「公式サイト上のSendmailソースにトロイの木馬」記事へのコメント

これってオープンソースの危機じゃねぇの？

[babie (6656)]

この間のOpenSSHといい、 オープンソース陣営として かなり冷や汗ものの事態ではなかろうか。 　＃オープンソースであるか否かに関わらないんだけど 　＃世間はそう見るよね。 　＃これを肴にオープンソース叩きをされたら 　＃かなり効くと思うんだが・・・ 自サーバもってる他のオープンソースプロジェクト

Re:これってオープンソースの危機じゃねぇの？

[babie (6656)]

誤爆しました。
以下再送。

この間のOpenSSHといい、
オープンソース陣営としてかなり冷や汗ものの事態ではなかろうか。

　＃オープンソースであるか否かに関わらないんだけど
　＃世間はそう見るよね。
　＃これを肴にオープンソース叩きをされたら
　＃かなり効くと思うんだが・・・

自サーバもってる他のオープンソースプロジェクトで
セキュリティ

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

> ＃これを肴にオープンソース叩きをされたら
> ＃かなり効くと思うんだが・・・

いえ、MX 落としてはいけない物リスト [tripod.co.jp] を見せれば「クローズドソースは昔から遥かに危険だった」と一撃で反論できるでしょう。

まあ、 PGP も MD5 のチェックもしないでインストールすれば、本質的に改竄されていても判らないという当たり前の事の認識がまだ甘い所が

Re:これってオープンソースの危機じゃねぇの？

[Anonymous Coward]

みてみましたが、何を言いたいのかが良くわかりません。
正規なサイト(もしくは商品としてのCDROM)から
正当な手段でダウンロードしたものに
ウィルスが混ざっていれば危険だとは思いますが、

そもそもMXをつかってああいった商用ソフトウェアを
見知らぬ場所からダウンロードすること

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

> みてみましたが、何を言いたいのかが良くわかりません。

例えば「Get Acrobat Reader Now!」というアイコンを置いて、それにリンクを張って、ハードディスクを全消去するプログラムを Acrobat Reader であるかの様に偽ってWebやFTPでダウンロードさせるといった悪質な悪戯は誰にでもできます。オープンソースなら、まだソースを見るという手がありますが、クローズドソースで EXE の実行ファイルしか無く、PGPやMD5も無いなら、「信じて実行してみないと判らない」のですから。

> 正規なサイト(もしくは商品としてのCDROM)から

sen

Re:これってオープンソースの危機じゃねぇの？

[imo (5135)]

>sendmail では正規なサイトにトロイの木馬入りが仕掛けられたようですから、

それが重要なんじゃん。
その前提をすっとばして、MXでダウンロードすればクローズドソースだってキケンだよって言ったところで、
>

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

どうも私が見かけたクローズドソースの場合の、ダウンロードした結果被害が出る例というのが MX による物だったために、話が別の方向に行ってしまった点は例えが悪かったようですね。ところで

• Acrobat 5J とか、午後のこ～だ 239d を装ったHDD全消去プログラムがあって、被害も出てる。
• この被害例では MX が使われているが、別に MX 以外の、普通の HTTP や FTP によるダウンロードでも、容易に真似できる。
• こうなると、sendmail の件は「オープンソースだからいけなかったのだ」とは言えない。

という事を言いたかったのですが、

>

Re:これってオープンソースの危機じゃねぇの？

[Anonymous Coward]

> こうなると、sendmail の件は「オープンソースだからいけなかったのだ」とは言えない。

あなたが言っているのは
>> 「クローズドソースは昔から遥かに危険だった」

ではありませんでしたか？あなたは
「オープンソースだったからいけなかった」に反論しているのではなく、「クローズドな商用ソフトウェアは、昔からオープンソースなソフトウェア以上に危険だ」と言っているのだと感じられますが。
MXにかかわらず、こういうもの（リストに載っているもの）が
HTTP経由で公開されている可能性もあるのだから、危険だろう、
と、そういうことですよね？

私には、どうしてクローズド

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

> 私には、どうしてクローズドかつ商用のソフトを、
> 保証も無いような場所からダウンロードするかが不思議でなりません。
> こういうソフトって、普通は一時配布元からダウンロードするものではないでしょうか。

Yahoo! [yahoo.co.jp]、 Vector [vector.co.jp]、 窓の杜 [impress.co.jp] は代表的なダウンロードサイトです。そこではフリーウェアもシェアウェアも配布されていますが、ここは一時配布元ではありません。 ここからダウンロードするのは、ごく普通のことです

Re:これってオープンソースの危機じゃねぇの？

[Anonymous Coward]

こう言うとまた紛糾したり話が逸れるかもしれませんが、今回 Sendmail.org のサイトがクラックされてトロイの木馬入りソースが仕掛けられたというのは、技術的観点からは、もし Yahoo!、Vector、窓の杜などがクラックされてファイルを置き換えられた場合、ユーザーがニセのバイナリだと見破れるだろうかという問題と変わりは無いと思います。

例えば実行形式のファイルをダウンロードし、安全確認のためにユーザがアンチウイルスソフトで実行前にチェ

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

> アンチウイルスソフトで実行前にチェックするということは可能です。

そうすれば既知のウイルスに感染した物に関しては検出可能でしょう。でも、例えば「HDD を全部消す」なんてプログラムを作って、バイナリを全く置き換えたら、アンチウイルスソフトでも事前に検出できず、実行したら「さよ～なら～」になるかと思います。

Re:これってオープンソースの危機じゃねぇの？

[querent (8126)]

例えば「HDD を全部消す」なんてプログラムを作って、バイナリを
全く置き換えたら、アンチウイルスソフトでも事前に検出できず、
実行したら「さよ～なら～」になるかと思います。

トロイの木馬として、既知のものであれば検出されると思います。
と言うか、されます。

Re:これってオープンソースの危機じゃねぇの？

[Anonymous Coward]

最近は、未知のウイルスでも、怪しいと思われるものは検出できるようですが。