「欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手」記事へのコメント

不正アクセスか否か

[yamashow (14193)]

このcgiを見ていないし法律の専門家でもないので、まったく的外れなことかもしれませんが･･･。

今回のケースは不正アクセス禁止法に引っかかるのでしょうか？
たしか鍵（パスワード等）を破らないと不正アクセスにはならないということだったと思うのですが。

Re:不正アクセスか否か

[oguma (17986)]

今回のケースは不正アクセス禁止法に引っかかるのでしょうか？

　私も法曹ではない素人ですが。
　不正アクセス行為の禁止等に関する法律 [e-gov.go.jp]は「アクセス制御機能 [e-gov.go.jp]」を持った電子計算機に係る犯罪を規定しているので、今回のACCSのサーバがアクセス制御機能を有していたか否かが焦点になると思います。法律を素直に読む限りは、持っていたと主張するのはなかなか困難であると思いますが（個人的感想）。

　ただし、不正アクセス禁止法はクリアできても、既に#465462 [srad.jp]で指摘されているように、単純に刑法に引っかかるのではないかという気はします。

--
Nullius addictus iurare in verba magistri

Re:不正アクセスか否か

[Anonymous Coward]

不正アクセス禁止法では、当該計算機がアクセス制御機能を持ってさえいれば、アクセスパスがそのアクセス制御機能を通らなくても該当します。
そうでないと、バッファオーバーフローなどを使ってバックドアを仕掛けてそこから侵入しても、「バックドアにはアクセス制御機能が無いのでOK」って事になってしまいますから。

Re:不正アクセスか否か

[Anonymous Coward]

ということは、リンクの問題と絡めると、制御機能を設置するしないに関わらず、「リンク禁止」と言うだけでリンクを規制してもいいということになるのですか？

考えようによっては、この問題、リンク規制賛成派には非常に有利な問題だと思うのですが。

Re:不正アクセスか否か

[Anonymous Coward]

該当Webで明らかに公開されているページ（たとえばトップページとか）からリンクを辿って行き付くページへの直リンクの場合は公開情報（ただしWebページ設置者としては直リンクしてほしくない情報）へのリンクになりますから、不正アクセスではなく、単な

こんな感じか？

[Anonymous Coward]

http://あるサイト/index.html
と言うTOPページを持つサイトがあって、そこには他に

http://あるサイト/OK/index.html
http://あるサイト/NG/index.html

と言う2つのアクセス先がある、と。
んで、この上側はTOPページからのリンクがあるが、
（便宜上、コンテンツページとしようか）
下側は知っている人にしかわからない状況である。
（便宜上、管理人用のページということにしようか）

この場合、

コンテンツページへのアクセス手段は公開された場所からのリンクなので、
通常のアクセスとみなされる

Re:こんな感じか？

[Anonymous Coward]

アクセス制御がまったく無い場合は、不正アクセスとは見なされないはず。

http://あるサイト/NG/index.html
にアクセス規制してあるのに、web server のバグ等で
http://あるサイト/OK/../NG/index.html
だと規制が無効になっちゃったとしよう。これを利用すると、

電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為（３条２項３号）。

にひっかかるということかと。

Re:こんな感じか？

[pao (4208)]

ftp://example.net/home/foo/htdocs/index.html
にはパスワードかけてアクセス制限してあるけれど
http://example.net/~foo/index.html
にアクセスされて制限を回避された……。

という状況はどうなんでしょう？

Re:不正アクセスか否か

[Anonymous Coward]

で、結局どうなのよ？

＃「疑いがある」≠クロ

Re:不正アクセスか否か

[naka64 (4590)]

不正アクセス禁止法 [ipa.go.jp]上の禁止行為の一つはこんなの。

アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能による特定利用の制限を免れることができる情報（識別符号であるものを除く。）又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為

んで、

• 「特定電子計算機」＝電気通信回線に接続している電子計算機
• 「特定利用」＝電気通信回線を通じて行う特定電子計算機の利用

と定義されている。また、

• 「電気通信回線」はLANを含む

という解釈が大勢。
今回の話はどうやらhttpdの、ではなくOSレベルで管理者のみが読み出せるように管理されたはずのファイルがCGIの考慮不足でhttpdから読めちゃった、というものらしい。
となると、この場合の「その制限されている特定利用」というのは「『電気通信回線を通じて』件のファイルを読み出す」ことだ、ということになる。それはアクセス制御機能で有効・無効が選択できなければならない…え？それって、運用上不要な機能ではないのか？

#誤解があればお教えください。