From: "U.Nakamura" <usa@...>
Date: 2006-11-07T00:17:53+09:00
Subject: [ruby-dev:29884] Re: cgi.rbのDoS脆弱性について

こんにちは、なかむら(う)です。

In message "[ruby-dev:29880] Re: cgi.rbのDoS脆弱性について"
    on Nov.06,2006 23:45:46, <moonwolf@moonwolf.com> wrote:
| 言葉を選ぶのが難しいですね。「組織」でもないし「体制」でもない。
| 「グループ」、「チーム」というのも違う?

私もよくわかってないんですが、違いそうに見えます。
単にそのメールアドレスに当てられたメールを受け取る個々人が存
在するだけ、のような気がしなくもありません。


| 時間的な要求は特にはしていません。
| が、あまりにも先だと困るかなぁ。5年後とか。

まあ、MoonWolfさんが要求したから早く決まるとか遅く決まるとか
いうこともないでしょうし、MoonWolfさんが困るからといって早く
決まるとか遅く決まるとかいうこともやっぱりないんじゃないです
かね。
単に、速やかに合意が形成される背景があれば早く決まるでしょう
し、それがなければいつまでたっても決まらないでしょう。


| > security@(ry、という、確立した主体があるわけじゃないんだから、
| > security@(ryの判断、なんてものは存在し得ない、という話は何度
| > も繰り返されています。
| > # それが存在しないことがいいか悪いかは別ですよ
| 
| 「security@(ryの判断、なんてものは存在し得ない」ということは
| 私が指摘した独断となにが違うんでしょうねぇ。

大辞林によると、「独断」とは「他人の考えを聞かずに、自分一人
の考えだけで物事を決めること。また、その判断。ひとりぎめ。」
という意味だそうです。
最終的にある特定の誰かが物事を決めるとしても、それまでの過程
で他人の考えを聞いてそれを考慮した上での決定であれば、それは
「独断」とは言わないんじゃないでしょうかね。
つまり、security@(ryなり他のどこかなりで議論なり相談なりが存
在したならば、最終的な決定が特定の個人に夜もであろうとも、そ
れは独断じゃないでしょう。
よって、「security@(ryの判断、なんてものは存在し得ない」とい
う事実と、MoonWolfさんが指摘したらしい「独断」とは特に何らか
の関連は存在しないものと私は思います。
# 現に誰かが何かを独断したかどうか、っつーことじゃないよ


| 私が心配しているのはsecurity@(ryの中の人たちの知らない場所で
| 中の人の意見を取り入れずに議論して勝手に決められたポリシーでは
| 運用する際にちゃんと適用されないのではないかということです。
| 
| # 「組織」でも「体制」でもないから「運用」というのも適切な言葉か
| # はわかりません^^;

何らかの「ポリシー」と呼びうるほどのものが策定されて、それが
一般に運用可能なものであるならば、敢えてそれをちゃんと適用し
ない人は排除されるんじゃないでしょうか。また、排除すべきでし
ょう。
逆の言い方をすると、ポリシーが決まるならば、それは運用できる
ものでなければいけないし、それを運用できる組織なり体制なりを
整備するということも当然に決定されるべきだと私は考えます。
今回の議論もそのような点まで含めて話が進むように私は願ってい
ます。


| > 対策、済んでるんですか?
| > 済んでないって言ってるのはMoonWolfさんじゃなかったでしたっけ?
| > 今の状況なら済んでることにしていい?
| 
| ruby-listへのアナウンスと脆弱性のレビューとは特に関連性があるとは
| 思えないのですけど。

いや、ruby-listのアナウンスのことじゃなくて、このスレッドの前
のほうにある、[ruby-dev:29753]の「しかし、新しいパッチにも問
題があります」の件ですよ。


| それはそれで構いませんよ。
| 本当に議論・レビューしたのかは永遠の謎ということで。

じゃ、そういうことで。


それでは。
-- 
U.Nakamura <usa@garbagecollect.jp>