パスワードを忘れた？ アカウント作成
Close
7925 story

IPAが脆弱性の通報・告知・公開の体制作りを提言 52

ストーリー by Oliver
CERT/IPA 部門より

lunatic_sparc曰く、"IPAはソフトウエアやWebサイトの脆弱性情報を受け付ける窓口を7月に設置することを公表した。（日経ITProの記事）「IPAからの通知後に，サイトの運営者が何も対策をせず情報漏洩などが発生した場合，サイト側が何も知らなかったと責任を逃れることは難しくなる」という点は一歩前進として評価したい。Webサイトにおける脆弱性発見及び対処プロセスは『そのサイトの利用者（利害関係者）が脆弱性を発見してしまった場合、あるいは疑った場合』が一般的ケースとされていると思われるが、ACCS事件のような『不正アクセス、もしくはぎりぎりの為にする脆弱性チェック』についてどうあるべきかには報告書[pdf]の4.4.1の辺りに記述があり、概ね社会通念に合致したものとなっているようだ。今後、公的ルールについてはパブリックコメントも募集するらしいので一言ある人は応募してみてはどうだろう。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IPAが脆弱性の通報・告知・公開の体制作りを提言 More

  • 他の報道 (スコア:2, 参考になる)

    by Anonymous Coward on 2004年04月09日 11時44分 (#528871)
    個人的には、PCWEB と ITmedia の記事が深いところまで書かれていて参考になると思いました。

  • 高木浩光氏の日記 (スコア:1)

    by cloudy (1160) on 2004年04月09日 12時34分 (#528933)
    高木浩光氏の4/7の日記 [hatena.ne.jp]より。
    現時点では法的拘束力がないため、本当にメーカーが対応してくれるのか、発見者の行為が免責されるとは限らないため、発見者は本当に通報してくれるのかなど、心配なところはある。今の段階で可能な現実的な落とし所に落ち着いていると思うが、いろいろと意見を公開メーリングリスト等で表に出していただけたらと思う。
    • > 公開メーリングリスト等で表に出していただけたらと

      スラドにゃ期待してませんと。そうですか。(`_ゝ´)ﾌﾝ

    • 発見者の行為が免責されるとは限らないため、

      まあ、妥当かと。 法を侵さず他人に損害を与えず行動すれば問題無い訳で、何故に免責が必要なのかってのがちょっとね。

      下手に免責すればバレバレのヘタレクラッカーの逃げ場になってしまい

      • Re:高木浩光氏の日記 (スコア:1, 参考になる)

        by Anonymous Coward on 2004年04月09日 20時12分 (#529270)
        > 何故に免責が必要なのかってのがちょっとね。

        報告書によると、

        3)については、不正アクセス行為に該当するが故意がないケース（この場合の「故意」と は、アクセス制御による制限を免れる目的であることをさす。故意が認められなければ罰 せられることがない）であり、上記の枠の例としては適当でないとの意見もあった。本報 告書では、発見者の届出が望まれるケースの例示として、本節で紹介することとした。 ただし、上記のような形で、脆弱性の発見を目的とした検査を、ウェブサイト運営者の許 可なく実施することを奨励するものではない。
        というのがあって、たしかにこういう故意でなく見えてしまったケースは、届出窓口があると有効だと思う（でないと２ちゃんに晒して被害出す奴が出てくる）けど、「違法だけど罰せられない」というのが気にかかります。免責というのかはわかりませんが。
        シェア
        親コメント
        • >「違法だけど罰せられない」というのが気にかかります。
          別にこれに限定された事ではなく、大抵の法律ではそうなっておりますが。
          • > 別にこれに限定された事ではなく、大抵の法律ではそうなっておりますが。

            「罰はないけど違法は違法だ」
            という状況が善良な小市民としては怖い感じがするのですが、
            他の法律で、日常感覚的に理解できる同様のケースというのは
            何かあるでしょうか。それを聞くと理解しやすそうです。

