アカウント名:
パスワード:
いつも不思議なんだが、公開しているサーバに無許可でスキャンを掛けるのはどうなの？内容によるってのもあるでしょうが、本件のはスキャナがAndroidアプリになってどっかで紹介されたりしてたので、世間的にはOKなんだと自分は驚きました。損害を与えなければ犯罪じゃないとしても、与えるかどうか事前には分からないですし、スキャン動作をアラートにしていた場合、技術者の対応が発生し、最悪の場合は、偽計業務妨害にもなりかねませんよね。
「被害無しのアタックは日常茶飯事なので無視」っていうノリが定着している会社/技術者が多いのも実感していますが、新参者の倫理観としては他人の機器に無断でスキャン掛けるのはNGかなと思っています。
# この前、脆弱性スキャナで業務サーバ落としちゃったのでACで（お前の功夫はそんな物かって言ったけど、めっちゃ怒られた）
インターネットに公開されているウェブサイトに対し、人間が対話的にアクセスするのと同じ程度のほどよい速度頻度で巡回ロボットが繋いでみて特に掘り下げることなく取得可能であった情報を統計的に解析してみることに何の問題がありましょうや？
それにアラートが上がったら即時緊急対応するため技術者を貼り付けるという体制と、今回のような緊急対応が求められる重篤な脆弱性を放置するという状況は矛盾しませんか。
貴兄が従前属していた業界では抜き打ち検査というのは「何日何時から抜き打ち検査をしますのでよろしくお願いします」と事前連絡があるものだったのですか?護衛船団方式横並びの某業界においてはそのような傾向であるとも耳にしますが。
#今回 Qualys SSL Labs で解析してついでに現代的に不要な古いプロトコル等も落として Forward Security も達成させました
別に本件に限ったことではなく、内容によって線引きはあるかもしれませんが、一律問題無いと思いますか？もし、スキャンがバージョンチェック程度で無く、メモリの内容読んでみて判断とかだったらどうですか？
抜き打ち検査が何を意図しているのか図りかねますが、WEB業界だとして、事前に打ち合わせも無くスキャンするのは意味無いですし、誰が何の目的でそんなことするんでしょう。大抵の場合、検査のクライアントはサービスを運営する側ですし、ユーザが利用してる状態のサーバにスキャン掛けさせるなんて、よっぽどの事が無い限りやらないと思います。サービス停止やユーザに被害が出たら損失が大き過ぎますし。
私の認識では、スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はあると思います。もっともこの問題の場合は、スキャンが大量そうなんでIPS側で一律遮断とかにするとは思いますが。
実際にクラックしてみるのはスキャンとは言わないんで用語定義がおかしい。だから議論もちょっとずれてる。どこからがクラックかと言う問題は不正アクセス禁止法にきちんと定義がされていて、判例もある。また不正アクセス禁止法は故意犯のみで過失犯はないというのもポイント。業務妨害系も故意犯のみ。
＞スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はある
これは理由にならない。たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
じつはむかし、岡崎市立中央図書館事件というのがあったんだ。それ知っても同じ事言えるの？
じゃあ被害届提出しろよww
岡崎の件は被害届が出されたからそういう対応になっただけだっつーの…
あれは業者が図書館に納めたシステムが糞だった事が原因でクロールした側は冤罪だったんだが。
お前こそ知ってんのか。あの件の特殊性を。法律の条文を間違って解釈した特異な件、それも最終的には起訴猶予になり、後に捜査がまずかったと散々指摘されている話を、一般論としては使うのは間違いだろうが。
リモートからのスキャンでメモリまで読まれる方が悪い。ザルザルじゃねーか。リモートからスキャン掛けられただけでシステムが落ちるかもとか、クオリティ低くて酷すぎ。そして実態調査などいくらでも有意義勝つ合理的なやる理由はある。
つーか、IPSレベルで検知して対応で手間がかかってる時点でダメだし、その程度の攻撃は挨拶代わりに常時食らってるもの。今更手間が増えるなんてほどじゃない。sslの通信全部ISPで止めるとかアホすぎる。脆弱性があるかどうかは一度つなぐだけで解るし。不正パケット投げてメモリの中身らしきものが帰ってくればそれで解る。攻撃なら有効な中身が得られるまで繰り返す必要あるけどね。
まー、どんなところに就職したか知らないけど、その時代遅れの牧歌的サイバーノーガード意識はとっとと捨てないとろくな技術者にはなれませんよ。
