住基ネット，現在の穴は約10個 102
ストーリー by Oliver
どのOSでパッチは当てないと 部門より
どのOSでパッチは当てないと 部門より
KAMUI 曰く、 "Mainichi INTERACTIVE の記事に依ると住基ネットで使用している Windows2000 のセキュリティーホールが放置されている事が解った。
住基ネットでは全国的な管理を行う地方自治情報センターから「独自判断でのセキュリティパッチ適用禁止」の通達がされており8月に一度修正ファイルの配布があって以降に発見されたセキュリティホールへの対策は一つも為されていない。地方自治情報センターでは
「修正適用でシステムへの影響が出る為，動作確認が必要」としているがアンチウィルスのパターン更新を放置プレイなど，国民の個人情報を扱いながらセキュリティ問題を抱えてる自覚があるのかと担当者を小一時間(以下略)"
動作確認に数ヶ月？ (スコア:2, 興味深い)
こういうシステムはセキュリティホールさらすより、
システム障害で一時的に見られなくなった方がましという気がします･･･。
#動作確認を理由に頻繁に出る修正パッチの適用を面倒くさがってるんじゃ？
Re:動作確認に数ヶ月？ (スコア:1)
ということで、パッチ適用済み環境でもシステムのひととおりの動作検証が必要になってくる。
…たいへんだなぁって思いますね。
Re:動作確認に数ヶ月？ (スコア:1)
問題発覚、報告書作成、上司に報告、上司が報告書を理解するまで説明、その上司に報告…（似たようなことを数回くり返し）。自治体の首長にやっと報告が上がる、お金がかかるので予算を取るためにドキュメントを作れと部下に命令、部下がその部下に命令（数回くり返し）。（場合によっては議会にかけて審議して…）問題発覚を報告した下っ端に命令が下る…。下っ端が業者との打ち合わせに入って…。（笑）
自治体の首長まではいかなくても、似た状況であるかと。実際にはこの間に土日とか、ゴルフとか、出張とか、なんとか会の会合兼飲み会など入るからねえ。上司の印鑑が貰えないとな～んも仕事進まないから。
＃住基ネットがそうなのかは知らんが
Re:動作確認に数ヶ月？ (スコア:1)
つまり、いまの業務フローが障害の温床というわけですね。
至急、総理大臣直属の業務改革室を設けて、
日本のお役所システムを変えましょう。
フローを止めている人はWeb上で一般公開される仕様とか。
確か... (スコア:2, すばらしい洞察)
いや、万全を期してセキュリティーホールを塞いでおくに越したことはありませんけど。
「修正適用でシステムへの影響が出る為，動作確認が必要」とのことですが、これによるセキュリティーパッチ適用の遅れは例え3ヵ月であれ、1日であれ許されるものではないと思います。
と、少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。
もしこれが、オープンソースであるならば
ということができるので、セキュリティーホール塞ぎがスムーズに済むでしょう。まぁ、あえてオープンソースにしろとは言いませんけど。
// Give me chocolates!
