「Jobs、iPhone SDKを来年2月に公開することを表明」記事へのコメント

想像つかん・・・

[YOUsuke (6796)]

マイコミの記事から

Appleは、サードパーティー開発者の"自由"と悪意のあるプログラムからユーザーを守る"信頼性"が両立する「先進的なシステムに取り組んでいる」という。

デジタル署名を否定した上で、どういう仕組みになるのか興味津々。

--
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心

Re:想像つかん・・・

[Anonymous Coward]

既知の技術です。

信頼できるデジタル署名がありません。インストールしますか？
[はい] [いいえ]

OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

ずっと気になっていたので話題がずれるけどここで聞きます。 Windowsの場合最近はActiveXコントロールや.msiなどでAuthenticodeが普及してきて署名の有無を確認する習慣が身についてきたけど、OS Xに相当するものはあるんでしたっけ？

みんな.dmgを開けてパッケージをディレクトリにホイホイ放り込んだりダブルクリックでインストーラを起動してるみたいだけど、それでいいんだろうか。もちろん管理者権限が必要になる重大なものはVistaのUACみたいに南京錠アイコンが出て確認を促すけど、そのパッケージが本当に改ざんされたものでないかどうやって確認してるんですか？

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[nInfo (14824)]

Apple Product Security PGP キーの使用方法 [apple.com]
Mac OS X: SHA-1 ダイジェストとソフトウェアダウンロードについて [apple.com]
この辺でしょうかね。

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

Tigerはわかりませんが、Leopardではアプリケーションにデジタル署名が付けられるようですよ。
http://www.apple.com/jp/macosx/technology/security.html [apple.com]

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

> みんな.dmgを開けてパッケージをディレクトリにホイホイ放り込んだりダブルクリックでインストーラを起動してるみたいだけど、それでいいんだろうか。もちろ

いいんじゃないですか。普通は、自分が信頼できると思っているサイトからダウンロードしたものをインストールするよね。

>そのパッケージが本当に改ざんされたものでないかどうやって確認してるんですか？

そもそも確認する方法がないんだから、べつにどうでもいいんじゃないですか。デジタル署名されているもの以外はインストールしないという様な人は少数かと。

逆に、「デジタル署名されていませんがどうしますか？」と画面に出た時、どうやって改ざんされていないかどうかを確認するのでしょう。

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

いいんじゃないですか。普通は、自分が信頼できると思っているサイトからダウンロードしたものをインストールするよね。

そこらじゅうにミラーサイトがある場合はどうなんでしょうか。Firefoxなどの人気が高く大量のトラヒックが見込まれるものは、公式サイトからのリンクをたどった場合でも複数あるミラーサイトのどれかに自動的に振られたりするわけですが、そのミラーサイトの管理に問題があって偽のブツに置き換えられたら負けです。

そもそも確認する方法がないんだから、べつにどうでもいいんじゃないですか。

(WindowsのAuthenticodeに相当する)確認するインフラが提供されていないことに問題を感じないのですか？いくらOS Xそのものの実装がしっかり作られててもユーザーの意識が変わらないといずれ痛い目見ますよ。特にOS Xユーザーにはこの手の免疫を持たない人が多い気がします。

デジタル署名されているもの以外はインストールしないという様な人は少数

私の場合、さすがに署名の無いものを全く使わず生活しているわけではないですが、署名無しネイティブアプリのインストールにはだいぶ慎重になりましたね。少なくともgeocitiesなどの無料ホームページサービスに転がってるような実行ファイルは一切触りませんし、BitTorrentなどP2Pファイル共有ネットワークにあるものなんて論外です。どうしても動かしたい場合はVMware使ってサンドボックスに閉じ込めておきます。 一度パンツを履いたらもう二度と全裸で外歩けないって感じでしょうか。

追記

[Anonymous Coward]

あとDebianパッケージにもGnuPGベースの検証機構が付いてますね。インストールCDにはDebian開発者らのGPG公開鍵が入っていて、インストール後aptでパッケージを導入する際にそれを使って検証が行われます。

まあ最初のインストールCDをインターネットからダウンロードする時点でそれが本当に真正なものかをどう検証するかという問題があるのですが、それはDebianに限らずどこにトラストアンカーを設定するかっていう問題ですね。PCやMacにプリインストールされたOSや店売りのOSパッケージを信頼するか、WindowsのAuthenticodeが信頼するルート証明書を信頼するか否かっていう話と本質的になんら変わりありません。

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

> 一度パンツを履いたらもう二度と全裸で外歩けないって感じでしょうか。

すまん、「一度丸裸にされたので、パンツの重要性が身に染みた」の間違いじゃないのか?と邪推してしまった。

#否応なくパンツの窮屈さに慣れさせらされた今、以前の開放感に溢れた世界を懐かしく思うAC

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

「チンコ丸出しでずっと生活してたときはそれが当たり前で何も思わなかったけど、試しにパンツはいてみたらその恥ずかしさに気づいた」っていう意味であって、幸運なことに「丸裸にされた」経験はないです。

Re:OS Xにソフトパッケージ向けデジタル署名機能ってあるんですか？

[Anonymous Coward]

「丸出しより恥ずかしいパンツに出会って以来、戻れなくなった」と誤読した自分が恥ずかしい。