Chromium 21.xxx verhindert eine Installation von Erweiterungen

Ok, die Überschrift ist leicht übertrieben, aber wer weiß, wo das noch hinführt – mit Sicherheit wird es vom OPen-Source Chromium als ein Feature zu Google Chrome wandern. Um was geht es: Es wurde Problem 128748 als Bug gemeldet, dass ein Installieren einer Erweiterung einen Fehler bringt. Das wäre auch nicht weiter schlimm, weil bei so Entwickler-Versionen kann es schon mal scheppern. Kann man das Aber schon riechen?

You are no longer supposed to be able to install extensions off-store in Chrome. See bug 55584 for details.

In order to install off-store extensions, the user must download them to a directory and drag them onto chrome://extensions/.

I intend to polish this UI a bit to hide the download bar so that people don’t click on it. I’d also like to add some UI that tells users that extension install is disabled off store or something, but we still haven’t figured out what that will look like.

Heisst auf Deutsch: Alle Erweiterungen, die nicht in Googles Webstore sind, lassen sich nicht mehr (so einfach) installieren. Man muss diese auf die Festplatte herunterladen und dann via Drag & Drop auf chrome://extensions/ ziehen. Das Ganze wird unter dem Schirm Sicherheit verkauft.

Nun hagelt es gleich mal Kritik, dass man so ewas auch mit einem Opt-In-Verfahren lösen könnte, anstatt Erweiterungs-Entwickler, die nicht in den Webstore wollen gleich Bürger zweiter Klasse zu machen – per Standard erst mal böse.

Ein Kommentator kann den Sinn der Sicherheit nicht sehen. Anwender, die eine bestimmge Erweiterung wollen, würden sowieso auf Alles klicken, auch wenn Vista man Sie das zehnte Mal fragt: Bist Du sicher, dass Du Dir sicher bist, dass Du das so haben möchtest – lediglich der Vista- Nerv-Faktor würde durch die neue Methode angehoben. Es sei außerdem unfair Entwicklern gegenüber, die ihre Erweiterungen nicht im Webstore anbieten möchten.

Ein Chromium-Coder kontert aber, dass aus Erfahrung die meiste Malware von Erweiterungen außerhalb des Webstores komme. Andere argumentieren dagegen, dass die Schadcode-Schreiber auch nicht auf der Brennsuppe dahergeschwommen kommen und mit Sicherheit genaue Anleitungen schreiben, wie man sich das Übel auf den Rechner holt, um die vermeintlich lustigsten oder peinlichsten Videos der Welt ansehen kann – beziehungsweise die nackstesten aller Nackten. Gut, so genau haben sie das nicht geschrieben, aber es ist auf Facebook immer wieder erstaunlich, auf was die Leute alles so reinfallen – also das ist nun meine Erfahrung.

Dann gibt es aber auch noch mal eine Abschwächung der Regel und etwas Hoffnung, dass Google nicht den Apple macht. Erweiterungen, die keine Host-Rechte brauchen, könnte man von der Regel ja ausnehmen – oder ist Obi Wan Mozilla doch unsere letzte Hoffnung?:

Oh, one final thing I wanted to add: We can relax this over time for extensions that use less dangerous patterns. For example, we could conceivably allow off-store install for extensions that don’t have host permissions, or include native code. Currently there are not a ton of interesting extensions that don’t have host permissions, so this would be somewhat pointless. But we are working on several new APIs that we hope will reduce the need for host permissions, and once those are in place, we could allow those type of extensions to be installed off-store.