パスワードを忘れた? アカウント作成
4268 story

住基ネット,現在の穴は約10個 102

ストーリー by Oliver
どのOSでパッチは当てないと 部門より

KAMUI 曰く、 "Mainichi INTERACTIVE の記事に依ると住基ネットで使用している Windows2000 のセキュリティーホールが放置されている事が解った。
住基ネットでは全国的な管理を行う地方自治情報センターから「独自判断でのセキュリティパッチ適用禁止」の通達がされており8月に一度修正ファイルの配布があって以降に発見されたセキュリティホールへの対策は一つも為されていない。地方自治情報センターでは
「修正適用でシステムへの影響が出る為,動作確認が必要」としているがアンチウィルスのパターン更新を放置プレイなど,国民の個人情報を扱いながらセキュリティ問題を抱えてる自覚があるのかと担当者を小一時間(以下略)"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Wyn (9059) on 2002年11月07日 18時36分 (#196673)
    そんなにかかるものでしょうか?

    こういうシステムはセキュリティホールさらすより、
    システム障害で一時的に見られなくなった方がましという気がします・・・。

    #動作確認を理由に頻繁に出る修正パッチの適用を面倒くさがってるんじゃ?
    • by rohi (5663) on 2002年11月07日 23時15分 (#196885)
      「~の脆弱性に関するセキュリティパッチ」って供給元は言ってるけど、実際のところどれくらいの部分を修正しているのかもわかりにくいし、エンバグしていないとも限らない。
      ということで、パッチ適用済み環境でもシステムのひととおりの動作検証が必要になってくる。
      …たいへんだなぁって思いますね。
      親コメント
    • 役所仕事の最悪の場合ですけど…
      問題発覚、報告書作成、上司に報告、上司が報告書を理解するまで説明、その上司に報告…(似たようなことを数回くり返し)。自治体の首長にやっと報告が上がる、お金がかかるので予算を取るためにドキュメントを作れと部下に命令、部下がその部下に命令(数回くり返し)。(場合によっては議会にかけて審議して…)問題発覚を報告した下っ端に命令が下る…。下っ端が業者との打ち合わせに入って…。(笑)
      自治体の首長まではいかなくても、似た状況であるかと。実際にはこの間に土日とか、ゴルフとか、出張とか、なんとか会の会合兼飲み会など入るからねえ。上司の印鑑が貰えないとな~んも仕事進まないから。

      #住基ネットがそうなのかは知らんが
      親コメント
      • by dama4slash (785) on 2002年11月08日 0時33分 (#196938)
        >問題発覚、報告書作成、上司に報告、上司が報告書を理解するまで説明、その上司に報告…
        つまり、いまの業務フローが障害の温床というわけですね。
        至急、総理大臣直属の業務改革室を設けて、
        日本のお役所システムを変えましょう。
        フローを止めている人はWeb上で一般公開される仕様とか。
        親コメント
  • 確か... (スコア:2, すばらしい洞察)

    閉じられたネットワークだから安全なんじゃなかったっけ?

    いや、万全を期してセキュリティーホールを塞いでおくに越したことはありませんけど。
    「修正適用でシステムへの影響が出る為,動作確認が必要」とのことですが、これによるセキュリティーパッチ適用の遅れは例え3ヵ月であれ、1日であれ許されるものではないと思います。

    セキュリティーホール発見 -> メーカーが検討/修正/動作確認 -> 動作確認 -> パッチ適用

    と、少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。
    もしこれが、オープンソースであるならば

    セキュリティーホール発見 -> 動作確認をしながら修正して適用

    ということができるので、セキュリティーホール塞ぎがスムーズに済むでしょう。まぁ、あえてオープンソースにしろとは言いませんけど。
    --
    // Give me chocolates!
    • まぁ閉じていても… (スコア:2, すばらしい洞察)

      by kharada (437) on 2002年11月07日 19時20分 (#196693)
      ローカルユーザに管理者権限を…ってやつもありますし、

      それ以前に運用/データアクセスの管理をちゃんとしてなけりゃ
      それ以前の問題だし。

      なぜ、外野は騒ぐのに当事者は平然としているんだろう:P
      親コメント
    • by Joga (8113) on 2002年11月07日 20時07分 (#196729)
      > セキュリティーホール発見 -> メーカーが検討/修正/動作確認 -> 動作確認 -> パッチ適用
      >
      > と、少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。
      > もしこれが、オープンソースであるならば
      >
      > セキュリティーホール発見 -> 動作確認をしながら修正して適用
      >
      > ということができるので、セキュリティーホール塞ぎがスムーズに済むでしょう。

