2005年05月26日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。2005年5月26日[http://www.mainichi-msn.co.jp/today/news/20050526k0000e040059000c.html]「たとえ死んでも許される」が問題だろう。「髪の毛は引っ張らない」はむしろ微笑ましい。これ本当に決闘罪が適用できる様な決闘だったのだろうか。少年らは「K1」などの格闘技にあこがれていたといい、「合意の上での殴り合いの何が悪い」と話しているという。2005年5月26日[http://www.mainichi-msn.co.jp/today/news/20050526k0000e040059000c.html]のだから、「決闘罪」の存在を知らないで、署員の誘導のままに「たとえ死んでも許される」と言ったので「決闘罪」になったのかも知れない。当時都立高校1年のグループ6人と、同市立中学を卒業したばかりの同級生のグループ6人。バイクの売却を巡るトラブルに決着を付けるため、今年3月11日午後8時50分ごろ、世田谷区奥沢2の公園で2人ずつ6組が順番に決闘し、1人に頭や腕に2週間のけがを負わた疑い。2005年5月26日[http://www.mainichi-msn.co.jp/today/news/20050526k0000e040059000c.html]という背景があるのがいけないのかも知れない。「世界タイトルを巡る争いに決着を付けるために」殴り合っても流血しても許されるもんなぁ。どこに線があるのだろう。Tweetメッセンジャー起動時に表示される、MSNトゥデイの見出しの表現。「荒稼ぎ」というのは言いがかりではないか。方は、「記録的大ヒット!」という表現になっている。MSNトゥデイの見出しは、東スポ的と言おうか、無茶な表現が目立つ。2005年5月25日[http://www.itmedia.co.jp/news/articles/0505/25/news086.html]穐田誉輝社長は、サーバーの管理責任について「OSへのパッチ適用など、考えられる対策は適切に取ってきた。今回の件は我々の過失ではない」と否定した。具体的な原因については、他のサイトへの攻撃につながりかねず、警察の捜査にも支障をきたすおそれがあるとして、一切の公表を避けた。Watch[http://internet.watch.impress.co.jp/cda/news/2005/05/25/7754.html]「類似犯罪のヒントを与えたくないので、これ以上コメントはできない」と詳細を話すことを何度も避けた。)に情報を提供しており、これらの機関から今後、何らかの情報が発表されることはあり得るものの、カカクコムから公表はしないという。NDA(秘密保持契約)を結んだ上での情報提供には応じるとしている。他の案件で問題となったような内部理由による情報流出事件とは異なり、今回は悪意の第三者からのハッキングによる情報詐取事件である」として、個別の補償は行なわず被害サポートを行なうことで対応するとした。2005年5月25日[http://internet.watch.impress.co.jp/cda/news/2005/05/25/7754.html]と、「悪意の第三者からのハッキングによる情報詐取」だから補償はしないと発表した模様だ。「必要とされるWindowsのパッチは当てていた。穐田社長は今回の件を「言い方は悪いかも知れないが、地震にあったようなもの」と例える。2005年5月25日[http://www.itmedia.co.jp/news/articles/0505/25/news086.html]と、阪神淡路や新潟中越の被災者に配慮したら発言できない様なことを言っている。パッチを適用してセキュリティが確保できるのであれば苦労はないし、泥棒に取られたんだから責任は無いと言えるのだったら、質屋さんや倉庫業は苦労をしない。利用者の信用が要らないビジネスモデルだからこの様な発言ができるのだろう。エンドユーザーの信頼が必要なビジネスだったら、こういう発言は出てこないだろう。「類似犯罪のヒントを与えたくないので、これ以上コメントはできない」:セキュリティに関しての情報開示は確かに難しい問題を含むのだが、だからこそ言い逃れに使ってはいけないし、言い逃れに聞こえない様に注意が必要だ。本当に最新の侵入技法がこの侵入に使われていて、これを公表すると世界中のサーバに影響が及ぶと言った場合、ベンダが対策を完了するまでの間、公表を控えた方がより安全が保たれるという意見がある。「類似犯罪のヒントを与えたくないので、これ以上コメントはできない」として、理由を公開しないのはこのケースである。今回の事件が、もし、既知の手法による攻撃であったとしたら、公開することによって、「こういう対策もしていなかったのか」という批判にさらされることになる。その様な批判を避けるために「類似犯罪のヒントを与えたくないので、これ以上コメントはできない」と言っているのであれば、まさに言い逃れであって、許されることではない。このケースはどちらだろうか。)に情報を提供しており、これらの機関から今後、何らかの情報が発表されることはあり得るものの、カカクコムから公表はしないという。2005年5月25日[http://www.rbbtoday.com/news/20050526/22990.html]「この場で話すことはできない。その原因や対策については報告を受けておりません。2005年5月26日[http://memo.st.ryukoku.ac.jp/archive/200505.month/8456.html]という。記者会見でウソを言ったとも思えないが、これは一体、どういうことだろうか。少なくとも、情報の開示によって信用を得ようという姿勢は全く見られない。Tweet確かに、弱いパスワードを使われたり、管理ポリシや安全性の違う複数のシステムで同じパスワードを使われるよりも、安全な方法でメモした方が良いかも知れない。利用者にパスワードを付けさせるよりも、システム側で生成したパスワードを強制した方が、全体としては安全になる可能性もあるのに似ている。利用者が設定するパスワードはJoeアカウントになりがちだし、他のシステムの大事なパスワードを流用してしまうかも知れないし、いくつもパスワードを付けないといけないから、弱い共通パスワードを使うユーザーが出てくる可能性がある。システムで付けたパスワードは、きっとユーザはメモするに違いないけれども、メモが盗まれる可能性は、ユーザが付けたパスワードが侵入経路になる可能性より低そうだ。弱いパスワードを共通パスワードにしてメモしている人がいるのも問題なのだけど。関連記事Webサービスの開発者は、「多くの利用者は、どのサービスにもおんなじパスワードを使ってる。」って覚悟をもってなきゃいけないと思う。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。