アカウント名:
パスワード:
相手からの「やって良いよ」という言質さえ手にすれば試験自体が問題ないだろう。 きちんと損害発生時の事まで含めた契約書を作成してか
そういうのは真面目に許可を取ってから言えば良いだけで、何もせずに言うのは単なる過剰反応でしょ？ 全く根拠無い事言われてもねぇ･･･。
＃まあ、この手のコメント自体が自分が気に食わないと過剰反応する事もあるって例かもしれないけど、 ＃裁判ってノリで騒ぐのに比べて手間隙も掛かればリスクもあるんですが。
ってか、許可を求められて訴えるのは相当なサイコな管理者だろうけど、世の中にそんなにいるとは思わない。 問い合わせに返答が無いからってアタックするサイコなセキュリティ専門家が多分そんなにいないであろうってのと同様なレベルで。
普通の管理であれば、「脆弱性がある疑いがあるのでテストする」って言われたら、
・断りのメールを書く。 ・内部で試験する。 ・問題対処後、必要ならコメントを出す。
ってのが普通ではないですか？
通常の企業なら、試験の為とはいえ知らない外部の人間に自由にアクセスさせるってオプションは無いでしょう。 面倒くさがりの管理者なら、返答は端折るかもしれません。
またメール自体の信憑性が無ければ「無視する」ってのも普通のパターンでしょう。 その手のSPAMやフィッシング詐欺メールもありますから。
でも、過剰反応ってのは、普通はまず無い。 しても通常は何も得をしないし、訴えるとなると管理者の権限だけでは出来ないですし。 普通は法務部なり中小ではそれこそ社長の裁可を仰がないと出来ないでしょうから、よっぽど嫌われないと訴えられる事自体が難しいのではないかと。 大体、実際に被害も発生していない状況で個人を訴えても、絶対に元なんか取れないですからね。
というか、それが「犯罪」ってのが司法の判断だと思って良いかと。
んでもって、私はそれはそれで良いと思いますよ。
明確な許諾も無く自分の思い込みだけで実害を発生しかねない行動を取る者なんかは、はっきり言って信用出来ませんから。 自称でセキュリティ研究家と言われても、その内容は一切わからないし、何よりも人間として信頼に値するかどうか？って業務上一番大切なところで既に信用を無くすような行動（許諾無しのアタック）を起こす位ですから。 どのみちその様な人間を信頼する事なんて無理。 特に責任の一端でも自分で担っているのであれば尚更でしょう。
ですから、一般論として 「外部の人間に試験を容認することは無い」 と考えて良いと思う。 そして無視された時は、それは容認ではなく拒絶と考えるべきでしょう。普通は。
で、拒絶されていたのに勝手にアタックして訴えられたってなれば、それはほとんど自業自得ってものではないかと。
挙句、内部のデータを持ち出して外部で公開したりなんかした日には･･･。 って考えるとACCSがOffice氏を訴えたって事に対しては特に疑問は沸かないですね。
＃別にACCSはスバラシーとか言っている訳ではないんで。
そーゆーのは、民事訴訟で争えばよろしい。
被害者がACCSを民事で訴える可能性は以前から論じられていたけど、実際には訴訟は起こされてなかったと思う。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人
これって (スコア:4, すばらしい洞察)
司法から与えられたっ、て事なんでしょうかね。
Re:これって (スコア:2, 参考になる)
脆弱性の発表の仕方その他については、まあマズかったとは思うのですが、テストアタック方法としては普通の方法だと思いますし。
文面(タレこみの文がそのままだとして)からすると、お墨付にしか読めないですね。
# この裁判上ではしかたないでしょうが、
# ACCSが情報漏洩する状態だったことについても両成敗するならまだ理解できるのだが...
悲しくなったのでID(謎
M-FalconSky (暑いか寒い)
論理展開が分からないです (スコア:2, 興味深い)
今回の判決では、office氏の行為が犯罪と認定されただけの話で、
「今回の情報漏洩の賠償は、全額Office氏が払え」というようなもの
では無い以上、「ノーガードOK」にはならないでしょう。
というか、「ノーガード戦法」という言葉がここまで広がる理由がわからないです。
私の記憶の限り、Office氏の警告を無視しつづけたのは外注の業者ですし、
ACCSが態度を硬化させたのも、「ACCSへの通知前に、脆弱性及び情報をプレゼンで発表した」
からでしょう。
もちろんアホな外注を利用していたという責任はありますが、それだけにしては
過剰反応に思えます。
正直、単なる反ACCS厨にしか見えないです。
Re:論理展開が分からないです (スコア:0)
Re:論理展開が分からないです (スコア:0)
いいじゃないか
スラドだもの
みつを
Re:論理展開が分からないです (スコア:0)
Re:これって (スコア:1, 興味深い)
無関係の第三者が予告もなしにハッキングして情報を盗んでいく事が「普通」ですか……
いい加減、こういう手合いは自浄作用として撲滅しないといけないでのはないだろうか。
Re:これって (スコア:3, すばらしい洞察)
私は今回の攻撃(?)方法は正常の範囲内だと思うのです。
なので、正常の範囲内の脆弱性確認は、なんとか許容されるところかなと
あと、予告できる仕組みってありましたっけ?
