スラッシュドット・ジャパン

「98％」とかいうのは、test結果を反映したものではないんです。ちょっと回り道になるけど、この調査について補足しておきましょう。

調査報告（全5ページ）の1ページ目のグラフは、browser security test結果の統計 [scanit.be]です。上のほうのグラフについて、年末にテストを受けた数が伸びたのは/.本家で紹介されたからだとか、そこでMozillaが急激に伸びてるのは/.がLinuxびいきだからとか、全体を見ればOSはWindowsが大多数だったとか、そういった内容が書かれています。

そのページの一番下に、test結果のリスク分布のグラフがあります。このグラフで、重大度が高いことを示す赤が拡大している期間がありますが、これはIEの脆弱性の公表・修正の時期と一致しています。

そこで報告後半では、各ブラウザの脆弱性の公表・修正の時期（つまり、バグの寿命）をまとめています。こちらはtest結果とは関係なく、各ブラウザに「リモートでコードが実行される脆弱性」が存在する期間をまとめたものです（報告の3～5ページ目; Internet Explorer [scanit.be]、Mozilla [scanit.be]、Opera [scanit.be]）。

各ブラウザのまとめにある表の色分けされたタイムラインは、脆弱性が発見・公表された経緯を表しています。

• 灰：セキュリティ研究者によって発見され、開発チームに内密に伝えられたもの（IEにおいては、簡略化のためにこの区分が省略されている）
• 黄：セキュリティ研究者によって発見・公表されたもの
• 赤：ウイルスないしワームに利用されているのが発見されたもの

で、ブラウザに脆弱性が一つでも存在する期間の長さを見ると、IEは2004年の98％が危険日だったなどのことがわかった、というものです。

> f(x) = a * b * c * d * e
xはどこだ

> e : ブラウザのセキュリティホールの平均被害金額

> e : ブラウザの平均使用時間

ゆえに、ブラウザのセキュリティホールの平均被害金額は、ブラウザの平均使用時間に比例することが証明された。

そのような状況になったのも米司法省との戦いでIEはOSの一部だと言い張るために、IEとOSをしっちゃかめっちゃかに改造したからじゃないか..........。

MSは素直にOSだけを販売していて欲しかった。ブラウザは別売りのままであって欲しかった。いっそのことブラウザは他の会社にまかせっきりにしていて欲しかった。

もう、後の祭りですけど。

IEの脆弱性にはOSやプラグインの脆弱性までカウントされているのに対し、
Firefoxはそれ自体の脆弱性しかカウントしていないとか、
IEの場合はMSが脆弱性とは認識していないものまでカウントしたり、
MS嫌いの脆弱性発見者がMSに知らせる前に公表してしまうなどで
結果的に危険日が多くなってしまっている。

既知の脆弱性というのは広く知られている脆弱性というだけであり、
その脆弱性が新たに生まれたというケースはとても少ない。
すなわち一般には知られていないが知ってる人はいる脆弱性が
あるかもしれない。
そう考えるとIEだろうがFirefoxだろうが、脆弱性を持っていなかった
安全日なんて０に近いわけだ。

現在、FirefoxがIEと比較して安全度が高いのは確かかもしれない。
しかしそれも一時的なものであり、それを取り巻く状況が変わったら
その評価も変わってくるのは確か。
Firefoxのシェアが20%を超えたくらいにでもなれば、悪意の攻撃者も
攻撃対象として狙う確率が急増するだろう。

愉快犯より金銭狙いのネット泥棒が増えている近年。
泥棒はお金さえ盗めればブラウザがIEなのかFIrefoxなのかんんて
関係ないわけで。
それならば脆弱性の詳細がソースごと公開されているFirefox
のほうが攻撃しやすいわけ。
リバースエンジニアが必要なクローズドソース製品を調べるより、
オープンソース製品のほうが0-day-attackな脆弱性を探すのが
比較的楽なのは確か。
それにネット泥棒たちが気づいたときには危険度は逆転する恐れも。

まず、サードパーティ製ソフトの使用を前提に考えるのは問題ありますよ。

マイクロソフトはブラウザだけでなくＯＳも販売してる上に
ブラウザのシェアを１位にするために頑張っていた過去があるので、
シェアの関係でセキュリティを狙われ易いなら
その対策を行う義務があるかと思います。

そもそもＯＳやＩＥが危険だと書いていないためサードパーティ製ソフトを
使用していない人はまわりでもいるので、サードパーティ製ソフトの
使用を前提に語られてもなあと思います。

>所詮ブラウザができる事は究極的にはネットを見るだけに過ぎません。
そうかもしれないですが、「ネットを見るだけ」の中に銀行の口座を操作するということ等も含まれてますよね。
お金に絡むこともできるので、乱暴な議論に思えます。

今攻撃の対象になっていないのであれば，それだけで使う理由としては十分です．IEと同等かそれ以上のシェアにならない限り，IE以外のブラウザの危険性が急激に増えることはないと思います．現在のクラッカーや悪意あるコードの目的は金銭にシフトしつつあって，彼らにとってシェアの低いブラウザやそれらを使う(相対的に)意識の高いユーザを狙うのは非合理的だからです．

実際に98％の期間が存在したのであれば、もっと攻撃を受けている人がいてもおかしくない。
しかし実際にはほとんど攻撃を受けていない。

マテ。「ほとんど攻撃を受けていない」って何で言い切れるん? 攻撃を受けていたかどうか、被害を被っていたかどうかも分からずに使い続けている可能性だって十分あるはずやん。

なんぼフィッシングされて個人情報かすめ取られたかて気づかれんことには被害の統計にも反映されんのやでー。

> ＰＣに疎い人はソースが見れると危ない、と考えるかもしれませんがそれは間違いです。
> ソースが見れることによって多くの人によって検証され、不具合を修正することができます。

最近のオープンソースプロジェクトの失敗例を見ると、昔から言われていた
そのようなオープンソースの優位性は必ずしも正しいとはいえないようです。

オープンソースにしているからといって、皆がソースを読んで不具合を
調べてくれるかといえば、実際にそうしてくれる人は極めて少数です。
これはプロジェクトの規模が大きいほど見られる可能性も減ります。
せいぜい、動作中に目に見える動作不良に遭遇し、その原因を調べるため
ソースを解析するくらいがほとんどで、動作的不具合を発見するだけなら
オープンソースである必要は無いわけです。

ある有名なオープンソースソフトで、世界中で多く利用されている
ソフトの配布サーバが不正侵入され、そのソフトに悪意のトロイの木馬を
仕掛けれらた時、発見者はソースを眺めて発見したわけではありません。
make して起動したら怪しい動作をしたので、以前ダウンロードした
古いソースとdiffを取ってみて改変部分を見つけ、発見したわけです。
この場合改ざん箇所まで調べてからの通報だったわけですが、
クローズソースでも怪しい動作をした段階で開発元に通報は出来ますね。

また、不具合発見者が必ずしも善良な人物で、かつ協力的であるとも限りません。
コミュニティには一切明かさず、自分が悪用する可能性も否定できません。