【ITニュース解説】What changed in this Electron update? Diffing two app.asar builds without running either

Electronは、ウェブ技術であるHTML、CSS、JavaScriptを使って、Windows、macOS、Linuxで動作するデスクトップアプリケーションを開発できるフレームワークだ。多くの人気アプリケーションがElectronで開発されているが、そのアップデート時にアプリの内部で何が変わったのかを正確に把握するのは難しいという課題がある。特に、セキュリティやプライバシーに影響するような変更が加えられていないかを確認することは、アプリケーションの信頼性を保つ上で極めて重要だ。アプリのコードは、配布時には通常、圧縮されたり難読化されたりして、「app.asar」という一つのアーカイブファイルにまとめられているため、中身を直接読むだけでは詳細な変更点を特定するのは困難だ。また、変更点を確認するためだけにアプリを実際に実行することは、時間と手間がかかるだけでなく、もし悪意のあるコードが含まれていた場合にセキュリティ上のリスクを伴う。

このような課題に対応するために開発されたのが「hexvero」というツールだ。hexveroの目的は、Electronアプリケーションの異なるバージョン間で「app.asar」ファイルを比較し、アプリケーションを実際に実行することなく、コードレベルで何が変更されたのかを静的に解析して報告することにある。静的解析とは、プログラムを実際に動かさずに、そのソースコードやバイナリコード自体を読み解いて情報を得る手法のことだ。これにより、開発者はアップデートによって意図しない動作が発生していないか、あるいはセキュリティ上の懸念がないかを、安全かつ効率的に確認できるようになる。

hexveroが検出する主要な変更点の一つに、「ウェブページがアクセスできる機能（インターフェース）」の変化がある。Electronアプリケーションでは、ウェブページを表示するレンダラープロセスが、デスクトップアプリの本体であるメインプロセスと直接やり取りすることはセキュリティ上の理由から制限されている。このプロセス間の通信は「IPC（Inter-Process Communication）」と呼ばれ、「preloadスクリプト」という特別なスクリプトを介して行われる。preloadスクリプトは、contextBridgeという機能を使って、メインプロセスからウェブページに対して、特定の関数やデータのみを安全に公開する役割を担っている。hexveroは、このpreloadスクリプト、contextBridgeによる公開、そしてIPCチャネル（通信経路）の定義を解析し、異なるバージョン間で追加または削除されたインターフェースを報告する。例えば、バージョン1.4.0で「openInShell」という、システムシェルで任意のパスを開く可能性のある機能が削除され、バージョン1.5.0で代わりに「checkUpdate」という更新確認機能が追加された、といった具体的な変更を検出できる。「link direct」と表示される場合は、ウェブページから呼び出される橋渡し役の機能と、メインプロセスで実際に処理を行う部分とが、同じ固定された名前のIPCチャネルを使用しており、その関連性が確実であることを示している。

もう一つ重要な検出項目は、「ウィンドウの設定変更」だ。Electronアプリケーションのウィンドウには、セキュリティに関わるいくつかの重要な設定が存在する。例えば、「nodeIntegration」は、ウェブページからNode.jsの機能（ファイルシステムへのアクセスなど）を利用できるようにするかどうかを決定する設定だ。これが有効になっていると、ウェブページのスクリプトからシステムリソースへのアクセスが可能になり、セキュリティ上のリスクを高める可能性がある。「sandbox」は、ウェブページを隔離された安全な環境で実行し、システムへの影響を最小限に抑えるためのセキュリティ機能だ。hexveroは、これらの設定がバージョン間でどのように変更されたかを報告する。例えば、「nodeIntegration: true → false」や「sandbox: false → true」といった変更は、アプリケーションのセキュリティが向上したことを意味する。hexveroは、これらの設定値がコードに明示的に記述されていない場合でも、Electronのデフォルト値から変更があったことを「default on / default off」という形で報告し、隠れた変更も見逃さないようにしている。

ただし、hexveroのような静的解析ツールには限界があることも、このツールは正直に明言している。例えば、IPCチャネル名がコード中で固定の値ではなく、プログラムの実行時に環境変数や計算結果に基づいて動的に生成されるようなケースでは、hexveroは正確なチャネル名を特定できない。このような場合、hexveroは不確実な推測に基づいて変更を報告するのではなく、チャネルが解決できなかったことを明示的に「Not established」として報告し、その原因となったコードの場所（ファイルと行番号）を示す。これは、ツールが検出できない部分をユーザーに正直に伝えることで、誤解や過信を防ぎ、より慎重な検証を促すための重要な姿勢だ。

hexveroの利用方法は非常にシンプルだ。npx hexvero demoコマンドを実行するだけで、用意されたサンプルElectronアプリケーション（NotesDesk 1.4.0と1.5.0）の2つのビルドを比較し、その変更点をすぐに確認できる。より詳細な調査が必要な場合は、npx hexvero ui --demo --openコマンドでウェブベースのユーザーインターフェースを起動し、ブラウザでソースコードの該当箇所を直接確認することも可能だ。また、npx hexvero compareコマンドを使えば、比較結果をMarkdown形式のレポートファイルとして出力できる。このレポートは、アプリケーションのリリース前のレビュープロセスに添付したり、変更履歴として記録したりするのに役立つだろう。

hexveroは、あくまでコードの内容を静的に解析するツールであり、アプリケーションが実際に何をするか、あるいは特定の変更が直接的に脆弱性につながるかどうかを証明するものではない。また、全ての変更点を漏れなく検出できるわけではないことも、開発者は正直に公開している。例えば、IPCチャネルがレジストリ関数を通じて動的に登録されるような複雑なケースでは、hexveroが現在のところその変化を完全に追跡できない場合がある。しかし、検出できなかった変更についても、その理由と場所を可能な限り報告しようと努めている。悪意のあるコードの解析は、静的解析であってもリスクを伴う可能性があるが、hexveroはファイルのサイズや解析の深さ、時間を制限することで、そのリスクを管理している。

hexveroはMITライセンスのオープンソースプロジェクトとしてGitHubで公開されている。これは、誰でも自由にコードを閲覧し、利用し、改善に貢献できることを意味する。自分のElectronアプリケーションのビルドを比較する際にも、npx hexvero compareコマンドを使って、古いビルドと新しいビルドのapp.asarファイルを指定するだけで利用できる。Electronアプリ以外にも、ELF/PE/Mach-O形式の実行ファイル、Android APK、.NETアセンブリ、WebAssemblyなど、多種多様なバイナリ形式の解析にも対応しており、MCPサーバーを介してAIエージェントが調査を実行できるようにも設計されている。もし自分のアプリケーションでhexveroが間違った情報を報告した場合、そのファイルと行番号を添えて開発者に報告することは、ツールの精度向上に大きく貢献する。また、hexveroがこれまで知らなかったビルドの変更点を明らかにしてくれた場合、GitHubでスターを付けることで、他の開発者がこの有用なツールを見つける手助けになるだろう。このツールは、自身が所有する、あるいは検証が許可されているソフトウェアに対してのみ使用すべきだ。