アカウント名:
パスワード:
＃タイトルが凄いオフトピだぞ俺
責任ある開示とは何か--オーマンディ氏の情報開示の「責任」は [cnet.com]
＃反射神経でコメント書き込む前に、ググれ♪
＞MSが製品を直せなくてもセキュリティソフトベンダーが何らかの手段で対応するなり警告するなり出来る＞可能性を提供した
それが目的なら、セキュリティソフトベンダーに直接情報を送ればいいだけのことで一般公開する必要性はありませんね。
脆弱性が公開されることで、その脆弱性に気づいていなかった悪意あるユーザーにまで情報が行き渡ってしまい、被害は拡大することでしょう。「大問題にしてMS叩きをしてやれ」という、無責任なネットイナゴ並の思考で行動してしまったようにしかみえません。
まず大前提として、件の行動は非難派も擁護派もおり、統一的な見解が出ている状況ではありません。次に、「業務時間外での発見」である為、「Tavis氏の行動には制約がない＝訴訟リスクを個人が負うしかない」状況です。また、「脆弱性から守るためにどうすれば良いか考えた末の行動である」というのも前提としておかないと意味がないです。# そうでなければ彼の行動の最適解は「見なかったことにする」しかないからです。
その上で、個別の事例として見なければ意味はありません。
今回60日以内に直して欲しいとリクエストして、無理だ、確定的な返事も出来ないとな
問題の小さくできそうな一例だけ取り上げて「問題は小さいはずだ」と反論するのも詭弁ですね。他の事例でもおなじ理屈で擁護できますか？
また、＞防御対応（アタックされたら困る人が対処できる）という前提だけで語るのが間違っています。多くのユーザーがそういったセキュリティ情報にまでアクセスしない現実を無視している時点で、テロリズムですよ。対策を取れる知識があるユーザーはヘビーユーザーだけで、多くのライトユーザー（仕事で使っているだけの人たち含む）は、そんな情報に気づきもしないのが現実。そこでまだ修正されていない脆弱性を公開するのであれば、それは大多数のユーザーを危険にさらす無差別テロを推奨しているような行為です。安全のためだとか啓蒙のためだという言い訳も成り立ちません。防御対応出来る人がいるから悪用可能な脆弱性を公開していいというのは、取り押さえられる人がいるから狂犬を野放しにして良いといっているようなもの取り押さえられない人は一方的に被害に遭うだけです。
＞MSは握りつぶすつもりである・何もしないつもりであると判断したならば。というのも、たった4日で対応できなければ公開するような短慮な人間の判断を信用して良いんですか？私にはとても信用できません。
小さく出来そうな一例だけを取り上げたわけではありません。親コメントはTavis氏の行動に対する意見であり、そのTavis氏のケースに対して反論するのは詭弁ですか？個別に検討しなければ意味がないとする根拠は既に述べましたし、それに反論せずに無用に汎化するのは詭弁です。# 個別に検討しようぜって言ってんのに「他でも同じ理屈でいけんの？」って人のコメント全く読んでないだろ# そもそもサブジェクトに「Tavis氏の行動は」って前提つけといてそれ？
また、＞防御対応（アタックされたら困る人が対処できる）という前提だけで語るのが間違っています。
そんな前提だけで語っていません。コメントで「被害の拡大（悪意有るユーザの攻撃）と、防御対応（アタックされたら困る人が対処できる）とを比較して、」としたのはその比較が重要だからです。
多くのユーザーがそういったセキュリティ情報にまでアクセスしない現実を無視している時点で、テロリズムですよ。対策を取れる知識があるユーザーはヘビーユーザーだけで、多くのライトユーザー（仕事で使っているだけの人たち含む）は、そんな情報に気づきもしないのが現実。そこでまだ修正されていない脆弱性を公開するのであれば、それは大多数のユーザーを危険にさらす無差別テロを推奨しているような行為です。
今回の事案ではそこがまさに争点になっています。悪意あるユーザは脆弱性の情報には敏感であろうし、被害に遭うユーザ（対策をとらないユーザ）の大多数はそう言った情報をウォッチしていないだろうというのが、非難の対象となっています。それに対して以下のような反論が、擁護側から出ています。（既出ですが念のため振り返っておきます）・「重要な攻撃対象たり得る大企業や政府機関は、脆弱性情報をきちんとウォッチしている」・「この手の脆弱性情報は、既に誰かが持っており、脆弱性情報市場では頻繁に売買される。最も攻撃しそうな人には既知である可能性が高い」つまり、ざっくりと言えば「重要な対象を守るために、ライトユーザの被害には目をつむろう（被害の総量は少ないはずだ）」というものです。# 大多数のユーザを危険にさらしても、ヘビーユーザを守るべきだ、と言い換えても同じ。
