- Hover Zoom+ のメンテナーは、2015年から2026年までに受け取った拡張機能の収益化・買収提案を公開し、ユーザーを売らないためにそうした提案を断ってきたと明かした
- 提案では、匿名ユーザーデータの販売、検索トラフィックの収益化、affiliate リンクの挿入、広告・クーポン表示、SDK の導入、拡張機能の買収など、ブラウザ権限とユーザーベースを金に換える手法が繰り返し示されている
- 提案書は「匿名」「個人情報なし」「UX への影響なし」「Google ポリシー準拠」を強調する一方で、DNS エラー、GEO、DAU/MAU、URL、referrer、browsing behavior、clickstream、検索クエリといった行動データを要求している
- メンテナーは、Hover Zoom+ が複数ブラウザで約40万人のユーザーを抱え、あらゆるページで動作するため、悪意ある行為者にとって大きな攻撃面と収益機会を生み出すと説明している
- コメント欄では、ソースコードの確認、権限一覧の見直し、Chrome Web Store の privacy practices タブ、最近のレビュー、ネットワークリクエストの確認、Site Access を「On Click」に制限する方法が、拡張機能リスクを下げる実用策として挙げられている
メンテナーが公開した問題意識
- Hover Zoom+ のメンテナーは、長年にわたり拡張機能を収益化しようという提案を数多く受けてきたが、「趣味として公開しているのであって、利益のためではない」と述べている
- 継続して保守している最大の理由は、他人に任せた場合にこうした提案に乗らないと信頼するのが難しいためだと説明している
- 自分には十分に高給な仕事があり、「道徳的な羅針盤」を保って提案を無視できたと語っている
- すべての開発者が同じ経済的安定を持っているわけではないため、このスレッドが拡張機能開発者にかかる金銭的圧力を示してくれればよいとしている
繰り返される収益化提案の類型
- 多くの提案は、Hover Zoom+ の Chrome Web Store におけるユーザーベースを理由に、「かなりの収益」を生み出せると持ちかけている
- 繰り返し登場する手法は次のとおり
- 匿名ユーザーデータを収集し、広告ターゲティング、市場調査、ビジネスインテリジェンス、clickstream データとして販売
- Bing、Yahoo、Google 検索や search lander/feed を追加し、検索クエリや広告クリックから収益分配
- organic search 結果に store logo、affiliate link、「Sponsored」リンクを入れ、購入発生時に手数料を受け取る
- coupon、cashback、PopUnder、in-text、new tab、search injection、in-image monetization といった広告フォーマットを挿入
- SDK や数行の JS を追加して、データ収集や広告表示機能を拡張機能に統合
- 拡張機能そのものを買収する、または Google アカウント移行なしで Chrome extension ownership を移すという提案
- 一部の提案は、「soft to hard methods」「invisible monetization methods」「does not interfere with UX」のように、ユーザーに気づかれにくい収益化を強調している
提案書に登場するデータと金額
- 2015年の提案の一つでは、anonymous user data を収益化していないなら「多くの金を取り逃がしているかもしれない」と述べ、NAI と IAB 承認の広告ネットワークに言及している
- 2016年の DNS エラー調査提案では、次のデータが求められていた
- NXD、つまりユーザーが入力したが存在しないドメイン
- 発生時刻
- GEO
- ハッシュ化可能でユーザー追跡は不可能だと主張する一意のランダムユーザー ID
- 2020年以降の提案では、GEO、日次・月次アクティブユーザー、興味分類、URL、referrer、country、timestamp、browsing behavior、clickstream、browser history といった項目が繰り返し現れる
- 提案金額は非常に幅広い
- 2016年の拡張機能買収提案: $14,500
- 2020年の analytics platform 統合提案: $2,000/月
- 2020年の検索収益化提案: 300,000 ユーザー基準で1日 $9,000 が可能と主張
- 2021年の data marketplace SDK 統合提案: $30,000/年
- 2023年のデータ提案: 最大 $20K/月
- 2024年の clickstream data partnership 提案: $30,000〜$40,000/月
- 2024年の買収提案: $30,000
- 2025年の買収提案: ユーザー1人あたり $0.05〜$0.15
- 2024年末のあるサブスクリプション収益化提案では、40万超のユーザーベースで5%転換を仮定し、$0.99/月なら約 $19,800/月、$4.99/月なら約 $99,800/月、$9.99/月なら約 $199,800/月 になるという例を示している