      これには全然同意できないんだけど。
      メーカーが動作確認してるからって、ユーザーが動作確認しなくていいってわけじゃないし、
      「動作確認をしながら修正して適用」って、すっごい危なくない?
      「さっさとシステム止めて、パッチ当てろ」というのが正解だと思うのだが。
      親コメント
    • by shivandragon (10040) on 2002年11月07日 21時56分 (#196823)
      >少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。

      住基ネットがMSが作成して納品したものだったらそうでしょうけど、アプリケーション入れてカスタマイズしたのって別ですよね?
      他社製品の動作まで保証をしたパッチは無いと思うんですが。。。

      というわけでパッチを当てる際にはその上のアプリの一般的な動作については全てテストを行う必要があって、それを毎回出るたびにやるととてもワークがついて行かないので、数ヶ月に一度まとめて当てて、動作検証って言うのは良くある話かと。
      親コメント
    • Re:確か... (スコア:1, 参考になる)

      by Anonymous Coward on 2002年11月07日 22時30分 (#196846)
      >と、少なくともメーカー側でも動作確認ぐらいはしていると思いますので、二重に動作確認するのも無駄かと。

      二重にやっても全然無駄じゃないです。
      っていうか、二重にやって当たり前です。
      メーカーの確認とユーザの確認一緒にしないで下さい。

      今現在、担当している客が、まさしくこのタイプだけど・・・。
      確かに構築したのは俺だけど、一体誰のシステムだと思ってるんだと本気で問い詰めたくなるよ。

      # 愚痴モードなんでAC
      親コメント
  • by sakamoto (8009) on 2002年11月07日 19時25分 (#196696) 日記
    セキュリティの定義は、利用形態によって変化する。 例えば、一切ネットワークを使用せず、個人で使用するようなコンピュータには セキュリティ上の問題は発生しないと言っていい。

    住基ネットの利用形態と、一般のインターネットユーザーの利用形態は著しく 異なるはずだから(はずというのが弱いところではあるが)、 一般のインターネットユーザーにとってのセキュリティホールが、住基ネット では全く問題にならない場合は当然あるはず。 単純に Windows で発見されたセキュリティホールの数を数えているだけでは、 「家の中でも靴をはかなければ危険」とか言っているのと同じようなものである。

    「住基ネットのセキュリティホール」という話題だったらマトモだと思うのだが、 「住基ネットで使われているパソコンが持つ 一般ユーザにとってのセキュリティホール」では話がずれている。

    --
    -- 哀れな日本人専用(sorry Japanese only) --
    • それ以前に (スコア:2, 興味深い)

      by Yuji_Ogawa (4745) on 2002年11月07日 21時10分 (#196784) ホームページ
       記事中の地方自治情報センターシステム担当部長の発言は、
      「住基ネットはインターネットに接続していないので、いわゆるセキュリティホールの修正は必要ない」
      「システムの安定性を改善するパッチは必要なので、動作試験をしてから適用する方針」
      …と読めます。

       ということで、論点は

      ・セキュリティホールの修正は本当に必要ないのか?
      ・パッチ適用前の動作試験は必要か、また必要ならどうあるべきか?
      ・そもそもパッチ適用をはじめとするOSの運用管理の責任はどこにあるのか?

      …ということになるのではないかと思います。
      親コメント
      • by sakamoto (8009) on 2002年11月08日 11時57分 (#197104) 日記
        ということで、論点は
        • セキュリティホールの修正は本当に必要ないのか?
        • パッチ適用前の動作試験は必要か、また必要ならどうあるべきか?
        • そもそもパッチ適用をはじめとするOSの運用管理の責任はどこにあるのか?
        …ということになるのではないかと思います。
        まとめありがとうございます。

        で、最初の「セキュリティホール」に関しては、既に説明したように一般ユーザー と住基ネットでセキュリティの定義が異なるので「住基ネットのセキュリティ ホール」は絶対に修正しなければなりませんが、一般ユーザーに対する セキュリティホールがそれに該当するかは個別の問題です。

        また、動作確認は絶対に必要でしょう。特に Microsoft 社のパッチは 当てると動作しなくなるという前例がいくつもあります。

        また、住基ネットの運用管理の責任は監督官庁というだけで、特に個別の 責任を誰がとるかは決まってないのではないでしょうか? 裁判を起こすなら国相手になるでしょう。

        --
        -- 哀れな日本人専用(sorry Japanese only) --
        親コメント
    • 一般論としては「そのとおり」と思います。

      しかし、もともとの MAINICHI Interactive 記事にあたってみますと、
      むしろ運用技術や責任の所在といったものを含めての問題提起では
      ないかと思われます。

