パスワードを忘れた? アカウント作成
1418 story

「根本的に間違い」と指摘されるMS製品のセキュリティ 42

ストーリー by wakatono
もっと早くこれが啓蒙されてれば… 部門より

kamuy 曰く,"ガートナージャパン栗原潔氏からの寄稿ですが、ZD Net エンタープライズに『マイクロソフトのセキュリティに対する考え方は根本的に間違っていないか?』とのコラムが掲載されております。さんざん議論し尽くされている内容ではありますが、日本語の文書でそれなりに影響力のあるところから発行されたということで、結構インパクトがあるのではないでしょうか? 上を説得するための材料とかに使えそうですよ。"

以前、「ガートナーがIISの即時リプレースを強く推奨」という記事を掲載したが、より包括的な内容であろう。ただ、なぜこれまでこのような意見が広くアピールされてこなかったのかとも思う。もっと早くにアピールされていれば、現在はもうすこし違ったコンピューティングシーンが展開されていたのかもしれない。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by oku (4610) on 2001年10月31日 12時43分 (#34442) 日記
    もっと早くにアピールされていれば、現在はもうすこし違ったコンピューティングシーンが展開されていたのかもしれない。
    と言われても...でしょう。
    1. サーバに適切なソフトか否かは実績がないと分からない (実績がないのを採用するか~というツッコミはサテヲくとして)
    2. 取り敢えずダメという事が判明しても Microsoft のウリは当初製品の質というよりも むしろ改良のスピードにあるわけで、 まさか改良のスピード以上に バグ埋め込みのスピードの方が勝るとは 思いもよらなかった :-p
    という事で「今になって」アピールになってしまったのではないかと思います。
  • by Futaro (2025) on 2001年10月31日 13時28分 (#34474) ホームページ 日記

    この文書の要旨をよく見ると

    1.Microsoft社製品は、他社の製品に比べて普通に動かすためにユーザにより多くの経済的負担を強いる。
    2.同社の設計手法、設計ポリシーといったものは、現状では欠陥があると言わざるを得ない。

    ということだと思うのですね。そして、このどちらも改善がされないのは、同社がユーザの利益に無頓着であるということに尽きる、というわけです。もっと簡単に言うと、「自分のことばかり考えていて、人のことを考えに入れることができないボーヤ」ということですね。

    大人というものの定義が、また、大人に相対化される子供というものの正確な定義がどういうものかはわかりませんが、その定義の一項目には必ず「他人のことを考えられるかどうか?」という一項目があるはず。そしてまた、本当の商売のありどころも、ここに核があるはずです。

    要するに同社は「大人にならなければいけない会社なのに、大人になっていない」と言われているのですね。

    イソップの物語のたとえを引くまでもなく、自分のことしか考えない人は、他人に疎まれる、ということ。それは具体的にこういったかたちで表面に現れる、ということですね。本当に、同社の「反面教師」を地で行く数々の所業には勉強させられることがとても多いです。

    「己の欲せざるところ他に施すなかれ」

    • まんま同じ指摘を、例の司法省との裁判記録で見かけたような...。
      いずれにせよ、指摘自体は前からなされていたと思うんですけどね。「権威ある所から」なされたのは初めてなのかもしれないけど。
      つうか、損益分岐点を越えたから表立って言われるようになっただけのような。
      親コメント
  • お約束 (スコア:4, おもしろおかしい)

    by shimpei (1499) on 2001年10月31日 15時47分 (#34515)
    くだらない質問だ。顧客が仕事をしないのがいけない。せっかくパッチやアップグレードを出してもあてないからおかしなことになる。セキュリティが達成できなければ管理者を替えれば良い。それが成果主義というものだ。

    顧客が仕事をしないから、といえばそうだが、不良品を出荷した会社にも責任はあるのではないか。

    株主に対してはお金を預かり運営する立場にあるが、顧客に対して責任はない。アップグレードをしろと[会社は顧客に]命令する。経営とはそういうものだ。

    • Re:お約束 (スコア:0, 余計なもの)

      なんだか、2chの吉野家コピペみたいになってきましたね。

      でも面白い。
      • by Anonymous Coward on 2001年10月31日 17時45分 (#34548)
        それ書いちゃうと、コッチでも吉野家コピペ(の亜種)を書き始める人間がいそうで、そうなったらすごくイヤ。
        もうお腹いっぱいっすよ、アレ。
        親コメント
      • by Zerow_jp (945) on 2001年11月01日 1時04分 (#34614) 日記
        個人的にはすばらしい洞察(もしくは参考になる)をあげたいのですが…?
        なんでこれが余計なものなんだろう?
        --
        -- By Grabthar's Hammer!
        親コメント
        • by Anonymous Coward
          2chの文字があるだけで、-1したがる方がいるようです。
          MS批判もそうかな?

