アカウント名:
パスワード:
情報が漏れたことをメールで協会に知らせ、サイトの閉鎖に追い込んだ疑い。
あ、そこが一番重要。 例えば医者なり弁護士なりの、他人のプライバシーに触れる事のある業種ってのは、契約としてではなく業としての守秘義務がある訳。病院では一々診察前に守秘義務契約なんかしないでしょ？ でもって、卑しくも公共の利益の為のセキュリティの専門家を名乗る人間が、その程度の気を回す事も出来ないって事実が、「自称」は問題だなって思う大きな原因です。
まあ、それ以前として他人のプライバシーに掛かる情報を勝手に公開しちゃあいけないってのは、ネチケット云々を持ち出すまでもなく社会人としてのあまりに当たり前の判断だと思いますけどね。
＞これって不正アクセス禁止法にはどう考えても該当しないと思うんですが、どうなんでしょうね。
まず、不正アクセス禁止法では「不正アクセス行為」として第三条の２の二で
アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能による特定利用の制限を免れることができる情報（識別符号であるものを除く。）又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為
と定義しています。 （括弧内で識別符号であるものを除いているのは、識別符号の不正利用は第三条の２の一で定義しているから） ここで要件となっているのは「該当計算機がアクセス制御機能を持っている事」であって、アクセスパス自体にアクセス制御機能を持っている事は必要ありません。 そうでないと、たとえばMTAのバッファオーバーフローを使ってバックドアを開けるという行為を「不正アクセス」とはできなくなってしまいます。（MTAではinboundに付いてはアクセス制御されていないのが一般的ですから） ですから、ACCSの件でも、該当データがFTPなりtelnetなりsshなりでアクセス制御された領域にあれば要件を満たします。
次にアクセスパスの方ですが、実際にどのような形でアクセスして情報を引き出したのかがわからないので一般論ですが、良くある主張で「URLをちょっと書換えただけでは不正アクセスにはならない」というのがありますが、これは常に真ではありません。 たとえばhttp://user:pass@sample.com/という形で他人の識別符号を用いてアクセスすれば不正なのは明らかです。 あまり褒められた方法ではないですが、http://sample.com/login.cgi?ID=user&Pass=passという形であっても同様です。 一方でhttp://sample.com/とアクセスするのは不正ではないというのも明らかです。 となれば、URLを書換えた場合に不正となるかどうかというのは、この2者の間にあるグレーゾーンのどこからが不正で、どこからが合法かという事になるのですが、最終的には公知性と犯意の有無によって裁判所が判断する事になるでしょう。 公知性というのは、たとえばhttp://sample.com/foo/barというURLがhttp://sample.com/からリンクされているなどの場合。 また、最後のbarを削ってfoo/とすればディレクトリのリストが見える事が多々あるというのも公知の事実ですから、http://sample.com/foo/へアクセスする事。 またそのようなアクセスの結果ディレクトリリストが出てきて、そこに列挙されたファイルをアクセスする事。 これらは公知のものとなる可能性が高いでしょう。実際TBCの件なんかは公知の手段でのアクセスなので立件が無理という判断のようですし。
では、たとえば最後のbarをbazと書換えたら公開されていないはずのデータが取れてしまった場合等はどうなるかというと、こちらは犯意の有無が問題となってくるでしょう。 技術面だけを見る人は「同じ形であれば同じ結果（処分）にならないとおかしい」と考える人が多いですが、法律の世界では「犯意」が大きく結果を分けます。 たとえば料理をするために包丁を持っていて、振り返ったら人がいて刺し殺してしまった場合は「過失致死」ですが、そこに人がいる事を知って殺そうと思って刺せば「殺人」です。
今回の場合はどのような結果になるかはわかりませんが、現時点で「明白に白」とも「明白に黒」とも（少なくとも外野の我々は）言えません。 言える事は「不正アクセス禁止法に該当する場合もあり得る」という事。
さらに河合容疑者は11月8日、東京都渋谷区で開催されたイベントで、これらの個人データや不正アクセスの方法を公開した。さらにこの内容をACCSに対して電子メールで送信するなどして、ACCSの業務を妨害した。このためACCSは、同協会サイトのうち、個人情報漏洩のあった相談サイトの閉鎖を余儀なくされた。
もしこの事件で威力業務妨害が成立するということであれば、セキュリティホールを指摘・公開しただけで威力業務妨害で逮捕される、ということになりますよね。公開せず、指摘しただけでも逮捕される可能性だって残ります。これが妥当かどうか。
