世界を動かす技術を、日本語で。

オマルキー開発の実践が予測可能なセキュリティ問題を引き起こす

概要

  • Omarchy 4.0 のセキュリティ問題に対する警告
  • AI生成bashスクリプト による予測可能な脆弱性の指摘
  • セキュリティ対策よりも マーケティング重視 の開発姿勢
  • DHH によるポジティブな広報活動の批判
  • 利用リスクの 正確な説明不足 への懸念表明

Omarchy 4.0のセキュリティ問題

  • Omarchy 4.0 は深刻なセキュリティ問題を多数含有
    • 例: 動画タイトルbashインジェクション、全通知による任意bash実行
  • 予測可能な脆弱性の多発
    • 未検証の入力 処理、AI生成bashスクリプトの無審査利用
  • セキュリティを軽視した開発手法
    • bashスクリプト乱用 による脆弱性温床
    • 本質的なセキュリティ意識の欠如

開発体制とマーケティングの問題

  • Omarchy開発チーム はセキュリティを重視しているふりのみ
    • セキュリティチームの発表よりも 実態重視
  • DHH による積極的なプロモーション
    • Linuxデスクトップ普及を謳い、洗練された体験を強調
    • セキュリティ修正の多さをアピールし 実態を隠蔽
  • マーケティングと現実の乖離
    • 本音は dotfilesの改善 >基本的なセキュリティ
    • 批判をポジティブな態度で封じ込め

利用リスクとユーザーへの説明責任

  • 利用リスク と公的認識のギャップ
    • 正確なリスク説明 をチームが怠る姿勢
  • ユーザーが 誤った安心感 を持つ危険性
  • 利用禁止を推奨する意図はないが、 誤解による被害防止 が目的
  • 公平な情報提供と 自己防衛の重要性

Hackerたちの意見

このタムblrレベルのやり取りは、Linuxコミュニティがもう卒業すべきものだね。

ずっとオンラインにいる連中が、DHHをストーキングすることをライフスタイルにしちゃったみたい。このブログのタイトルは間違ってるよ、全然セキュリティホールについて話してないから。編集:俺は多分使わないLinuxディストロに人が何をしようが気にしないけど、Debianを試してみることを勧めるよ。

AIの台頭って、ソフトウェアエンジニアリングをまるでTumblrみたいにしてる気がするんだよね。近いうちに、大人向けのロブロックスみたいなフォーラムができるんじゃないかな。

「すべては政治的だ」というのを「すべてについて政治を議論しなければならない」と解釈する人が多いよね。私はもう年だから、政治の両側からやられたことがあるし、同じレトリックを使うことも多かった(子供のために考えよう、自由のために戦ってる、ファシズムに立ち向かってる、真のスコッツマンは存在しない、など)。もしかしたら、選挙を超えて本当に立場を選ばなきゃいけない日が来るかもしれないけど、それは今日じゃない。私はただ、政治のキャンプやその中で許容される醜さから離れて、静かに過ごしたいだけなんだ。テクノロジーにはテクノロジーに集中してほしい。

ちょっと情報に疎いんだけど、記事にはあまり触れられてないよね。Omarchyがこんなに有名な人たちから大量の資金援助を受けてるのはどういうこと?数週間前まで全然知らなかったけど、聞いた話ではすごく…うーん、変わった(?)人が作ってるらしいし、急に資金が集まったみたい。何か見落としてる?

主にDHH(Railsのクリエイターで、37signalsの共同創設者)が推進してるよ。彼はフォロワーがめちゃくちゃ多くて、影響力もお金もあるからね。

何もないみたい。Archにいくつかのプリインストールされたアプリとちょっとしたおまけがついてるだけ。俺の予想では、人脈と名声が資金を集めるのに大きく貢献したんじゃないかな。

これはFOSSプロジェクトに見せかけた政治的な声明だね(それ自体は問題ないけど、すべてのソフトウェアは政治的だから)。資金提供者はLinuxディストロの開発にお金を出してるわけじゃなくて、その政治的な声明に賛同してるんだ。

Omarchyは新しい「俺はArch使ってる、ちなみにね」だね。俺はあまり利他的(またはバカ)だから、どうしてリセッティングされたArchインストールにお金を注ぎ込むのか理解できない。どこかで人々は「ストリートクレジット」を買おうとしてる気がするけど、Omarchyはカスタマイズ可能で使いやすいディストロの素晴らしい発進台になるかもしれないし、いつかはすごいMDMソリューションを提供するかもね。

利益目的なしで急速に改善されている強力なUXだよ。人々がワクワクしてるのも納得。Macが昔から知られていた「そのまま動く」体験に一番近いし、古いハードウェアでもサクサク動く。インストール時間も約1分に最適化されてるしね。Ubuntuのアップデートでi3が壊れちゃったから、切り替えたんだけど、仕上がりの違いは歴然。ちょっとした例だけど、i3でZoomを使うとBluetoothヘッドセットをオンにするたびにタイルが崩れちゃってたのが、Zoomがメインの通知システムをバイパスしてたから。ここではその問題が解決されたよ。もう起こらない小さな不具合がたくさんあって、Linuxに対する期待感が高まってるのが嬉しい。大手からは本当に何も生まれてなかったからね。

ただの億万長者が友達のプロジェクトにお金を出してるだけだよ。

歴史的な視点から見ると、今のHNにDHHを知らない人がいるのは驚きだよ。彼は昔のHNシーンで非常に影響力のある声だったからね。Railsの作者で、37signalsにインスパイアされた創業者たちがたくさんいるんだ。HNの黄金時代だね。

Hacker Newsで議論の続きを見る