      また(不勉強で申し訳ないのですが)、住基ネットの端末の使われ方
      によっては、管理者以外の(悪意のある)担当者による対話的使用が
      もたらす情報流出が問題となるかもしれません。
      (別の方が指摘されていたMS02-064の件です)

      うまい言葉がみつからなかったのですが、ある方(*1)は「人的セキュ
      リティーホール」とおっしゃっていました。この表現がしっくりくるかも
      しれません。

      毎日新聞のミスリードというよりも、/.へのトピック化に際して論点の
      ずれが生じたのではではないかと思います。(が、このあたりについ
      ては、コメントを保留いたします。)

      # 風邪気味で駄文度が高くなっていますことをお許しください。

      (*1)
      参照:
      バーチャルネットハッカーっ娘 沙耶16歳 2002年11月 7日 ♪3 [c-moon.jp]

      --
      --
      Regards, Regards  (Slashdot.jp 無粋部)
      親コメント
    • by Anonymous Coward on 2002年11月07日 20時36分 (#196751)
      >セキュリティの定義は、利用形態によって変化する。
      はOKとしても、

      >一切ネットワークを使用せず、個人で使用するようなコンピュータにはセキュリティ上の問題は発生しないと言っていい。

      は語弊がありすぎるかと。
      ネットワークにつながっていないからといって、
      ノーパスワード、ノーセキュリティのコンピュータから
      悪意ある人物がデータを盗んだり改ざんしたりする
      可能性がなくなるわけではないでしょう。

      もちろん、この場合の「10のセキュリティホール」が全て
      ネットワーク経由のアクセスにおける脆弱性ならば別ですが。

      別にそうとは書いていないような。
      親コメント
      • by nekurai (6253) on 2002年11月08日 1時29分 (#196968) 日記
        もちろん、この場合の「10のセキュリティホール」が全て
        ネットワーク経由のアクセスにおける脆弱性ならば別ですが。

        んじゃ、ヒマ潰しに(笑)確認してみましょう :-)

        仮にSP3までの修正が当たってると仮定するとここの [microsoft.com]5 から 13、それにMS02-064 [microsoft.com]の合計10個あたりがあやしそうです。 住基ネットのサーバーの構成なんてまったくわかりませんが、本当に即座に対応しないとヤバめなものってどのぐらいあるんでしょう? 仮にSMBをまったく使わないシステムで最初から余計なサービス等を動かしてないならMS02-045 [microsoft.com]を後回しにしてもいいでしょうし、PPTPを使ってない(サービスを有効にしてない)のならMS02-063 [microsoft.com]も気にしないでいいでしょう。

        ・・・なんか話がそれてしまったので元に戻すと、上で挙げた10個の問題が毎日新聞に書かれてる10個前後の問題だとすれば全てネットワークがらみのものと考えて問題ないと思います。もちろん現在の住基のサーバーの構成から考えてサービスを止めてでもすぐに対応しなければならないものと直接影響はないので後回しにしてもいいものが混在してるような気はしますが・・・。

        # 個人的にはこの 10 個の hotfix を全て当てないとマズいような
        # サーバーを最初から構築してたとしたらそっちのほうが問題のよな
        # 気がする。「今すぐ当てる必要がない事をちゃんと確認・検証した
        # ので適用は SP4 まで待つ」というのならそれほど大きな問題だとは
        # 思わないし。

        ## もちろん実際にそこまで検証してるのかは私には全くわかりません :-)

        親コメント
        • 住基ネットの本稼働は8月5日です。 Windows2000SP3のリリースはその後です。 従って、使われているWindowsは SP2かそれ以前のものです。 「修正」がSP3である可能性は、検証のことを考えれば ありえないと考えていいでしょう。 8月にhotfix 1つあたっていたとして、 それ以前の hotfix がどれだけあてられているか、という問題もあります。

          親コメント
      • ネットワークにつながっていないからといって、 ノーパスワード、ノーセキュリティのコンピュータから 悪意ある人物がデータを盗んだり改ざんしたりする 可能性がなくなるわけではないでしょう。
        でも、個人で使用しているコンピュータに関して悪意のある人物の 関与を考えるのは、 財布の中のお金とかとおなじレベルのセキュリティの話ですよね。 悪意のある人物に触らせないようにする努力と コンピュータのソフトウェアの話は「セキュリティ」と 言ってもごっちゃにはできないです。 この場合、サービスパックとかの話をしているので、ソフトウェア上の 話であることを読みとって欲しかったなぁ。
        # まじないをすれば財布をすられなくなるわけでなし
        --
        -- 哀れな日本人専用(sorry Japanese only) --
        親コメント
    • > 例えば、一切ネットワークを使用せず、個人で使用するような
      > コンピュータには セキュリティ上の問題は発生しないと言って
      > いい。

