第7章セキュリティ

原則

セキュリティと言ってもパスワードとか暗号化とかの話ではない。Rubyのセキュリティ機能はCGIプログラムのような環境で「信用できない」ものを扱うために存在する。

例えば数値を表現した文字列を手軽に整数に変換したいとき、その文字列を evalするという方法がある。しかしevalというのは「文字列を Rubyプログラムとして実行する」というメソッドであり、ネットワーク越しにどこの誰かもわからない人から受け取った文字列をevalしてしまったりすると、とても危険だ。しかしそういうことをプログラマが逐一管理して、これは安全、これは危険……と分けていくのは非常にしんどい。めんどい。従って確実にいつか間違える。だからそういうのは言語にやらせよう。というわけだ。

ではRubyはどういうふうにその危険から守ってくれるのだろうか。危険な操作、例えば意図しないファイルを開いたりすること、の原因にはおおまかに言って二種類ある。

危険な値
危険なプログラム

前者では値を扱うプログラムは確実に自分が書いたもので、従って（わりと）安全である。後者ではプログラムのコード自体が全く信用できない。

この二つの原因ではかなり対策が違うので、レベルを分ける必要がある。これをセキュリティレベルと言う。Rubyレベルでは$SAFEというグローバル変数として出てくる。値は最低の0から最高の4まである。変数に代入することでレベルが上がり、一度上げたら絶対に下げられない。そしてそれぞれによって操作が制限されるわけだ。

レベル1と3は略。レベル0は通常のプログラム環境である。セキュリティシステムは全く働かない。レベル2は危険な値に対処する。レベル4では危険なプログラムに対処する。0はいいとして、2と4について仕組みを詳しく見ていこう。

レベル2

危険な値に対処するためのレベル。通常のCGIなど。

レベル2の基礎をなすのはオブジェクト単位で記憶されている汚染マークである。外部から読み込んだオブジェクト全部に汚染マークを付けておき、汚染されたオブジェクトをevalしようとしたりFile.openしようとしたら例外を発生させて止める。

それと汚染マークは「感染」する。例えば汚染した文字列の一部を取ると、それもやはり汚染されている。

レベル4

危険なプログラムに対処するためのレベル。外部から持ってきた（素性の知れない）プログラムの実行など。

レベル2では操作とそれに使う値の両方でチェックしていたわけだが、レベル4になると操作だけで禁止対象になる。例えばexit、ファイルI/O、スレッド操作、メソッド定義の変更、などなど。もちろん汚染情報も多少は使うのだが、基本的には操作が基準になる。

セキュリティ単位

$SAFEは見ためはグローバル変数だが実はスレッドローカルである。つまり Rubyのセキュリティシステムはスレッド単位で働く。Javaや.NETだとコンポーネント（オブジェクト）単位で権限が設定できるが、Rubyはそこまではやっていない。想定するメインターゲットがCGIだからだろう。

だからプログラムの一部分だけセキュリティレベルを上げたい、という場合は別スレッドにしてレベルを分離する。スレッドの作りかたなんてまだ説明していないわけだが、とりあえず以下の例だけで我慢しておいてほしい。

# 別スレッドでセキュリティレベルを上げる
p($SAFE)   # デフォルトは0
Thread.fork {    # 別スレッドを起動して
    $SAFE = 4    # レベルを上げて
    eval(str)    # 危険なプログラムを実行
}
p($SAFE)   # ブロックの外ではレベル0のまま

`$SAFE`の信頼性

汚染マークの感染にしても操作の禁止にしても最終的には全て手作業で行われている。つまり使っている全ての組み込みライブラリと拡張ライブラリが抜けなく対処しないと途中で汚染が途切れ、安全ではなくなる。そして実際にそういう穴はよく報告されている。だからとりあえず、筆者はあまり信用していない。

