MewとOpenSSLとstunnelのアップデート(Hearbleedバグ対応 途中編)

OpenSSLのHeartbleed(心臓出血)バグが見つかり、情報流出のニュースも出てきました。

OpenSSLは、大雑把にいうと、ユーザのクライアントコンピュータ(PCなど)が、WebサーバやメールサーバとhttpsやSSLというプロトコルで通信する場合に、ネットワーク経路上のデータを暗号化してくれるソフトウェアです。
今回見つかったバグでは、暗号化されている通信の内容や、秘密鍵を盗聴される可能性があるということです(OpenSSLの該当バージョン(1.01から 1.01f)が使われている場合)。

OpenSSLは、サーバ側(Webサーバやメールサーバ)で使用される場合と、クライアント側(PC, Mac, Linux機など)で使用される場合があります。ですので、サーバ側とクライアント側の、それぞれに対して攻撃される可能性があり、特に今回は、ユーザ情報が集まるサーバ側への攻撃と情報流出がニュースになっています。

サーバ側の対策は、そのサーバの運営者が対応してくれるまでは、ユーザとしては使用を控えるというような消極的なことしか、対応の方法がありません。
よく使用するサービスの場合は、対応状況を確認して、脆弱性のないバージョンになったことを確認したあと、パスワードを変更するようにするとよいと思います。

ところで、ユーザ側は何も対策しなくてもいいかというとそういうこともなく、サーバ側がクラックされたり、悪意のあるサーバを立てられて誘導されたりすると、そこに接続することになるユーザ側のクライアント機もOpenSSLを使用しているとクラックされる可能性があります。

Macの場合、デフォルトの状態ではHeatbleedバグを持つOpenSSLは使用されていないようです。残念ながら、私は、EmacsのMewというメールクライアントを使用しており、MacPortsでOpenSSLとそれを使いやすくしてくれるstunnelというソフトウェアを導入していました。

しかし、MacPortsで、OpenSSLとstunnelをアップグレードしたのですが、Mewが動かなくなってしまいました。今回のアップグレードで、stunnelが5.01になっていましたが、Mewのソースコード(mew-ssl.el)を見ると、Mewはstunnelのバージョン3と4に対応しており、stunnelのバージョンが5だと、バージョン3と認識されるようなコードになっていました。私はそれ以上、自分で修正できるような知識はありませんので、Mewがstunnel 5に対応するまでは、stunnel 4を使用するようにしました。といっても、MacPortsで、stunnel 5をdeactivateして、stunnel 4をactivateしただけです。
stunnel 4でも、使用されるOpenSSLはバグフィックスバージョンなので、当面はこのままでもよいかなと思っています。(Running with OpenSSL 1.0.1g)

$ stunnel -version
stunnel 4.47 on i386-apple-darwin10.8.0 platform
Compiled with OpenSSL 1.0.1e 11 Feb 2013
Running  with OpenSSL 1.0.1g 7 Apr 2014
Update OpenSSL shared libraries or rebuild stunnel
Threading:PTHREAD SSL:ENGINE Auth:none Sockets:SELECT,IPv6

Global options:
debug           = daemon.notice
pid             = /opt/local/var/run/stunnel/stunnel.pid
RNDbytes        = 64
RNDfile         = /dev/urandom
RNDoverwrite    = yes

Service-level options:
ciphers         = ALL:!SSLv2:!aNULL:!EXP:!LOW:-MEDIUM:RC4:+HIGH
curve           = prime256v1
session         = 300 seconds
sslVersion      = TLSv1 for client, all for server
stack           = 65536 bytes
TIMEOUTbusy     = 300 seconds
TIMEOUTclose    = 60 seconds
TIMEOUTconnect  = 10 seconds
TIMEOUTidle     = 43200 seconds
verify          = none

また、Mewもバージョンアップの準備が進んでいる( http://www.mew.org/Beta/, https://github.com/kazu-yamamoto/Mew, http://www.mew.org/pipermail/mew-dist/2014-April/029344.html )ようですので、正式版になったらバージョンアップする予定です。

