なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場

go言語なんか import "http://github.com/mattn/xxx " だったりする。rubyもそういうの面白いかもしれない。require "http://github.com/mattn/xxx "みたいな。 mattn on Twitter: "go言語なんか import "http://t.co/9qiwho7OMZ" だったりする。rubyもそういうの面白いかもしれない。require "http://t.co/9qiwho7OMZ"みたいな。" @mattn_jp それコンパイル型言語なら許されるけどスクリプト型だとセキュリティホールとされるものでは？ (e.g. PHP) Kazuho Oku on Twitter: "@mattn_jp それコンパイル型言語なら許されるけどスクリプト型だとセキュリティホールとされるものでは？ (e.g. PHP)" と

[kazuhooku]

.@mattn_jp ブログに書きました

[atsushifx]

JavaScriptは実質、外部コードの呼び出しができるとおもうのでセキュリティホールがありそう。ライブラリ以外ではOAtuh認証やWebAPIも一緒。こういった外部のリソースの信頼性をどのように保証するかがこれからの課題なんだ

[at_yasu]

DNSの改ざんは十分ありえる、githubがメンテならどうするよ、とかかなぁ… / github を直で読むぐらいなら、submoduleを使ったらいいんじゃないかな、とは思います。

[knjname]

多くのサイトとかjQueryとかCDNから引っ張ってきてる。クライアントサイドという違いはあるけれど。

[escape_artist]

PHPのallow_url_includeやallow_url_fopenはoffにしましょう。

[Haaaa_N]

セキュリティホールとか以前にオフライン環境で動かないから不便

[nanakoso]

動的結合をネット越しにやるのは改竄の可能性があるのでセキュリティーホール

[nilab]

なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場

[tanakaBox]

正しい反論。

[rokujyouhitoma]

証明の見本記事だな。これは。なるほどわかりやすい。イントラネットのライブラリをhttpで取ってきたりって運用ならつかえそうですね。

[k-holy]

サーバーサイドで動的に外部URLからソースを読み込む場合は証明の仕組みが必須ということか。composer installを自動でやっちゃうとまずい…？

[rryu]

githubからダウンロードしてビルドするのを自動でやっているだけなので脆弱性ではないと思うけど、ビルドする度に最新版にアップデートされるとビルドが安定しない点が微妙なのだと思う。

[katzchang]

mavenの依存性解決と同じレベル感。

[Lhankor_Mhy]

つまり本当はCDNとかセキュリティホールなのか。最近、jQueryとかライブラリをローカルに置かないクセがついちゃって。

[a_damitu]

なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場

[matsumoto_r]

すごい同意だけど、今後どうなっていくんだろうなぁ

[invent]

なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場

[paulownia]

コンパイル言語でも、コンパイル時にプログラムの内容が確定しない言語なら同様の問題がありますね。Javaとか

[udzura]

cf. curlで持ってきたソースをパイプでbashに渡すようなインストール手順

[rti7743]

コンパイル型でもソースコードダウンロードしてきて手元でビルドした時に結果がかわってるかもしれないから、気持ち悪いところあるなー

[shiwork]

なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場

[manaten]

http://...でrequireだのscriptタグに埋めるだのするのはそのコードを書いた人間の責任。最終的にユーザがその被害を被るような結果にならないよう、十分思慮して選択しなければならない。

[takkaw]

なるほど

[tmatsuu]

gentooユーザはスクリプト言語のようにコンパイルして実行するし、gentooユーザじゃなくてもソースから入れる人もいる。脆弱性というより単純に危険という認識。

[kijtra]

「GitHubは圧縮とかされてなくて重いから直接インポートするな。そんなことやっていいなんてGitHubのどこにも書いてない。」って海外記事見てからGitHub直やめたw

[chezou]

そう考えると、bundlerでライブラリを導入した人が信頼されるのか。開発者は意図をわかるけど、運用者はそれを確認した方がいいんだろうな。

[fclout]

なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場 -

[takc923]

要はコンパイル言語はコンパイル時に一回require(import)先と通信するだけだけど、スクリプト言語は実行ごとに通信するので、通信先の改ざん等で攻撃が可能である、というお話。

[raimon49]

信頼する対象の違い