パスワードを忘れた？ アカウント作成
Close
3197 story

Web開発者に告ぐ「失敗事例を学習せよ」 38

ストーリー by yourCat
セキュア空間を作り出すためにその1 部門より

kamuy 曰く、 "/.Jの中にも聴講した方がいらっしゃるかも知れませんが、なかなか良い内容だと思いましたのでタレコミ。
Network Security Forum 2002というのがこの二日間やっていたようですが、その中での高木 浩光氏などの講演がINTERNET Watchにレポートされております。「安易なActiveXコントロール開発」、「ユーザーにセキュリティーレベルを下げる設定を指示していた問題」、「自分自身が証明書発行機関となり発行」など、かなりイタイ例を挙げて解説したようです。
他にも、「法律の専門家だがセキュリティのことを全く知らない」裁判官や政治家や弁護士などをたたき直したいという北沢 義博氏などの話もあり、なかなかに興味深く。
ついでに前日分のレポートも。
マスコミや政府など、もっとこの手のことを大々的に取り上げていく方向になってもらいたいモノです…"

その前日分には経産省や警視庁からパネリストが立っていて、行政・公安・技術・司法の都合4側面からセキュリティーを論じた形だ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Web開発者に告ぐ「失敗事例を学習せよ」 More

  • 失敗事例を学ぶ (スコア:1)

    by ueno-t (3169) on 2002年06月14日 9時28分 (#107629)

    非常に興味深い内容で、Web開発の一端にぶら下がる人間としては身の引き締まる思いでする。

    ところで、こことか2chとかでの侃侃諤諤を見たり聞いたり、と言うのは「失敗事例を学」でいる事になるのかしら？
    失敗事例ってどのように情報を入手するのが理想的なのだろうと思ってしまった。

    • Re:失敗事例を学ぶ (スコア:2, 参考になる)

      by who-am-i (2922) on 2002年06月14日 10時34分 (#107644)
      失敗事例を学ぶ、ということですが、事例そのものを入手するよりは、 それが失敗だと気が付くことのほうが、さらには指摘された失敗を認めることのほうが大事で、また同時に難しいのではないでしょうか。
      実際に報告されているダメな例なんかを見ても、穴があいてしまった ことよりも、それを直す姿勢やその後のユーザへの対応などのほうが イタイことが多いです。

      もちろん、『指摘されたら謙虚に直す』というのを楯に、判っていて穴だらけのシステムを組むのはもっとイタイとは思いますが。
      シェア
      親コメント

    • Re:失敗事例を学ぶ (スコア:1, 参考になる)

      by Anonymous Coward on 2002年06月14日 9時36分 (#107631)
      http://www.st.ryukoku.ac.jp/~kjm/security/memo/
      シェア
      親コメント
    • マイクロソフトを学ぶ事が失敗を学ぶ事になるのでは？
      セキュリティ強化と言いつつ去年とあまり変らない対応とはこれ如何に

      MS、新たな脆弱性に警告――今年のセキュリティ警告は30件に到達 [zdnet.co.jp]
      ne00_bug.html…名前決めるのも大変なのね。
      • ＞ne00_bug.html…名前決めるのも大変なのね。

        さしあたり来年は「ne000_bug.html」からスタートするということで．
      • 単に、Microsoftは一社ですべて作ってるから多いだけだったりしてね
        Linuxも、構成要素のソフトひとつひとつ見ていけば、セキュリティーホールが発見されるのはMSより少ないけど、
        ディストリビューション全体で見れば、Linuxに負けず劣らず
        脆弱性は多い

  • べき論 (スコア:1)

    by Anonymous Coward on 2002年06月14日 10時43分 (#107649)
    高木さんの意見だってべき論の域を出ていないと思うけど。

    分散システムの研究者（もうやめた？）なんだったら、失敗例から学べとか逃げ打ってないで、形式的に安全性が検証できるような方法を開発してください。

    • Re:べき論 (スコア:3, 参考になる)

      by mishima (737) on 2002年06月14日 11時25分 (#107670) ホームページ 日記
      セキュリティとはプロダクトのことではない、プロセスのことだ、と誰かいってたな。

      「ソフトウェア開発」もプロセスだ、ということで例に挙げると、
      「デザインパターン」 [infoweb.ne.jp]は便利だし、
      これを使えばコードをきれいに書けるが、
      その必要性は「アンチパターン」 [infoweb.ne.jp]があって
      始めて広く理解される。
      (デザインパターンが理論重視の方向性で書かれた一方、
      アンチパターンは豊富な具体例で分かりやすさを重視したスタイル)

      いままでのセキュリティの捉え方が「デザインパターン的」だったため、
      「アンチパターン的」な方向性に切替えよう、ということでない？
      「べき論でない」というのは、具体例を重視しようということでしょ。
      --
      # mishimaは本田透先生を熱烈に応援しています
      シェア
      親コメント

      • Re:べき論 (スコア:2, すばらしい洞察)

        by G7 (3009) on 2002年06月15日 2時42分 (#107986)
        というよりも。

        >「べき論」を繰り返してもなかなか関心を持たれないことや、
        >実例の存在を知り脅威への切実さを肌で感じることが重要

        ということですから、これを裏返せば、氏によって世の開発者諸兄が、
        「お前らは、具体論でしか理解できないor理解しようとしないだろ?」と
        言われてしまっているという事なのではないでしょうか?