# 別ACさんの「お墨付じゃないだろ」も、そうかもと思います。
# 私が法律に無知なので、間違えているんですねきっと。
...一番不味いのは自分の無知と改めて認識。うぅ…
M-FalconSky (暑いか寒い)
Re:これって (スコア:2, すばらしい洞察)
「他人にサーバに脆弱な部分がありそうだ」「試してみたい」この段階で
「脆弱そうなんで確認のためにアタックするけどいい？」と確認を取っていれば問題はなかったはず。
予告できる仕組みというか普通に対象者に連絡を取ればいいのでは？
「セキュリティ技術者が脆弱性を探す行為」は行為だけ見ればアタックでしかなく
それが許されるのは被攻撃者がそれを認めている場合です。
無作為にあちこちのサーバをつついて脆弱性を探すという時代は
終わって対象者に試験の許可を取ってから脆弱性探査を行うという
流れになっただけでしょう。
#脆弱性を利用する人は黒い人
#脆弱性を悪用する人は悪い人
やなぎ
字面じゃなく論旨を読もう。モデレートはそれからだ
Re:これって (スコア:2, すばらしい洞察)
Re:これって (スコア:0)
許可をとろうとする行為は「これからアタックしてもいいですか？」じゃないの？
返事がなければ…やってもいいのかな（ｗ
「異議なきときは沈黙を以って答えよ」
Re:これって (スコア:0, 余計なもの)
「許可を取る」ってのは相手の許諾を持って初めて実行する。
「予告」は実行する事は既に（自分で勝手に）決定済みで、それの通知を行う。
相手からの「やって良いよ」という言質さえ手にすれば試験自体が問題ないだろう。
きちんと損害発生時の事まで含めた契約書を作成してか
Re:これって (スコア:1)
こんな冗談みたいなことがホントに起こる世の中になりつつあることを危惧してるんじゃないかな。
Re:これって (スコア:1)
>しかも何故か裁判なんかもそのまま負かされてしまって、多大な損害を被りかねない。
そういうのは真面目に許可を取ってから言えば良いだけで、何もせずに言うのは単なる過剰反応でしょ？
全く根拠無い事言われてもねぇ･･･。
＃まあ、この手のコメント自体が自分が気に食わないと過剰反応する事もあるって例かもしれないけど、
＃裁判ってノリで騒ぐのに比べて手間隙も掛かればリスクもあるんですが。
ってか、許可を求められて訴えるのは相当なサイコな管理者だろうけど、世の中にそんなにいるとは思わない。
問い合わせに返答が無いからってアタックするサイコなセキュリティ専門家が多分そんなにいないであろうってのと同様なレベルで。
Re:これって (スコア:1)
が、アクセスの許可と言った/言わない・した/しないとか、アクセスの内容が申し合わせと違うとか、そういったレベルでの食い違いや揚げ足取りなら今後あるんじゃないですかね。
しかし、「高度情報通信社会の健全な発展を阻害することは明らかだ」とは随分大きく出ましたね。
事件はもちろん好ましくないとして、既にある欠陥を気付かれず・触られる事がなければ健全である、と？
裁判所の仕事ではないですが、予防措置の大切さも啓蒙して欲しかったです。
Re:これって (スコア:3, 参考になる)
「脆弱性がある疑いがあるのでテストする」
→「脆弱性のある物を使っているという風評被害を起こすのか、会社の名誉を傷つけるのか！」となる経営者や管理職は少なくないでしょうね。
# 特に経営陣がセキュリティに疎い会社ほどそういう過剰反応をすると思う
Re:これって (スコア:0)
Re:これって (スコア:1)
普通の管理であれば、「脆弱性がある疑いがあるのでテストする」って言われたら、
・断りのメールを書く。
・内部で試験する。
・問題対処後、必要ならコメントを出す。
ってのが普通ではないですか？
通常の企業なら、試験の為とはいえ知らない外部の人間に自由にアクセスさせるってオプションは無いでしょう。
面倒くさがりの管理者なら、返答は端折るかもしれません。
またメール自体の信憑性が無ければ「無視する」ってのも普通のパターンでしょう。
その手のSPAMやフィッシング詐欺メールもありますから。
でも、過剰反応ってのは、普通はまず無い。
しても通常は何も得をしないし、訴えるとなると管理者の権限だけでは出来ないですし。
普通は法務部なり中小ではそれこそ社長の裁可を仰がないと出来ないでしょうから、よっぽど嫌われないと訴えられる事自体が難しいのではないかと。
大体、実際に被害も発生していない状況で個人を訴えても、絶対に元なんか取れないですからね。
Re:これって (スコア:1)
