「経産省のソフトウェア脆弱性報告基準が施行、運用が始まる」記事へのコメント

公表が先なの?

[T.MURACHI (15699)]

仕組みとしては、IPAが届け出を受け付け、公表とデータベース化を行い、JPCERT/CCが検証した上で開発者へ連絡する。

検証→開発者へ連絡よりも先に、情報を公表しちゃうの? 重大なセキュリティーホールだったりする場合、修正が確認されるよりも先に公表しちゃうのはマズくないですか?

--
むらちより/あい/をこめて。

Re:公表が先なの?

[Anonymous Coward]

いやまったくその通りだと思います。
通知より先に公表しちゃったら、office さん状態になっちゃうじゃないですか。



……というしょーもないボケは置いといて。
ちょっとマジレスすると、IPA のプレス発表 [ipa.go.jp]の図を見ると、
製品開発者への通知のほうが公表よりも先みたいですね。

開発者とのやりとりは JPCERT/CC が行うみたいですが、
IPA が受け付けてから開発者に伝わるまでどれくらい時間がかかるのか、
開発者に連絡したという情報を発見者にフィードバックするのかしないのか、
イマイチはっきりしませんが。

でも発見者の情報については公表後も機密とされるので、
発見者が開発者／運営者から逆ネジ食らう心配はなくなるのかな。

Re:公表が先なの?

[Anonymous Coward]

マジボケもいいところだ。彼と一緒にしてはいけない。
彼は通知してなかったんじゃない。
通知先をちゃんと公表してない側。通知の仕方がまずかったんで門前払いされてぶちぎれた、という背景があるのを忘れちゃいけない。
得たデータ、特に個人情報を一部とはいえ当事者に無断で公表しちゃったことは当然正当な手段で裁かれるべきことだけどな。

Re:公表が先なの?

[Anonymous Coward]

> 通知の仕方がまずかったんで門前払いされてぶちぎれた

1: いきなりAD200xで情報大公開
2: それから各機関に連絡を送付
3: ACCSが出した返事のメールヘッダがACCSからっぽくなかったと河合が勘違い

時系列を間違えないでくだちい。
大うそつきもいましたが、みんなちゃんと反応しました。