※以下のテキストの原文は http://blogs.msdn.com/ptorr/archive/2004/12/20/327511.aspx です。これはあくまで自分が意味を取るために訳したものであり、訳の品質に対しては一切保証しません。
近頃、ニューヨークタイムズに2ページに渡ってFirefoxの広告を載せるというプロジェクトに対して、多くのボランティアが寄付をした。
そのお金のうちいくらかでも、セキュリティ向上のために、VeriSignの証明書を買うのに使われればよかったのにねえ。
詳しく説明しよう……
IEの問題点の一つは、ファイルをダウンロードする時に、顧客がスパイウェアやアドウェアに騙されるということだ。これは確かに正当な言い分だ。そして、望まないソフトウェアをあなたのマシンに勝手にインストールされる危険性を減らす一つの方法は、信頼できる会社によってデジタル署名されたソフトウェアのインストールだけを許可することだ。あなたがいろんな所からいろんなソフトウェアをダウンロードするごとに、あなたはPCに保存されたあらゆる情報を掛け金として差し出しているようなものだ。あなたはまさか、見知らぬ人から飴をもらったりはしないだろうね？
顧客をそういった脅威から守るために、IEのインストールの初期設定では、署名されていないActiveXコントロールは全てブロックされるし、また、あなたが署名されていないプログラムをダウンロードしようとしていることをIEは示唆するだろう。もちろん、ソフトウェアが署名されている（もしくは、MD5ハッシュ値を持っている）ということは、そのソフトウェアがアヤシゲなものではないということを意味しない。それはあくまで、そのソフトウェアが信頼に足る物かどうかをあなたが考えるための一つの判断材料でしかない（論理の用語でいえば、必要条件ではあるが、十分条件ではない）。
さて、典型的なユーザがFirefoxをダウンロードしようとして、そして、Firefoxの謳い文句の「安全なWebブラウズ」を体験しようとする時、何が起こるか？ さあ、くつろいで、リラックスして。実際にその様子を見てみよう。
まず最初に、私は広告にあったサイトのwww.getfirefox.comに行った。すると、実際のページの www.mozilla.org/products/firefox/ にリダイレクトされた。 そこから、私は簡単にダウンロードリンクの場所を見分けられた。そしてそのリンクをクリックしてみたところ、以下のようなダイアログが現れた。
んー、ちょっと待てよ。私は www.getfirefox.com というサイトに行ったのであって、 mirror.sg.depaul.edu なんてサイトに行ったんじゃないよ。私はそのサイトがどんなサイトか全然知らないし、私は神経質にならざるを得ない。IEは私に、 もしこの情報ソースが信用できないなら、このソフトウェアを実行したり保存したりしないで下さい
と言っている。私は本当に、テキトーに選ばれた聞いたこともない大学の、ガキ共の集まりを信用していいのか？ 理想的には、一般人はこのサイトを信用しないと判断して、「キャンセル」をクリックするだろう。なんてこった、あなたのためのFirefoxは無い！
しかし、勇気（そして私の仮想PCイメージが壊れてしまうことを恐れない勇敢な心）をもって私は「実行」をクリックする。何秒かした後、以下のようなダイアログが表示された。
なんじゃこりゃ？
どこだか分からない大学から送信されたというだけでも十分アレなのに、それだけでなく、それが本物のFirefoxなのか悪意ある人によって改変された偽物なのか、私には確認する手段がない。（私は、これまでFirefoxをダウンロードした一千万人が、システムにバックドア（訳注：遠隔操作による攻撃を可能にするための抜け穴）を仕掛けられていないことを祈る。） 信用できる公開元からのソフトウェアだけを実行するべきです
というメッセージ、そして、その航海者が信用できるかどうか確かめられないことから、私は「実行しない」をクリックするべきだ（そして幸いなことに、その選択肢は最初から選択されている）。
しかし、再び、私は勇気を持って「実行」をクリックしよう。
そうしたら、今度はこんなダイアログが私を出迎えた。
おっと、私のネットワーク接続が切れてしまった。しかしまだ……この種のよく分からないダイアログは、私に対して、そのインストーラが信用できる物であるとは何も説明していない。もしかしたらこれはFirefoxを装ったトロイの木馬（訳注：安全なソフトウェアに見せかけてユーザのPCに侵入する、悪意あるプログラム）なんじゃないのか？
