不具合修正はWindows 10を優先する、というMSの姿勢に対し批判が出る 55
ストーリー by hylom
危険にさらされる旧バージョン 部門より
危険にさらされる旧バージョン 部門より
Microsoftはセキュリティに関連する不具合修正パッチについて、最新OS向けのものをまず優先して提供する方針なのだそうだ。そのため、Windows 7や8.1向けのセキュリティパッチの提供は遅くなる可能性があるという（ITmedia）。また、これを利用して攻撃者が未発表の脆弱性を知ることができるという危険性もあるようだ
GoogleのProject Zeroブログに掲載されたUsing Binary Diffing to Discover Windows Kernel Memory Disclosure Bugsという記事によると、たとえばWindowsカーネル内でのmemset関数呼び出しに関する脆弱性は、Windows 10ではすでに修正パッチが提供されているにもかかわらず、Windows 7や8.1ではまだ修正パッチが提供されていないと見られるそうだ。そのほか、Windows 8.1では修正されているがWindows 7では修正されていないと思われる脆弱性もあるという。
このようにバージョンによって修正タイミングが異なると、たとえばWindows 10のバイナリとWindows 7のバイナリを比較したり差分を取ることで、Windows 10だけで修正されている未発表の脆弱性を特定するといったことが可能になってしまう。
Windows 7や8.1向けには (スコア:4, おもしろおかしい)
Windows 10というパッチがあるじゃない
Re:Windows 7や8.1向けには (スコア:3)
互換性はある、全く別の製品ではない（後継製品です）。
クラウド接続なんてせずとも別にローカルアカウントでも利用できるし。
#マイクロソフトの言いたいのも「Windows10を使って」てことじゃないの
元記事についたコメントも批判的なものが多い感じ (スコア:4, 参考になる)
まあ考えることは同じというか。いくら正しいことをしているとしても、ちょっと攻撃的すぎて、反発を受けている感じがある。
I find this whole website so hypocrite. Why would you even bother with Windows? And please don't pretend to care about Windows users. Especially as you have a rich history of NOT supporting your own services on this very platform!
Focus on your own great products to make them even better. But again, please stop this childish behaviour.
このWebサイトは全体として偽善的だ。なぜWindowsのことを気にする？ どうかWindowsユーザーを気遣う振りなんてしないでくれ。
まさにこのWindowsプラットフォーム上で、あなたの会社はこれまでに大量のサービスのサポートを中止してきたではないか。
自分たちの素晴らしい製品を改良することに専念して、どうかこんな子供じみた振る舞いは止めてほしい。
when do you'll focus on android too?
いつになったらAndroidに対して同じように検証してくれるの？
Windows 7 is still getting security updates though... Please improve Android so security updates can be pushed out regardless of who the OEM is, like is possible with Windows. Everyone would benefit from that.
でも、少なくともWindows 7は今でもセキュリティアップデートを提供しているだろう…。どうか、Windowsのように、
OEMメーカーに関わらずセキュリティアップデートを提供できるようにAndroidを改善してほしい。そうすれば誰もが助かるだろう。
本当、これ (スコア:3)
最後のコメントが本当に素晴らしい。
Microsoft 攻撃する前に、Android デバイス出してる全てのメーカーに苦言を呈せよと思う。
加えて言えば、サードパーティーの話を脇に置いたとしても、近日中に解決と言ってる WPA2 の問題なんて Microsoft は既に対応済だったりとか、Microsoft 批判以前にやるべきことがあるではないか。
uxi
Re: (スコア:0)
ホントそれ。
モバイル用WindowsがOEMでもWindowsUpdateを提供するって聞いたときはスマホのセキュリティに光明が差した気がした。
気がしたんだけどねorz
重要度次第みたいな？ (スコア:2)
カーネル側のスタックの一部を読み取れますよっていう脆弱性。
MS的には、些細な問題なのかもしらない。
Re: (スコア:0)
そこから有意義なデータを取得できるかどうかは大いに疑問だけれどな。
Re: (スコア:0)
俺からすればカーネルスタックにアクセスできればやりたい放題ですけどね。