>「管理者の想定していない」アクセスで有罪。
>なんてことになりかねないわけですから
というか、それが「犯罪」ってのが司法の判断だと思って良いかと。
んでもって、私はそれはそれで良いと思いますよ。
明確な許諾も無く自分の思い込みだけで実害を発生しかねない行動を取る者なんかは、はっきり言って信用出来ませんから。
自称でセキュリティ研究家と言われても、その内容は一切わからないし、何よりも人間として信頼に値するかどうか？って業務上一番大切なところで既に信用を無くすような行動（許諾無しのアタック）を起こす位ですから。
どのみちその様な人間を信頼する事なんて無理。
特に責任の一端でも自分で担っているのであれば尚更でしょう。
ですから、一般論として
「外部の人間に試験を容認することは無い」
と考えて良いと思う。
そして無視された時は、それは容認ではなく拒絶と考えるべきでしょう。普通は。
で、拒絶されていたのに勝手にアタックして訴えられたってなれば、それはほとんど自業自得ってものではないかと。
挙句、内部のデータを持ち出して外部で公開したりなんかした日には･･･。
って考えるとACCSがOffice氏を訴えたって事に対しては特に疑問は沸かないですね。
＃別にACCSはスバラシーとか言っている訳ではないんで。
Re:それって (スコア:1)
あるか否かという裁判上での争点は、テストアタックを
不正アクセスと見なすかどうかという検察と被告の
見解がぶつかった結果ではないでしょうか。
裁判のミクロな点ではアクセス自体を争点にしていましたが、
大きく見るとテストアタックをどうみなすかが争点であったと思います。
やなぎ
字面じゃなく論旨を読もう。モデレートはそれからだ
Re:これって (スコア:0)
少なくとも私には、アタックに成功して情報だけ見ずに済ませるなんて器用な真似は出来そうにありません。
Re:これって (スコア:0)
Re:これって (スコア:1)
Re:これって (スコア:0)
ACCSの法的過誤とは何でしょうか。
それを明確にしていただかないと、
いつまでも無い物ねだりをしているようにしか
見えないのですが。
Re:これって (スコア:5, すばらしい洞察)
ACCSが「個人から収集していた情報」が公開されています。
被害を受けたのは「情報を漏洩された個人」です。
決して「ACCS」ではありません。
企業の製品情報等が盗まれた場合企業は「被害者」ですが、
企業が持っている個人情報の管理が悪くて情報が漏洩した場合、
企業は「加害者」です。
ACCSは、情報管理をきちんとしていなかった「加害者」ではありませんか？
「ACCSの法的過誤」という言い方を読んで、「法律に書いていないので法律に違反していない」という非常に危ない発言を思い出してしまいました。
当然「法律以前の常識の部分」で、責任を問われるべき立場だと思いますが？
Re:これって (スコア:0)
>決して「ACCS」ではありません。
そうですね。
そして加害者は河合です。
で、それが両成敗の根拠なの？
Re:これって (スコア:1)
そう捉えるならば「ACCSは犯罪に荷担した」となるのでは？
漏洩の被害者からすれば、ACCSも加害者。
---- 何ぃ！ザシャー
Re:これって (スコア:0)
顧客にそれを伝えず対策もしなかった管理会社。
十分、責任がありそう。
Re:これって (スコア:0)
危険性があることを把握していながら放置するのは問題かと
Re:これって (スコア:1)
ACCSの置かれてる立場は三菱ふそうのリコール騒ぎにむしろ近く、欠陥商品を出してるようなものだと思いますが？
# その発言はむしろ工作員と取られる恐れがありますよ？
---- 何ぃ！ザシャー
Re:これって (スコア:1)
# 該当する板にでも貼り付いてて下さいな:-P
今回の裁判はあくまで「ACCSがOffice氏に対して起こした刑事訴訟」なので、この場合「ACCSも悪い」のではなく「ACCSの管理はザルだった」と言うべきだったですね。確かに加担という表現はおかしかったと思います（反省）。
ただ、『情報漏洩された個人』という本当の被害者がいて「被害者連がACCSに対して管理責任を追求する民事訴訟」の方が重要と思いますが。個人情報を預託されているACCSの側に「お客様の情報を守る」という意識が希薄だった、と取られても言い訳のできないと思います。
お客さまの存在が地裁判断で考慮されているか…わかんないですね。
---- 何ぃ！ザシャー
Re:これって (スコア:1)