Safari 6.1アップグレードトラブル

少し前にソフトウェアアップデートでSafari 6.1がリリースされていました。まだ、Mountain Lionを使っています。すぐには上げず、SafariStandなどのPluginや機能拡張が対応しているのを確認・最新版にして、アップグレードしようとしました。
ところが、インストールしたSafari 6.1を起動しても途中で止まったままになり起動しません。調べてみたらGlimsというプラグインをインストールしていたのを忘れていました。Glimsは、/Library/Internet Plug-Ins/というディレクトリにインストールされるため、うっかり見逃していました。
Glimsは、Safariのタブの幅を一定幅以下にしたり、タブにfaviconを表示する機能があります。元々の使用目的はタブを一定の幅以下にすることでしたが、SafariStandにもその機能が含まれていますので、この際使用を止めることにしました。
アンインストールは、/Library/Internet Plig-Ins/からGlimsのプラグインを削除するのではなく、Glimsのインストーラに入っているアンインストーラを使う必要があります。
アンインストール後は、特に問題なくSafariが使えています。

ちなみに、今インストールしている機能拡張とプラグインは以下の図のようなものです。

AdBlockerとParty Pooperは、インストールしてはいますが使っていません。機能的には現在見ているページから第3者のページの表示を制御するという点で似ていると思います。
今のところは、Incognitoで、FacebookやGoogle Analyticsを第3者ページということで外すようにしています。広告はそれほど気にならないのですが、アクセス情報が収集というかトラッキングされているのが気になりますね。

テレコムスクエアのクレジットカード情報流出 (2)

テレコムスクエアの情報流出は、私は対象ではないと思っていましたが、どうもひっかかっていたようです。

テレコムスクエアからお詫びとしてAmazonのギフト券(1,000円)の案内が送ってきました。

自分が当事者になるとは思ってもいなかったので、びっくりです。

クレジットカードは更新しているので大丈夫だとは思いますが。

このような内容でブログを書くことも、個人情報の特定の面からはよくないのかと思ったり。流出した情報を持っている人は、持っていない人より、私を特定するのははるかに簡単ですよね(確率的に)。

テレコムスクエアのクレジットカード情報流出

最近、セキュリティやプライバシーに関するニュースがありました。Macとはあまり関係ありませんが、自分の使っているサービスだったのと、セキュリティはPCの機種や使用状況に関わらず気にしないといけないと思うので、ちょっと書いてみます。

ここでは、テレコムスクエアへの不正アクセスでクレジットカードデータが流出した事件について書きます。
テレコムスクエアでは携帯電話のレンタルサービスをしています。海外出張で何回か使ったことがあったので、自分のデータが該当していないかと心配しましたが、かすったようで大丈夫だったようです(調査が正しければ)。また、上記サイトのリンク先やニュースサイトITProによると該当する人は以下のようです。

（1）2008年7月1日～2013年4月30日に、各法人専用Webサイトを利用した法人ユーザー、（2）2012年6月1日～10月14日に同社の個人向けWebサイトから申し込んだユーザー、（3）個人向けWebサイトで申し込み、2012年10月15日～2013年2月5日に宅配便または空港の返却BOXで返却したユーザー。

クレジットカードのデータが流出して勝手に使われると、金銭的な損失や信用の喪失、クレジットカード会社や場合によっては警察等の対応への時間的損失や精神的なダメージなどかなり大変な状況になります。
今回の事件で一番悪いのは不正アクセスしたクラッカーでしょうが、クレジットカード情報を長期間保存していたサイトにも非があるように思います。テレコムスクエアは、今後はすべて自社サイト運営にしてクレジットカードデータの保存も必要最小限にするといっているので改善されるとは思います。
ユーザ側で、何か防御策があるのかと考えると、利便性を保とうとするとあまり有効な手立てはないように感じます。例えば、以下のような方法は思いつくのですが、

1. クレジットカードを使わずに、現金払い、振り込みを利用
2. 限度額の小さいカードや毎回異なるクレジット番号をくれるサービスの利用
3. 会社で社用のクレジットカードがある場合は、それを利用

