曰く、やや旧聞になるが、人気のWindows向けSSHクライアント「PuTTY」で、マルウェア入りの非公式バージョンが出回っているそうだ(シマンテック公式ブログの記事)。PuTTYはオープンソースソフトウェアなので、(知識と開発ツールさえあれば)誰もが改変したバージョンを作成して配布できる。シマンテックのブログによると、このマルウェア入りPuTTYは2013年後半から出回っているらしい。今のところあまり拡散していないが、検索エンジン経由でこのマルウェア入りPuTTYのダウンロードページに誘導されることがあるようだ。この改変版PuTTYでは、サーバーへの接続時に接続情報が攻撃者のサーバーに送信される。これにより、攻撃者は被害者が接続しようとしたSSHサーバーへの接続が可能になるという。SourceForgeがアドウェア入りGIMPインストーラを配布したことが話題になっているが、オープンソースソフトウェア自体へのマルウェア混入も増加するかもしれない。不要なバンドルソフトのインストールを防止するというソフト「Unchecky」バックドアを含むバージョンのbootstrap-sassパッケージがRubyGemsで見つかるこの議論は賞味期限が切れたので、アーカイブ化されています。新たにコメントを付けることはできません。(#2822608)この状況では改造版が出回るのも仕方ない。Cowardそのとおり。正規の安全な配布ルートじゃないところから落とせば、マルウェア感染リスクがある、って当然のことでしかない。結局、オープンソースとかそうじゃないとか関係ない事案だよね。問題にするべきは、そういう安全な配布手段がなかったことであって、「オープンソースソフトウェア自体へのマルウェア混入も増加するかもしれない。」とか書いちゃうのはミスリードもいいところ。(#2822626)そうですよね。オープンソースとかそうじゃないとかは関係ないですね。プロプラなソフトでも、信用できない配布ルートで入手すれば(海賊版)、マルウェア感染リスクがありますし。Cowardというか、本家が感染したバイナリ配ったなんて事故もあったり。Cowardオープンソースの話で真っ当な「企業」は関係ないかと。オフィシャルなサイトだけど、広告のダウンロードボタンの方が目立つなんてのはいくらでもありますね。私の環境だと「ダウンロードを開始」という広告が紛らわしい位置に表示されます。いうのが通常のダウンロードです。最近はページの色に似せて来たりするのでたちが悪い。Coward別途ハッシュが入手出来るとかだと配布ルートはあまり重要じゃなくなる。統一的なパッケージ管理システムが出来て、バージョンチェックとかダウンロードとかと合わせて健全性チェックとかってのが出来るとうれしいが、Windowsだと規模的にもイデオロギー的にもなかなか難しいだろうなぁ。Cowardお、マジですか。[chocolatey.org]PUTTYもあるね。CowardChocolateyにせよbowerとかにせよ誰が挙げてるかわかんないけどね。OracleClientも最初は非公式版だった(いや、善意で上げてくれてたやつだと思うので非難するつもりはないけど)bowerはangular2をインストールすると、よくわからない人のangular1.3がインストールされた。どっから取得してるか見ないと結構危険だとは思う。Cowardchocolateyは先行のapt(linux)なりと比べるとパッケージとデジタル署名をいい感じに扱う仕組みがなくて、それを開発コミュニティもMicrosoftも認識してるという認識。ソフトウェアなら署名は付いてる。インストーラの出所をチェックしてからインストールすれば良いだけ。ソースレベルでの改ざんとか、内部の犯行だとどうしようもないけど。Coward日本だと、いくつかあるパッチを適用したバージョンを使用している人の方が多いんではないだろうか。(#2822749)Linux系OSでは、DebianとかUbuntuとか、RHELとかFedoraとかArchやGentooとかが、パッケージ配布のためのリポジトリーを持っていてgpgとかmd5sumとかを使って、不当なパッケージがユーザーの元に届くことを防いでいるじゃん。