JavaScriptはかなり安全な言語だよ。ブラウザは世界規模で安全なJavaScriptを実行するのに大成功してるし、使ってるウェブサイトは全部JavaScriptを動かしてて、他のサイトのデータを読み取れないんだ。Electronも同じで、v8を使ってJavaScriptをサンドボックス化してる。ユーザー入力をそのサンドボックス内で実行しない限り（多くのプログラミング言語が許可してることだけど、JSも含めて）、かなり安全だよ。サプライチェーン攻撃の問題はnpmに特有のもので、JSとは関係ない。npmは最近の攻撃に対してもっと責任を持つべきで、依存関係を公開する際にもっと厳しいセキュリティ管理を強制する必要があるね。

JavaScriptは、おそらく地球上で最も使われている言語の一つだよ。ほとんどのコンピュータや基本的に全てのスマホで動いてるし、これによって多くのセキュリティ問題が発見されることになる。なんで「ネイティブ」アプリがもっと安全だと思うの？

Electronがあんまり好きじゃないけど（Tauriに感謝）、Obsidianは素晴らしいアプリだから、Electronで敬遠する必要はないよ。MCPを接続して、エージェントが個人の知識ベースとして使うこともできるし、かなり便利だよ。

リソースをかなり使うんだよね。PCでは問題ないけど、何千ものノートが入ったObsidianのボールトは、モバイルだとプラグインを無効にしても起動が遅くなることがある。ユーザーはクイックキャプチャプラグインやアプリでこの問題を回避するけど、もっとシンプルなネイティブ版のObsidianがあればいいのに。

いや、実際にはそんなに問題じゃないよ。GitHubやVS CodeもElectronアプリだし、SlackやDiscordもそう。Postmanもそうだよね。ちょっと聞きたいんだけど…マークダウンのノートアプリで何をしてるの？パフォーマンスが問題になる理由は何？もしかして、ThinkPad 701CのLynxセッションでこれを読んでるの？

HTMLをレンダリングする必要があるなら、結局マークダウンはそうなるから、ウェブブラウザを使った方がいいかもね。

JavaScriptはC++よりもずっと安全だよ。だって、メモリ管理された言語だからね。

固定した依存関係も、結局はその依存関係がさらに依存関係を持ってるから、常にランダムなコードをダウンロードしてることになるよ。いや、ほんと、Electronと一緒にどれだけのコードがついてくるか考えると…

依存関係を固定するってことは、固定したバージョン以降に出たセキュリティ修正を逃すことにもなるから、それもトラブルを招くことになるよ。だから、これらの修正に気づくためのメカニズムが必要で、修正をバックポートするか、それを含むバージョンにアップグレードする必要があるね。

プラグインモデルって大体こんな感じじゃない？VSCodeとかVim、Emacsとかは、コンテンツを分けるために何かしてるのかな？ゲームだけは、プラグインの権限が制限されてることが多い気がする。

商業用のObsidianプラグインを開発してるんだ。特定のグレードのプラグインに対して、もっと厳しい審査があればいいのにと思う。個人的には、Arch Linuxのaurみたいに、コミュニティが管理するプラグインリポジトリと、もっと厳選された小規模なものを作ってほしい。それがプラグインのレビュー時間の短縮にもつながると思う。

ここで関連するオープンレターがあるよ：https://www.emilebangma.com/Writings/Blog/An-open-letter-to-...

面白いことに、さっきArch Linuxとその派生について考えてたんだ。redditで、彼らは小さな予算で運営してるって言われてた。メンテナーが、彼らは非常に低いオーバーヘッドで運営してるって返事してて、私が思ったのは、私が使ってるソフトウェアのほとんどはAURから来てて、ユーザーが自分のセキュリティを管理することに頼ってるってこと。エンジニアが自分のセキュリティすら管理できないのに、ユーザーにそれを期待するのはどうなんだろう？

Obsidianのプラグインは、ボールト内のすべてのファイルに完全かつ制限なしのアクセス権を持っている。何かが変わらない限り、それ以上に悪いこともある。プラグインは、あなたのマシン上のどんなファイルにも無制限にアクセスできる。以前、ディスコードでこのことを話したとき、みんな軽く流された。