メンテナーの対応と判断基準
- 会社名を公開しない理由については、一部の企業は裕福で合法的に運営されている可能性があり、訴訟リスクを負いたくないと答えている
- ポップアップ広告はユーザーが気づきやすく原因の拡張機能を無効化しやすいが、目立たない手法は長く続きうると説明している
- テレメトリについてメンテナーは、ユーザーの立場では有用性と追跡の侵襲性の間でバランスを見るが、開発者の立場では追跡を一切入れないのが最も広い利用者層に届き、匿名化レベルをめぐる議論も避けられると述べている
- Hover Zoom+ という名前が、過去に悪質性を巡る議論があった Hover Zoom と混同されるという指摘に対しては、すべてのユーザーを獲得することが目標ではなく、すでに30万人以上が価値を感じており、無料・無収益の拡張機能のため名前変更や追加の証明に時間を使うつもりはないと答えている
- 2023年のコメントでメンテナーは、Hover Zoom+ に価値がある理由を2つに整理している
- すべてのブラウザ合計で約40万人のユーザー
- 特定サイトではなくすべてのページで有効化されること
- この2つが組み合わさることで、エンドユーザーに対する大きな潜在的攻撃面が生まれ、悪意ある行為者にとって大きな潜在収益を意味すると説明している
ユーザーと開発者にとっての危険信号
- あるコメントでは、拡張機能が買収された後、次のバージョンに adware や botnet script が入れられ、既存の権限があるため追加権限のポップアップなしで動作しうると指摘している
- 別のコメントでは、一部のデータ提案は AdTech/RTB 目的のユーザーデータ販売と結びついている可能性があると説明し、Privacy International の adtech 資料にリンクしている
- DNS エラーデータを求める提案については、あるコメントが、一般的なタイプミスドメインや期限切れドメインを確保してユーザーの移動を横取りする意図かもしれないと解釈している
- The Great Suspender の事例に触れたコメントでは、一部の取引は SDK 導入ではなく repository や拡張機能所有権の移転を狙っていると指摘している
- 2026年の提案の一つは、you.com 権限、ページ内容の読み取り、keystroke のキャプチャ、外部サーバーへの送信、session cookie へのアクセス、browsing history の収集パターンに言及していたが、メンテナーのメモでは Hover Zoom+ はそのような動作をしておらず、この会社が欲しがっているデータが何かを示していると付け加えている
拡張機能が収益化されたかを確認する方法
- メンテナーは、最も信頼できる方法はソースコードを読むことだと述べている
- そのほかの確認シグナルとして次を挙げている
- Chrome Web Store の privacy practices タブで、開発者がデータを収集または利用しないと開示しているか確認する
- public source があるか確認する
- 拡張機能の権限一覧に、機能に見合わない不審な権限が含まれていないか確認する
- 最近のユーザーレビューに、動作に関する繰り返しの不満パターンがないか確認する
- chrome-stats のようなサイトのリスク推定を参考にする
- メンテナーは、これらのシグナルはすべて操作可能であるため、「無実の証明」というより問題の確認に近いと付け加えている
- 別のコメントでは、Webpack などでソースが読みにくい場合があるため、拡張機能が発生させるネットワークリクエストを確認する方法のほうが簡単かもしれないと提案している
- 同じコメントでは、background または service worker のリクエストも確認し、多くの拡張機能は必要以上にすべてのページで実行されるため、Chrome の Site Access を「On Click」に制限する方法を説明している
コミュニティの反応とその後の議論
- 多くのコメントは、メンテナーがユーザーを売らなかったこと、そして提案を公開したことを支持している
- あるユーザーは、このような慣行について、ユーザーと拡張機能開発者の認識向上がもっと必要だと述べている
- メンテナーは、悪質な拡張機能を取り巻く状況はすでに十分悪く、もっと多くの人が知るべきだと返答している
- Hacker News に掲載されたというコメントに対し、メンテナーは他の開発者たちが「stand」を取るきっかけになればよいと述べている
- ある拡張機能開発者は、17万人のユーザーを抱える自分にも似た提案が数多く届いており、貧しい大学生として魅力的ではあるが、より非侵襲的な別の方法で収益化したと語っている
1件のコメント
Hacker News の意見
ChatGPT for Google は今年初めに HN で1位になっていたが、今 GitHub リポジトリを見ると、その拡張機能はすでに売却されている
私にも約25,000インストールの無料サイドプロジェクトの拡張機能があり、「収益化を手伝う」という連絡をかなり多く受け取った
そこで、あらゆる気味の悪い収益化ルートを整理してみる価値があると感じた: https://mattfrisbie.substack.com/p/the-ugly-business-of-mone...
