アカウント名:
パスワード:
なんか、全文突っ込み甲斐のある文章だな。例えば、安全性の指摘に、匿名であるか否かが何の意味を持つのか。Office ではなく、田中一郎という名前を名乗っていれば問題ないのか。それともパスポートのコピーでも送ってもらわないと受け付けないのか。とか。他にもあるけど、めんどく
書き方一つで(略)印象や対応がまったく異なるであろうことには、同意いただけるのではないですか？
まったくその通りで同意します。始めから #489056 ような文章を書いていただければ受ける印象はまったく違ったことでしょう。
最後に一つ言っておくと、ここを読んでいる大多数の人間は Office 氏からのメールを受け取ったことがあるわけではないということだ。したがって、彼がどのようなメールを書いていたのかは読者にはまったくわからない。わかることは感
XSS の指摘のメールが来た。かなり失礼なやつ。対応を間違えれば我が社に大問題。こんなやつに対応するのは現場担当には酷。プロでも当初 XSS は見落とし
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy
office氏の指摘って… (スコア:1, すばらしい洞察)
あるところならばむしろoffice氏の指摘は結構役に立つと
思うのですけど…私の認識は甘いののですかね?
# 近くに本当に役に立った人がいるのでAC
Re:office氏の指摘って… (スコア:3, 興味深い)
からメールで指摘が来たことがあります。
指摘そのものは、役には立ちましたが(苦笑)、かなり失礼というか、「御社
のサイトに脆弱性があったことや、その対応を○月○日に、公表させていた
だきます」と、脅迫紛いの文面に、内心ブチ切れながら、丁寧なお礼の返事を
書いたことがあります(当然、問題点を即座に直してから)。
はっきり言って、office氏の対応次第では、一歩間違えば会社に多大の損害
を与えかねないですし、返答しないのは返答しないのでマズいことが予想され、
返答をするにも、下手なことは書けないので、ともかく慎重にならざるを得ま
せんでしたが、「期限」まで時間もなかったので、そこの部門長と相談のうえ、
あくまで丁寧にお礼を述べ、かつ個人的な見解であることを断ったうえで、
対応を説明しました。
彼のような指摘のメールでは、返事を書くにしても法務部などにチェックを
仰がなければならないと考えて、返答をしないという選択をしても誰も責め
られないでしょう。
こっちは、会社やWebサイトの評判がかかっているのに、彼は office などと
いうふざけた匿名の臆病者で、おまけにすべてにおいて高圧的かつ、見下した
態度（引用したいのですが、それができないのが残念です)でして、まともな
対応をしろというのは、ごく普通の現場担当者には酷というものです。
こう書くと、プロとしていかがなものか？ と書く人が絶対いるかもし
れませんが、すべてのエンジニアが、初めからセキュリティを意識した
コードを書けたわけではないですし、かつてのXSSもそうですが、新た
に指摘された脆弱性は、多くのエンジニアが見落していたことだって
あったはずです。
もちろん、今、XSSの問題を抱えたサイトを作るのは、どうかと思いま
すし、今回のACCSのような脆弱性は「有り得ない」と呆れるくらいです
が、よほどの天才でない限り、CGI覚えたての新米エンジニアが、最初
から、それを分かっているとは思えません(それは、教育の仕方や勉強の
仕方や教材に問題があるといえば、そうなんですが、現実とはそんなもの)。
彼のように、受け取った側が『固まってしまう』ような、やりかたでは、
まったく逆効果です。
本当にセキュリティレベルを向上したいのなら、もっとまっとうに、教育
の機会を提供するとか、ほかのアプローチを考えるべきでした。
会社などの中で仕事をしている人なら、コストなどとの兼ね合いで、
さまざまなトレードオフに悩まされているでしょう。既知のセキュリティ
ホールへの対応は当然するとしても、未知(少なくとも自分達にとって)の
ものに対応する余裕があるかというと、常に十分な対応はできないでしょう。
良くも悪くも、そうした現実を見据えたうえで、前向き、かつ地道な
活動をすべきですが、結局のところ、彼や彼を擁護する人々は、そうした
社会性やバランス感覚が欠如しているのでしょう。
ブタ箱に入れるのではなく、そうした社会性を勉強する経験をさせあげ
たいものです。
# ヤバいけど、昔の話だし、スラドのIDなんて所詮ACみたいなものなので、ID
Re:office氏の指摘って… (スコア:2, 興味深い)
で、書いてしまったのですが、ちょっと、その前後のメールを漁ってい
たら、氏の指摘へのお礼＋対応状況の説明のために私が送ったメールに
対するOffice氏からの返事が見付かりました。そこで彼は、
> 大きな問題とはならないはずの脆弱性問題でも、すぐに対応
> されたのはすばらしいことだと思います。
とか書いてくれて(笑)いたのですが、まぁ、改めてそのメールを読んで
みると、お互い同じエンジニア(?)的視線で話せば、決して悪い男でないの
だな、という印象は受けました（正直言えば、何様のつもりだとも思わ
なくもないですが)。
せっかく使命感には燃えていたものの、常識が欠如していたのと、コミュ
ケーション能力に問題があったがために、こういうことになってしまっ
たと考えると、ちょっとかわいそうでもあります。自業自得とはいえ。
Re:office氏の指摘って… (スコア:0)
やっぱりそうなんだ。
実は私も以前 office と何通かメールのやり取りをするハメになったことがあって、そのときメールの文面から受ける人物像が「独善的」、「自己中心的」で「自己顕示欲が強い」という印象を受けました。
総じて不愉快なというか、あちこちで書かれていま
Re:office氏の指摘って… (スコア:0)
