通过网站安装 GNOME 扩展：安全漏洞？

Question

我通过 Google 搜索（使用 Chromium）找到了一个 GNOME 扩展，并且很惊讶我可以简单地切换开/关开关，让网站在我的计算机上安装一个完整的 GNOME 扩展，而无需涉及任何其他手动步骤。（经过测试，这也适用于 Firefox。）当然，它确实会弹出一个对话框，要求我确认安装，但是......

1. 虽然这对于易用性和可用性来说非常好，但是这是否存在安全漏洞？我很想知道这个功能究竟是如何工作的，以及我是否应该关注任何“后门”，这可能会让黑客轻松地在我的机器上安装可执行文件。

2. GNOME 站点上的扩展是否经过审查？有没有办法判断扩展是否安全？

3. GNOME 是否修改了 Chromium 和 Firefox 浏览器以支持此功能？是否还有其他用户应该了解的自定义 GNOME Chromium/Firefox 更改？

更新：了解了它的工作原理后，我现在相信这是一个非常棒的功能，尤其是对于非技术用户来说，但是当我第一次遇到它时，它确实让我感到震惊。

Answer 1

是的，也不是。

首先，您单击的安装扩展的链接已被编码，特别是（我认为） gnome 3.2 作为灌输方法。所以从这个意义上来说，它是一个“值得信赖”的网站。

其次，gnome 扩展是用户脚本，仅为您的用户存储。他们无权访问用户无权访问的任何信息。例如，不能有 shell 扩展将文件写入 /。

第三，浏览器没有被修改，但 gnome shell 被修改了。

基本上，安装方法的安全性并不比向您提供 tar.gz 文件并告诉您手动将其解压到主目录中要安全。各个扩展是否安全取决于您需要根据具体情况做出决定。然而 gnome.org 是一个合法站点，扩展子域也是如此。