パスワードを忘れた? アカウント作成
9735 story

「どうすればFirefoxを信じられる?」の件がやっと対処 141

ストーリー by Oliver
ただのハッシュ値検査では不十分 部門より

jbeef曰く、"昨年12月のこと。本家で「How Can I Trust Firefox?」というストーリが出ていた。なんでも、MicrosoftのPeter Torr氏のblogで、「How Can I Trust Firefox?」というエントリが掲載されて炎上しているという。氏の主張は、Firefoxは確かに良いブラウザだが、インストーラに(PKIを用いた)コード署名がなされていないので、ダウンロードする人にとってスパイウェアと見分けがつかないというもの。これは正論だ。 Sun MicrosystemsのJavaも、AdobeのReaderも、インストーラにはずっと以前からコード署名されていたが、 Mozilla Foundationのインストーラには署名がなかった。そして先日、Firefox 1.0.1 でようやくコード署名されたインストーラがリリースされた(Thawte Code Signing CA発行の証明書で署名されている)。これで一般の人でも安心してダウンロードが可能になった。これもこのblog炎上事件のおかげだろうか。このblogエントリを日本語訳したものも登場しているので、日本でも後追い炎上してみてはどうだろう。Peter Torr氏はSlashdotでの議論を受けて後日「I love Slashdot」というエントリを掲載しているのでこちらもあわせてどうぞ。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • M$社員が Firefoxは確かに良いブラウザだが と言ってしまったことではないの?
  • 別解 (スコア:2, 興味深い)

    by Anonymous Coward on 2005年02月27日 23時22分 (#700594)
    www.mozilla.org にサーバー証明書をインストールしてSSL対応すれば良い・・・訳じゃありません。理由を50字以内で述べよ。
    • Re:別解 (スコア:4, 参考になる)

      by tt_net (17623) on 2005年02月27日 23時53分 (#700610)
      SSLのサーバ証明書は、そこで配布しているバイナリが改竄されていない、ということを示すものではないから、でしょうか?
      # 50字超えたかも。。
      親コメント
      • by Ryo.F (3896) on 2005年02月28日 4時35分 (#700712) 日記
        少なくとも、
        • サーバ=ブラウザ間の通信路では改竄されていないことと、
        • そのSSLサーバが確かに当該組織が運営する正しいサーバであると言うこと
        ということは判るよね。
        #細かいことを言うと、いろいろあるけど。

        上の二つから、ダウンロードしてきたバイナリをどのように信頼するかは、受け手のポリシ次第なんじゃないかなぁ。
        親コメント
    • by Anonymous Coward on 2005年02月28日 1時10分 (#700651)
      PKIの本当の問題点は一般の人に対してはほとんど理解がされていないことだと思う。
      今回の問題に対する対処は確かに重要だけど、それで何割の人がスパイウェアなどから逃れられるかは疑問。
      エキスパートだったらサーバ証明書でも問題はないはず。素人にはサーバ証明書はおろか、今回の対処でさえもほとんど無意味な気がする。
      誰でも本当の平和が獲得できる世の中はどうやったら来るんだろう!?
      親コメント
      • by bsdworld (10030) on 2005年02月28日 1時34分 (#700665)
        > 誰でも本当の平和が獲得できる世の中はどうやったら来るんだろう!?

        何も考えずに享受できる世界は来ないでしょう

        例は違いますが、以前ニュースでやっていたカード偽造団がインタビューで、そこに人間が介在する限りICカードを導入しようが対応できるって言っていたのが印象的でした。
        親コメント
    • Re:別解 (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2005年02月27日 23時34分 (#700605)
      ミラーに効果がないぢゃん。いじょ
      親コメント
  • by Anonymous Coward on 2005年02月27日 23時23分 (#700595)
    >インストーラに(PKIを用いた)コード署名がなされていないので、
    >ダウンロードする人にとってスパイウェアと見分けがつかない
    プリンタドライバインストするのにも、署名が無いって警告に平気で
    了承しているユーザーの立場は…
    • プリンタドライバインストするのにも、署名が無いって警告に平気で 了承しているユーザーの立場は…
      その署名はまたちょっと別の話です。CD-ROMからWindows XPにドライバをインストールするときに出る警告のことですよね? それは、Microsoftが認定したドライバかどうかを確認している画面で、ニセの認定証を作られないためにPKIの仕組みが使われているだけであって、ここで言うセキュリティの話とはまた別です。CD-ROMで入手しているのなら、CD-ROMの配布者が提供しているドライバであることは、署名がなくても信じることはできるでしょう。

      その話ではなく、インターネット経由でドライバをダウンロードできるようになっている、プリンタメーカーとかパソコンメーカーとかが最近多いわけですが、こちらが未署名の .exe ファイルで配布されているというのは、よろしくないですね。

      証明書は1社に1枚しかいらないのだから、証明書購入費用は企業にとってはゴミみたいなもののはずなので、なぜ署名しないのか理解できません。署名する手間にコストはかかりそうですが、リリース前の最終チェックでチェック済みだと判子を押すセレモニーのつもりで、電子署名すればよいわけで、本来あるべき姿ですね。

