【海外の反応】「2000個入れてるパッケージの1つがパスワードを盗み見てるのでは」
姉妹サイトの新着
即まとch5ch/2chの話題まとめ
BCリーグ埼玉武蔵・清田育宏監督が活動自粛 一部報道に球団声明、本人は否定STARTO新ユニット『KEY TO LIT』終戦の日の「日本破壊」発言に批判 過去の同様発言も掘り起こされる他サイトの新着
- 5chまとめMAP【朗報】ハンター冨樫さん、ガチでやる気を出し始めてしまう
- ニュース速報まとめMAP【訃報】草間彌生さん、97歳で逝去。最後まで描き続けた「水玉の宇宙」と波乱の生涯
- なんJ傑作まとめアンテナMAP魔法少女まどか☆マギカ 〈ワルプルギスの廻天〉あす上映 お前ら見に行くの？
- アニメ声優まとめアンテナMAP【悲報】女YouTuber「日産GT-Rの修理を過去の投稿を理由にディーラーに断られた！！」→騎士団、一斉にレビューへ低評価爆撃ｗｗｗ
- VTuberまとめアンテナMAP【ホロライブ】ヴィヴィ生誕祭2026 スクショ集
- だめぽアンテナ【悲報】チキンカリー辛さ1.5番を「食い逃げ」した若者、ネットに晒され人生終了ｗｗｗｗｗ
- ヌルポあんてな【画像】元乃木坂46の西野七瀬とかいう人妻、単なる鼻デカおばさんに…
- 2chまとめアプリ+【哲学】「この世界で“本物の人間”って自分しかいないんじゃね？」って感覚、分かる奴いる？
- News人【歴史の謎】世界中に広まった「キリスト教」、なぜ日本ではサッパリ根付かなかったのか？他
- ブルーアンテナテレビを持てない家庭が増えてるらしい
- ウマーあんてな【海外の反応】SNSが無かった時代、戦争犯罪はどう暴かれたのか
- 海外の反応ジャーナル「日本ではお城を綱引きで動かしている」海外の反応
- 海外反応・海外ニュースまとめ【子供の頃どうしても勝てなかったステージ】海外「未だに悪夢」→「イルカが誘拐されるとはね」
- ハゲリシャス速報【ハゲ速報】客のクレカで化粧品購入した慶応大学4年女子大学生の頭皮がハゲすぎてヤバいｗｗｗ
- つべこアンテナ「お祓いでも受けてみようかな・・・」なんて思ってもない独り言を呟くと、彼女が、「そうしようよ！」と強く勧めてきた。【再】
- ２ちゃんマップ【動画】あのちゃん、シコられたい欲が限界突破！！
- キター！アンテナ日本の新幹線の17倍もつくったのに､運賃は高くて駅はガラガラ…採算度外視で広げた中国高速鉄道の末路
- カオスアンテナ【悲報】婚活女性、自分磨きをしまくっているのに婚活アドバイザーにダメ出しされる
- おまとめNHK「契約してください！」ワイ「テレビ無いよ！」NHK「家の中確認していい？」←これ！
- 即まとch「相棒season25」10月スタート！水谷豊＆寺脇康文“黄金コンビ”12年目突入
「2000個くらいパッケージを入れているPCで、そのどれか一つがロック解除の瞬間にパスワードを全部盗み見ていてもおかしくないのでは」という投稿から、海外掲示板4chanの/g/板で議論が盛り上がった。
GPGキーのキャッシュや`pass`コマンドの仕組みを巡って具体的な攻撃手順が示される一方、SELinuxやbubblewrapによるサンドボックス、YubiKeyなどのハードウェア認証を勧める声も相次ぎ、デスクトップLinuxのセキュリティモデルそのものへの不満も噴出した。
>>1 少なくとも、それが全部同時に常時動いてるわけじゃないだろ
パスワードは暗号化されて保存されてるし、パッケージ側は復号された状態が一時的に置かれるメモリ領域にはアクセスできないよ
>>3 でも悪意あるプログラムが「ls .password-store; pass PASSWORD_FILE」を実行するだけでいいんじゃない?
オープンソースの開発者は信頼できる人たちだから
>>5 それな(笑) じゃあコードを監査すればいいじゃん、2000個のパッケージとその都度のアップデートを全部監査する時間があるんだろ?
>>4 だからCLIのないパスワードマネージャーを使うんだよ
>>1 macOSならこの問題は起きない。すべてのソフトが『ボトル』の中で動くから。
>>1 お前には盗まれて困るようなものなんて何もないだろ
>>10 プログラムは任意のシェルコマンドを実行できる
>>11 そのコマンド、何も実行できてないぞ
>>12 あくまで例だよ、そのまま打ち込んで動くと思うなよ。lsの結果から1つ選んでpassに渡す必要がある。もっと便利なのは、ファイル名とpassの出力を1行ずつ並べて表示するスクリプトだけど、一回きりの書き込みにそこまで手間をかける気はない
>>15 実質「pass "$PASSWORD_FILE_NAME"」を打つだけ。GPGキーがキャッシュされてる間は平文で取得できる。つまりそのキャッシュされてる2時間の間、他のプロセスが全部のパスワードにアクセスするのを止めるものは何なんだ?
>>16 ログアウトや終了時にキャッシュを消してくれるまともなマネージャーを使えばいいだろ。理由もなくずっとログインしっぱなしにしてるわけじゃないよな?
>>16 そもそもなんでキーをキャッシュしてるんだ? 毎回物理的な操作が必要なUSBスマートカードをHSMとして使わないのはなぜ?
>>17 毎回キーを打ち込まなくて済む方法って他に何がある?
>>19 生体認証、KeePass、フィッシング耐性のあるMFA(YubiKeyとか)。使うかどうかは別として、選択肢自体はある
>>1 opensslで暗号化するのなんて難しくない。パスワードマネージャーなんていらないよ
他サイトの新着
>>1 それってまさにSELinuxの存在意義じゃないの? パッケージはそのパスワードにアクセスできないはず
>>21 頑張って設定してみろよ。デスクトップ向けLinuxは根本的に安全じゃない、中央の管理者もいない結束バンドで無理やりつなぎ止めたポンコツなシステムだから(カーネル自体はちゃんとメンテされてるけどな)
>>1 そもそも2000個もパッケージを入れなければ、監査する時間もできたんじゃないの
>>22 bubblewrapもユーザースペースの仕組みもあるのに、知らないんだろうな
Androidにはこの問題はない
>>30 まさにこれ 俺の場合はクロスカット(シュレッダー)だな
>>31 お前の環境、どんな構成にしてるの?
※本記事は海外掲示板 4chan /g/ (Technology) のスレッド「what’s stopping literally any one of the 2000 packages I have installed from just reading all my passwords the second I」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。