まあ、この辺のことにはムリヤリ目を瞑って、とにかく先に進もう。私はもう一度ソフトウェアをダウンロードしなおして（今度はどこぞの大学のドメイン名ではなく、――いや、冗談を言ってるわけじゃあないんだが――スパム広告業者や詐欺師達やその他のデジタル悪党共がよく使うような、数字のIPアドレスが表示された）、インストーラを実行してみた。今度は大丈夫みたいだ。
ぬうう、ほんとに空っぽのメッセージボックスだ。さて、初期状態では「OK」が選択されている。ということは、私はそれを受け入れるべきなんだと推測できる。しかし私はそれが私のシステムに対してどんなことをするのか、現時点では全く分からない。
このソフトウェアに対する私の不信感が、どんどん高まってきているぞ。
私は、そのダイアログが重要な物だった場合には、仮想PCを再起動すると決めている。再起動した後、私はFirefoxを起動してみた。問題なく動いてるように見える。
SlashdotのみんながFirefoxの拡張（エクステンション）を絶賛していたので、私は、それらをインストールしようと心に決めていた。私は拡張のページを眺めて、Amazon.comサイドバーがナイスだと思った（私はAmazonが大好きだ、そしてAmazonは私のクレジットカードが大好きだ）ので、それをダウンロードすることに決めた。リンクをクリックしたら、以下のようなダイアログが表示された。
そのダイアログは、その拡張が署名されていないと確かに私に伝えている（これは良い）が、しかし、「今すぐインストールする」を初期状態で選択している（これは駄目だ）。 これは、署名されていないプログラムに対してIEが取っている初期状態の選択とは正反対だ（上を参照して欲しい）。もう一度私に、どっちのブラウザがより安全なのか言ってみてくれないか？
（いやいや、私が言いたいのはこれだけではない。Firefoxはその「インストールする」ボタンを、ダイアログが表示されてから最初の数秒間だけ無効にするが、しかし私がダイアログの中に書かれた文章を読み終えた頃には、そのボタンは既に有効になっていて、押せるようになっていた。）
次に、私は（どこでもいいのだが）Flashを使ったサイトを見に行った（何故なら、みんなご存じの通り、私はFlashが大好きだからだ！）。「オーシャンズ12」の公式Webサイト www.oceanstwelve.net を見に行ってみたところ、Flashがインストールされていないと認識されて、Flashをインストールするためのリンクを私に示した。リンクをクリックすると、私はMacromediaのFlashのダウンロードページに連れて行かれた。Firefoxは私が実行ファイルをすぐに実行することを妨げ、そして、それをディスクに保存することを強いた。おそらく、それはほとんどのユーザにとって良い動作だ。IEは署名されていないプログラムについて警告を表示するだろうと知っているから、私は個人的には、IEにおいては「実行」をクリックする傾向にあるが。しかしながら、それは次のステップで示すとおり、破壊工作を行うソフトウェアの感染に対してのほんのちょっとした減速帯にしか過ぎない。
一旦そのファイルが保存されると、私はそれを、ポップアップ表示される小さなダイアログから開くことができる。問題は、そのファイルがデジタル署名されているかどうかについての表示が全くないことだ。ただ単に、よくある これはウィルスかも知れません。それでも実行してよろしいですか？
というダイアログが表示されるだけだ。しかし、（どこから送信されて、誰が公開したのか、などの）そのソフトウェアを信用するかどうかを判断するための何の根拠も無く、私はいったいどうすればいいというのか？ 正解はもちろん、そのファイルを削除して、Flashのインストールを諦めることだ。しかし、どうしてもそれをインストールしたいから、私は前に進み、そしてそのファイルを実行しなくてはならないだろう。
本当に恐ろしいのは、「今後確認しない」というオプションがこのダイアログにあることだ……これは、もしあなたがそのチェックボックスをチェックしたら、この警告抜きで、あなたのシステムの中にあるどんな古いゴミクズでも実行できるようになってしまうことを意味する。私には、これがセキュアなものだとは思えない……