# 無許可リンク禁止に通じるマインドを感じるなぁ。
どんなところに就職したか知らないけど、法律は守れよ。
# 鍵がかかってない家なら侵入される方が悪いレベルのいい訳ですね。
どんな田舎から……いやいや。
そりゃ鍵掛けてなきゃ掛けてない方『にも』問題はありますがな。そこに見られてまずいものを置いちゃいけません。
法律云々に関しては私は詳しくありませんが #2597981 が結論だと思います。
# どっかで作業しないと……
全く結論じゃねーよ。
たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
今回の問題は不審人物ってレベルじゃないぞ。この脆弱性があるか確かめるには実際に攻撃して情報を抜き取ってみるしか確かめる方法がない。例えるなら実際にスリができるか財布を抜き取ってみて、財布は返すから問題ないって言ってるようなもの。こんなの許すってのは攻撃が合法って言ってるようなものだ。#2598074の言うろくな技術者ってのが何を指すのか分からんが、もう少し外に出てみろよ。
ちなみに、何の法律に触れるとお考えなんでしょうか？
不正アクセス防止法？でも、パスワードをクラックしているわけじゃないしアクセス制御機能の回避には当たらないですよね？
そもそも、アクセス制御されてないわけですし・・・ね
なぜ不正アクセス禁止法が関係ないと思ったのか。不正アクセス「防止」法なんて言うくらいだから、分かってないんだろうな。
三 電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為
秘密鍵や他ユーザのパスワードなどオープンでない情報を不正に漏洩させる指令を送信しているってのはアクセス制御機能の回避じゃないのかい？
ちゃんと対応していれば>不正に漏洩させる指令を送信していることにはならないんじゃないの？
対応してないのであれば自衛のためにも知っておきたいというのがユーザーの心理だと思う。今回の件だとメモリに残さないために対応が確認できるまでログインしないとか。
何言ってんだか。
いやだから、「秘密鍵や他ユーザのパスワードなどオープンでない情報」がパスワード等で守られていないので、アクセス制御機能に該当しないでしょって話なんですが・・・
秘密鍵はパスワードで守られていない？わざと言ってるんじゃなければ救いようがない大馬鹿者だな。お前が現実世界で技術者を名乗っていないことを祈るよ。
SSHなりコンソールなりでログインしなければ取得し得ない情報じゃないのか？お前のサーバの秘密鍵は公開情報か？それとも脆弱性が存在すれば取得できるから公開情報と言ってるのか？
何をそんなに怒っているのか・・・そもそも、SSLで守っているものが流出しているのではないのですが・・・あなたの秘密鍵は公開されててSSLで守られているの?
運用見直したほうがいいんじゃね？
公開されていない場所に保管しておくでしょそれが公開されちゃっていますよと。そして、国外から抜き取られてますよと
だからさっさと、対処しろと周知するのは当然でしょーに
パッチあてたくない管理者なの？注意喚起されると困る人なの？
ぼくだったらあなたが管理するシステムは使いたくないな
サイバーノーガード万歳実態把握はなくてオッケーパッチ適用しない（秘密鍵変更しない）
ですむわけなかろうに・・・
さあ、こんなところで油売ってないでさっさとパッチを当てる作業に戻るんだ！
IT 弁護士「Heartbleed の診断チェックは違法に当たるだろう」～倫理的に行動し、最大 10 年の刑務所生活を勝ち取ろう（The Register）http://scan.netsecurity.ne.jp/article/2014/04/18/34016.html [netsecurity.ne.jp]
お前がどんなに屁理屈こねようが世間には通用しないんだが、ひきこもり自称エンジニアにはそれが分からんのだろうな。だからもっと外に出て常識を身につけろと。
そんなライターよりもSymantecが詳しく解説してくれてますよ。 http://www.symantec.com/content/ja/jp/enterprise/images/outbreak/Heart... [symantec.com] 消費者は利用するサイトをスキャンするようすすめてますね。 http://safeweb.norton.com/heartbleed [norton.com]
TRENDMICROもこんなブログ書いちゃってますよ。 http://blog.trendmicro.co.jp/archives/8927 [trendmicro.co.jp]
日本の企業でも、京都府警から感謝状もらってるような企業がこんなサイト作ってますよ。 http://ssl.white.hacker.jp/hb/hb [hacker.jp]?
