「未対策・未発表な多数の国内産脆弱」記事へのコメント

公開の必要性

[Anonymous Coward]

Hotmailの脆弱性なんて物凄く手軽に利用できそうなんだけれども、
ベンダーへの通知より先に公開してしまうことにはどんなメリットがあるんだろう？
一般ユーザのセキュリティ意識を高める？リスキーすぎると思うけどなぁ。

Re:公開の必要性

[Anonymous Coward]

> ベンダーへの通知より先に公開してしまうこと

決め付けちゃいけませんよ、*同時*かもしれないでしょう。
それはともかく、「未発表」の脆弱性というのはなんだかなあ、
少なくともこの人は自分のサイトで「発表」してるんじゃないの？

# もちろん、より適切な場所が他にあるのは否定しません。

Re:公開の必要性

[Anonymous Coward]

いや、ベンダーになんか知らせなくていい。 これぞ正しい脆弱性の公開方法だ。exploitも満載で大満足だね。 もっとどんどん大勢の目に触れる所にリンクを貼りまくれ。

Re:公開の必要性

[tamago915 (19926)]

こんなのに釣られてはいけないのかもしれないが……。

＞これぞ正しい脆弱性の公開方法だ。

そうする目的、というか、あなたの考えている理想のネット社会のあり方はどのようなものなの？

Re:公開の必要性

[alp (1425)]

最初の AC ではないけど、すくなくとも、他人が善意を持つことを強制しない社会。

＃ベンダに通告することに報告者に何のメリットもない上、業務妨害等恫喝される可能性すらある以上、私もこれが正しい脆弱性の公開方法だと思いますね。

Re:公開の必要性

[az77 (11230)]

この公開方法で、公開した脆弱性の情報に間違いがあった場合、信用毀損の業務妨害で、
（恫喝ではなく）実際に訴えられる可能性があると思えるんですが。

ベンダへの通告に報告者にメリットがないのは同感です。
ただ、私にはベンダに報告しないリスク（デメリット）の方が大きい様に思えます。

# 間違いがなくても訴えられるリスクは考えた方が良い気がしますけど。

Re:公開の必要性

[Anonymous Coward]

ノーリスクにするためには、
見つけても黙ってるか、
情報をWinnyみたいなもので流すことで発信者の特定を逃れるか、
どっちかしかないってことですね

Re:公開の必要性

[alp (1425)]

:信用毀損の業務妨害で（恫喝ではなく）実際に訴えられる可能性があると思えるんですが。

これは事実ですけど、そのための匿名。間違いがなくとも訴えられるのは、すでに事例としてあるわけですから、間違いを気にすることにほとんど意味はありません。一方、ベンダの利害は関知しなくとも、その利用者に対して当該ベンダの脆弱性情報は参考になりますし、実際の PoF を合わせて公開すれば確認も出来る (その際に不正アクセスにならないようにしなければならないですし、法治国家とは縁も縁もない日本の場合それがかなり難しいのは確かですけど)。そういう意味で、匿名の場で情報の交換が出来るのは、現在の状況からするととても好ましいことに感じます。少なくともまるで信用の出来ない IPA や JPCERT を頼るよりは遙かにましでしょう。

Re:公開の必要性

[Anonymous Coward]

黙ってるのは良いとしても。

>情報をWinnyみたいなもので流すことで発信者の特定を逃れるか、

ソフトウェアの脆弱性の報告で、ソフトウェアの匿名性を信頼するのは本末転倒だろ。

まあ、普通に考えれば報告の仕組み作りを模索した方が有意義だろうね。
そういや、昔にMSやらのメーカーが集まって報告の会議やってたけどあれってどうなったんだろ。

Re:公開の必要性

[az77 (11230)]

>これは事実ですけど、そのための匿名。

# ちょっと話の繋がりが見えませんが、今回のHPって匿名なんでしょうか？
# まあ、実名表記はなさそうですけど。その程度の匿名だと訴訟対策としては、意味はないと思いますが。

閑話休題。

匿名によるリスクの低減というのは否定はしませんし、匿名の場で情報の交換の場があっても
良いと思います。

が、匿名の推奨というのはまんま(#597913) のご自身の意見を否定している気がしますが。
匿名では本人の自己満足以上のメリットはないですし、メリットがない以上、当人の善意
をあてにしないと成り立ちません。

まあ、情報交換の場には同好の士が集まるでしょうから趣味としては満足出来るのがメリット
といえばメリットなんでしょうけど。いずれにせよ、それだと趣味の域を出ないと思います。
それが大きな信用を得るには、より多くの善意の積み重ねが必要だと思いますよ。