セキュリティ調査と「恐喝」の差

pinbou 曰く、

本家/.の記事より。ロシアのセキュリティ調査企業Glegの行動が、海外のセキュリティ系ブログで話題になっているようだ(eWeek Security Watchの記事)。この企業は最近RealPlayer 11の最新バージョンにおいてゼロデイ攻撃につながる脆弱性を発見したが、その詳細を(数度の要請にも関わらず)RealNetworks社にもUS-CERTにも公開せず、最低10,000ドルからという高額料金で自社と契約した顧客にのみ開示しているらしい。このようなGleg社の行動とビジネスモデルに対し、一部のセキュリティ関係者は、これはユーザを人質に取った「恐喝」ではないかと批判している(Daniwebの記事)。

ホントに見つけたのかなぁ

[Livingdead (18685)]

ホントにゼロデイ攻撃に脆弱性を見つけたってことを，
情報を開示せずにどのようにして証明するのだろう．
とはいえ，すぐにばれるような嘘をつくとは思えないけど．

--
屍体メモ [windy.cx]

Re:ホントに見つけたのかなぁ

[T.SKG (20663)]

既知の脆弱性が総て対策されたサーバを、実際に攻撃。
手掛かりを残さないために、その後のサーバをどう扱うかは
また別に考える必要はあるけれど。

あれか

[Anonymous Coward]

「うちは慈善事業じゃないんだよ」ってやつか？

‍

Re:あれか

[Anonymous Coward]

確かに、「セキュリティホールの情報は無料でフィードバックされるべきだ」というのは開発元の身勝手な言い分かも知れませんね。
それに、外部の会社が発見できたセキュリティホールを開発元自身は発見できないというのもほんとは恥ずかしいことのはず。

Re:あれか

[Anonymous Coward]

日本にはよくある業態ですね。
「この企業は最近（　　　）においてボーナス直撃につながる脆弱性を発見したが、その詳細を（　　　）にも日電協にも公開せず、最低10,000円からという高額料金で自社と契約した顧客にのみ開示しているらしい」とか

あ、（　　）には好きなパチスロ機の名前とメーカー名を入れてください。

Re:

[Anonymous Coward]

自分しかできないことをお金にする、という意味で
正しいビジネスでしょうね。
金額に関しては高すぎると思えば、払わずに自分で解決すればいいだけですし。

不正な方法をつかって手にした情報でお金を手に入れようとしているわけではないし、
恐喝扱いするのはひどいと思います。

これで

[Anonymous Coward]

この商法を出願してビジネスモデル特許を取ってれば満点

Re:

[Anonymous Coward]

うーん。難しいところだけど、それはどうだろうな？

どっかのビルに入ったとして、そこに不審物があったり、なんだかでかい傷があったとしたら警備員に話しておくんじゃないかねぇ？
「傷があるよ」って情報を金にしようなんて思わないだろ？

Re:

[Anonymous Coward]

ウォードライブして「盗聴されてますよ」って訪問してお金を貰って対処するビジネス
のほうが近いのでは。例の中の「どっかのビルに入る」事がこの企業の仕事なわけですし。

Re:あれか

[harutin_99 (34900)]

今回の件が恐喝だと言われているのは、この例でいえば、
「この会社盗聴されてますよ」って世間に公表した上で、
お金を要求しているところじゃないですかね？

Re:

[Anonymous Coward]

そこを警備員に連絡しないで「激裏情報！」とか名前付けて売ってるって
言うのが今回の件ですよね

たんぽぽという映画で、スープの作り方を教えない有名ラーメン店の
隣に住んでいる人が、のぞき見できる穴を主人公に見せる代わりに
金を取るのを思い出しました。

Re:

[Anonymous Coward]

ビルの壁に傷がついていたとして、「金をくれたらどこにあるか教えてやるよ」と言うのは勝手ですよね。
もちろん、その申し出を受け入れるかどうかも自由ですが。
しかしビルの壁の傷ほどはっきりしたものなら自社の警備員でも発見できるでしょうけど、中の鉄筋が足りているかどうかなどの専門的な調査は業務として行っている会社はありますよね。
特に一時期依頼が殺到したと思われる、耐震強度偽装問題のチェックなんかはその例の一つでしょう。
今回の場合は業者が勝手にビルをチェックして、「おたくのビルには重大な欠陥がある。情報料を払えばその欠陥について教えてやる」と言っているようなもので、「恐喝」とは言えないのではないでしょうか。
ビルのオーナーには断る自由もあるわけですし、「欠陥がある」というヒントまでくれているわけですから、その業者に金を払うのがイヤなら自力で調べればいいだけでしょう。

第三者に金で売るところが違う

[Livingdead (18685)]

＞ビルのオーナーには断る自由もあるわけですし、
＞「欠陥がある」というヒントまでくれているわけですから、
＞その業者に金を払うのがイヤなら自力で調べればいいだけでしょう。

これはその通りなんですが

＞「恐喝」とは言えないのではないでしょうか。

ほかに金を払ってくれる人がいればそちらに欠陥があるという
情報を売り渡すという点が問題なのではないでしょうか？
これが，「だったらユーザに広く公開する」というのなら話は別．

