パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Microsoft、プロセス分析ツール「Process Hacker」をマルウェア扱いして駆除」記事へのコメント

  • バイナリに署名しなさい

    • スラド民って、「EV TLS証明書は無意味」「Let's Encrypt (DV) で十分」「EVステータスを表示しなくしたChromeやFirefoxの方針転換は正解」と言っておきながら、コードサイニング署名されたバイナリは安全だと考えるのだろうか。

      今時、コードサイニング署名されたマルウェアだって山ほどあるんだけどね。
      マルウェア配信が合法の国の存在、署名代行業者の存在など理由は様々。

      コードサイニング署名よりも、不特定多数が参加してソースコードを確認できるオープンソースの方がまだましだと思うよ。
      マシだというだけで、無償で他人のコードをレビューしたがる人はそんなにいないのでオープンソースだからといって絶対安全というわけではないが、おかしな挙動があったときにソースを確認できるぶんだけまし。

      • by Anonymous Coward on 2019年12月13日 16時06分 (#3731202)

        実行ファイルだけを見てオープンソースかどうかどうやって判断するんだ。まさにそれを判断するためのコード署名だろう。
        論理的思考能力がないのか?

        親コメント
        • by Anonymous Coward

          プラスαで配信機関なり評価機関との連携が無いと結局は証明できないと思うんだ。
          それだけじゃ単なる署名付きのファイルでしかない。

        • by Anonymous Coward

          コード署名が保証するのは、ソフト配布元からダウンロードしたファイルが
          第三者によって改竄されていないかなので、

          ソフト配布元がオープンソースなソースコードにマルウェアを仕込んだ上でビルドしていないかや、
          ソフト配布元が使用したコンパイラがバイナリにこっそりとマルウェアを仕込んでいないかを
          保証することはできないわけだが、

          いったいどうやって、コード署名だけで、
          実行ファイルだけを見てオープンソースか判断するんだ?
          論理的思考能力がないのか?

          • by Anonymous Coward

            誰がビルドして署名して出荷したか推論できるわけだから、
            たとえば、redhat が署名したバイナリだと言えば、何をどうやってビルドしたものかは調べて推論できるだろう。

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー

処理中...