「OpenSSLに脆弱性、0.9.7aと0.9.6iリリース」記事へのコメント

脆弱性

[goubu (3245)]

というようないいかげんな言葉でなく、 はっきり、 バグといいましょう。

バグじゃない脆弱性

[SteppingWind (2654)]

バグと脆弱性は別の物ですので, 分けて考えた方が良いでしょう. それではバグじゃない脆弱性って何かと言ったら, 良く聞くでしょう「仕様です」って.

有名な例はWEPですね. 一応, 仕様通りに暗号化されていますが, それが脆弱なため容易に破られてしまいます. まあ, これなんかは仕様バグと言ってもよいかもしれませんが. 他にも昔のNISの様にネットワーク上に暗号化したパスワードを流しちゃう, 今から見れば噴飯物の仕様もありますが, これもローカルの限られた範囲でのみ使うというのであれば大丈夫という判断もできます.

またWEPもそうですが, 暗号などでは定量的に安全性を評価することが必要です. 例えば64bit RC5が今日では既に脆弱であることが示されていますが, これも暗号化の為のbit長が短すぎるだけで原理的には問題は無いです.

もちろんバグによる脆弱性も多いのですが, 使用目的・環境がプログラムの想定していた物と異なるが故に脆弱性となってしまうことも多くあります(今回の指摘も若干その気が有るみたいです). ですから脆弱性が発見されたといっても単に騒ぐのではなく, それが自分のシステムに対してどのような影響を与えるのかを評価することが各自に要求されます.

Re:バグじゃない脆弱性

[tix (7637)]

書かれている内容には基本的に同意できるのですが、

バグと脆弱性は別の物ですので, 分けて考えた方が良いでしょう. それではバグじゃない脆弱性って何かと言ったら, 良く聞くでしょう「仕様です」って.

「バグ」という言葉は実装の欠陥のみを指す場合もあれば、仕様の欠陥も含めて指す場合もあるので、たぶん「脆弱性はバグの一種」というときには「バグ」という言葉を広いほうの意味で使っているのでしょう。

「脆弱性」という日本語は、いかにも翻訳調で不自然だと思うので、ぼくはたいてい「弱点」という言葉を使います。
もちろん100％言い換え可能というわけではありませんが。

--
鵜呑みにしてみる？