[debian-devel:18992] Re: 【セミナ確定】東京エリアDebian勉強会(2015年6月勉強会 )

[Hideki Yamane <henrich@debian.or.jp>]

On Wed, 24 Jun 2015 10:24:17 +0900
Takahide Nojima <nozzy123nozzy@xxxxxxxxx> wrote:
> なんですが、ひょっとして、contribは本体DFSG準拠だけど
> non-freeに依存関係があるもののアーカイブなので、
> ライセンス上直せない/ソースがないから直せないというわけではないのだが、
> ポリシー上基本サポート無しとかに野島の資料を修正せよということでしょうかね？

　DSAを出す（セキュリティサポート対象な）のは main だけです。
　

> >未公開の情報ですからGPGで暗号化したうえで、というのが必要です。
> 
> こちら、いわゆるメールの第３者の盗聴防止で、一般的に秘匿情報を扱うセオリーとしてこちらにすることが望ましいということで良いでしょうか？
> つまり、セキュリティチーム側が明確にアナウンスしているというわけではないが、常識的にそうした方が良いでしょ？という感じ？

　盗聴防止というのもありますが、「宛先間違い」というのも一応はありますかね。
　一般流通すべきではない情報ですから、GPGを使うのが望ましいでしょう。
　逆に使わないほうが望ましいという理由はないはず(*)です。

　*) 読みやすいコードを書きましょう、みたいなところで。


> ＞どのようなオプションを指定しているのか？
> 
> む？資料記載のとおり、
> -fstack-protector-strong -Wformat -Werror=format-security -D
> _FORTIFY_SOURCE=2
> かと？他について、ちょっと思い当たらないのですが、ひょっとしてHardeningとしてのオプションで、違うオプションがつく場合が実はあるという
> 意味ですかね？dpkg-buildflagsみてもちょっと
> 見当たらず..(-fPICはオプション本来の趣旨として微妙と考えましたので割愛しました）

　実際に、debian/rulesでは上記のオプションを直接指定しては居ないですよね。
　dpkg-buildflagsが展開されてそうなるわけで、
　- dpkg-buildflags でオプションが定義される
　- そのオプションはこうだ

　という説明展開が抜けています。それからdebian/rulesでは
　export DEB_BUILD_MAINT_OPTIONS := hardening=+all
　などとするとrelroやbindnow,pieも付きます。

　＃ってrelroはデフォルトでenableなんですね。。



> こちら情報ありがとうございます。他にも会場で、debian-security-support以外
> に古くからdebsecanというパッケージが使われてきたという指摘も頂きました。

　FreeBSDでも似たようなツールがあったような。。。


-- 
Regards,

 Hideki Yamane     henrich @ debian.or.jp/org
 http://wiki.debian.org/HidekiYamane