アドテク業界は本当に全体として嫌悪感を覚える分野だ
そのお金があれば住宅購入の頭金問題はずっと小さくなる
自分の倫理の線引きがどこにあるのか考えておくのは、いつでもよいことだ
こうしたゴミのような提案のかなりの部分は自動化されているに違いない
「私は [extension name] のファンで、どれほど便利で有用か本当に気に入っています。
拡張機能内で自社製品を宣伝したい人たちに広告枠を提供することを検討したことはありますか？ 私の拡張機能を [extension name] で宣伝したく、この可能性について話し合いたいです。
ご興味があればお知らせください。」といった感じだ
参考までに、ここにいる何人かがおそらく使っているJSON Formatter 拡張機能 [0] は私が所有している
12年前に作ってオープンソースとして公開し、今まで保守してきて、[1] 現在のユーザーは200万人だ
どんなデータもどこかへ送るコードは絶対に追加しないし、そんなことをする人の手に渡すこともないと厳粛に誓う
みんなのデータを盗むか、それ以上に悪いことをしようとしているように見える怪しい人たちから、心が揺らぐほどの現金オファーを何度も受けた
ときどき、自分の名前を付けなければよかったと思う。そうしていれば評判を傷つけずにお金を受け取れたかもしれないからだ
だが名前を付けた以上、名誉を保つしかない。それでも利点は、自分は絶対に売り渡さなかったといつでも言えることだ
[0] https://chrome.google.com/webstore/detail/json-formatter/bcj...
[1] 正直、労力はあまりかけていない
1行だけのものなので、変わることがまったくなかったからだ
ところがChrome Web Store が5年以上経ってから取り下げてしまった。おそらく一度もアップデートを配布しなかったため、今では必須になった入力欄が空のままだったからだと思われる
売り渡さなかったのは尊敬に値する
私がやっているように、こうした買収提案の公開を始めるつもりはないのか気になる
明らかに世の中に価値を提供していて、私の道徳観では、怪しいことをせずにその価値の一部を回収する資格があるべきだ
私は Streak の創業者で、私たちは Grammarly などと同じように拡張機能を直接収益化している
注いだ労力に対して、ユーザーに直接お金を求めたことがあるのか気になる
この業界では、日を追うごとに強い倫理意識を保つのが難しくなっているように思う
それとも単にこっそり差し込まれるだけなのか分からない
少なくとも危険信号になるポップアップ通知は見たい
保守者です
私の拡張機能は事実上ほとんど収益化が不可能なので、どんな提案を受けても、ある程度の道徳的犠牲が必要になる
これまで見た中で最も侵襲性の低い提案は、私の拡張機能内に別の拡張機能への相互リンクを入れるというもので、DarkReader が自分のウェブサイトでやっていることに似ている
ユーザーデータを侵害しないとしても、それをしない理由は、その別の拡張機能を間接的にお墨付きすることになり、彼らがユーザーデータをどう扱うかを私が制御できないからだ
大きくなれば、「誰もが結局は売り渡す」という、あまり口には出されないが一般的な認識を崩す助けになる
今は Chrome を使っていないが、以前は Hover Zoom+ が本当に好きだったし、妻は今もよく使っている
素晴らしい拡張機能で、このコメントとリンク先の GitHub issue を読んでさらに安心した
そのとき imagus に移って慣れた
いずれにせよ、収益化の試みを断ってくれてありがとう
この問題の解決策は分かりませんが、ユーザーから実際に収益を得ながら、ユーザーデータを年間20ポンド程度で販売している、信頼されている合法的な企業をいくつか知っています。
私はプライバシー侵害が自分の信念の核心に反するので絶対にそうしませんが、解けない衝突があります。
一方では、ユーザーの大多数が、たった1ペニーを払うよりも自分のプライバシーを売ることを好むのを知っています。
彼らはいつでも「支払う」ボタンより「自分のデータを売る」ボタンを喜んで押すでしょう。
