「Chaos Computer Club、独キリスト教民主同盟には2度と脆弱性を知らせない」記事へのコメント

直接報告するのはリスクが高いってことかな

[Anonymous Coward]

日本だったら、IPAに報告するのがいいのかな。
脆弱性に報奨金をかけているようなところなら、直接、報告してもいいと思うけど。

Re:直接報告するのはリスクが高いってことかな

[Anonymous Coward]

IPAは未だに情報セキュリティ白書をパスワード付zipで配布してるからなあ……
しかも、パスワードを得る為の登録サイトをIE/Edge/Chrome/Safari以外は弾く様に作ってある。

Re:

[Anonymous Coward]

え、マジで！？（Firefox使い）

Re:

[Anonymous Coward]

変なブラウザまで対応する必要はない
税金の無駄

Re:

[Anonymous Coward]

変なブラウザ(Firefox)

Re:

[Anonymous Coward]

変なブラウザ(Firefox)

「謎の半導体メーカー(nVIDIA)」なみにウケル

#NCSA Mosaic からの代々の継続ユーザー

Re:

[Anonymous Coward]

作ってて結果一部のブラウザで動かないということならその言い分もとおるが、
あえて弾くようにするのは追加費用だろ

Re:

[Anonymous Coward]

動かないと文句言ってくるバカへの対応コストよりは安いので残当
いや冗談ではなく。

Re:

[Anonymous Coward]

だとしても火狐弾くのは意味不明すぎる

Re:

[Anonymous Coward]

FirefoxはOSから切り離された独自のSSL監理システム持ってるからでしょうね
きちんと機能している間は問題ないでしょうが絶対の信頼を置くのは難しいブラウザですよ

Re:直接報告するのはリスクが高いってことかな

[Anonymous Coward]

OSから切り離された独自のSSL監理システム

ってのが何を指すのかはっきりしないのですが、もしMozillaが管理している認証局のリストのことでしたらca-certificatesというパッケージ名で大半のLinuxディストリビューションに標準搭載されているのでマイナーなものではありませんよ。

IPAの話をしますと、www.ipa.go.jpはApache httpdを使用しているようなので、高い確率でca-certificatesも使用しているでしょう。

絶対の信頼を置くのは難しい

と言っているあなたも何かしらca-certificatesの恩恵にあずかっているはずです。

そもそもMozillaの管理するリストがWindowsのものより信頼性に劣ると主張する根拠がよく分かりません。Mozillaの方は「どこどこの認証局は運用がダメだ」みたいな話を公の場で議論したりしているので、透明性という点ではむしろ優れていると思うのですが…

Re:

[Anonymous Coward]

NSSのことかも？

Re:

[Anonymous Coward]

日本の公的組織と認証局の話でMozillaと言えば、
日本の公的認証局の運用体制がMozillaの審査基準に適合しなくてMozillaのリストに含まれてなかった、的な話があったような。

杓子定規に過ぎるけれどどちらが正しいかと言えばMozillaかな的な案件だったようなうろおぼえの記憶。

Re:直接報告するのはリスクが高いってことかな

[Anonymous Coward]

オフトピですが、これですね

Mozilla、日本政府の公開鍵基盤（GPKI）について「対応予定なし」というステータスに
https://it.srad.jp/story/18/03/01/072235/ [it.srad.jp]

Re:

[Anonymous Coward]

存在証明が必要だったから、電話一本すれば済んでた話だった。

Re:

[Anonymous Coward]

Linux自体がマイｎ…いやなんでもありません。

って人の事を言えないBSDユーザーorz