アカウント名:
パスワード:
トロイの木馬を仕込まれる事例 [impress.co.jp]もあるんで、最近はソース公開であっても、リリースアナウンスのメールなどにMD5のハッシュ値を記載する場合がほとんどで、中には改竄防止のためにハッシュ値を記載したメールやファイルにPGPなどで電子署名したりする例もあります。
うろ覚えですが、debianなどでは、公式バイナリには電子署名が必須だった気がします。
ということで、今回議論(もしくは非難)されるべきはmozilla.orgあるいはMozilla Foundationのバイナリ作成および配布方法であって、オープンソース全体に敷衍すべき問題ではないと思いますが。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy
ソースを使え、ルーク (スコア:1)
Firefox本体はともかく拡張ぐらいならすぐ読めるし。
でもWindowsの1アプリとしてみると彼の意見はもっともだ。Firefoxもそういう時期なんでしょうね。
Re:ソースを使え、ルーク (スコア:2, すばらしい洞察)
ミラーサイトにある未署名バイナリに問題があるかどうかは
あまり関係がないと思いますが。
Re:ソースを使え、ルーク (スコア:2, すばらしい洞察)
> ミラーサイトにある未署名バイナリに問題があるかどうかは
> あまり関係がないと思いますが。
ですね。/.jpのこのトピックのコメントでも脊髄反射して主題を取り違えている人が多すぎだと思います。
該当のblog記事を読む限り、主に配布方法の信頼性の問題を指摘しているのであって、firefoxそのものに信頼性がないとは言っ
Re:ソースを使え、ルーク (スコア:1)
しかしFirefoxが「初心者にもお勧め」、「WindowsでもIEの代わりに最適」と広告しようとすればそれではいけない。バイナリでクリック1つでインストールできなければならない。バイナリで配布するならばコードを見て改ざんされていないか確認することは不可能であり、配布方法の信頼性が必要となる。彼の主張はそういうことであり、正しい。
で、私はそういうことは理解したうえで、(おそらくMoziilaの開発者も共有していたであろう)従来の感覚を示し、なぜMozillaやほかのオープンソースのソフトウェアが署名に気をかけなかったのか暗に示しただけです。
別にMozilla開発者の書いたコードに悪意のあるコードが含まれているかどうかとか、彼の主張が間違っているだとか、MSやIEがどうだとか、そういうことを主張しているのではなく、決して主題を取り違えてはいません。
#確かにそんなに明確に厳格に主張したわけではないですよ。でもそれは何か意図があって明確にせずに暗に示したわけではなく、単に眠い頭で雑談として書いただけだから明確になってないだけです。あのあやふやな書き込みを見て、同じような感覚を持った人がなんとなく同意してくれればそれで十分でした。
#また、私の言葉足らずな書き込みを見てあなたが「主張を取り違えている」と誤解したことは仕方のないことです。
#ただ、私の書き込みが彼の主張を取り違えて書かれたもので*ない*ことははっきりさせておきたいです。
Re:ソースを使え、ルーク (スコア:1, すばらしい洞察)
ある程度大規模なソフトに対して、
悪意のある改竄を受けていないかどうか
エンドユーザーに判断できますか?現実的に。
Re:ソースを使え、ルーク (スコア:2, すばらしい洞察)
>Firefoxの昔のエンドユーザーは、
>自分でソースをコンパイルして使うユーザーでした。
>当然ユーザーはソースを読むことができるので、
ソースからコンパイルできるユーザと、ソースを読んで理解できるユーザは
必ずしも一致するわけではないし、後者のほうは全く少ないです。
>そのソースが安全かどうかの判断ができ、
>安全とわかったソースから作ったバイナリは当然安全です。
現実的な話、数千行以上におよぶソースを見せられても、安全かどうかの判断を
下すには日数が要するはずです。
ある有名なオープンソースのソフトウェアのソースが悪意を持った人物に改竄され、
そのまま配布されていた事件では、気づいた人はソースを読んで発見したという
わけではなく、コンパイルして実行し、その挙動がおかしいということに
気づいたからに過ぎませんでした。
当然、挙動に不審を覚え、ソースを読んで調べたわけですが、コンパイルして
使う前にソースが安全かどうか調べる人なんて少ないでしょう。
Re:ソースを使え、ルーク (スコア:1, すばらしい洞察)
> そのソースが安全かどうかの判断ができ
バージョンアップのたびにソースツリーのdiffをすべて検証してコンパイルしていた人なんてほとんどいないんじゃ…
ソースのすべてが実際にアンゼンだったかどうかは、 ソースコードを読むことではなく「コンパイル後の不具合報告」で判断してたような希ガス
Re:ソースを使え、ルーク (スコア:0)
>そのソースが安全かどうかの判断ができ、
>安全とわかったソースから作ったバイナリは当然安全です。
ですから、自分の入手したソースが安全か判断できるのかということです。現実的に。
Re:ソースを使え、ルーク (スコア:0)
>自分でソースをコンパイルして使うユーザーでした。
バージョン0.1の頃からwin32版のバイナリしか使ったことがないエンドユーザーですが何か?
#ソースをみたことがある人の点呼を取ってみたい
Re:ソースを使え、ルーク (スコア:1)
>気づいたからに過ぎませんでした。
UnitTestなのでは?(^^;
ソースだから信用できるとは限らない (スコア:1)
トロイの木馬を仕込まれる事例 [impress.co.jp]もあるんで、最近はソース公開であっても、リリースアナウンスのメールなどにMD5のハッシュ値を記載する場合がほとんどで、中には改竄防止のためにハッシュ値を記載したメールやファイルにPGPなどで電子署名したりする例もあります。
うろ覚えですが、debianなどでは、公式バイナリには電子署名が必須だった気がします。
ということで、今回議論(もしくは非難)されるべきはmozilla.orgあるいはMozilla Foundationのバイナリ作成および配布方法であって、オープンソース全体に敷衍すべき問題ではないと思いますが。