「脆弱性」という思考停止

FFFTPが危ないらしいぞ。

フリーFTPソフト『FFFTP』に、8080系のマルウェア感染と同時にID・パスワードを取得される危険性があるそうです

これ読んで、「うわ。FFFTP消さなきゃ」とか思った奴。はっきり言ってやろう、お前は馬鹿だ。

何が馬鹿だって? 「マルウェア」の類があったら危険なものを、今まさに何の疑問もなく使っていて、FFFTPだけを悪者にしているからだ。確かにこの問題だけを見れば、FFFTPはヤバい。でも、そのヤバいものを消したところでたいした解決にならない

「マルウェアの類があったら危険なもの」の代表は、ウェブブラウザだ。だから、FFFTPだけ消して安心してウェブを見ていたら、何の対策も立てたことにならない。FFFTPを消すんだったら、まずウェブブラウザを消せよwww

ウェブブラウザはパスワードを保存してくれる。ウェブブラウザに限らず、パスワードを保存するソフトは例外なく

平文でパスワードを保存

している。能天気な奴等は「いや、単なるレジストリ解析ではわからないように対策したよ」とか言っちゃうだろうけど、それは

難読化

がされているだけであって、最終的には平文化されて送信される。ソフトウェアから見れば、

難読 = 平文

でしかない。もちろん、何らかのパスフレーズの類を入力されれば、もっとマシなことになるのだけど、

キーロガー

が仕込まれていたらどうする? 「マルウェアの類」が入っているのだったら、キーロガーが仕込まれてることを心配する方が先だろう。だいたい、パスワード抜きだったら、そっちの方が効率よく抜けるんだから、心配するならそっちだろう。

環境によってはもっと効率のいい抜き方が出来る。たとえばスニファの類を経路に入れてしまえば、ftpやhttpのように、パスワードが平文で流れるものなら抜き放題だ。

じゃあ、ftpやhttpが「脆弱」かと言えばそうじゃない。もちろん「安全」でもないが、これはそういった

仕様

なのであって、脆弱性とかいう類のものじゃない。豆腐がすぐ崩れるからと言って脆弱だとは言わない。むしろ角の頭ぶつけて死ぬような豆腐は仕様を満たしていない。問題はそういった「仕様」でありながら、ついうっかり

豆腐を構造材として使う

ということをやることであって、豆腐の「脆弱性」に問題があるわけじゃない。ftpやhttpが平文のパスワードを使うとか、FFFTPが平文パスワードをレジストリにしまうとかってのは、そういった「仕様」だってだけだ。

この一連のことで、もう一つマズいのは、「FFFTPが危険」という言葉の裏に「他のftpソフトは安全」というニュアンスを読んでしまう馬鹿頭の不自由な人が出て来るということ。「セキュリティ」とか「脆弱性」とかって言葉は、半可通を思考停止に至らせる危険ワードだ。同じ「脆弱性」を持ったFTPクライアントは世の中に16個はあるはずだ。調べてないけどw そーゆーことで、FFFTPが危険だと断じるのは、まぁ勝手なんだけど、

他のソフトが安全って訳じゃない

ことを忘れてはいけない。

ってつまり、まぁ「マルウェア」の存在を仮定しちゃったら、たいていどんなソフトも「脆弱」ってことになっちゃう。だから、件の記事の一番アホなところは、

マルウェアの存在を仮定して脆弱性を論じた

ところにある。これはちょうど、

妊娠にあわててコンドームつける

というのと等しいくらい馬鹿げている。

「マルウェア」ってのは、それが既に存在していること自体が問題なのであって、それに対する「脆弱性」とかは考えてもあまり意味がない。戦場で後ろから撃たれることを心配するのは、あまり意味がないのと同じだ。もちろん個々の特定のマルウェアに対する対策をすることは出来るし、しないよりはした方がマシではある(だからレジストリの難読化それ自体が無意味とまでは言わない)。「特定のマルウェア」に対する対策はそれで十分かも知れない。でも、そもそもセキュリティ的には、

