脆弱性を突く手口、IPA「見つけたらまず開発者やIPA窓口に報告して」【訂正あり】

大規模会場を使った新型コロナワクチンの接種予約システムの欠陥を巡り、情報公開の在り方で議論が起きている。IPA（情報処理推進機構）は5月18日、取材に対し「一般論ではあるが、脆弱性や手口を不特定多数に公開するのは望ましくない」とコメントした。脆弱性を発見した際は「まず開発者やIPAの窓口に報告してほしい」という。 【修正履歴：2021年5月18日午後9時25分 IPAがITmedia NEWSの取材に回答したものであるため、表現を一部変更しました】 【修正履歴：2021年5月18日午後11時5分 記事初出時、架空予約できることのみが「脆弱性」としていましたが、同手法がセキュリティ上の欠陥を突いているかは議論の余地があります。本件に関しては「SQLインジェクション」などの攻撃が可能という情報もあることから、タイトルと本文の表現を修正しました。】 【訂正履歴：2021年5月21日午後1時 IP

[warp9]

ノーガードの事を脆弱性って言うの、やめてもらえます？

[yas-mal]

元記事を読めばわかるけど、AERAも毎日も、防衛省に取材(=連絡)した上で記事にしてる。岸防衛相が文句を付けてるのも「不正な手段により予約を実施した行為」だけ。ITmediaは、火のないところに煙を立てて何がしたい？

[danseikinametaro]

脆弱性ではなく仕様らしいというのが問題なんだよなあ

[urandom]

脆弱性かはさておき、AERAも毎日も未知のものを発見したわけでないし公開前に防衛省に問い合わせてるからね。もちろん一定期間待つのが通常だけど、システムの性質上知る権利のような別の規範とも関わってくるはず。

[goadbin]

今回の一件は脆弱性というより設計自体がそういうふうに作られているという印象なんだが。/当該分野は疎いので専門家の解説を読みたい。あと納期が極めて短期だったはずでその点は考慮すべき。

[dorotheas11]

アレはIPAが差配するような脆弱性じゃねえ

[uesim]

しかしこの件でメディアに罰を与える事を望んでるネトウヨって、王様は裸だと言った者の首が飛ぶ中国や北朝鮮の様な社会を目指してる事を最近は隠そうともしなくなったよね。

[mutinomuti]

すでにいろんなところで既に公開された情報を報告してと言われても…すべてのマスコミはそれ見て試して報道したんで…IPAやITmediaはこれの発注者と開発者にシステム開発のなんたるかを説明すべきでは(´･_･`)

[hisawooo]

脆弱性とかそーゆー高度な話じゃなくてCOCOAと同根の問題でモックだけ偉い人に見せてテスト運用の予算組み込まずにテキトーな仕事して美味い汁啜ってる奴がいるって、はてなーもさすがに気づいてんだろ？

[zyugem]

あれは脆弱性とは違う気がする。

[cham_a]

対応しそうになかったのだから話が違うよねと／修正入れてるだけマシなのかな

[pseudomeme]

“IPAの見解は一般的な脆弱性などに対するコメントであり、特定の事案に対して述べたものではありません。このため、コメントが一般論であることが分かるよう第1段落の表現を訂正しました。”

[hdkINO33]

“2021年5月21日午後1時　IPAの見解は一般的な脆弱性などに対するコメントであり、特定の事案に対して述べたものではありません。このため、コメントが一般論であることが分かるよう第1段落の表現を訂正しました。”

[khiimao]

システムに欠陥があると取材を受けて確認した時点で管理者側がシステムを止めるべき。

[a2c-ceres]

“【修正履歴：2021年5月18日午後9時25分 IPAがITmedia NEWSの取材に回答したものであるため、表現を一部変更しました】”なんのこっちゃ、と思ったら最初は声明を出した事になってたのね。

[tyouaniki]

ひろみちゅの指摘により、架空予約の件と絡める所が修正された。 / ガセネタSQLの件を追加する事でどーにか記事の体裁を保とうとしてるけど、正直、趣味が悪いのでは。