もっとも、だからと言って全てのRubyプログラムが危険であるわけでは、もちろんない。$SAFE=0でも安全なプログラムは書けるし、$SAFE=4でも好き放題できるプログラムは書ける。ただ$SAFEは（まだ）過信できないというだけだ。

そもそも「活発な機能追加」と「セキュリティ」が両立するわけがない。どんどん新機能が付け加わっているのならそれに比例して穴も開きやすくなるというのは常識である。ならば当然rubyも危険だろうと考えるべきだ。

実装

ここからは実装に入るが、rubyのセキュリティシステムを完全に捉えるには仕組みよりもむしろ「どこをチェックしているのか」を見なければならない。しかし今回それをやっているページはないし、いちいちリストアップするだけでは面白くない。そこでとりあえずこの章ではセキュリティチェックに使われる仕組みだけを解説して終えることにする。チェック用のAPIは主に以下の二つだ。

レベル n 以上なら例外SecurityErrorを発生するrb_secure(n)
レベル1以上のとき、文字列が汚染されていたら例外を発生するSafeStringValue()

SafeStringValue()はここでは読まない。

汚染マーク

汚染マークとは具体的にはbasic->flagsに記憶されるフラグFL_TAINTで、それを感染させるのはOBJ_INFECT()というマクロである。このように使う。

OBJ_TAINT(obj)            /* objにFL_TAINTを付ける */
OBJ_TAINTED(obj)          /* objにFL_TAINTが付いているか調べる */
OBJ_INFECT(dest, src)     /* srcからdestにFL_TAINTを伝染させる */

OBJ_TAINT()・OBJ_TAINTED()はどうでもいいとして、 OBJ_INFECT()だけさっと見よう。

▼OBJ_INFECT

 441  #define OBJ_INFECT(x,s) do {                             \
          if (FL_ABLE(x) && FL_ABLE(s))                        \
              RBASIC(x)->flags |= RBASIC(s)->flags & FL_TAINT; \
      } while (0)

(ruby.h)

FL_ABLE()は引数のVALUEがポインタであるかどうか調べる。両方のオブジェクトがポインタなら（つまりflagsメンバがあるなら）、フラグを伝播する。

`$SAFE`

▼ruby_safe_level

 124  int ruby_safe_level = 0;

7401  static void
7402  safe_setter(val)
7403      VALUE val;
7404  {
7405      int level = NUM2INT(val);
7406
7407      if (level < ruby_safe_level) {
7408          rb_raise(rb_eSecurityError, "tried to downgrade safe level from %d to %d",
7409                   ruby_safe_level, level);
7410      }
7411      ruby_safe_level = level;
7412      curr_thread->safe = level;
7413  }

(eval.c)

$SAFEの実体はeval.cのruby_safe_levelだ。先に書いたとおり $SAFEはスレッドに固有なので、スレッドの実装があるeval.cに書く必要があったからだ。つまりC言語の都合でeval.cにあるだけで、本来は別の場所にあってよい。

safe_setter()はグローバル変数$SAFEのsetterである。つまりRubyレベルからはこの関数経由でしかアクセスできないのでレベルを下げることはできなくなる。

ただし見てのとおりruby_safe_levelにはstaticが付いていないので Cレベルからはインターフェイスを無視してセキュリティレベルを変更できる。

`rb_secure()`

▼rb_secure()

 136  void
 137  rb_secure(level)
 138      int level;
 139  {
 140      if (level <= ruby_safe_level) {
 141          rb_raise(rb_eSecurityError, "Insecure operation `%s' at level %d",
 142                   rb_id2name(ruby_frame->last_func), ruby_safe_level);
 143      }
 144  }

(eval.c)

現在のセーフレベルがlevel以上だったら例外SecurityErrorを発生。簡単だ。

御意見・御感想・誤殖の指摘などは青木峰郎 <aamine@loveruby.net> までお願いします。

『Rubyソースコード完全解説』はインプレスダイレクトで御予約・御購入いただけます (書籍紹介ページへ飛びます)。

第7章 セキュリティ

原則