「不適切に公開されていたDockerイメージにより、Vineのソースコードが流出」記事へのコメント

某サイト

[Anonymous Coward]

某サイトはAmazon S3で非公開ファイルが丸見えだったなぁ。
一応、リバースプロキシ通して小細工してたようだけど、S3のアカウントが丸見えという…。

# 日本は脆弱性報告しても報奨金貰えないから、報告する義理は無いけどね…。
# クレジットすら載せてくれねぇ。

Re:

[Anonymous Coward]

それどころか訴えられたりISPに圧力かけられてアカウント止められたりするからねえ。佐賀県の事件は必然だったとしか

Re:

[ogino (1668)]

そういうときは JPCERT コーディネーションセンターのインシデントの報告 [jpcert.or.jp]を使うものだと思います。内容確認とか連絡先・担当者を探すとかをお任せできます。

はじめての JPCERT/CC [jpcert.or.jp]:

インシデント対応

情報システムにおけるインシデントとは、正当な権限をもたない人がコンピュータを不正に利用するようなコンピュータのセキュリティに関わる事件、出来事の全般を指します。この

Re:某サイト

[Anonymous Coward]

コレ思い出した [hatena.ne.jp]。
この記事はIPAのだけど体裁は大差ないし匿名通報を受け付けてくれうのかだいぶ不安。
匿名無理なら「4. 報告者に損をさせない」の懸念はあまり変わらないよなぁ…。

匿名通報

[ogino (1668)]

連絡がつかないというのは困るでしょうけど、捨てフリーメールアドレスをとってメールなりで通報すれば、あとは JPCERT/CC の方でどうするか考えるんじゃないでしょうか。Web フォームだと氏名とメールアドレスが必須になっていますが、氏名欄を匿名希望とでもしておけば良いように思います。

連絡が付くようにしておけば、どうしても匿名でダメというときにはそのように回答してくるでしょうし、悩むよりもやってみるほうが簡単かと。

Re:

[Anonymous Coward]

本件につきまして、ガイドラインの以下の項目に記載がありますよ
うに、届出の際には発見者様の氏名をご記入頂いております。
これは、責任ある届出を促すためであり、匿名やハンドルネームの
届出は受理できませんので、実名での届出にご協力をお願い致します。

IPAは初手の時点では駄目だったみたい [hatena.ne.jp]だけど、JPCERT/CCは違うといいね…………と思ったけど。