この件で過去の判例をちょっと漁ってみたのですが、
最裁 昭和２８年１月３０日 第二小法廷・判決 昭和２５（れ）１８６４ 住居侵入、業務妨害 [courts.go.jp]
要旨： 一 刑法第二三四条の業務妨害罪にいう「業務ヲ妨害シタル」こととは、具体的な個々の現実に執行している業務の執行を妨害する行為のみならず、被害者の当該業務における地位にかんがみ、その遂行すべき業務の経営を阻害するにたる一切の行為を指称する。 二 同条にいう「威力」とは、犯人の威勢、人数および四囲の状勢よりみて被害者の事由意思を制圧するにたる勢力を指称する。
……なるのか？
甘いっす。
威力業務妨害ってのは現実的には換金出来る業務にのみ適応されます。 だから余りに迷惑な行為を受けてもそれが換金出来ない時は現実的には適応が難しい。 でもって、個人情報の保護って業務（私的にはそんなもの自体存在しないと見たが）ってのは換金不能ですよね。 なんでその方に利益があっても無視されるだけかと。 ＃つーか、犯罪により得られた副次利益を減刑材料とするかって話にもなるか？
まあそれでも威力業務妨害については、ある程度裁判で揉んでおいて、後で損害賠償請求を行う時のネタにでもするのか取引材料にするのでは？と思いますが。
その例えでは、セキュリティ上の問題を放置しても被害を受ける のはそのコンビニだけでしょ。言わば自業自得。 ACCS のサイトから個人情報が漏れた被害者自身には何の落ち度も ない。（ACCSなんかに個人情報を渡したことが間違いかもしれんが）
氏が主張しているように、今回では鍵が無いところを通った形になる。けども、警察は「不正アクセス禁止法に抵触する」といっているんだ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
※ただしPHPを除く -- あるAdmin
XSS脆弱性を発見したばあい (スコア:5, 興味深い)
・メールで脆弱性について伝える。
という方法がベター(電話ならベスト)である。
しかしながら、企業の対応はまちまちである。
1.無視をする
まだ貴方しか知らないんだからほっとこう
2.逆切れ
金でもゆすろうって言うのか？
不正アクセスで訴えるぞ！
3.黙っててください
状況把握しました、でも変え(られ)ないので黙っていれば誰にもばれません
4.即座に修正する
こりゃやばい、ありがとう直しておきます。
おおよその対応は1,3である
この場合このメールはほぼ意味を成さない。
2の場合己の社会的立場を危うくする場合がある。
4の場合はかなりまれなケースである
だからまずありえない
ここで問題になるのは
・企業が集めたデータを保全をする義務が無いということ
→つまり外部からアクセスされた場合不正アクセス法で訴えればいい
物騒な話である。
セキュリティーが確保されているか安心できなければ迂闊にアンケートにも答えられない世の中です。
しかも穴だらけのシステムを堂々と使っていても問題ないと来ている・・・ばかげていると思いませんか？
有無自在
Re:XSS脆弱性を発見したばあい (スコア:3, 興味深い)
しかもofficeこと河合容疑者は発見したセキュリティホールを
ACCSやレンタルサーバ業者などに連絡するよりも前に
A.D.200Xというイベントで不正アクセスによって得た個人情報を晒した上に
個人情報を含む資料を無線LANで自由にダウンロードできる形で会場内で配布していました。
個人情報漏洩でACCSが謝罪した昨年11月にはセキュリティイベントのことは知らされていませんでした。
これが後になって判明し、そこでofficeに協力的だったACCSも態度を変えたし、
改めて1月4日の朝日新聞の記事となったのです。
従って彼のケースを以てして一般論に話を持っていくのは間違いです。
なんでこう話を別に逸らそうとする人が多いのだろう。
サイトを閉鎖に追い込んだ? (スコア:3, 興味深い)
と毎日の記事(読売の記事 [yomiuri.co.jp]にも、類似に記述あり)とあるのですが、彼の目的はサイトの閉鎖にあったのでしょうか。サイトを長期にわたって閉鎖しているのはACCSの判断であって、この件を「威力業務妨害」としたり、まるでサイトの閉鎖を目的とした攻撃だったように報道するのは、問題ではないでしょうか。
「不正アクセス禁止法違反」はともかく、「威力業務妨害」で逮捕されたのは、ちょっとびっくりしています。
Re:サイトを閉鎖に追い込んだ? (スコア:2, 参考になる)
この場合、問われるのは行為の結果であってその目的がどこにあったかではないのです。
もともとが法的に合理性のある行為の場合は「威力業務妨害」での立件が望ましくない場合もありますが（こっそり教えてあげた結果自分の判断で閉鎖したとか）、余所で騒いだこととサイト閉鎖との因果関係が十分にあり、被害を受けた側が「業務を妨害された」と言えば、『威力業務妨害の疑い』は十分になります。
