Windows ではよくあること、と片付けるには、これらをすべて通り抜けて「ブラウザーから画像をクリックしただけでインストーラーが実行される」状況を作り出す必要があるのですが……。
XP SP3 を管理者権限で利用している状況ですら、IE7 にするとアドオンのインストーラー自動実行を情報バーが防ぐようになりますし、セキュリティーポリシーなどが設定されていればそれらも抜ける必要があります。
つまり、現状サポートされている Windows すべてにおいて「よくあること」と片付けるには、最低限 XP SP3 環境で IE6 を利用しており、かつそれを外部サイトにまで利用していること、加えて IE のゾーン設定を標準から変更しておらず、アクセス先が制限済みサイトに含まれていない事、という前提条件を満たす必要があります。よくあるとするには、ちょっと限定的すぎるかな、と思います。
Mac はそうした機構がどう準備されていて利用できるのかといった点が周知され、どのように設定していったらいいかという点が広く通知されているでしょうか。
「Mac は安全」と言ってしまったがために、そういった点はおろそかになっていないでしょうか。
それを「おもちゃ」だと言ってしまっている点に、意識の危うさが出ていると思いますよ。
Windows、Mac OS X、Linux などを使ったクラッキングコンテストでは、現状「標準インストール段階で外部から攻撃して成功するパターンはまず存在しません」。これはいずれのプラットフォームでも同様です。
しかし、「ここにアクセスしてください」が許可された途端、一瞬で攻略が完了するのが Mac OS X であり、これはここ数年まったく変わっていない、という事実があります。
外堀がこれでまた一つ埋まった (スコア:-1, フレームのもと)
Macは攻撃されない（マルウェアが少ない）から安全。
ユーザを騙して実行させてるんだからウィルス（マルウェア）じゃない。
と言ってきた信者の人たちの外堀がまた一つ埋められました。
これ、脆弱性ですよね。
システムは乗っ取られないものの、ユーザ権限で勝手にインストールされてしまう。
Re: (スコア:1)
>と言ってきた信者の人たちの外堀がまた一つ埋められました。
外堀だから内堀だか知らないけど、ほんの少数はあるよね..ということは判っていた。
逆に、たかだかマルウェア一個の出現でこれだけニュースになるんだという面で、
「なんだ、どこぞのより、やっぱ少ないってことな」ということになりそう。
>ユーザ権限で勝手にインストールされてしまう。
インストーラでインストールを続けないとインストールされないのだけど....
インストール先を選択とかいった時点でやめたらオケ。
インストールを続けないと、そこで終わっちゃうんだな。
なので、勝手にインストールされるってのは、ちょっと違うよね。
Re: (スコア:1)
えーと、単純にそこで「大丈夫」と思っちゃっているのが問題としか言えませんが。
その段階で「アプリケーションが起動し」ているんですよ。
今回はたまたま「偽物のアンチウィルスソフトを導入させ、それにより『発見されたものを駆除するならお金払ってね』と直接クレジットカード番号などを盗む」もので
Re:外堀がこれでまた一つ埋まった (スコア:1)
>その段階で「アプリケーションが起動し」ているんですよ。
インストーラですよね。
チェックポウントは働いていますな。
>肝は「Google 画像検索のサムネイルなどをクリックしちゃっただけでもサーバーからアプリケーションがダウンロードされ自動実行される」点にあります。問題はここ。
つまり、チェックポイントがあってもだめってことを言ってますね。
でしたら、パスワードいれるチェックポイントもだめで、あらゆるダウンロードした
ソフトがだめってことかな？Firefoxなんかの更新もそうですけどね。
>ゆっくりとディスク内をクロールしてユーザーが持っている情報を盗むだけだったらとっくにやられている可能性がある、という事です。
チェックポイントで拒絶してもダメあったんですか？
Re:外堀がこれでまた一つ埋まった (スコア:1)
あぁ、インストーラーを偽装したアプリケーションが起動しているのかと思ったら、そういう訳ではないようですね。まぁそこに穴があった場合はどうなるのっていうのと、画像をクリックしただけでインストーラーが起動している段階でダメだろうというのはともかく……。
あと気になる点が 2 点ほど。
パスワード不要とのことですが、これはペアレンタルコントロール他の管理機構によるインストール制限を回避するようなパターンとはなりえませんか?
もう一つは、インストール先を選択とかいった時点で止めたら ok ということですが、「安全だと宣伝されてるから安全だろうと思いこんじゃう」素敵なユーザー群が「気付いて止めるに決まってる」と言い切れないのであれば、それは十分に危険と言えるのではないですか?
Re:外堀がこれでまた一つ埋まった (スコア:1)
>まぁそこに穴があった場合はどうなるのっていうのと、画像をクリックしただけでインストーラーが起動している段階でダメだろうというのはともかく……。
Windowsではよくあること。
いまさら、それがダメだとか言ってもね。
>パスワード不要とのことですが、これはペアレンタルコントロール他の管理機構によるインストール制限を回避するようなパターンとはなりえませんか?
なるかもしれないね。
ペアレントにコントロールされる側がそれなりのスキルがあったらね。
でも、ペアレンタルコントロールは、違う方面のコントロールもしているので、
そちらについてもわかりませんなぁ...ということになりますね。
>「安全だと宣伝されてるから安全だろうと思いこんじゃう」素敵なユーザー群が「気付いて止めるに決まってる」と言い切れないのであれば、それは十分に危険と言えるのではないですか?
