Slide 15
Slide 15 text
公開
Copyright Cybertrust Japan Co., Ltd. All rights reserved.
Copyright© Cybertrust Japan Co., Ltd. All rights reserved.
15
• レビューを通過するには一定の基準を満たす必要がある
• レビュー提出時に多数の質問項目があるが、実際にどう整えていればいいのかについて
はあまり明確なことは書かれていない
– 例: 秘密鍵の管理について
• 明確に HSM(Hardware Security Module) を使って署名されているべきとは書かれていない
– が、Microsoft 側のドキュメントには HSMを使うべきといったことが書かれている
– こういったことは自分で探すか、先達が提出している内容を真似る必要がある (真似る場合はそれが正しいとは限らない )
» 他の方法でセキュリティを確保できるなら、 OKな場合もあるようで悩ましい (Ubuntu は複数台のコンピューターに秘密鍵
を分散保存しているらしい )
– 例: 脆弱性の対応について
• あなたの使う(起動させる)カーネル/ブートローダーではこの脆弱性は修正していますか?このパッチは適用しています
か? というような項目がいっぱいある
– 大量にあるため、レビュイーもレビュアーもこの確認はかなり手間
– バージョンや カーネルコンフィグ によっては、N/A, Not applied が正しい回答のこともある
– 裏取りが大変
• そのためレビュアー(ボランティア)も手探りでやっている
課題1: Accept を貰うための要件が明確ではない