[ruby-dev:26559] Re: $SAFE=1 の open-uri で redirect 時にエラー

立石です。

蛇足かもしれませんが2点だけ私の意見を追記します。

# 私自身は、田中さんと同じ方向の意見を持っていると思います。(が、持っていない
# かもしれません。よく分かりません。)

Tanaka Akira wrote:
> taint 機構が提供する安全性と open-uri が提供する安全性が一致していれば
> そういう問題は起きないわけです。

心配なのは、taint機構が提供する安全性によって、taintの機能説明(汚染と汚染伝播
の定義)を一意にできない点です。もちろん、方針や要件にはなり得るでしょうけど。
つまり、ここで言うところの安全性はRuby外のドメインのある概念を言及する用語で
あって、汚染はRubyの機能を言及する用語だと理解していますが、すべてのライブラ
リ開発者において、この2つの用語の関係を等しくとらえることができるという確信が
持てないです。

例えば、「情報漏えいしないことを安全」という定義とします。このとき、情報漏えい
しないために ruby 側で何を汚染させ、どう伝播させるのかということは多くの人の理
解が一致できるものになるでしょうか？
taint機構を理解して、そこから安全性を推測するくらいなら、taint機構そのものを
ruby内で閉じて定義した方が良さそうです。

# そして、taint機構の使い方によって、○○という安全性のミス防止に役立つということ
# が言えればよいと思います。

>>>perl が参考にならないか、と思って perlsec を読んでみたりもしたのですが、
>>>あっちは read mode の open が許されていたり、想定されている危険性が違っ
>>>ている気がしました。
> 
> たとえば、perlsec の最初のほうに
> 
>        You may not use data derived from outside your program to affect some-
>        thing else outside your program--at least, not by accident.
> 
> という記述で始まるパラグラフがあります。これは perl の taint 機構が何
> を禁止するかという方針を (未定義な安全性とか危険性という言葉を使わずに) 
> 表現しています。

未定義なものを使わないということ以外に、プログラム言語のレベルで表現している点も
良いと思いました。
-- 
Takaaki Tateishi <[e-mail]>