  • 素直に歓迎 (スコア:1, 参考になる)

    by Anonymous Coward on 2004年04月09日 13時00分 (#528966)
    「IPAからの通知後に，サイトの運営者が何も対策をせず情報漏洩などが発生した場合，サイト側が何も知らなかったと責任を逃れることは難しくなる」
    これを今やろうとすると、発見者個人が結構面倒なことになりそうな。

    てか、現に某プロバイダにセキュリティーホールの連絡したんだけど、 2ヶ月たっても何も対策していないんだよね。
    通販サイトの注文ログとかダダ漏れ…イヤ、見てませんよ、想像ですｗ
    #自分が契約してるバイダではないが

    2chあたりでスレ立てれば祭りになって当然対策もするだろうけど、個人情報漏出は避けられないし、匿名での連絡じゃないので自分自身がマズーなことになっちゃう。
    かといって放置しておくと…あまりにも簡単なので早晩見つかるだろうし…
    早く対策しろとツンツンして逆切れされても困るしね。

  • 気になったのは (スコア:1)

    by BIWYFI (11941) on 2004年04月09日 13時16分 (#528985) 日記
    今回の報告で気になった点が２点。

    　まず、内容を見ると、JPCERT/CCに異様な負荷が掛かる気がするのだが、財源については記載されていない。これ、どうなるんだろ？

    　あと、不特定多数が参加するオープンソースプロジェクトだと、今回の、「対策するまで関係者以外には秘密にする」方式が機能しない。大物については、セキュリティ担当専任者が必要になるのか？
    　
    --
    -- Buy It When You Found It --

  • 強制力もないわけで.. (スコア:0, 荒らし)

    by yasudas (5610) on 2004年04月09日 5時44分 (#528780) 日記
    イッポゼンシン...

    とは言いながら、これってば「受け口作ったけど、流し先考えてない」と
    いうのと、同じではないかな？やはり、脆弱性を持ったサービスを提供した
    側に、「対応しなけりゃ銭や会社自身を失うよ」といったことでないと、「
    聞いただけぇ、ふーん、ぜーじゃくせーって食べたことないっす」みたいな
    ふぁあすとさーばや、開き直るよせふあんどれおんとか、「訴えるもん！」
    なサーバーノーガード一つ覚えなえーしーしーえすみたいなのは、後をたた
    ないのとちゃいますか？

    • Re:強制力もないわけで.. (スコア:2, 興味深い)

      by mikiki_7 (7109) on 2004年04月09日 9時55分 (#528815) ホームページ
      自分も読んでみたけど結構な疑問点が…
      「ウェブサイト運営者」って言葉が多く使われてたけど
      文中にある通り「コンテンツの対外的な所有者」を意味してるようで
      実質、運用してる管理会社や開発会社は指さないんですなぁ…

      そんな方々に脆弱性の及ぼす影響を正確に把握とか
      影響の大きさを考慮した修正をしてIPAに連絡とか
      スタンダードにならんと思ってみたりするわけなのですが…

      #理想としては良いのだけれど高望みしすぎだと思ったというのが正直な感想
      シェア
      親コメント

      • Re:強制力もないわけで.. (スコア:2, 参考になる)

        by QwertyZZZ (8195) on 2004年04月09日 10時53分 (#528840) 日記
        >「ウェブサイト運営者」って言葉が多く使われてたけど
        >文中にある通り「コンテンツの対外的な所有者」を意味してるようで
        >実質、運用してる管理会社や開発会社は指さないんですなぁ…

        対象が「実際に運用されているサイト」だと考えれば妥当でしょう。

        通常、管理会社に運用変更を独力で行う実権は無いし、開発者ってのは予めライセンスで謳ってでも以内限り、他人の運用に口出し出来ないわけですし。

        運営者であればその点、修正を依頼するなりサイトを閉じるなり代替品に置きかえるなり、対処が可能ですから。

        ま、確かに実効率は疑問ではある。
        だけども、運営者に「IPAからの通達があった」という事がそれ相応の意味があるって状態になればそれで成功だと思いますが。

