パスワードを忘れた？ アカウント作成
Close
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

ACCS事件でoffice氏逮捕 More

「ACCS事件でoffice氏逮捕」記事へのコメント

  • これって不正アクセス禁止法 [npa.go.jp]にはどう考えても該当しないと思うんですが、どうなんでしょうね。
    法文って難しくてよく読みこなせないんですが、パスワードなどのアクセス制御機構が存在してない場合、適用は無理としか思えません。
    • 一応のアクセス制御機構はあったはずです.
      今回はそのアクセス制御機構に大穴があり,そこをついたのが
      問題にされた様です.

      ていうか,記事によっては余罪追及のあるらしい書き方を
      しているのですが,出来れば今回はお灸を据えるぐらいに
      とどめてほしいですね.
      --
      『今日の屈辱に耐え明日の為に生きるのが男だ』
      宇宙戦艦 ヤマト 艦長 沖田十三氏談
      2006/06/23 JPN 1 - 4 BRA
      • どのようなアクセス制御機構が存在していたのですか?
        通常アクセス可能なCGIが計算機内のどんなファイルも読み取って表示できるオプションを持っていた、という話しか聞いてないのですが。
        • おそらく,通常のWebセキュリティーレベルのアクセス制御は
          やっていたのではないかと…

          今回の穴は表の入り口は鍵がちゃんとかかっていたが
          裏口もしくは勝手口が開けっ放しだったという感じでしょうか…
          --
          『今日の屈辱に耐え明日の為に生きるのが男だ』
          宇宙戦艦 ヤマト 艦長 沖田十三氏談
          2006/06/23 JPN 1 - 4 BRA
          • 通常のwebセキュリティというのがどういう物か想像付かないのですが……。
            例えばapacheでアクセス制御を行うとしたら、BASIC認証などのパスワード認証をかけるか、.htaccessなどでsource addressをDeny/Allowするかくらいですよね。
            こうした処置が取られていたページだったようには思えないんです。

            • Re:不正アクセス禁止法? (スコア:1)

              by znc (2768) on 2004年02月04日 16時25分 (#488339)
              すぐに思いつくレベルだと
              - 個人情報や認証に使うパースワードなどのデータは
              htdocsツリー内に置かない.
              - 無用のindexes設定はやめる
              ぐらいでしょうか…

              少なくても今回は、大穴とは言えURLを書き換えれば済む様な
              レベルではなかったと思いますが…
              --
              『今日の屈辱に耐え明日の為に生きるのが男だ』
              宇宙戦艦 ヤマト 艦長 沖田十三氏談
              2006/06/23 JPN 1 - 4 BRA
              シェア
              親コメント

              • Re:不正アクセス禁止法? (スコア:2, 参考になる)

                by koshian (6999) on 2004年02月04日 16時56分 (#488390) ホームページ 日記
                URLを書き換えれば済むようなレベルだったようですよ。
                日経BPの記事 [nikkeibp.co.jp]を読む限りはそう見えます。URLじゃなくてPATHかな。
                直接読まれては困るものはDccumentRoot下におかないというのは常識レベルであって、「アクセス制御機構」ではないですよね。少なくとも機構と言えるものではないと思います。
                せいぜい手法? そもそも「アクセス制御」と言えるのか……。
                シェア
                親コメント
              • ふと思ったのですが、
                office氏がくだんのファイルを抜き取るためにどうしたのかが気になります。

                仮に、すぐに類推できるものであれば、あれまあ見えちゃった、で済むのでしょうが、
                穴の性質を良く知っていて、「ファイル名さえヒットすれば！」と何度も何度も攻撃を仕掛けたなら、
                明らかに「悪意」と言われても仕方ないですよね。
                （結果も重要ですが、動機が最も大事ですから）

                窓にペタっと貼り付けておいて「見るな！」はおかしいですけど、
                扉入ってすぐのところに置いてあるのを扉を開けて見ちゃうのは問題かと。
                シェア
                親コメント
              • 確かまずCGI自身のソースを読み出させて、データファイルらしきファイル名を見付けて読んだんじゃなかったでしたっけ?
                噂かもしれませんが、妥当で確実なやり方でしょうね。
                シェア
                親コメント

              • Re:不正アクセス禁止法? (スコア:1)

                by znc (2768) on 2004年02月05日 10時32分 (#489206)
                : URLを書き換えれば済むようなレベルだったようですよ。
                _/[]O

                あと,DocumentRoot配下に重要情報を置かないなどの
                Webコンテンツセキュリティの基本はちょっと勉強すれば
                『常識中の常識』して覚えてくれる(と思う)けど,
                いきなり押しつけられた様なWebコンテンツ管理者レベルだと
                正直微妙なところは出てきますね…

                まぁ,今回の穴に関してはACCSのセキュリティ担当者が
                以下略だったいうことで…
                --
                『今日の屈辱に耐え明日の為に生きるのが男だ』
                宇宙戦艦 ヤマト 艦長 沖田十三氏談
                2006/06/23 JPN 1 - 4 BRA
                シェア
                親コメント

長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds