ここで、弱いパスワードというのは、この脆弱性に含まれるのか、という問題があるだろうと思います。不正アクセスとの関係でいえば、識別符号に関する不正アクセスと、脆弱性悪用の不正アクセスがあることはふれましたが、普段の会話としては、用語的には、後者の場合のみを脆弱性と呼んでいるように感じます。(ただし、上の定義でも、ウエブアプリケーションの場合は、これに限られません)そうだとするとこの記事も「パスワード設定が脆弱であるIoT機器を広域スキャンを実施して調査し、脆弱性がある機器に関する情報をICT-ISAC経由で通信事業者に提供する」を「パスワード設定が脆弱であるIoT機器を広域スキャンを実施して調査し、アクセスに対して脆弱である機器に関する情報をICT-ISAC経由で通信事業者に提供する」と表現しておいてもらえるといいのかな、と思ったりします。この場合は、「NICTが行う脆弱性調査は、NICTが作成した実施計画について総務省が関係行政機関と協議の上で認可する」という表現も、「NICTが行う脆弱な識別符号に関する調査は、NICTが作成した実施計画について総務省が関係行政機関と協議の上で認可する」という表現になりますね。一定のプログラムに伴うものを脆弱性と呼び、それ以外を脆弱な設定とでも定義したら、すっきりするのかなとか、ふと思ってみました。一部を改正する法律」ということになります。基礎的な資料は、こちら。このうちのNICT法改正の部分についてみていきます。オムニバス法というのかと思いますが、そのうちのNICTの調査権限のほうについてまとめてみましょう。(以下「機構」という。対処を求める通知を行うこと等の業務を行うこととすること。」ということになります条文も、ちょっと分析してみましょう。一定の行為をなすにあたっては、まずは、組織法上の根拠が必要です。間、次に掲げる業務を行う。特定アクセス行為を行い、通信履歴等の電磁的記録を作成すること。このように「特定アクセス行為」というのが、キーとなる概念になります。機構の端末設備又は自営電気通信設備を送信元とし、アクセス制御機能を有する特定電子計算機である電気通信設備又は当該電気通信設備に電気通信回線を介して接続された他の電気通信設備を送信元とする電気通信の送信をおこなう行為であって、当該アクセス制御機能を有する特定電子計算機である電気通信設備に電気通信回線を通じて当該アクセス制御機能にかかる他人の識別符号(当該識別符号について電気通信事業法第52条第1項または第70条第1項第1号の規定により認可を受けた技術的条件において定めている基準を勘案して不正アセクス行為から防御するため必要な基準として総務省令で定める基準を満たさないものに限る。当該電気通信設備に電気通信回線を介して接続された他の電気通信設備の特定利用をし得る状態にさせる行為をいう。掲げる業務に従事する者がする同条第四項第一号に規定する特定アクセス行為を除く」とされていて、不正アクセス禁止法の定める構成要件から、除かれるという定めになっています。この除外規定は、不正アクセス禁止法のいわば、NICTが行う場合の特別法ということになるので、NICTが行う場合には、構成要件に該当すると解されることはないことになります。一般論としては、以上になるわけですが、気になるのは、この規定は、従来の不正アクセス禁止法との関係からいくとどう位置づけられるのか、ということになります。識別符号は、アクセス管理者において当該利用権者等を他の利用権者等と区別して識別することができるように付される符号であって、アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされているなどの性格を有するものである(不正アクセス禁止法2条2項)。「通常、この番号、記号等として用いられているのが相手方ごとに付けられるIDとその相手方以外のものが知らないようにされているパスワードである」とされています。これは、特定利用を認める相手方ごとに違うものであることを求めるので、「複数の利用権者等に同一の符号が付されないようにするとともに、どの利用権者等に付されたものであるかが分かるように付されていることが必要」と解されています。具体的な事例となると明らかではありません。「guest」、「anonymous」等の誰もが特定電子計算機を利用できるように広く公開されているID.パスワードについては、識別符号に該当しないと解される一方で、特定電子計算機の特定利用の一部(例えばウエブサイトの閲覧)についてはすべてのネットワーク利用者に許諾し、その他の特定利用全体はアクセス管理者のみがID・パスワードを入力して行うような場合には、利用権者等は複数存在し、符号によりアクセス管理者を他の利用権者と区別して識別することができるから、当該ID.パスワードは識別符号に該当すると解されています。いわゆるデフォルトで不特定多数が認知しうるものは、どうか、ということですが、上の解釈でいえば、もはや識別符号とはいえないということになりそうですが、明確ではありません。そこで、特に、NICTが業務として、「弱いパスワードとして考えられたもの(不正アセクス行為から防御するため必要な基準として総務省令で定める基準を満たさないもの)」をいれて、アクセスする行為については、不正アクセスとして構成要件に該当しないとした、ということになります。このような行為を構成要件該当性から除外するのは、適切か、という問題は、調査をされる側から考える場合に、明らかになってきます。このブログでもふれましたが、アクセスされる側からすると、NICTがアクセスしたのか、どうか、というのは、よくわからないわけです。不正にアクセスされたとなれば、それに対して、対策をとらなければならないわけです。