[ruby-dev:523] RE: [ruby-dev:521] Re: Security

えぐち です。

----------
> まつもと ゆきひろです
> 
> In message "[ruby-dev:520] Re: Security"
>     on 97/09/24, "EGUCHI Osamu" <[e-mail]> writes:
> 
> |えぐち です。
> 
> |#!/usr/local/bin/ruby -i.hoge
> |
> |な場合は suid-script だけでもキケンなわけです。
> 
> これは「気を付けないと恐い」キケンであって，汚れた文字列を
> evalするような「やっちゃいけない」キケンとは性質が違うわけで
> す．これに対応する機能は現在のところ一切ありません．なんか，
> よいアイディアがありますかね．つまり，キケンなんだけどできな
> いと困るような処理にどう対策するか，という問題なんですが．
> 
> 今の「使い手の責任，一切何もしない」というのも潔く，かつUNIX
> 的でよろしいとは思っているのですが．

セクキュリティポリシーの問題といえばそれまでなのですが、
-i についてだけゆえば、
	「気を付けないと恐い」
わけで、どう気を付けるかというと
	suid なスクリプトの埋め込みオプションには -i を使わない
以外の選択しはないわけです。これについては異論はないと思います。

これを、
	suid な実行時に -i を使えない様にする ruby を作り替える
動機に成ると思うんです。
どうみても
	そんなファイルでも renameする権限を suid に付与できる。
のは穴でしかないと思います。
＃ -i に相当する ruby のコードは簡単にかけるし
＃ それが書けない人が suid-script するのは、やっぱりあれです。

「使い手の責任、一切何もしない」という選択は、基本姿勢としては賛成です。

 処理系さえしっかりしていれば、アプリ作家はセキュリティの事は
 考えないでいい。

とは考えていません。逆に、処理系が苦労しても楽々と穴をあけられます。

	えぐち