他にもたくさん･･･。これだけ大々的にやってるわ
不正アクセス禁止法言ってる時点で今回の問題を理解してないんだからほっとけよ
でも実際クオリティ高いサーバって見た事ないんだけど、具体的にどこがクオリティ高い？絶対にやられないサーバがあるのなら、是非それで商売したら良いですよ。確実に歴史に名を残せます。
元コメでは対策済みって言ってるので、要するに「うざいからやめろ」って言う事なんじゃ無いかと思うんだけど、それは言ってはいかんのかな。
イメージ的には、鍵あいてるかをドアをガチャガチャして確認される感じで、国によってはそういうのは日常茶飯事なのかもしれないけど、日本にいるとどうしても「ガチャガチャすんなっ」て怒鳴りたくなるよね。
こういう業者のスキャン元IPアドレスって、どっかでまとめてリストにしてくれたら嬉しいのにね。それをFirewallにぶち込んどくと、意外と静かになったりして。
# IPSとISPは違う物だよ。
IPSとISPの区別もつかないのなら口挟まなければいいのに……
ここ何週間か、手元の複数の顧客のIPSでErrata Securityをアクセス元とする不正な攻撃アラームを検出しています。実際に攻撃として成立するパケットが送られているようなのですが、それでも無問題なんですかね?# きっとそういう調査なんだろうなーと思ってたら案の定# レポートが公開された
元コメントにコメントしようと思ったけどここに。無問題かどうかは、公益と個々への損失との兼ね合いでしょう。あなたの場合が一般的かは分かりませんが、その程度であるなら個々への損失は軽微な一方、こういったレポートには公益性が認められると思われるので無問題に思えます。
それは公益性のある寄付の為なら、あなたの金を盗んでも良いという事？
メモリ読んでユーザ情報かき集めて、それをリストにして業者に売りつつ、奪取したサーバ情報を統計として宣伝すれば無実って、どんだけ素敵な社会なんだよ。
条件として悪用しなければ可ってのは、昔のブラックハット/ホワイトハットって呼ばれてた時代を思い出しますね。でも、それを判別する方法が無いのだから、性悪説でいいんじゃないかな、特に米国的には。
メモリ読んでユーザ情報かき集めて、それをリストにして業者に売りつつ、奪取したサーバ情報を統計として宣伝
これが事実なら当然問題ですよ。「きっとそういう調査なんだろうなーと思ってた」程度なら軽微なことですが、情報漏洩は全然軽微じゃないので。繰り替えしますが「無問題かどうかは、公益と個々への損失との兼ね合い」です。＃今回の件で何か証拠があれば賠償金とれるんじゃないですかね。＃証拠なければ名誉毀損ですけどね
×繰り替えし
もちろん、犯罪者に対して通用するものではないが、「スキャンしてくる輩は全員犯罪者だ」ってことにしたくなければ、httpにかぎらず、robot.txtのようなオプトアウトな仕組みは必要だと思う。スキャンされたくない権利くらいはあるだろう。
ここまで中身のないコメントは初めて……でもないな。たまに見るよね。理由も根拠も感想すら書いてないやつ。
いつからスキャン者が日本国内に居住していると錯覚していた？
インターネットなのに日本の常識や倫理観で考えたらアカンよ。世界にはものを盗むことへの罪悪感が無い地域もある（倫理観に頼った抑止が通じない）し、そもそもいまやソマリアの海賊だってネットに繋がる（司法による抑止も通じない）時代よ？
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
こっちスキャンすんなっ (スコア:0)
いつも不思議なんだが、公開しているサーバに無許可でスキャンを掛けるのはどうなの？
内容によるってのもあるでしょうが、本件のはスキャナがAndroidアプリになってどっかで紹介されたりしてたので、世間的にはOKなんだと自分は驚きました。
損害を与えなければ犯罪じゃないとしても、与えるかどうか事前には分からないですし、スキャン動作をアラートにしていた場合、技術者の対応が発生し、最悪の場合は、偽計業務妨害にもなりかねませんよね。
「被害無しのアタックは日常茶飯事なので無視」っていうノリが定着している会社/技術者が多いのも実感していますが、新参者の倫理観としては他人の機器に無断でスキャン掛けるのはNGかなと思っています。
# この前、脆弱性スキャナで業務サーバ落としちゃったのでACで（お前の功夫はそんな物かって言ったけど、めっちゃ怒られた）
Re:こっちスキャンすんなっ (スコア:1)
インターネットに公開されているウェブサイトに対し、
人間が対話的にアクセスするのと同じ程度のほどよい速度頻度で巡回ロボットが繋いでみて
特に掘り下げることなく取得可能であった情報を
統計的に解析してみることに何の問題がありましょうや？
それにアラートが上がったら即時緊急対応するため技術者を貼り付けるという体制と、
今回のような緊急対応が求められる重篤な脆弱性を放置するという状況は矛盾しませんか。
貴兄が従前属していた業界では抜き打ち検査というのは
「何日何時から抜き打ち検査をしますのでよろしくお願いします」
と事前連絡があるものだったのですか?
