[ruby-list:37429] Re: Secure「ではない」script の書き方

まつもと ゆきひろです

In message "[ruby-list:37426] Re: Secure「ではない」script の書き方"
    on 03/03/26, Taku Nakajima <[e-mail]> writes:

|ここで言いたかったのは、レベル1,4はわかるけどレベル2,3の「目的」または
|「意図」がわからないということです。
|
|より本質的には、今それを(レベル2が存在する目的を)理解すべきかそうでな
|いのかがわからない、ということが問題だったと思います。

レベル2はあえていえば「うっかりミスを防止」くらいでしょうか。
でも、あんまり存在意義はないですね。レベル3は「レベル4の前段
階」としての意味しかないです。じゃあ、「レベル3をなくしてい
きなりレベル4でもよかったんじゃないか」というのはもっともな
ことですが、設計した時点では「分離しておいた方が便利な局面が
あるかもしれない」と思ったのです。今になっても便利な局面は発
見されていませんが。

|檻($SAFEレベル)と汚染(taintフラグ)は協調して何かを実現しているはずです。
|ですから、両者の共通目的とはそもそも何なんだ、という説明が最初に必要だ
|と思います。前回のメールを書きながら、ようやくそれがわかったんですが、
|この二つの目的は
|
|  「自分の書いたコードの一部を信頼できないケース」
|
|に対応することです。そして、セキュリティモデルが実現しているのは
|
|  「プログラムを信頼できる部分と信頼できない部分に分割する」
|
|ということだと思います。私は、このようなトップレベルの説明がまずあって、
|汚染の伝染や各セーフレベルの制限の説明は、この説明にぶらさがっていくべ
|きだと思います。

うむ、より良い説明が必要だという主張は理解できます。また、よ
り良い説明を模索する過程で仕様の穴や不具合が発見されるのもよ
くあることですから、そのような試みは大いに歓迎します。

ただ、やはりレベル1が達成しようとしているものと、レベル4が達
成しようとしているものは、同じ仕組みを使ってはいるものの違う
ものではないかと思うのです。あんまり連続的じゃないんですよね。

レベル1では信頼できないのはデータですが、レベル4ではプログラ
ムそのものが信頼できません。ですから、一つのメタファーですべ
てをカバーするのは難しいかもしれません。

|ただ、これを見ると「なぜここに$SAFE>=4というチェックがあるのに、
|$SAFE>=2や$SAFE>=3というチェックが一切出てこないんだろう」ということが
|謎になります。こういう言いがかりのような疑問がズルズル出てきて消えない
|のが、悩みのタネで・・・

$SAFE >= 2というチェックはいくつかありますよね(forkとか)。

これも不連続であることの結果なのですが、rb_secure()によるチェッ
クは基本的に信頼できないコードに対するチェックです。レベル1 
ではコードは信頼できるのでそのようなチェックは発生しません。

レベル2では(うっかりミスを防ぐため？)いくつかの処理が禁止さ
れています。つまり、そのような処理(forkとか)を行えない程度に
自分を信頼できないわけです。

レベル3では追加される禁止はuntaintだけです。ですから、ひとつ
しかありません。

レベル4では基本的に汚染されていないオブジェクト(や環境)を更
新することは一切禁止です。ですから、rb_secure(4)があちこちに
ちりばめられることになります。

|このセキュリティモデル関連の問題は、私にとってはRubyを始めてから最初の
|「驚き」なのかもしれません。変な話ですが、これまでRubyについて新しいこ
|とを知っても一切「驚き」がないんです。全部、「ふ〜ん、そんなもんだろう
|と思ってたよ」という感じで納得できてしまうんです。

いやあ、レベル4については「それで本当にセキュリティが確保で
きるサンドボックスが実現できるのか」という根本的な疑問がある
ので、ひっかかるのではないでしょうか。この疑問はいまだに解決
されていません。

                                まつもと ゆきひろ /:|)