アカウント名:
パスワード:
Appleは、サードパーティー開発者の"自由"と悪意のあるプログラムからユーザーを守る"信頼性"が両立する「先進的なシステムに取り組んでいる」という。
ずっと気になっていたので話題がずれるけどここで聞きます。 Windowsの場合最近はActiveXコントロールや.msiなどでAuthenticodeが普及してきて署名の有無を確認する習慣が身についてきたけど、OS Xに相当するものはあるんでしたっけ？
みんな.dmgを開けてパッケージをディレクトリにホイホイ放り込んだりダブルクリックでインストーラを起動してるみたいだけど、それでいいんだろうか。もちろん管理者権限が必要になる重大なものはVistaのUACみたいに南京錠アイコンが出て確認を促すけど、そのパッケージが本当に改ざんされたものでないかどうやって確認してるんですか？
いいんじゃないですか。普通は、自分が信頼できると思っているサイトからダウンロードしたものをインストールするよね。
そこらじゅうにミラーサイトがある場合はどうなんでしょうか。Firefoxなどの人気が高く大量のトラヒックが見込まれるものは、公式サイトからのリンクをたどった場合でも複数あるミラーサイトのどれかに自動的に振られたりするわけですが、そのミラーサイトの管理に問題があって偽のブツに置き換えられたら負けです。
そもそも確認する方法がないんだから、べつにどうでもいいんじゃないですか。
(WindowsのAuthenticodeに相当する)確認するインフラが提供されていないことに問題を感じないのですか？いくらOS Xそのものの実装がしっかり作られててもユーザーの意識が変わらないといずれ痛い目見ますよ。特にOS Xユーザーにはこの手の免疫を持たない人が多い気がします。
デジタル署名されているもの以外はインストールしないという様な人は少数
私の場合、さすがに署名の無いものを全く使わず生活しているわけではないですが、署名無しネイティブアプリのインストールにはだいぶ慎重になりましたね。少なくともgeocitiesなどの無料ホームページサービスに転がってるような実行ファイルは一切触りませんし、BitTorrentなどP2Pファイル共有ネットワークにあるものなんて論外です。どうしても動かしたい場合はVMware使ってサンドボックスに閉じ込めておきます。 一度パンツを履いたらもう二度と全裸で外歩けないって感じでしょうか。
あとDebianパッケージにもGnuPGベースの検証機構が付いてますね。インストールCDにはDebian開発者らのGPG公開鍵が入っていて、インストール後aptでパッケージを導入する際にそれを使って検証が行われます。
まあ最初のインストールCDをインターネットからダウンロードする時点でそれが本当に真正なものかをどう検証するかという問題があるのですが、それはDebianに限らずどこにトラストアンカーを設定するかっていう問題ですね。PCやMacにプリインストールされたOSや店売りのOSパッケージを信頼するか、WindowsのAuthenticodeが信頼するルート証明書を信頼するか否かっていう話と本質的になんら変わりありません。
「チンコ丸出しでずっと生活してたときはそれが当たり前で何も思わなかったけど、試しにパンツはいてみたらその恥ずかしさに気づいた」っていう意味であって、幸運なことに「丸裸にされた」経験はないです。
While this makes such a phone less than “totally open,” we believe it is a step in the right direction
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
最初のバージョンは常に打ち捨てられる。
想像つかん・・・ (スコア:1)
デジタル署名を否定した上で、どういう仕組みになるのか興味津々。
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
Re:想像つかん・・・ (スコア:3, 参考になる)
−'08年2月にSDK公開。「オープン/セキュリティの両立を」」
http://www.watch.impress.co.jp/av/docs/20071018/apple2.htm [impress.co.jp]
>「我々は、それが正しい方向性だと信じている」とし、開発中のシステム
>にも何らか形でデジタル署名を導入する可能性を示唆している。 原文読めば、そういうことでしょう。
まとめてお返事 (スコア:1)
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
Re:想像つかん・・・ (スコア:2, おもしろおかしい)
信頼できるデジタル署名がありません。インストールしますか？
[はい] [いいえ]
OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
ずっと気になっていたので話題がずれるけどここで聞きます。 Windowsの場合最近はActiveXコントロールや.msiなどでAuthenticodeが普及してきて署名の有無を確認する習慣が身についてきたけど、OS Xに相当するものはあるんでしたっけ？
