Acanthopanaxによる
2005年07月17日 7時59分の掲載
待機部門より。
待機部門より。
Anonymous Coward曰く、"先日掲載されたFirefox 1.0.5リリースの話題ですが、拡張機能がらみの問題が見つかり、Mozilla Foundationは早速、Firefox及びThunderbirdの1.0.6リリースに向けて動いている模様。早ければ、今週中にもリリース予定とか。今週中にリリース予定であった各言語版も1.0.5はパスし、1.0.6待ちになる模様。
セキュリティアップデート版も大事ですが、現在開発中のFirefox 1.1(Deer Park)の仕上がりも気になるところ。ちなみにDeer Parkは現在Alpha 2がリリースされているところ。この後、Deer Park Betaと1.1 RCが幾つかリリースされた後に正式版の運びとなる。"
この議論は賞味期限が過ぎたので、保存されている。
新たにコメントを書くことはできない。
|
|
これで1.06まで穴が開いたままになるわけですが・・・ (スコア:3, すばらしい洞察)
日本語版の存在意義はなんなんでしょうか？
Mozilla Japanの方からもっとMozilla Foundationと
協力して同時リリースとかできないんでしょうか？
最低でも日本語版等がリリースされるまで、
穴の情報等はリリースされるべきではないんじゃないでしょうか？
それが不可能なら日本語版はリリースしない方が
良いのではないかと思ったりします。
romfffromのコメント設定
AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:4, 興味深い)
潜在的危険性がゼロでなくても、一般ユーザのセキュリティ向上の敷居を下げてくれたところがFirefoxのえらい所です。アップデートの適用も楽ですし。ノービスなユーザにも勧めやすい。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, 興味深い)
「ページを正常に閲覧するためには、画面上部をクリックして xpi をインストールしてください」 と表示して手順を示しておけば、 ActiveX を良く分からないままインストールするような人は引っかかるような気がする。
署名入りの ActiveX をできるだけインストールしないようにしても、署名なしの拡張をほとんど躊躇せずにインストールするのは私だけではないよね？ [sakura.ne.jp]
# Spybot や Ad-Aware とかって Mozilla や Firefox に対応してないような気がするけど、検出してくれるかな？
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:3, 興味深い)
ありません。自分のところでの実績です。かなり歴然としています。
おそらく、Web上のメジャーなニュースサイトでは、MSに気を遣ってこのあたりの実態をはっきり表現していないのかもしれません。
>Firefoxを入れている時点で既にセキュリティに対する意識を持っていると言う点も見逃すべきではないと思います。セキュリティを意識せずにFirefoxを使っていても安全かどうか、が問題なのでは。
インストールを勧めています。というか、内部の一部のシステムでは、FireFoxの使用を強制しています。よってほぼ強制インストールです。
結局、IEに比べマイナーだからスパイウェアなどから相手にされていないというのも大きいと思います。
余談ですが、最近は、メールクライアントのhtmlメール絡みの脆弱性が穴ではないかと思います。Beckyとか使っているひとはアップデートやってなかったりしますし。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:4, 参考になる)
あなたは、ローカライゼーションチームがどういう状況に置かれているか知っても、そういう後ろ向きの批判しかできないのでしょうか？ 一応参考までに mozillaZine.org に掲載された記事を訳してあげましょう：
原文：Mozilla Firefox and Thunderbird 1.0.6 Releases Coming [mozillazine.org] -- Saturday July 16th, 2005
Mozilla Firefox 1.0.5 および Mozilla Thunderbird 1.0.5 のリリースからわずか数日しか経っていないが、二つのアプリケーションの 1.0.6 バージョンが来週早々にも発表されるようだ。1.0.5 に施した API の変更が、意図せず複数の拡張機能を壊してしまったことが原因だと見られている。
bug 300028 の comment 45 [mozilla.org] にあるように、Rafael Ebron は昨日、「拡張機能の開発者やディストリビュータから、拡張機能に悪影響 （セキュリティ問題ではない） を与える API への変更を問い合わせる、1.0.5 に関するフィードバックを受け取った。そのため、この問題を修正した 1.0.6 を予定している。」現時点では Thunderbird 用の Enigmail [mozdev.org] PGP 拡張機能が 1.0.5 では動作しないことが明らかになっている。
今のところ、Firefox および Thunderbird の 1.0.5 リリースはアメリカ英語版 （en-US） のみが利用できるようになっており、ローカライズ版はダウンロード用には準備されておらず、 ローカライゼーションチームは、これ以上 1.0.5 リリースへの作業をしないようにとの要請を受けている [google.com]。これらの 1.0.5 のローカライズ版はすべて飛ばして、1.0.6 のローカライズ版が用意される予定だ。