まぁ閉じていても… (スコア:2, すばらしい洞察)
それ以前に運用/データアクセスの管理をちゃんとしてなけりゃ
それ以前の問題だし。
なぜ、外野は騒ぐのに当事者は平然としているんだろう:P
権限! 権限! (スコア:1)
お役所ほどひどくはないでしょうが、たとえ民間企業でも、上層部におバカなのがそろっていたら、同じようなことになると思いますよ。
立案や決裁の権限をもつ人を動かす能力まで含めて、それがないからまともでない、優秀でないという趣旨であれば、たしかにごもっともです。
妖怪天邪鬼 (スコア:2, 参考になる)
私のところ（民間企業）、まさしくその状態で、パッチも当てれません。
主任レベルの人の言うことは、まず反対する連中。救いようないですよ。それでもって、あとから「説得できないおまえが悪い」ですからね。
ためしに、導入したがってるものを後押ししてやったら、突然止める始末。反対したいだけですね。あ！「パッチをあててはいけません。」って言えばよかったのか。
Re:権限! 権限! (スコア:1)
往々にして、お金(予算)をかき集める権限が一番重要必要だったり。(ため息)
--- Melloques Les Covdrasey ---
Re:確か... (スコア:1)
>
> と、少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。
> もしこれが、オープンソースであるならば
>
> セキュリティーホール発見 -> 動作確認をしながら修正して適用
>
> ということができるので、セキュリティーホール塞ぎがスムーズに済むでしょう。
これには全然同意できないんだけど。
メーカーが動作確認してるからって、ユーザーが動作確認しなくていいってわけじゃないし、
「動作確認をしながら修正して適用」って、すっごい危なくない？
「さっさとシステム止めて、パッチ当てろ」というのが正解だと思うのだが。
Re:確か... (スコア:1)
住基ネットがＭＳが作成して納品したものだったらそうでしょうけど、アプリケーション入れてカスタマイズしたのって別ですよね？
他社製品の動作まで保証をしたパッチは無いと思うんですが。。。
というわけでパッチを当てる際にはその上のアプリの一般的な動作については全てテストを行う必要があって、それを毎回出るたびにやるととてもワークがついて行かないので、数ヶ月に一度まとめて当てて、動作検証って言うのは良くある話かと。
Re:確か... (スコア:1, 参考になる)
二重にやっても全然無駄じゃないです。
っていうか、二重にやって当たり前です。
メーカーの確認とユーザの確認一緒にしないで下さい。
今現在、担当している客が、まさしくこのタイプだけど・・・。
確かに構築したのは俺だけど、一体誰のシステムだと思ってるんだと本気で問い詰めたくなるよ。
# 愚痴モードなんでAC
毎日新聞のミスリード? (スコア:2, 興味深い)
住基ネットの利用形態と、一般のインターネットユーザーの利用形態は著しく 異なるはずだから(はずというのが弱いところではあるが)、 一般のインターネットユーザーにとってのセキュリティホールが、住基ネット では全く問題にならない場合は当然あるはず。 単純に Windows で発見されたセキュリティホールの数を数えているだけでは、 「家の中でも靴をはかなければ危険」とか言っているのと同じようなものである。
「住基ネットのセキュリティホール」という話題だったらマトモだと思うのだが、 「住基ネットで使われているパソコンが持つ 一般ユーザにとってのセキュリティホール」では話がずれている。
-- 哀れな日本人専用(sorry Japanese only) --
それ以前に (スコア:2, 興味深い)
「住基ネットはインターネットに接続していないので、いわゆるセキュリティホールの修正は必要ない」
「システムの安定性を改善するパッチは必要なので、動作試験をしてから適用する方針」
…と読めます。
ということで、論点は
・セキュリティホールの修正は本当に必要ないのか？
・パッチ適用前の動作試験は必要か、また必要ならどうあるべきか？
・そもそもパッチ適用をはじめとするOSの運用管理の責任はどこにあるのか？
…ということになるのではないかと思います。
Re:それ以前に (スコア:1)
で、最初の「セキュリティホール」に関しては、既に説明したように一般ユーザー と住基ネットでセキュリティの定義が異なるので「住基ネットのセキュリティ ホール」は絶対に修正しなければなりませんが、一般ユーザーに対する セキュリティホールがそれに該当するかは個別の問題です。
また、動作確認は絶対に必要でしょう。特に Microsoft 社のパッチは 当てると動作しなくなるという前例がいくつもあります。
また、住基ネットの運用管理の責任は監督官庁というだけで、特に個別の 責任を誰がとるかは決まってないのではないでしょうか? 裁判を起こすなら国相手になるでしょう。
-- 哀れな日本人専用(sorry Japanese only) --
狭義の技術面だけでなく… (スコア:1)
しかし、もともとの MAINICHI Interactive 記事にあたってみますと、
むしろ運用技術や責任の所在といったものを含めての問題提起では
ないかと思われます。
また（不勉強で申し訳ないのですが）、住基ネットの端末の使われ方
によっては、管理者以外の（悪意のある）担当者による対話的使用が
もたらす情報流出が問題となるかもしれません。
（別の方が指摘されていたMS02-064の件です）