十分に多くのユーザーと接してきたので、そう分かると言えます。
多くのユーザーは無料でなければ大騒ぎしますが、個人情報を渡すことには眠れなくなるほど悩んだりしません。
もちろん、概して多数派について話しているのです。
他方では、インターネットが不誠実な行為者の繁栄しない場所であってほしいと思っています。
現実世界では、たいてい何かを無料で得られるとは期待しないのに、なぜインターネットだけは違うべきなのでしょうか。
なぜ皆が、私自身も含めて、インターネットではいつも無料のものを探すのでしょうか。
最悪なのは、結局オンラインでお金を使おうとする唯一の主体がデータ泥棒と広告主だという点です。
それ以外の人たちは自分の魂を差し出しています。
開発者は、この構造全体が維持されるように無料で働くべきだと期待されているようなものです。
それに「データ」という表現も、普通のユーザーには不透明です。
EUやカリフォルニアのような規制は、まさにこういうことを強制すべきです。
「私たちがあなたについて持っているデータはこれらです。不気味な追跡の産物 a,b,c,d... を含みます。私たちがさまざまな方法であなたのプライバシーを侵害することを許可すれば、この小さな装身具を無料で差し上げます。そうでなければx円を支払ってください」と選択肢を提示したら、どれほど多くの人がプライバシー侵害を選ぶでしょうか。
インターネットのかなりの部分は、何らかの形のコミュニケーションです。
現実世界でも、多くのコミュニケーションは無料で得られます。
むしろ、なぜ皆がインターネットを、無知な原住民に装身具を売って金持ちになるためのプラットフォームだと想定するのか気になります。
ものによっては非営利で運営したほうがよい場合もあります。
Firefoxにはすでにこうしたものがあるようです（https://mzl.la/3Acn4DU）。
Chrome拡張機能向けの監査者は知りません。
GoogleやMozillaのような信頼できる組織やグループに拡張機能を監査させ、マルウェアがないと「認証」させればよいのです。
さらに、拡張機能は100%オープンソースであるべきで、信頼組織が侵害されたり仕事をできなかったりしても、最終的には露見し、人々は使用をやめるでしょう。
もちろん完璧ではありません。
アドウェアが監査者からも隠される可能性があり、監査者が侵害されても誰も気づかない可能性もあります。
複雑なコードが多い拡張機能ほど費用と時間がかかるため、何の問題もない人気拡張機能でも認証を受けられないかもしれません。
変更差分も常に監査を受けなければならないので、アップデートが遅れ、抑制されます。
見落としがちな最後の問題は、監査者が特定の拡張機能、たとえばお金を払う側を承認することに偏る可能性がある点です。
コードが読みにくすぎたり、レビュー待ち行列の後ろのほうにあったりすると承認されないことがありますが、「読みにくすぎる」の基準や待ち行列上の位置は、お金で簡単に影響を受け得ます。
それでもWeb拡張機能は、他のアプリに比べれば監査しやすいソフトウェアです。
概してはるかに小さく単純で、必要なユーザー数が少なく、銀行や機密サイトを含むすべてのWeb閲覧という、非常に信頼された領域で動作するためです。
サンドボックス化されたスマートフォンアプリやコンピューターのユーザーモードプログラムと比べると、被害は依然としてありますが、はるかに小さいです。
何かを決済すれば、どうせ身元情報を渡すことになります。
価値交換が明らかに一方に傾いているとはいえ、Xを得るために身元も共有し、お金も払わなければならないなら、お金も失い、身元も共有したことになります。
身元を共有してXを無料で得るなら、少なくともお金は失いません。
現実には通常、お金を払ってもデータを売られ、無料で使えばデータを本当に大量に売られるという選択肢の間に置かれます。
ほとんどの有料サービスも、プライバシーポリシー、利用規約、ユーザー契約に、データをどのように売るかを同じように書いています。
最善の場合でも、キャッシュフローにそれほど切迫していないので、販売先を少しは選別してくれるだろうと期待できるだけです。
しかしユーザーへの影響はより大きくなります。
