完全に，後出しの話になる（爆）。ところで，踊り字３つだよーっ（汗）。
実は，「起きてびっくり，サイト改竄？ at よそ様-続々報。」のときに， Apache のドキュメントを読みに行って，何のことだろうと思っていた記述があった。それは，「このオプションを省略したからといってセキュリティの強化にはなりません。 なぜなら symlink の検査はレースコンディションを引き起こす可能性があり、 そのため回避可能になるからです。」というものだ。その時点では，そのことについて，触れているところを見つけられなかった。
ところが，今晩，２つも見つけてしまった。やはり， Symlink Attacks に関連のあることだったようだ。
見つけたのは，次の２つ。一つは WikiPedia で「 Symlink race 」の説明のところ，もう一つは，「 Apache HTTPD: `Options -FollowSymLinks` は不完全」というページ。
特に，２つ目は，今回の事件を踏まえて書いていることなので，飲み込みやすい。要するに，
————————————————————————————————————————————————
「シンボリックリンク機能を持つ UNIX （リンク先の文中に，LINUX についても同等のことが可能である記述がある ― o6asan 追記） には 『ファイルがシンボリックリンクかどうかの判定』、 『ファイルまでのパスがシンボリックリンクかどうかの判定』、 『ファイルのオープン』を一度に処理する方法がない」
————————————————————————————————————————————————
ために，タイムラグが生じる。そのせいで隙が生まれ，悪用可能という話だ。この種類のことには，名前まである（「Time Of Check to Time Of Use」 = TOCTTOU）らしい。
OSSTech の佐藤さんの書いた記事で，この間引用した徳丸さんの記事の話も，さくらインターネット社長の田中さんの記事の話も出てくる。
実にわずかな時間の話だが，コンピュータは瞬時の生き物だからなあ。
ここで，「TOCTTOU について具体的に解説していて参考になるページ」として挙げられている IPA の説明は，素人にはまるで手品のように思える不思議さである。
今，徳丸さんのところに「ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策」を読みに行ったら，３日付の追記が増えていた。うーん，共用レンタルサーバだとそういうことになるんですか。
田中さんのページ，「共用サーバにおけるSymlink Attacksによる攻撃とその対策について」には，今のところ，特に追記はないようだが， twitter では，佐藤さんとのつぶやきを閲覧可能である。いろいろと，使える対策を話し合ってる感じ。
追記：
４日に書いたつもりが，公開の日付を見たら５日になっている。書いてる間に日が変わったようだ。まっ，いいけど。
ところで関連でこんなのもあった。興味深いが，むずかしー。ユーザが一人しかいない，我が家では悩まなくていいようだけどネ。
This website uses cookies.