TCPやMIMEなど必要不可欠な仕様の脆弱性について

質問

私はパソコンを使う小規模零細個人事業主です。
個人事業主ですので、必然的に「私ごときがシステム管理者！？」にならざるを得なくて昨今のセキュリティに厳しい状況の中で四苦八苦していますが、一生懸命自分なりに勉強しながら知識を追いつけたい、と努力しています。

ところでJVNの情報を見ると、TCPとMIMEには仕様上の脆弱性がある、と報告されていてドキっとします。
インターネットを使う以上はどうしようもないことではないか？と思いきや、「影響を受けるベンダー」が限られていて、マイクロソフトやアップルなどの社名がない報告も多数見うけられます。

「MSやアップルでは元々TCPやMIMEの仕様に脆弱性があることを把握していたのでこの２社（および他のリストにないソフトベンダ）の製品なら古い製品でも問題がない」
・・・と受けとめてよいのか、
「リストにないベンダは、常に現時点の最新商品、最新パッチ状態でのみ影響が除外されている」
・・・と見るべきなのか判断に悩んでいます。

特にリストには出ないTCPやMIME関連フリーウエアが自分のパソコンに入っている場合や、マッキントッシュのようにアプリケーションに問題があってもOSが保護する？？といった話しを聞く例など、信じて良いのか、杞憂をしすぎないで済むのか？　コンピューター技術者ではない一般ユーザー兼システム管理者的責任も持たねばならない私のようなレベルの人間に適した（話についていけるレベルの）判断のモノサシが欲しい・・・！
・・・と常々悩んでいます。

私のような立場の人は結構多いと思いますので、どうぞ実り多きご助言をよろしくお願い申し上げます。

回答No.4

fukurou56 · ベストアンサー

もう少し言葉足らずな部分を補足するならば

>１：セキュリティ関係入門書や各OS専門の掲示板での総論は「Windows95以下は絶対に使わないこと。
>常に最新OSに最新アップデートの状態でいてください」というものです。
上記の事は、一般ユーザーのようにその機器で Web 見たりする場合に当てはまる事です。

仕事で使う機器とプライベートで使う機器をしっかり分けておられれば、
何の問題も無いと思いますよ。

お礼

どうもありがとうございました。

古いOSも業務上は内部のLANで繋がっていたいので、なんとかWANとの縁を切りながらLANで両立できる方法を改めて考え直したいと思います。

また改めて考えを組み立て直してから再投稿させていただきたいと思いますので、またその時はどうぞよろしくお願い申し上げます！

本当にこんなにご親切をいただきありがとうございました。

回答No.3

fukurou56

（これで最後にしますが）

キーは、毎日、インターネット回線を通じて、常時外部とデータをやり取りするような
システムなのか、どうかだと思いますよ。

別に事務所等、外部と切り離された状態でも動くアプリケーションなら、DOS
だろうが、OS/2 だろうが関係ないです。

お礼

もし私のお礼文がお気に障られましたらお詫びいたします…

（単純素朴に、あともう一歩の指針が立たない歯がゆさの悩みを告白しているだけに過ぎませんので、どうかお許し下さい）

やはりDOSとOS/2は（…正確にはJVN等の勧告以後にTCP/IPとMIME関連モジュールの更新がないシステムはすべて、と認識すべきですね？）公道のネットからは隔絶することを考えないといけませんね。

大変ありがとうございました。

回答No.2

fukurou56

>個人のボランティアが作ってくれているメールソフトなどは...
一概にそうは言えないと思いますよ。私は2月ほど前まで、ウィルスメール対策
として ComNifty でメールのやり取りをしていました。
(80年代後半にNiftyのパソコン通信用に開発された Mac ソフト)
別に不自由は無かったし、これなら 100% 感染しませんからね。

Niftyが３月末でパソコン通信サービス(正確にはtelnetを) を止めてしまったので、
今はWindows の EdMax というソフトに変えましたが、これも シェアウェアのフリー版です。
(outlook Express 使うよりは安心ですから)

>こういった機種はtcpネットワーク環境から外しておかないと
これも一概には言えないと思います。どのような業務ソフトを使われているのか
判りませんが、"脆弱性うんぬん"のトラブルは今ある、基本部分に拡張機能を
追加しようとして、拡張部分の実装がまずかったり、基本部分にまで
手を入れて、逆にバグを引き起こしたりしているケースが大半だと思います。

昔の規格(基本部分)のみで動いていて、何か外部とデータのやり取りを
しているとしても、最悪、データが見えない程度のトラブルにしかならない
と思います。社内システムなら、ルーターのフィルタ、しっかり設定すれば
全然関係無いですよ。

データのやり取りしている相手がJAVA1.3以上とか指定している場合は
しょうがないと思いますが。

「調子良く動いているものには触るな」
これもエンジニアの世界では良く聞く言葉です。(別にコンピュータ分野に限らず)