こうした状況に対して、多くのローカライゼーション担当者が不満の声を上げている。Mozilla Foundation からの情報が不明瞭だという不満や、ユーザがすでに公開されたセキュリティ欠陥を抱えたままになってしまうとの指摘も出ている。 bug 300028 [mozilla.org] （Firefox 1.0.5 ローカライゼーション作業を追跡するために作成されたバグ）や netscape.public.mozilla.l10n [google.com] ニュースグループには、多数のメッセージが寄せられている。
「頼むから、そんなに曖昧な態度はやめてくれ！ 何が問題なのかきちんと説明をしてくれ！」とポーランド語のローカライゼーションを担当する Marek Stepien は Firefox 1.0.5 ローカライゼーションの状況に関する netscape.public.mozilla.l10n ニュースグループへのメッセージ [google.com] の中で悲痛の声を上げている。「ポーランドの Firefox ユーザから Firefox 1.0.5 がなぜポーランド語で利用できないのかを尋ねる電子メールを山のように受け取っているんだ （で、僕らローカライゼーション担当チームは、この遅れの責めを受けている）ジャーナリストも同じ質問をしてくる・・・ もう数日遅れたら、合衆国外での Firefox の悲惨な状況を知らしめる大々的な宣伝になってしまう。」
Zbigniew Braniecki も bug 3000028 の comment 38 [mozilla.org] で同様の見解を表明している：「我々は非常に悪い評価を受けている。ユーザから批判を受けても、我々は説明することもできない。この問題について尋ねてくるジャーナリストにも、我々はこの問題をどう説明して良いのか分からない。1.0.5 の英語版がリリースされたために、すでにセキュリティバグが公開されてしまったため、バグ抱える 1.0.4 をいまだに使っているユーザが何千人もいるんだ。Mozilla Foundation はこの点をまったく無視しており、このような遅れで、各地の市場で Firefox の現地語ブランドを推し進めているローカライゼーションチームが費やした多大な時間を無駄にしたのだ。」
ブログ上で 1.0.5 ローカライゼーション問題に関する投稿 [kingsonline.net] を書き、現在の状況
はてな支店 [hatena.ne.jp]
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, すばらしい洞察)
この新しいバグを抱えた1.0.5を入れると、今まで使えていた拡張性にトラブルが起きるかもしれません。それはまずいので、とりあえず1.0.5は広めるのをやめます。
すぐにそれを修正した1.0.6を出しますので、それまで待ってください。英語版は1.0.5を出してしまっているので引っ込めませんが、まだ出ていない多言語については、ちょっと待ってくださいね。
ということを、はっきりとどこかで言ってくれるとよかったのではないかと思います。
素人でもわかる程度にわかりやすく、自称中級者でも見るようなメディアで。
親コメント
Re:これで1.06まで穴が開いたままに・・・ (スコア:2, すばらしい洞察)
しないために、素直に英語版を入れました。
日本語版が有る方が嬉しいですが、
本質的に、「日本語版でなければ使えない」ものでは無いですので。
日本語版の存在意義はなんなんでしょうね？
親コメント
Re:これで1.06まで穴が開いたままに・・・ (スコア:2, すばらしい洞察)
若い世代であっても英語版に拒否反応を示す人は少なくないですし、その傾向は世代を上がるほど顕著になります。
我々のようなアレゲな人間以外への普及を図るためには必要なものです。
親コメント
Re:まあまあ (スコア:2, 興味深い)
逆ではないでしょうか。
日本のオープンソース界は高齢化している [nikkeibp.co.jp]なんて話もあります。新しい人がどんどん参加していく状況ができていない以上、先細り感はあっても、将来の方が現在よりも良いだろうという見通しは立たないのではないかと思います。
親コメント
Re:これで1.06まで穴が開いたままに・・・ (スコア:2, 参考になる)
どうせ数日待てば1.0.6が出るんだから、今わざわざ1.0.5を
入れなくてもセキュリティリスクはほぼ変わらないと思いますけどね。
その辺は各個人の意識の違いということですね。
親コメント
Re:これで1.06まで穴が開いたままに・・・ (スコア:2, 参考になる)
今回遅れたのは、他の言語との足並みをそろえようとしてたんじゃないですかね。
というわけで、1.0.6はそんなに遅れないと思います。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, 参考になる)
実際、Linux版のFirefoxでは本体だけ入れ替えても古いJLPが残っていて勝手に日本語化された。
Windows版のSuiteではJLP当てなおしが必要になるようだが概ね適用できる。
一部UIに英語の部分が残る場合もあるかもしれないがさほど問題ではないのでは。
ただし作業は自己責任で、というところか。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, 参考になる)
>そんな危険なリリースの仕方しかできない、
>日本語版の存在意義はなんなんでしょうか？
ストーリーのリンク先のとこを読むと、
とあるので、1.0.5で変更があった部分でバグが見つかったから
(日本語版を含む)各国語版のリリースはとりやめて、修正を入れた
安全な1.0.6をすぐにリリースしますという話だと思うのですが
この話のどこが「日本語版は危険なリリースをしている」ということに
なるのでしょうか?