          ちなみにおいらがモデレータだったら、モデレートしないと思いますが(つまり、0っちゅーこと)。
          別に余計なものでもなければ参考にもならないと思ったんで。

          モデレートについてを読んで欲しいな…と思うモデレートがあるのは、確かにそのとおり。
  • by Anonymous Coward on 2001年10月31日 21時09分 (#34581)
    そりゃ、「セキュリティ上IISは他のWebサーバに置き換えるべき」というのは誰にでも到達できる真理なので結論は間違ってないけど、論理展開がなってない。
    マイクロソフトの開発に対するこの基本的スタンスは変わってないように思える。つまり,比較的少数の開発者と数多くのテスターを使ったテスト重視型の開発ということだ。
    開発やってりゃわかるけど、unicodeを2回デコードしちまうなんてのは大きなプロジェクトで右手のやってる事を左手は知らない典型的な例。 他にも、IEのproxyの自動設定スクリプトに酷さとか、gzip対応がproxy経由とダイレクト接続で異なる事などから、大きな、そして決して精鋭ぞろいというわけではないプロジェクトチームで行われている事はうかがい知る事が出来る。
    そして,これもご存知のように,マイクロソフトは同社のWebサイトにおいてセキュリティ・ホールを悪用するコードの公開を止めるよう求めている。
    サンプルコードの例示の是非は意見の分かれるところであり、CERTなどはコードは示さずに対策を示している。 具体的なコード示されて嬉しいのはスクリプトキディと、検証するのに手が抜ける管理者。CERTのように信頼できる所が検証済みなら追試の必要無いね。
    これは上の説得に使うにはお粗末過ぎでしょう。
  • 思うに・・ (スコア:3, すばらしい洞察)

    by non (2549) on 2001年11月01日 0時57分 (#34612) 日記
    私見ですが、MSって発想は何時も面白いと思うんです。
    色々と新しい技術や新しい構想を盛り込んでくれますから。

    ただ、その新しい技術をロクな検証もしないで、
    (してるのかも知れませんが不備が多い)世に送り込み、
    大惨事になってからパッチを当てて・・なんてのは、
    発売後に消費者を巻き込んだ大規模なベータテストを有料(高額)で
    やらせてる様な気がするのは私だけでしょうか??

    ・・・こう言うのは消費者の発想なんですかねぇ?
    --
    -- non --
  • by take0m (4948) on 2001年10月31日 12時43分 (#34443) 日記
    栗原潔氏がMSに入社して、プロダクトセキュリティ担当として根本的に改めてもらう・・・という選択肢はなしですかね?

    それとも、やっぱりコンサルタントは言うだけなのかな?
  • びるげいつ曰く

    "本当の良質なソフトは,少人数で作らなければならない。実際,Excelのプログラマーは10人以下だ"

    っていうか、この人って三段論法とかって知っているんかいな。

    • ちと足りなかったかもしれませんね。俺としては、どういう前置きがあって、結論が「少人数じゃないとダメ」なのか?ってことです。たとえば、人手が多いほど意志疎通が大変だからだ、とかなら分かるけど。

      穿った見方だと、「びるげいつサマが雇うような精鋭だけなら10人も必要ではない」と言いたかったのかもしれないし。

      でもまあ、所詮過去の話だからどーでもいいのかもしれん。(話振ったくせに)