まあとにかく、Flashがインストールされて、私は「オーシャンズ12」のWebサイトを見られるようになった。しかし、もしFlashにセキュリティの問題が発覚して、Flashを無効にしたくなったら？ IEだったら、私は単に、（全てのActiveXコントロールを無効にするために）インターネットゾーンのセキュリティモード設定を「高」に設定するだけでいい。あるいは、Flashの修正版が公開されるまでの間Flashだけを無効にしたければ、「ツール」の「アドオンの管理」で表示されるダイアログから操作すればいい。では、FirefoxのFlashを無効にするにはどうすればいいのか？ いい質問だ。私はメニュー項目からも「ツール」→「オプション」からも何の情報も得られなかったし、「ツール」→「拡張機能」ダイアログも望みを果たしてはくれなかった。また、Flashは追加・削除可能なプログラムの一覧にも表示されなかった。
Googleで調べたところによると、私はまた別の署名されていない拡張をダウンロードして、Flashをブロックする機能を有効にしなくてはならないということだった。はあ、そういうものか。最初のダウンロードページのリンクは403: Foribiddenエラーを返してきた。幸運にも、二番目に見つけたダウンロードリンクは問題なかった。そして、私はもう一度デジタル・ロシアンルーレットを楽しむ羽目になった。私はその拡張をインストールして、説明に従ってFirefoxを2回（そう、2回も）再起動した。公平にいって、その拡張はかなりクールだった。しかし、それは問題じゃない。私が野ざらしのWebサーバから恐ろしい攻撃プログラムをダウンロードしたのではないということを、私はどうやって確認すればいいのだろうか？ 誰が「xmundo.net」だかなんだかいうドメインを所有していて、信用度の高い管理を行っているのだろうか？ そして、その拡張をダウンロードするまでの間に、万が一私が悪意あるFlashを埋め込まれたWebサイトを訪れてしまったら？
（セキュリティを保つ10の不変の法則を、そして、その一「もしも悪人が、あなたのコンピュータの上で彼のプログラムを実行するようあなたを説得できるなら、それはもはやあなたのコンピュータではない」を、常に思い出して欲しい。）
情け深い公平さに則って、私は確かにFirefoxは良いブラウザだと思う。FirefoxはHTMLを何の問題もなく描画しているようだし、タブブラウズ機能はSlashdotを閲覧するのに便利だ。しかし、現在の所Firefoxにはセキュリティ上の未修正の脆弱性は無いと報道機関が言っているからといって、そういう物が存在しないということにはならない（例えば、Secuniaは現在までに3つの未修正の脆弱性を挙げている）。
Mozillaは（IEが持っていたような）過去のセキュリティ上の脆弱性についての情報の中での一定の割合を占めているし、また、――オープンソースの人々がそう言っているにも関わらず――Mozillaは（Microsoftがそうしているように）、顧客を悪意あるユーザによる攻撃から守るため、それらのセキュリティ上の問題を公表せずに隠したままにしている。これは悪いことではないということに気をつけて欲しい。全てのベンダは、顧客が不当な危険にさらされないことを保証するために、セキュリティの問題を責任を持って扱うべきだ。ただ、あなたはこのような事情を承知しておくべきだ。Bugzillaで未修正のセキュリティ上の問題が見あたらないからといって、それらが存在しないことを意味するわけではないのだ。
しかし、そのブラウザが信用に足るものではないと私に思わせる本当の理由は、一般的な使い方において安全でない操作を行うことをブラウザがユーザに要求する場合に、ブラウザ本体の元々のコードの安全性は重要ではないということだ。
これは、MicrosoftのSD3+Cキャンペーンにおける「安全な配備」という一節だ。「私達は安全なソフトウェアを設計し、開発する。しかし、それと同時に、顧客がそれらを安全に配備できることも確かめる（訳注：実用上においての安全性ということか？）。」
私は個人的には、誰がFirefoxやLinuxやその他のソフトウェアを彼のコンピュータで動かすことを選ぶとしても――結局の所、被害を受けるのは彼らのコンピュータなのだから――、気にしない。しかし、人々がランダムなWebサーバから署名されていないソフトウェアをインストールすることを良いアイデアだと考え続けるようであれば、私達はスパイウェアやアドウェアの問題を看過することはできない。
そう。現時点において、Firefoxをインストールすること（そして使うこと）は、人々を安全から遠ざけて、解決策ではなく問題のある行為に導くことを、確実に私達に奨励するのだ。
(Mike、Robert、そして公開前にこの文に目を通してくれたその他の人々に、感謝する。問題があったとしたら、それは私のせいだ ;-)）
投稿時刻：2004年12月20日（月） 午後6:11
© 1999-2020 Piro:outsider reflex, some rights reserved.