---
generated_at: 2026-02-18 16:10:00
metrics:
  claims_total: 28
  claims_with_evidence: 25
  claims_without_evidence: 3
confidence_derived: 0.89
---

# 根拠レポート：セキュリティ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.89**
  - 根拠あり：25 / 28、根拠なし：3
- 優先レビュー（高）
  1. **サードパーティプラグインのセキュリティ責任**：プラグイン審査プロセスの明確な根拠なし
  2. **OSSF Scorecardの具体的スコア**：実行結果の直接確認なし
  3. **24時間ロック自動解除**：コード内コメントからの推測

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `oh-my-zsh.sh` (メインエントリーポイント)
- E-02: `lib/compfix.zsh` (コンプリーションセキュリティ)
- E-03: `tools/check_for_upgrade.sh` (自動更新)
- E-04: `tools/install.sh` (インストーラー)
- E-05: `tools/upgrade.sh` (アップグレード処理)
- E-06: `tools/uninstall.sh` (アンインストール)
- E-07: `lib/history.zsh` (履歴管理)
- E-08: `lib/diagnostics.zsh` (診断機能)
- E-09: `SECURITY.md` (セキュリティポリシー)
- E-10: `.github/INCIDENT_RESPONSE_PLAN.md` (インシデント対応計画)
- E-11: `.github/workflows/scorecard.yml` (サプライチェーンセキュリティ)

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | システム認証はOSレベルに委譲 | E-04 | ○ |
| C-02 | sudo権限確認にuser_can_sudo()を使用 | E-04 (L88-114) | ○ |
| C-03 | hist_ignore_spaceで機密コマンドを除外 | E-07 (L46) | ○ |
| C-04 | umask g-w,o-wでパーミッション設定 | E-04 (L291) | ○ |
| C-05 | compauditでセキュリティ監査 | E-02, E-01 (L127-129) | ○ |
| C-06 | ZSH_DISABLE_COMPFIXで安全でないディレクトリ制御 | E-01 (L124-133) | ○ |
| C-07 | $ZSHの所有者・書き込み権限チェック | E-03 (L28-29) | ○ |
| C-08 | GitHubとの通信にHTTPS使用 | E-03 (L52-53), E-05 (L197-199) | ○ |
| C-09 | git://からhttps://への自動移行 | E-05 (L197-199) | ○ |
| C-10 | curl/wgetで2秒タイムアウト設定 | E-03 (L73-77) | ○ |
| C-11 | コマンド履歴にタイムスタンプ記録 | E-07 (L43) | ○ |
| C-12 | share_historyでセッション間共有 | E-07 (L48) | ○ |
| C-13 | 履歴削除時の確認プロンプト | E-07 (L10-13) | ○ |
| C-14 | 診断ダンプ時の機密情報警告 | E-08 (L96-98) | ○ |
| C-15 | .zshrc.pre-oh-my-zshへのバックアップ | E-04 (L333-378), E-06 | ○ |
| C-16 | Zshバージョンチェック | E-01 (L11-39) | ○ |
| C-17 | エミュレーションモード検証 | E-01 (L43-46) | ○ |
| C-18 | コアコマンド再定義チェック | E-08 (L251-307) | ○ |
| C-19 | ソーシング検出保護 | E-05 (L12-14) | ○ |
| C-20 | OSSF Scorecardによるセキュリティスキャン | E-11 | ○ |
| C-21 | 脆弱性報告先: security@ohmyz.sh | E-09 (L21-22) | ○ |
| C-22 | GitHub Security Advisoriesの利用 | E-09 (L20) | ○ |
| C-23 | インシデント対応プロセス（トリアージ等） | E-10 | ○ |
| C-24 | ロックファイルによる並行更新防止 | E-03 (L167-179) | ○ |
| C-25 | 更新モード（prompt/auto/reminder/disabled） | E-03 (L7-13) | ○ |
| C-26 | 24時間経過後のロック自動解除 | E-03 (L170-173) | △ |
| C-27 | サードパーティプラグインはユーザー責任 | **根拠なし** | △ |
| C-28 | OSSF Scorecardの具体的効果 | E-11（設定のみ確認） | △ |

## 4) 不足情報（Unknown / Missing）
- **C-26（24時間ロック解除）**: コード上は3600*24秒の計算があるが、ドキュメントとしての明示的な仕様記載がない
  - 候補：README.md / 公式ドキュメント / コードコメント
- **C-27（サードパーティプラグイン責任）**: プラグイン審査プロセスやセキュリティガイドラインの明文化がない
  - 候補：CONTRIBUTING.md / プラグインガイドライン / セキュリティポリシー
- **C-28（Scorecard効果）**: ワークフロー設定は確認できるが、実際のスコアや結果は確認できていない
  - 候補：GitHub Security タブ / SARIF レポート

## 5) リスクフラグ（レビュー観点）
- **0（低リスク）**: 認証・認可・履歴管理 - OSレベルおよびファイルシステム権限に依存しており、適切に設計されている
- **0（低リスク）**: 通信セキュリティ - HTTPS強制、タイムアウト設定が実装されている
- **1（中リスク）**: サードパーティプラグイン - ユーザーが導入するカスタムプラグインのセキュリティ審査プロセスが不明確
- **0（低リスク）**: 更新機構 - ロック機構、権限チェック、ロールバック機能が実装されている
- **0（低リスク）**: インシデント対応 - 対応計画が文書化されている

## 6) レビュアーチェックリスト（最小）
- [ ] C-26: `check_for_upgrade.sh` L170-173のロック解除ロジックが仕様通りか確認
- [ ] C-27: カスタムプラグイン導入時のセキュリティガイドライン作成の要否を検討
- [ ] C-28: GitHub Security タブでOSSF Scorecardの実際のスコアを確認
- [ ] compaudit警告時のユーザー対応手順が明確か確認
- [ ] hist_ignore_space以外の機密情報保護オプションの網羅性を確認