[geopolitics]

「連絡して相手が対応するまでを待つ」までが遠足です。

[strkmk]

脆弱性だとすれば手口を拡散してはいけないし、仕様であれば悪い問題点かのようにニュースにする必要もなし

[nunux]

https://twitter.com/ayu_littlewing/status/1394484890066817027?s=21

[kibitaki]

ぼくのかんがえた脆弱性の定義論争してるとこじゃないだろ。手法晒して掘れ掘れと煽るのは指摘の範疇越えてるし公益には明確に反する。

[n7next]

今回は防衛省の関係者からの内部告発&記事を出す前に防衛省に問い合わせているので事情が違うと思います

[only_fall]

SQLインジェクションについては匿名掲示板ですらデマの疑いが言われてるのにその修正はどうなんでしょうね

[haatenax]

今回の騒動にただの攻撃者もいたからな

[momonga1123]

毎日などがどうこう以前に、こういう脆弱性が大きなニュースになると、脆弱性を見つけてネットで晒すのが正義と勘違いする輩も出てきそうだから、このIPAの呼びかけは正しい

[hayashikousun]

修正後の記事だと「架空予約＝脆弱性で，そこを調査して公開したAERA dot.が悪い」とは読めない。「SQLインジェクションを公開した人に対して言っているのであって，AERA dot.については言ってない」とも取れる。

[Tatada]

公益性が優先されるからこそ一定期間公表を控えるよう指示がでるんだが。例えばこの前の原発の警備が手薄問題とかも、公益性から公表するのか？優先してるのは速報性だよ。脆弱性でも仕様でも欠陥でも変わらん。

[sink_kanpf]

件の騒動が防衛省側の内部リークから始まってる以上、当の防衛省側が最初から知ってたわけだから、脆弱性じゃなくてそういう仕様だね。だから、今回の件には当てはまらないんじゃないかな。

[naqtn]

IPAに何を聞いたのか書いてないのか…

[ysync]

ラジオライフだったら読者も限られていてセーフだった？でも試す奴は多くなるかな？／ つか全体像知らんのだが、整理番号は正常に発行してるのなら、何月何日何時台は整理番号末尾3桁指定くらいで回ったんちゃうの？

[sin20xx]

架空予約できる事は脆弱性ではないよ。システム上というより設計上の不備ではあるが、仮にそれを前提としているのであれば設計上の不備ですらない。もっともそれが妥当であるかどうかは当然別の議論ではあるけどね。

[ming_mina]

"修正履歴"

[agricola]

強靭であるように作られたシステムに存在する強靭さを損なう欠陥を脆弱性と言うのであって、バグは必ずしも脆弱性ではない。PentiumのFPUの除算バグは脆弱性じゃないのに大騒ぎだったしな。

[dimitrygorodok]

そもそも利用者に予約させるという時点で無駄な労力消費が確定した上に予約システム自体欠陥品だったので幾重にも国民に被害もたらす自公政権。公開なければ予約者は政府信用し手遅れになり得るので危険。

[xlc]

愉快犯が増えすぎて現場は大変ということなのかな。

[namnchichi]

“修正履歴”

[UME]

～をする前にっていうのをつけないと

[underhill]

ひろみちゅ先生が激おこで反論しているのですが

[setlow]

開発者や関係者からウチのシステムおかしいんだけど、ってリークされたことを新聞社がIPAへ報告するものなの？なんかおかしくね？たまたま見つけた一般ユーザーはその通りだけど。

[tamuo]

IPAの見解がすべて。脆弱性を突くとこまではよかった。それを批判する人はcoinhive事件や岡崎図書館事件を忘れたのだろうか。問題はこれを報道という形で世に出すこと。連絡しただけで許可を得たつもりになってるのか。

[z67kjh]

レイプ被害者にお前も不用心だろって言ってしまう国民性がよく現れていて心温まるブクマだ