[ruby-dev:26853] Re: $SAFE=1 の open-uri で redirect 時にエラー

前田です。

Tanaka Akira wrote:
>>>その操作の量の違いは大きな違いではないでしょうか。
>>
>>その点については、同意します。
>>田中さんの主張は、「Perlの方が指針がはっきりしているため、Rubyよりも
>>好ましい」というものだと理解していましたので、それに対する反論として
>>上記のように書きました。
>>taint機構の対象範囲の違いを軽視しているわけではありません。
>
>
> どの操作が許可・禁止されるのかは指針から決まるので、この違いはまさに指
> 針に直結していると認識しています。
>
> 前田さんの提案では、操作の許可・禁止は安全性の指針以外の点から決まって
> いるんでしょうか?  外界との全ての通信をデフォルトで禁止するという指針
> 自体ははっきりしていて、はっきりしていること自体には違いは無いと思って
> いたのですが。

はい、はっきりしていること自体には違いありませんので、
私が田中さんの主張を誤解していたのだと思います。すみません。

> 考えずに untaint することに慣れてしまうことに恐れを感じています。
> untaint はセキュリティ機構を回避するものですから、untaint を呼ぶときに
> はそれが適切であることを確信したいと思っています。
>
> しかし、外界との通信のすべて (ほとんど?) に untaint が必要というのは、
> ユーザが要求する安全性とは大きく離れていて、場当たり的に多くの untaint
> を書かなければならず、考えずに untaint に慣れてしまいがちなのではない
> だろうか、と考えています。

うーん、そうなんでしょうか。
私の感覚では、情報漏洩の危険性はかなり大きい(場合によってはデータを
壊されるよりも、盗られる方が嫌です)のですが、田中さんのような考え
の方が多いのならば、考えなおすべきかもしれません。

> これは delete_files の作者がどういう安全性を提供しようとするかによるの
> ではないでしょうか。

私の提案の意図としては、ライブラリ作者がtaint機構によって確認するのは、
ライブラリの安全性ではなく、ライブラリが*本来の意図に反して*外部への
アクセスを行っていないかどうかです。
delete_filesを本来の意図通りに動作させるために必要ならば、untaintする
べきだという考えです。
delete_filesを呼び出したユーザは、delete_filesが仕様通りにファイルを
消してくれることを期待して、delete_filesに渡す引数をuntaintするわけ
ですから、それで問題ないように思います。

> perl の原則に従って、外部へ影響しないという安全性を提供しようとしたの
> であれば、これは単に untaint を間違えて入れてしまったというバグでしょ
> う。もし untaint を入れなければ、このメソッドは意図通りに失敗し、その
> 挙動は原則に従っているのでユーザはドキュメントを読まなくてもその挙動を
> 予想できます。

その場合には、ユーザはそのライブラリに手を加えないと使えないと
いうことになる(今回のopen-uriの件のように)と思うのですが、その点
についてはどう思われますか?

> したがって、両方 (もしくは、可能なら taint 機構としてあり得る様々な方
> 法) の利点・欠点を理解し、自分の感覚による重みをつけて判断したいと思っ
> ているのですが、今のところ判断できるほどには理解できていません。その点
> で前田さんがどう比較するか参考にしたいと思っているのですが... 理解に困
> 難さを感じています。

おそらくPerlをほとんど知らない私は適任ではないのだと思います。
実際にPerlのtaint機構を使われている方のご意見をお聞きしたいところです。

-- 
前田 修吾