「公開URLの掲載をハックと見なされる」記事へのコメント

セキュリティホールは積極的に公開されるべきか？

[Anonymous Coward]

ハックと表現されると違和感ありまくりですが、
発見されたセキュリティホールに対してどう行動すべきか、
と考えた場合、掲載停止は妥当な判断に思えます。

セキュリティホールに関する情報自体は、
社会全体のセキュリティの向上のために公開すべきですが、
問題のURLを公開したからといって何かの役に立つことはないでしょう。
このケースでは、単に、アクセス制限すべきURLを公開していたアホな管理者がいた、
という情報だけ公開すれば済む話です。

今回は結果として、問題のURLはアクセスできなくなり、
事件自体は記録に残り、セキュリティホールを公開したサイトも引き続き運営されているので、
経緯はともあれ、無難な形で落ち着いたのではないでしょうか。

Re:セキュリティホールは積極的に公開されるべきか？

[Anonymous Coward]

誤：穴があったら入りたい。
正：穴があったら入りたい。

Re:セキュリティホールは積極的に公開されるべきか？

[127.0.0.1 (33105)]

誤と正でどう違うのかしばし考えこんでしまいましたよ。

Re:セキュリティホールは積極的に公開されるべきか？

[tsukasa_souya (26294)]

自分も今やっとわかりました。

--
ヽ(・Д . )ﾉ

Re:セキュリティホールは積極的に公開されるべきか？

[nim (10479)]

＞このケースでは、単に、アクセス制限すべきURLを公開していたアホな管理者がいた、
＞という情報だけ公開すれば済む話です。

ということですが、「アクセス制限すべきURL」かどうか、サイト運営者以外がどうやって判断するのですか?
「アクセス制限しているものの、穴があって見られてしまう」ならわかりますが。

「自分でリンクを張ってないから、公開してないんだ」なんてのは、いくら何でも通らないでしょう。

Re:

[Anonymous Coward]

> 発見されたセキュリティホールに対してどう行動すべきか、
> と考えた場合、掲載停止は妥当な判断に思えます。

えー？サービス停止の方が妥当じゃないの？
もしくは、URLを変更するか。

そっちの方が自発的に問題を回避できて、
楽じゃないですか。

何で見ず知らずの人を捉まえて「公開やめてくれ」なんて、
めんどくさい事を頼む必要があるの？

Re:

[Anonymous Coward]

> このケースでは、単に、アクセス制限すべきURLを公開していたアホな管理者がいた、
> という情報だけ公開すれば済む話です。

予想される反応。
・ソースは?
・妄想乙

なので公開なんかせずに
JPCERT/CCのような組織に連絡
↓
組織から当事者に連絡
↓
対応が完了したら組織が事例として公表
みたいので良いのではないかと。

# この場合、JPCERT/CCが適当な組織なのかどうかよく分らずに書いてますが。

Re:

[Anonymous Coward]

セキュリティーボールや脆弱性は、何の対価もなくただで教えてもらえるものだ。対策が済むまで発見者が公開を控えるのは当たり前だ。
などと思いこんでいる企業や一般人が多いと思いますが、あまりないがしろにしていると手痛いしっぺ返し [srad.jp]を喰らうことになるかもしれませんよ。

# 余計な義務や面倒ばかりかかるのに報告なんて。

Re:セキュリティホールは積極的に公開されるべきか？

[Anonymous Coward]

インターネットって、もっと相互扶助の精神に満ち溢れたものだと思ってたよ。
昔はanonymous FTPというものがあってのぅ、セキュリティーボールを投げあったりしたもんじゃ。:-P

Re:セキュリティホールは積極的に公開されるべきか？（オフトピ）

[Anonymous Coward]

げっ、ボールになってる。
ホールとかボールとかゴールとかよく打ち間違えるんだ

# 恥の上塗りにならないようにコソコソと匿名の臆病者として投稿

Re:

[Anonymous Coward]

ボールは投げるものだけどホールとゴールは入れるものですね。