お礼

>"脆弱性うんぬん"のトラブルは今ある、基本部分に拡張機能を
>追加しようとして、拡張部分の実装がまずかったり、基本部分にまで
>手を入れて、逆にバグを引き起こしたりしているケースが大半だと思います。

そうですね…
この認識のしかたが、「理解の上であえて放置できる人」と、私のように「理解できずに放置してしまっている人」で大きく結果が分岐してしまうポイントになりそうですよね…
一番具体的に心配しているのは、
１：セキュリティ関係入門書や各OS専門の掲示板での総論は「Windows95以下は絶対に使わないこと。常に最新OSに最新アップデートの状態でいてください」というものです。
２：ところが色々勉強するうちに、脆弱性のあるサービスが実行されていなければ大丈夫…
という話しも説得力のあるものだと感じてしまいます。
３：さらにDOSやOS/2や旧マック専門の掲示板では「安全」と断言しているオピニオンリーダーを多数見かけます。

おそらくfukurou56 さんの御助言も「２に基づいた３」の結論でいらっしゃることと受け止めています。
（勘違いしてましたら済みません…）
私も早く勉強を追い付いて善悪の見分けができるようになりたいと思っていますが、いつももう一歩の所で歯がゆい思いをしてしまいます。

1.4.2未満のJAVA仮想マシンや、もうすぐ切れてしまうMe以下のマイクロソフト製品(IBMOS/2含む)は、カーネルまわりと基本TCP/IPモジュールが既に危険を回避できないのか、「何か」に注意すれば自分で保守しながら使い続けられるのか？という点が、どの議論を見ても今一つ雲を掴むようで悩んでしまいます。

一人で何でもしないといけない零細個人事業者としては、パソコン保守に振り回されずに本業に集中したい、というのが本音であり飯の種にかかわる死活問題です…。

できれば一度築いた環境は壊さずにリプレースメントの手間と費用を減らし、こまめなバックアップと情報収集でハードウエアの寿命まで乗り切るのが理想です。
（そして長期計画として耐用年数に達した機器を乗り換える準備をしたいと思っています）

回答No.1

fukurou56

メーカーで開発の仕事を十数年、自宅でサーバを運用して6,7年の者の個人的意見ですが、

JVN の情報は必要以上に気にする事はないと思います。そのニュースが公表
されるという事は開発元から対策なり修正プログラムが既に公開されている
という事ですから、それを適用すれば良いだけの話です。

それよりは外からウィルス等を持ち込まないに万全を期すほうが良いと思います。
その為にはメールアドレスを不容易に教えないとか、身に覚えの無いメールは
絶対開かないとか、怪しげなホームページには近づかないとか...
OS のアップデートやアンチウィルスソフトでのチェックを定期的にするのは
無論、ルータ or ADSLモデムのフィルターの設定はきっちり設定するとか。

あと、業務で使うという事なら新しい物 (ソフトもハードも) は極力避けるという
のもひとつの考え方です。
以前(今も?)、よく聞いた言葉で「マイクロソフトの初物には手を出すな」という
のがありました。バグ(不具合)が多くて、2,3年は使い物にならない。少なく
とも客先に納入するシステムには使えないと...
これは別に MS に限った話じゃないですけどね。(昔、Apple でも大問題に
なった不具合はあるし、日本最大の自動車会社の車で、新型エンジンが
設計ミスで初期モデルを買ったユーザーの不満の声が渦巻いている掲示板
とかもあったりします)

ウチ(自宅)にはWindowsマシンも何台かありますが、WinXP は入れてません。
(一つ前の Win2000) 別に不満は無いし、枯れた(不具合の出尽くした)
OS の方がアプリケーションとの相性によるトラブルも少ないですから。

お礼

＞JVN の情報は必要以上に気にする事はないと思います。そのニュースが公表
＞されるという事は開発元から対策なり修正プログラムが既に公開されている
＞という事ですから、それを適用すれば良いだけの話です。

どうもありがとうございます。
そうしますと、個人のボランティアが作ってくれているメールソフトなどは対応しきれてない可能性が高いので使わないほうがよい、と考えるべきですね？

＞昔、Apple でも大問題になった不具合はあるし

そうなんですよね…
この心配をマックの掲示板で訪ねると、必ず袋だたきに遭ってしまうのでほとほと困っています。

実は古いマックやOS/2といったJAVA1.3未満しか使えないパソコンも業務の必然上から現役稼動させています。
こういった機種はtcpネットワーク環境から外しておかないと外部の方々に迷惑をかける、ということになりますでしょうか？

そこそこ枯れて、なおかつ最新パッチが適用可能なシステムだけが業務に使用してよいネットワーク環境の解である、という認識でよろしいでしょうか？