      どのパソコンメーカー、デバイスメーカーは署名していて、どこは署名していないといったリストを作るといいですね。 おおむね外資系は署名しているけれど、日本の会社は署名していないところがかなり多いという印象があります。ちょっと調べたところでは、VAIOのインストーラ [sony.co.jp] は署名されていますが、パナソニックPCのインストーラ [panasonic.biz] は署名されていませんでした。他はどうですか。

      ちなみに、最近、電子申請システムとかで中央官庁や地方自治体の多くが .exe ファイルを配布しているのですが、署名されたものがみあたりません。いくら GPKI [gpki.go.jp] だの LGPKI [lgpki.jp] だの JPKI [jpki.go.jp] だのとガチガチの安全を構築したかのように主張したところで、配布物が署名されていないんでは根こそぎ台無しです。電子政府作ってる奴らはバカばっかりです。

      親コメント
      • その署名はまたちょっと別の話です。
        #補足しますね。
        今回の元ネタである、ドライバをインストールする際に表示される「Windows ロゴ テストに合格していません」ダイアログを表示させたくない場合「ドライバ署名」という今回とは別の署名が必要になります。

        このドライバ署名を取得するには証明書以外に Microsoft 社の外郭団体である WHQL のロゴ要件 [microsoft.com]を満たし、かつ HCT(Hardware Compatibility Test) に合格する必要があります。詳細な手順については MS のロゴ プログラム [microsoft.com]のテストに記載されています。ちなみに HCT は結構厳しいテストを Hardware/Driver に課するのでドライバ署名取得目的以外でもお勧めしたいテストツールです。

        ということでドライバ署名は簡単に取得できません。

        ドライバ署名を取得したからといって動作の保障をしてくれるわけではありませんが、外部団体(WHQL)から動作確認を行ってもらった証にはなるかもしれません。
        未署名の .exe ファイルで配布されているというのは、よろしくないですね。
        上記の場合、Authenticode 対応 Digital ID を取得すれば、後は自社でバシバシ署名するだけで、コストは Digital ID 取得分という理解で問題無いですよね?
        --
        Mc.N
        親コメント
      • 今回Mozilla Foundationが証明書を購入(?)した様ですが、
        その証明書はMozilla Japanによるものを含め
        各国語にローカラライズされたプログラムにも有効なのでしょうか?

        サーバー証明書ならば、各国の各サーバー毎に必要という事でよいですか?

        全く的外れな事言ってますかね… (汗

        知っている方が居たらお教え戴きたいです m(_ _)m 。

        #恥ずかしいけどID
        #after9 は magic9

        親コメント
    • by tokushima (155) on 2005年02月28日 0時17分 (#700625)
      最近セキュリティに異常に厳しくなったのに、
      標準ソフトやドライバのインストール手順に
      「警告がでますが、"はい"を押して次にすすでください」
      なんて書いてあるうちに会社の立場は・・・。
      --
      It's not who is right, it's who is left.
      親コメント
    • by sorya (25160) on 2005年02月28日 1時14分 (#700657)
      オリジナル(改変されて無い)かどうかだけではなく、OSとの互換性テスト [microsoft.com]を
      通過してるかどうかのWHQL [e-words.jp]の署名となると、情状酌量しないでもなく…
      親コメント
  • by ruto (17678) on 2005年02月27日 23時59分 (#700612) 日記
    オープンソース側の感覚だと心配ならばソースを使うという感覚だなぁ。
    Firefox本体はともかく拡張ぐらいならすぐ読めるし。
    でもWindowsの1アプリとしてみると彼の意見はもっともだ。Firefoxもそういう時期なんでしょうね。
    • by hir_000 (2322) on 2005年02月28日 0時31分 (#700634) 日記
      注:長いッス。

      Peter Torr氏は昔からMSのスクリプト関連の開発者で、
      ニュースグループでよく回答していたし
      webでユーティリティを公開したりしていたので
      仕事柄よく名前を見かけました。

      blogも購読していて同記事はリアルタイムで読んだ
      のですが、「うげ何じゃこりゃ燃料じゃん」
      と思っていたら/.本家で早速取り上げられていて
      もう目も当てられない状態。いろいろがっくりした
      覚えがあります。

      Firefoxの配布形態に信頼できない部分があり、
      問題であるという指摘は正当だとは思うわけですが
      「その点IEはバッチリsecureですよ」という我田引水
      も、まあ目をつぶるとしましょう。MSの人だし。

      しかしsecuniaに指摘されつつもUnpatchedのままだった
      脆弱性がいくつある/あったのかと思えば
      "How can I trust Firefox?"なんて書き方は
      敵を作るだけであろうと。

      あのsubjectは
      「どうしてFirefoxを信用できようか(いやできない)」
      と反語表現と理解されたのが実情でしょう。
      自分もそう読みましたよ。

