パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

EdMax, WeMail32など複数のWindowsメーラにセキュリティホール」記事へのコメント

  • by Anonymous Coward on 2003年07月02日 1時25分 (#349852)
    毎回同じ事がここ数年くりかえされています。
    解決する見込みがあるのでしょうかそれともないのでしょうか?

    #私自身としては ActiveXは悪の根源だと思ってます。
    #廃止したしてアンインストールすればセキュリティー向上するような気がしますけど
    • HTMLメールなんて使うな、では終わってしまうので。 私はまずHTMLの危険な自由度が問題だと思います。 (ウェブでのセキュリティの問題の多くも)
      親コメント
      • by tara (16250) on 2003年07月02日 4時26分 (#349893) ホームページ 日記

        HTMLではなく、なんでも出来る多機能Webブラウザが危険だと思うのですよね。
        HTMLでActiveXなんて定義されてないわけですし。

        ここは単機能Webブラウザの出番ですね。行けっ、Lynx!
        ブラウザのシェアを食い尽くすのだっ(笑)

        # とりあえず、今回はマイコンピュータのセキュリティレベルを
        # 「高」にしてやれば解決です?(なんだそりゃ)

        親コメント
        • by sham (4555) on 2003年07月02日 5時15分 (#349900)
          セキュリティレベルをあげてActiveXをとめたら、ファイル検索とかできなくなった(笑
          親コメント
          • ま、まあ今回のセキュリティホールはたぶん閉じたことですし それくらいは大きな心で許し…て……

            ……適当な事言ってすみませんでした。

            親コメント
            • by sham (4555) on 2003年07月02日 7時14分 (#349915)
              使用ソフトウェア、利用者の知識や注意力などなどを考えて、安全優先って決断が出るなら不便でもマイコンピュータのActiveXを止めるも有りです。(場合によってはWindowsの使用禁止も)
              運用する側が、どこにバランス点を持ってくるかの違いだけです。
              そのための手段は色々あった方が面白いので、こういった案もアリだと思いますよ。

              便利で安全であれば、一番いいんですが。

              ま、今回の気になるのは、各社の修正の状態。
              完全に推測だけど、HTML表示を中止したのでなければHTMLソースから一部のタグを削除しただけじゃないかとにらんでます。
              あとは、その削除基準に抜けがないかですね。
              色々かってに都合よく解釈してくれるIEコンポーネントが相手ですから、思いもよらない表現で、フィルタリングをすり抜けるとかね。
              たとえば、Hexコードで記述とか、@や:とか混ぜるってよくあるでしょ。
              この辺のチェックがしばらく続くんじゃないかな。

              この件、もともとメーラのIEコンポーネント呼び出しから来る危険性は昔から想定されてましたので、個人的には、その時の対策のために色々試したことあったんです、その中にマイコンピュータのActiveX停止もあって・・・・さすがにファイルの表示&実行ぐらいは出来ましたが、色々な所でActiveXが動作してるって身をもって知りましたよ。(所々真っ白で何も表示されないとか)

              結局、自分のいた会社では、Explorerが使い物にならなくなるので、マイコンピュータのActiveXは解禁。(笑
              メーラのIEコンポーネント使用停止をバランスゾーンとして基準に盛り込んでたんだけどねぇ。
              導入する人たちが無視(無知?)を決め込んで、ボロボロでしたわ。

              コンピュータ系の某部長談「IEは削除した。(デスクトップ上のIEアイコンを消して。)メールソフト?何処にもIEを使ってるって書いてないじゃないか。」

              ま、会社辞めた今となっちゃ知ったこっちゃないですけどね。
              親コメント
    • by Anonymous Coward on 2003年07月02日 2時17分 (#349859)
      > #私自身としては ActiveXは悪の根源だと思ってます。
      ActiveX無効で、Windows Updateって可能だったでしょうか?
      使わざるをえない?
      親コメント
      • ・Updateが無くても、自分でパッチ等を選びインストールできるは  ずだが。 ・ちなみに自分はWinUpdateは完全に手動にしてます。 (といっても、たまに/必要に応じて起動するだけだが)  可能性が低くても、WinUpdateにセキュリティホールが有る可能性  を考えているので。  いろんな対策をしていても、コレが乗っ取られるとかなりヤバいと  思うので。
        親コメント
      • by Anonymous Coward on 2003年07月02日 10時10分 (#349986)
        「インターネット」ゾーンではActiveX無効に、
        Windows Updateサイトを「信頼済みサイト」にしてるけど。
        親コメント
      • > 使わざるをえない?
        それ以前に危険な技術の上に機能を成り立たせてはいけないのではないかと。
        ActiveX に代わる技術で WindowsUpdate をできるようにするか、さもなくば
        ActiveX をより安全な仕様/実装にするべきでしょうな。
      • Linuxにも、apt(Debian等)、RedHat-Network(RedHat)、Tarbopkg(TarboLinux)といった更新ツールがありますが、WindowsもActiveXを使わない更新ツールを作らないのかな。
        そうすれば、厄介なActiveXともおさらばできるのに。
    • 野暮なのはわかっているのですが、ひとつ質問させてください。よく「ActiveX」は安全ではないので使用すべきではない技術として紹介されますが、これは真実なのでしょうか?

