UnderForge of Lack

そろそろ落ち着いた（と思う）zlkon/gumblar/GENO系のネタですが。
こんな質問を受けました

「そもそもAdobeがアップデートを怠けていたのが悪いんでしょう？」

思いっきり間違っています。
別に擁護するわけではありませんが、Adobeはこの件に関して、ゼロデイを封じる修正を、（できうる限り？）素早く行っています。

問題は　自動アップデートでは無い　という点にあります。

Flash PlayerやAcrobat Readerのような、デファクト・スタンダードとして広まっているアプリケーション（厳密に言えばコンポネンツなのかも？）に、脆弱性が指摘され、そのアップデートが行われているにもかかわらず、OSは自動ではアップデートしてくれません。この辺は Linux を使っている方には奇異に思えるかもしれませんが、バージョン管理リポジトリのような概念がＯＳに無いため、アプリベンダーは自力でアップデートをアナウンスする必要があるわけです。

しかしコレって、各アプリベンダーが独自にアップデータのcrontabのようなものを走らせる必要があるって、設計思想的にオカシクないですか？　百歩譲って、アプリは起動時にチェックに行けばいいかもしれませんが、flash や acrobat reader のように本体が無い、あるいは滅多に起動しないものは、Browser側にそういった機能、あるいはプロトコルを内蔵させる必要があるわけでして、どっちの問題なのかはよくわかりません。


一応、Flash Player には自動アップデートのチェックというのがあることはあるのですが・・・

Flash Playerの自動更新間隔をカスタマイズする ― べつになんでもないこと
でも指摘されているように、デフォルトのチェック・スパンがかなり長め（７日）です。
※訂正：Flash Player、自動アップデートのデフォルトは３０日でした。指摘ありがとうございます。

もっとも、これを全ての Flash Users が 2時間おきとかに飛ばすようになると、「それ何て DDoS？」になってしまう可能性があるわけですが・・・

こういう欠点を突く形で、現在 Phirash問題 が多発しているのは皮肉な結果としか言いようがありません。


ま・・ SilverLightを売り込みたい MS としては、今回の混乱は大歓迎！なんでしょうけど（邪推！）
そろそろ、Windows Subversion（笑) を認証運用していくような第三者機関がほしいところですね。


---------------------
何が言いたかったかといいますと（矛先変更）

セキュリティ・ソフトは、プロセスのチェックを行っているんだから、Flash とか Reader の脆弱バージョンを検知して警告を出すようにしたら？

と、前々から思っていただけです。

それくらいできるんじゃないかなぁ？とか思ってるんですけどね。


-----------------------------
あと、こっそり追加

This entry was posted on 火曜日, 5 月 26th, 2009 at 8:24 AM and is filed under RiskHedge. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.