だってそこはring0でしかアクセスできない空間ですからね
わからないなら黙っていればいいのにw
じゃあどうしろっていう話 (スコア:0)
素人一般人が多く使う版だからなるべく早くパッチを提供するべきとか、
企業が主に使うものだから互換性重視で検証を多くやってからパッチを提供するべきとか、
用途ごとに違いがあるのが当然なんですけどねぇ、、、
そんなのOSSのサポートでも同じだろう。 (スコア:1)
OSSのサポートだって、よく報告されるのは最新バージョンの不具合だ。
メンテナンスされている旧バージョンは、最新バージョンの不具合の修正を見て、その修正をバックポートしていることが多い。本当の意味で同時に修正が提供されるなんてことは少ない。
Re: (スコア:0)
こないだMSにGoogleのパッチ提供方針を批判されたから反撃がてらに言ってるだけじゃないの？
Re:じゃあどうしろっていう話 (スコア:2)
Project Zeroの記事の内容としては、Windows 7/8.1に存在し、Windows 10には存在しない初期化されていないカーネルメモリー領域にアクセス可能な脆弱性を発見したので調べてみたところ、Windows 10ではmemsetでメモリーを初期化する処理が追加されていた。さらに調査を行うと、Windows 10ではメモリーを初期化する処理が100か所以上追加されていた、というものです。
Microsoftが脆弱性を修正したのか、脆弱性の発生する可能性のある部分をつぶしただけなのかはわかりませんが、数としては後者でしょう。また、パッチがWindows 10にのみ提供されたということでもありません。
Re: (スコア:0)
なんだそれ…本当に言いがかりみたいな話だな。
LTSとlatest releaseでブランチ分けるなって言ってるようなものじゃないか。
Re: (スコア:0)
MSの動機は、Windows10を売りたいとか考えられるけど、Googleの方は動機がわからなく不気味だ。
Re: (スコア:0)
新しいバージョンと古いバージョン、対等に扱ってるIT企業なんてあるのかねぇ
Re:じゃあどうしろっていう話 (スコア:1)
割ける人員に限りがある以上、どうやったって優先順位はつきますね。
Re:じゃあどうしろっていう話 (スコア:2, すばらしい洞察)
優先順位があることが嫌だというより、Windows 10が現行製品だという事実が気に入らないんだろうな。
自分が使っているものが"正しい"から、グローバルに現行であってほしいんだろう。
Re: (スコア:0)
現行OSで必死で売ってる製品を優先しなくてどうするんだ、というくらいあたりまえだよな。
優先してくれなければ、何のために苦労してWindows7から移行したと思ってるんだ、っていう情シス部員はいると思う。
Re: (スコア:0)
だよね
そもそもGoogoleは古いAndroidのパッチなんて出しもしないくせに
Re: (スコア:0, 興味深い)
> そもそもGoogoleは古いAndroidのパッチなんて出しもしないくせに
グーゴル社がどうなのかは知らないけど、
Google社のほうだとカネ払って有償ライセンス契約しているベンダーには手厚く長期に渡ってパッチ情報が来るよ
実際にそれをいつのタイミングで端末に取り込んでリリースするかや、Googleから提示された修正方法に従うかどうかはベンダー次第
Re: (スコア:0)
それでいいなら、Windowsの大多数を占めるOEM版は、Microsoftがパッチ提供しないでもいいんですかね？
Microsoftからはパッケージ版かDSP版だけセキュリティアップデートする方向で。
Re: (スコア:0)
MSに俺が作った周辺機器のドライバーの面倒も見ろって言ってるようなものじゃね。
Re: (スコア:0)
組込系Windows、とくにファームウェアにWindows含めたベンダー実装を焼きこんでるような環境だと
現実としてMSではなくベンダーがファーム全体としてアップデートしていて、
MSが公開するWindowsUpdateと直結したアップデートはされていないケースが非常に多い
AndroidとWindowsを無理にでも一律比較するというなら、上記のようなWindows環境の場合が妥当
Re: (スコア:0)
ライセンス形態の話なんだから、組み込みとかどうでもよくない？
世の中の大多数のWindowsPCはOSプリインストールになっていて、WindowsはOEMライセンスで提供されてる。
OEM版では、サポート担当はMicrosoftではなくPCベンダーですよ。
Re: (スコア:0)
それだけ利用者が少ないって事なんでしょう。
Re: (スコア:0)
>まったくエンジンが違うならそりゃしょうがない話なんだけど、どっちも同じように青画面で死ぬんだからはやくなんとかしてほしいのだが。
そんな使えないウイルスバスターを使い続けなければいけないのはどういう罰？
Re:じゃあどうしろっていう話 (スコア:1)
畜生には仏性がないので一度社畜生道に落とされると成仏することはできず
永遠にウイルスバスターコーポレートエディションを使い続けることになる
Re: (スコア:0)
法人向けのウイルスバスターとかまともに製品評価もできず値段の安さだけで導入を決めてるクソ情シスの会社ぐらいしか使ってないだろ目を覚ませ
Re: (スコア:0)
説得したいので糞な所を教えてくれ
Re: (スコア:0)
