[ruby-dev:26732] Re: $SAFE=1 の open-uri で redirect 時にエラー

In article <[e-mail]>,
  Shugo Maeda <[e-mail]> writes:

> 私の理解は以下のようなようなものでした。
>
> * プログラムの外部に影響を与えるのに外部から取得したデータを使っては
>   いけない(少なくとも偶然には)。
> * そこで外部からのデータはtaintされ、外部に影響を与えるような操作に
>   渡すとエラーになる。
> * 意図的にそのような処理を行いたいケースもある(原則から外れるケース)。
>   そのような場合はパターンマッチによってuntaintする。
>   パターンマッチを行ったということは、ユーザが何をしているかわかった上で
>   そのような処理を行ったと考えることができる(偶然そうなってしまったわけ
>   ではない)ため、問題ない。
>
> この理解は間違っているということでしょうか。

いろいろと考えたのですが、もし前田さんがそう理解しているのなら、なぜ
perl のライブラリでは untaint しないという仮定をしたのか理解できません。

[ruby-dev:26641] によれば、

| あくまでも*ライブラリが*どういう条件でuntaintするべきかという指針を
| 見い出せなかったという話です。

ということですが、ライブラリについて記述がなければ、ライブラリにもプロ
グラムの他の部分と同じ指針を適用し、untaint するというのが自然に思えま
す。

> もしこの理解が間違っていて、untaintした場合でも外部への影響があってはな
> らない、とすると、やはりアプリケーション全般を対象とする場合には制約が
> 厳しすぎるように思います。

前田さんの perl のライブラリは untaint しないという仮定も、制約が厳し
すぎて問題があるという結論を導く原因になっているように思えます。

そのように理解できない仮定に基づいたものと比較されても、前田さんの提案
している Ruby 方針が優れているということを納得することはできません。

なぜ、そう仮定したのでしょう?

> もともとsetuidスクリプトのようなものを想定しているようなので、そういう
> ものなのかもしれませんが、とすれば、Rubyの$SAFE == 1との比較対象として
> は適切でないかもしれません。

setuid スクリプトで自動的に taint mode になる他、CGI 等でも使うことを
強く推奨しているようです。

       Perl automatically enables a set of special security checks, called
       taint mode, when it detects its program running with differing real and
       effective user or group IDs.  The setuid bit in Unix permissions is
       mode 04000, the setgid bit mode 02000; either or both may be set.  You
       can also enable taint mode explicitly by using the -T command line
       flag. This flag is strongly suggested for server programs and any pro-
       gram run on behalf of someone else, such as a CGI script. Once taint
       mode is on, it's on for the remainder of your script.

Ruby のマニュアルの

| RubyにはCGI等のプログラミングを安全に行うことを助ける為に、セキュリティ機構が備わっています。

|  ・ setuid, setgid されたスクリプトは $SAFE = 1 以上で実行される。

などという記述をみると、とくに対象が違うようには思えません。
-- 
[田中 哲][たなか あきら][Tanaka Akira]