クレジットカードの目的が信用をベースにして種々の取引を簡便にすることがメリットだと考えると(*)、1や2の方法は、そのメリットを無くす方向です。また、1は使えないサービスもありますし、2をサポートしているカード会社もあまり多くはなさそうです。クレジットカードをよく使う人だと、2の情報管理の負担も増えそうです。3の方法は、会社によっては利用できませんし、最終的には被害にあう相手が変わるだけです。
どうしたらいいの、とも思うのですが、現状では、利便性とリスクや面倒さを天秤にかけて、自分で選んでいくしかないのかなと思います。後は、カード会社からの利用履歴をちゃんと確認したり、できればセキュリティ関連のニュースも気にするということでしょうか。本来は、ニュースを気にしなければならないのはおかしいでしょうが。

(*) 別の考え方では、クレジットカード会社が、顧客のお金を使いやすくして最終的には、顧客のお金を吸い上げていくビジネスモデルなのかもしれません。

DuckDuckGoという検索エンジン

最近、米国中央情報局(CIA)元職員の情報漏洩事件で、米国国家安全保障局(NSA)が米国市民や国外との通信情報を収集していることを告発し、問題になっていますね。
NSAがさまざまな情報を収集しているということは、過去にもいわれていましたが、今回はより具体的な話が出てきたということになります。
例えば、NSAからGoogleやApple, Facebook, VerisonといったIT企業や通信会社に対して、利用者の情報を提供をするよう要請が出されている等、元職員は話しているようですね。たとえ国といえども、プライバシーに関する情報を勝手に集めるのは許されないと問題にしている人も多いようです。

そんな中で、最近DuckDuckGoという検索エンジンが注目を集めているようです。
DuckDuckGoは、ユーザの情報を収集・保存しないということをポリシーとしている検索エンジンです。収入源は、DuckDuckGo経由でAmazon等のショッピングサイトでユーザが買い物をした場合に入る報酬だそうです。
DuckDuckGoは、アクセス情報、検索履歴等を保存していないため、政府機関から情報提供の要請があっても出す情報自体がないという訳です。(日本では、アクセスログなどを保存しないといけない法律が検討されているようですが)

個人的にも興味があり、どんなものか使ってみました。
検索エンジンなので、その性能自体が悪いと仕方ないので検索の使い心地を調べてみました。全部、体感レベルの話でちゃんとした計測はしていません。
実行速度については、他の検索エンジンと変わらないようです。
また、検索機能についてですが、まずデフォルトの設定で使用すると検索ワードが英語の場合、英語のサイトが多く出てきて、日本語の情報はあまり出てきません。設定で地域(region)をJapanにすると日本語ページも上位に出てきて使いやすくなります。
検索精度の印象ですが、時事的な内容(例えばアシアナ航空の事故など)でも、ちゃんと引っかかるようで特に問題は感じませんでした。専門的な内容だとちょっと物足りない場合もあり、Googleの方がより適切な情報を示してくれることもありました。
DuckDuckGoの精度が悪いというよりは、Googleが私の検索履歴、IPアドレス等を利用してより精度を高めている印象です。
また、DuckDuckGoの方が検索欄に入れる言葉の順序による影響が大きいです。
全体としては、予想よりも使えそうなので、もうしばらく使ってみようと思います。

本当はプライバシーについても書こうとしたのですが、長くなってきたのと自分でも整理できていないことがわかったので、別の機会に書こうと思います。(整理できたかどうかは別にして)

また、気になる人は、ウェブブラウザーのトラッキングやトラッキングクッキー、プライベートブラウジングについての設定も調べるといいと思います。
Safariでは、環境設定->プライバシー->Webサイトによるトラッキング、FirefoxやChromeでも同様の設定があります。ただ、現状ではWebサーバー側で対応しているところは少ないようです。

カーネルパニックのためSophos Anti-Virusのオンアクセス検索を止めたらMacが快適になった

Mac mini (Mountain Lion)でカーネルパニックが発生してから、Sophos Anti-Virus for Macのオンアクセス検索を止めています。これは、Sophosのウェブサイトにも書いてあった対策のひとつです。