そういえば、この件では『逮捕』となってるってことは警察の逮捕請求に対して東京地裁は「逃亡」や「証拠隠滅の恐れがある」って判断したんでしょうね。
まぁ、逃亡はなさげですから「証拠隠滅の恐れ」があったってことなのかなぁ。
Re:サイトを閉鎖に追い込んだ? (スコア:3, おもしろおかしい)
変な牛作るなよぅ…
まとめ (スコア:3, 参考になる)
対応が終わった段階で公表するのが暗黙のルール
・今回のoffice氏の場合、ACCSに通知する前にAD200Xという
ハッカーグループの会合でこのセキュリティホールを公表
して、かつ実際の個人情報が載った資料も公開した
・その後office氏からセキュリティホールを通知されたACCSは
当初はoffce氏を協力者として友好的に扱っていた
・ところがoffice氏が事前にセキュリティホールと個人情報を
公開していたことが分かったため怒りまくってoffice氏を告訴
・さらに公開された個人情報は全て破棄されたとAD200X関係者
が説明したにもかかわらず、２ちゃんねるのアップローダで
アップロードされてACCS再激怒
・ついにoffice氏が逮捕
officeがやった実際の手法
・ACCSの投稿フォームで投稿内容の最終確認のため投稿内容を表示するCGIを利用
・投稿内容を表示するCGIの引数にそのCGI自体を入れると、CGIのバグで
CGIのソースが表示される
・そのソースを見て投稿内容が格納されるファイル名を確認する
・今度は投稿内容を表示するCGIの引数に投稿内容が格納されるファイル名を入れると、
CGIのバグですべての投稿内容が表示される
社会的制裁による見せしめとメディアの機能不全 (スコア:3, 興味深い)
実態と報道から受ける事件の印象に大きな差違があると思うのですが、脆弱性のあるプログラムを制作、管理、運営して個人情報を危険にさらした側の責任はほとんど表に出ること無く office 氏がスケープゴートに上がって社会的制裁まで加えられた感じです。
ざくっと見て明らかにおかしいのは
報道内容が一方的な情報に基づく物である事は毎日や NHK を見れば分かる通り。毎日の記事に至っては歪曲と言える可能性もあるのでは。
その上で本人の氏名、容姿が晒され大学側のコメントまで引っ張り出し親類筋も調べ上げる。
また逮捕前の全国紙一面に逮捕後の NHK とここまで扱いが大きいと反論の場が無くなる上に社会的制裁に繋がっている訳で。
恣意的な力が働いたのか何なのかは知りませんが、ここまで見事に一方的な情報を検証能力を働かせずに受け入れ全国規模で報道し、結果として社会的制裁を加え見せしめとしている辺り、かなり危機的な機能不全の一端を見たような気がするのですが。。
と /. 的重大ニュースだと思うのですが、なんつーか、、コメント見てると、、
# 誰か経緯を英訳して本家に投稿希望。
今回の件に関する高木氏のコメント (スコア:3, 参考になる)
オペレータが知っておくべき，インシデントハンドリングとは
第４回 復：～インシデントから復旧する～
2004.02.04 13:30-17:00 大手町サンケイプラザ
でのパネルディスカッション「xSPのセキュリティの未来」にて。
参加者
モデレータ：佐野晋(JPRS, JPNIC, JPCERT/CC)
パネリスト：
伊貝耕（警察庁情報通信局技術対策課サイバーテロ対策技術室）
高木浩光（産総研）
西尾秀一（NTTデータ）
三膳孝通（IIJ）
山口英（JPCERT,JPNIC, 奈良先端大）
会場からの質問:
Q.京大の研究者が逮捕されたが，同様のことをしている他の人とどこが違うのか
A.伊貝：NHKで見ただけなのでわからない。威力業務妨害については，被害者の意識が無ければならないから， ACCSが「被害者意識」があったのかも知れないが
A.高木：一般的には，バッファオーバーフローさせて指摘するのはどうか。犯罪にならない，HTMLソースを見て理論的に指摘できる場合もある。その中間で，URLを手で入れることで名簿が手に入る，という場合もある。放っておくと，事業者は不正アクセスされたと言い訳して逃げるし，見つけた人は見てみない振りをするようになる。そうならないようにするには（交番に届け出るような）公的機関の介入が必要なのではないかと思っている。
＃入手経路の都合で絶対AC。
逆に (スコア:2, すばらしい洞察)
京都府警ハイテクなんちゃらに相談すればよかったのに。
犯罪性 (スコア:2, 興味深い)
研究成果として不正アクセスの具体的方法を示すこともいいですし、脆弱性を持っていたサイトの例として ACCS を挙げることもいいでしょう。しかしその双方を結びつけて発表することは犯罪の助長にほかならないでしょう。今回の犯罪性はここにあるのだと思います。
さらに得られた本物のデータを公表したことについては言うまでもありません。
Re:犯罪性 (スコア:5, 興味深い)
>こともいいですし、脆弱性を持っていたサイトの
