高木浩光＠自宅の日記 - 通信路上の改竄攻撃発生に、Webサイト運営者が説明責任を負うのか？

■ 通信路上の改竄攻撃発生に、Webサイト運営者が説明責任を負うのか？ セキュリティホールmemoにまとめられているように、レンタルサーバのさくらインターネットのLAN上で、ARP spoofing攻撃が発生したのではないかとの疑いが浮上している。しかし、現時点でさくらインターネットは公式にそれを認めておらず、誰も確かな情報として伝えることができない状態にある。 昨今、Webサイトのコンテンツを改竄されて、ウイルスファイルへのインラインリンクを埋め込まれる手口の被害が多発しており、その際、Webサイトを改竄されたサイト運営者は、サイトを訪れた一般利用者に対してウイルス感染に注意を呼びかける告知を出すというのが、慣例になりつつある。これは、サイト運営者がサイト管理の不備を詫びる意味も含めて、行われている発表であろう。 しかし、ARP spoofingによる「改竄」は、Webサイトのコンテンツ

[ortica]

[h:keyword:http://b.hatena.ne.jp/hotentry/20080604][h:keyword:ARP spoofing]

[kazuau]

Aのポイントは、ユーザーから見れば、契約の相手方であるサーバー運営者の持ち物。通信事業者は、その下請けに過ぎません。

[fukken]

「うちは悪くないし、経路上での事なんて把握しようがありません」というのが正論だろうが、状況を掌握できているように見せないといけないんだろうなー大変だなー、とか

[setamise]

さくらインターネットのARPスプーフィングによる被害。さくらインターネットが謝罪するのは本来筋違い

[syamaniha]

通信路上での改ざん攻撃はあるSSL等による暗号化の重要性。 さくらインターネットのLAN上でARP spoofing攻撃が発生した事件

[seotch]

ユーザー視点から見えるのは、Webページが改竄されてるって事実だけだしね……。今回のARP Spoofだって流行の手口だから分かるけど、レアな手法だったらプロバイダ側がだんまり決め込むことも不可能じゃないかも。

[webmarksjp]

security

[nihen]

そうはいってもうちからなんかしら告知しとかないとまずいかな・・・。

[sdv]

対策した上で運用となるとなんでも面倒に見える。どこまでがやらないといけない範囲かはおいとくとしても、誰が説明するかっていうのは説明されたい側の人からの突っ込み次第なところもあるからなぁ。

[seotch1110]

ユーザー視点から見えるのは、Webページが改竄されてるって事実だけだしね……。今回のARP Spoofだって流行の手口だから分かるけど、レアな手法だったらプロバイダ側がだんまり決め込むことも不可能じゃないかも。

[napsucks]

ホスティング側の対策はPVLAN、鯖管側の対策はサーバ上のGW ARPを staticで書くぐらいか、ああでもGW上のARPを上書きされたらだめか。こりゃ鯖管の努力だけじゃ無理っぽいね。ひろみちゅ先生のいうとおりSSLか。

[rsyudou]

ARP spoofingは厄介だわ。厄介すぎて気にしない。

[moondriver]

ゆずソフトの件。

[m_yanagisawa]

素人の私は、これは微妙な問題なのだということを↓[これはひどい]がないことで納得したw

[nilnil]

Webサイト運営者は自分の管理範囲と確認した事実を述べることしかできないが、インターネットの特性を理解していないユーザはネットワークを含めたシステムとして説明責任を求めてくる…。いやらしい問題だ。

[abc1cba]

ふむふむあとでじっくりと読む

[mmasuda]

さすがひろみちゅ先生は問題の本質をよくわかっていらっしゃる。

[fjsk]

一部地域にて電波ジャックが発生してTV番組が別のなにかにのっとられたときに、TV局はアナウンスすべきかどうか(すべき、ではあるが「責任」まであるかどうか)という話。

[ultraist]

うちは悪くないと説明する

[mitsuki_engawa]

責任の所在以前に、データセンターが説明できない（コンテンツに干渉すべきではない）以上、コンテンツホルダが説明する以外にないかと。／↑？？

[hyrum]

さくら、逃げ腰。

[masayakato]

説明責任があるとかないとか言う問題とは別に、何かしらの問題が起きてたら「その人なりに」人前で話をする、ということをするのは「好感度をあげる」という目的で考えたら｢やるべき｣じゃないのかなぁとおもう。

[stealthinu]

この件って、ARP Spoofingされて、アカウント取得されてコンテンツ変更されたのだと思ってたわ。転送されるような動きになってたのかな？

[T-norf]

データセンターは、サブネット細かく分けろとか、SWのポートでIPフィルタしろってことかな。

[sankaseki]

高木浩光＠自宅の日記 - 通信路上の改竄攻撃発生に、Webサイト運営者が説明責任を負うのか？

[mobiletelecom]

インフラただ乗りの範囲でなければ、責任とか。ホスティング契約での責任範囲に準ずるとか。業界のスタンダードは？Webサイト運営者から状況を発表せよというのは酷な話ではないだろうか。 とのこと。

[pitworks]

ARP spoofing

[atoh]

サイトでの説明は必要であろう/“自分ちのケーブルTVが映らないのは全部TV局のせい？違うでしょ。それと一緒だよ、間違えちゃダメよ”って話

[isrc]

ARP spoofingによって通信路上の改竄でHTMLを差し替えられる被害に遭ったWebサイト運営者が、サイトを訪れた利用者に対して「お詫びを出さなければならない」とする世論があるとしたら、それはおかしいのではないか。

[nsta]

ARP spoofing／HTTPは通信路上の改竄があるからキケン！