      記事の内容を考慮しつつ字面通りに読めば、
      「どうすれば~信じられるか」となりますが。
      それはレトリックを弄しすぎというものです。

      なお当時Mozillazine日本語版でも言及されていた
      ことを付記しておきます。
      http://ryuzi.dyndns.org/mozillazine/html/modules/news/article.php?storyid=789
      親コメント
    • by Anonymous Coward on 2005年02月28日 3時04分 (#700696)
      ソースに問題があるかどうかと、
      ミラーサイトにある未署名バイナリに問題があるかどうかは
      あまり関係がないと思いますが。
      親コメント
      • by tt_net (17623) on 2005年02月28日 6時41分 (#700727)
        > ソースに問題があるかどうかと、
        > ミラーサイトにある未署名バイナリに問題があるかどうかは
        > あまり関係がないと思いますが。

        ですね。/.jpのこのトピックのコメントでも脊髄反射して主題を取り違えている人が多すぎだと思います。

        該当のblog記事を読む限り、主に配布方法の信頼性の問題を指摘しているのであって、firefoxそのものに信頼性がないとは言ってませんよね。彼が言っていることは妥当な問題指摘だと思います。

        ですが、そこで「How Can I Trust Firefox?」というタイトルはちょっと刺激的な上に誤解を招きやすいと思いました。だから、筆者がMSの人ということもあいまって、必要以上に燃え上がっちゃったんじゃないでしょうか。
        親コメント
        • 従来の場合配布の形態は原則としてソースであり、そこでは配布方法の信頼性なんてどうでもよかったわけです。改ざんされててもソースを見て問題ないコードなら問題なしという考え方で。
          しかしFirefoxが「初心者にもお勧め」、「WindowsでもIEの代わりに最適」と広告しようとすればそれではいけない。バイナリでクリック1つでインストールできなければならない。バイナリで配布するならばコードを見て改ざんされていないか確認することは不可能であり、配布方法の信頼性が必要となる。彼の主張はそういうことであり、正しい。

          で、私はそういうことは理解したうえで、(おそらくMoziilaの開発者も共有していたであろう)従来の感覚を示し、なぜMozillaやほかのオープンソースのソフトウェアが署名に気をかけなかったのか暗に示しただけです。
          別にMozilla開発者の書いたコードに悪意のあるコードが含まれているかどうかとか、彼の主張が間違っているだとか、MSやIEがどうだとか、そういうことを主張しているのではなく、決して主題を取り違えてはいません。

          #確かにそんなに明確に厳格に主張したわけではないですよ。でもそれは何か意図があって明確にせずに暗に示したわけではなく、単に眠い頭で雑談として書いただけだから明確になってないだけです。あのあやふやな書き込みを見て、同じような感覚を持った人がなんとなく同意してくれればそれで十分でした。
          #また、私の言葉足らずな書き込みを見てあなたが「主張を取り違えている」と誤解したことは仕方のないことです。
          #ただ、私の書き込みが彼の主張を取り違えて書かれたもので*ない*ことははっきりさせておきたいです。
          親コメント
          • by Anonymous Coward on 2005年02月28日 12時01分 (#700838)
            >改ざんされててもソースを見て問題ないコードなら問題なし

            ある程度大規模なソフトに対して、
            悪意のある改竄を受けていないかどうか
            エンドユーザーに判断できますか?現実的に。
            親コメント
          • トロイの木馬を仕込まれる事例 [impress.co.jp]もあるんで、最近はソース公開であっても、リリースアナウンスのメールなどにMD5のハッシュ値を記載する場合がほとんどで、中には改竄防止のためにハッシュ値を記載したメールやファイルにPGPなどで電子署名したりする例もあります。

            うろ覚えですが、debianなどでは、公式バイナリには電子署名が必須だった気がします。

            ということで、今回議論(もしくは非難)されるべきはmozilla.orgあるいはMozilla Foundationのバイナリ作成および配布方法であって、オープンソース全体に敷衍すべき問題ではないと思いますが。

            親コメント
      • Re:ソースを使え、ルーク (スコア:2, おもしろおかしい)

        by ruto (17678) on 2005年02月28日 10時42分 (#700801) 日記
        別にどんな信頼できないサイトから入手しようともソースを見て問題がなければ問題がないのでは。現実問題として確認できるかどうかは置いておいて、古き良き(フリー)UNIX(クローン)文化の感覚としては。バイナリなんてホンのおまけぐらいで。
        親コメント
    • by Anonymous Coward on 2005年02月28日 0時25分 (#700629)
      >オープンソース側の感覚だと心配ならばソースを使うという感覚だなぁ。

      ま、その感覚が抜けない限りはオープンソースとやらもヲタの趣味の域を抜けない訳だが。
      親コメント
  • M$の修正ぱっちは? (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2005年02月28日 4時25分 (#700708)
    先日、お客さんから問い合わせがあった。
    月刊Microsoftの修正ぱっちを当てたらWindowsが起動できなくなったということだ。

    そのときに「どうすればMicrosoftを信じられる?」という話になった。
typodupeerror

物事のやり方は一つではない -- Perlな人

読み込み中...