護衛船団方式横並びの某業界においてはそのような傾向であるとも耳にしますが。
#今回 Qualys SSL Labs で解析してついでに現代的に不要な古いプロトコル等も落として Forward Security も達成させました
Re: (スコア:0)
別に本件に限ったことではなく、内容によって線引きはあるかもしれませんが、一律問題無いと思いますか？
もし、スキャンがバージョンチェック程度で無く、メモリの内容読んでみて判断とかだったらどうですか？
抜き打ち検査が何を意図しているのか図りかねますが、WEB業界だとして、事前に打ち合わせも無くスキャンするのは意味無いですし、誰が何の目的でそんなことするんでしょう。
大抵の場合、検査のクライアントはサービスを運営する側ですし、ユーザが利用してる状態のサーバにスキャン掛けさせるなんて、よっぽどの事が無い限りやらないと思います。サービス停止やユーザに被害が出たら損失が大き過ぎますし。
私の認識では、スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はあると思います。
もっともこの問題の場合は、スキャンが大量そうなんでIPS側で一律遮断とかにするとは思いますが。
Re: (スコア:0)
実際にクラックしてみるのはスキャンとは言わないんで用語定義がおかしい。だから議論もちょっとずれてる。
どこからがクラックかと言う問題は不正アクセス禁止法にきちんと定義がされていて、判例もある。
また不正アクセス禁止法は故意犯のみで過失犯はないというのもポイント。業務妨害系も故意犯のみ。
＞スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はある
これは理由にならない。
たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
Re: (スコア:0)
じつはむかし、岡崎市立中央図書館事件というのがあったんだ。
それ知っても同じ事言えるの？
Re: (スコア:0)
じゃあ被害届提出しろよww
岡崎の件は被害届が出されたからそういう対応になっただけだっつーの…
Re: (スコア:0)
あれは業者が図書館に納めたシステムが糞だった事が原因でクロールした側は冤罪だったんだが。
Re: (スコア:0)
お前こそ知ってんのか。あの件の特殊性を。
法律の条文を間違って解釈した特異な件、それも最終的には起訴猶予になり、
後に捜査がまずかったと散々指摘されている話を、一般論としては使うのは間違いだろうが。
これは酷い (スコア:0)
リモートからのスキャンでメモリまで読まれる方が悪い。ザルザルじゃねーか。
リモートからスキャン掛けられただけでシステムが落ちるかもとか、クオリティ低くて酷すぎ。
そして実態調査などいくらでも有意義勝つ合理的なやる理由はある。
つーか、IPSレベルで検知して対応で手間がかかってる時点でダメだし、その程度の
攻撃は挨拶代わりに常時食らってるもの。今更手間が増えるなんてほどじゃない。
sslの通信全部ISPで止めるとかアホすぎる。脆弱性があるかどうかは一度つなぐだけで解るし。
不正パケット投げてメモリの中身らしきものが帰ってくればそれで解る。攻撃なら有効な中身が
得られるまで繰り返す必要あるけどね。
まー、どんなところに就職したか知らないけど、その時代遅れの牧歌的サイバーノーガード意識は
とっとと捨てないとろくな技術者にはなれませんよ。
# 無許可リンク禁止に通じるマインドを感じるなぁ。
あたま悪い (スコア:0)
どんなところに就職したか知らないけど、法律は守れよ。
# 鍵がかかってない家なら侵入される方が悪いレベルのいい訳ですね。
Re: (スコア:0)
どんな田舎から……いやいや。
そりゃ鍵掛けてなきゃ掛けてない方『にも』問題はありますがな。
そこに見られてまずいものを置いちゃいけません。
法律云々に関しては私は詳しくありませんが #2597981 が結論だと思います。
# どっかで作業しないと……
Re: (スコア:0)
全く結論じゃねーよ。
たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
