アカウント名:
パスワード:
バイナリに署名しなさい
スラド民って、「EV TLS証明書は無意味」「Let's Encrypt (DV) で十分」「EVステータスを表示しなくしたChromeやFirefoxの方針転換は正解」と言っておきながら、コードサイニング署名されたバイナリは安全だと考えるのだろうか。
今時、コードサイニング署名されたマルウェアだって山ほどあるんだけどね。マルウェア配信が合法の国の存在、署名代行業者の存在など理由は様々。
コードサイニング署名よりも、不特定多数が参加してソースコードを確認できるオープンソースの方がまだましだと思うよ。マシだというだけで、無償で他人のコードをレビューしたがる人はそんなにいないのでオープンソースだからといって絶対安全というわけではないが、おかしな挙動があったときにソースを確認できるぶんだけまし。
これじゃね。もちろん署名はされてる。
https://github.com/processhacker/processhacker/tree/master/KProcessHacker [github.com]https://www.virustotal.com/gui/file/69527aa5ad089d9731e0054a32c9626a8d... [virustotal.com]https://www.virustotal.com/gui/file/220a2dcf4d597f9208c0e7fd7057a91e88... [virustotal.com]
例えば、vncは、人によっては必須ツール。悪用されればマルウェア(判定)。それといっしょ。実際に、マルウェアに転用された実績があるんじゃなかろうか。だとしたら、既定で排除になるのももっともで、困るなら管理者がexcludeに入れないといけないんだろう。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常
ストアから配信しろ (スコア:1)
バイナリに署名しなさい
署名があったって安全とは限らないのだが (スコア:0)
スラド民って、「EV TLS証明書は無意味」「Let's Encrypt (DV) で十分」「EVステータスを表示しなくしたChromeやFirefoxの方針転換は正解」と言っておきながら、コードサイニング署名されたバイナリは安全だと考えるのだろうか。
今時、コードサイニング署名されたマルウェアだって山ほどあるんだけどね。
マルウェア配信が合法の国の存在、署名代行業者の存在など理由は様々。
コードサイニング署名よりも、不特定多数が参加してソースコードを確認できるオープンソースの方がまだましだと思うよ。
マシだというだけで、無償で他人のコードをレビューしたがる人はそんなにいないのでオープンソースだからといって絶対安全というわけではないが、おかしな挙動があったときにソースを確認できるぶんだけまし。
Re: (スコア:0)
これじゃね。もちろん署名はされてる。
https://github.com/processhacker/processhacker/tree/master/KProcessHacker [github.com]
https://www.virustotal.com/gui/file/69527aa5ad089d9731e0054a32c9626a8d... [virustotal.com]
https://www.virustotal.com/gui/file/220a2dcf4d597f9208c0e7fd7057a91e88... [virustotal.com]
例えば、vncは、人によっては必須ツール。
悪用されればマルウェア(判定)。それといっしょ。
実際に、マルウェアに転用された実績があるんじゃなかろうか。
だとしたら、既定で排除になるのももっともで、困るなら管理者がexcludeに入れないといけないんだろう。