[ruby-dev:26648] Re: $SAFE=1 の open-uri で redirect 時にエラー

In article <[e-mail]>,
  Shugo Maeda <[e-mail]> writes:

> Perlではuntaintに類する操作をしない、という話をしたつもりはありません。
> あくまでも*ライブラリが*どういう条件でuntaintするべきかという指針を
> 見い出せなかったという話です。

ふむ。

> ライブラリでuntaintするということは、`You may not use data derived
> from outside your program to affect something else outside your
> program'という原則に反するということですが、その判断はどういう
> 指針にもとづいて行われるのでしょうか。

untaint することがその原則に反すると述べた覚えはありません。スレッドを
読み返してみたのですが、私がそう述べた部分は見つけられませんでした。

私が述べたどの部分からそのように思われましたか?

>> その手間には untaint すべきかどうかを判断する手間が含まれるわけですが、
>> 判断するには安全性の定義が必要です。
>
> ではPerlではどういう基準で判断されるのでしょう。

私が perlsec を読んだことから想像すると、`You may not use data derived
from outside your program to affect something else outside your
program' という原則に沿ってやるのではないかと思いました。

外部に影響を与えるかどうかは処理系が提供するプリミティブでは判断できな
い場合がありますから、そういう場合に、ライブラリの知識で安全だと判断で
きる場合に untaint するのではないかと思います。

例えば、前田さんが、[ruby-dev:26485] で

| redirect先との通信が成功するかどうかではなく、redirect先との
| 通信が何らかのセキュリティ上の問題を引き起こす可能性があるか
| どうかを判断の基準にするべきではないでしょうか。

と述べたように、通信の内容に依存して安全性が変わる (外部への影響がある
かどうかが異なる) 場合、処理系はその判断ができませんから、ライブラリが
判断するのは妥当だと思います。また、ライブラリでも判断できない場合はユー
ザに判断させるのでしょう。

HTTP の場合は向こうで何が起こるかわからないのでライブラリでも完全な判
断はできなさそうなのがなんですが、FTP などのプロトコルなら get はでき
るが put はできないなどという判断ができそうですよね。

ただ、これは想像であって確認したわけではないので、誰かもっとよく知って
いる人がいたらぜひ教えてほしいところです。
-- 
[田中 哲][たなか あきら][Tanaka Akira]