🔐 БЕЗОПАСНОСТЬ И КОНТРОЛЬ ПЛАГИНОВ
🕯 Ну что ж, давайте поговорим о всеми долгожданной теме в комьюнити exteraGram/AyuGram.
😔 До сих пор и на данный момент единственное что можно назвать защитой(от скама) —
плашка доверенного источника (и то эту плашку легко подменить). Многие везде и постоянно НОЮТ об отсутствии безопасности в системе плагинов... при этом здравого ничего не предлагают и не хотят разбираться в этом.
✍️ Скоро вероятно появятся
подписи для плагинов, которые сделают эту "защиту от скама" более надежной, т.к. внедрить фигню в какой-нибудь официальный плагин незаметно будет уже тяжелее.
Недавняя (кривая пока что)попытка некоторых людей сделать подобие контроля вдохновила меня на пару дней жёстко заняться этим вопросом. Спустя пару дней практически фулл план и архитектура с тем как и из чего будет состоять безопасность и тотальный контроль с полным отсутствием обходов (кроме как через нативные библиотеки) были готовы.
ℹ️ Вкратце: всё через разрешения, который даются ТОЛЬКО до установки плагина и могут быть изменены когда система плагинов выключена. Они могут быть как обязательные для основного функционала, так и необязательные (при этом разработчики должны проверять наличие условно через elyx.granted_permission(Permissions.EDIT_MESSAGE) is True). Для dex-файлов также имеется своего рода "изоляция" и всё те же разрешения доступа. Плагин будет иметь отдельный "манифест" с разрешениями(простите за тавтологию), которые ему нужны: различные действия с сообщениями, бд, файлами, хук определенных методов у классов, доступ в интернет к определенным доменам/айпи итд.
🛡 Также у плагинов по плану полная изоляция друг от друга, а библиотеки(по типу zwylib) обязаны в манифесте указывать какие модули/классы/функции доступны для импорта и использования другими плагинами (собственно они тоже должны указать что хотят доступ к таким-то штукам такого-то плагина).
Так что продумано всё довольно хорошо, но вот встал огромный вопрос: а будет ли это вообще иметь смысл? В комьюнити, где большинству ЛЕНЬ ЧИТАТЬ описание плагина, любые пару строчек о рисках, faq где-то, лень вообще РАЗБИРАТЬСЯ. Вы игнорируете плашку с небезопасным источником и потом жалуетесь, что у вас что-то с телефоном или аккаунтом? А кто в этом виноват? Разработчики экстеры/аю? Где-то приводили пример со скриптами и программами на пк: скачав вирус или ратку виноваты в этом ТОЛЬКО ВЫ, а не майкрософт или линус торвальдс. Вы же не идете всем вокруг жаловаться и говорить "какая майкрософт плохая компания, потому что не защитила меня от вируса. Эх блин, подумаешь я скачал программу от какого-то ноунейма из письма на почте в папке спама / на рандом сайте в гугле"...
В общем даже с этим замороченным планом около 80%+ будут игнорировать все плашки и давать все разрешения лишь бы плагин установился и работал.
Также это сильно усложнит работу разработчикам.
💔 И изначальная суть плагинов со всеми этими ограничениями будет практически утеряна, ведь плагины — свобода действий, нацеленная на улучшение пользовательского опыта и удобство.
При этом в тех же Obsidian, Vencord, модах на майн и многих других местах защиты нет никакой и ответственность за безопасность полностью лежит на самом пользователе.
*В эту же категорию входят расширения для VS Code, пользовательские скрипты Tampermonkey, аддоны для медиацентров (Kodi) и менеджеры пакетов вроде npm. Во всех этих экосистемах работает одно негласное правило цифровой свободы: "Программа дает вам неограниченные возможности автоматизации, но платой за это становится ваша личная паранойя"
👀 Что-то мне подсказывает, что это полезно только для ярых фанатиков и будет являться пустой тратой времени, сил и средств на создание этого всего как у нас, так у разработчиков плагинов, а также лишней тратой энергии ленивых людей на пару нажатий. Вследствие чего
решение об отсутствии ограничений остаётся пока что неизменным.
*Данный кусок текста написан ИИ от гуглP.S. Если хотите поделиться постом, используйте пожалуйста
🔗 ССЫЛКУ на него вместо пересылки, дабы собрать как минимум комментарии в одном месте.
😎 exteraGram features. Подписаться 
