■自分よりできる人までlog4j脆弱性の経緯の理解が間違ってる気がしてもにょる

log4j自体が問題なのは当然だけど、

ブコメに分散オブジェクト指向と書いてる人がいたけど、

その辺の指摘が正しいのではないかと思うんだけど

そもそもはJavaで分散オブジェクト指向が流行したのが問題の歴史的な発端だと思ってる

つまり、RMI（いわゆるRPC）とかCORBA（それは紛れもなくヤツさではないです）とかHORB（産総研だっけ？）とか、

ネットワーク透過だのRPCのスケルトンだの、そういう話が発端な気がする

だから、なんでそんな変なことわざわざやるの？という話は、

そういう分散オブジェクト指向だのネットワーク透過だの、

つまり、インターネット上ではマシンは当然ネットワークで繋がってはいるけど、

別々のマシンであって、マシンAとマシンBは分断されている

でも、クラスタリングとかされたネットワークの中で、

マシンAのJavaのプロセスがマシンB上のJavaのクラスを読み込んで実行できたり、

マシンBに肩代わりさせても、それを意識しないように書けると便利だよね、

という話であって、

ぶっちゃけ、今になっても、

例えば異なる言語のプロセス間通信するためにRPCはあるし、

世の中的に、今はJavaよりイケてると思われてる言語にも、この手のネットワーク透過にする機能とか、

よー知らんけど、クラウドコンピューティング（）だなんだの機能としてあっても不思議ではない気がする

昔で言うなら、ソニーのTelescriptとかよー知らんけど、

エージェントだのエージェント指向だのが流行したけど、

ネットワーク上の複数のマシンを渡り歩くプロセスというかプログラムみたいなのが実現できるのって、

今になって考えてみると脆弱性の温床でしかない気がするし、理解はできる

理解はできるが、じゃあ、まったくメリットがないのかというとそうでもなくて、

しかし、Javaのかつての流行が放置されたままになってるとか、そういう問題はあるわけで、

その辺がセブン＆アイだったかの、Struts2のOGNLインジェクションもそんな感じで、

ぶっちゃけ、マシンAからHTTPでマシンBのJavaクラスとか実行できたら便利だよね、みたいな話で、

でも、それはマシンAとマシンBが信頼関係があり、

マシンAとマシンBが外のネットワークと敷居があるという前提があるから問題がないのであって、

CGIでもよくあったけど、サーバー側の任意のコマンドを実行できるというのは、

サーバーの状態を監視するとかには便利だけど、当たり前だけど危険だよね、という話であって

眠くてまとまらない…

おやすみ…

あ、言い忘れるところだった

知らんけど

Permalink | 記事への反応(2) | 04:26

ツイートシェア