「セキュリティ研究者らが Microsoft のゼロデイ脆弱性の詳細を相次いで公開」記事へのコメント

なにこれ

[Anonymous Coward]

>Google の研究者の Tavis Ormandy 氏が Windows XP のゼロデイ脆弱性を公開した際に
>Microsoft から非難を受けた事にも示される「セキュリティ研究者への敵意」に対抗するため、

こんなやり方ありなの?
Microsoftじゃなくて、Googleのほう。

MSに報告したところ無碍にされた

[jsi (25633)]

善意で(仕事で?)MSに報告してパッチをお願いしたところ、
MSはユーザを危険にさらし続けることを選択したそうです。

http://japan.cnet.com/sp/zeroday/story/0,3800105600,20415213,00.htm [cnet.com]
Ormandy氏は、60日以内にパッチを準備するようMicrosoftと5日間「交渉」して物別れに終わった後、悪意のあるハッカーがこの種のセキュリティホールを悪用する可能性を考えて、情報を公開することを決めたと述べている。

Re:

[Anonymous Coward]

その情報だけだと
「MSが60日以内にパッチが用意できないならユーザーを危険にさらしてやれ！」
というテロリズムにも見える

脆弱性そのものを公開する前に、もっと他の取るべき対応はなかったのか？

Re:

[jsi (25633)]

修正されなかったこと vs 公開されたこと で単調に議論
されているけど、60日での修正が困難と回答した
MSの判断が正しかったのかどうか、ソフトウェアエンジニアリング
の観点からもっと議論されるべきですね。

MSがセキュリティの問題を60日で修正する能力がないのであれば、
別のソフトに乗り換えるというユーザもいるのではないでしょうか。
氏は60日が十分な期間だと思ったから公開に踏み切ったわけでしょう?

Re:

[Anonymous Coward]

> 60日での修正が困難と回答した
> MSの判断が正しかったのかどうか、ソフトウェアエンジニアリング
> の観点からもっと議論されるべきですね。

別に、「議論されるべき」と言われるほど重要じゃないでしょう。
これはソフトウェアエンジニアリングの問題ではなく、60日以内に修正できるか
確約をすることのリスクの問題です。
責任感の無い会社なら「はい、わかりました。必ず**以内に」と適当に回答する
ところでしょうけれど、たいていの責任感のある会社の場合は、
「可能な限り急ぎますが、何日いないという確約をすることは困難です」と
答えるものです。

もし修正作業に取り掛かった

Re:MSに報告したところ無碍にされた

[jsi (25633)]

この問題に関しては、マイクロソフトと氏がどのようなやり取りをしたのかによって責任の所在がかわってくると思います。

以下のようなケースであれば、マイクロソフトが責任ある態度をとらず、ユーザを危険にさらし続ける行動を取っているものとして認識されるべきです。

・マイクロソフトが修正の意向を示さなかった。
・マイクロソフトが修正について曖昧な態度をとり続けた（修正目途を示さなかった）
・マイクロソフトは問題の概要とHCPを無効化するというソリューションを最優先でユーザに提供することを約束しなかった

逆に以下のような場合であれば、氏の行動に問題があったものとして認識されるべきです。

・マイクロソフト修正について目安日を示していたが確約していなかったことを事由として公開に及んだ

そして、今回の場合マイクロソフトから「修正することを約束したのに彼がフライングした」という反論は
出ていないところから判断すると、今回のケースは前者だったのだろうと推測します。したがって、追加で氏とのやり取りを示す資料などが公開されない限り責任ある態度を取らなかったマイクロソフトに問題があるという印象は否めないですね。

ところで、マイクロソフトはセキュリティホールの売りにしています。こうしたユーザからの報告を放置することによって実際のセキュリティホールの数をもっと少なく見せようとしている行動は、詐欺に近いもので、是正されるべき行動だと思います。