刑事訴訟の提起は検察官しか行うことができません(刑事訴訟法第247条)
Re:これって (スコア:1)
>刑事訴訟の提起は検察官しか行うことができません
勘違いで失礼しました…
「ACCSの被害届をもとにOffice氏を容疑者とした刑事事件として立件」あたりが事実に近いですか？
---- 何ぃ！ザシャー
Re:これって (スコア:1)
些末な事を突っつくようで申し訳ないですが、
刑事訴訟を起こせるのは、あくまでも検察です。
（今回の場合では）ACCS じゃないです。
# オフトピ気味なツッコミですが……
Re:これって (スコア:1)
>（今回の場合では）ACCS じゃないです。
重ね重ねで申し訳ないっす。＞お二方
# 刑事訴訟辞書を獲得しました（もじぴったん風
---- 何ぃ！ザシャー
Re:これって (スコア:0)
テンプレ [geocities.jp]
なにをどうすれば、ACCS自体が欠陥商品を出してるようなものだと思えるのか、
頭割って脳みそをみてみたい。
Re:これって (スコア:1)
テンプレとだけ書かれてもタレコミに書いてあるわけでもなし。
過去のトピックにはそういえば貼ってあったようだが、とりあえず再掲するなどして誘導して欲しかったわけよ。
てなわけで、テンプレへの誘導サンクスです:)
# テンプレ見て前回までの経緯を思い出しかけたけど
# 落ち着いて書くべきなのでやめとこっと…
# あと自分の口調には気をつけようね
---- 何ぃ！ザシャー
Re:これって (スコア:0)
Re:これって (スコア:0)
Re:これって (スコア:0)
意味わかって使ってますか？
支那人のことか??
Re:これって (スコア:0)
いいえ。
ラーメンに入っているメンマすなわちシナチクでも
ピッキングできるということだと思われます。
Re:これって (スコア:0)
Re:これって (スコア:1, 興味深い)
刑事では処罰する法律は存在しませんので、無罪ですが、民事では
善管注意義務違反で賠償責任を認められるものと思われます。
＃ただし、ACCSから流出したことを立証する必要はありそうですが。
ちなみに、ACCSはA.D.2003でOffice氏のプレゼンで晒された方に対しては
すでに謝罪済み [askaccs.ne.jp]とのこと。
また、ACCSとOffice氏の間でも和解が成立 [askaccs.ne.jp]していますね。
Re:これって (スコア:0)
そーゆーのは、民事訴訟で争えばよろしい。
被害者がACCSを民事で訴える可能性は以前から論じられていたけど、実際には訴訟は起こされてなかったと思う。
Re:これって (スコア:0)
いったい何の意味があるのかね。
officeが個人情報を盗んだのと、盗まれたACCSの責任は別の問題だろう。
なんでそれを、officeの刑事責任を裁く刑事裁判で
同時に問わなきゃいかんのか私にはさっぱり理解できない。
Re:これって (スコア:0)
なになに？どうしたの、なんでいきなり「同時に」なんて言葉が出てくるの。
> 法治国家における刑事裁判において
刑事裁判において？誰が刑事裁判で裁いて欲しいと言っているのだろう。
Re:これって (スコア:0)
#713674も#713677のいずれもその文脈で、
刑事と民事をごっちゃにした発言をしてる。
馬鹿はスレの一連の流れも読めんのか。
Re:これって (スコア:0)
> 刑事と民事をごっちゃにした発言をしてる。
そう、ごっちゃにしている。ACCSの責任を追及してくれるならどちらでも構わないから。なのにどこぞの誰やらは
Re:これって (スコア:0)
個人情報というのは「相手から預かっている」ものだ、というのが法律以前の常識だろう、という事なのですが、「常識」（暗黙の前提）で制御されてきた物について、前提を理解できない・
事実を捻じ曲げるのはヤメ (スコア:0)
情報管理をきちんとするとは、具体的にはどのようなことを言っている？
脆弱性があることを知っていながら看過していたのはACCSではなく
そのアプリケーションを提供していたファーストサーバだろう。
ACCSが脆弱性のことを知ったのは、河合容疑者によって個人情報が
盗難され、その手法と情報が公開された後のこと。
それまでのACCSはき
Re:これって (スコア:0)
「まあマズかった」とは、ちょっと河合被告の行動に対して甘くないですか？発表の仕方しだいではＡＣＣＳとのトラブル自体が存在しえなかったかもしれないのに。
逆に、このような発表の仕方だったらこそ、裁判官に疑念を持たれたという可能性だってあります。