>例として ACCS を挙げることもいいでしょう。
>しかしその双方を結びつけて発表することは犯罪の
>助長にほかならないでしょう。今回の犯罪性はここに
>あるのだと思います。
いいたいことはわかるんだけど、今回の逮捕劇で問題だと
感じるのが、「不正アクセス禁止法」違反容疑ならびに
「ACCSサイトを閉鎖させた威力業務妨害」となっていること…。
つまり、その「犯罪性があるかないか」には関係無く、
同様の指摘は全て逮捕される可能性があるぞとされたこと。
これが、個人情報を流出させたこと（と、それにACCSが対応する
はめになった損害）一点のみについて罪を問われているのであれば、
違和感というか恐怖感は無かった。
Re:犯罪性 (スコア:2, 興味深い)
> 列を与える」事で動くので、この文字列を一種の「アクセス制御
> 機構」とみなす事も出来るじゃないかなぁ。
それはCGIに限った話じゃなくて、WWWのURL全般に言えてしまう話ですよね。
特定のファイルを閲覧するために特定の文字列(URL)が必要なんですから。
で、その文字列をアドレスバーに入れてファイルを見たら不正アクセス? そんなバカな。
Re:犯罪性 (スコア:2, すばらしい洞察)
> いっそのこと免許制にして資格のある人・団体しかできないとか。
あるいはそれこそが狙いなのかも、と一瞬妄想しました。
・どんな理由があろうと無免許のペネトレは罪として扱うよ
↓
・免許が欲しかったら○○省外郭団体管轄のこれこれこういう免許とってね
↓
・天下り先が一つできてウマー
いや、だって、今回の件で(個人情報を流出させたことではなく)不正アクセス扱いで
逮捕するっのて、不正アクセス禁止法の適用前例を作りたかっただけとしか思えない
し、じゃあこの件を前例にして何が嬉しいかっていうと上のような流れがどうしても
ちらついてしまう……。
Re:免許制は是非に欲しい (スコア:2, 興味深い)
あ、そこが一番重要。
例えば医者なり弁護士なりの、他人のプライバシーに触れる事のある業種ってのは、契約としてではなく業としての守秘義務がある訳。病院では一々診察前に守秘義務契約なんかしないでしょ？
でもって、卑しくも公共の利益の為のセキュリティの専門家を名乗る人間が、その程度の気を回す事も出来ないって事実が、「自称」は問題だなって思う大きな原因です。
まあ、それ以前として他人のプライバシーに掛かる情報を勝手に公開しちゃあいけないってのは、ネチケット云々を持ち出すまでもなく社会人としてのあまりに当たり前の判断だと思いますけどね。
無敵の個人情報流出防止策 (スコア:2, すばらしい洞察)
・Office氏逮捕の記事をトップに掲載し、「脆弱性を調査したら逮捕だぞ」と脅す。
テレビでやってました (スコア:2, 興味深い)
「官公庁サイトに侵入して個人情報1200人分～」とか言われてもピンと来ず別件だと思っていたら「イベントで公開し～」と言われて、あぁ…と。
建物から出てくるところとか新幹線に乗り込むところとか映像が流れてました。
普通に犯罪者だなぁ、という感じの内容でした。
そりゃ逮捕されたんだから、そうなんでしょうけど、なにか違う報道のされ方であって欲しかったみたいです私は。
悪い人がいるのね、で終わらないようにならないと、ネット上が安全側に傾いていかないですよね。
「欠陥突きサーバーに侵入」 (スコア:2, 興味深い)
で、欠陥は突いちゃいけないんでしょうかね、一般の人の常識として。
「欠陥突き住宅に侵入」・・・いけませんねえ。
「欠陥付き住宅に侵入」・・・どこの住宅会社だっ。
妄想：首謀者は総務省に違いない (スコア:2, 興味深い)
という前例を作っておけば、セキュリティ対策が楽になりますもんね。
みんな最初からグルなのさ。
もしかしてこういう事件でしょうか (スコア:2, おもしろおかしい)
「ねえねえ、君、社会の窓あいてるよ？」
ACCS
「……」
Office（集会にて）
「ねえ、みんな!! ACCS って社会の窓あきっぱなしだよー!! ほら、こうやると中のモノまで出せちゃう」
みんな
「ほほう……」（真似した奴、数名）
ACCS
「恥ずかしくって、もう外を歩けないよう!! ウワァーン!!」
警察
「強制猥褻で逮捕するーっ!!」
Re:もしかしてこういう事件でしょうか (スコア:2, 参考になる)
Re:もしかしてこういう事件でしょうか (スコア:2, 参考になる)
Re:不正アクセス禁止法? (スコア:3, 参考になる)
＞これって不正アクセス禁止法にはどう考えても該当しないと思うんですが、どうなんでしょうね。
まず、不正アクセス禁止法では「不正アクセス行為」として第三条の２の二で
と定義しています。
（括弧内で識別符号であるものを除いているのは、識別符号の不正利用は第三条の２の一で定義しているから）
ここで要件となっているのは「該当計算機がアクセス制御機能を持っている事」であって、アクセスパス自体にアクセス制御機能を持っている事は必要ありません。