今回の問題は不審人物ってレベルじゃないぞ。この脆弱性があるか確かめるには実際に攻撃して情報を抜き取ってみるしか確かめる方法がない。例えるなら実際にスリができるか財布を抜き取ってみて、財布は返すから問題ないって言ってるようなもの。こんなの許すってのは攻撃が合法って言ってるようなものだ。#2598074の言うろくな技術者ってのが何を指すのか分からんが、もう少し外に出てみろよ。
Re: (スコア:0)
ちなみに、何の法律に触れるとお考えなんでしょうか？
不正アクセス防止法？
でも、パスワードをクラックしているわけじゃないし
アクセス制御機能の回避には当たらないですよね？
そもそも、アクセス制御されてないわけですし・・・ね
Re: (スコア:0)
なぜ不正アクセス禁止法が関係ないと思ったのか。
不正アクセス「防止」法なんて言うくらいだから、分かってないんだろうな。
三 電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為
秘密鍵や他ユーザのパスワードなどオープンでない情報を不正に漏洩させる指令を送信しているってのはアクセス制御機能の回避じゃないのかい？
Re: (スコア:0)
ちゃんと対応していれば
>不正に漏洩させる指令を送信している
ことにはならないんじゃないの？
対応してないのであれば自衛のためにも知っておきたいというのがユーザーの心理だと思う。
今回の件だとメモリに残さないために対応が確認できるまでログインしないとか。
Re: (スコア:0)
ちゃんと対応していれば
>不正に漏洩させる指令を送信している
ことにはならないんじゃないの？
何言ってんだか。
Re: (スコア:0)
いやだから、「秘密鍵や他ユーザのパスワードなどオープンでない情報」がパスワード等で守られていないので、アクセス制御機能に該当しないでしょって話なんですが・・・
Re: (スコア:0)
秘密鍵はパスワードで守られていない？
わざと言ってるんじゃなければ救いようがない大馬鹿者だな。
お前が現実世界で技術者を名乗っていないことを祈るよ。
SSHなりコンソールなりでログインしなければ取得し得ない情報じゃないのか？
お前のサーバの秘密鍵は公開情報か？
それとも脆弱性が存在すれば取得できるから公開情報と言ってるのか？
Re: (スコア:0)
何をそんなに怒っているのか・・・
そもそも、SSLで守っているものが流出しているのではないのですが・・・
あなたの秘密鍵は公開されててSSLで守られているの?
運用見直したほうがいいんじゃね？
公開されていない場所に保管しておくでしょ
それが公開されちゃっていますよと。
そして、国外から抜き取られてますよと
だからさっさと、対処しろと周知するのは当然でしょーに
パッチあてたくない管理者なの？
注意喚起されると困る人なの？
ぼくだったらあなたが管理するシステムは使いたくないな
サイバーノーガード万歳
実態把握はなくてオッケー
パッチ適用しない（秘密鍵変更しない）
ですむわけなかろうに・・・
さあ、こんなところで油売ってないでさっさとパッチを当てる作業に戻るんだ！
Re: (スコア:0)
IT 弁護士「Heartbleed の診断チェックは違法に当たるだろう」～倫理的に行動し、最大 10 年の刑務所生活を勝ち取ろう（The Register）
http://scan.netsecurity.ne.jp/article/2014/04/18/34016.html [netsecurity.ne.jp]
お前がどんなに屁理屈こねようが世間には通用しないんだが、ひきこもり自称エンジニアにはそれが分からんのだろうな。だからもっと外に出て常識を身につけろと。
Re: (スコア:0)
そんなライターよりもSymantecが詳しく解説してくれてますよ。
http://www.symantec.com/content/ja/jp/enterprise/images/outbreak/Heart... [symantec.com]
消費者は利用するサイトをスキャンするようすすめてますね。
http://safeweb.norton.com/heartbleed [norton.com]
TRENDMICROもこんなブログ書いちゃってますよ。
http://blog.trendmicro.co.jp/archives/8927 [trendmicro.co.jp]
日本の企業でも、京都府警から感謝状もらってるような企業がこんなサイト作ってますよ。
http://ssl.white.hacker.jp/hb/hb [hacker.jp]?