CowardPuTTYも、バイナリのハッシュは公式サイトで公開しているんじゃなかったかな?シェル拡張でmd5なりshaなりチェックできる機能があるのだから、早く標準に取り入れて欲しいとは思いますけどね。(#2822766)シェル拡張でmd5なりshaなりチェックできる機能があるのだから、早く標準に取り入れて欲しいとは思いますけどね。シェル拡張なんて入れなくても、標準でハッシュ値の確認ができますよ。検索)に次のように打ち込めばチェックできます。3つは使わない方が良いと思います。コマンドは正常に完了しました。コマンドは正常に完了しました。コマンドは正常に完了しました。(#2822884)いや、あのね、CUIでハッシュチェックできる機能じゃなくて、エクスプローラー上でできる機能を標準搭載しろと、元コメは言っているわけで。Shell布教がウザくなってきたんだけど。何事にも限度ってものがあるんじゃないかな、と思うんだよね。Shell布教がウザくなってきたんだけど。何事にも限度ってものがあるんじゃないかな、と思うんだよね。間で、オブジェクトデータの受け渡しを可能とした先駆者なのです。CLI界の革命といっても過言ではないはずです。似たようなものだろうと決めつけ軽蔑し、その先進的な理念と構想を知ろうともしません。界の未来には絶望しかないでしょう。重用する稚拙なサーバ管理者の数が奔騰しているではありませんか。採納する必要があるのです。CowardそこでCRCを用意しないのがMSらしいというか。Coward当時はそれもHTTPSで提供してなかったんだよ。チェックサムだってHTTPSで公開しない限り無意味だし、だったらバイナリそのものをHTTPSで提供するのと変わらん。全般で集約的なリポジトリを作るのは、とてもじゃないけど現実的な話ではないでしょう。系のディストリで管理される程度のものとは桁が違います。世界では、昔から電子署名を使って不当なパッケージやバイナリが手元に届くのを防いでいます。まっとうな物であれば必ず電子署名されているといっても差し支えないくらいには普及していますよ。Cowardエンドユーザが特定の証明書を簡単に失効できない。証明書は蹴ってほしいのだが。インストーラに含まれるアドウェアはわりと同じ証明書が貼ってある。Cowardそもそもの問題はWindowsが最初からssh使えないのが悪い、ってのもあると思う。Windows使ってた時はPuttyやらPoderosaやら使ってて、Macに初めて買い換えた時sshはどのアプリ使えばいいんだろうと思ってたけど、普通にTerminal(shell)でそのまま使えるんだよな。Windowsのshellがもっとまともになればなと。shellというか、それに関連する基本的なソフトウェア群だけど。sshとかviとかrsyncとか。パッケージ管理あると解決されるのかな。独占やらなんやらでMS自身はできそうにないけど、MacはMacportsやらHomebrewやら、Apple以外で実現してるんだよな。10のストアはどうでしょうか?Win32アプリも登録できるようになるそうですし。Cowardまぁ、Windowsにはない機能ですからね。LinuxがRDP使えるようにすればいいじゃんって言い分かもしれませんし。Windowsのバージョンが上がるごとにパス区切りにスラッシュが使える場所が増えてたりしますが。UNIXにssh入れるとか、MINGWやcygwinあたりを使ってねってところでしょうね。ChocolateyやnuGetがありますね。これはMVPの人が作った奴だったと思います。CowardUNIX信者はめんどくせーな。エンジニアではない一般ユーザがたくさんいて、スパムメールに実行ファイルが添付されてくるようなWindows文化で、レポジトリなんぞセキュリティの観点からは無意味。代わりに、WindowsにはAuthenticodeという電子署名の仕組みがあって、OSレベルでバイナリの真正性をチェックしてるんだから、これを使えばよいだけ。>プログラマー以外のWindowsユーザーではあなたの世間の狭さに言葉もないよ。プログラマー以外でSHA-256なんて知ってる人はほとんどいない。そんな世間感覚で、現実世界のユーザがセキュアに使えるソフトウェアは開発できないと思うぞ。