アンインストールは今のところしていません。その代わり、ClamXav Sentryで常駐ウイルスチェックをしています。

その結果、、、

セキュリティの話ではありませんが、Macがずいぶん軽くなりました。例えば

1. メモリ使用量が減りました。

Sophos Anti-Virusのオンアクセス検索をオンにしている時は、Macを起動した直後からシステムメモリの使用量が増え始め、しばらくしたら、空きがほぼなくなっていました。16GB搭載していますが、固定中と現在使用中で8GBで、現在非使用中が初め2〜3GBから徐々に増え始め、数時間で8GBほどになっていました。オンアクセス検索を止めた後は、固定中と現在使用中が8GB、非使用中が3GB、空きが5GBで徐々に現在使用中が増え、空きが減っていくようになりました。

2. iPhoneを接続した際の動作が速くなりました。

以前は、iPhone上に同期したミュージックのタブをクリックすると、5~6秒待たされる感じでしたが、今は瞬時に切り替わります。

また、同期ボタンを押してもコピーの動作にやたら時間がかかっていたのですが、これもオンアクセス検索をオフにしたら、かなり速い速度で完了します。

3. 他の動作も早くなりました。

起動直後以前は、Sophosのintercheckプロセスが100%近く消費していたのがなくなったり、アプリケーションをインストールする時、非常に遅くなったりの現象があったのですが、それが無くなりました。また、Javaを使っているアプリケーション(Cyber Duckなど)もほぼ使えないのと同じだったのが無くなり使えるようにました。

Mac mini 2012 lateを買ってからすぐClamXavからSophos Anti-Virusにして、それでもMac mini 2006よりずいぶん速く感動していたのですが、実はもっと速かったようです。

Sophosのサイトに書いてあったカーネルパニックへの対策が、オンアクセス検索のオフの他に、アーカイブと圧縮ファイルの内部の検索のオフ、大容量ディスクの検索のオフがあったのですがそれはClamXavでも対応しているので、機能的に優れている点がわからなくなります。

チェックアルゴリズムやウイルスリストの更新等の優劣になってしまいそうです。後は、Sophosのオンアクセスでは、すべてのファイル(のアクセス時チェック)を対象にしていましたが、ClamXav Sentryでは個人的によくアクセスするフォルダや、/tmpなどの誰でも書き込める場所だけをチェックしているのでそこがSophos Anti-Virusの優位点になりそうです。

また、別の設定を試したりしたらレビューなどを書きたいと思います。

Evernoteにログインできなくなっていました。Evernoteのサイトがクラックされたみたい

昨日(3/4)、会社でニュースサイトを見ていたら、Evernoteのサイトがクラックされたという記事がありました。(ITproの記事など)

記事を読むとパスワードをリセットする必要があるようです。Evernoteはインストールしていますが普段使っていません。ただ、後で忘れると困るのでパスワードをリセットしました。Evernoteを立ち上げるとパスワードを入れるようにいわれます。でも、新しいパスワードを入れてもログインできません。

記事の通りウェブからリセットする必要があるようです。www.evernote.comに行ってそこからログインしようとするとパスワードをリセットできます。
Evernote社もパスワードは、辞書に載っていない文字列にする、他のサービス用のパスワードと同じにしないということなので、別にするのがよいと思います。

また、パスワードがリセットできたらEvernoteから確認のメールが届きます。

特に何もする必要はないようです。

最近、Evernoteもそうですが、AppleやFacebookなどいろいろなサイトがクラッキングに遭ったというニュースを良く聞きますね。いろいろなウェブ上にメールやデータを預けているので心配になります。

Java絡みが多いようですがそれだけではないようです。セキュリティホールはどこかにあると考えるのが正しそうですね。技術的にはレベルが高くても運用の方から破られるソーシャルアタックという経路もありますし。

