シャットダウン事件と発見者の責任 | 水無月ばけらのえび日記

公開: 2011年5月22日13時50分頃 こんなお話が。 巫女SE、脆弱性のあるサービスを独断で停止し、あわや警察沙汰に (slashdot.jp)」。巫女テスター（17歳）、システムの致命的な欠陥を発見しサーバーごとシステムをシャットダウンした一部始終 (togetter.com)巫女テスター(17歳)、欠陥システムをサーバーごとシャットダウンするに至った顛末とその後のお話 (togetter.com)とあるシステムを見ていたら「パスワード再発行フォームのメールアドレス入力画面にＳＱＬを仕込むと全ユーザーの情報を引き出したり」といった致命的な脆弱性を発見してしまい、そして……本番環境を動かないようにしてシャットダウン。その後は警察を呼ばれそうになりつつも、クライアントの理解が得られて最悪の結果は回避できたようで。まとめには出ていませんが、「課長と部長に報告したし、埒があかないから更に上

[hasegawayosuke]

脆弱性を発見した人が大げさに騒ぐような場合、「強すぎる正義感や責任感」に限らず、「修正されない＝自分(の発見した脆弱性)を認めてもらえない」的な感覚もあるような気がしますね。

[fukken]

個人情報の漏洩は時と場合によっては被害者の社会的生命が終わる事もあるわけで（例えばアマゾンの購買履歴が漏洩したら俺は社会的に死ぬ）、一概には言えないと思ってる。

[setamise]

同意。例外があるとしたら"人命にかかる欠陥の場合"。例えば「旅客機が墜落するワナを発見したので、現場のマクレーン刑事が独断でシャットダウン。死傷事故を未然に防いだ」とか。

[rna]

事故が起きたときの被害の内容によるのでは。カード情報ならともかくプライバシー情報の場合は? お金で解決できる範囲なら最終的には被害=運営者の損害だけど、利用者にとりかえしのつかない損害を与える場合がある。

[zorio]

何を扱ってるサービスかにもよるかなあ。命に関わる問題なら話は別かと思う。

[mujin]

これは同感。…とひとたびは思ったものの、じゃあ自分の手元にユダヤ人殺害の命令文書が来たらやはり従うのかという疑問も。

[uunfo]

アイヒマンかよ

[nilab]

シャットダウン事件と発見者の責任 | 水無月ばけらのえび日記

[ardarim]

常識的にはそうですよね。技術者の責任範囲、運営者の責任範囲、決められた領分を越権するのはよろしくない。技術者はサーバを停止できるがサービス停止に対して責任を負えないのだから。

[tyru]

ブコメより「末端の技術者の危機意識を上層部が理解してくれない、という現実に打ちのめされてきた人々にとって、巫女氏は英雄なんだよ」なるほど。まあやっちゃダメだけど気持ちはわかる

[kits]

「脆弱性に関わる立場の人は、強すぎる正義感や責任感が不幸を生むこともある、ということを頭の片隅に置いておくようにした方が良いと思います」

[JULY]

同意、なんだけど、さすがにシャットダウンはダメだと思うけど、サービス運用者を説得できない場合に、この事態を改善する方法は無いかなぁ。

[shidho]

基本的にはその通りではあるのだけど、運営元から金もらって仕事をしている身分だと、その運営元が下手うって商売ポシャったら自分に来る金がなくなる、というリスクもあって。

[cubed-l]

同意。例外はよほど強力な理由がないと

[mi1kman]

脆弱性に限らずですが同意＞「脆弱性に関わる立場の人は、強すぎる正義感や責任感が不幸を生むこともある、ということを頭の片隅に置いておくようにした方が良いと思います。」

[kaito834]

2011年5月、とあるSEが脆弱性のあるサービスを独断でシャットダウンした件についてのブログ記事。サービス運営者がそのサービスの責任を負う点に同意。だけど、一利用者としてサービスに問題があったら意見するのはよ

[nanoha3]

togetterにのってる、twitterの周りの反応が怖い。今回の件、まずかったって自覚してるのかな？

[labunix]

シャットダウン事件と発見者の責任

[juner]

各々の正義が狂った正義に区分されるか否かの問題ですね。QT:シャットダウン事件と発見者の責任

[ockeghem]

『脆弱性に関わる立場の人は、強すぎる正義感や責任感が不幸を生むこともある、ということを頭の片隅に置いておくようにした方が良いと思います』

[zu2]

同感。何かあったら現場の責任文化のところからは、さっさと逃げるよろし