[ruby-dev:29879] Re: cgi.rbのDoS脆弱性について

こんにちは、なかむら(う)です。

In message "[ruby-dev:29877] Re: cgi.rbのDoS脆弱性について"
    on Nov.06,2006 19:01:13, <[e-mail]> wrote:
| 他の人が指摘を甘んじて受けていないのに、なぜU.Nakamuraさんが
| 受けているのかがよくわかりません。
| 個人的な意思表明ですよね?

もちろん個人的な意見表明ですよ。

私以外にも関係する人が何人もいると思いますが、全ての人が私と
同じ見解を有するわけでもないでしょうから、「うるせえボケ」と
思ってる人もいるかもしれませんし、いちいち反応してやるまでも
ない、と思ってる人もいるかもしれません。
他の人がどう思っているかは、私は当人じゃないから知りませんし、
知っていてもわざわざ代弁したりはしませんが。


| セキュリティに関する体制の代表としての意見ではないでしょう。
| U.Nakamuraさん一人が「稚拙であるし不十分である、と思って」いたところで
| その認識を体制として共有できていますか?

既にまつもとさんがおっしゃっておられますが、体制なるものも組
織なるものも今はありません(たぶん)。
ないものを私はもちろん代表はしていませんし、できません。
ないんだから認識の共有ができるはずもありません。

私自身は現状に問題を感じて不満も持っており、そのことをsecurity@
なりwebmaster@なりに提示したりもしていますが、それが組織なり
体制なりの形で結実するのは今すぐのことではないでしょう。


| www.ruby-lang.orgに記事を載せる作業とセキュリティに直接関係がありますか?
| 優先度を判断する人、パッチを作る人、レビューする人、記事を掲載する人、
| 分担として別ではありませんか?

記事を書く人、影響範囲を検証する人、MLで質疑に応答する人、と
か、どんどん分担が増やせそうですね。

「パッチを作る人」というのがどういう作業を想定してるんだかよ
くわかりませんが(だから先のメールでは若干あいまいな返答になっ
ていますが)、上のような分担なるものがあるとしたら、私は
 * 記事(の叩き台)を書いた人
 * 影響範囲を検証した人(の一人)
 * 現在用意されているパッチファイルそれ自体を作成した人
 * 記事を掲載する作業をした人
くらいですかね。


| 当初の記事を掲載した時点では、あなたは単にwww.ruby-lang.orgに記事を載せ
| るという役割であって、[e-mail]の中の人ではなかったのです
| ね。パッチを作った人でもないと。
| その時点では、あなたが指摘を甘んじて受ける必要はないと思います。

上に書いたとおり、「パッチを作った」という言葉が含めようとし
ている範囲がよくわかりませんが、私自身は自分のことを、指摘な
り非難なりの矢面に立つだけの作業をやったものと理解してますよ。
MoonWolfさんにわざわざ必要の有無をご指南していただく必要もな
いと思います。


| パッチを説明なしに差し替えた時点では[e-mail]の中の人だった
| のですか?
| パッチを差し替えたのは[e-mail]の判断だったのですか?

security@(ry、という、確立した主体があるわけじゃないんだから、
security@(ryの判断、なんてものは存在し得ない、という話は何度
も繰り返されています。
# それが存在しないことがいいか悪いかは別ですよ

で、えーと、パッチを差し替えた時にはsecurity@(ryには加えても
らっていました。
つっても、加えてもらったとたんに私がsecurity@(ryなる集合知性
の一部をつかさどって判断なるものを下す主体の一部となったわけ
でもないですが。
それ以前からsecurity@(ryに対してやりとりしていた掲載内容につ
いての話し合いの一貫としてパッチを差し替えました。
どうしてもその判断の主体を決めたいなら、私が判断したっていう
のが一番正しそうな回答になるかと思います。


| 今回の脆弱性への対応に関する議論、レビューのことを言っています。

上記の通り。


| ここは[e-mail]ではありませんけど、中の人たちは議論に参加し
| てくれているのでしょうか?
| ruby-devでだけ議論してセキュリティポリシーを決めようとするのに
| 問題は感じませんか?(別に英語圏の人も含めて議論しろとまではいいません)

私はsecurity@(ryの中の人全員の名前は知りません(たぶん)。
裏を返すと、何人か中の人の名前は知っているわけですけど、誰が
中の人で誰が中の人でないか、という情報については私が開示すべ
きものでもないと思うのでお答えしかねます。
既に一部の中の人の名前を知っているという知識を抜きにしても容
易に推察できることですが、Ruby自体の修正を伴う話題を扱うsecurity@(ry
の中の人がruby-devは読んでない、なんてことはまずないでしょう。
日本語を読み書きできるなら。

それはそれとして、security@(ryの中だけでセキュリティポリシー
を決めるのと、広く公開されたMLで議論をするのとでは、後者の方
がよりよいのではないか、と、私は思います。
議論が発散しがちで結論がいつまで経っても出ない傾向が強いから、
一概にいいとも言えないかもしれませんけど。


| 今回の脆弱性についてもレビューが行われて、その結果があのような対応になっ
| たのですね。
| 対策の済んだ記事に関する議論であれば公開しても問題ないと思いますが、
| そのレビューを見ることはできますか? できれば読んでみたいです。

対策、済んでるんですか?
済んでないって言ってるのはMoonWolfさんじゃなかったでしたっけ?
今の状況なら済んでることにしていい?

私自身も、実際にはまだ不十分である可能性があると考えているの
で、不十分そうな部分をどうするべきなのか余力のある方々に議論
して何らかの結論を出して欲しかったんですけど。
# ところでMLでの議論において「これが結論である」と判断する主
# 体は何/誰が適切なんでしょうねえ。

でと、対策の済んだ記事に関する議論であれば公開しても問題ない
かどうかは、私には何とも言えません。
また、一般論として、私が書いたものに関しては、それを公開する
かどうかの直接的決定権は私にありそうな気がしますが、「できれ
ば読んでみたい」程度のために自分の書いたメールをMoonWolfさん
に渡そうという気分にはなりませんね。


それでは。
-- 
U.Nakamura <[e-mail]>