アカウント名:
パスワード:
「mixi社にとって既知の脆弱性」には賞品が支払われないそうですが、mixi社にとって既知かどうかは外部からは検証不能なので、mixi社が報告して貰った脆弱性を全部「既知です！」と言い張れば結果として無料で脆弱性が診断されて美味しいね。
既知の脆弱性は全部ドキュメントにして公開鍵暗号で暗号化したうえで公開しておき、「mixi社にとって既知です」と宣言するときにはその脆弱性に対応する秘密鍵を通報者にはこっそり明らかにするとかしないとフェアじゃないよね。
もちろん、「公開された脆弱性が増えた」ことが攻撃者の情報にならないように、脆弱性が増えなくても毎日一つダミーデータをアップロードするとかして隠蔽するのは勿論必須でしょうが。
全部「既知です！」と言い張れば
過去に、ある方が不具合を報告した時に「前向きに検討する」と国会の答弁さながらの返事をしてきたので、注意喚起のためにその一部始終を公開したら、1,2日後に対処する旨の告知を出してきたことがあったから、ここは本当にやりかねないよ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
普通のやつらの下を行け -- バッドノウハウ専門家
mixi社にとって既知かどうかなんて外部には分からない (スコア:0)
「mixi社にとって既知の脆弱性」には賞品が支払われないそうですが、
mixi社にとって既知かどうかは外部からは検証不能なので、
mixi社が報告して貰った脆弱性を全部「既知です！」と言い張れば
結果として無料で脆弱性が診断されて美味しいね。
既知の脆弱性は全部ドキュメントにして公開鍵暗号で暗号化したうえで公開しておき、
「mixi社にとって既知です」と宣言するときにはその脆弱性に対応する秘密鍵を
通報者にはこっそり明らかにするとかしないとフェアじゃないよね。
もちろん、「公開された脆弱性が増えた」ことが攻撃者の情報にならないように、
脆弱性が増えなくても毎日一つダミーデータをアップロードするとかして
隠蔽するのは勿論必須でしょうが。
Re:mixi社にとって既知かどうかなんて外部には分からない (スコア:0)
全部「既知です！」と言い張れば
過去に、ある方が不具合を報告した時に
「前向きに検討する」と国会の答弁さながらの返事をしてきたので、
注意喚起のためにその一部始終を公開したら、1,2日後に対処する旨の
告知を出してきたことがあったから、ここは本当にやりかねないよ。