うまい言葉がみつからなかったのですが、ある方(*1)は「人的セキュ
リティーホール」とおっしゃっていました。この表現がしっくりくるかも
しれません。
毎日新聞のミスリードというよりも、/.へのトピック化に際して論点の
ずれが生じたのではではないかと思います。（が、このあたりについ
ては、コメントを保留いたします。）
# 風邪気味で駄文度が高くなっていますことをお許しください。
(*1)
参照：
バーチャルネットハッカーっ娘 沙耶16歳 2002年11月 7日 ♪3 [c-moon.jp]
--
Regards, Regards （Slashdot.jp 無粋部）
Re:毎日新聞のミスリード? (スコア:1, 興味深い)
はOKとしても、
＞一切ネットワークを使用せず、個人で使用するようなコンピュータにはセキュリティ上の問題は発生しないと言っていい。
は語弊がありすぎるかと。
ネットワークにつながっていないからといって、
ノーパスワード、ノーセキュリティのコンピュータから
悪意ある人物がデータを盗んだり改ざんしたりする
可能性がなくなるわけではないでしょう。
もちろん、この場合の「１０のセキュリティホール」が全て
ネットワーク経由のアクセスにおける脆弱性ならば別ですが。
別にそうとは書いていないような。
Re:毎日新聞のミスリード? (スコア:2, 参考になる)
んじゃ、ヒマ潰しに(笑)確認してみましょう :-)
仮にSP3までの修正が当たってると仮定するとここの [microsoft.com]5 から 13、それにMS02-064 [microsoft.com]の合計10個あたりがあやしそうです。 住基ネットのサーバーの構成なんてまったくわかりませんが、本当に即座に対応しないとヤバめなものってどのぐらいあるんでしょう? 仮にSMBをまったく使わないシステムで最初から余計なサービス等を動かしてないならMS02-045 [microsoft.com]を後回しにしてもいいでしょうし、PPTPを使ってない(サービスを有効にしてない)のならMS02-063 [microsoft.com]も気にしないでいいでしょう。
・・・なんか話がそれてしまったので元に戻すと、上で挙げた10個の問題が毎日新聞に書かれてる10個前後の問題だとすれば全てネットワークがらみのものと考えて問題ないと思います。もちろん現在の住基のサーバーの構成から考えてサービスを止めてでもすぐに対応しなければならないものと直接影響はないので後回しにしてもいいものが混在してるような気はしますが・・・。
# 個人的にはこの 10 個の hotfix を全て当てないとマズいような
# サーバーを最初から構築してたとしたらそっちのほうが問題のよな
# 気がする。「今すぐ当てる必要がない事をちゃんと確認・検証した
# ので適用は SP4 まで待つ」というのならそれほど大きな問題だとは
# 思わないし。
## もちろん実際にそこまで検証してるのかは私には全くわかりません :-)
そもそも「１０個」なのか？ (スコア:1)
住基ネットの本稼働は8月5日です。 Windows2000SP3のリリースはその後です。 従って、使われているWindowsは SP2かそれ以前のものです。 「修正」がSP3である可能性は、検証のことを考えれば ありえないと考えていいでしょう。 8月にhotfix 1つあたっていたとして、 それ以前の hotfix がどれだけあてられているか、という問題もあります。
Re:毎日新聞のミスリード? (スコア:1)
# まじないをすれば財布をすられなくなるわけでなし
-- 哀れな日本人専用(sorry Japanese only) --
Re:毎日新聞のミスリード? (スコア:1)
> コンピュータには セキュリティ上の問題は発生しないと言って
> いい。
そうかなあ?
昔のウィルスはよくフロッピー経由でバイナリに寄生したり
したものだが・・・。あとマクロウィルスだと文書ファイルに
くっついてたりしますよね。(確かにメールなどのインター
ネット経由での情報漏洩はそのPCを通しては起こりようが
ないが、それだけで安心するのは少し考えが甘い感じがする)。
(´д｀;)
Re:毎日新聞のミスリード? (スコア:1)
# 住基ネットってフロッピーでバイナリを交換したり文書ファイルを交換して 運用されているんですか?
-- 哀れな日本人専用(sorry Japanese only) --
Re:毎日新聞のミスリード? (スコア:1)
既存住基システムと住基ネットの末端サーバとなる 各市町村設置のコミュニケーションサーバの間のデータ交換は firewallを介したネットワーク接続によるのが基本とされていますが、 ここをネットワークで接続せずにMOによってオフラインでデータを 交換するという方式もあり、 一部の自治体がネットワークセキュリティについて万全を期すために 採用しているむね、すでに報道されています。
Re:毎日新聞のミスリード? (スコア:1)
# 最近こういうのの新種って開発されているんだろうか……
-- 哀れな日本人専用(sorry Japanese only) --
Re:毎日新聞のミスリード? (スコア:1)
ええ、住基ネットワーク内部でさえも、著しく。:)
みんつ
何が問題か区分できないのが問題 (スコア:1)
ちゅうかさ, コンピュータシステムのセキュリティうんぬんを言う前に, もっと広義のシステムセキュリティポリシーを設定しなきゃ評価も計画も立てようがないじゃない. それを後追いで個人情報保護法を審議しているんだから, セキュリティの評価に値しないのは自明でしょう.