まぁ、Windowsでも結構あること。
素敵なユーザがいるから、あんなにたくさんのセキュリティ系のおもちゃソフトが売られていたりするわけですからね。
危険がないとは、誰も言っていないですよね。
むしろ、「あの程度でニュースバリューを持つってことは、やはりMacってあまり狙われていないんだろうね」という推測が成り立つ訳です。
しかし、比較の対象がアレなんで、そんなに威張ることでもないと思いますよ。
Re:外堀がこれでまた一つ埋まった (スコア:1)
Microsoft は「それがダメ」だと思ったからこそ、IE ではポリシーによるセキュリティーのモデルが選択できるようになり、XP SP2 では信頼していないネットワークからダウンロードしたファイルにはフラグがセットされ、実行時に「信頼できているのか?」と確認し、IE7 では情報バーが出るようになり、Vista では UAC が搭載されました。
また、定義済みのハッシュ値を持つアプリケーションの実行禁止や任意パス以下でのアプリケーションの実行禁止 (セキュリティーポリシー)、正しく署名されたアプリケーション以外は昇格を許可しない (UAC のポリシー) といった機構も持っています。
Windows ではよくあること、と片付けるには、これらをすべて通り抜けて「ブラウザーから画像をクリックしただけでインストーラーが実行される」状況を作り出す必要があるのですが……。
XP SP3 を管理者権限で利用している状況ですら、IE7 にするとアドオンのインストーラー自動実行を情報バーが防ぐようになりますし、セキュリティーポリシーなどが設定されていればそれらも抜ける必要があります。
つまり、現状サポートされている Windows すべてにおいて「よくあること」と片付けるには、最低限 XP SP3 環境で IE6 を利用しており、かつそれを外部サイトにまで利用していること、加えて IE のゾーン設定を標準から変更しておらず、アクセス先が制限済みサイトに含まれていない事、という前提条件を満たす必要があります。よくあるとするには、ちょっと限定的すぎるかな、と思います。
Mac はそうした機構がどう準備されていて利用できるのかといった点が周知され、どのように設定していったらいいかという点が広く通知されているでしょうか。
「Mac は安全」と言ってしまったがために、そういった点はおろそかになっていないでしょうか。
なお、「Microsoft が Trusted Computing の方向性に舵を切った」事から起きている XP SP2 によるファイアーウォールの搭載、アンチマルウェアソフトの搭載 (Windows Defender)、マルウェア除去サービス (悪意あるソフトウェアの削除ツール)、アンチウィルスソフトの提供 (Microsoft Security Essentials) 他の流れは何年も前からある一連の流れです。今更と言うには、ちょっと時間の経過が長すぎると思いますし、「Mac は安全」という宣伝の前から存在している流れです。
それを「おもちゃ」だと言ってしまっている点に、意識の危うさが出ていると思いますよ。
Windows、Mac OS X、Linux などを使ったクラッキングコンテストでは、現状「標準インストール段階で外部から攻撃して成功するパターンはまず存在しません」。これはいずれのプラットフォームでも同様です。
しかし、「ここにアクセスしてください」が許可された途端、一瞬で攻略が完了するのが Mac OS X であり、これはここ数年まったく変わっていない、という事実があります。
そうした状況でも攻撃を防げる可能性を「持つことができる」のが、あなたが言っているおもちゃです。
もちろん誤認識などもありますし完全だと言うつもりもありませんが、ないよりはマシですね。
Apple 自身が「Mac は安全」と言っているのは、否定ではありませんか。
非 Windows 環境をとっても、Linux や FreeBSD などにもアンチウィルスソフトは存在しますし、Windows は NT4 時代から ACLs などのアクセス制御機構を、Solaris は Trusted Solaris、FreeBSD や Linux は SEBSD や SELinux といった強制アクセス制御などの機構を持つことで、マルウェア対策だけではないセキュリティー機構の堅牢化といった取り組みが行われています。
Mac OS X の場合、FreeBSD をベースとしたユーザーランドは取り込んでいますが、SEBSD による最新の成果などは取り込まれていません。(ベースとした FreeBSD のバージョンが古く、現在開発中の 9.x や現行最新リリースの 8.x とはまったく異なります)
最新系が取り込まれているなら本来消えているはずのファイアーウォールルール定義のバグなども消えているはずですが、どうも消えていないようですし。
「攻撃が当たっても不発弾なら大丈夫」はイコール安全ではないのですが、元々 Apple 自身が言っている「Mac は安全」自体がこの程度の言葉でしかないわけで、「Windows でも結構あること」と言うのであれば、「Apple はああ言っているがこちらとしては別途対策はしておいた方がいいのではないか」「Apple のあの言葉はおかしくないか」という発想の流れにならないのはとても不思議です。
Apple の作ったものに脆弱性がないというのであればともかくそんなことはないですし、脆弱性に関しては OpenBSD や qmail の方がまだマシですし、こちらの方であっても脆弱性が 0 だったという訳ではないですね。
Re: (スコア:0)
>
>Windowsではよくあること。
>いまさら、それがダメだとか言ってもね。
windowsもカスなんだからMacもカスでいいという意見に見えるが。
なぜこのMac好きは、windowsなんか放っておいてMacユーザをどうにか守ろうという意見にならないのか。
Appleに一言申したい的展開にならないのか。
>>「安全だと宣伝されてるから安全だろうと思いこんじゃう」素敵なユーザー群が「気付いて止めるに決まってる」と言