そうでないと、たとえばMTAのバッファオーバーフローを使ってバックドアを開けるという行為を「不正アクセス」とはできなくなってしまいます。（MTAではinboundに付いてはアクセス制御されていないのが一般的ですから）
ですから、ACCSの件でも、該当データがFTPなりtelnetなりsshなりでアクセス制御された領域にあれば要件を満たします。
次にアクセスパスの方ですが、実際にどのような形でアクセスして情報を引き出したのかがわからないので一般論ですが、良くある主張で「URLをちょっと書換えただけでは不正アクセスにはならない」というのがありますが、これは常に真ではありません。
たとえばhttp://user:pass@sample.com/という形で他人の識別符号を用いてアクセスすれば不正なのは明らかです。
あまり褒められた方法ではないですが、http://sample.com/login.cgi?ID=user&Pass=passという形であっても同様です。
一方でhttp://sample.com/とアクセスするのは不正ではないというのも明らかです。
となれば、URLを書換えた場合に不正となるかどうかというのは、この2者の間にあるグレーゾーンのどこからが不正で、どこからが合法かという事になるのですが、最終的には公知性と犯意の有無によって裁判所が判断する事になるでしょう。
公知性というのは、たとえばhttp://sample.com/foo/barというURLがhttp://sample.com/からリンクされているなどの場合。
また、最後のbarを削ってfoo/とすればディレクトリのリストが見える事が多々あるというのも公知の事実ですから、http://sample.com/foo/へアクセスする事。
またそのようなアクセスの結果ディレクトリリストが出てきて、そこに列挙されたファイルをアクセスする事。
これらは公知のものとなる可能性が高いでしょう。実際TBCの件なんかは公知の手段でのアクセスなので立件が無理という判断のようですし。
では、たとえば最後のbarをbazと書換えたら公開されていないはずのデータが取れてしまった場合等はどうなるかというと、こちらは犯意の有無が問題となってくるでしょう。
技術面だけを見る人は「同じ形であれば同じ結果（処分）にならないとおかしい」と考える人が多いですが、法律の世界では「犯意」が大きく結果を分けます。
たとえば料理をするために包丁を持っていて、振り返ったら人がいて刺し殺してしまった場合は「過失致死」ですが、そこに人がいる事を知って殺そうと思って刺せば「殺人」です。
今回の場合はどのような結果になるかはわかりませんが、現時点で「明白に白」とも「明白に黒」とも（少なくとも外野の我々は）言えません。
言える事は「不正アクセス禁止法に該当する場合もあり得る」という事。
Re:不正アクセス禁止法? (スコア:2, 興味深い)
今回はそのアクセス制御機構に大穴があり,そこをついたのが
問題にされた様です.
ていうか,記事によっては余罪追及のあるらしい書き方を
しているのですが,出来れば今回はお灸を据えるぐらいに
とどめてほしいですね.
『今日の屈辱に耐え明日の為に生きるのが男だ』
宇宙戦艦 ヤマト 艦長 沖田十三氏談
2006/06/23 JPN 1 - 4 BRA
Re:不正アクセス禁止法? (スコア:2, 参考になる)
日経BPの記事 [nikkeibp.co.jp]を読む限りはそう見えます。URLじゃなくてPATHかな。
直接読まれては困るものはDccumentRoot下におかないというのは常識レベルであって、「アクセス制御機構」ではないですよね。少なくとも機構と言えるものではないと思います。
せいぜい手法? そもそも「アクセス制御」と言えるのか……。
Re:不正アクセス禁止法? (スコア:3, 興味深い)
少なくとも不正アクセス禁止法に定めるところの
一 アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。）
二 アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能による特定利用の制限を免れることができる情報（識別符号であるものを除く。）又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者の承諾を得てするものを除く。次号において同じ。）
三 電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為
には当てはまりません。だって、アクセス制御機能（特定電子計算機の特定利用を自動的に制御するために当該特定利用に係るアクセス管理者によって当該特定電子計算機又は当該特定電子計算機に電気通信回線を介して接続された他の特定電子計算機に付加されている機能であって、当該特定利用をしようとする者により当該機能を有する特定電子計算機に入力された符号が当該特定利用に係る識別符号（識別符号を用いて当該アクセス管理者の定める方法により作成される符号と当該識別符号の一部を組み合わせた符号を含む。次条第二項第一号及び第二号において同じ。）であることを確認して、当該特定利用の制限の全部又は一部を解除するもの）が関係しないから。
