可しないが、Firefox拡張機能を許可するという客観的な理由はありますか？
客観的に言えば、Mozillaにはアドオンのデプロイ用に chrome よりも 頑丈なプロセス があります。
客観的に、Chrome拡張機能 最近違反した （ただし、ソーシャルエンジニアリングはプラットフォームに依存しません）。
客観的に、Chromeには方法がある 使用率が高い 共有。人気のあるOSをターゲットにしたいですか？Windowsをターゲットにします。人気のあるブラウザをターゲットにしたいですか？Chromeをターゲットにします
おそらく明示的な許可なしにこれらのアドオンを使い続けるべきではありませんが、Chrome拡張機能は、ある意味で、Mozillaアドオンよりも安全性が低いと思います。
セキュリティチームが利用できるツールに関連している可能性があります。チームは、現在のところ、ブラウザの1つに対する拡張機能を管理および検査するためのツールにアクセスできる場合があります。
私はそれがあなたの状況である可能性が高いとは思いませんが、ポリシーが他の明白な理由で特定のブラウザを差別しているように見えるポリシーの正当な理由です。特にChromeには Windowsドメイン管理者向けの管理パッケージ があり、管理者がいくつかのセキュリティオプションを表示および設定できることはわかっていますが、セキュリティチームがこれらのツールをセットアップします。 Firefoxにも同様の機能があるのではないかと思いますが、現時点ではMozillaのツールについては詳しくありません。