個人的には、これが正当化されるには以下が正しくなければ、主張できないと思っています。・攻撃者は、（愉快犯・職業犯罪問わず）大多数に対する攻撃よりも、目標を絞った攻撃の傾向がある。・一般に知られていない脆弱性を利用した攻撃被害額が「重要攻撃目標＞それ以外の被害額の総量」である。
しかし、それらは単に信念の違いであるとか、データを取ってどちらが正しいかを検証するべき意見の相違でしかありません。「無責任なネットイナゴ並みの思考」として、行動そのものが完全に間違っていると非難されるような性質のモノではないと思います。# 少なくとも、訴訟社会で実名をさらして公開している人物を指して「ネットイナゴ並み」というのは相当な侮辱だと思う。
いいえ、正しくありません。60日間での修正を求め、交渉が決裂したその日に公開しています。
6月5日--Tavis氏がMicrosoftと連絡を取り、60日間で修正するよう求める。6月5日～9日--Tavis氏とMicrosoftがパッチ提供までの期間について議論し、合意に到らずに終わる。6月9日--Tavis氏が情報を一般に公開する。6月11日--Microsoftが自動的に緩和策を適用するFix-Itソリューションを提供する。
何を持って短慮と指すかによりますが、セキュリティ研究者が善意で5日間交渉した結果そう判断したのであれば、信用に足ると思います。# 結果論でしかありませんが、MSは公開後2日でFix-Itを公開しています。これは一般公開しなければ提供されなかったであろうものです。
こうした行動に対して「見つけても黙ってろ」というのには信念として従えないが、訴訟リスクには備えたい、としてMSRCを結成したというのがストーリーでしょう。# セキュリティベンダに通報してもMSからの訴訟リスクは残る上に、そのセキュリティベンダの顧客にしか伝わらない。# セキュリティベンダ連合を作って、それに参加する重要施設・企業だけに流す、とかも解決策の一つではあるかな。
kousokubus 氏の意見はよくわかるが詳細な脆弱性情報をわざわざ公開した理由は何でしょうか？企業・機関を守りたいだけなら脆弱性の簡単な情報と対策方法だけ公開すればよかったのではないでしょうか？
※わざわざ「Full Disclosure」メーリングリストに情報を公開したところに Tavis 氏に対する疑念があるのですが……
長文で擁護されていますが、 問答無用で一般公開する必要性や正当性は相変わらず全く見えませんね
そりゃ、人のコメント読んでないんだから見えないだろうよ。擁護してないし。どの辺が擁護なんだ？
「一般公開する必要性や正当性」は、以下の部分。
つまり、ざっくりと言えば「重要な対象を守るために、ライトユーザの被害には目をつむろう（被害の総量は少ないはずだ）」というものです。# 大多数のユーザを危険にさらしても、ヘビーユーザを守るべきだ、と言い換えても同じ。
氏の行動が正しかったか否かを検証するポイントではないかと上げたのが以下の部分。
氏の行動が間違っていたとした場合、どうすべきだったかの対案としてあげたのが以下の部分。
# セキュリティベンダ連合を作って、それに参加する重要施設・企業だけに流す、とかも解決策の一つではあるかな。
(#1794058)のコメントで主張したいのは以下の部分。
「無責任なネットイナゴ並みの思考」として、行動そのものが完全に間違っていると非難されるような性質のモノではないと思います。# 少なくとも、訴訟社会で実名をさらして公開している人物を指して「ネットイナゴ並み」というのは相当な侮辱だと思う。
対案を上げないって事は、(#1794150)のACは「Tavis氏は、MSに通報した後黙っているべきだった」という主張なんだよな？# 対案無く非難するダケってまさしくネットイナゴ思考だしなその場合「MSが黙っている間に発電施設のような重要目標がクラックされる可能性は低いし、その可能性と比較して一般人がクラックされた場合の被害の方が大きい」という主張なんだよな？それソースは？検証無く自明のこととして、Tavis氏を非難するに足り得るの？彼が無責任でネットイナゴ並みって言えるほどに？
＞対案を上げないって事は、(#1794150)のACは「Tavis氏は、MSに通報した後黙っているべきだった」という主張なんだよな？
だれもいっていないそんな主張を妄想して批判の種にするとはまさに典型的な詭弁ですね
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
身近な人の偉大さは半減する -- あるアレゲ人
よーし、案の定ムッチ無知のコメントがあるからパパこの記事張っちゃうぞ (スコア:0, 荒らし)
＃タイトルが凄いオフトピだぞ俺