今や彼らはクレジットカード、住所、実名、電話番号を持っており、これらはすべてハッキングや漏えいに弱いものです。
無料アカウントのときより、こうした情報をごまかすことも難しいため、収集されるデータの価値はより大きくなり、そのぶん誘惑も大きくなります。
しかも有料サービスには、ダークパターンが蔓延した消費者に敵対的なサブスクリプションシステムがあります。
気に入らず解約しようとすると無駄に面倒で、無料トライアルでさえクレジットカードを要求します。
お金が実際にどこに使われているのかについても、透明性が非常に低いです。
多くのサービスは赤字で運営され、顧客料金は見せかけにすぎず、実際のお金は投資家から来ています。
ある企業にとって有料モデルは偽装に近く、実際の出口は何年もデータを集めた後でデータアグリゲーターに買収されることかもしれません。
反対側には、ばかげて吊り上げた価格でカモを釣る人たちもいます。
こうした理由から、お金を払うという選択肢は不信に汚染されており、単に消費者がけちで権利意識が強いからだけではありません。
不信はどんな市場でも急速に停滞させ得ます。
とはいえ、業界を大きく責めるつもりはありません。
1848年のカリフォルニアのように、そこら中に落ちている金を拾う人を責めるのは難しいからです。
本当の問題は、ユーザーが自分のデータがどのように使われるのかを見て制御できるようにするツール、インフラ、規制の枠組みがないことです。
人々が本当に決済の代わりに自分のデータを売りたいなら、そうさせればよいのです。
しかし現在、ほとんどのユーザーはどのデータが正確に収集されているのか、その価値がいくらなのかを知りません。
5ドルのアプリを買うほうが、20ドル分のデータマイニングを受けるよりましだと合理的に判断できない状態です。
気に障るのは、アプリがデータ収益化を隠したり、必須にしたり、同意しなければサービスを使う方法を提供しなかったりする場合です。
特に、参加しないと選ぶことすらできないサービスはさらに最悪です。
たとえば私の職場では、Equifax の「The Work Number」サービスを導入したばかりで、私がアカウントを作るかどうかに関係なく、私のデータはすでにそこにある。
さらに悪いのは、アカウントを作らなければ、誰かが私の意思とは無関係に、より多くの情報を集めるためにアカウント作成を試みる余地が残るという点だ。
人々が自分のデータについて何を選ぶにせよ、私の見解を押しつける道義的義務は感じない。
本当に同意して20ドル、あるいはアプリ内でそのデータに価値がある分のお金を節約したいのなら、私が彼らのプライバシー情報の扱い方に同意しないという理由で選択肢を奪うことも、同じ理由で押しつけるのと大きくは変わらない。
私にとって重要な違いは、私がそこで利益を得るかどうかだが、どちらの場合でも選択権があるなら、ユーザーが状況をどう天秤にかけるかという点では、実際には重要ではない。
Webサイトを運営していると、こういうメールを延々と受け取ることになる
「こんにちは、
既存の記事へのゲスト投稿寄稿やリンク挿入を受け付けているかお尋ねしたいです。可能であれば、ガイドラインや関心のあるテーマについて詳しく知りたいです。
お時間をいただきありがとうございます。ご返信をお待ちしています。
よろしくお願いします。」
こういうものは間違いなく大量スパム。私のサイトにはブログすらない
私のサイトにはWindowsソフトウェアのダウンロードもいくつかあるが、時々怪しいインストーラーバンドルの提案メールも受け取る
ほとんどは、ユーザーのインターネット接続へのアクセスを売ろうとする住宅用プロキシサービス
文脈をあまりにも多く盛り込んで本物の人間のように見せかけ、結局多くの時間を浪費させるし、正直かなり傷つく
私たちは資料を共有するのに多くの時間を使っているので、こうした偽のつながりには強い嫌悪感を覚える
最近は、深い文脈を盛り込んだAI作成の「受賞候補リスト」系メールが大量に届いた
簡単な支払いを1回すれば、賞の候補として検討してくれるというようなもの
ただ、私たちがソフトウェアセキュリティサービスを運営しているのではなく、Webスクレイピングを扱っているというテーマ調整をいつも忘れている