前のストーリーにも書いたけど、これが該当するなら
「ftpでのアクセスにはパスワードかけてあるのに、httpでアクセスされた！ これは不正アクセスだ！」という主張がまかり通ることになっちゃいます。
やったことが正しかったとは言わないけれど、違反している法律はこれじゃないと思うんですが。
Re:不正アクセス禁止法? (スコア:2, すばらしい洞察)
ftp://example.com/home/user/naisyo.dat
にアクセスするのは権限がなくてできないけれども、
http://example.com/~user/naisyo.dat
ならアクセスできる、
というのと、何が違うんですか？
なりすましかどうかは問題じゃないんです。
法律上問題になるのは「パスワードによって保護されているかどうか」の一点であり、今回のセキュリティホールはパスワードによって保護されているところをこじ開けたものではないわけです。
だから、不正アクセス禁止法では挙げられないでしょ、と。
Re:不正アクセス禁止法? (スコア:2, 参考になる)
利用できないタグのはずなのに。
エラーの時に
http://example.com/~user/error.html
が表示されるようになっていたが
http://example.com/~user/naisyo.dat
はそのままWWWブラウザに入力しても表示できない。
この時、
＜input type=”hidden” name=”open” value=”error.html”>を
＜input type=”hidden” name=”open” value=”naisyo.dat”>
のようにわざわざ書き換えてローカル保存したページからCGIを呼び出して実行させたのでnaisyo.datを読めたわけです。
ムリじゃなくても (スコア:2, すばらしい洞察)
「見せしめ＆懲らしめ」のためですね。
逮捕って
・証拠隠滅の恐れがある
・逃亡の恐れがある
場合に行われますけど、実際に世間で起きてる事件の大半は
逃亡の可能性は低く事後の証拠隠滅も難しいものがほとんどで、
それじゃなぜ逮捕拘留するかというと、やっぱり
「見せしめ＆懲らしめ＆出来るだけ弁護士から遠ざける」
ためなんですね。
--------------------
/* SHADOWFIRE */
Re:不正アクセス禁止法? (スコア:3, 興味深い)
脳味噌腐乱中…
Re:不正アクセス禁止法? (スコア:2)
盗み放題ってことで。
業務の妨害しないでアクセスすれば、不正アクセス禁止法に触れない状態な穴開きサイトが続々増えるという薔薇色の世界が待っています。
# 普通に他の法律で罰しない限り、やりたい放題を公認したようにも見えるぞ。
## カルマ無駄遣いする時期だな
Copyright (c) 2001-2014 Parsley, All rights reserved.
Re:不正アクセス禁止法? (スコア:2, 興味深い)
どうなんだろうねぇ。だって仮に、office氏の個人情報公開がなかったとしても、office氏からセキュリティホールの指摘を受ければ、サイトの一部閉鎖(業務の停止)は避けられなかったのではないでしょうか？だとすると、個人情報公開の有無は、業務の停止とは無関係ということになりますよね。業務停止と関係していたのは、セキュリティホールがあったことと、その指摘を受けたこと、それを公開したこと、ということになります。
もしこの事件で威力業務妨害が成立するということであれば、セキュリティホールを指摘・公開しただけで威力業務妨害で逮捕される、ということになりますよね。公開せず、指摘しただけでも逮捕される可能性だって残ります。これが妥当かどうか。
Re:不正アクセス禁止法? (スコア:3, 参考になる)
この件で過去の判例をちょっと漁ってみたのですが、
……が該当しそうな感じです。判決要旨によると、 ……だそうなのです。
（ちなみに要旨の「事由意思」は「自由意志」の間違いです（判決本文参照））
ACCSとしてはこっそり教えられたにしろ公開されたにしろ、当該サイトを可及的速やかに閉めるしか当面の対策がなかったとは思いますが、それでもその行為に「自由意志」が介在できたかどうかが争点になると思われます。
……なるのか？
Nullius addictus iurare in verba magistri
Re:不正アクセス禁止法? (スコア:2, 参考になる)
>今までおろそかにしていた業務をやっただけで妨害になってないのではと思うのですが？
甘いっす。
威力業務妨害ってのは現実的には換金出来る業務にのみ適応されます。