1.0.5までの全ての(あるいは一部の)バージョンで欠陥が見つかった
ということなら、バグ情報をリリースしていると思うのですが、
今回はそういうバグではないですよね?
また、同時リリースができないのは安全性とはまた別の問題というか、
同時リリースをするなら、逆に今回のようなケースでは日本語版も
バグをかかえることになります。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:3, 興味深い)
>取り掛かった方が早く脆弱性を解消したバージョンをリリースを
>できるという事情があるのならわからなくも無いですが。
1.0.5と1.0.6の違いは多分、今回発覚したバグの修正がメイン
でしょうから、1.0.5日本語版を用意する準備はほとんどそのまま
1.0.6日本語版の用意に転用できると思います。
1.0.5日本語版のリリースにはある程度時間がかかるとして、
それを普通に出した場合、その頃には1.0.6英語版が出ているか
もしくはすぐに出るという状況で、そこから1.0.6日本語版を
出すのはさほど時間かからないから、そういうことだったら
1.0.5はすっとばしてしまおうということではないですかね。
ほぼ同時期に2バージョン出すと様々な手間と混乱が出ることが
予想されますし。
#中の人じゃないから、全部「～と思います」だったり
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, 興味深い)
firefox本体と個々のローカライズ版(実際は言語パックのみ)の開発は別のストリームになってて、firefox本体の開発者から1.0.5のローカライズ版(言語パック)は出すなと御触れが出てるわけです。
つまり、否が応にも言語パックのメンテナ達は作業が出来んわけです。
んで、最も大事なのが開発そのものが別の流れをくんでいる(とは言え元のfirefoxありきなのは変りませんが)という事で、言語パックのメンテナが必死にがんばって本体のリリースのペースに合わせる事は可能でもfirefox本体の開発者は"たかが"言語パックのリリースを待つためだけにリリースを延ばしたりしません。言語パックは後で追加される付加要素であり本体ではなく、いわば拡張機能のような立場としてしか見られてません。個々のエクステの追従を待って新バージョンのリリースをしないのと同様言語パックも待ってはもらえませんし、オープンソースである都合上正式リリースと開発者のみへの配布もできません。本家で公開されFTPサーバーにあがってしまった以上公然のものですのでわけられません。
言語パックのメンテナが正式リリースの時期を事前に見越してcvsからリリース直前のものを拾って作業したとしてもリリース当日には間にあいません。つまり完全に同じタイミングでのリリースは不可能です。またリリースの時間や日付のタイミングの統制を取るメリットというのが開発者達にはほとんどない(デメリットの方が多い)ので、あえて調整もしません。本家開発者がリリースすれば、しゃかりきになって各言語のメンテナがそれを追い掛ける という形になります。またPCを所有できる層で英語がほとんど理解できない人種なんてのは日本人くらいのもんですから、どうしても最新版をリアルタイムで使いたい人のほとんどは「とりあえず英語版でもいい」という人が圧倒的に多いですし、実際それでこまりません。無論母国語で表示される事にこしたことはないですが、日本人程過敏かつ過剰にローカライズに関して神経質な人はそう多くはありません。
親コメント
Re:これで1.06まで穴が開いたままになるわけですが・ (スコア:2, 参考になる)
・関係者以外には非公開。
・Fixされたリリース版が出回ってから公開。
が原則です。
※ですので、今回の1.0.4→1.0.5でFixされたセキュリティ
関連バグも、（今のところ）7/20にならないとBugzilla
では非公開扱いになっています。
ただし、
・非公開で修正中の不具合の詳細が、なんらかのリーク
によって、またはBugzilaに関りのない第三者によって
（全く独立に）公開されてしまったとき
・そもそもBugzillaへの報告が一切なされないまま
不具合の詳細情報が公になったとき
など、非公開にする意味がない・なくなってしまった
ときは、公開とされます。
……と認識しています。部外者ですが。
親コメント
Stableってなんだろう (スコア:2, すばらしい洞察)
それがなんで拡張絡みの仕様変更を伴うのさ。
StableではJLPの単語の修正すら認めないMozilla Foundationが、何故Stableに仕様変更を加えた？
