【海外の反応】「2000個入れてるパッケージの1つがパスワードを盗み見てるのでは」
姉妹サイトの新着
「2000個くらいパッケージを入れているPCで、そのどれか一つがロック解除の瞬間にパスワードを全部盗み見ていてもおかしくないのでは」という投稿から、海外掲示板4chanの/g/板で議論が盛り上がった。
GPGキーのキャッシュや`pass`コマンドの仕組みを巡って具体的な攻撃手順が示される一方、SELinuxやbubblewrapによるサンドボックス、YubiKeyなどのハードウェア認証を勧める声も相次ぎ、デスクトップLinuxのセキュリティモデルそのものへの不満も噴出した。
他サイトの新着
この話題の背景と論点
2000個入れてるパッケージがGPGキーやパスワードを盗み見られるという懸念の背景には、Linuxのパスワード管理でよく使われる`pass`コマンドがGPG暗号化ファイルに依存し、復号のたびに入力を避けるためgpg-agentが一定時間キー(または復号済みデータ)をキャッシュする仕組みがある。この間は同じユーザー権限で動く任意のプロセスが理論上アクセスできてしまう。デスクトップLinuxは伝統的に、個々のアプリを強く隔離するサンドボックス機構(Android的な仕組み)が標準化されておらず、SELinuxやAppArmor、bubblewrapはあっても設定・運用は利用者任せという構造的な弱点がある。
スレで割れたのは「実際にそこまでの攻撃コードが簡単に書けるか」「パッケージ開発者は信頼できるから杞憂だ」という楽観派と、「監査しきれない以上リスクは現実的」という悲観派の対立、さらに解決策として権限分離(SELinux/bubblewrap)を推す側と、そもそもハードウェアキー(YubiKey等)で鍵をOS上に置かないことを推す側との方向性の違いだった。
読者が誤解しやすいのは、これは特定の脆弱性やマルウェア事件の報告ではなく、Linuxの権限モデルに元々内在する一般的なリスクについての議論だという点である。
※本記事は海外掲示板 4chan /g/ (Technology) のスレッド「what’s stopping literally any one of the 2000 packages I have installed from just reading all my passwords the second I」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。