だから余りに迷惑な行為を受けてもそれが換金出来ない時は現実的には適応が難しい。
でもって、個人情報の保護って業務（私的にはそんなもの自体存在しないと見たが）ってのは換金不能ですよね。
なんでその方に利益があっても無視されるだけかと。
＃つーか、犯罪により得られた副次利益を減刑材料とするかって話にもなるか？
まあそれでも威力業務妨害については、ある程度裁判で揉んでおいて、後で損害賠償請求を行う時のネタにでもするのか取引材料にするのでは？と思いますが。
Re:あんまりだと思ったので (スコア:2, すばらしい洞察)
Re:あんまりだと思ったので (スコア:2, すばらしい洞察)
その例えでは、セキュリティ上の問題を放置しても被害を受ける のはそのコンビニだけでしょ。言わば自業自得。 ACCS のサイトから個人情報が漏れた被害者自身には何の落ち度も ない。（ACCSなんかに個人情報を渡したことが間違いかもしれんが）
# office氏を弁護する気は全く無し。彼も自業自得。例え話は有害 (スコア:2, すばらしい洞察)
そもそも、議論に例え話を(むやみに)持ち込むのは
無益な発散を生むので有害。
内容にコメントすると、例えどんな悪逆非道の行いであっても、
法律の文面に触れなければ処罰することは出来ません。刑事法の基本です。
Re:あんまりだと思ったので (スコア:3, 参考になる)
Re:きっと不起訴だな (スコア:2, すばらしい洞察)
Re:office氏の指摘って… (スコア:3, 興味深い)
からメールで指摘が来たことがあります。
指摘そのものは、役には立ちましたが(苦笑)、かなり失礼というか、「御社
のサイトに脆弱性があったことや、その対応を○月○日に、公表させていた
だきます」と、脅迫紛いの文面に、内心ブチ切れながら、丁寧なお礼の返事を
書いたことがあります(当然、問題点を即座に直してから)。
はっきり言って、office氏の対応次第では、一歩間違えば会社に多大の損害
を与えかねないですし、返答しないのは返答しないのでマズいことが予想され、
返答をするにも、下手なことは書けないので、ともかく慎重にならざるを得ま
せんでしたが、「期限」まで時間もなかったので、そこの部門長と相談のうえ、
あくまで丁寧にお礼を述べ、かつ個人的な見解であることを断ったうえで、
対応を説明しました。
彼のような指摘のメールでは、返事を書くにしても法務部などにチェックを
仰がなければならないと考えて、返答をしないという選択をしても誰も責め
られないでしょう。
こっちは、会社やWebサイトの評判がかかっているのに、彼は office などと
いうふざけた匿名の臆病者で、おまけにすべてにおいて高圧的かつ、見下した
態度（引用したいのですが、それができないのが残念です)でして、まともな
対応をしろというのは、ごく普通の現場担当者には酷というものです。
こう書くと、プロとしていかがなものか？ と書く人が絶対いるかもし
れませんが、すべてのエンジニアが、初めからセキュリティを意識した
コードを書けたわけではないですし、かつてのXSSもそうですが、新た
に指摘された脆弱性は、多くのエンジニアが見落していたことだって
あったはずです。
もちろん、今、XSSの問題を抱えたサイトを作るのは、どうかと思いま
すし、今回のACCSのような脆弱性は「有り得ない」と呆れるくらいです
が、よほどの天才でない限り、CGI覚えたての新米エンジニアが、最初
から、それを分かっているとは思えません(それは、教育の仕方や勉強の
仕方や教材に問題があるといえば、そうなんですが、現実とはそんなもの)。
彼のように、受け取った側が『固まってしまう』ような、やりかたでは、
まったく逆効果です。
本当にセキュリティレベルを向上したいのなら、もっとまっとうに、教育
の機会を提供するとか、ほかのアプローチを考えるべきでした。
会社などの中で仕事をしている人なら、コストなどとの兼ね合いで、
さまざまなトレードオフに悩まされているでしょう。既知のセキュリティ
ホールへの対応は当然するとしても、未知(少なくとも自分達にとって)の
ものに対応する余裕があるかというと、常に十分な対応はできないでしょう。
良くも悪くも、そうした現実を見据えたうえで、前向き、かつ地道な
活動をすべきですが、結局のところ、彼や彼を擁護する人々は、そうした
社会性やバランス感覚が欠如しているのでしょう。
ブタ箱に入れるのではなく、そうした社会性を勉強する経験をさせあげ
たいものです。
# ヤバいけど、昔の話だし、スラドのIDなんて所詮ACみたいなものなので、ID
Re:office氏の指摘って… (スコア:4, 興味深い)
けど、ここで重要なのは不正アクセス禁止法に抵触するとして逮捕されたんだな。
不正アクセス禁止法を簡単に説明すると、
"鍵がないと通れない扉"を開く際に使った鍵が、
不正な手段でもって手に入れたものであった場合に適用される法律
なんだよね。