他にもたくさん･･･。
これだけ大々的にやってるわ
Re: (スコア:0)
不正アクセス禁止法言ってる時点で今回の問題を理解してないんだからほっとけよ
Re: (スコア:0)
でも実際クオリティ高いサーバって見た事ないんだけど、具体的にどこがクオリティ高い？
絶対にやられないサーバがあるのなら、是非それで商売したら良いですよ。
確実に歴史に名を残せます。
元コメでは対策済みって言ってるので、要するに「うざいからやめろ」って言う事なんじゃ無いかと思うんだけど、それは言ってはいかんのかな。
イメージ的には、鍵あいてるかをドアをガチャガチャして確認される感じで、国によってはそういうのは日常茶飯事なのかもしれないけど、日本にいるとどうしても「ガチャガチャすんなっ」て怒鳴りたくなるよね。
こういう業者のスキャン元IPアドレスって、どっかでまとめてリストにしてくれたら嬉しいのにね。
それをFirewallにぶち込んどくと、意外と静かになったりして。
# IPSとISPは違う物だよ。
Re: (スコア:0)
IPSとISPの区別もつかないのなら口挟まなければいいのに……
Re: (スコア:0)
ここ何週間か、手元の複数の顧客のIPSでErrata Securityを
アクセス元とする不正な攻撃アラームを検出しています。
実際に攻撃として成立するパケットが送られているよう
なのですが、それでも無問題なんですかね?
# きっとそういう調査なんだろうなーと思ってたら案の定
# レポートが公開された
Re: (スコア:0)
元コメントにコメントしようと思ったけどここに。
無問題かどうかは、公益と個々への損失との兼ね合いでしょう。
あなたの場合が一般的かは分かりませんが、その程度であるなら個々への損失は軽微な一方、こういったレポートには公益性が認められると思われるので無問題に思えます。
Re: (スコア:0)
それは公益性のある寄付の為なら、あなたの金を盗んでも良いという事？
メモリ読んでユーザ情報かき集めて、それをリストにして業者に売りつつ、奪取したサーバ情報を統計として宣伝すれば無実って、どんだけ素敵な社会なんだよ。
条件として悪用しなければ可ってのは、昔のブラックハット/ホワイトハットって呼ばれてた時代を思い出しますね。
でも、それを判別する方法が無いのだから、性悪説でいいんじゃないかな、特に米国的には。
Re: (スコア:0)
メモリ読んでユーザ情報かき集めて、それをリストにして業者に売りつつ、奪取したサーバ情報を統計として宣伝
これが事実なら当然問題ですよ。「きっとそういう調査なんだろうなーと思ってた」程度なら軽微なことですが、情報漏洩は全然軽微じゃないので。
繰り替えしますが「無問題かどうかは、公益と個々への損失との兼ね合い」です。
＃今回の件で何か証拠があれば賠償金とれるんじゃないですかね。
＃証拠なければ名誉毀損ですけどね
Re: (スコア:0)
×繰り替えし
Re: (スコア:0)
もちろん、犯罪者に対して通用するものではないが、
「スキャンしてくる輩は全員犯罪者だ」ってことにしたくなければ、
httpにかぎらず、robot.txtのようなオプトアウトな仕組みは必要だと思う。
スキャンされたくない権利くらいはあるだろう。
Re: (スコア:0)
ここまで中身のないコメントは初めて……でもないな。
たまに見るよね。理由も根拠も感想すら書いてないやつ。
＞偽計業務妨害にもなりかねませんよね。 (スコア:0)
いつからスキャン者が日本国内に居住していると錯覚していた？
インターネットなのに日本の常識や倫理観で考えたらアカンよ。世界にはものを盗むことへの罪悪感が無い地域もある（倫理観に頼った抑止が通じない）し、そもそもいまやソマリアの海賊だってネットに繋がる（司法による抑止も通じない）時代よ？