重要なデータはウェブ(クラウド)に載せないのがベストなのでしょうが、どうしても載せないといけない状況では暗号化する、短時間で消去するなど自衛が必要ですね。

.MaxOSX/environment.plistからPATH変数が読まれないことへの対処 [一部修正]

去年(2012年)の前半頃(まだ、Snow Leopardを使っていた頃)のことですが、NerdToolやcrontabから起動しているスクリプトの一部が動かなくなっていることに気づきました。


暫定的な対応


動いているスクリプトと動かないスクリプトを見比べると、スクリプトをフルパスで起動したり、PATH環境変数を再設定しているものは動いていました。PATH変数が何らかの原因で設定されていないようです。とりあえずスクリプト内の動かなかったコマンドが起動できるようにPATH変数を修正して動くようにしていました。
例えばこんな感じです。

修正前
#!/bin/sh
site_check.sh

~/bin ディレクトリにsite_check.shスクリプトを置いていますので、HOME変数を追加します。HOME変数は設定されていました。また、このスクリプト内から/opt/local/binあるコマンドを起動できるようPATHに追加します。

修正後
#!/bin/sh
PATH=/opt/local/bin:$PATH
$HOME/bin/site_check.sh

原因と対応

PATH環境変数が設定されなくなった原因は、Mac OS Xのセキュリティアップデートでの仕様変更のように思われる(どこかで読んだ記憶がある)のですが、ソースを見つけられませんでした。Security Update 2012-002による変更で、ログインした際に、~/.MacOSX/environment.plist内のDYLD_*変数を読み込まないようにしたという記述はあるのですが、PATH変数については記載されていませんでした。[Appleのリンク]

対処については、

1. アプリケーション内でのInfo.plistでのLSEnvironmentキーを設定する方法
2. /etc/launchd.confを作成する方法
3. 個別のアプリケーション毎にlaunchd.plist (ファイル名は別にするようです)を記述する方法

などがあるようです。

1)は、最も安全だそうですですが、アプリケーションのバージョンアップ等で変更を忘れてしまいそうです。また、アプリケーションによっては使えません。2)は、今までログイン時(個別ユーザ用)に設定していたものを、他ユーザにも影響がでるような形で設定するのは、若干抵抗があります。設定自体は、シェルスクリプトの記法に近く楽そうでよいのですね。
3)は、設定がアプリケーション単位で個別にできるのがよい点です。記述は若干面倒そうです。(使い方はLaunchDaemons (launchctl, launchd.plist) の使い方にわかりやすくまとめられていました)

いろいろ考えた末、以下の方針にしました。方針というほど大げさなものでもないのですが。

1. /etc/launchd.confを使用するが、設定は最小限にする。特に、セキュリティのため、自分のIDの書き込み権がある場所は指定しない。
2. 個別のアプリケーション内の環境設定等で対応できるものは、そこで対応する。NerdToolのシェルスクリプト等、手間がかからないものも各スクリプトで設定する。
3. 1.〜2.で対応できない場合、そのアプリケーション用のlaunchd.plistを作成し、ユーザ領域の~/Library/LaunchAgents で管理する。
4. アプリケーション内のInfo.plistを修正は、バージョンアップ時に修正を忘れたり管理が大変なため行わない。

/etc/launchd.confを設定する前に、現在のlaunchdのPATH設定を調べたところ、以下のようになっていました。
$ sudo launchctl getenv PATH
/usr/bin:/bin:/usr/sbin:/sbin

/etc/launchd.confは存在していないのでこれらは、デフォルトで設定されているのでしょう。また、/etc/pathsは以下のようになっています。

/usr/bin
/bin
/usr/sbin
/sbin
/usr/local/bin

自分のPATH設定に入っている$HOME/bin, /opt/local/bin, /opt/X11/bin, /usr/local/clamXav/binが含まれていませんが、これらはログイン後シェルで使うものが多いので/usr/local/binだけを設定することにしました。それ以外は、.bash_profile等で変更します。