      これを真実をするためには他のインストール手法として以下のような条件が伴うのではないでしょうか。

      1. Internetから決してソフトウェアをダウンロードしてインストールしない。
      2. そうでなければ以下の条件を満たしてインストールを行う。
        • ソースをダウンロードする。
        • ソースを確認して動作上問題ないことを確認する。
        • ビルドしてインストールする。

      つまりバイナリをダウンロー

      • by sham (4555) on 2003年07月03日 5時54分 (#350769)
        >安全性の面ではActiveXとさほど変わりがないんじゃないでしょうか。

        そのままなら、変わらないですねぇ。
        普通のEXEって実行したらなんでも出来ますよね?

        でも、EXEやよく普及しているZIPだとまずはダウンロードして保存。
        ZIPならツールを起動して解凍しなおし。
        そしてEXEを実行してインストール&実行。
        パソコンになれた方ならなんでもない操作なんだけど、けっこう手間がかかってて、パソコン始めたばかりの方は戸惑ってしまいますね。
        「インターネットがしたい。」(WWWのことなんだが)って多くのかたは、パソコンが使いたいってわけでもないので、OS特有のファイル操作なんて手間がかからないようにする必要があるんですよ。

        そこで、MS流に考え出したのがActiveXで、
        まったくの新しいものだと開発する側が大変ですから今までのEXEをベースにちょっと通信風味を追加。
        ユーザーはダウンロードして保存するって操作を自動化、実行も自動で・・・じゃまず過ぎる。

        そこでゾーンわけと認証画面が登場。

        ・インターネットゾーンは危険な物を仕掛けられてる可能性があるから認証画面を出してユーザーの判断をあおぐ。
        ・イントラゾーンは身内のパソコンって程度の位置付けなので、インターネットよりちょっと緩め。
        ・信頼済ゾーンはほぼ無制限で自動実行。
        ・制限ゾーンは認証すらなしに却下。
        ところが、ここに隠されたゾーンがあって
        ・マイコンピュータゾーンの無制限で自動実行。
        ってのがあるわけです。

        ま、たとえばHD内のファイルを検索したいとするでしょ、その時に毎回
        認証画面がでて信頼しますか?ってのにボタンをおさないと実行できないってのも面倒でしょ。
        だから、このゾーンだけは制限がゆるくなってます。

        ってことはいちどHDD内に入り込んでしまえばマイコンピュータゾーンってことで何でもアリってことですよね。
        それだとメーラーのようにインターネットからやって来る物をHDに保存するものには不都合が出ます。
        そこで、メーラーはHTMLメールを制限ゾーン扱いにして実行するように特別なことをしてるのです。
        今回は、制限ゾーン扱いの抜け道がみつかったってわけです。

        それじゃActiveXが危険だといわれるのはセキュリティーホールだけかというとそうでもないんです。
        それじゃこの認証って物で安全が保てるか考えてみましょう。

        認証画面は作成元を証明するものであって、安全の証明じゃないんですよ。「作成元から安全か危険かはあんたが判断しろ。もしなんかあっても安全だと判断したあんたの責任やで」と責任のがれのための物でしかないんですね。
        しかも、作成元の名前以外は、メッセージは作成元が自由につけれます。嘘もなんでもアリです。

        ここまでの説明で、ActiveXは、保存や実行に自動化と認証画面が出るだけのEXEって思ってください。

        それじゃActiveXが特別危険かというと、実はEXEと大差ありません。(笑
        EXEも自動で保存して実行したら同じなんです。ただ、仕掛ける側の手間が省けるだけでね。
        ActiveXの安全はゾーンわけと認証画面によって保たれてるわけで、これをすり抜ける問題が出るとセキュリティーホールと騒がれるわけです。
        でも、よ~く考えてみれば、認証画面で言葉巧みに実行ボタンをおさせれば、結局危険なんですよ。
        だからってActiveXだけが特別危険ってわけじゃないですけどね。EXEもなんやわからんサイトにたどりついてDLしてインストールしたら危ないのは一緒ですよ。

        それじゃ、他の技術の場合はっていうと、有名なのはJAVA(今回はJAVAアプレットの話)

        EXEだとパソコン内部を直接すき放題操作できて危険ですよね。
        そこで、仮想のコンピュータをつくってその中でプログラムを動かすようにしたのがJAVAなんです。
        だからJAVAのアプレットはWindows上で直接動かすことはできません。
        JAVA仮想マシン(JAVAVM)ってEXEを起動して、仮想のコンピュータを用意します。
        そして、その中でアプレットを動かすのです。
        環境ごとのJAVAVMを用意すれば、あらゆるOS環境で動くのはこのおかげなんですね。(動かん事も多いけどね)
        そして、安全を優先してるので、JAVAVMに現実のパソコンを操作する命令を載せないようにし、アプレットは現実のパソコンにはなんら悪さする事ができないようにしてるわけです。
        (まぁ、現実のパソコンを直接操作できた方が便利だって独自のJAVAVM作った会社もいますが。こんな考えするのは何処かはもうわかりますよね。)

        だから危険な事を仕込んだJAVAアプレットを仕掛けてパソコンに攻撃するって難しいわけです。

        たまにJAVAも問題みつかるけど、それは想定してなかった抜け道で現実のPCに影響をあたえてしまった事を言
        親コメント
        • by Anonymous Coward
          いまではアプレットのほかにアプリもネットで配信できます。
          WEBStartってやつですが。
          でも、これもサンドボックスでの動作なので安全性もばっちりです。

          ローカル環境へのアクセスも安全な範囲内で可能になったので
          アプレットの不便なところはだいぶ解消されました。
          たとえばローカルにログファイルやcsvファイルを保存したりとか、
          手元のファイルをアップロードしたりとかできます。

          ローカル環境にアクセスできるといっても

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」

処理中...