パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Slashdot Japanのコメント機能にXSS脆弱性 (対処済)」記事へのコメント

  • "謝辞:"の部分 (スコア:0, フレームのもと)

    他サイトの管理者に読ませたいですね。

    特に指摘すると、すぐに威力業務妨害で訴えてくるトコとか…
    (まぁ、実際にデータを盗んで晒しちゃう人はどうかと思いますけど)
    • >他サイトの管理者に読ませたいですね。
      セキュリティ報告のメールが spam 扱いにされていたところとか、不手際がいくつも重なっている部分もあり、完全に適切な対応とは言い難いのですが。
      とはいえ、そういった不手際も含めて公開してくださっているのは、他のサイトでも参考になるとは思います。

      >特に指摘すると、すぐに威力業務妨害で訴えてくるトコ
      って、どこのことを指して言ってますか? ACCS のことであれば、
      >(まぁ、実際にデータを盗んで晒しちゃう人はどうかと思いますけど)
      という被害があった
      • by Anonymous Coward on 2004年02月09日 10時02分 (#492050)
        「脆弱性報告は不正アクセスである」と言う法的根拠は示せるのか?
        イラクの大量破壊兵器と同じだよ。
        存在するもの・該当するものは「ほれ、この通り」と示せても、
        存在しないもの・該当しないものは示しようがない。
        親コメント
        • by tamago915 (19926) on 2004年02月09日 12時42分 (#492140) 日記
          >「脆弱性報告は不正アクセスである」と言う法的根拠は示せるのか?
          報告じゃなくて発見のほうですが、不正アクセス行為の禁止等に関する法律 [ipa.go.jp] の第三条第2項の二が根拠となりうると考えています。
          # この条文が、セキュリティホールをつくことを想定して書かれているものなので。
          親コメント
          • by tucker (16275) on 2004年02月10日 12時12分 (#492766) ホームページ
            >報告じゃなくて発見のほうですが、不正アクセス行為の禁止等に関する法律 [ipa.go.jp] の第三条第2項の二が根拠となりうると考えています。

            若干「不正アクセス」の範囲を取りすぎているのではないか、と思います。

            不正アクセス行為の禁止等に関する法律第3条第2項第2号は、大雑把に言ってしまえば、「管理者の予定外の手段で、管理者としては何らかの認証を経なければ使えないようにした『つもり』の機能を、『そうであると知りつつ』使える状態にした場合(但し、事前に許可を取った場合は除く)」は不正アクセス行為である、という規定です。

            なお、『そうであると知りつつ』という限定がかかるのは、刑法第38条に「罪を犯す意思がない行為は、罰しない。ただし、法律に特別の規定がある場合は、この限りでない。」とあるためです。
            #同時に、「法律を知らなかったとしても、そのことによって、罪を犯す意思がなかったとすることはできない。」とありますので、「それが法律違反だとは知らなかった」というのは通りません。

            したがって、「たまたま」セキュリティホールを突いてしまった場合には不正アクセス行為には該当しませんので、脆弱性の発見が即不正アクセス行為に該当するとは限りません。
            #今回の脆弱性発見者の場合は「実験コメント」がヤバイかもしれませんが、「誰も使えないはず」の機能を利用できるようにすることは不正アクセス行為じゃなかったりするので、詳細が分からないとなんとも言えませんね。

            で、ついでにいくつかの応用例を考えると、
             ・管理者がその存在を知りつつ放置していたセキュリティホールを突いた場合でも、不正アクセス行為。
             ・ただし「アクセス制御機能」がハナから用意されていない場合は、不正アクセス行為にはならない。
             ・「たまたま」知ってしまったセキュリティホールであったとしても、もう一度突くのは不正アクセス行為(office氏のAD2003での行為)
            という感じでしょうか?

            ついでまでに言っておくと、不正アクセス行為の禁止等に関する法律第3条第2項のうち、
             ・第1号は、なりすまし利用
             ・第3号は、踏み台利用
            です。
            親コメント
            • by tamago915 (19926) on 2004年02月10日 12時47分 (#492798) 日記
              モデレート権がないのが残念ですが、「参考になります」。
              で、1点だけ確認したいのですが、
              #今回の脆弱性発見者の場合は「実験コメント」がヤバイかもしれませんが、「誰も使えないはず」の機能を利用できるようにすることは不正アクセス行為じゃなかったりするので、詳細が分からないとなんとも言えませんね。
              誰も使えないはずの機能を利用できるようにすることが、不正アクセス行為にならないというのがよくわかりません。
              「不正アクセス行為の禁止等に関する法律」の第三条第2項の二にある「特定利用」にあたらない、ということなのでしょうか。

