[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[UPDATE] security/faq.wml
中野です。
1.9 になってたようなので追随しました。
適宜修正・コミット等宜しくお願いします。
--
中野＠成蹊大
=============================================================
#use wml::debian::template title="Debian security FAQ"
#use wml::debian::translation-check translation="1.9"
# $Id:$
<p>最近、以下のような質問をよく受けますので、
それに答えるページを用意しました。</p>
<p><em>Q: セキュリティ警告につけられた署名が正しく検証できません。</em></p>
<p>A: おそらく、あなたの側の問題です。
<a href="http://lists.debian.org/debian-security-announce/";>debian-security-announce</A>
メーリングリストにはフィルタがあって、
セキュリティチームのメンバーの正式な署名のあるメッセージしか
投稿できないようになっています。</p>
<p>おそらく、お使いのメールソフトがメッセージをわずかに変更し、
署名が壊れてしまったものと考えられます。
ソフトウェアが MIME エンコーディングやデコーディング、
タブとスペースの変換などを行っていないかどうか、
ご確認ください。</p>
<p>このような問題の起こるソフトとしては、
fetchmail (mimedecode オプションをつけている場合) や
formail (procmail 3.14 以降のみ) などが知られています。</p>
<p><em>Q: Debian ではセキュリティはどのように扱われているのでしょう?</em></p>
<p>A: セキュリティチームが何らかの問題に関する連絡を受けると、
一人あるいは複数のメンバーがその問題を調査し、
Debian の安定版に対するインパクト (脆弱性をもたらすかどうか) を考えます。
もし Debian が脆弱になる場合は、その問題に対する修正を行うべく作業します。
パッケージメンテナからの連絡がまだセキュリティチームになければ、
そのメンテナにも連絡します。
最後に修正がテストされ、新しいパッケージが準備され、
それらを安定版に含まれる全てのアーキテクチャについてコンパイルし、
アップロードします。これらのすべてが終了したら、
セキュリティ勧告を公開します。</p>
<p><em>Q: 修正版のパッケージが security.debian.org
に出るかどうかの判断基準はなんですか?</em></p>
<p>A: 安定版ディストリビューションのパッケージに
セキュリティの破れがあれば、そのパッケージは
security.debian.org に登場することになります。
他の理由で置かれることはありません。
ここで「セキュリティの破れ」の程度が大きな問題になります。
通常セキュリティチームはパッケージのメンテナといっしょに
新しいパッケージを準備します。
ただし (信頼できる) 誰かが問題を追跡し、
必要なパッケージをすべてコンパイルして
セキュリティチームに送ってくれたのであれば、
些細なセキュリティ修正であってもそれは
security.debian.org に置かれることになります。</p>
<p><em>Q: <tt>試験版</tt>と<tt>開発版</tt>のセキュリティは
どうなっているのでしょうか。</em></p>
<p>A: 端的に言うと、これらにはセキュリティ上のサポートはありません。
試験版と開発版は頻繁に変化するものなので、
セキュリティチームは適切なサポートをするのに必要なリソースを持っていません。
安全な (そして安定した) サーバを構築したい場合には、
安定版を使い続けるよう強くおすすめします。</p>
<p><em>Q: なぜ security.debian.org の公式ミラーは
ひとつも存在しないのですか?</em></p>
<p>A: security.debian.org は、できるだけ早くかつ容易に
セキュリティアップデートを提供するのが目的です。
ミラーがあると不必要な複雑さが導入されてしまいますし、
ミラーが最新でないと問題が起きる可能性もあります。</p>
<p><em>Q: セキュリティチームと連絡をとるには?</em></p>
<p>A: セキュリティ情報は security@debian.org に送ることができます。
これは Debian の開発者が全員読んでいます。
機密を要する情報がある場合には
team@security.debian.org をご利用ください。
こちらはセキュリティチームだけが読んでいます。
必要ならば、Debian Security Contact key (key ID 363CCD95)
でメールを暗号化することもできます。</p>
<p><em>Q: セキュリティに関するお手伝いがしたいのですが。</em></p>
<p>A: 問題を security@debian.org に報告する前に、まず調査をしてください。
パッチを提供していただければ、処理が迅速になります。
bugtraq のメールを単に転送することは避けてください。
我々も同じメールを受信していますから。
単に転送するのではなく、bugtraq で報告された事項に対する
追加情報を提供するようにしてください。</p>
<p><em>Q: proposed-updates の対象はなんでしょう?</em></p>
<p>A: このディレクトリには、
Debian 安定版の次のリビジョンに入るであろうパッケージが含まれています。
メンテナから安定版向けのパッケージがアップロードされると、
それらは proposed-updates ディレクトリに置かれます。
安定版は安定であることを意図されていますから、
自動的な更新は行われません。
セキュリティチームは安定版への勧告を行った際、
その修正パッケージをアップロードしますが、
それらはまず proposed-updates に置かれます。
二ヶ月おきに安定版のリリース管理者は
proposed-updates にあるパッケージを一通り調べ、
それらが安定版にふさわしいかどうかを議論します。
そしてこれらは安定版の新しいリリース (例えば 2.2r3 とか 2.2r4 とか)
に組み込まれます。</p>
<p><em>Q: セキュリティチームの構成は?</em></p>
<p>A: Debian セキュリティチームは、現在 5 人の役員と
2 人の書記から構成されています。
チームへの参加者は、チーム自身が任命します。</p>