概要
- StarDict はクロスプラットフォームの辞書アプリで、セキュリティ問題が指摘された。
- デフォルト設定でユーザーのテキスト選択が 暗号化されずに外部送信 される仕様。
- Wayland ではこの問題が発生しないが、X11環境ではリスクが残存。
- プラグインと機能のデフォルト有効化が プライバシー懸念 の主因。
- オープンソースのセキュリティ維持には 開発者・保守者の意識 が不可欠。
StarDictのセキュリティ問題とDebianでの対応
- StarDict は GPLv3ライセンス の辞書アプリケーション。
- 多言語辞書と 豊富なプラグインエコシステム を搭載。
- デフォルト設定で ユーザーのテキスト選択 が 暗号化されていないHTTP で dict.youdao.com および dict.cn に送信される仕様。
- X11環境 のDebianで特に問題化。
- 問題は Vincent Lefevre がDebian 13（"trixie"）リリース前に検出、oss-securityメーリングリストとDebianバグトラッカーに報告。
- StarDict をインストールすると stardict-plugin パッケージも推奨で自動インストール。
- YouDaoプラグイン と dict.cnプラグイン を含む構成。
- スキャン機能 がデフォルトで有効化されており、マウスで選択したテキストが自動で翻訳されるポップアップ機能。
- この機能により、 選択テキストが自動で外部送信 される挙動。
プライバシーとセキュリティの懸念
- Wayland環境 ではアプリケーション間のテキスト取得が制限されるため、同様の問題は発生しない。
- ただし、Waylandではスキャン機能自体が動作しない制約。
- Debianパッケージメンテナの Xiao Sheng Wen は「機能は無効化可能」と主張。
- Lefevreは「 プライバシーに関わる機能はデフォルトで無効にすべき」と反論。
- パッケージ説明にスキャン機能の記載はあるが、「 オンラインサービス利用」の明示はなかった。
- Xiaoはネットワーク辞書プラグインの分離も提案したが、必要性に懐疑的。
過去の同様事例と対応
- 2009年と2015年にも 同様の問題 が報告。
- 2009年はデフォルト設定変更で一時対処。
- 2015年は stardict_dictdotcn.so プラグイン削除で対処、YouDaoプラグインには未対応。
- Xiaoは2015年当時のメンテナではなかったが、2021年には問題を認識していた。
利用者数と影響
- Debianのパッケージ統計では StarDict利用者は178人 （2009～2015年は約1000人）。
- 統計に参加していないユーザーもいるが、 数年間にわたり選択テキストが送信 されていた可能性。
- パスワードや機密文書の一部が意図せず送信されるリスク。
オープンソースとセキュリティ文化
- Debianは多数のパッケージを保持し、安定性重視で 古いソフトウェアも多い。
- 「 Linusの法則」は実際には「十分な監視と対応意識」がなければ成立しない現実。
- Wayland移行 の一因はアプリ間スパイ行為の防止。
- 深刻なセキュリティ問題が 報告後も未修正 のまま残る現状への警鐘。
- Linuxのセキュリティ評価維持には 開発者・保守者・ユーザー全体の問題意識 が不可欠。