アカウント名:
パスワード:
もうひとつ思うことは、 この騒動が結着した暁には、 office氏にセキュリティ業界に復帰して欲しいと思う。 もちろん、いろいろな人が表明しているような、彼の未成熟な部分を克服した上で。警鐘の鳴らし方を身に付けたoffice氏が 日本のウェブアプリケーションを安全な方へ引っぱってゆく姿が見たいと思います。
40過ぎた人間の人間的な未熟さってもう直んないとおもうなぁ。 また、もくもくと XSS の穴探しをするようなら同じことをやらかす可能性が高いと思うけど。 あるいは開き直って「国家権力に危険視されるぐらいのスキルがある」とか嘘ついてパンピーを騙して
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
Was his intention good? (スコア:2, 興味深い)
今回のアクセス方法はここの書き込みを見るかぎり cgi プログラムのバグを利用しており、さらに彼は ACCS に知らせる前に集会でこの脆弱性を公開していると ACCS 側は主張しているようです。
これらが事実なら、私は「不正アクセス防止法違反」の条件はクリアできるような気がします。
まず、ACCS に知らせる前に 集会で脆弱性と個人情報の公開をした事は office氏の意図がいくら良いもの(社会への警鐘)であったとしても、ACCS から(または社会的に)見れば悪でしょう。
また、アクセス方法についてですが、.htaccess でのアクセス制限をしていなかったりする事例とは明確に区別できると思います。行為としては、ブラウザのURL欄に適当な文字を入力する事に変りはないのですが、サーバ側で動いているソフトウェアに存在するバグ(お粗末なバグのようですが)を利用する今回のケースでは、例えば以下のようなケースと同様だと私は考えます。
1. ウェブサーバソフトウェアにバグがあり、特別な文字列を URL として与えると docroot の外のファイルにアクセスできる。
2. サーバの ftp などのデーモンのバッファオーバーフローを利用して、サーバにログインしファイルを覗く。
これらの点を踏まえると、「不正アクセス防止法違反」の条件にあてはまると考えます。
「office 氏は、集会で個人情報を公開するために cgi のバグを利用してウェブサーバから情報を引き出した」
という容疑を受けているのだと。
また、懸念されるセキュリティ業界への影響ですが、個人的にはあまり心配していません。お客様との契約書には少し注意が必要になるかもしれませんし、業界のモラルにも注目が集まるでしょうが。
Re:Was his intention good? (スコア:1)
> ACCS 側は主張しているようです。
これは容疑者自身が自らの掲示板 [office.ac]で語っていることです。
11月10日 13時55分 ( No.1613 )
office
A.D.2003での私の発表についてのその後
・発表直後に前触れなしのExploitが可能であることが確認されました。
このことをよく認識してください。＞国分さん
・発表直後にJPCERT/CC, ACCS, FirstServer, KUBOTAにまとめて報告しました。
Re:Was his intention good? (スコア:0)
あいまいな文脈ですが、ACCSに知らせなかったのは「集会で個人情報を公開する」ということの筈。
脆弱性自体に関しては、何度かACCSに警告したが、対応してもらえなかった、とofficeは言ってます。
Re:Was his intention good? (スコア:1)
お二人とも、ご指摘ありがとうございます。
もうひとつ思うことは、 この騒動が結着した暁には、 office氏にセキュリティ業界に復帰して欲しいと思う。
もちろん、いろいろな人が表明しているような、彼の未成熟な部分を克服した上で。警鐘の鳴らし方を身に付けたoffice氏が 日本のウェブアプリケーションを安全な方へ引っぱってゆく姿が見たいと思います。
#若いころは私も他人が馬鹿に見えたものです
Re:Was his intention good? (スコア:0)
40過ぎた人間の人間的な未熟さってもう直んないとおもうなぁ。
また、もくもくと XSS の穴探しをするようなら同じことをやらかす可能性が高いと思うけど。
あるいは開き直って「国家権力に危険視されるぐらいのスキルがある」とか嘘ついてパンピーを騙して
Re:Was his intention good? (スコア:1)
まあ彼が変わらないのならば、「業界から放逐」に賛成です。
Re:Was his intention good? (スコア:0)
第三条二項二のことですか？
ならば、アクセス制御機能とはこの場合、何を指しますか？
どう見てもアクセス制御機能などないように思えるのですが。
Re:Was his intention good? (スコア:0)
どう見たのですか？
あなたが「どう見たのか」がわからないので、その見方が正しいのか間違っているのか判断できません。
どう見たのですか？
＃どうも見てないんでしょ？