        ＃が、その為にはIPAが「それなり」の行動を取らないといけない訳で、 そちらにも疑問があるのは確かですが。

        シェア
        親コメント

      • 運営責任者か、実担当者か (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2004年04月09日 12時56分 (#528964)
        「ウェブサイト運営者」って言葉が多く使われてたけど
        実質、運用してる管理会社や開発会社は指さないんですなぁ…
        担当者にだけ直接連絡したら、それこそ事実隠蔽（なかったことに）される可能性が高まるのではないでしょうか。不祥事を一番隠したい、隠せると思うのは、運用している管理会社とかではないですかね。

        従来の、個人が直接通報するしかなかったときは、たしかに運営者に話しても話が通じないということはあったでしょうね。だけど、IPAからの連絡となれば、どこの馬の骨かわからんフザケたハンドル名の人からの連絡のときと違った対応になるでしょう。

        そんな方々に脆弱性の及ぼす影響を正確に把握とか
        影響の大きさを考慮した修正をしてIPAに連絡とか
        当然、運営者の監督の下、管理者とか開発者が対応するんでしょ？ それが組織ってもんです。
        シェア
        親コメント

    • Re:強制力もないわけで.. (スコア:2, 参考になる)

      by BIWYFI (11941) on 2004年04月09日 13時07分 (#528970) 日記
      　今回のは、行政側での対応報告だから、強制力を与える立法や制裁を加える司法関連に言及しないのが当然。
      　実際、内容的には、現行法や裁判の行方等を検討しつつ、現実的な対応方法を示した物で、（この資料に限るが）三権分立が適確に機能している。

      　それに、現段階では、セキュリティ関連についての一般的な見解というものが無い訳で、立法したくても具体的項目が作れない、裁判所も判断に悩んでいるのが実態。
      　今回は、その一般見解となるべき「ガイドライン」を示すことが目標で、これが定着すると、個人情報保護法などに罰則が追加されたり（現法案では発効しても罰則の無い努力目標に過ぎない）、裁判の際の目安になるので、企業側も対策する必要性が生じたりする。
      　その意味では、確かに「一歩前進」である。
      　
      --
      -- Buy It When You Found It --
      シェア
      親コメント

    • yasudas絶好調 (スコア:0)

      by Anonymous Coward
      あえて釣られてみるテスト。

      一応聞いてみるけど、なぜそこまで捻じ曲げる必要があるの?

      • Re:yasudas絶好調 (スコア:2, 興味深い)

        by Anonymous Coward on 2004年04月09日 9時59分 (#528819)

        　　ま　た　y a s u d a s 　か　！

        なのだが、同じく
        あえて釣られてみるテスト。

        >>脆弱性を持ったサービスを提供した側に、「対応しなけりゃ銭や会社自身を失うよ」といったことでないと

        ここで強制力を持たせるようにするには、現状の参入規制のない状況を改善する必要があります。（もちろん匿名やオープンソースやそれに類するものも影響を受けるでしょう）

        こういう議論に必ず出てくる「強制・規制論者」は、以下のことを踏まえて議論を展開する必要があります。『ISPサービス自体』とかなら、通信事業者としての規制が可能ですが、同様のことについて cgi サービスや、cgi コードの提供者にそのような規制が必要なのか、ということが顧みられなければならないでしょう。

        ＃個人的には Windows の品質問題の方が大問題で、それこそ公的権力が強制的に介入すべきプライオリティは高いと思うけどね。

        実際問題、サービスやコードを提供することは自由なわけで、自由な流通を支えるのは利用者側の賢い「選ぶ目」、「使い方」でしょう。
        と言うと「やっぱり河合容疑者は正しかったんだ」と脳内ショートする人もいるかもしれませんが、他人の管理物を攻撃することの是非とは論点が異なるのでごっちゃにしないよう。

        利用者側の啓蒙普及、と言う点では「暮らしの手帳」のような方法が一番望ましいのではないかと考えます。

        『テストはするが、自分で買った自分のものに対してテストする』ってことですね。もちろん、このやり方では自社開発のシステムや非オープンなシステムでの提供サービスのテストはできませんが、地道な一歩は「そこから」なのではないかと思います。
        「地道はいやだ」、「注目を集めて目立ちたい」では第二、第三の河合一穂が出るだけで、一般社会の目はより厳しくなるだけです。