これは住基ネットに限らず言えることだけど, まずは何のデータを誰から守るかを決めること. これが明確に定義されないかぎり, どんなコンピュータ・ネットワークシステムであってもセキュリティの面からは玩具にすぎないです.
システム開発業者の言い分で (スコア:2, 興味深い)
普通のビジネスアプリとか入れただけで動作不良を起こすようなものは、商品として未完成では？と言いたくなりました（過去形）。
業者さんの言い分も判るのですが、OSやミドルウェアなどの特定のバージョンに依存しないと動作保証できないような製品をパッケージとして売るのはやめてほしい。パッケージと言うからには一太郎やMS Office並に動作するものでないと・・・（一太郎はともかくMS Officeはトラブルのものなのでフレームの元になるかなぁ）。
と、書いていて、ふと思ったんですが、WindowsとVisual Studioのライブラリ管理が問題なんですよね。
Re:システム開発業者の言い分で (スコア:1)
> 「当社で納入した以外のアプリを入れると動作保証外」とか言われますけど、ユーザーからすると納得できません。
この場合、「動作保証外」というのは「動作することを確認してないよ」というぐらいの意味で、
「動作不良を起こす」と言ってるのではないと思う。
ニュアンスとしては「（動くとは思うけど）それで動かない、といわれても責任取らないよ」という感じ。
> パッケージと言うからには一太郎やMS Office並に動作するものでないと・・・
一太郎やMS Officeとは違って、「動作確認の範囲内なら、絶対に動くことを保証する」
という立場なので、そんなことを言ってるんだと思うけど。
一太郎やMS Officeはそこまで動作保証してくれないはず。
パッチではないが (スコア:1)
システムへの影響云々という話であれば、当然禁止なんだろうけども。
#パッチの話ではないのでオフトピかと思ってしまったが、どうだろう。
もっともまともな運用であれば、上記の穴が深刻な影響を与えることはないだろうけど。
#最近仕事で入った自治体は一人一台PCでVirus対策やセキュリティ対策はしっかりしているようだし。
#そこだけかもしれないけど。
/.configure;oddmake;oddmake install
システムそのものよりも (スコア:1)
いちどクラッキングされたら (スコア:2, すばらしい洞察)
パッチのあてぐあいのほうは、あまり変わらないかも。
Re:いちどクラッキングされたら (スコア:1)
行わない限りは、罰則があったとしても、それが
誰に対して科すのかを決めることができません。
この場合の「誰」は、実際の行為者、不幸にもアクセスに使用された
パスワードの所有者、適切な管理を行わなかったネットワーク管理者の
どれにあたるかの見極めが難しいわけですが。
IDカードを外で無くしたりしないように机の中にしまっておくように義務づけたり、管理用パスワードを忘れないように手帳にメモしたりする
する管理者や監督者も、候補にいれときますか？
Re:いちどクラッキングされたら (スコア:2, すばらしい洞察)
大丈夫です。ばれません。こういうセキュリティは ばっちりですので。
それに、厳罰の規定は抑止力を期待してのことなので、 実際に執行されなくてもいいのです。
Re:いちどクラッキングされたら (スコア:1)
。。。。
Re:ああそうですか (スコア:1)
あなたは匿名の臆病者ではなく、匿名の卑怯者のようです。
残念ながらこれ以上お相手できません。
Re:ああそうですか (スコア:1)
というコメントを投稿するのに、あなたはなにか立場が悪くなるのでしょうかね。例えば恥ずかしいとか。もし思っているとすれば、それはあなたがこの投稿の価値をそう認識しているわけですよね。
Re:ああそうですか (スコア:1)
うーん、#197182 [srad.jp]のどこが「告白」になっているのだろうか？
それとも「脳内解釈」？(あたりまえか)
