[ruby-dev:26740] Re: $SAFE=1 の open-uri で redirect 時にエラー

前田です。

Tanaka Akira wrote:
>>私の理解は以下のようなようなものでした。
>>
>>* プログラムの外部に影響を与えるのに外部から取得したデータを使っては
>>  いけない(少なくとも偶然には)。
>>* そこで外部からのデータはtaintされ、外部に影響を与えるような操作に
>>  渡すとエラーになる。
>>* 意図的にそのような処理を行いたいケースもある(原則から外れるケース)。
>>  そのような場合はパターンマッチによってuntaintする。
>>  パターンマッチを行ったということは、ユーザが何をしているかわかった上で
>>  そのような処理を行ったと考えることができる(偶然そうなってしまったわけ
>>  ではない)ため、問題ない。
>>
>>この理解は間違っているということでしょうか。
> 
> 
> いろいろと考えたのですが、もし前田さんがそう理解しているのなら、なぜ
> perl のライブラリでは untaint しないという仮定をしたのか理解できません。
> 
> [ruby-dev:26641] によれば、
> 
> | あくまでも*ライブラリが*どういう条件でuntaintするべきかという指針を
> | 見い出せなかったという話です。
> 
> ということですが、ライブラリについて記述がなければ、ライブラリにもプロ
> グラムの他の部分と同じ指針を適用し、untaint するというのが自然に思えま
> す。

それはどのような指針でしょうか。

私の理解だと、untaintする時は`You may not use data derived
from outside your program to affect something else outside your
program'という原則から外れるので、プログラマの裁量でuntaint
するものだと思っていました。

もしそうだとすると、Rubyの場合と判断の対象となる操作の量の違いしか
ないのではないでしょうか。
もし違うのであれば、どのような指針でuntaintするのか教えてください。

>>もしこの理解が間違っていて、untaintした場合でも外部への影響があってはな
>>らない、とすると、やはりアプリケーション全般を対象とする場合には制約が
>>厳しすぎるように思います。
> 
> 
> 前田さんの perl のライブラリは untaint しないという仮定も、制約が厳し
> すぎて問題があるという結論を導く原因になっているように思えます。
> 
> そのように理解できない仮定に基づいたものと比較されても、前田さんの提案
> している Ruby 方針が優れているということを納得することはできません。
> 
> なぜ、そう仮定したのでしょう?

上述のように、untaintする指針を見い出せなかったのでそのように仮定しました。
明確な指針がなくuntaintが許容されているならば、Rubyの場合とそれほど
状況は変わらないので比較する必要もないと考えたからです。

> setuid スクリプトで自動的に taint mode になる他、CGI 等でも使うことを
> 強く推奨しているようです。
(snip)
> | RubyにはCGI等のプログラミングを安全に行うことを助ける為に、セキュリティ機構が備わっています。
> 
> |  ・ setuid, setgid されたスクリプトは $SAFE = 1 以上で実行される。
> 
> などという記述をみると、とくに対象が違うようには思えません。

そうなのかもしれません。

-- 
前田 修吾