AIは見知らぬ人同士のメールでのやり取りを殺してしまいそうだ
だんだん本当に疲れてきた
末尾に付いた肩書きが笑える
「件名: 貴社Webサイトでセキュリティ脆弱性を発見しました。
こんにちは、チームの皆さま、
私はセキュリティ研究者のHarrisで、バグバウンティプログラム外で貴社Webサイトのセキュリティ脆弱性を発見しました。
発見したすべての脆弱性と適切な修正方法も開示し、Webサイトをより安全にできます。
私が支援した企業はいつも寛大で、私が見つけた問題に適切だと思う金額で報酬を支払ってくれました。私の支援を好意的に見ていただけるなら、PayPal、Bitcoin、Payoneer、または銀行振込でボーナスをいただければうれしいです。
前向きなご返信をお待ちしています。
よろしくお願いします、
Harris A
Certified Ethical Hacker」
TOR運営者は接続共有の危険性、特に小児性愛者がそのサービスを使ってCSAMを共有するリスクを知っている
しかし一般の人は知らない
ある日逮捕されるまで、まったく知らない
私もこういうメールを受け取るが、WordPressサイトを運営しているので、彼らはWebサイトをフィンガープリントしてWordPressサイトにだけメールを送っているのだと確信していた
だからWordPressのフィンガープリントを隠せるか確認することがToDoリストに入っていた
でも、こう言われるのを見ると、ほとんど効果がないのは明らかだ
振り返ってみれば、こういうスパマーたちは単に全員に大量送信するのだと分かるはずだった
ここでの根本的な問題は、ブラウザ拡張機能を合法的に収益化する方法がないことだ
拡張機能はシンプルに作られるものなのでプレミアム機能を売りにくく、通常は広告を入れるための自前のスペースも持っていない
https://developer.chrome.com/docs/webstore/money/
「Chrome Web Storeを公開してから11年の間に、Webは大きく進化しました。当時は、開発者がWeb Storeのアイテムを収益化する方法を提供したいと考えていました。しかしその後エコシステムは成長し、開発者は今では利用可能な決済処理の選択肢を数多く持つようになりました。」
こうしたメールを送る悪意ある行為者は、ユーザーデータが自分たちにもたらす価値に対してお金を払おうとしている
この2つの数字には何の関係もなく、ユーザーデータの価値が拡張機能の機能価値よりはるかに高い場合が多い
収益化でこの問題を解決する方法はない
2種類の潜在顧客が同じ製品を買っているわけではないからだ
ほとんどの拡張機能はシンプルで、実際には更新を必要としない
それなのに更新メカニズムは静かに完全自動で、ロールバックもない
Steamでさえ、ここまで攻撃的な更新は思い浮かばない
私はソフトウェアライセンスAPIを運営していて、かなり良いユーザーベースを持つブラウザ拡張機能の顧客も少なくない
他の配布チャネルと同じように、収益化の機会は存在する
この提案は無害に見えるし、場合によっては役に立つようにも見えるので興味深い
DNS エラーの監視ということだけど、自分は何を見落としているのだろう
「ビジネス提案を頻繁に受け取っていると思いますので、単刀直入に申し上げます。私の提案は少し違っていて、実際に興味深いものかもしれないと願っています。Hover Zoom+ は、ここ数か月で魅力を失った兄貴分の Hover Zoom に対する優れた代替だと考えています。
私たちは DNS エラーの研究を行っており、あなたの Chrome 拡張機能を通じて提供できるかもしれない少量の匿名データに関心があります。私たちの研究は数年間続いており、Google から問題視されたことは一度もありません。
関心のあるデータは基本的に DNS エラーだけです:
以上です。私たちのスクリプトを使っていただいてもよいですし、ご自身でデータを収集して FTP サーバーや API などに送っていただいても構いません。方法はいろいろあります。支払いは月単位で、金額はユーザーの GEO によって変わりますが、年間で数千ドル規模になるでしょう。