      親コメント
    • by doripush (653) on 2001年10月31日 13時03分 (#34457)
      "従って、Excelは良質なソフトだ。"
      という論?法。
      親コメント
    • by sinkope (230) on 2001年10月31日 13時52分 (#34480) 日記
      ZDNetの「Gates氏とのQ&A――Windows XP晩餐会にて」という記事では、
      なぜMicrosoftはウイルス対策ソフト市場に参入しないまま,デスクトップセキュリティの強化に重きを置いているのか,という私の質問に対し,驚いたことにGates氏は,かすかにほほえんで,まだいくつか未解決の問題があるからだと答えた。
      なーんてあります。
      問題があるのはわかっているわけだ‥‥。
      親コメント
      • Re:びるげいつ曰く (スコア:4, すばらしい洞察)

        晩餐会の記事を読んで思ったけど、どうもこの会社、サードパーティとか、専用ソフトを作っている開発者達(俺含むかもしれない)をシカトしてるとしか思えない気がする。

        特に、多少のバージョン差でも互換性がすこぶる悪くて、結局ゼロから作り直す羽目になることがほとんどだし。そして、それを繰り返すからモチベーションは低下する。

        そうしていくうちに、根に持った開発者達がCodeRedをはじめとする数々のウイルスやワームを作ってそれをまき散らしたり、ソースコードを開示してみたりするのはある意味でのストレス発散の手段なのかもしれない。まあそれでより多くの人が迷惑を被るわけなんだけどね。

        で、結局それは結局MSサマが悪いんじゃなくて、ウイルスとかを作ったり撒いたヤツが悪いということになっちゃうから始末が悪い。

        親コメント
        • by sinkope (230) on 2001年10月31日 17時39分 (#34545) 日記
          まァ根に持ったヤカラがストレス発散してるかどうかはともかく(笑)、
          バージョン差の互換性維持にあまり注力されていないように見受けられる、というのは同感ですね。
          きっとソレってMS外部の人間だけでなく、Officeとか作ってる連中みたいな身内にも持たれている印象なんじゃないかな。OSの開発部隊と他との連携が、極めてシームレスに行なわれているとは(各々の製品のデキを見る限りは)到底思えない‥‥。
          親コメント
          • by zeissmania (3689) on 2001年10月31日 18時44分 (#34560)
            隠しAPIはOffice開発部隊からの依頼で作られているという話を聞いた気がしますが...元ネタはどこだったか。
            親コメント
          • OSの開発部隊と他との連携が、極めてシームレスに行なわれているとは(各々の製品のデキを見る限りは)到底思えない‥‥。
            IEは,コードだけシームレス(曰く「OSの一部」).
            ただ開発部隊間の連携は...:-)
            --
            // kraymor
            親コメント
          • by Anonymous Coward
            officeもバージョン間の互換性は皆無じゃない?
            rtfフォーマットで保存しておいて拡張子だけdocに変える(換えるじゃなくて)だけとかあったよね。
            • by Bill Hates (2038) on 2001年11月01日 3時08分 (#34634) 日記
              > officeもバージョン間の互換性は皆無じゃない?

              WindowsもOfficeも,ウイルス実行の互換性は高いので
              皆無とは言えません.

              WordもExcelも,Windows版で作ったファイルをMac版
              で開くとレイアウトガタガタになったりするのにマクロウ
              イルスはしっかり動くのが多かったりします,つーか
              マクロウイルス以外は最近Macで動くウイルスなんてない
              つーの.

              # 他のアプリで開こうとするとウイルスを含まなくても
              # マクロがロジックボム的に動作したりするのは閉口.
              親コメント
              • by chiriko (5868) on 2001年11月01日 9時16分 (#34659) ホームページ 日記
                (私が勘違いしているかもしれません)
                > # 他のアプリで開こうとするとウイルスを含まなくても
                > # マクロがロジックボム的に動作したりするのは閉口.

                これはShiftキーを押しながら立ち上げればマクロは動かないですが.

                Macだと違うかもしれませんが...
                親コメント
      • 「MSとして、ウィルスソフト市場に参入するのに問題がある」というふうに、読めますが。

        さて?
        親コメント
      • >なぜMicrosoftはウイルス対策ソフト市場に参入しないまま,デスクトップセキュリティの強化に重きを置いているのか,という私の質問に対し,