それに対して、「通信履歴等の電磁的記録を作成すること」を義務づけて、透明性を確保するのであるから、例外として認めましょう、ということで、セキュリティの機密性に対する侵害の例外を認めたわけです。それだけ、IoT機器に対するセキュリティの維持の要請が高いと認識されたということになります。この改正に関して、では、たとえば、「ログイン後に、システム情報を取得するというコマンドを入力することはどうなるの?」という話がでています。「電気通信設備の特定利用をし得る状態にさせる行為をいう。」のは、構成要件該当性から除外されるわけですが、では、特定利用をしうる状態のもとで、さらに特定利用を現実的にする行為は、どうか、ということです。これは、はっきりしないということになるかと思います。私(高橋)個人の解釈としては、コマンド入力も、基本は、システムの反応をなしうる状態を惹起しているので、解釈として「特定利用をし得る状態にさせる行為」であり、構成要件から除外されると解釈しています。認可を受けた同条の計画に基づき」という規定で、そのような行為がどのくらい限定されるのか、ということになるかと思います。いま、一つ、留意しておくのは、「侵入テスト」という用語との関係ということになります。「侵入」という用語については、一般に、他人などのID/パスワードの利用によるアクセスと脆弱性を悪用してのアクセスの双方の場合に用いられます。今回、この改正で認められているのは、「特定アクセス行為」なので、「他人などのID/パスワードの利用によるアクセス」ということになります。「脆弱性を悪用してのアクセス」を許容しているわけではないので、NICTが、「侵入テスト」業者に変身したというわけではありません。本来は、このような解説は、立法担当官が、コメントすべきなのかなあとも思いますし、まあ、このくらいは、条文を読めばわかるでしょ、ともいえそうな気もします。(ただ、不正アクセス禁止法との関係は、コメントはできないのかなあとも勘繰ったりしています)なには、ともあれ、大きな「アクティブ・サイバー防御」という流れのなかにもはいる手法ですし、興味深いものということができます。いま一ついうと、日本のドメインの中だけに限らないと、他の国のインフラのIoT機器にアクセスしたりすると、問題が起きたりしますね。これは、おもしろい国際法の問題ということで、そのうちに。Ikuoセキュリティコミュニティ的には、「インチキ・サイバー用語」が、いま流行しています。私のブログでも、人気エントリの「責任分界点」は、まさにインチキ・サイバー用語を正確に理解しましょうという趣旨かと思います。それが他に説明してくれる人も分析もないので、根強い人気をもっているのでしょうね。いま、一つ、「アトリビューション」も、この分類に入る可能性があります。犯人Aがサイバー攻撃を行った場合に、種々の状況から、その被害結果を惹起したのは、犯人Aであるというのを「アトリビューション」という用語を用いるのが用法として正解なのか、ということがひっかかるのです。lawの教科書は、英国のも米国のも、attributionという用語を用いていません。attributionになるわけですが、会社法の場合でも代表者の行為が会社の行為とみなされるので、まさに責任の主体に対する帰属の問題が発生しますね。Law”は、この場合を取り扱っています。(4)国際法の国家責任の場合これは、たとえば、国家Aと親しいサイバー攻撃グループが、国家Bの重要インフラをマヒさせましたというような事案が代表的な場合です。(国家の機関でない場合に、そのような行為の結果は、国家に帰属するか、という意味でいいます)その一方で、犯人Aの意図的な行為によって結果が発生した場合には、その行為は、犯人Aに帰属するとは、あまりいわないので、その場合に、アトリビューションというのは、どうも語感から、ピンとこないわけです。(1)から(3)までは、国内法におけるアトリビューションの問題で(4)は、国際法のアトリビューションになります。国際法においては、証拠としては、インテリジェンス報告が用いられること、国としての意思決定がなされること、証拠の優越で足りること、などで、国内法の刑事裁判とは、異なった原理で、アトリビューションがなされます。行為者が決定された場合、その行為者が国家の機関でない場合には、国家責任の法理で、国家が、効果的なコントロールを有していない場合には、その行為は、国家に帰属しないということがいわれます。これらの例をみるときに、wikipediaの説明のようにみずからの実行行為者の識別に際して、アトリビューションというのは、含まれないように思われます。問題なのは、セキュリティの会議かなんかで、実行行為者の識別をアトリビューションとか呼ぶと、なにか専門的なこと知っているように見えてしまうということのような気がします。世界的にも、国内法と国際法をきちんとわけて、議論するセキュリティ専門家は、国際法コミュニティ以外では、ほとんどみないので、どうしようもないのですが、アカデミズムに耐えられる用語法は、常に心がけておきたいなと思います。Accordに新たな11社が、参加するということがアナウンスされました。合意の翻訳についての記事は、こちらになりますこの文章の意味をどうとらえるか、というのが問題になるかと思います。個人的に興味深いのは、「我々は、政府が無実のユーザーや企業に対してサイバー攻撃を引き起こす際の幇助を致しません。」という文言だったりします。当然じゃないの、と考えるとしたら、もうすこし考えてみましょう。対するサイバー攻撃がなされたとしましょう。国際法レベルでは、もし、攻撃の契機があれば、そのサイバー攻撃が、目標として軍事的対象物に対してなされれば、適法になります。「それを幇助しません」ということができるのでしょうか。政府との契約に、除外事項をつけるのか、債務不履行の責任は負うのか、国際法と契約法は別といいきってしまうのか、などの問題がありそうに思えます。