Windows 10のソースコードが流出、そのサイズは？ 35
証拠 部門より
この件について osdn 曰く、
流出していたのは Shared Source Kit で、ごく一部の開発者にライセンスされているものです。ドライバなど低レベル(つまり高位な権限)で動作する部分のコードも含まれるため、一般には参照できません。データがアップロードされていた BetaArchive からは既に削除されていますが、内部のコードがあればゼロデイ攻撃などが容易になりかねません。実際に2004年の流出は脆弱性の発見に繋がりました。
Williams氏は流出したデータが合計32TBにおよび、圧縮後のサイズが8TBだと述べている。ただし、証拠として示されているのはBetaArchiveのフォーラムに掲載されたリストのスクリーンショットのみだ。サイズの根拠も示されていないが、数字から見て3月24日にBetaArchiveで大量に公開されたWindows 10/Server 2016のベータビルドのことだと思われる。フォーラムでリストアップされているビルドの3分の2弱が未公開ビルドのようだが、あとはWindows Insider 10 Previewとして提供されたビルドだ。アップロード者は数多くのWindows InsiderビルドをMicrosoftから直接ダウンロードしたと述べている。未公開とみられるビルドは既に試用期限の切れた古いものが多く、Redstone 2(Creators Update)ビルドはすべてInsider Previewで提供されたビルドとなっている。
ソースコードが含まれるというShared Source Kitだが、Williams氏は実際に内容を確認していないとみられ、内容の説明も伝聞となっている。Williams氏への情報提供者についても、BetaArchiveで公開されていたファイルの内容を説明したのか、Shared Source Kit一般の話をしたのかは不明だ。なお、MicrosoftはShared Source Initiativeで提供しているソースコードの一部が含まれることを確認したと述べているそうだ。
一方、BetaArchiveではShared Source Kitフォルダーに含まれていたファイルは各100MBのリリースが12件、合計1.2GBであり、コアソースコードとしては小さすぎると述べている。また、3月24日付で大量に公開された未公開ビルドなどはフォーラムメンバーやWindows Insider Programメンバー、Microsoft Connectメンバーなどさまざまなソースから提供を受けたものだという。これらのファイルは公開しても問題ないと考えているが、Microsoftから要請があれば公開を中止するとも述べている。Shared Source Kitについては自主的に削除したもので、Microsoftから削除要請があったわけではないとのことだ。
ちなみにWindowsのgitレポジトリは300GB (スコア:1)
https://blogs.msdn.microsoft.com/bharry/2017/05/24/the-largest-git-rep... [microsoft.com]
32TBにはインストールイメージも含まれてるそうだが、一般公開されたISOイメージだけで何TBあるか知ってるかね？
Re: (スコア:0)
いつも思うのはどうやってbuildしているかということ、と、フルビルドに何時間かかるかということ。
VisualStudioでビルドボタンを押すのかnmake.exeと打つのか・・・。
Re:ちなみにWindowsのgitレポジトリは300GB (スコア:2)
「闘うプログラマー」「マイクロサーフス」「わたしがマイクロソフトで学んだこと」（最後のは書名間違ってるかも）のどれかにくじ運の悪い奴がその時のビルド担当者になる、と言ったような記述があった気がしますがそもそもビルド担当ってボタン／コマンド以外は何をするのでしょうね。
Re:ちなみにWindowsのgitレポジトリは300GB (スコア:1)
ビルドが通るように祈るという重大な役目があります。
Re:ちなみにWindowsのgitレポジトリは300GB (スコア:1)
今のWindowsはビルド番号がBuild 16266.rs_prerelease.170616-2021といった形式で、見ていると-1700とか-1730といった数字が多い。
金曜の定時で締め切って自動でビルドしてるんじゃないかな。で、月曜の朝になると無事に問題が山積しているということだろう。
Re: (スコア:0)
戦うプログラマーの中に、夜間ビルドして朝失敗していることが発覚したらカトラー様が荒れ狂うなんていう記述がありますね。
Re: (スコア:0)
ローカルじゃビルドしないでしょｗ
TFSで自動ビルドスケジュール立ててると思うよ
Re: (スコア:0)
PowerShellがデフォルトになってもCMD.exeがなくならないと云っていたときに
Windowsのビルドに使っているから、というのも理由にあった。
リンクは省略
# たぶん build.bat (build.cmd?) というのがトップにあるんだろうな。
中身はnmakeの呼び出しかもしれないけど。
Re: (スコア:0)
> フルビルドに何時間かかるか
仕事で100MB～1GB級の単一の実行ファイルを作ったりしてますが、
会社の環境でIncrediBuildなどの分散ビルドを使うと十数分で1GB級がフルビルドできます。
Windowsの場合、全体のサイズはまぁまぁありますが、