        参入しないのではなく、参入できないのでしょう。
        それだけの技術があれば、IISもIEもちょっとはマシになってるハズでしょうから。
        --
        ---アレゲの道は一日にしてならずぢゃ---
        親コメント
        • Re:びるげいつ曰く (スコア:4, すばらしい洞察)

          by Dot.Zeile (1169) on 2001年10月31日 15時47分 (#34516) 日記
          常駐のウィルスチェッカとかMSに作らせたらウィルスチェッカのセキュリティホールを攻撃するウィルスとかできそうだ。
          親コメント
        • Re:びるげいつ曰く (スコア:4, すばらしい洞察)

          by kimura (2954) on 2001年10月31日 21時26分 (#34584)
          >> 参入しないのではなく、参入できないのでしょう。
          >> それだけの技術があれば、IISもIEもちょっとはマシになってるハズでしょうから。

          仮にMSがアンチウィルスな市場に参入したとして,その市場で扱うようなウィルスが突いてくるセキュリティホール(やバグや問題のある仕様)はMS製品に存在するワケですよね? ということは,

          1) そういうサービスを始めることは,自社製品に多数の未知の問題が潜んでいることを自ら認めることに他ならない.おそらく,これはMSが最も避けたいことの1つでしょう.

          2) 製品のバグや問題点に対しての対処としては,例えば車や家電製品などでリコールという制度があるのに,ソフトウェアの場合にはMSに対して追加の金を払うということを妥当だと考えるユーザがどの程度いるかわからない.また,そんな本末転倒な商売が社会道義的に許されるかどうかという問題もある.

          3) 現状を見る限り,MSがまともな対処を迅速にできるとは思えない.従来は「仕様です」的な横柄な対応で押し切っていたが,ウィルス対策サービスとして商売をしている限り,そういうごまかしは許されず,必ずウィルスを検出/駆除する責任が発生する.過去の例を見る限り,MSは「責任」や「義務」を必死に避けてきましたからね.

          4) 今そんな市場に参入したら,また司法省との裁判での立場がまずくなる危険性が高い.

          というように,技術以外にも様々な問題があるんじゃないかと思います.それに対して,参入によるメリットは小さいでしょう.MSの考えている.NETなどの規模からみたらニッチな市場でしょうからね.ということで,参入しないのは当然ですし,(MSが根本的に考え方を変えない限り)未来永劫にわたって参入できないと思います.

          親コメント
        •  つまり、セキュリティホール付きの製品を作る技術はあっても、セキュリティ対策製品を作る技術はない、ということを自覚しているんやね。うん、謙虚でよろしい(笑)。
          親コメント
  • by bugbird (4706) on 2001年10月31日 14時16分 (#34487) ホームページ 日記
     現在はもうすこし違ったコンピューティングシーンが展開されていたのかもしれない。

    マイクロソフト以外の誰かが、やはりマイクロソフト的な立場にあると思いますよ。

    恐竜などの大量絶滅にいたる経過を観察してみると、最大適応するということは実は破綻への閾値が下がることと等価であることが判ります。そして、それが原因である種族が絶滅して食物連鎖の一端が崩れると、すぐにそれを補填するように別の種族が台頭するという歴史が繰り返されているのです。多分これは IT を巡る盛衰記にも適用できる概念でしょう。

    マスプロダクションの恩恵によってパーソナルに利用することが可能となった PC には、マスプロダクションが適用できない…マニファクチャでしか開発できないソフトウェアが必要であり、その精神分裂的状況に最大適合してきたのが、マイクロソフトということでしょう。

    寡占を捨てることによって「進化」し、衰退を免れることができた IBM のように、自ら活路を拓いて行けるのかどうかというのが、今最大の興味だったりします。

    --
    --- Toshiboumi bugbird Ohta
    • Re:生態学的に考えると (スコア:3, すばらしい洞察)

      by Anonymous Coward on 2001年10月31日 15時24分 (#34508)
      でたらめなこと書いてますね。

      >恐竜などの大量絶滅にいたる経過を観察してみると、

      「経過」を知るに足るデータがどこにあると?
      「経過」なんてわからなくて、いくつかの点をつなぐ経路を『想像』してるだけじゃないですか?