      そうかなあ?
      昔のウィルスはよくフロッピー経由でバイナリに寄生したり
      したものだが・・・。あとマクロウィルスだと文書ファイルに
      くっついてたりしますよね。(確かにメールなどのインター
      ネット経由での情報漏洩はそのPCを通しては起こりようが
      ないが、それだけで安心するのは少し考えが甘い感じがする)。
      --
      (´д`;)
      親コメント
      • 昔のウィルスはよくフロッピー経由でバイナリに寄生したり したものだが・・・。あとマクロウィルスだと文書ファイルに くっついてたりしますよね。
        で、それは一般ユーザの利用形態を想定しているのか、住基ネットのコンピュータの 運用を想定しているのか、どちらなのでしょうか?
        # 住基ネットってフロッピーでバイナリを交換したり文書ファイルを交換して 運用されているんですか?
        --
        -- 哀れな日本人専用(sorry Japanese only) --
        親コメント
        • 既存住基システムと住基ネットの末端サーバとなる 各市町村設置のコミュニケーションサーバの間のデータ交換は firewallを介したネットワーク接続によるのが基本とされていますが、 ここをネットワークで接続せずにMOによってオフラインでデータを 交換するという方式もあり、 一部の自治体がネットワークセキュリティについて万全を期すために 採用しているむね、すでに報道されています。

          親コメント
          • 住基ネットとのデータのやりとりが実行可能ファイルやマイクロソフトワードや マイクロソフトエクセルなどの文書ファイルであるとは思わないのですが、 MBR に感染しているウィルスとかは恐いですね。
            # 最近こういうのの新種って開発されているんだろうか……
            --
            -- 哀れな日本人専用(sorry Japanese only) --
            親コメント
    • > 利用形態は著しく 異なるはずだから

      ええ、住基ネットワーク内部でさえも、著しく。:)
      --
      みんつ
      親コメント
    • ちゅうかさ, コンピュータシステムのセキュリティうんぬんを言う前に, もっと広義のシステムセキュリティポリシーを設定しなきゃ評価も計画も立てようがないじゃない. それを後追いで個人情報保護法を審議しているんだから, セキュリティの評価に値しないのは自明でしょう.

      これは住基ネットに限らず言えることだけど, まずは何のデータを誰から守るかを決めること. これが明確に定義されないかぎり, どんなコンピュータ・ネットワークシステムであってもセキュリティの面からは玩具にすぎないです.

      親コメント
  • by Technobose (6861) on 2002年11月07日 23時41分 (#196910) 日記
    「サービスパックを当てると動作確認の対象外になります」とか「当社で納入した以外のアプリを入れると動作保証外」とか言われますけど、ユーザーからすると納得できません。
     普通のビジネスアプリとか入れただけで動作不良を起こすようなものは、商品として未完成では?と言いたくなりました(過去形)。
     業者さんの言い分も判るのですが、OSやミドルウェアなどの特定のバージョンに依存しないと動作保証できないような製品をパッケージとして売るのはやめてほしい。パッケージと言うからには一太郎やMS Office並に動作するものでないと・・・(一太郎はともかくMS Officeはトラブルのものなのでフレームの元になるかなぁ)。
     と、書いていて、ふと思ったんですが、WindowsとVisual Studioのライブラリ管理が問題なんですよね。
    • > 「サービスパックを当てると動作確認の対象外になります」とか
      > 「当社で納入した以外のアプリを入れると動作保証外」とか言われますけど、ユーザーからすると納得できません。

      この場合、「動作保証外」というのは「動作することを確認してないよ」というぐらいの意味で、
      「動作不良を起こす」と言ってるのではないと思う。
      ニュアンスとしては「(動くとは思うけど)それで動かない、といわれても責任取らないよ」という感じ。

      > パッケージと言うからには一太郎やMS Office並に動作するものでないと・・・

      一太郎やMS Officeとは違って、「動作確認の範囲内なら、絶対に動くことを保証する」
      という立場なので、そんなことを言ってるんだと思うけど。
      一太郎やMS Officeはそこまで動作保証してくれないはず。
      親コメント
  • by oddmake (1445) on 2002年11月07日 18時37分 (#196675) 日記
    既定の設定による安全穴 [microsoft.com]も勝手に塞いではいけないのだろうか。
    システムへの影響云々という話であれば、当然禁止なんだろうけども。

