「Vectorの一部ソフトがOSプロダクトIDやユーザ名を作者サイトに送信」記事へのコメント

チェック体制

[Anonymous Coward]

Vectorのチェック体制がどうなっているのかよく知りませんが、不正な情報送信に関してはノーチェックなのでしょうか？

この手の不正ソフトウェアでいうと、古くは "WinGroove" や "Vocal Cancel" [srad.jp]、最近では "JWord" が配布されています。
アンチウイルスソフトウェアに登録されれば画一的に対処するようですが、それ以上のチェック、たとえば仮想マシン上で一通り動作させて不正な通信やディスク書き込みなどを行なっていないかどうかはノーチェックのようです。

オープンソースでないとしたら今後はこの手のチェックも行なわざるを得なくなるんでしょうね。

Re:チェック体制（－１；荒らし）

[Anonymous Coward]

オープンソースだとしてもチェックは必要じゃね?
ソースが公開されてるだけで「送信しない」なんて誰も確証持てないでしょ?

誰か読んでチェックしてくれる、ってだけで無条件配布するほうが怖いぞ。

Re:

[Anonymous Coward]

IIJの人が、オープンソースで配布されているsendmailに仕込まれた
不正プログラムを発見したのは、怪しい通信がされていることに
気づいてからソースを確認、そして不正プログラムを発見という
流れだったと思います。

オープンソースであることは、確認がやりやすいというだけで、
不正プログラムを事前に防げるというものではないんですよね。

しかも、sendmailのときは、あからさまに海外のIRCサーバに接続する
という一目瞭然の怪しい動作で分かっただけで、これがsendmailに
仕込まれた不正プログラムが25番ポートを使って司令ホストと通信
するようなものだったら発見されないまま、長期間、広範囲に広まった
ものと思われます。

Re:

[Anonymous Coward]

激しく同意します。
以前にも、オープンソースなソフトウェアでありながら、特定の環境でコンパイルすると違う挙動を示すようにされたものがあったと記憶しています。
（確か、/.Jでタレこまれて記事になってた……詳細は失念）

第一、公開されてるソースからそのバイナリが生成されている保障は誰がするのでしょう？
結局は、配布元が何らかのチェックをした上で配布しないといけないのではないかと思います。

# 自分でソース読んで自分でバイナリ生成すればいいだろ という突込みが怖いのでAC

Re:チェック体制（－１；荒らし）

[Anonymous Coward]

それは、件のトンプソンのバックドアの話 [jargon.net]だろ ちなみに、こいつは確か、原理上ソース読んでも発見できないとかなんとか。

Re:

[Anonymous Coward]

2つに分かれていて、
・コンパイル時にターゲットにバックドアを仕掛ける部分
・コンパイラ(次の世代の自分)をコンパイルする際に自分自身の感染能力をコピーする部分
この2つの要素が絡み合っていたので、コンパイラとして圧倒的シェアを取ってる間はどうにもならないでしょうね。

全てが信用出来ないという点ではカーネルに組み込んで悪さをするルートキットと同じ感じでしょうか。