« Book:大勝文仁『差をつけるメモ術・手帳術』 | トップページ | スケジュール管理失敗 »

2004.06.06

セキュリティの担保

 サイバーノーガード戦法として揶揄されているわけですが、実際のところどうなのでしょうね。

 Matz 日記 に興味深い記事。

>> Matzにっき(2004-06-03)

_サイバーノーガード戦法
サイバーノーガード戦法という単語の オリジナルと思われる文章では、以下のように解説されている。
その1 セキュリティへのコストを切り詰めて、脆弱性あってもいいやで安価に開発。サーバ管理者もセキュリティまでわかる人は単価高いので、安いサーバモンキー程度ですませる。予算があったら保険に入っておく。
その2 冒頭の文章=このサイトがメソッドAで運用されていることを掲示する。
その3 脆弱性の指摘があったら「うちはノーガード戦法だから、余計なことをいうな。」とつっぱねる。
その4 脆弱性をついた攻撃あるいは脆弱性の情報公開があったら、相手を不正アクセス法と威力業務妨害で告訴する。今回の事件でわかるように、脆弱性を放置し個人情報を漏洩させても運営者は全くおとがめなしで安全である。これは運営者からすると、訴えたもん勝ちといえる。警察のお墨付きというわけである。
その5 もし、本当に被害が発生したら、迅速にお詫びのメールを被害者に送付する。世間がうるさかったら、商品券でも送る。商品券のコストがセキュリティ投資のコストを上回る可能性はまずないので、これでも損ではない。
なお、タイトルにある「安全」というのは、運営者が安全という意味で利用者はきわめて危険な状態におかれる。
さて、この戦法にはいくつかの問題がある。
この戦法に脅威を感じるのは、自分の身分を隠すつもりがない人物、 (おそらくは善意の)警告者のみである。 真に個人情報を奪取する意図がある人物は身分を明らかにするつもりもなく、 この戦法を脅威に感じることもなく、歯止めにならない。
この戦法は法的手段を利用しているが、抑止力を持つためには 不正アクセスをした人物が特定される可能性が十分に高くないといけないが、 実際には海外を含めて踏み台を何段か重ねた場合(つまり、侵入者がよっぽど迂闊でない限り)、特定できる可能性はかなり低い。
集積した個人情報の量によっては、容易に「商品券のコストがセキュリティ投資のコストを上回る」。たとえば阪急交通社のように62万人分漏洩させてしまえば、一人あたり500円でも3億円を超える。Yahoo BBのように450万人分なら22億円超だ。
我々の場合も含めて、不正アクセスの動機は個人情報の入手よりもむしろ、 破壊活動、愉快犯、踏み台の獲得などがほとんどであるように感じられる。 これらに対しては、サイバーノーガード戦法は無力であろう。
ということで、真面目に考察した結果、サイバーノーガード戦法は、有効な局面が極めて限られるので採用できない、というのが結論だ。そもそも我々は個人情報なんてほとんど持ってないし。
そういう観点からは、ACCSをはじめとする「サイバーノーガード派(なんてくくってよいのか?)」に対応は残念だ。真に対抗すべき悪意ある存在に対しては無力で、さほど悪意がない「警告者」を恫喝する結果を招くだけだから。
office氏の行為に問題があったとは私も思うが、問題の所在はイベント会場で個人情報を漏洩してしまったことにあって(それがどのような罪に該当するのかは知らない)、ACCSから情報を入手できてしまったことではないと思う。 ACCSの脆弱性は、情報の入手に成功してしまって、はじめて脆弱性の存在が分かるようなタイプである以上、彼の行為の問題はそこにはない(はず)。「被害者」としてのACCSの怒りは想像できるが、だからといって自分の落ち度を棚に上げて、一方的にofficeに責任を押しつけてよいわけではない。
さて、今回のruby-lang.orgのクラックについてだが、たとえばhelium(ホスト名)のCVS脆弱性を突いて、本来保護されている領域に侵入して、ファイルシステムを「改竄」した行為は不正アクセス以外の何者でもないと思う。よって議論の余地はないはずだ。もし、侵入者が特定できたならば(残念なことにかなり可能性は低いが)、彼はそれを償う必要がある。特定できなくても彼が犯罪者であることには変わりはない。すくなくとも日本の法律の下では。
我々にも落ち度があるのは認めざるをえないが、だからといって犯罪者が免責されるわけではない。実際、この一連のコストは我々が(特に前田くんが)負担しているのだ。
では、思考実験として、CVS脆弱性を利用してheliumに侵入し、 それを悪用せずに、我々に「heliumにはCVS脆弱性がありますよ」と警告してきたケースを考えてみよう。
我々は「警告者」が本当に警告だけだったのか、実際に侵入し、踏み台としての仕掛けを行っている「ほんとは悪いやつ」なのか区別がつけられない以上、結局は今回行ったのと同じようなホストの再構築を行う必要に迫られたであろう。
が、「警告者」がCVS脆弱性を利用したとしても、 本当に警告のためにしか用いていなかったならば、我々はその警告者を法的措置の対象とは考えないだろう。
 現在、僕自身は、幸いなことにこの種の心配をしなくていい(少なくとも実作業レベルでは)立場にいるので、本当に心の底から良かったと思っているのですけれど、つい数年前までは、今回やり玉に挙げられているような ACCS と同様に、たまたま職場の中で一番パソコンに詳しそうという理由で職場のネットワーク関係の仕事をしていた(しかも兼任で)ことがあったので、複雑な気分になってしまいます。

 現在の ACCS のシステム関係の部署がどのように運営されているのか分からないので、僕自身の経験から言えば、この手の組織では、どうしてもネットワーク周りは後手後手にまわりがちで、とは言いつつ、一方で情報発信の要請は内外からあり、それに対応するための最も効率的な手段として、Webサイトを構築するという選択をすることになりがちというのが実情ではないかと思います。

 こんな牧歌的なことが許されるのは、90年代で終わりなのでしょうね。

|

« Book:大勝文仁『差をつけるメモ術・手帳術』 | トップページ | スケジュール管理失敗 »

「パソコン・インターネット」カテゴリの記事

コメント

コメントを書く



(ウェブ上には掲載しません)




トラックバック

この記事のトラックバックURL:
http://app.cocolog-nifty.com/t/trackback/33724/720356

この記事へのトラックバック一覧です: セキュリティの担保:

« Book:大勝文仁『差をつけるメモ術・手帳術』 | トップページ | スケジュール管理失敗 »