    #パッチの話ではないのでオフトピかと思ってしまったが、どうだろう。

    もっともまともな運用であれば、上記の穴が深刻な影響を与えることはないだろうけど。

    #最近仕事で入った自治体は一人一台PCでVirus対策やセキュリティ対策はしっかりしているようだし。
    #そこだけかもしれないけど。
    --
    /.configure;oddmake;oddmake install
  • 一度クラッキングされて,深刻な被害を出さないと(出しても?)事の重大さがわからないのだろうか?
    • by Anonymous Coward on 2002年11月07日 19時28分 (#196698)
      事の重大さに気付いて、クラッキング行為に対する罰則を強めることで 対処しようとすることでしょう。

      パッチのあてぐあいのほうは、あまり変わらないかも。

      親コメント
      • 信頼度の高い認証方式と定常的なアクセスログの監視を
        行わない限りは、罰則があったとしても、それが
        誰に対して科すのかを決めることができません。

        この場合の「誰」は、実際の行為者、不幸にもアクセスに使用された
        パスワードの所有者、適切な管理を行わなかったネットワーク管理者の
        どれにあたるかの見極めが難しいわけですが。

        IDカードを外で無くしたりしないように机の中にしまっておくように義務づけたり、管理用パスワードを忘れないように手帳にメモしたりする
        する管理者や監督者も、候補にいれときますか?
        親コメント
        • by Anonymous Coward on 2002年11月07日 20時05分 (#196726)
          犯人をあげられない場合は、クラッキングがあったということ自体が 国民に秘密にされます。

          大丈夫です。ばれません。こういうセキュリティは ばっちりですので。

          それに、厳罰の規定は抑止力を期待してのことなので、 実際に執行されなくてもいいのです。

          親コメント
          • ACは、あなたのような書き込みをするためにあるわけではありません。
            大丈夫です。ばれません。こういうセキュリティはばっちりですので。
            。。。。
            親コメント
        • > この場合の「誰」は、………見極めが難しいわけですが

          大臣。
          一内閣一閣僚もとうに崩れ去ったことだし。

          次期総務相候補、/.Jで投票希望。
          親コメント
    • by yatobi (7117) on 2002年11月07日 19時33分 (#196701) 日記
      クラッキングされて、データが抜かれて転売されて、国民から非難轟々の中、
      誰が責任を取るかで、更にヒト揉めの予感…

      ※当然、その(半年とか10年とか)間は正式な釈明も無し

      ってネタはさておいても、1つのパッチを評価した書類が業者から小役人へ、小役人から中役人へ(中略)で、最終的に大臣のハンコが押されて、やっと新しいパッチを当てられる頃には次のサービスパックが出てたりしそうです。

      まあパッチ開発以前に、パッチの仕様だけを承認させておいて、さも評価したかのように書類の体裁を整えるって裏口もあるんですけど。
      --
      # 爆言のち漏電中… :D
      親コメント
    • by unnya (10872) on 2002年11月08日 11時27分 (#197090) ホームページ 日記
      一度クラッキングされて,深刻な被害を出さないと(出しても?)

      当事者が気づいてないだけでもうとっくにクラックされていたりして。
      親コメント
    • 市中のプライバシーがどうなろうと関係なく、自分に被害が被らない限りは判りもしないし、動きもしないのが、今時の政治家。

      #迷惑メールが良い例で…(笑)

      と言う事で、義賊の誰か、悪用してやってください(をぃ)
      --

      /* Kachou Utumi
      I'm Not Rich... */
      親コメント
  • Win2KSP4βテスターに参加して事前に確認をはじめるぐらいはしてますよね?

    #SP4のホットフィックスが515個?って冗談であってほしい。確認に1個1日なんていわれたら・・・あ、1日に何個確認したら早いと言えるのだろうか?
  • by securecat (3946) on 2002年11月07日 20時38分 (#196756) ホームページ 日記
    なんかこういうの見てると。
  • 解釈が違ぅ! (スコア:1, 参考になる)

    by Anonymous Coward on 2002年11月08日 9時19分 (#197045)
    「修正適用でシステムへの影響が出る為,動作確認が必要」の解釈は、正しくは次のようになります。

    「他部署ならびに監督官庁等関係各方面に多大なる影響が出る為、これら各方面との確認が必要であります。」
    の意です。
    「システム」=「組織」ですね。
    「システム」=「コンピュータシステム」ではありません。

    えーっと、予算の確保からとなると、実施は来年度以降でしょうかね(ぉぃ
typodupeerror

アレゲはアレゲを呼ぶ -- ある傍観者

読み込み中...