現在地 HOME > 掲示板
> ＩＴ5 > 139.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ5 > 139.html
★阿修羅♪
|
|
| Tweet |
シジミさん、小生が
>キーワードは、コンパイルと逆コンパイルのようです。
>http://www.asyura2.com/0311/it04/msg/1004.html
>投稿者 クエスチョン 日時 2004 年 2 月 19 日 07:44:50:WmYnAkBebEg4M
で答えたの間違っていたようです。下記投稿に関連箇所がありました。
> さて先へ進む前に、この問題をめぐって私が耳にしたいくつかの誤解を
>解いておこう。まず、流出したコードはプログラマーが見たり修正したり
>するもので、デスクトップで実行可能なコンパイルされたコードではない。
>また、これはOS全体の15％でしかない。つまりこのコードを使って、独自
>の自家製Windows 2000を作ることはできないのだ。
コラム
2004/02/23 18:53:00 更新
◎Windowsのコード流出に感じる「ゼロデイ」の危険【IT_Media記事】恐るべき「ゼロデイ・エクスプロイト」の悪夢。
http://www.itmedia.co.jp/enterprise/0402/23/epc02.html
流出したWindowsのコードはクラッカーにとって宝の山だ。彼らが未知の脆弱性を悪用して「ゼロデイ」攻撃を仕掛けたら――MSが最優先にこの問題に対応していることを願うしかない。
皆さんももうお聞き及びのことと思うが、Windows 2000のソースコードの一部がインターネットに流出した（2月13日の記事参照）。Microsoftはこの著作権付きコードをネットに掲載したり、ダウンロードした人物に対し、そうした行為をやめて、手元にあるコードのコピーを消去するよう求めている（2月19日の記事参照）。しかし私がこのコラムを書いている今も、流出したコードはオンラインに出回っている。
私たちにとってはただのコードだが、クラッカーにとっては、未発見の新しいソフトの脆弱性を秘めた宝の山だ。真に危険なのは、クラッカーが流出したコードを使って、私たちに不意打ちを食らわせ、誰も――Microsoftでさえも――知らない脆弱性を悪用する恐れがあるということだ。そのような（誰も知らない）脆弱性のフィックスはすぐには提供されないため、ベンダーやセキュリティ研究者が慌てて解決策を作り出すまで、クラッカーが仕掛けたウイルス、ワーム、攻撃が被害を及ぼし続ける可能性がある。
これがセキュリティ用語で言うところの「ゼロデイ・エクスプロイト」――最も恐れられており、最も破壊的な可能性を秘めたコンピュータセキュリティのシナリオの1つだ。Microsoftが流出したコードの脆弱性発見を最優先にしていることを祈るしかない。
さて先へ進む前に、この問題をめぐって私が耳にしたいくつかの誤解を解いておこう。まず、流出したコードはプログラマーが見たり修正したりするもので、デスクトップで実行可能なコンパイルされたコードではない。また、これはOS全体の15％でしかない。つまりこのコードを使って、独自の自家製Windows 2000を作ることはできないのだ。
第二に、問題のソースコードは古いもので、2000年7月に作られた。Microsoftはほかのソフトベンダーと同様に、新版ソフトを最初から作っているわけではないため、今でもこのコードの一部（のバグまたは全部）が、Windows XPなどWindows 2000以降のOSで使われていることも当然考えられる。
問題のコードからは、Microsoftのプログラマーの考え（その強みも弱みも）を垣間見ることができる。既にこのコードから、旧バージョンのInternet Explorer（IE）の脆弱性が1つ、Microsoft外部の人間に発見されている。私としては向こう数週間のうちに、Bugtraqのようなセキュリティメーリングリストでさらに多くの脆弱性が公表されると予測している。
Microsoftは流出したコードの中に少なくとも1つの脆弱性があることを確認した。これはIE 5.0/5.5とOutlook Expressがビットマップ画像を処理する手法に影響する。同社は、この脆弱性はWindows XPのサービスパック1で修正されていると話しているが、それではまだ旧版Windowsを使っているユーザーの役には立たない。フィックスはサービスパックで提供されているため、Windows XPの無認可コピーを利用しているユーザーも、旧版ユーザーと同様に脆弱な状態にある。Microsoftは、もっと幅広いバージョン向けにパッチをリリースすることを検討していると言われている。
問題のコードがインターネットに流出した正確な経緯は依然として謎だ。これについては米連邦捜査局（FBI）が捜査に当たっている。コード内で発見された証拠は、カリフォルニア州サンノゼの企業Mainsoftを指し示している（2月16日の記事参照）。MainsoftはMicrosoft製ソフトをほかのOSプラットフォームに移植しており、MicrosoftとWindowsのソースコードを利用する契約を交わしている。MainsoftはFBIに協力していると伝えられている。
コード流出の経緯はともかく、Microsoftは今、時間との競争に追われながら、誰かが悪用する前に流出コードの脆弱性を特定し、パッチを開発する作業を進めている。
普通、ソフトの脆弱性を見つけたベンダーやセキュリティ研究者は、それを修正するパッチや次善策が用意できるまで、脆弱性の公表を控える。このため、こうした人々が未発表の脆弱性のことを公表の数週間、数カ月前に知っていてもおかしくはない。
しかし、ベンダーやセキュリティ研究者が知るよりも前にクラッカーが脆弱性を悪用するウイルスやワームを作成したら、それはゼロデイ・エクスプロイトとなる。「ゼロデイ」と呼ばれるのは、フィックスを開発する時間がゼロだからだ。
問題のWindowsコードが流出する前は、ゼロデイ・エクスプロイトは主にセキュリティコミュニティ内での話題だった。今、その現実は私たちの目の前に迫っている。もしもクラッカーが未知の脆弱性を悪用したら、その被害を食い止める手段が提供されるまでに何時間、あるいは何日もかかるかもしれない。
私としては、Microsoftが問題のコードに含まれているかもしれない脆弱性への対応を最優先にしていることを願うばかりだ。今の唯一の解決策は、クラッカーの先を越すことなのだから。そうしなければ、このコードはインターネットで大惨事を引き起こすだけではなく、Microsoftにとっても転換点となるだろう――ユーザーが真剣にオープンソースOSを検討し始める転換点に。オープンソースOSは、既にオープンに脆弱性の調査が行われているコードを使っているため、最初からセキュアであるし、もちろん、既に公開されているからインターネットに流出することはあり得ない。
原文へのリンク
関連記事
MSの流出コードから目をそらすオープンソース開発者
Microsoftが警告、「流出ソースコードの交換は違法」
ソースコード流出がきっかけで指摘された新たなIEの脆弱性、その影響は？
Windowsコードの流出が、私たちに意味するものは？
流出したWindowsコード、出所はパートナー企業か？
Windowsの流出コード、ネットで広範に流布
Microsoft、Windowsソースコードの流出を認める
Windows .NETチャンネル
[Robert Vamosi，ZDNet/USA]
題名には必ず「阿修羅さんへ」と記述してください。