「「ソースコードを自社開発することでOSS由来の脆弱性を排除した」というDNSサーバー」記事へのコメント

自己満足の極み

[Anonymous Coward]

脆弱性はOSSであるかどうかによって存在するのではなく、脆弱性が存在しないことが証明されない限り必ず存在するものである。脆弱性が存在しないことを証明するのは、悪魔の証明である。自己満足の世界でしかない。

Re:

[Anonymous Coward]

どんなソフトウェアにも脆弱性はある、という前提で。
攻撃側からしたら、「脆弱性を探すコスト」をできるだけ下げつつ、「攻撃できるターゲットが多い」方が効果が望めるので。

つまりオープンソースかどうかではなく、単に「普及すればするほど狙われる」以上の話ではないし、だから「普及率が低い新製品」は、そういう意味では確かに有利ではある。

Re:

[Anonymous Coward]

オープンソースのほうが脆弱性を探すコストが下がる可能性もあるが、
同時に脆弱性が発見されて対策される可能性も上がるのでどっこいどっこい。

OSSは最低限のレビューが保証されるが、プロプラでその保証がないから品質は完全にピンきり。
ただまぁこんなこと自称しちゃう時点でなんとも怪しくはある。
普及するまでもなくごく一部のユーザによる検証で破綻してもおかしくはないが、
普及して攻撃にさらされるようになった時にどうなるか見ものだな。

Re:自己満足の極み

[Anonymous Coward]

プロプラつってもさー。最低単位がハードこみ約100万円（保守3年つき）とかいうアプライアンスなわけですよ、これ。

Windows（やIE）、Adobe製品等、量販店いけば誰でも買えるって代物なら兎も角、こんなもんを「検証して破綻させる一部のユーザー」って何者よ？
企業ユーザーとかで「購入して試験したら穴を見つけた」みたいなことは起き得るけど、それは普通にメーカーに保守として修正させるよね。
かといって一般人やらクラッカーグループがこんなもんわざわざ買って検証するとは思えない、個人が道楽で買う金額じゃないし、販売方式的に足がつく可能性も高いのに。

あと、DNSってプロトコルの仕様として、サーバー側のソフトウェア名称を取得するようなコマンドはなかった筈なので。
アプライアンスがよほどタコい設定をしてない限り、「そもそもそのDNSアプライアンスを使ってる」ことを外部が知れるかどうかが困難だし。
まあうん、たとえば「Bindでゼロデイ攻撃が多発」みたいな状況で、クラッカーグループが「こいつ攻撃してみたけどBindの脆弱性が通らない、何か別の使ってるな」ぐらいに観測される程度が関の山じゃないかなぁ。

# あまりに普及したらブラックボックス攻撃に晒されて穴が見つかることもあるかもしれないけど
# それは1年や2年で起きるようなことじゃないから、心配しなくていいと思うよ

Re:

[Anonymous Coward]

DNSって仕様それ自体にどれほどの運用ミスが山積しているか知ってたら、
「大金を取るシステムなら大丈夫だろう」なんて言えんと思うけどね。

Re:

[Anonymous Coward]

DNSって仕様それ自体にどれほどの運用ミスが山積しているか知ってたら、
「大金を取るシステムなら大丈夫だろう」なんて言えんと思うけどね。

日本語読めないの？それともバカなの？

「大金をとってるから価値が高い」ではなく、「どれだけユーザーが増えるかもわからないようなアプライアンスで、保守契約こみで契約するような代物を、クラッキングのために買うヤツはそうそう居ない」ってだけの話じゃん。