あなたじゃ、Microsoftが、エンジニアでない一般ユーザがセキュアに使える環境を提供するために、どれほど苦労してきたか理解できないだろうな。CowardAuthenticodeをフリーソフトで使うには証明書の値段がかなり痛い英語圏で年間$99から$300、日本語での応対してくれるところで年間15000円から10万近いのまでピンキリだけどそこまでして署名する気にはならんですよ。サイトの広告収入やオンライン販売でまかなえちゃうくらい有名どころなら良いんだろうけど。Cowardそこから入れるとバージョン古いからソースから入れましょうっていうのがたまにあるけどね。別のリポジトリ追加しましょうとか。ソースはさておき、そのPPAは本当に信頼できるの?って話もあるでしょうに。プログラマー以外のLinuxユーザーでもSHA-256とかmd5sumとかの知名度は高くないと思うよ。(そんなん逐一みましょうねってガイドしている本とか見たことない)あれもどっちかっていうとダウンロードエラー出てないかっていう用途の方が強いと思うんだけどな。ハッシュ値は改竄されていないってわけもないだろうし。2系(公式ではなくてForkしたもの)も一部のウィルススキャンソフトで引っかかります。欲しかったんで軽く試してみたんですけど、たしかにVirusTotalでいくつかひっかかる。issueにも上がっていて、そこでは作者が「自己解凍書庫にするソフトも昔から変えていないし思い当たらない。Virus対策ソフトの会社に言ってくれ。」みたいなやり取りを見かけました。自分でダウンロードしてみて、自己解凍exeではなく普通に解凍してzipに再圧縮したらそれでも引っかかったんで導入するのやめました。内容までは調べてないですが、ソースに作者も知らないうちに混入されてるんじゃないかとちょっと心配になりますね。(#2822594)オープンソースの欠陥でGPLの欠陥ではないな。改変元のソースコードをしっかり読まないからそうなる。(#2822604)ユーザ側のコンピュータリテラシの問題じゃないかな。公式サイト以外からは入手しない。(入手経路に関係なく)コード署名などを確認する。似て非なるもの(俺カスタム版やマルウェア同梱版など)を再配布しやすい、ということはあるでしょう。それは「○○の欠陥」というほどのことではありませんね。公式がコード署名などの検証方法を提示していない場合は...どうしよう。Cowardputtyに関しては、公式が更新しなくなってから脆弱性とか出てて有志が直してた気もしますがね。そのような事実はありません。0.60~0.61の間は4年くらいリリースが無かったですが、リポジトリを見れば開発が続いていたのは判りましたし、その間もセキュリティ的な問題は特に見つかっていなかったはずです。セキュリティ的な問題が見つかった時は迅速に修正版が出ています。オープンソースの欠陥その論法でいくと、嘘の情報や悪意の情報が書いてあることもあるのは、インターネットの欠陥だ、ということになってしまいますよ。インターネットから入手した情報を鵜呑みにすると間違うこともあるのはみんな知ってるとおり。(#2822620)そのつもりで書きました。正確にはインターネットを含む現実社会の欠陥。そもそもソースコードと公式が配布するバイナリの同一性が保証されているわけではないし(もちろん配布者はそう主張するだろうが)公式サイトが改変される可能性もある。そもそも公式が悪さをする可能性もあるし第一ソースコードやバイナリを書き換えなくてもインストーラに細工をすれば良いわけで。CowardGPLだと、ソースさえ開示していればユーザーが望まない機能を追加して配布しても問題はない?みたいな論理だったりして。(#2822586)やっぱりGPL関係ないじゃん。CowardGPLだと、ソースさえ開示していればユーザーが望まない機能を追加して配布しても問題はない?ライセンス的には問題ないね。プロプライエタリなソフトは、勝手に改造しての配布をほぼ確実に禁止してるからそれをやればライセンス違反になる。「ユーザーが望まない機能」の挙動如何では違法になる可能性は十分ある。多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド読み込み中...。