責任ある開示とは何か--オーマンディ氏の情報開示の「責任」は [cnet.com]
＃反射神経でコメント書き込む前に、ググれ♪
Re: (スコア:2, すばらしい洞察)
MSに非公開で脆弱性を連絡し、60日間での修正を求めたところは問題ない。
ただ、MSと修正を出すまでの期間で要求が受け入れられなかったので、
正常な判断を失い、最初の連絡からたった４日めで脆弱性を公開したということ。
全然、氏の行動を擁護できる筋は存在しない。
最初はユーザのことを考えて60日間という期限を切ったということと、
実際には4日めで公開して多くのユーザを危険にさらしたという行為が
まったく矛盾している。
強制公開するなら、最初の自分の要求である60日を過ぎたときだろ。
無知じゃない人なら、それは理解できるはずだ。
無智無恥な人なら、氏が正しいと思うかもしれない。
Re: (スコア:1, 参考になる)
今はセキュリティホールの情報は闇市場で驚くほどの数が売られているんだけど、
最も価値が高いのは「未公開のセキュリティホール」で、なおかつ「開発元が一定期間以内には
『絶対に直せない』」、つまりその期間内だったら確実に使える、と分かっている類の物な訳で。
今回公開されたことで、研究者自身とその企業（Google）がそうした価値の高い情報を保持し続けてしまうリスクを
軽減すると共に、MSが製品を直せなくてもセキュリティソフトベンダーが何らかの手段で対応するなり警告するなり出来る
可能性を提供した訳なんだが、それでも無責任と言えるの？
Re: (スコア:2, すばらしい洞察)
＞MSが製品を直せなくてもセキュリティソフトベンダーが何らかの手段で対応するなり警告するなり出来る
＞可能性を提供した
それが目的なら、セキュリティソフトベンダーに直接情報を送ればいいだけのことで
一般公開する必要性はありませんね。
脆弱性が公開されることで、その脆弱性に気づいていなかった悪意あるユーザーにまで情報が行き渡ってしまい、被害は拡大することでしょう。
「大問題にしてMS叩きをしてやれ」という、無責任なネットイナゴ並の思考で行動してしまったようにしかみえません。
ψアレゲな事を真面目にやることこそアレゲだと思う。
論がざっくりしすぎです（Re:よーし、案の定ムッチ無知のコメントがあるからパパこの記事張っちゃうぞ (スコア:4, 参考になる)
まず大前提として、件の行動は非難派も擁護派もおり、統一的な見解が出ている状況ではありません。
次に、「業務時間外での発見」である為、「Tavis氏の行動には制約がない＝訴訟リスクを個人が負うしかない」状況です。
また、「脆弱性から守るためにどうすれば良いか考えた末の行動である」というのも前提としておかないと意味がないです。
# そうでなければ彼の行動の最適解は「見なかったことにする」しかないからです。
その上で、個別の事例として見なければ意味はありません。
今回60日以内に直して欲しいとリクエストして、無理だ、確定的な返事も出来ないとな
Tavis氏の行動は非難されうるべきでしょう (スコア:0)
問題の小さくできそうな一例だけ取り上げて「問題は小さいはずだ」と反論するのも詭弁ですね。
他の事例でもおなじ理屈で擁護できますか？
また、
＞防御対応（アタックされたら困る人が対処できる）
という前提だけで語るのが間違っています。
多くのユーザーがそういったセキュリティ情報にまでアクセスしない現実を無視している時点で、テロリズムですよ。
対策を取れる知識があるユーザーはヘビーユーザーだけで、多くのライトユーザー（仕事で使っているだけの人たち含む）は、そんな情報に気づきもしないのが現実。
そこでまだ修正されていない脆弱性を公開するのであれば、それは大多数のユーザーを危険にさらす無差別テロを推奨しているような行為です。
安全のためだとか啓蒙のためだという言い訳も成り立ちません。
防御対応出来る人がいるから悪用可能な脆弱性を公開していいというのは、取り押さえられる人がいるから狂犬を野放しにして良いといっているようなもの
取り押さえられない人は一方的に被害に遭うだけです。
＞MSは握りつぶすつもりである・何もしないつもりであると判断したならば。
というのも、たった4日で対応できなければ公開するような短慮な人間の判断を信用して良いんですか？
私にはとても信用できません。
Re:Tavis氏の行動は非難されうるべきでしょう (スコア:3, すばらしい洞察)
小さく出来そうな一例だけを取り上げたわけではありません。
親コメントはTavis氏の行動に対する意見であり、そのTavis氏のケースに対して反論するのは詭弁ですか？
個別に検討しなければ意味がないとする根拠は既に述べましたし、それに反論せずに無用に汎化するのは詭弁です。