              同法第二条にあるように、「特定利用」はそのマシンを利用するあらゆる行為が含まれ、誰も使えないはずの機能は誰も使えないように制限されているわけですから、これが「特定利用」にあたらない、と主張することは難しいのではないでしょうか。
              親コメント
              • by tucker (16275) on 2004年02月10日 17時38分 (#493084) ホームページ
                「特定利用」は、口語的に言ってしまえば「ネットワーク越しのコンピュータ利用」ですので、あまり気にしないほうがいいでしょう。

                で、「誰も使えないはずの機能の利用」が不正アクセス行為に該当しない、というのは、「アクセス制御機能」の定義(第2条第3項)に起因します。

                「アクセス制御機能」の定義を口語的に言えば、「特定の符牒を知っている/持っている人にはネットワーク越しでの『利用制限の全部または一部を解除するため』に、管理者がコンピュータに導入した機能」になります。
                #今回の説明用に相当端折って書いたので、正確性は相当落ちる表現です。申し訳有りません。

                要するに、アクセス制御機能というのは、
                 ・通常では利用が制限されていること
                も必要条件ですが、
                 ・特定の符牒を知っている/持っている人は利用の制限を解除できること
                も必要条件なんです。

                というわけで、「誰も使えないはず」のことをできるようにしたとしても、不正アクセス行為に該当しない、ということになります。

                なお、「誰も使えないはず」というのは、手段は問わないので、証明しようとすると、多分悪魔の証明に近いものになります。
                #そして「誰も使えない」可能性が否定できない限りは、不正アクセス行為に相当すると判断する事はできません。

                で、「悪魔の証明」と書くと、それをさせられるのか、と反応する人もいるかもしれませんが、法律の運用上は疑わしきは罰せずの原則がありますので、
                 ・検察側に「アクセス制御機能がある」ことの証明が義務付けられ、
                 ・被告側は「検察が主張するアクセス制御機能がアクセス制御になっていない」ことの個別論破を目指す
                ことになり、悪魔の証明が裁判の場で求められることはありません。

                まぁ、法律の世界(特に刑罰規定のある法律)では、定義の厳密性を求められるが故に、通常世界の考え方からは考えられないような定義がなされることがある、という一例と御理解ください。
                親コメント
              • by tamago915 (19926) on 2004年02月10日 18時17分 (#493122) 日記
                かみ合っていない部分があるようなので、もう少し教えてください。
                「誰も使えない」というのは、本当に誰も使えないのか、アクセス管理者以外の誰も使えないのか、どちらの意味で使っているでしょうか。

                前者なら、アクセス制御にあたらないというのは理解できます。
                # もっとも、この意味で「誰も使えない」機能が使えるようになる状況が想定できませんが……。
                ですが、後者なら、アクセス管理者が利用するための識別符号 (root のパスワードなど) があるはずですから、アクセス制御に該当すると思いますが、いかがでしょうか?
                親コメント
              • by tucker (16275) on 2004年02月12日 0時26分 (#493871) ホームページ
                えらく時間が空いてしまい、申し訳ないです。

                おっしゃるように、アクセス制御機能が無い、というのは前者の場合です。

                で、今回の件は「本来はリジェクトされるであろうデータをcgiに作成し、サーバに保存させることに成功した」という話だと思われるので、そのような行為をサーバーの管理者権限や、slashチームの人々だけが持っているような権限で行えるものなのかどうかが、アクセス制御機能の有り無しの判断基準になると思います。
                #これが「任意のデータを保存させることに成功した」だと簡単なんですけど、今回はcgiにデータを喰わせるのを成功したに留まってますので。

                やけに、細かい話になってしまってすいませんでした。
                親コメント
          • by Anonymous Coward
            > 当該アクセス制御機能による特定利用の制限を免れることができる
            > 情報(識別符号であるものを除く。)又は指令

            に該当するか否かが争点?
            アクセス制御機能が無い場合は該当しないよね?
        • Re:をいをい (スコア:1, 興味深い)

          by Anonymous Coward on 2004年02月09日 15時09分 (#492220)
          ケースバイケースだと思う。
          例えば、一般権限で直接には読み出せないファイル内容でも無条件に出力する
          CGIなどのスクリプトが設置されていたとする。

          スクリプトを攻撃者が設置したのなら間違いなく黒だが、運営者自身の手で
          設置され、一般権限でも実行可能に設定されてるような場合。

          一般権限で実行できるのだから、アクセス制御の回避にあたるとするのは
          不適当だと思う。ただし、スクリプトを攻撃に使えると知った上で
          攻撃のために使った場合、この行為は黒と判断されると思う。

          ただ、この「攻撃」の範囲に、脆弱性を確認するための試験的な攻撃と、
          本当の攻撃との間に線を引くかどうか、引くなら基準は?というのが問題で、
          今のところ、明確なガイドラインはないように思う。

          国(総務省)は攻撃試験を違法行為としているから、何らかの正当かつ強力な裏づけを
          提示しない限り、裁判となればこの方向で判決が下される可能性は高いと思う。
          親コメント

ナニゲにアレゲなのは、ナニゲなアレゲ -- アレゲ研究家

処理中...