氏が主張しているように、今回では鍵が無いところを通った形になる。けども、警察は「不正アクセス禁止法に抵触する」といっているんだ。
その際に手に入れた情報を公開したのがマズかったのなら、それを理由に他の刑法に抵触するとして逮捕するのが妥当。それができないからといって、不正アクセスにあたると無理を通すのは不当逮捕だと思うのよ。
彼が、個人情報を公共の場で全く漏らさなかったならば、
単に「○○ではＸＸに穴があって□□という方法で情報が抜ける」としか言わなかったとしたら、
しかし実際に彼が情報を入手していたとしたら、
その時には不正アクセスとして逮捕されていただろうか。
Re:office氏の指摘って… (スコア:2, 参考になる)
Re:office氏の指摘って… (スコア:3, すばらしい洞察)
要するに、うちは被害者で悪くは無い、責任は無い。理事会を始め誰も責任を取る必要が無い。減法も懲戒も無い。肩書きにも傷がつかない。そういうことです。
情報漏洩でACCS訴える人が出るか、どっかのメディアが今回の個人情報漏洩の不祥事に関する責任を組織としてどう取るつもりか問い質せば明るみにでますが。
気になるのは起訴の理屈が通ると元々公道であっても、都合が悪ければセキュリティホールを突いた不正アクセスに仕立て上げられるってことですね。
極端な事を言うと日々利用してたanonftp鯖が「anonで入れたのうちの設定ミス。ホントはanonはダメなつもりだった。不正アクセスに該当するから警察に突き出すね」と言える訳で・・・・
普通の人はそんなみっともない事は出来ませんが(笑
Re:office氏の指摘って… (スコア:2, おもしろおかしい)
「オレだよオレ、ちょっと住所録が必要になったんだけど玄関まで持ってきてくれない？」
と中の人を騙して持ってこさせ、まんまと盗み出したというオレオレ詐欺でしょう。
Re:office氏の指摘って… (スコア:3, 参考になる)
例えば、傷害罪。AさんがBさんを殴った。
>（傷害）第204条 人の身体を傷害した者は、10年以下の懲役又は30万円以下の罰金若しくは科料に処する。
http://www.houko.com/00/01/M40/045.HTM#s2.27
何故殴ったのか、どうして殴ったのかの目的や動機があるからこそ、故意性を立証出来て、傷害罪を適用出来るはず。
Bさんが殴りかかってきたので、ガードしようとしたら肘がBさんの顔に当たった。
この場合正当防衛に該当しそうだし、故意性は疑問。
他人のパスワードを使ってアクセスする行為は駄目。しかし、一字違いだったので打ち間違った場合は、故意では無いので刑事罰を与えるのは無理だろう。
と言うわけで、刑事事件なので目的や動機は重要だろう。
Re:office氏の指摘って… (スコア:2, すばらしい洞察)
欠陥を知り得た入手経路が指摘であろうが
指摘の元がoffice氏であろうが
そんなことは関係ない。
個人情報が容易に漏洩してしまう欠陥を
自分のサイトが持っていると知ったとき、
すぐに修正するかしないかだ。
ACCSに個人情報を送信した1200人は
「おそらく個人情報漏洩の欠陥はないだろう。
もしあったとしてもすぐに修正するだろう」
と期待した上で送信するわけだから、
(欠陥があることを知り得た経緯はどうであれ)
「すぐに修正しない」と判断するのは1200人を裏切ることになる。
office氏は会合の参加者に1200人の名簿を見せたかもしれないが
ACCSはその名簿を世界中の人が閲覧可能な状態にしていた。
1200人に対する裏切りの度合は雲泥の差。
そもそも「サイト内の任意のファイルを出力し世界中から閲覧可能とするCGIの設置」自体が
個人情報保護を怠る悪質な犯罪なのだから、
そちらを厳密に処罰しないと1200人は浮かばれない。
Re:不正アクセス行為禁止法と威力業務妨害 (スコア:3, 参考になる)
＞都内で開かれたネットの安全対策担当者やハッカーの集会で、
＞参加者約２００人に接続方法を公開し、協会にも接続したことをメールで通知した。
＞そのうえで、サイトの一部の閉鎖を余儀なくさせ、協会の業務を妨げたとされる。
この記事を見ると集会で公表したことが閉鎖の原因であるように見えるんですが、
一方でACCSのリリース [askaccs.ne.jp]を見ると、
＞11月9日に、ある個人の方から、「ASK ACCSのホームページ上から
＞個人情報を入手できる」との指摘のメールをいただき、
＞ACCSで確認したところ、この方がメールに添付していた個人情報が、
＞ACCSの保有している情報と同一であると判明したことが発端です。
＞この事実を確認した時点でACCSでは、問題のあった「ASK ACCS」の
＞CGI機能を停止するなど技術面での緊急措置を実施した
とあります。
これを見ると集会での公開は何ら関係なく、通報された事実を確認したから
閉鎖したとしか読めないんですが…
まさかOffice氏が通報したこと自体が威力業務妨害とか？（全然笑えない）