[ruby-dev:29880] Re: cgi.rbのDoS脆弱性について

MoonWolfです。

U.Nakamura wrote:
> | セキュリティに関する体制の代表としての意見ではないでしょう。
> | U.Nakamuraさん一人が「稚拙であるし不十分である、と思って」いたところで
> | その認識を体制として共有できていますか?
> 
> 既にまつもとさんがおっしゃっておられますが、体制なるものも組
> 織なるものも今はありません(たぶん)。
> ないものを私はもちろん代表はしていませんし、できません。
> ないんだから認識の共有ができるはずもありません。

言葉を選ぶのが難しいですね。「組織」でもないし「体制」でもない。
「グループ」、「チーム」というのも違う?

> 私自身は現状に問題を感じて不満も持っており、そのことをsecurity@
> なりwebmaster@なりに提示したりもしていますが、それが組織なり
> 体制なりの形で結実するのは今すぐのことではないでしょう。

時間的な要求は特にはしていません。
が、あまりにも先だと困るかなぁ。5年後とか。

> | www.ruby-lang.orgに記事を載せる作業とセキュリティに直接関係がありますか?
> | 優先度を判断する人、パッチを作る人、レビューする人、記事を掲載する人、
> | 分担として別ではありませんか?
> 
> 記事を書く人、影響範囲を検証する人、MLで質疑に応答する人、と
> か、どんどん分担が増やせそうですね。

増やせますね。私が全て列挙する必要はありません。

> | 当初の記事を掲載した時点では、あなたは単にwww.ruby-lang.orgに記事を載せ
> | るという役割であって、[e-mail]の中の人ではなかったのです
> | ね。パッチを作った人でもないと。
> | その時点では、あなたが指摘を甘んじて受ける必要はないと思います。
> 
> 上に書いたとおり、「パッチを作った」という言葉が含めようとし
> ている範囲がよくわかりませんが、私自身は自分のことを、指摘な
> り非難なりの矢面に立つだけの作業をやったものと理解してますよ。
> MoonWolfさんにわざわざ必要の有無をご指南していただく必要もな
> いと思います。

www.ruby-lang.orgを更新するというだけの役割の人がセキュリティに
関する指摘を甘んじて受けているのであれば、申し訳ないなぁという気持ちです。

> | パッチを説明なしに差し替えた時点では[e-mail]の中の人だった
> | のですか?
> | パッチを差し替えたのは[e-mail]の判断だったのですか?
> 
> security@(ry、という、確立した主体があるわけじゃないんだから、
> security@(ryの判断、なんてものは存在し得ない、という話は何度
> も繰り返されています。
> # それが存在しないことがいいか悪いかは別ですよ

「security@(ryの判断、なんてものは存在し得ない」ということは
私が指摘した独断となにが違うんでしょうねぇ。

> どうしてもその判断の主体を決めたいなら、私が判断したっていう
> のが一番正しそうな回答になるかと思います。

そういう回答であれば、指摘を甘んじて受けても変じゃないですね。

> | ここは[e-mail]ではありませんけど、中の人たちは議論に参加し
> | てくれているのでしょうか?
> | ruby-devでだけ議論してセキュリティポリシーを決めようとするのに
> | 問題は感じませんか?(別に英語圏の人も含めて議論しろとまではいいません)
> 
> 私はsecurity@(ryの中の人全員の名前は知りません(たぶん)。
> 裏を返すと、何人か中の人の名前は知っているわけですけど、誰が
> 中の人で誰が中の人でないか、という情報については私が開示すべ
> きものでもないと思うのでお答えしかねます。
> 既に一部の中の人の名前を知っているという知識を抜きにしても容
> 易に推察できることですが、Ruby自体の修正を伴う話題を扱うsecurity@(ry
> の中の人がruby-devは読んでない、なんてことはまずないでしょう。
> 日本語を読み書きできるなら。

読んでるのか心配だったのですが、おそらく読んでるんですね。

> それはそれとして、security@(ryの中だけでセキュリティポリシー
> を決めるのと、広く公開されたMLで議論をするのとでは、後者の方
> がよりよいのではないか、と、私は思います。
> 議論が発散しがちで結論がいつまで経っても出ない傾向が強いから、
> 一概にいいとも言えないかもしれませんけど。

私が心配しているのはsecurity@(ryの中の人たちの知らない場所で
中の人の意見を取り入れずに議論して勝手に決められたポリシーでは
運用する際にちゃんと適用されないのではないかということです。

# 「組織」でも「体制」でもないから「運用」というのも適切な言葉か
# はわかりません^^;

> | 今回の脆弱性についてもレビューが行われて、その結果があのような対応になっ
> | たのですね。
> | 対策の済んだ記事に関する議論であれば公開しても問題ないと思いますが、
> | そのレビューを見ることはできますか? できれば読んでみたいです。
> 
> 対策、済んでるんですか?
> 済んでないって言ってるのはMoonWolfさんじゃなかったでしたっけ?
> 今の状況なら済んでることにしていい?

ruby-listへのアナウンスと脆弱性のレビューとは特に関連性があるとは
思えないのですけど。

> 私自身も、実際にはまだ不十分である可能性があると考えているの
> で、不十分そうな部分をどうするべきなのか余力のある方々に議論
> して何らかの結論を出して欲しかったんですけど。
> # ところでMLでの議論において「これが結論である」と判断する主
> # 体は何/誰が適切なんでしょうねえ。

いまの体制/組織/グループ/チーム/団体/有志の集まりでは
最終的な意思決定はまつもとさんが行うものだと思っています。

> でと、対策の済んだ記事に関する議論であれば公開しても問題ない
> かどうかは、私には何とも言えません。
> また、一般論として、私が書いたものに関しては、それを公開する
> かどうかの直接的決定権は私にありそうな気がしますが、「できれ
> ば読んでみたい」程度のために自分の書いたメールをMoonWolfさん
> に渡そうという気分にはなりませんね。

それはそれで構いませんよ。
本当に議論・レビューしたのかは永遠の謎ということで。