Playerといったメジャーなアプリケーションの(脆弱性公開に伴う)更新が多かったように思います。それとも関連がありますが、今回は毎年恒例のクラッキングコンテスト「Pwn2Own」の話題から紹介します。2012」が3月7日から9日までカナダのバンクーバーで開催されました。この会合の開催に際して毎年注目を集めるのは、同会合と並行して行われるクラッキングコンテスト「Pwn2Own」。毎回、このコンテストでは未公開の脆弱性が明らかにされるため、セキュリティ関係者から強い関心が寄せられてきましたが、年々、新鮮味や面白味が減ってきていたことも事実。昨年は、Chromeを攻略した参加者にGoogleが自ら2万ドルの賞金を出すと発表したにもかかわらず、誰もChromeを(本気で)ターゲットにしないなど、「賞金を得やすい楽な方を狙う」傾向が見られ、本来のクラッキング技術を競うという面が薄れてしまっていました。そもそもこれまでのPwn2Ownは、参加者によるターゲットの選択において公平とは言い難い部分があり、そこに疑問を感じていた人も少なくないでしょう。そのような中、今年はルールが大きく変更され、より公平にターゲットを選択できるようになり、また得点を重ねて行くという形態に変わったことで、本来のクラッキング技術を競うコンテストらしさが取り戻せたように思われます。そのため、今回のコンテストの結果には大いに注目(期待)していました。その一方で、Pwn2Ownにおいて明らかにされた(攻略に使われた)脆弱性の取り扱い方針が変更されたことから、GoogleがPwn2Ownとは別にChromeだけを対象とした独自のコンテスト「Pwnium」を並行して開催するなど、少々混沌とした状況を呈していました。このような中で開催された今回のPwn2Ownの結果は、世界中のメディアの注目を大きく集めるものとなりました。それはこれまでPwn2Ownにおいて攻略されたことのなかったChromeが最初に攻略されたからです。これを、一部のメディアやTwitterなどでは「最も安全なブラウザーChromeが真っ先に陥落」のような表現で伝えていましたが、これには明らかな誤解があります。確かに、Chromeは過去のPwn2Ownで攻略されたことはありませんでしたが、これまでもChromeの脆弱性を発見した者に対してGoogleが賞金を払ってきた事実から明らかなように、Chromeにも昔から脆弱性はあるのです。これまでのPwn2OwnではChromeよりも簡単に攻略できるターゲットが他にいくらでもあったことから「賞金を得るために」楽なターゲットが選ばれ、その結果、Chromeを本気で攻略しようとする参加者がいなかっただけのこと。これだけでChromeを「最も安全(≒脆弱性がない)」ブラウザーと称するのは明らかに間違いです。昨年のPwn2OwnでChromeが攻略されなかったという結果のみが一人歩きしてしまったことが、Chromeに対して過大な評価・評判が流布するきっかけを与えてしまったのでしょう。Chromeのサンドボックスはセキュリティ面で非常に優れた技術であることは確かですし、Chromeが比較的安全なブラウザーであることは間違いありません。「比較的安全」でしかなく、「絶対安全」ではありません。そんな当たり前のことを今回の結果が改めて示してくれたわけです。Bekrar氏も(インタビューを読む限りでは)同じように感じていたことが「本気で狙おう」との動機に繋がったようです。Pwn2Ownと並行して行なわれたGoogle独自コンテストのPwniumについては、参加者がわずか2名でしたが、両名ともに攻略に成功、賞金を獲得しました。Pie)だったことも注目を集めました。来年も同じようにPwn2OwnとPwniumが並行して行われるなら、どちらが「より興味深い」結果を出すのか、今から楽しみです。Chrome」安定版がアップデート、脆弱性9件を修正http://internet.watch.impress.co.jp/docs/news/20120322_520609.html●英国では合法なサイト運営の英国人、米国法で裁かれることに米国の著作権で保護されたテレビ番組を不正に流通させている動画サイトなどへのリンクサイト「TVShack.net」を運営していた英国の23歳の学生が、米国に引き渡されることになったとの報道がありました。最悪の場合、禁錮5年の判決を受ける可能性もあるとのことです。いう「米国のドメイン」が使われ、米国側に直接の被害が発生しているという理由で、英米間の犯人引き渡し条約に基づき、英国の裁判所が米国への引き渡しを認めたという点です。彼は米国に行ったこともなければ、彼の運営していたサイトのサーバーも物理的には米国外に置かれていたにもかかわらず、です。これはすなわち、たとえ自分の国において合法なサイトを運営していても、.com/.net/.orgのような「米国のドメイン」を使い、米国に何らかの被害をもたらしたと判断されれば、米国の法律によって裁かれる可能性があるということです。今回の件に限って言えば、たとえ英国内では合法でも、違法コンテンツへのリンクは「幇助」と見なされる可能性のある行為であり、彼の行為自体は決して褒められたものではありません。今回の件が前例となり、それが徐々に拡大解釈されていくうちに、「容疑者」の国籍や居住地によらず、米国の法律によって裁かれるのが当たり前となるような時代が来るのではないかと、(少々大げさかもしれませんが)不安に感じるのは私だけではないでしょう。当然ながら英国内でも反発の声が高まっています。TVShack.netドメインは米国当局により既に差し押さえられています。情報保護等に関する法律」の施行令改正案を発表しました。同委員会によれば、この改正案を5月までに立法予告し、7月に閣僚会議での議決を経た後に施行する予定とのことです。改正案の骨子は以下の通り。加入者100万人以上の個人情報を扱う情報通信サービス事業者は、個人情報取扱者のコンピューターを外部インターネットと遮断すること個人情報流出事故が発生した場合、Eメール、書面、ファックス、電話などの方法で利用者に通知して放送通信委員会に報告すること3年以上サービスを利用していない個人の情報は破棄するか、他の個人情報とは別に分離し、保管すること100万人以上の利用者の個人情報を保有した情報通信サービス提供者などは、年1回以上、利用者にEメールなどの方法でサービス利用内訳を通知することこの中では「3年以上サービスを利用していない個人の情報」の取り扱いが明記されている点が目を引きます。保管しているデータの保存期間や破棄はなかなか悩ましい問題ですが、ここまで明記されているのは事業者にとってはむしろありがたいことかもしれません。正人セキュリティ専門のライター、翻訳家。最近はインシデント対応のための組織体制整備に関するドキュメントを中心に執筆中。JPCERT/CC専門委員。日本シーサート協議会専門委員。