安全性への取り組み

ウイルス検査は既知の脅威しか止められません。シグネチャにない 新種が 1 本すり抜けた時点で終わり、では守りとして成立しないため、 すり抜けたものの被害を封じ込める仕組みを別に用意しています。

投稿された HTML5 ゲームは任意の JavaScript を実行します。これをサイト本体と 同じドメインで配信すると、ゲーム内のスクリプトから本体の Cookie・ localStorage・DOM がそのまま読めてしまい、ログイン中の利用者になりすませます。 そこで GAMEYARD では、投稿ゲームをサイト本体とは別のドメインから配信し、sandbox 属性付きのフレーム内で動かしています。

遮断するのはブラウザの同一生成元ポリシーであって、当サイトのコードではありません。こちらの実装にミスがあっても守りが消えないのが、この構成を選んだ 理由です。

なお、公開に使うのはブラウザから再送されたファイルではなく、サーバーが検査時に 保管した実体です。検査を通した後に別のファイルへすり替える余地をなくすためです。

クライアント側の検証は安全性の根拠にしない

投稿フォームにも入力チェックはありますが、これは入力の作法を整えるためのもので、 安全性の判断は一切していません。ブラウザ側の検証は投稿者が自由に迂回できるため、 サーバーが自分で検査した結果だけを根拠にします。

圧縮爆弾は検査エンジンにも渡さない

構造検査で圧縮爆弾と判定したファイルは、ClamAV にも渡しません。渡せば今度は 検査エンジンが展開を始めて CPU とメモリを消費し、攻撃者の狙いどおりになります。 すでに拒否が確定しているものに計算資源を使わないのが正しい対応です。

検査できないものは通さない

パスワード保護された zip、検査エンジンの停止、エンジンによる検査の打ち切り。 いずれも「危険とは断定できない」状態ですが、「安全と確認できていない」状態でも あります。この場合は公開しません。判断に迷ったら安全側に倒します。

受付上限は「検査が実際に届く範囲」から決めている

zip 全体 200MB・ファイル数 5,000・単一ファイル 200MB という上限は、切りのいい 数字ではなく実測から決めた値です。検査エンジンには自身の上限があり、それを 超えたファイルは中身を一切開かずに打ち切られます（実測: 360MB の zip は 1.4 秒で打ち切り）。またファイル数 21,000 件では検査が時間上限に達します。 受け付けてから「検査できませんでした」と返すのは、投稿者に数百 MB を無駄に 転送させるうえ、こちらも「検査済み」と言えない作品を抱えることになります。

上限の内側で検査が本当に奥まで届いているかは、既知のテスト検体（EICAR）を アーカイブの末尾・入れ子の内側・5,000 ファイル目の後ろに置いて検出されることを 自動試験で確認しています。上限を変えるときはこの試験を通すことが条件です。

「検出できる状態か」を確かめてから受け付ける

検査エンジンに接続できても、定義データベースが壊れていれば「何も検出しない エンジン」として動き続けます。その状態の応答は「すべて問題なし」と区別が つきません。そのため起動時と、zip を受け取るたびに、 検出されるはずのテスト検体を実際に投げて、検出されることを確認しています （同じ結果は 5 分だけ使い回します）。確認できない間は投稿を受け付けません。

拒否の理由は投稿者に開示する

「危険でした」とだけ返しても投稿者は修正できません。どの段階の、何という検査 ID が、どのファイルに反応したかまで開示します。誤検知だった場合に異議を申し立てる 材料にもなります。

検査の回避方法を見つけた場合は [email protected] までご連絡ください。公開前に 修正する時間をいただけると助かります。報告者のご希望に応じて、修正後に謝辞を 掲載します。

投稿の手順は ゲームを投稿する、 掲載できる作品の基準は 投稿ガイドライン をご覧ください。