「航空チケットサイトにセキュリティーホールを見つけた人物がFBIから強制捜査」記事へのコメント

見つけた人物がFBIから強制捜査

[Anonymous Coward]

間違ってはないけど誘導っぽい表現

見つけた人物がオンラインサイトに連絡もせずに
抜け穴を公表したらFBIから強制捜査

このぐらいのほうがよさげ

はっ、スルー力が足りないだけか? orz

抜け穴だったんだろうか

[Livingdead (18685)]

どこからが抜け穴で、どこからが抜け穴じゃないのか、それが気になる。

--
屍体メモ [windy.cx]

Re:見つけた人物がFBIから強制捜査

[BonTf (8325)]

見つけた人じゃありません。 この穴自体は大分以前から良く知られていて、
今回のChrisさんの貢献は、HTMLとかを知らない人でも
その穴を突く事を可能にするためのツール(PHPスクリプト)を公開したことです。

2005年2月に、Slate [slate.com]やニューヨーク州選出のSchumer上院議員(民主党)の サイト [senate.gov]に
記述があります。 ちなみに、インディアナ大学の院生であるChrisさんは、大学からの法律関係のサポートが
得られない状況なので、paypalで募金をしています。

問題のツールを紹介しているblogの10月25日の記事で、彼は

I realized today that editing HTML, while easy enough for a geek, is still far too difficult for population at large.

と書いた後に、ツールへのリンクと使い方の説明をしています。
そして最後には"Have fun!"でしめていて、私は愉快犯と捉えました。

この事自体が強制捜査に値するとは思っていませんが、Cybersecurityを研究している
人の行動としては軽率だと思います。

参考:slashdot.orgのこの記事 [slashdot.org]とタレコミ中の記事、またはそれらからのリンク先

Re:見つけた人物がFBIから強制捜査

[celibidache (14043)]

タレコミに依ると
>> 航空会社のオンラインチケット発券サイトにあるセキュリティーホール
とのことですが、「サイトの」セキュリティホールなんでしょうか？

Fake Northwest Airlines Boarding Pass Generatorが最早404なんで、想像だけで書きますが、
- NWAのオンライン・チェックインで印刷出来る搭乗券(PDF file)には、搭乗者名・便名・日付・座席番号など、搭乗券から容易に読み取れる情報だけで生成したチェックサム(のバーコード)が印刷されている
- ゲートでは、バーコードの妥当性と座席のダブりだけがチェックされ、実際の予約システムへの照会は行っていない
だったりして。

だとすると、「サイトの」セキュリティホールじゃ無くて、「搭乗券の」セキュリティホールなのかな？