        ##なお、このコメントにyasudasuがとんちんかんなコメントを付けても釣られないのであしからず。
        シェア
        親コメント

      • Re:yasudas絶好調 (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2004年04月09日 8時58分 (#528801)
        一発目ゲットでおちゃらけるのって、スラドの伝統と化してません？ところで、

        「これまで一般ユーザーが脆弱性を確かめようとしても，不正アクセス禁止法などの法律に違反すれすれの行為をしなければ調査できなかった。これからはIPAに報告してくれれば，こうしたリスクを回避できるようになる」

        ここあたりも、素直に評価出来るのでは無いでしょうか。
        シェア
        親コメント

      • Re:yasudas絶好調 (スコア:0)

        by Anonymous Coward
        （オフトピ失礼）

        ファーストポストに対して何らかの規制があった方がいいんじゃないでしょうか。

        例えば、ファーストポストだけは：
        　・一定時間ファーストポストできない、とか
        　・ACでは投稿できない、とか
        　・5分以上かけないと投稿受け付けない、とか
        　・一定カルマ以上じゃないと受け付けない、とか
        　・一定数以上マイナスモデがついているとだめ、とか

        まぁ

    • 強制力？ (スコア:0)

      by Anonymous Coward
      強制力と言ってもピンキリな訳で、どういうものをイメージして
      そう書いてるのか片鱗も書いてないと無いものねだりでしか
      なくなると思うけど？

      きちんとやるならまず法を改正してからやれ！(一例)、という意図なら
      そう書くべきだ。強制力と言葉で書くのは簡単だが、実体不定じゃ議論には不適だ。

      • Re:強制力？ (スコア:0, フレームのもと)

        by yasudas (5610)
        >きちんとやるならまず法を改正してからやれ！

        もし、法が必要なら改正なり作ればよいわけですし、
        法以外の手段があるなら、それを採用すればよいわ
        けです。

        >実体不定じゃ議論には不適だ。

        つまり、目的を考えて手段を模索することができないと
        いうかたわな方がいるということですね。
    • いつ誰が、これで完成と言ったかね？
      • >いつ誰が、これで完成と言ったかね？

        未完成にしても、杜撰であるという指摘なんですが、
        それは理解できませんか？

        イッポゼンシンと、認めているわけなんですけどね。

        # つまりは、今起こっていることには、何も影響しない
        # という事ですよ。

        Anonymous Cowardさんって、文も読めないのかな？
        シェア
        親コメント
        • > 杜撰であるという指摘なんですが、
          > 今起こっていることには、何も影響しない

          > イッポゼンシンと、認めているわけなんですけどね。

          両立し得ないことをあんたは言っているわけだが。

          全く前進していないのか、
          じつはいくらか影響するのか、

          どっちなんだよ。
          • >両立し得ないことをあんたは言っているわけだが。

            はぁ？一歩前進したが、実効はないということだよ。
            一歩前進だけで全部クリアにするという気違いじみた
            妄想を持っているAnonymous Coward って多いのかな？

            >全く前進していないのか、
            >じつはいくらか影響するのか、

            形態を作るが、その過
        • だから未完成のものに[杜撰]とかいう完成度の評価をしてる時点でダメなんだよ。
          そういう所はこれから詰めて行けばいいの。受け皿の流し先も、何もかも。

          そもそもまだ出来てないんだから、現状に影響するはずがないじゃん。頭悪いね。
    • あの、いきなり強制力あったら怖いと思いません？
      まあ、あなたは逆に強制力あったらあったで(以下略
    • 法整備も法的判断も無しの強制力って、そっちの方が危険だよ。

      つまり、IPAが気に入らないサイトは全て潰して良い。その判断基準はIPAが勝手に決めて良いって事？

      それなら私は現状の紳士協定的ネット環境で脆弱性を持ったサイト山盛りの方がまだマシですな。
      少なくとも理不尽に一方的な判断を押しつけられる心配は無い。

typodupeerror

UNIXはただ死んだだけでなく、本当にひどい臭いを放ち始めている -- あるソフトウェアエンジニア