Re:いちどクラッキングされたら (スコア:1)
大臣。
一内閣一閣僚もとうに崩れ去ったことだし。
次期総務相候補、/.Jで投票希望。
いつか来た道、また行く道 (スコア:2, すばらしい洞察)
誰が責任を取るかで、更にヒト揉めの予感…
※当然、その（半年とか10年とか）間は正式な釈明も無し
ってネタはさておいても、１つのパッチを評価した書類が業者から小役人へ、小役人から中役人へ（中略）で、最終的に大臣のハンコが押されて、やっと新しいパッチを当てられる頃には次のサービスパックが出てたりしそうです。
まあパッチ開発以前に、パッチの仕様だけを承認させておいて、さも評価したかのように書類の体裁を整えるって裏口もあるんですけど。
＃ 爆言のち漏電中… ：D
Re:システムそのものよりも (スコア:2, おもしろおかしい)
当事者が気づいてないだけでもうとっくにクラックされていたりして。
Re:システムそのものよりも (スコア:1)
#迷惑メールが良い例で…(笑)
と言う事で、義賊の誰か、悪用してやってください(をぃ)
/* Kachou Utumi
I'm Not Rich... */
Re:クラックされたことに気付く人 (スコア:2, 参考になる)
自分の戸籍や健保などには注意を払った方が良いと思われます。
でも、とことん考えていくと確実な本人確認の方法って無いような気もしますね。
そこまで動作確認というなら (スコア:1)
＃ＳＰ４のホットフィックスが５１５個？って冗談であってほしい。確認に１個１日なんていわれたら・・・あ、１日に何個確認したら早いと言えるのだろうか？
Re:そこまで動作確認というなら (スコア:2, すばらしい洞察)
＞運用を業者に丸投げする
のはタクシーに乗るときハンドルに手を出さないのと同じぐらいあたりまえのことだ。
大事なのは正しい目的地をタクシー運転手に的確に伝えて安全に目的地に到着することなのだから、安全運転のためにハンドルを握らないからと非難される筋合いはない。
もちろん
運ちゃん「ええと、こっちかな？」（ぐーるぐーる）
客「同じとこぐるぐる回ってんじゃねぇ」
と不適当な運用を指摘できる（ような第三者をちゃんと設定する)ことや、うっかり白タクに乗って法外な料金を請求されたりしないことは大事だし
運ちゃん「ここ一方通行なんすよ」
客「いいからどんどん行け」
なんて無茶な要求をだしちゃいけないのは言うまでもない。
今回の件で言うなら危険走行を強要してるわけだから総務省の担当部署は考えを改めるべきだし、それを甘受してるSI屋はその素敵な仕事っぷりを晒して切符を切られにゃならんのは言うまでもない。
いずれ事故るよ…
Re:そこまで動作確認というなら (スコア:1)
>> 運用を業者に丸投げする
> のはタクシーに乗るときハンドルに手を出さないのと同じぐらいあたりまえのことだ。
そういう理屈は宇治市住民基本台帳データ大量漏洩事件控訴審判決 [law.co.jp] では全然通用しませんでしたね。 「実質的な指揮・監督関係があったと認めるのが相当」 とあります。社会通念上も、たとえ丸投げしたってプライバシー情報が漏洩すれば、 「業者が悪い」と言った所で「そんな業者に丸投げしたそっちが悪い！」と非難を浴びるのが当然。
Re:そこまで動作確認というなら (スコア:1)
>叫んでみたかっただけのことである。
住民基本台帳は「自治事務」といいまして、国が関与しない事務ですから、法律上、総務省が直接事務するわけにはいかないのでしょう。
Re:そこまで動作確認というなら (スコア:1)
うじゃうじゃ
MSも可哀想だな (スコア:1, 興味深い)
いやだとおもったら (スコア:1)
解釈が違ぅ！ (スコア:1, 参考になる)
「他部署ならびに監督官庁等関係各方面に多大なる影響が出る為、これら各方面との確認が必要であります。」
の意です。
「システム」＝「組織」ですね。
「システム」＝「コンピュータシステム」ではありません。
えーっと、予算の確保からとなると、実施は来年度以降でしょうかね（ぉぃ