今年もChrome開発者の集まりChrome Dev Summit 2019 (CDS) がサンフランシスコで開催されました。 今回、私が Chrome Customer Advisory Board (CAB) に選出していただいたこともあり、CDSに初めて参加しました。 これは、CDS終了後のCAB meetingで頂いたChrome Dinosaurフィギュアです。ちなみにゲームはできません。 タイトルの「なぜChromeはURLを殺そうとするのか？」は、2日目Chrome Leadsのパネルセッションで司会のGooglerが、Chrome UX担当のProduct Managerに対して一番最初に投げかけた問いです。 PMは直ちに「そんなことはしない」と即答しました。しかしChromeは、URLの表示領域からHTTPSの緑色表示の廃止・EV表示場所の移動・wwwサブドメイン表示の削

サイバーセキュリティ研究者のサム・ジャダリ氏は2019年7月20日、「ブラウザの拡張機能を介した壊滅的なデータ漏えい」として「DataSpii(データスパイ)」というセキュリティ問題を報告しました。ジャダリ氏によると、Google ChromeやMozilla Firefoxの拡張機能の一部が個人情報を含む閲覧履歴を収集し、入手した情報をインターネット上で販売していたとのことです。 DataSpii - A global catastrophic data leak via browser extensions https://securitywithsam.com/2019/07/dataspii-leak-via-browser-extensions/ My browser, the spy: How extensions slurped up browsing histories f

米Googleが9月4日（現地時間）にアップデートしたWebブラウザ「Chrome 69」から、新機能としての告知なしに変更されたある機能が、一部のユーザーが問題視したことで明らかになった。 Chromeブラウザで「Gmail」や「Google Keep」などのGoogleのサービスにログインすると、自動的にChromeにもログインするようになったのだ。 従来は、Chromeへのログインとその他のGoogleサービスのログインは独立していたが、Chrome 69からは同時にログインすることしかできず、Chromeでログアウトすると、Gmailなどからもログアウトする。 この新機能のどこが問題なのかを、ジョン・ホプキンズ大学のマシュー・グリーン教授が23日、分かりやすく解説した。それを参考に、問題を整理してみる。 Chromeには以下の4つの「モード」がある。 基本ブラウザモード：ログインせ

米グーグルの閲覧ソフト（ブラウザー）「クローム」の最新版の配布が米国時間24日に始まったが、経済産業省や総務省のホームページを閲覧すると、「（通信が）保護されていません」と警告文が表示される事態となっている。安全対策が不十分とクロームが認識したためとみられる。

不正なGoogle Chromeの拡張機能によりページが書き換えられ、総額500万円分の仮想通貨が盗み取られる Google ChromeやFirefoxなどのウェブブラウザは、ブラウザの機能を向上させるために第三者が開発した自作のソフトウェアをブラウザ内で動作させる「拡張機能」「アドオン」などの仕組みを備えています。 今月3日、Chromeの拡張機能マーケットプレイス「Chromeウェブストア」において、「ドテンくる」という名前で配信されていた拡張機能が、利用者の仮想通貨を窃取する不正なコードを埋め込んでいたことがユーザーの報告で明らかになりました。 ドテンくる これは詐欺です bitflyer bitmexの全サイトの自分のデータの読み取りと変更 と、いう内容が含まれており 送金のアドレスが書き換わってる事例が何件か発生。 入れてる人は即座にアンインストール推奨&確認お願いします rt

（２０１７/０１/２６追記）この記事は２０１６年１１月時点の話です。その後WOT側がプライバシーポリシーとオプトアウトとを改訂した件について書きました→WOTのプライバシーポリシーとオプトアウト - とりかごとなり。 そもそもの発端は HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog Chrome拡張のHTTP Headersでマルウェア疑惑がほぼ黒、という話をみて、「やばいやばいVivaldiに入ってる」と思い速攻削除したのですが、はてブコメントで「WOT(Web of Trust)もやばい」 apppppp コッチよりも百万人以上が導入している Wot機能拡張 の方がもっとヤバイことを知った。 とか asyst 気になって拡張機能見直したら、Web of Tru

昨日のつづき。 WOTにスパイウェア疑惑がかかって、レビユーでも★１並んでましたが、Firefoxでも Chromeストアからも削除されたようです。 addons.mozilla.orgだと、 「申し訳ありませんが、お探しのものを見つけることができませんでした。」 になってて、Chromeストアでは404。 https://addons.mozilla.org/ja/firefox/addon/wot-safe-browsing-tool/ https://chrome.google.com/webstore/detail/wot-web-of-trust-website/