多くのファイルは10MB以下で、一部のコアなライブラリ以外への依存はそう強くないだろうから
大半のものがコアなもののビルド後に完全に独立してビルドできそう。
MSクラスにもなれば良いマシンも使えるだろうし、ビルドに使用するマシンも大量に確保できるだろうから
コードのビルド自体は意外と短いかも。
それよりも、製品に仕立てるための諸々の後処理でものすごい時間食いそう。
Re: (スコア:0)
すごいよな
そりゃ独自のファイルシステム作るわって感じだ
以前のようなコメントが読める？ (スコア:0)
記事でも触れられてる2004年の流出時はソースコードに書かれたコメントが面白かった記憶。
またああいうのみたい
8TBの圧縮ファイル (スコア:0)
圧縮するのに何日かかって、アップロードに何日かかるんだろ。
Re:8TBの圧縮ファイル (スコア:1)
えらい人の頭の中では、圧縮にもアップロードにも時間は掛からないことになってます。
部下さんがどんなに説明しても「なぜそんなに時間がかかるのか納得できん」としか言いません。
部下さんがそんな説明をしている間に圧縮もアップロードも完了してしまいます。
そして、えらい人は「ほらみろ、すぐ終わったじゃないか」と言い自慢げです。
えらい人の頭の中では、部下さんに不毛な説明を強いた時間は無い事になっています。
そのため、圧縮とアップロードがその間に終わってしまえば時間は掛かっていないことになります。
ゆえにえらい人はえらいのです。
Re: (スコア:0)
？？？
Re: (スコア:0)
一日に圧縮できるデータ量をXバイト、一日にアップロードできるデータ量をYバイトとすると
圧縮するのには (8T/X) 日、アップロードには (8T/Y)日かかることになります
え、XとYがわからないって？ そんなん試しに8TBのデータを圧縮したりアップロードしてみれば計測できるでしょ
Re: (スコア:0)
キレの悪い皮肉だなあ
Re: (スコア:0)
こんな簡単な問題間違えるとか。
スカスカ (スコア:0)
> Williams氏は流出したデータが合計32TBにおよび、圧縮後のサイズが8TBだと述べている。
圧縮で1/4になっちゃうんだ。結構スカスカなんですね。(違)
Re: (スコア:0)
テキストが圧縮されて1/4ってかなり詰まっている印象。まあ、画像とかもあるんでしょうが。
Re: (スコア:0)
まあキャビネット形式ってプログラムのソースコードに関してはなかなか強力ですからな。
Re:スカスカ (スコア:1)
x86バイナリに対しても最適化があったりするんですよね。
で、どこにあるの？ (スコア:0)
ソースコードあると躓いた時に解決の糸口を掴めてありがたい
いっそのこと誰でも見れるようにMSが公開してくれればいいのに
＃昔流出したのは未だに見れるけどこれはどうなるのかな
いわゆるソースライセンスの類 (スコア:2)
Shared Source Kitって、一般にいわゆるソースライセンスの類ですよね?
だから、金を積めば買える(だから、見たいのなら買えば、って話)もので、誰かが故意にか過失でか、買ったソースを横流ししたってことですよね、今回のケースは。
Re: (スコア:0)
あと、それなりの組織でないとダメだったと思うので、金を積めば見せてもらえるというものではないと思う
Re: (スコア:0)
一般には非公開にするのを条件に外部から譲り受けたソースもあるだろうから難しい
たとえばXPのデフラグ機能はDiskeeper [auto-defrag.com]のサブセットだからMSが勝手に公開とかできないだろう
Re: (スコア:0)
全部公開できなくてもね。例えば今回のカーネルドライバなんてあればものすごく参考になると思うんだよなぁ。
Re: (スコア:0)
サンプルコードじゃいかんのか
https://github.com/Microsoft/Windows-driver-samples [github.com]
Re: (スコア:0)
サンプル「だけ」よりも、サンプル＋実際のコードの方が情報量多くていいでしょ
OSS追放 (スコア:0)
下手に見るとOSSへ喧嘩売られるから
流出コードは見ないように指示されると聞いてる
OSSの偉い人は仕事の幅が少し狭まるだろうね
また (スコア:0)
WineとかReactOSが停滞するのか（誤解
無題 (スコア:0)
過去には、2000とかVistaとかNTとかあったな。
WindowsもOSSになるという噂とかたまに聞く。
Microsoftさんも今後、どこへ向かうのかな？
Re:少なくともソースの一部が含まれてはいた (スコア:1)
しまった、これは記事に書いてありましたね。「冗長」で沈めてください。
それだけでは申し訳ないので、もうひとつ話題提供をします。
Ars Technica の記事では、流出したコードよりも、
それが流出するような Microsoft の体制のほうが問題だと書いています。
何らかの攻撃が成功して侵入されたのか、
信頼できると思っていたパートナー企業に裏切られたのか、
いずれにしても Windows の安全性に疑問を投げかけるものだと。
オープンソースに慣れたスラド読者にとってはおかしな話かもしれませんが、
こういう点からも楽しくお話をしていただければと思います。
Re: (スコア:0)
そりゃ、ソースコードを開示した国とか国とかあるんでしょ?
でも、OSS開発者になる人を
劇的に減らせる効果があるかと思うと、ただの陰謀ということで良い気がする。
そのくらいにMicrosoftを信用していない人もいるだろうし…