Stableでは絶対にバグ修正以外の変更はないと、堅いポリシーがあるとばかり思っていました。
Mozilla Foundationはいったい何をしているんですか？
Re:Stableってなんだろう (スコア:3, 参考になる)
問題のAPI(恐らくnsIFileSpec)は2003年前期から廃止扱いで、かつfrozenでも無かったので公式には変えても構わない筈だった。ThunderbirdやFirefoxの一般向けリリースが出たのが2004年後期で同APIを廃止扱いにしてから1年以上後の事だから今更影響する拡張も無いだろう。ということで変えてしまったんだが、実際に変えてみたらEnigmailが動かなくなってさぁ大変ってことで今に至る。
ちなみに今後はstableブランチでは変えても良い事になっているAPIも変えない事になった。
という感じだと思う。
親コメント
穴が開いてる状態のFirefoxよりIEのほうが安全ですね (スコア:2, すばらしい洞察)
特にFirefoxは攻撃を受けてしまった場合、前バージョンを使っていた場合が一番多い。攻撃者はそれが分かっているから最新バージョンで穴が埋まったと知ってもコードを開発しているのです。
よくこう言う場合「最新バージョンでは治ってるから批判にはあたらない！」とユーザーの皆さんは言いますが今回の場合はなんと言い訳するのでしょうか。「英語版を入れればいいだろう」と言うのでしょうか？
世の中にはJLPの使い方、入れ方を知らない人も大勢います。
ただのマニア向けブラウザではもうないのだから、もっと慎重に開発してほしいですね。拡張に問題があると言うが前バージョンにはなかったんでしょ？なんでこんな問題が発生したのか本家を厳しく追及すべきです。
いつまでも宗教のように甘くしていたつけですよ。Firefoxばんざい、Mozillaばんざいってね。
Re:穴が開いてる状態のFirefoxよりIEのほうが安全です (スコア:2)
> 最新バージョンでは治ってるから批判にはあたらない
はぁ？ IE はパッチを当てなくても安全だっていうわけ？
> なんでこんな問題が発生したのか本家を厳しく追及すべきです。
あ～た、IE はつい水曜に緊急のパッチが出たばかりじゃないですか。それは棚に上げるんですか？ まあ、その理屈なら、あなたがまず、米マイクロソフトを厳しく追及しなければいけなくなりますが。「こんなに緊急のパッチを連発するな、マニア向けブラウザではもうないのだからもっと慎重に開発してやがれ」と。
> いつまでも宗教のように甘くしていたつけですよ。
どっちも脆弱性はあるが、よりマシな方はどっちか、という事ですな。脆弱性が分かればすぐに直す FireFox、分かってもなかなか直さない IE って事だな。
親コメント
Re:穴が開いてる状態のFirefoxよりIEのほうが安全です (スコア:2, すばらしい洞察)
Firefoxはセキュリティ面でIEとどっこいどっこいと評価され、
マイナーに転落してもいいのか？
現状の伸びから言えば、ようやくマイナーから脱出したと思ったのだが。
セキュリティに気を配ってる奴はIEコンポーネントブラウザを使おうが、Firefoxを使おうが比較的安全だ。大差ない。
セキュリティに気を配らない奴はFirefoxを使おうがIEを使おうがアップデートなんてしない。
ならば、セキュリティに気を配らない奴にいかにアップデートさせるか？という論点だろう。
Firefoxのアップデートプログラムは本当に使いやすいのか？
セキュリティに気を配らない奴にも手間掛けさせずにアップデートできるのか？
私はあれでアップデートした事は無いのだが…(だって遅いし。遅いのも批判対象だね。）
もし巷で言われているような、赤い矢印を出すだけなら、やっぱりアップデートできない人もいるのではないだろうか？
セキュリティに疎い人同士で比較したら、IEとFirefox、どっちが安全なブラウザなのだろうか？
親コメント
β版を紹介しても良いんじゃないですか？ (スコア:2, 参考になる)
いいかげん (スコア:1, 興味深い)
#勇気をふるってAC
ひどいストーリーだなぁ.... (スコア:1)
Firefox 1.0.6各国語版リリース！ (スコア:1)
の方はまだ更新されていないようですが、日本語版も含めた各国語版がリリースされたようです。
日本語版はこちら
ftp://ftp.mozilla-japan.org/pub/mozilla.org/firefox/releases/1.0.6/win32/ja-JP/
Re:あなたとわたしに出来ること (スコア:1, 興味深い)
「文句があるなら直接抗議しろ」
ということでよろしかったですか？
親コメント