若い頃、ソフトウェアの世界には、ビデオゲームデザインから従来のソフトウェアにアイデアが流れているって話をする著名人が何人かいたんだ。でも、最近はそういう話をする人を全然聞かないな（私がそれを繰り返している場合を除いて）。それはちょっと残念だね。例えば、Blizzardの古参の人がWorld of Warcraftのプラグインシステムについて、特に最初の10年間にどう機能していたか、どこが壊れたか、どうやって時間をかけて強化したか、プラグインからコアライブラリへの機能のバックポートのプロセスについて本か少なくとも短編小説を書いたら、ソフトウェアコミュニティにとって大きな利益になると思う。多くのエコシステムは、雑で半端なプラグインシステムを作ってるからね。大半は、少なくとも三つのうち二つの特徴で説明できると思う。

vscodeより悪くはないよ。確かに権限はあるけど、拡張機能がプロセスを開始するのは超一般的で、そのプロセスは好きなことができるからね。

Obsidianのプラグインでデータを抜き取るのがバレるのも時間の問題だと思う。 reputational harmが大きくなったら、チームも安全対策を導入し始めるんじゃないかな。最低限、何かしらの認証されたパブリッシャーシステムを作るべきだよね。

ほとんどのユーザーはサードパーティのコミュニティプラグインを使ってる これって本当？どれくらいのObsidianユーザーがサードパーティのプラグインを使ってるかの情報はあるの？私は使ってないし、そもそもObsidianはデフォルトで「制限モード」で動いてて、コミュニティプラグインを使うには特別に有効化しないといけないんだよね。だから、そうする人はリスクを理解してると思う。どれくらいの人がその設定を有効にするんだろう？私にとっては、セキュリティが最優先ってわけじゃなくて、Markdownの魅力はシンプルさと相互運用性なんだよね。「プラグイン」に依存すればするほど、この特定のプラットフォームに縛られちゃう気がする。

もっと「バッテリー同梱」にする選択肢もあったけど、開発の手間が増えるからコミュニティに任せてるんだよね。それが攻撃面を大幅に増やすことになるんだけど。ああ、WordPressモデルだね。

新しいパッチがリリースされるまで少し待つってことだと思う。完全にアップデートを避けるわけじゃないよ。最近は妥協点がすぐに見つかるみたいで、だいたい数時間以内にね。npmパッケージのリリースを監視している会社がいくつかあって、彼らはセキュリティスキャンの製品を売っているから、常に最新情報を把握しているのがビジネスの一部なんだ。pnpmには、パッケージをインストールするために少なくともX分古くなっている必要があるって設定があるよ。安全のために、少なくとも24時間は待つかな。 https://pnpm.io/settings#minimumreleaseage

このパズルには重要な欠けた部分がある。それは、なぜアップデートをするのか、パッチが何であるかを理解することだ。誰もソースコードを読む時間なんてないけど、リリースノートの簡単な要約を教えてくれるツールやサービスがたくさんあるよ。例えば、npm Auditはパッケージのバージョンにおけるセキュリティ脆弱性をリストアップしてくれる。私は、必要な場合を除いて更新しないって戦略を取ってる。アップデートは攻撃ベクトルになるだけでなく、非常に一般的なバグの原因にもなるからね。でも重要なのは、自分がどんな脆弱性にさらされているかを把握しておくこと。脆弱性を持ったパッケージは常に出てくるけど、もしそれが自分が使っていない部分のReDoS脆弱性だったら、特にユーザー入力を渡さない部分なら、そのまま放置しておくことにするよ。もし他のパッケージが安全に使わないかもしれないものだったら、脆弱性を知っておけば、その重要性を判断して、すぐにアップデートが必要か、あるいは（できれば）パッチが実際に使われるまで待てるか決められる。それがこの文脈でのセキュリティについて覚えておくべき重要なことだよ：それはアクティブで継続的なプロセスなんだ。組織のリスク許容度やリスク嗜好に合わせて調整する必要があるもので、「絶対にアップデートしない」や「常にアップデートする」といった一律のものではない。しっかりしたセキュリティスタンスを持つためには、それ以上の情報が必要なんだ。

2週間前に私のパッケージに攻撃があったのは、まさにこの仮定を利用したパッチリリースだった。ポストインストールスクリプトでもなかったし。最新の自動スキャンとか色々あるけど、これはほぼ無意味なポイントだと思う。パッケージが脆弱だって分かる時は、警告音がうるさくて明確だからね。私は本当にそう思うし、サプライチェーン攻撃を気にするなら、バージョン範囲は最悪のものだってずっと言ってきたよ。

Dockerコンテナ内でviteを動かすのが一番良さそうだね。

Denoに切り替えるのもいいかも。デフォルトでサンドボックス化されてるし、細かい設定ができるから、特定の環境変数にアクセスしたり、特定のファイルを読み書きしたりする必要があるスクリプトも、そういうアクセスだけ許可するように簡単に設定できるよ。

でもZimにはネイティブのスマホアプリや同期機能がないから、そこがObsidianの大きな魅力なんだよね。プラグインを無闇にインストールしなければ、かなり安全だよ。

それに、使っているどのプラットフォームでも見た目や使い心地が全く同じで、アクセシビリティもネイティブでサポートしてるんだ。