Security - 公開方針

ここでもチョッと触れたエイサによる Opera への 5 つの要望。その中で Opera の脆弱性公開方針に関してハワードが blog していて、そのコメント欄を含めて幾つかの考え方が見えてきて面白い。

  • Amigomr の徒然日記に訳が公開されているが、幾つか分かりにくい箇所*1があるので、原文を参照されることをお勧めしておく。
  • そうでないと、ここで「9.22 のチェンジ・ログはエイサもお気に入り」と私の書いた意味が変わってしまう。
  • 文句を言うならお前がやってみろという声が上がる前に、当の箇所だけ訳しておく。

2. 修正された全てのセキュリティバグを完全に公開すること。
Opera Software は、修正された全てのセキュリティバグを、新版の公開毎に全て公開すべきである。彼らはユーザに対して、カテゴリ分けされ、ユーザと技術の専門家の双方が理解出来る表現で書かれた、セキュリティ問題の完全な一覧を提供すべきである。これはユーザに対して Opera がセキュリティを真剣に考慮しており、そのバグを発見し修正するために多くの労力を払っているという信頼感を与えるであろう。取り分け社会的影響に考慮してそれを行わないとするなら、ユーザに大変失礼であり、Opera はセキュリティを真剣に考えていないのではないかと皆思うだろう。（Opera 社は以前の私の提言に耳を傾け受け入れたとみなして良いのだろうか。Opera 9.22 は、外部の第三者の発見によらないセキュリティ修正が言及された初のチェンジログを有するようだ。この変化は、彼らが社内で発見し修正を加えた欠点を、公開するようになったということだろうか。もしそうなら歓迎すべきである。Opera Software 社の人間が、公開を要求する外部の第三者によるものだけではなく、全ての修正された欠点を今やようやく公開するようになったコメントしてくれるなら、それは絶讃に値するだろう。）

エイサが脆弱性公開に関して求めているのは、発見はされたものの未だ修正が済んでいない欠点を含む情報公開ではなく、修正の完了した欠点の完全公開である。しかしハワードが上記リンク先で指摘しているように、この点で Opera 社の方針は以前から変わっていないとされている。

*1:誤訳に対する最も穏当な批評表現