ruby-list

けいじゅ＠SHLジャパンです. 

In [ruby-list :02702 ] the message: "[ruby-list:2702] security model
", on Apr/09 13:33(+0200) matz@caelum.co.jp (Yukihiro Matsumoto)
writes:

>ruby securityモデル

>セキュリティレベルはグローバル変数$SAFEの値(整数)で設定する．
>$SAFEの値の初期値は0である．$SAFEの値を現在の値より小さくす
>る事はできない．
>
>$SAFEの値はthreadローカルである．あるthreadでの$SAFEの値は親
>threadの値を引き継ぎ，値を大きくしても別のthreadでの値は変わ
>らない．

親スレッドって何ですか? スレッドを生成する時の実行しているスレッド? 

>文字列はtaintフラグを持つ．taintフラグのたった文字列は「汚れ
>ている」とみなされる．「汚れている」文字列のコピー(clone/dup)
>も汚れている．

>セキュリティレベルが0以上の時，「汚れている」文字列を以下の
>操作の引数にする事はできない．
>  * file/pipe/dir/socket/dbmのオープン
>  * File操作(chmod..など)
>  * system, ``
>  * load/require
>  * その他，危なそうな操作(思い付いたら追加)

あと, evalやsendは問題ない? 実際に実行する時に上記のコマンドに還元され
るから問題ないのかな?

>セキュリティレベルが1以上の時，以下の操作で与えられる文字列
>は汚れている．
>  * 環境変数の取り出し
>  * getsなどストリームからの読み込み

汚れているないに関わらずファイルへの書き込みは常に制限する必要はないの
かな?

あと, socket通信など 信頼できる相手との通信は汚れなくできればいいんで
すけど, 信頼できるかどうか判断できないから無理ですよねえ...

>セキュリティレベルが2以上の時，新しく生成される全ての文字列
>は汚れている．

生成だけでなく, 変更sub!() とかもですよね?

あと, 間接的に文字列生成のともなう, printf, << などは禁止する必要があ
る?

>セキュリティレベルが3以上の時，以下の操作は禁止される．
>  * Process.kill
>  * その他プロセスに関する危なそうな処理(思い付いたら追加)

forkは問題ない? でも, forkを無限に起こしてOSを落すという技もあるので
level3とか4辺りで禁止しても良いかも?

>セキュリティレベルが4以上の時，以下の操作は禁止される
>
>  * 大域変数の値の変更

* 環境変数の設定もここになるかな?

In [ruby-list :02704 ] the message: "[ruby-list:2704] Re: security
model ", on Apr/09 14:21(+0200) matz@caelum.co.jp (Yukihiro Matsumoto)
writes:

>おおっ．きっとレベルは1でしょうね．しかし，そうなると「汚れ」
>は生成時に決まるから，起動時にレベル0だと問題があるのか…．
>そうなると，もうちょっと検討が必要そうですね．

これだと, requireが全然できなくなるので, rubyの嬉しいところがだいぶ減
りますね...

でも, 良く考えると ARGVは自分で与えるもの(sysytem()で起動される場合を
省いて)なので, レベル1でなくても良いのかも知れないですね.

__
.....................................石塚 圭樹＠SHLジャパン(株)...
------------->アドレス変わりました!! e-mail: keiju@shljapan.co.jp <----

Thread

Prev Next

In This Thread

Prev Next