[2018/07/07 追記] 本記事ではChrome拡張について説明していますが、Firefox1やEdgeの拡張機能もほぼ同じ仕組みで動いています。 [2023/11/06 追記] #参考 ページを追加しました。 Chrome拡張。便利な機能を簡単に追加できるので使っている人も多いと思います。 ただ、インストール時の権限の注意書きが分かり難いので無条件に承認（追加）していることもあるのではないかと思われます。 そこで、本記事ではChrome拡張の権限の種類・確認方法の他、拡張がどこまで（悪いことを）できるのかとその対策を3段階の権限（危険性）レベルごとに紹介していきたいと思います。 便利だが危険性もあるChrome拡張 Chrome拡張をインストールすると、Webページを読むというブラウザ本来の機能だけでなく様々なことができるようになります。 例えば、Webメールの新着通知や記事などの

a.md Chrome ExtensionのLive HTTP Headersを調査した。Firefox用のものではない。Firefox用のものではない。 https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo 11/7追記 類似 or 同様の方法で難読化scriptを埋め込んでいる拡張機能が大量にあったため、Googleに報告済み。 https://twitter.com/bulkneets/status/795260268221636608 English version: https://translate.google.com/translate?sl=ja&tl=en&js=y&prev=_t&hl=ja&ie=UTF-8&u=https%3A%2F%

疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog

2016 - 08 - 28 Google Chromeアンケートのフィッシング詐欺に引っかかる 日々のこと ミニマリスト にはなれないけれど、モノを極力増やさないシンプルな生活を心がけています。 お片付け・断捨離・インテリア等を中心に日々の生活を綴っています。 今日はライフスタイルネタではありません。 実は、昨日 Google Chrome アンケートの フィッシング詐欺 に引っかかり、アンケートを答えてしまいました。 Google Chrome アンケートの フィッシング詐欺 いつものようにパソコンでネットを見ていると、いきなりこんな画面が出てきました。 本日ラッキーな訪問者はあなたですと・・・ 「え！私ラッキーなの？」 グーグルのマークが出ているので、何の疑いもなく浮かれてました。 もちろOKをクリックしました。 早速アンケートが始まりました。 質問１：どのくらいの頻度で Chrom

Stability AI, the startup behind the AI-powered art generator Stable Diffusion, has released an open AI model for generating sounds and songs that it claims was trained exclusively on royalty-free…

「Ice Cream Sandwichをサポートしていると、ユーザーの大多数が使っているデバイス向けに新エクスペリエンスを開発する時間が取られてしまう」とGoogle。 米Googleは3月3日、Android 4.0（Ice Cream Sandwich＝ICS）向けのWebブラウザ「Chrome」について、次の更新版の「Chrome 42」をもってICSのサポートを打ち切ると発表した。 サポート打ち切りの理由についてGoogleは、「古い電話向けの新機能の開発はますます難しくなっていて、ICSをサポートしていると、ユーザーの大多数が使っているデバイス向けに新エクスペリエンスを開発する時間が取られてしまう」と説明している。 Chrome 42は4月に公開される見通し。Chrome 42以降もICSでChromeを使い続けることはできるが、更新版は入手できなくなる。 ICSは2011年に登

インターネット用セキュリティ関連製品の開発・販売を行うトレンドマイクロが、Chrome拡張機能のセキュリティを回避するマルウェアが登場したことを自社ブログ内で明らかにしています。 Malware Bypasses Chrome Extension Security Feature | Security Intelligence Blog | Trend Micro http://blog.trendmicro.com/trendlabs-security-intelligence/malware-bypasses-chrome-extension-security-feature/ 2014年の初め、Googleは「悪意のあるブラウザ拡張機能が出回っている」という問題に対処すべく、「Chrome ウェブストアにホストされた拡張機能のみインストール可能」になるように、セキュリティポリシーを強

Google Chromeの最新バージョンは安定性が増しています。席を外す際に、データやプライバシーを保護するため、ブラウザをロックできる機能が増えました。設定を1つ変更し、新しいプロフィール管理システムを有効にするだけで利用できます。拡張機能は不要です。自宅で家族とデバイスを共有している場合や、自分のラップトップを他人にちょっと貸すときなど、ブラウザをロックしたいシーンがあります。「I Love Free Software」に、chromeでその機能を有効化する方法が載っていました。 オムニバーに「chrome://flags」を入力し、試験運用機能ページに移動する 「新しいプロフィール管理システムを有効にする」を検索する 青色のリンク「有効にする」をクリックする ブラウザの下部に表示される「今すぐ再起動」ボタンをクリックし、変更を適用する。 適用すると、ブラウザ右上、最小化ボタンの隣に

otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr

疲れやすい、呼吸の浅さを改善。ストレッチポールは毎日使いたいほど気持ちがいい!【今日のライフハックツール】