なんか、全文突っ込み甲斐のある文章だな。例えば、安全性の指摘に、匿名であるか否かが何の意味を持つのか。Office ではなく、田中一郎という名前を名乗っていれば問題ないのか。それともパスポートのコピーでも送ってもらわないと受け付けないのか。とか。他にもあるけど、めんどく
Re:office氏の指摘って… (スコア:1)
> と言えるだけの資格があるか疑問を感じる。
それは、言いすぎだった。その点は素直に認めます。
> それともパスポートのコピーでも送ってもらわないと受け付けないのか
だれもそんなことは言っていません。実際指摘は受付けたし、対応もしたわけです。
まぁ、あなたにしてみればツッコミどころ満載なのでしょうが、Office氏のメールも、書き方一つで指摘を受ける側の印象や対応がまったく異なるであろうことには、同意いただけるのではないですか？
ACCSでの個人情報漏洩は、非難されてしかるべきだが、彼は、おそらく彼自身として正義を貫きたくて、ああいうことをしてきたのだろうし、だからこそ、セキュリティホールを放置しているサイトが許せないんだろうな、ということも想像はできます。だったら、もうちょっと指摘を受ける側の気持にたって行動していれば、感謝されこそすれ、今回のように逮捕されるようなことはなかったんじゃないかな、と思うと残念なわけですよ。
XSSの問題で常に気になっているのは、それを問題として騒いでいる多くの人々が、XSSによってどのようなケースで、どの程度のセキュリティ上のインパクトがあるのか、正確に理解しているのかという点です。少なくともOffice氏は、当然理解されておられたようでしたが、私が彼から指摘を受けたサイトでは、Cookieを利用してはおらず、Cookieに含まれる情報の取得やセッションハイジャックなどの危険もなく、XSSが原因で利用者の個人情報に危険が及ぶことなどはないため、残念ながら優先度が低いと判断せざるをえず、彼からの指摘の少し前に判明はしていたのですが、すぐには対応できなかったのが現実でした。彼から対応状況を一般公開する〆切を設定されたことで、一気に最優先案件になったわけなのです。
彼が、単純に、こういう問題がありますよ。と指摘してくれただけで、○月○日に対応状況を公開する、といったことを言わなければ、「ありがとう、こういう事情で、対応が遅れているんだが、なんとか早く対応するよ」と言って、良好な関係が築けたはずなんですけどね。実際、彼はそのサイトでのXSSのインパクトは低く、緊急性は高くないことは理解してくれましたから。
Re:office氏の指摘って… (スコア:0)
まったくその通りで同意します。始めから #489056 ような文章を書いていただければ受ける印象はまったく違ったことでしょう。
最後に一つ言っておくと、ここを読んでいる大多数の人間は Office 氏からのメールを受け取ったことがあるわけではないということだ。したがって、彼がどのようなメールを書いていたのかは読者にはまったくわからない。わかることは感
Re:office氏の指摘って… (スコア:1)
その点、多いに反省です。
アドバイス感謝いたします。
Re:office氏の指摘って… (スコア:0)
そうですね。
MLやサイトの文面見てれば、受け取らなくてもわかりますしね。
>感情的になって彼を糾弾しているやつらがいるという事実
あなたが感情的になってどう
Re:office氏の指摘って… (スコア:0)
大多数の人間は、どこの ML やサイトか知らないけど、それら ML やサイトの文面を見ていて十分理解してここを見ていると仮定できる、と言うことですか？
>自分の意に沿わないので不満ですか？
意に沿わないというより、#488854 は表に出す文章としては変だと思いました。日記に書くならともかくとして。#488854 と #489056 を簡単にまとめるとこうなると思いますがいかが？
Re:office氏の指摘って… (スコア:0)
一次情報に近いものがあります。誰がどれを書いたのかは判然としませんが、雰囲気はわかる。
つまらない揚げ足をと
Re:office氏の指摘って… (スコア:0)
ただし、この種の情報は、主題提供者が自分の言の正当性を補強するために自ら提示するものだと思いますがいかがでしょう？
Re:office氏の指摘って… (スコア:0)
知らせを受けたことがあります。
丁寧語の文章ではあるものの、文面はかなり失礼に感じるもの
でした。
しかも指摘してきた脆弱性については的外れの指摘でした。
的外れだったこともあり、こちらは余裕で大人の対応で返しましたが、
この手の指摘を突然送ってくる人間には大きく分けて二種類いると
思います。
(1)相手が気づかない脆弱性を自分が発見し、自分が偉いと勘違いする
(2)相手が気づかない脆弱性を発見し、本心から何とかしなくてはと思う
ここで、脆弱性を知らせてくる文書の文面が違いとなって現れてくると
思いま
Re:office氏の指摘って… (スコア:1, すばらしい洞察)
無能で笑われる人生を選ぶよなぁ。
Re:office氏の指摘って… (スコア:1)
> 能無しのくせに。笑わせるな。
確かに、私はミスを犯しましたよ、笑いたければ、笑えばよい
でしょう。私自身もなさけないミスだったと思いますから。
だが、私は能なしでなんかないと、プロとしてのプライドを
賭けてそう言えます。
ミスはミスとして認め、成長していくのが人間でしょう。
それとも、そういうあなたは、ミスをしないとでも。生まれた時から
今まで常に完璧なプログラマだったとでも？
ならば、そう言っていなさい。言うのは勝手ですが、すくなくとも
そのようなことを書く人物には誰も仕事は頼まないし、友達にもなり
たくないでしょう。それだけのことです。
Re:office氏の指摘って… (スコア:0)
「私は能なしでなんかないと、プロとしてのプライドを賭けてそう言えます。」
「そういうあなたは、ミスをしないとでも。生まれた時から今まで常に完璧なプログラマだったとでも？」
……
ふつーの能ある人は爪を隠すものです。
中には能があり過ぎて、隠しても隠し切れない人もいますが、