サイトの脆弱性発見

「脅迫」といえる可能性がきわめて高い行為だと思いますが、というのは置いておいて、当然まともなサイトであるなら、脅迫めいた指摘に対しても、きちんとした対応をするわけですよ。それは当然のこと。
しかし、時間が限られている中で、できることは限られます。利用者の利益を損なわないことを優先したとしても、脆弱性の内容によっては、対応することの優先度が高いとは限らないのです。実際、私が係わっていたサイトでのXSSの脆弱性については、こちらからの返答に対してOffice氏も緊急度が低いことは認めてはいました。

彼の真意はわかりませんが、彼の最初のメールの文面から当時、私がいたサイトで判断されたことは、彼に対してはまるで交渉の余地がない、たとえば、優先度の低い脆弱性であるし、期限までに対応できないので、こちらが対応し、利用者にアナウンスするまでは、公表を待ってほしい、というような交渉は不可能だということでした。

問題は、脆弱性を抱えている側が、それを適切に塞ぎ（緊急度が高い場合は、最悪サイトの一時閉鎖も含む）、利用者にそうした問題があったこと、その影響などをアナウンスした時点までは、Office氏サイドも公開を留まるべきだと思います。もちろん、サイト側の対応が本当に不誠実で、利用者の利益を損なう状況が放置されたままとなるのであれば、Office氏が警笛を鳴らすことも必要かもしれませんが、それも慎重にやるべきだったはず。

ないしょにしたいから、公開しないでほしい、と脆弱性を抱えたサイトが言うのは、言語道断ですが、彼の目的が、本当に彼なりの正義を全うしたく、利用者の利益を守ることなのだとしたら、脆弱性の緊急度に応じて、脆弱性を持っているサイト側が現実的な対応ができるような時間的猶予を与えたり、利用者や一般への公表のしかたについても、それぞれの事情を考慮すべきではないでしょうか？

今回のACCSの件のように、利用者の個人情報が取得できてしまうなどというような緊急度の高い問題の場合なら、なおさら、公開の方法は慎重になるべきです。そこを誤ったがために、今回は個人情報が本当に流出してしまい、結果的に逮捕に至る事態になったわけですから。

私のコメントに的確にフォローしていただいた方 [srad.jp]もおられますので、そちらを読んでいただけると事情はお分かりになっていただけるかもしれません。

>・・・って天体かよ！
新種の植物なんかもそうですよね。
もっとも、名付け親になるだけですが、、、、。

そう云えば、昨日メールに140件の個人情報が添付されてたなぁ。

ワタシ自身、脆弱性を発見できるほどのスキルは無いです。

　

そうそう。
「国が運営」もしくは「国が許可する団体が運営」だと、
書くのが面倒なほど問題が有りますね。
基本的に仕事遅いし、許可する許可しないで権限だの金だのが動くのも嫌ですし。
なにより国の施設の問題をもみ消されたら一番嫌でしょ(^^;)。

業界団体で組織する場合は、可能なら複数存在してほしいですね。
せめて音楽業界やエロゲー販売業界みたいに（例が悪いよ）。

複数無いと、その団体そのものや団体の偉い人が属する会社に対しての追求が甘くなりそうですからね。

＃エロゲーでの例を書きそうになったが意味が全然無くて（笑）消したのでID