新生鳩丸掲示板♯

私は『サニタイズって言うな』キャンペーンに激しく同意というか、以前から同じことを思っていましたが、皆さんそうでもないんでしょうか。

高木さんが思っているサニタイズのイメージは「本来は必要ないがセキュリティ上の問題を解決するためだけに仕方なく入れる処理」というものだと思います。というか私がそういうイメージを持っています。

XSSや各種インジェクション系などの脆弱性の原因となる特殊文字のエスケープし忘れというのは、つまるところバグです。セキュリティ上の問題とかいう前にまず正常に動作していないわけです。これらの問題が起こらないようにする処理は正常に動作させるために必要だから入れるのであり、セキュリティ上の問題のためだけに入れるものではありません。なのでこの処理のことを『サニタイズって言うな』と思うわけです。

正常に動作させるために必要な特殊文字のエスケープや除去処理のことをサニタイズと呼ばないとすれば、ほとんどのWebアプリではサニタイズは必要ないと言えるのではないでしょうか。

>>その感覚でいうと、

>>> 問題が起きる文字列をエスケープして処理する

>>というのはサニタイズには該当しないのではないかと思います。

>

>「サニタイズ」という観点からするとそれはサニタイズになっているのですが、そもそもそれは「サニタイズ」という観点から求められるべき事柄ではなくて、普通に行われているべきことだろう、という話……ですよね。

サニタイズの定義を

>プログラミングの用語としては、危険な文字列を含む「汚染された」入力から危険な文字を取り除き、無害化することを指します。

のようにしたならば、

>それが正しくできていれば、「悪意ある入力」というものは基本的にはその意図どおりの効力を持った状態では存在できなくなります。入力データに命令を紛れ込ませることはできなくなるからです。

このことから、「危険な文字列」というものがない以上、本来的な意味でする特定の文字のエスケープはサニタイズに該当しない、として論理的に問題ないように思われますが、いかがでしょうか。

>「サニタイズ」という観点から求められるべき事柄ではなくて、普通に行われているべきことだろう

このこと自体はそのとおりでしょう。

しかし、

>「サニタイズ」という観点からするとそれはサニタイズになっているのですが

上の論理で言えば、ここにいう「サニタイズ」は先の定義で述べられているものや、「必要性は本来ないはず」(高木さん)の「サニタイズ」とは別のものになっているように思われます。

>ちなみにそのサイト、一般的にはかなり信頼されているので、迷惑的な使い方をされると信用に傷がつくのではないかと思います。いちおう教えてあげた方がよいでしょうか？

　それはなんとも言いがたいです。

　どちらかというと、直接お知らせするよりも IPA に届け出る方がおすすめです。脆弱性なのかどうかという点も含めて判断してくれますし、無用な面倒に巻き込まれたりしませんので。

　ただ、様式に沿って届出を書くのはちょっと面倒くさいですが……。

>その感覚でいうと、

>> 問題が起きる文字列をエスケープして処理する

>というのはサニタイズには該当しないのではないかと思います。

「サニタイズ」という観点からするとそれはサニタイズになっているのですが、そもそもそれは「サニタイズ」という観点から求められるべき事柄ではなくて、普通に行われているべきことだろう、という話……ですよね。

>任意の内容を任意のメールアドレスに送れるのであれば、「メールの第三者中継」が可能ということになります。

パラメータにそれっぽいキーワードがたくさん含まれていたので、きっとそうだろうと思っていましたが、実際は任意の内容を送信できるわけではないようです。（じゃあ、何のためにあんなに怪しいパラメータが含まれていたのか謎すぎますが……）

いろいろ試してみると、そのサイトのドメインを含むURLしか送信できないようになっていました（ほっ）。ただ、そのサイトはリダイレクタを提供しているので、そのサイト内のページと見せかけつつ、全く別のページにリダイレクトするURLを送信させることができました。

ちなみにそのサイト、一般的にはかなり信頼されているので、迷惑的な使い方をされると信用に傷がつくのではないかと思います。いちおう教えてあげた方がよいでしょうか？

高木さんの言う「適切にプログラムを記述す」るというのは、データや命令等について、情報としてのメタレベルを適切に判断し、それらをそれぞれのメタレベルに合わせて適切に扱う、ということではないでしょうか。

それが正しくできていれば、「悪意ある入力」というものは基本的にはその意図どおりの効力を持った状態では存在できなくなります。入力データに命令を紛れ込ませることはできなくなるからです。そうであれば、「消毒」としてのサニタイズは必要ないはずです。

その感覚でいうと、

> 問題が起きる文字列をエスケープして処理する

というのはサニタイズには該当しないのではないかと思います。

>例えば"このサイトのURLを携帯に送信する"というフォームがあって、パラメータを改竄するとそのサイトのURLじゃないものを送信できるようになっていた場合、脆弱性になりますか？なるとしたらどういう分類になりますか？

　任意の内容を任意のメールアドレスに送れるのであれば、「メールの第三者中継」が可能ということになります。IPA に届け出ると脆弱性として処理されるはずです。

# しかし、改めて vuln2005q1.pdf をみたら、第三者中継って3件しか処理されてないんですね。意外に脆弱性と思われていないのかも。

やあ、それは任意のメールアドレスに任意の文章やデータを送れる上に送信者が自分の情報をけっこう秘匿できますね。スパムやフィッシングメールの送信に使うもよし、ウイルスを送りつけるもよし。特定の人物に嫌がらせのメールを延々と送りつけてもそのWEBアプリまでしかとりあえずはたどれません。