今回も立派にPCバスターしてんだろ。
挙句、昔から知って居る奴等なんぞそれを驚きすらしない。
Re: (スコア:0)
・クッソ重い
・誤爆が酷い
・業界最大手メーカーのコピープロテクトUSBドングルのドライバインストールを妨害して弊社の業務を止めたトレンドマイクロ殺すべし慈悲は無い
今更 (スコア:0)
XPと末期の2000でもそうだった。
Windows 10のバイナリとWindows 7のバイナリを比較したり差分を取る (スコア:0)
Windows 10のバイナリとWindows 7のバイナリを比較したり差分を取ることで、Windows 10だけで修正されている未発表の脆弱性を特定するといったことが簡単に出来るんですか？（比較はともかく差分取れるの？）
Re: (スコア:1)
msdlでぐぐったら幸せになれる。
そんなこと用のものじゃないから、公言はできないけど。
Re: (スコア:0)
Windows10とWindows7じゃバイナリ結構違いそうなもんですけどね
変更のない共通DLLとかだったらわざわざずらさずに同時にリリースするだろうし
Re: (スコア:0)
アプリケーション層になると、結構共通なものが多くて、IE11/VC++ Runtime/.Net Runtimeなんかは基本同一バイナリーだろうし、問題なさげ。
逆に言うと、OS kernel部分以外だと、セキュリティで狙われるようなモジュールでどこが違うんだという話にもなってくる。
Re:Windows 10のバイナリとWindows 7のバイナリを比較したり差分を取る (スコア:1)
XP と Vistaの間、Vista と 7 の間、8と10の間だと .NET の Runtime は、同じファイルは .NET アセンブリのファイルぐらいで、ほぼ別物だぞ。
でも 7 と 8 はほぼ同じ。Vista と 7 も同じで良さそうなもんだが、かなり違ってる。
VC++のランタイムは共通ファイルが多い(あくまで多い)
Re: (スコア:0)
同じバージョンのものは基本的に同じものですよ。とはいえ、添付されているサポートバージョンがそもそも異なることは多い。
VC++ Runtimeだと、ver.4.2系はWindowsのバージョンに依存したバージョン違いの別物が添付されている。
まさか.Net Frameworkで1.x系と2.x系と4.x系の同じファイル名のものを比べているわけではないよね。
Re: (スコア:0)
具体的に見ればわかるのに、、、、
ほとんど同じなのは .NET アセンブリの部分だけだよ。WPF 関連はアセンブリの部分でも XP 、Vista 用と7用は違うものだったりするので、同じじゃなかったりするけどね。なぜか XP と Vista がほぼ同じで、7 だけいろいろチェック処理をはしょってるから比べると面白い。
そもそも、同じバージョンでも OS によって挙動違う(下回りで使えるAPIが別物)ので、同じもにはできませんのことよ。
中途半端は良くない (スコア:0)
Windows 10のパッチは「随時」提供されることになったはずなのにセキュリティパッチが従来通り月例なのは、まさにここで指摘されているような問題があるからパッチをサポートしている全OSで同時提供するためだと思ってたんだが、結局Windows 10を優先するんだったらもうセキュリティパッチも随時提供にしてほしい。
Re:中途半端は良くない (スコア:1)
緊急性と対応のしやすさの問題じゃないかな。
足並み揃えられる間はそうするけど、そんなこといってなれない場合や10以外は対応が困難な場合は10優先するからなって話にしか思えないのだが
Re: (スコア:0)
何にでも予算と工数というものがある。IP版とメインストリームの現行版には潤沢な予算があっても、延長サポート落ちしたものについては、そんなに予算もリソースもないからすぐには対応できないということだろう。特にkernel関係は世代間の実装の差が大きいというのも対応の差になっているのだろう。
Re: (スコア:0)
定例の奴には予めスケジュールも人員も付けているだろうからね。
それに緊急で適宜対応しなきゃいけないのに他のバージョンと足並みを揃える為に遅らせるってのは、本末転倒だし。
それやったらやったで、
「Windows10ではパッチ出せるのに他と合わせる為にわざと送らせてユーザーを危険に晒した」
とか言って攻撃するのじゃないかな。
同じWindows10の中でも差があるかも (スコア:0)
一番最初に修正が入って実験台になるのがIP版、次に最新版、現行バージョンではないサポート中のバージョンは後回しになっているも驚かないけれどね。
じゃあWin7と8.1を予定を前倒ししてサポート終了します (スコア:0)
これで文句無いべ？
Re:じゃあWin7と8.1を予定を前倒ししてサポート終了します (スコア:1)
この際Windows 10も終了すればほぼ隙が無くなる。
Re: (スコア:0)
ついでにLinuxも終了で
むしろ安全なパッチが提供されると考えるんだ (スコア:0)
Windows10で大規模検証してから8.1や7にバックポートしてくれてるんだよ。
きっと…
賛否両論だな (スコア:0)
おそらくそうでしょうね。
何事も、考え方一つですから。
まぁ最新を優先するのもわかります。
ならiOS,OSX,Linux,Androidの旧バージョンにも言えよ、と (スコア:0)
何故かそっちに対してはだんまりですからねーw