「IE6に任意のファイルをダウンロード・実行させる大穴」記事へのコメント

Opera買わなきゃダメなのか～。

[Kidzuki_Nihiru (7762)]

Windowsに限って言えば、IE+Sleipnir [www20.pos.to]に慣れてしまっているのでNetscapeやMozillaにはどうにも乗り換えにくく…
Linuxしか使わないのならOperaを買う気にもなるんですが、どちらかというとWindows動かしてる時間の方が(個人では)長いし。


ところで実際にこのテのセキュリティホールで被害を被った人ってどれぐらいいるんでしょう？
「セキュリティホールを突いた悪さをするようなWebページになんてアクセスしないだろうし、そもそもファイルのダウンロードは無効にしてるからたぶん大丈夫だ」なんて考えはやはり危険かしら。

# 前者は自分でもどうかと思うけども。

Nimda のときがまさにそうでしたが

[ryoryoryo (5621)]

感染したマシンのディスク上にある Web コンテンツに片っ端から自己拡散用のコードを埋め込むようなワームがいると、アングラなページは見に行かないから安全とは言えないのですよね。事実、Nimda のときは MSN などに感染したコンテンツが置かれてしまったおかげで多くの人が被害に遭っています。(参考: http://help.msn.co.jp/notice.htm [msn.co.jp], http://www.watch.impress.co.jp/internet/www/article/2001/0919/nimda3.htm [impress.co.jp])

プライスロト事件のときはワームではなくクラッキングによる改竄で攻撃用のコードが仕込まれ、これまた多くの人の PC が起動不能に陥りました。(参考: http://www.watch.impress.co.jp/internet/www/article/2001/0821/price.htm [impress.co.jp])

I do it を示すための犯行文を残すタイプの改竄では被害はクラックされたサーバの所有者のみにとどまり、改竄を受けた事実もすぐに判明しましたが、密かに攻撃用コードを埋め込むタイプの改竄では被害は閲覧しに来た不特定多数のユーザに及び、改竄の事実がすぐにはわからないという問題がありますね。

また、ファイルのダウンロードを無効にしていても Content-Type や拡張子を組み合わせることで制限を回避できてしまったりする問題 (2ch の fusianasan トラップのような) もありますし、設定だけで逃げられるとは限らないです。(参考: http://www.st.ryukoku.ac.jp/~kjm/security/memo/2001/12.html#20011225_f... [ryukoku.ac.jp])

やはりどうしても IE を使わなければならないのであれば、セキュリティ関係の情報に対するアンテナを高くし、どのような欠陥が指摘されているのか、どのようなパッチをあてる必要があるのか、どのような設定を施す必要があるのか、どのようなことをしてはいけないのかについて意識することが必要ではないかと考えます。もっとも、これは IE に限った話ではないのですけれど。

Re:Opera買わなきゃダメなのか～。

[Linkey (4575)]

>ところで実際にこのテのセキュリティホールで被害を被った人ってどれぐらいいるんでしょう？

Nimdaの時、会社のユーザが大量に被害を被りました。

>「セキュリティホールを突いた悪さをするようなWebページになんてアクセスしないだろうし、

えーと、ここ [msn.co.jp]に悪さをされたんですが(--;
＃そりゃユーザは気がつかないって

Re:Opera買わなきゃダメなのか～。

[Silphire (7255)]

Sleipnirは出てきて日が浅いですから、その気になれば何とかなりそうな気がしますが。

Re:Opera買わなきゃダメなのか～。

[Anonymous Coward]

>Sleipnirは出てきて日が浅いですから、その気になれば何とかなりそうな気がしますが。

それは無理でしょ....
レンダリングエンジンにIEを使っている限り
この手の問題は避けられないと思うんですけど？

Geckoベースに作り直すなら話は別でしょうが、
たぶんやらないと思うよ。
俺は作者さんじゃないからわからないけど。

LunaScapeでは、トップページにIEのセキュ

Re:Opera買わなきゃダメなのか～。

[Silphire (7255)]

誤解を招く表現で申し訳ありません。私が

Sleipnirは出てきて日が浅いですから、その気になれば何とかなりそうな気がしますが。

と言ったのは、親コメントの

Windowsに限って言えば、IE+Sleipnirに慣れてしまっているのでNetscapeやMozillaにはどうにも乗り換えにくく…

というコメントに対してです。Sleipnirの作者の方がレンタリングエンジンをIEからGeckoに変えると言うのは、私も無理だと思います。

Re:Opera買わなきゃダメなのか～。

[Kidzuki_Nihiru (7762)]

む。ひょっとして誤解を招く表現だったかな？私。

> Windowsに限って言えば、IE+Sleipnirに慣れてしまっているので
> NetscapeやMozillaにはどうにも乗り換えにくく…

と書いたのは“タブ型から離れられない”という意味です。
まぁタブ型というだけならNetscape用のものもありますけど、簡単にActiveXとかJAVAをOFFにできる機能その他を備えたものは無い(あります？)ので。
ウィンドウの分割表示・サーチバー・マウスジェスチャーに慣れるともう…
もちろん、MozillaやNetscapeがここまで使いやすくなってくれたらそちらに乗り換えますけどね。

# 一応Operaがそれ相当の機能をもってはいますが、使っているダウンロードツールの対応がまだなのと、
# レジストの仕方がやたら面倒なのでどうにも躊躇われます。