/etc/launchd.confには、

setenv PATH /usr/local/bin:/usr/bin:/bin:/usr/sbin:/sbin

と設定しました。また、/etc/pathsもそれに合わせて/usr/local/binを先頭に持ってきました。

また、crontabやNerdToolなどのシェルは、必要に応じてPATHを追加する方針ですが、現状既にそのように修正しているので基本的にはそのままです。PATHの追加が必要になるのは、ほとんどの場合、$HOME/bin か /opt/local/bin (MacPorts用のパス) です。

感想

environment.plistがサポートされなくなった背景には、Flashbackマルウェアの発生などMac OS Xでもセキュリティを厳しくする必要があるということが挙げられます。Mountain Lionでのsandbox化や承認されたアプリケーションしか基本的にはインストール・起動できないというのもその流れですね。もっと自由にしたいとか、いろいろ意見もあるようですが、今後ますますユーザレベルでも気を付けなければならないのではと思います。

[追記 2013/1/16 ] http://jvn.jp/cert/JVNTA13-010A/ によると、JAVAにまたセキュリティホールが見つかっていますね。注意したいものです。

Sophos Aiti-VirusとCyberduckのコンフリクト

以前の記事でSophos Anti-Virus for MacとFTPクライアントソフトのCyberduckがコンフリクトすると書きました。Sophos Anti-Virusを使っているとCuberduckが起動できません。いつまで経ってもCyberduckがDockでバウンドするだけです。

その後いろいろ試していたところ、暫定的に回避することがわかりました。
Cyberduckを起動する前に、Sophos Anti-Virusの環境設定を開きます。

そして、検索オプションのアーカイブおよび圧縮ファイル内のチェックボタンを外します。

その後、Cyberduckを起動するとコンフリクトすることもなく立ち上がります。
立ち上がった後は、ファイルを転送するので、すぐSophosの環境設定を元に戻します。
さらに心配な場合は、Sophosを圧縮ファイル内も確認する設定の時に、CyberduckをFinder上から確認しておくといいかもしれません。

ネットを調べると、Sophos Anti-VirusはJavaアプリケーションと相性が悪いようです。CyberduckはJavaアプリケーションとは明記されていませんが、パッケージ内に大量のjarファイル(Javaの圧縮ファイル)を持っておりJavaも使われているようです。もしかしたら、非常に長い時間待てば、圧縮ファイル内を確認する設定でも起動はできるのかもしれません。
また、Sopho Anti-Virusはファイルやアプリケーションが保存された時ではなく、読み出しや実行時にチェックを行うために、その確認に時間がかかる場合、コンフリクトするとに見える現象が起きるようです。jarファイル内から更に外部のファイルを読み出していたりすると、外部ファイルがVirusに感染している可能性も考えられるのでSophosの方式が、ファイル保存時に確認する方式より安全性は高いと思われるので、この仕様は変わらなさそうですね。

ClamXavとSophos Anti-Virusの非科学的な比較 [追記]

自宅のMacでは、ウィルスチェッカーとしてClamXavをメインに使っています。Sophos Anti-Virusもインストールしていますが、オンアクセス(常時監視)はしていません。

私の環境で感じたそれぞれの長所と短所を書いてみます。

ClamXav


ClamXavの長所

• Sophos Anti-Virusより軽い(と感じる)。ベンチマークをしたり、同じ条件になっているかわかりませんので(アーカイブの中の検索など)、単なる個人の感想です。

ClamXavの短所

• ClamXav Sentryという常駐プログラムで、あらかじめ決めておいたディレクトリを監視することができます。が、すべてのディレクトリを設定しているわけではないので、ちょっと心配です。
• たまに、ClamXav Sentryが起動はしているのにオフ状態になっていることがあります。

