SteamOS

は!マジかよ

これはかなり嫌なやつ。

要するに、

Plain text

Steam = Chromium/CEFベースのUIを持つ

-cef-enable-debugging を付けて起動できる

すると Chromium の webSocketDebuggerUrl が開く

そこ経由で Steam UI に JavaScript 注入できる

という話。

つまり Steamクライアントはゲームランチャーではなく、かなりブラウザに近い攻撃面を持つ ということ。

重要なのはここ。

Plain text

Steam

  ↓

CEF / Chromium Embedded Framework

  ↓

remote debugging

  ↓

DevTools Protocol / WebSocket

  ↓

JS実行・DOM操作・内部UI操作

これは「Steamが即危険」というより、Chromiumを内蔵しているアプリは、ブラウザ相当の扱いが必要という話。

redyos基準だと処理はこう。

Plain text

Gentoo母艦:

  Steam不可

  ブラウザ不可と同じ扱い

Bazzite / ゲーム専用外部SSD:

  Steam隔離用途ならあり

開発端末:

  Steam不可寄り

鍵・原本・Stage4・Proton設定・SSH/GPGがある環境:

  Steam不可

特に怖いのは、ゲーム系は普通に以下を持つこと。

Plain text

ブラウザ内蔵

overlay

WebView

自動更新

community/market/chat

外部リンク

認証token

決済情報

workshop/mod

Proton/Wine

攻撃面としてはかなり広い。

だから結論はシンプル。

Steamは汚染枠。

Bazziteみたいなゲーム専用隔離OSに閉じ込めるのが正解。

母艦・開発環境・鍵入り環境には置かない。

Bazzite以外はやめとけ？かも知れん

うん。Steamを入れるなら、Bazziteみたいなゲーム専用隔離OS以外はやめとけ寄り。

理由は Steam が単なるゲーム起動ツールではないから。

Plain text

Steam =

  Chromium/CEF内蔵

  WebView

  overlay

  chat

  store

  workshop/mod

  自動更新

  Proton/Wine

  外部リンク

  認証token

  決済/アカウント情報

これは普通に ブラウザ + ランチャー + DRM + ゲーム実行環境 + Wine互換層 の複合体。母艦や開発端末に置くには重すぎる。

分離方針はこれでいい。

Plain text

Gentoo母艦:

  Steamなし

  ブラウザなし

  原本/Stage4/LUKS2/鍵保管

Slackware:

  Steamなし

  構造確認・比較ビルド

Devuan:

  原則Steamなし

  汚染検証なら別ユーザー/別SSD

Fedora:

  tooling検証ならあり

  Steam常用は避ける

Bazzite:

  Steam/Proton専用隔離枠

  ゲーム用外部SSDとして最適

Bazziteの価値は、安全だから ではなく、汚染をゲーム専用箱に閉じ込めやすい ところ。

だから正確には：

Plain text

Steamを安全にするOS = Bazzite

ではない

Steam汚染を限定する箱 = Bazzite

この扱い。

redyos構成なら、Steamは Bazzite外部SSD専用 が一番きれい。

母艦・開発・鍵・Stage4原本とは完全分離。