      >最大適応するということは実は破綻への閾値が下がることと等価であることが判ります。

      「最大適応」という言うより「現環境に過度に適応すること」の方が正しいでしょう。

      生態学的な観点(あるいは進化の観点)から考えるなら、逆に

      「現在繁栄している種が必ずしも適応度が最大ではない」
      「ある種の繁栄は時に偶然によって決定される」
      したがって、
      「現在繁栄している種に取って代わるのは、似たような性質の種とは限らない」

      「ある地位を占めていた単一の種が滅びたとき、代わりに空いた地位を占めるのは単一の種とは限らない」

      ってことになりませんか?
      親コメント
      • by sht (5747) on 2001年10月31日 18時45分 (#34561)
        喩えはあくまで喩えでしかないわけですが、ちょっとお付き合い。
        「最大適応」という言うより「現環境に過度に適応すること」の方が正しいでしょう。
        勝手に言葉を補うと「環境変動に直面した時に、(結果的に)旧環境に過度に適応していたために、新環境に適応できないこと」 が絶滅ないしは衰退を招くわけですよね (環境が不変であれば最適なものはいつまででも最適)。

        現在の MS が「理論上取りうるすべての戦略の中で最適」なのかどうかは別として、 独占的な地位を占めている今、他のどの企業と比べてもより適応的である(あった)とは言えるでしょう。 そういった意味では MS より効率的な戦略の企業(群)に取って代わられる可能性も 0 ではないでしょうが、 私はちょっと考えにくいように思います。
        そういったことを踏まえて、私としては「では MS の衰退を招くのはいかなる変動なのか」ということに興味があります。 PC に取って代わる新しいデバイスなのか、インターネットのさらなる普及なのか、それとも…。

        親コメント
    • by take0m (4948) on 2001年10月31日 15時14分 (#34503) 日記
      MSの自発的企業分割。

      それによって可能になる、Officeアプリケーションの他OSへの展開と、積極的なソフトハウスM&A。

      しかし、同じ改革でもAT&Tになる可能性もありますなぁ。
      親コメント
  • by magicmirror (2852) on 2001年10月31日 12時49分 (#34448) ホームページ
    IISをオープンソースにすればいいだけなのでは..
    --
    magicmirror
    • Re:つまり (スコア:2, すばらしい洞察)

      by Mizuki (4740) on 2001年10月31日 16時02分 (#34520)
      そんなことしても、全部捨てて0から書き直すことになるだけでは?
      親コメント
      • Re:つまり (スコア:2, すばらしい洞察)

        by Anonymous Coward on 2001年10月31日 16時58分 (#34537)
        仕様が詰まってない。大体、httpdごときがAdminで動くのがいけない。

        #前に「くだらない質問だ」を付けることができるのがヤダ。
        親コメント
  • 日本語の文書でそれなりに影響力のあるところから発行されたということで、結構インパクトがあるのではないでしょうか? 上を説得するための材料とかに使えそうですよ。
    …って言われても。記事中で、
    なお,ここで言っているのはIISからほかのWebサーバへの切り替えであり,WindowsサーバからUNIX/Linuxへの切り替えを奨励しているわけではない
    なんて断言されてしまっているのであんまり使えないです :-

    え?OSは製品に含まれない? そんなぁ。
    • by SteppingWind (2654) on 2001年10月31日 19時23分 (#34565)

      既に資産がありすぎるでしょうから無理としても, 代えられるところから始める. さらに新規物件にはMS製品を使うなという感じですね. 現実的な受け入れやすい提案だと思います.

      具体的にはIIS→iPlanet, Zeusあたりから初めて

      • バックエンドDBサーバ: SQLserver→Oracle, DB2
      • APサーバフレームワーク: .Netは使わずJavaベースで構築
      • サーバOS: Windowsサーバ→規模や信頼性にあわせて適当なものを

      という感じで段階的に移行するのが良いでしょうね.

      親コメント
    • by Kitton (4681) on 2001年10月31日 18時39分 (#34559) 日記
      確かに指摘されているのはあくまで「IISのセキュリティに関する作りこみ手法」ですね。実際に問題があるのはIISだけではないし、セキュリティだけでもなくて、 もっと全体的な、品質の作りこみかたとか、開発スタイルの問題じゃないかと思うのだけど。

      もっとも、私は行間に上記のような意見が書いてあるように見えるのだけど。「とりあえず部分的指摘に 留めているけど判ってね」って感じで。穿ち過ぎ?
      つか、あれだけ言ってから「OS乗換えを奨励しているわけではない」って言われても説得力が...(笑)
      親コメント
typodupeerror

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

読み込み中...