Sophos Anti-Virus for Mac Home Edition

Sophos Anti-Virusの長所

• すべてのファイルをオンアクセス(常時監視)できます。

Sophos Anti-Virusの短所

• コンフリクトするアプリケーションがあります。Cyberduckなど。どちらに原因があるのかわかりませんが。
• 他のプログラムと競合してそのプログラムの速度が遅くなることがあります。Time Machineや、ディスクユーティリティのアクセス権の修復時が多いです。アクセス権の修復はわかる気もしますが、Time Machineでバックアップしている時は何とかする方法はないでしょうか。
• 動作タイミングがおかしいのでは、と思う時があります。例えば、ファイルをダウンロードしたり、ソフトウェア・アップデートが終了した時点では特に何も動作していないように見えて、その後、intercheckプロセス(Sophos Anti-Virusの一部)が、CPUを100%近く使い続けることが時々起きます。多分チェック自体はちゃんとされているのでしょうが、気になりました。

その他
どちらも、Widowsのウィルス(かアドウェア)は見つけてくれた実績はあります。また、ウェブなどで調べてもどちらも評価はそれなりにいいようです。Macのウィルスは見つかったことはありません。

改めてこうして見ると、ClamXavを使ってはいますが、私のMacの性能が高ければ、Sophos Anti-Virusを使うという手もあるのかなと思いました。Cyberduckとのコンフリクトについては解決してほしいですが。
[追記: CyberduckとSophos Anti-Virusのコンフリクトの一時的回避方法の記事を書きました]

インターネットからのアプリケーションが起動されて、セキュリティが気になる時

たまに、インターネットからダウンロードされたアプリケーションが意図せず起動される時があります。
例えば、Safariを使っていて、Flash Playerのアップデータが見つかった場合などです。

こんな場合、みなさんはどうしていますか。
私は、Dockに現れたアプリケーションをFinderに表示してから、上の図のように「開いてもよろしいですか?」と聞いてくるウィンドウを一旦キャンセルしています。

その後、今回のようにある程度素性がわかっているアプリケーションの場合は、簡単にウィルスチェックなどしてから、改めて起動しています。私のMacではClamXavをメインに使っています。
ウィルスチェックがOKになった後、よく知らないアプリケーションの場合は、ウェブで検索して問題ないと判断すれば実行しますが、わからない場合、基本的には無視することにしています。本当に必要なものだったら、そのうちまた現れてきて、ウェブにも情報が上がってくると思います。

それから、ソフトウェアのアップデートをした時、すぐにインストーラが起動する場合があります。こういう場合もウィルスチェックや中身の確認をある程度できる場合もあります。
下の図は、ClamXavのエンジン(ClamAV)のアップデータをインストールしようとしているところです。

ここで、タイトルバーのパッケージアイコンを右クリックすると、下の図のようにそのパッケージが保存されているフォルダの階層が表示されます。

ここで、位置階層上のResourcesフォルダでマウスを離すと、対象のパッケージが選択された状態でそのフォルダが開きます。ClamXavのResources領域にアップデートパッケージがダウンロードされるんですね。

このパッケージファイルに対してウィルスチェックをすればよいと思います。
また、QuickLookにSuspicious Packageというジェネレーターがあり、それを使うとインストールされるファイルや、インストールスクリプトを見ることができます。私は、インストール先を見るときにたまに使うぐらいで常用しているわけではありませんが。

Sophos Anti-Virusのような常時チェックするタイプのウィルスチェッカーを使えば良いのかもしれませんが、ちょっと私の環境では不具合があり、ClamXavをメインに使っています。

Google Notifierをセキュア接続(https)にする

Gmailを使っていて、その通知にGoogle Notifierを使っています。
このブログもGoogleのサービスで、あまりGoogleに頼り切るのはどうかとも思うんですが、便利なので。。

Gmailは、いつのまにかhttps接続がデフォルトになっていますが、Google Notifierはhttpかhttps接続かよくわかりませんでした。
そこで、ググると(あぁ、ここにもGoogleが)、いろいろエントリが。
例えばMac OS X Hintsがありました。けっこう、古い記事ですね。

メニューバー上のGoogle NotifierのアイコンメニューからPreferences...を出して、

command + option キーを押しながらマウスで開くと、Defaults Editorが開きます。

Key欄 → SecureAlways
Value欄 → 1
を入れて、Setボタンを押せば終了です。

これで、Google Notifierもhttps接続で新着メールを確認するようになると思います。