# 個別に検討しようぜって言ってんのに「他でも同じ理屈でいけんの？」って人のコメント全く読んでないだろ
# そもそもサブジェクトに「Tavis氏の行動は」って前提つけといてそれ？
そんな前提だけで語っていません。
コメントで「被害の拡大（悪意有るユーザの攻撃）と、防御対応（アタックされたら困る人が対処できる）とを比較して、」としたのはその比較が重要だからです。
今回の事案ではそこがまさに争点になっています。
悪意あるユーザは脆弱性の情報には敏感であろうし、被害に遭うユーザ（対策をとらないユーザ）の大多数はそう言った情報をウォッチしていないだろうというのが、非難の対象となっています。
それに対して以下のような反論が、擁護側から出ています。（既出ですが念のため振り返っておきます）
・「重要な攻撃対象たり得る大企業や政府機関は、脆弱性情報をきちんとウォッチしている」
・「この手の脆弱性情報は、既に誰かが持っており、脆弱性情報市場では頻繁に売買される。最も攻撃しそうな人には既知である可能性が高い」
つまり、ざっくりと言えば「重要な対象を守るために、ライトユーザの被害には目をつむろう（被害の総量は少ないはずだ）」というものです。
# 大多数のユーザを危険にさらしても、ヘビーユーザを守るべきだ、と言い換えても同じ。
個人的には、これが正当化されるには以下が正しくなければ、主張できないと思っています。
・攻撃者は、（愉快犯・職業犯罪問わず）大多数に対する攻撃よりも、目標を絞った攻撃の傾向がある。
・一般に知られていない脆弱性を利用した攻撃被害額が「重要攻撃目標＞それ以外の被害額の総量」である。
しかし、それらは単に信念の違いであるとか、データを取ってどちらが正しいかを検証するべき意見の相違でしかありません。
「無責任なネットイナゴ並みの思考」として、行動そのものが完全に間違っていると非難されるような性質のモノではないと思います。
# 少なくとも、訴訟社会で実名をさらして公開している人物を指して「ネットイナゴ並み」というのは相当な侮辱だと思う。
いいえ、正しくありません。
60日間での修正を求め、交渉が決裂したその日に公開しています。
何を持って短慮と指すかによりますが、セキュリティ研究者が善意で5日間交渉した結果そう判断したのであれば、信用に足ると思います。
# 結果論でしかありませんが、MSは公開後2日でFix-Itを公開しています。これは一般公開しなければ提供されなかったであろうものです。
こうした行動に対して「見つけても黙ってろ」というのには信念として従えないが、訴訟リスクには備えたい、としてMSRCを結成したというのがストーリーでしょう。
# セキュリティベンダに通報してもMSからの訴訟リスクは残る上に、そのセキュリティベンダの顧客にしか伝わらない。
# セキュリティベンダ連合を作って、それに参加する重要施設・企業だけに流す、とかも解決策の一つではあるかな。
Re: (スコア:0)
Re: (スコア:0)
kousokubus 氏の意見はよくわかるが詳細な脆弱性情報をわざわざ公開した理由は何でしょうか？
企業・機関を守りたいだけなら脆弱性の簡単な情報と対策方法だけ公開すればよかったのではないでしょうか？
※わざわざ「Full Disclosure」メーリングリストに情報を公開したところに
Tavis 氏に対する疑念があるのですが……
Re:Tavis氏の行動は非難されうるべきでしょう (スコア:1, フレームのもと)
そりゃ、人のコメント読んでないんだから見えないだろうよ。
擁護してないし。どの辺が擁護なんだ？
「一般公開する必要性や正当性」は、以下の部分。
氏の行動が正しかったか否かを検証するポイントではないかと上げたのが以下の部分。
氏の行動が間違っていたとした場合、どうすべきだったかの対案としてあげたのが以下の部分。
(#1794058)のコメントで主張したいのは以下の部分。
対案を上げないって事は、(#1794150)のACは「Tavis氏は、MSに通報した後黙っているべきだった」という主張なんだよな？
# 対案無く非難するダケってまさしくネットイナゴ思考だしな
その場合「MSが黙っている間に発電施設のような重要目標がクラックされる可能性は低いし、その可能性と比較して一般人がクラックされた場合の被害の方が大きい」という主張なんだよな？それソースは？
検証無く自明のこととして、Tavis氏を非難するに足り得るの？彼が無責任でネットイナゴ並みって言えるほどに？
Re: (スコア:0)
＞対案を上げないって事は、(#1794150)のACは「Tavis氏は、MSに通報した後黙っているべきだった」という主張なんだよな？
だれもいっていないそんな主張を妄想して批判の種にするとは
まさに典型的な詭弁ですね