少しでも議論する価値はあるでしょうか？ご返信をお待ちしています。
先日、弊社が進めている DNS エラー研究に関連してご連絡しました。Hover Zoom+ は私たちの研究にとって理想的な媒体になるでしょう。その見返りとして、あなたにとって堅実な新しい収益源になり得ます。
私たちの手法は何年も続いており、Google との間で問題になったことは一度もありません。月単位で定期的にお支払いします。あなたには年間で数万ドル規模になるはずで、金額はユーザーベースとデータ品質によって変わります。
サードパーティ製スクリプトの組み込みが心配であれば、それでも実現する方法はたくさんあります。
少しでも議論する価値があるかどうか教えてください。」
たとえば、よくタイプミスされるドメインなど
禁止されているわけではないが、それでも少し怪しい
ユーザーがよく入力ミスして NX 応答を受けるドメインを見て、それを登録して広告を出したり、フィッシングなどをしたりしようとしているのだろう
したがって、最善の場合でも何らかのビジネス上の利害があり、最悪の場合はユーザーに有害な行為である可能性が高い
表向きは一つのことをしているように見せながら、裏で別の情報を運ぶスクリプトを書くのは難しくない
たとえば、悪いハッシュ関数を書くこと？朝飯前だ
常に ATP の勾配をたどるべきだ
ユーザーが約30万人の拡張機能にさえ、これほど攻撃的な提案が多いのなら、数百万人に達した拡張機能にはどれほど激しい提案が来るのか気になる
拡張機能エコシステムのインセンティブは完全にずれているように見える
Ruffle の公式メールボックスもこうした提案でいっぱいだ
無料かつ自由ソフトウェアである拡張機能に提示される金額があまりに大きく、買い手は Google や Mozilla[0] に即座にブロックされない程度のマルウェアを大量に仕込もうとしているのだとしか思えない
個人的には、新しい所有構造についての事前承認と検証なしに拡張機能の所有権移転を許可すべきではないと思う
新規登録項目にはレビューも信頼もないので、既存拡張機能の移転は、意図的に新しい拡張機能を作るよりも難しくすべきだ
こうしたポリシーの実務上の苦痛を時々自分で経験している者として[1]、官僚的手続きを通るのがどれほど面倒かも承知のうえで言っている
地下の拡張機能売買市場は信じられないほど怪しく、ユーザーの信頼をあまりにも軽く扱っている
[0] 残念ながら、私たちの AMO 登録はすでに機械生成コードとしてフラグされている。Rust/WASM を使っているためだ。そのため、Mozilla が私たちのビルドをバイト単位で再現できる場合にのみ拡張機能の提出が承認される
[1] https://ruffle.rs/blog/2023/04/23/mozilla-extension-postmort...
中学生のころに思いついた汚い計画を思い出した
2段階目まで行って、そこでやめることにした
どの動作が意図されたものなのかそうでないのかを見分けるのが本当に難しい
何年も前、サーバーに接続したときにメッセージだけを表示する motd プラグインを探そうとした記憶がある
十分に単純なプラグインを一つ見つけたが、アップデート確認のためにホームへ ping を送っていた
開発者は有用な機能を入れようとしていたのかもしれないが、私の冷笑的な側面は、そのプラグインを実行しているサーバーの IP アドレスを得ようとしていたのだと信じている
認証されていないデバッグコマンドもあり、フォルダ内の任意の motd ファイルの内容を出力できた
ところが文字列エスケープをきちんとしていなかったので、
../...でディレクトリを抜けて任意のファイルを出力できた作者が実際に悪用したのか、それとも初めてのプラグインを書いていた無邪気な14歳だったのかは分からない
悪用するつもりだったならどのファイルを出力しようとしていたのかも分からないが、間違いなく非常に疑わしかった
複数の人が WorldEdit、クリエイティブモード、管理者コマンドなどにアクセスできた
古いアナーキーサーバーに限らず、現在の Minecraft Mod コミュニティは複数のサプライチェーン攻撃やデシリアライゼーション脆弱性などを経験している