        べき論を聞く側のほうにも(能力的や心構え的に)問題が有るぞ、という事なのではないかと。

        氏(セキュリティ方面は疎いのでよく判りませんが)が手を替え品を替え語るってことは、
        それだけ噛みくだいて「もらわないと」判ろうとしない人々が多い、ということなのではないかと。
        事例を聞くまでもなく、べき論の段階で理解し実践できる人ならば、それでOKなのでは?

        >「デザインパターン的」

        デザパタも、具体例からの抽出てゆーか帰納の結果として生れてきたもの、であったように記憶しています。
        そうでなく演繹の産物だとすれば、パターンなどと名乗らないのではないかと。プリンキパル(だっけ?>"原理")とか名乗れば済むんですから。

        「具体例に学べ」ってのは、世間の研究(?)で、まだ帰納化作業が進んでない段階だ、という意味でも有るはずです。
        シェア
        親コメント

      • Re:べき論 (スコア:0)

        by Anonymous Coward
        ソフトウェア高額ではなく揚げ足鳥になっている罠

      • Re:べき論 (スコア:0)

        by Anonymous Coward
        普通ソフトウェア工学を知っている人なら「プロセス」とか口にだすと、CMMとかSPICEとかそっち方面に話題が走ると思いますが。ソフトウェア工学方面から氏の発言をみると、むかしから根深く信仰される

        • Re:べき論 (スコア:1)

          by mishima (737) on 2002年06月14日 13時32分 (#107712) ホームページ 日記
          一般のソフトウェア開発で CMM などを導入できないような水準の、
          日本の現状にも問題があると思われ。
          その状況でプロセス管理の改善とか言っても、絵に描いた餅になるだけなんじゃないかな。
          --
          # mishimaは本田透先生を熱烈に応援しています
          シェア
          親コメント

        • Re:べき論 (スコア:0)

          by Anonymous Coward
          研究者という肩書きで、それをやるとちょっとね、って気がします。
          でもそういうことをやっていても「研究者」の肩書きが名のれる日本って、「ああなんていい国なんだな」って思いません？

          • Re:べき論 (スコア:1, 興味深い)

            by Anonymous Coward on 2002年06月14日 14時03分 (#107721)
            研究者が見るに見かねてこんなことまでやらなきゃいけないんだから、いい国じゃないでしょう。アメリカだったら高木さんはコンサルタントを名乗って今の３倍はかせげると思われ。
            シェア
            親コメント

            • Re:べき論 (スコア:0)

              by Anonymous Coward
              アメリカだったら高木さんはコンサルタントを名乗って今の３倍はかせげると思われ。
              稼ぐもなにも、アメリカの大学からの学位がまったくないのでは、そもそもビザを取ることさえ一苦労と思われ。

              • Re:べき論 (スコア:0)

                by Anonymous Coward
                「アメリカだったら」の仮定には既にアメリカで
                行動できる立場にあるという事も含まれていると
                思われ。

                「アメリカに行けば」ならば、ビザ云々は的を
                射ているかもしれん。

              • Re:べき論 (スコア:0)

                by Anonymous Coward
                というか、「日本がアメリカ並みに○○な国だったら」ということでは？
                （で、○○は何？）

              • Re:べき論 (スコア:0)

                by Anonymous Coward
                「アメリカだったら」の仮定には既にアメリカで
                行動できる立場にあるという事も含まれていると
                思われ。
                ならば仮定からして偽なので、何を言っても良いと思われ。

            • Re:べき論 (スコア:0)

              by Anonymous Coward
              > コンサルタントを名乗って今の３倍はかせげると思われ。

              3倍で済むぐらい、現在高いお給料をもらっているんでしょうか?

        • Re:べき論 (スコア:0)

          by Anonymous Coward
          普通ソフトウェア工学を知っている人なら「プロセス」とか口にだすと、
          Bruce Schneierの「プロダクトのことではない、プロセスのことだ」のプロセスは、その『プロセス』のことじゃないでしょ？

    • Re:べき論 (スコア:1)

      by sk (478) on 2002年06月15日 0時38分 (#107932)
      失敗という概念は設計プロセスの中心となるもので、失敗を避けようと考慮することではじめて、設計の成功が成しとげられる。『橋はなぜ落ちたのか [amazon.co.jp]』

      設計時の想定がちょっと変わっただけでも、もう安心できなくなるからね。欠陥がないことの証明は、まず不可能。数多くの経験(=ケーススタディ)から学ぶしかないよ。

      シェア
      親コメント
  • >「自分自身が証明書発行機関となり発行」など、かなりイタイ例

    正直、ええ？！こんなことできるの！！ってビックリしました。
    それよりも怖いのは、これができることが知られることで
    “便利な裏技”として悪用される危険のほうが大きいような気がするんですが。
typodupeerror

クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人