マルウェアが入ってる時点で負け

なのだ。だから、取るべき対策はマルウェアの侵入であって、それをさせないための脆弱性への対策だ。つまり、

コンドームは妊娠する前につけろ

ってこと。あるいは、後ろから味方を撃つような奴を仲間にしないってことだ。

まぁ、↑とかってこともあるんだけど、本当は

今時ftpなんて使うなよ

って言いたいところ。セキュリティ的にもいろいろアレだし、プロトコルも古くていろいろ面倒が多いし、良い点なんてどこにもない。いやもちろん現状しょうがない事情もわかるんだけどさ。件の話もどうも「FTPでサイト更新」していたところが被害受けてとか、そーゆー話らしい。「現状しょうがない」とかやってて痛い目にあったとゆーこと。

それでもなお「FFFTPは危険」と言いたい人は、とりあえずウェブブラウザを消しておくか、「パスワードを保存」は使わないのが良いと思うよ。ついでに、自動補完も動かさない方がいい。まぁ、LANも含めて

ネットにつながない

のが一番だけどさ。

PS.

「平文でパスワードが読めるのは脆弱性」とか言ってるのがいるけど、それプログラムにとっては、パスワードが保存出来たらみんな「平文でパスワード読める」ことになるわけで。でなかったら保存する意味ないからね。

そういった「仕様」が良いかどうかと、それを「脆弱性」と呼ぶべきかどうかは別の話。

誤解される前に先回りして書いとくと、ログに平文パスワードとか出ちゃうのは、それは脆弱性とはちょっと違うけど、正しい仕様かどうかと言えば、明確に間違い。

個人的な主張で一番声を大にして言いたいのは、

FTPステ

なんだけどさ。

Yahoo Facebook Twitter Digg FriendFeed Delicious Google Translate
This entry was posted on1月 31st, 2010 at 17:52:19. You can follow any responses to this entry through the RSS 2.0. Both comments and pings are currently closed.

2 Responses

Comments(0)Trackbacks(2)

  1. […] This post was mentioned on Twitter by mala, Bunjaku, 多忙なりろりろ(ロリじゃないよ‼, さやま ゆき / ゆま, neta and others. neta said: RT @sayama_yuki: 見てるぅ>「脆弱性」という思考停止 | おごちゃんの雑文: http://www.nurs.or.jp/~ogochan/essay/archives/2262 […]

  • 私について

    ただのプログラマです、ハッカーではありません。

    秋葉で暮し秋葉で仕事してますが、秋葉系は嫌いです。物事を冷静に分析することは好きですが、ニヒリストは嫌いです。

    秋葉でちっこい会社をやってます。 こーゆーことがお仕事です。

    詳しいことは、自己紹介のページでも見て下さい。また、mixiの方でもいろいろわかるかも知れません。twitterは@ogochanですが、たいしたこと言ってません。近頃はShorplug内の別館で日記書いたりもしてます。だいたいここのコピーだったりしますが、ログインするとコメントがつけられます。

    日経ITProに連載(生越昌己のオープンソースGTD)を書いています。「ちゃんと書いた文章」が読みたい人は、そっちを読む方がいいと思います。

  • このページについて

    ここは私の雑文の置き場です。WordPressを使っていますが、いわゆるblogのつもりで書いているわけではありません。「覗き見のできるチラ裏」くらいの意味しかありません。

    もしかしたら有用なことがあるかも知れません。あるいはむかつくことも書いてあるかもしれません。それらはみな「そんなものだ」と思っておくに留めましょう。

    コメントを書くのは構いませんが、「反論」の類はよそでやって下さい。同意する気のない人達と議論する気は全くありませんので、議論したければよそで勝手にやって下さい。

    と言っても、「読むな」「広めるな」というわけでもありません。リンク、ブクマの類は御自由に。

  • カテゴリ

  • 過去の記事

  • メタ情報