OPENなsmtpサーバより性質が悪い。

黒い夢が広がっちゃうなあ。

そのまま「任意の内容を送信できる脆弱性」と呼ぶしかないのでは。

送信内容が固定でなければ脆弱性は残ったまま。

パラメータ改竄の話なのですが、どこまでできれば脆弱性と呼べるのでしょうか？

例えば"このサイトのURLを携帯に送信する"というフォームがあって、パラメータを改竄するとそのサイトのURLじゃないものを送信できるようになっていた場合、脆弱性になりますか？なるとしたらどういう分類になりますか？

教えて君になっていてごめんなさい；

>記事のタイトルでは改定なのに、本文が改訂なのが微妙に気になります【謎】。

　意味的にはどちらでも通じるのですが、改訂に統一しておきました。

記事のタイトルでは改定なのに、本文が改訂なのが微妙に気になります【謎】。

>実は１台のマシンにＩＩＳとＳＱＬ　Ｓｅｒｖｅｒあたりをぶちこんで、ＭＤか何かでデータ移動して手動で配置しとった、とかかも？と邪推しちゃうわけですが。

　いちおう、

http://www.itmedia.co.jp/enterprise/articles/0505/16/news083.html

　によると「約60台のサーバ群からなるシステム」だったようです。

　何かしら CMS のようなものがあるのだろうと思うのですが、逆に「外部から FTP でファイルを転送しない」= FTP によるアクセス制御機能が無い、ということで訴追できない可能性は有るのかもしれません。

実は１台のマシンにＩＩＳとＳＱＬ　Ｓｅｒｖｅｒあたりをぶちこんで、ＭＤか何かでデータ移動して手動で配置しとった、とかかも？と邪推しちゃうわけですが。

Ｗｅｂページからアップロードにしろ、これだったにしろ、素敵な管理体制ですねぇ。

>まさか、ディレクトリのファイル一覧からクリックして辿りつけるところにデータが置いてあったなんてことはないでしょうね。

　さすがにそれは無いと思いたいですけれど……。

　報道によると SQL インジェクションらしいですが、詳細が公開されていないのでなんともいえないですね。

>ftpを使ってなくてブラウザでアップロードしてたんじゃないですか【投げやり】。

　あー、なるほど、それはあるかもしれません。

　さすがにあの規模になると、手でつくったコンテンツを FTP で転送なんてことはしていないでしょうから、FTPのポートが開いていなかった可能性は高いと思います。

まさか、ディレクトリのファイル一覧からクリックして辿りつけるところにデータが置いてあったなんてことはないでしょうね。

ftpを使ってなくてブラウザでアップロードしてたんじゃないですか【投げやり】。

ちなみに，件のきっかけとなったラルフ･シューマッハは昨年も同じサーキットでクラッシュしているんですよね･･･。(昨年はウィリアムズ BMW。)

そして，そのウィリアムズ BMW が履いていたタイヤもやはりミシュラン。

しかし，出てくる議論はと言えばタイヤのせいだ，あるいはレギュレーションが悪いだのいったことばかり。

ラルフ･シューマッハのドライビングスタイルから今回の一件を分析した話はほとんど聞かない。

ナンでだろう。。。

# 終わってからかなり経っている話で，時期を逸したコメントかと思いますが，まぁ気にせず書きます。

えっと，この問題はミシュラン自身に大きな原因があったことは事実なんですが･･･。

アメリカ GP のコースはインディのコースを一部流用していることもあり，最終コーナーをほぼ全開で抜けるわけですが，今年のタイヤがそのコーナー(だけではないですが)でかかる負担に耐えられなかった･･･そんな感じでしょうか。つまりはココのコースでは想定外の負荷がタイヤに掛かることが分かった，という感じ。。。

でも，被害が出たのは Toyota だけなんですよねー。

他のミシュランユーザーは影響なかった。でも，結果はなぜか一致結束して DNS (Did Not Start の略。Domain Name Service ではナイ)。

だからと言って FIA が無罪かというとそうとも思わず，これまでの高飛車的な F1 運営も伏線にあるわけで。これは明らかに政治的な意図が大きく関係しているのですが，それはまたその筋のところを参照すると面白そう。

僕の中での結論としては，「レギュレーションをイレギュラーに変えろというミシュランは悪い。だから，レギュレーションを固守した FIA はココに限っていうと正しい。しかし，FIA が固守 / 制定したレギュレーション自体には大きな欠陥 / 問題がある」という感じ。

これが起こったのが日本 GP でなくてよかった and 高額払って観戦に来たアメリカ人がかわいそう。

http://takagi-hiromitsu.jp/diary/20050701.html#p01

> 施行令などで指定された METAタグなどを記述しなくてはならないと、改正国立国会図書館法で規定すればよい。それを無視する行為は違法ということになり、

著作権やプライバシーを侵害している恐怖れのあるコンテンツには、タイトルの先頭に「未承諾出版※」と付けてください、というのを思いつきました【謎】。

> それに対して国会図書館はどうだろうか。最初から信頼はある。

とりあえず役人に任せてたらマジでそういう法律を作りかねないと思う程度には信頼【謎】しています【謎】。