みんな.dmgを開けてパッケージをディレクトリにホイホイ放り込んだりダブルクリックでインストーラを起動してるみたいだけど、それでいいんだろうか。もちろん管理者権限が必要になる重大なものはVistaのUACみたいに南京錠アイコンが出て確認を促すけど、そのパッケージが本当に改ざんされたものでないかどうやって確認してるんですか？
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:1)
Mac OS X: SHA-1 ダイジェストとソフトウェアダウンロードについて [apple.com]
この辺でしょうかね。
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
http://www.apple.com/jp/macosx/technology/security.html [apple.com]
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
いいんじゃないですか。普通は、自分が信頼できると思っているサイトからダウンロードしたものをインストールするよね。
>そのパッケージが本当に改ざんされたものでないかどうやって確認してるんですか？
そもそも確認する方法がないんだから、べつにどうでもいいんじゃないですか。デジタル署名されているもの以外はインストールしないという様な人は少数かと。
逆に、「デジタル署名されていませんがどうしますか？」と画面に出た時、どうやって改ざんされていないかどうかを確認するのでしょう。
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:1, 参考になる)
そこらじゅうにミラーサイトがある場合はどうなんでしょうか。Firefoxなどの人気が高く大量のトラヒックが見込まれるものは、公式サイトからのリンクをたどった場合でも複数あるミラーサイトのどれかに自動的に振られたりするわけですが、そのミラーサイトの管理に問題があって偽のブツに置き換えられたら負けです。
(WindowsのAuthenticodeに相当する)確認するインフラが提供されていないことに問題を感じないのですか？いくらOS Xそのものの実装がしっかり作られててもユーザーの意識が変わらないといずれ痛い目見ますよ。特にOS Xユーザーにはこの手の免疫を持たない人が多い気がします。
私の場合、さすがに署名の無いものを全く使わず生活しているわけではないですが、署名無しネイティブアプリのインストールにはだいぶ慎重になりましたね。少なくともgeocitiesなどの無料ホームページサービスに転がってるような実行ファイルは一切触りませんし、BitTorrentなどP2Pファイル共有ネットワークにあるものなんて論外です。どうしても動かしたい場合はVMware使ってサンドボックスに閉じ込めておきます。 一度パンツを履いたらもう二度と全裸で外歩けないって感じでしょうか。
追記 (スコア:0)
あとDebianパッケージにもGnuPGベースの検証機構が付いてますね。インストールCDにはDebian開発者らのGPG公開鍵が入っていて、インストール後aptでパッケージを導入する際にそれを使って検証が行われます。
まあ最初のインストールCDをインターネットからダウンロードする時点でそれが本当に真正なものかをどう検証するかという問題があるのですが、それはDebianに限らずどこにトラストアンカーを設定するかっていう問題ですね。PCやMacにプリインストールされたOSや店売りのOSパッケージを信頼するか、WindowsのAuthenticodeが信頼するルート証明書を信頼するか否かっていう話と本質的になんら変わりありません。
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
すまん、「一度丸裸にされたので、パンツの重要性が身に染みた」の間違いじゃないのか?と邪推してしまった。
#否応なくパンツの窮屈さに慣れさせらされた今、以前の開放感に溢れた世界を懐かしく思うAC
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
「チンコ丸出しでずっと生活してたときはそれが当たり前で何も思わなかったけど、試しにパンツはいてみたらその恥ずかしさに気づいた」っていう意味であって、幸運なことに「丸裸にされた」経験はないです。
Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？ (スコア:0)
Re:想像つかん・・・ (スコア:1, 参考になる)
Re:想像つかん・・・ (スコア:0)
http://www.apple.com/hotnews [apple.com]
>While this makes such a phone less than “totally open,”
>we believe it is a step in the right direction.
否定してる？
Re:想像つかん・・・ (スコア:0)