１）車に欠陥があることを発見
２）メーカーに買ってくれという
３）メーカーは断る
４）広く公開して注意喚起

こういうことならいいんだけど．

--
屍体メモ [windy.cx]

Re:

[Anonymous Coward]

他社製品の欠陥情報に関する取引は、結構普通に見かけますけど・・・

Re:

[Anonymous Coward]

>ビルの壁に傷がついていたとして、「金をくれたらどこにあるか教えてやるよ」と言うのは勝手ですよね。
これは、893まがいの人のシノギに見えるなぁ。

>耐震強度偽装問題のチェックなんかはその例の一つでしょう。
これは、依頼されてするもんだろ？
チェックの押し売りはやっぱり犯罪のような。

Re:

[Anonymous Coward]

> チェックの押し売りはやっぱり犯罪のような。
いや、RealNetworks社は別に情報料の支払いを強要されているわけじゃないよね？
Gleg社の提案を受け入れたくなければそれを拒絶して、自力でセキュリティホールを探し出すか、Gleg社に代わって無料でセキュリティ診断してくれる親切な企業を探すかすればいいだけの話。
倫理的に賞賛される行為ではないとしても、「恐喝」や「押し売り」呼ばわりされるものではない。
そもそも瑕疵自体、RealNetworks社が自分で作ってしまったものであり、Gleg社が仕掛けたものでないんだし。
勝手に診断することが犯罪なら、世の中の格付け機関は大部分が犯罪者の集団ということになるのでは？

Re:あれか

[user2ch (31474)]

こういう風に言い換えたらどう感じるでしょうか？
「この会社の防犯システムには欠陥がある。会社が金を払うならそれを教えよう。
　金を払わないなら、金を払ってでもその情報を欲しがっている第三者に売るぞ」

Re:

[Anonymous Coward]

> 「この会社の防犯システムには欠陥がある。会社が金を払うならそれを教えよう。
>　金を払わないなら、金を払ってでもその情報を欲しがっている第三者に売るぞ」
その情報の流布自体が法律で禁止されているものでなければ、やはり「犯罪」とは呼べないと思うなあ。
そもそも、もし「犯罪」ならRealNetworksがさっさと司法に訴えてケリを付けてるでしょ。
道義的にはあまりクリーンでなくても、違法ではないからRealNetworksも困っているという話なのでは？

Re:

[Anonymous Coward]

会社の欠陥と製品の欠陥は同列に見ないほうが良いと思う。

風説の流布でねえのか?

[Anonymous Coward]

てのと、どうやって区別すればいいんだろう?

個人的な倫理綱領にあてはめると

[Anonymous Coward]

金を払わないRealNetworks社に教えてやる必要は無いとも思うけど、
金を払ったからといってRealNetworks社以外に教えちゃダメだよな。

Re:

[Anonymous Coward]

様々な倫理綱領にあてはめると

・ RealPlayerは使っちゃダメだよな(それはオープンソースでないから)
・ RealPlayerは使っちゃダメだよな(それはMS製品でないから)
・ RealPlayerは使っちゃダメだよな(それはApple製品でないから)

まあベンダーにだって

[Anonymous Coward]

有料のサポート契約結ばないと脆弱性のhotfixを配布しないって所もあるわけだし。

Re:まあベンダーにだって

[Anonymous Coward]

オープンソースのMySQLだって金払わないとセキュリティパッチもらえないし。

Enterprise版にはセキュリティフィックスが摘要された5.0.52（たしかhotfixもかな）があるけど、コミュニティ版は未だに5.0.51です....

RealNetworks以外の誰が買うんだ？

[akiraani (24305)]

契約した顧客とやらの素性が激しく気になるんだが……。
正直、他社製品の脆弱性情報なんてトロイばら撒くのに利用するくらいしか利用用途が思いつかないんだが、そんな高い金を払って買う価値はどこにあるんだ？

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:

[Anonymous Coward]

ウイルス関連のツール等は意外と高い値で取引されてるらしいよ。
つまり、Glegはダークサイド専門の会社に分類されたも同然という話。

ワビサビなんてのもありましたね。

[tyuu (9154)]

http://srad.jp/security/article.pl?sid=07/07/06/051205 [srad.jp]
http://gigazine.net/index.php?/news/comments/20080126_wabisabilabi/ [gigazine.net]

RealPlayerって

[Anonymous Coward]

そんなにメジャーなのだろうか？
FlashやMediaPlayer,QuickTimeのことは聞いても、RealPlayerの話題は余り聞かないし、現実Web動画では相当マイナーな様な気がする。ロシアではメジャーなのか？

Re:RealPlayerって

[multiplex (33585)]

一昔前はストリーミングの代表格だったけど、最近はReal/WMVの両方置いてある所とかWMVしかないところとかも多いかな。
ここ [jst.go.jp]とか。(お昼休みにでもどうぞ)

Re:

[Anonymous Coward]

NHKとかBBCとか知りませんか？ストリーミング産業では未だに一定のパイがありますよ。

Re:

[Anonymous Coward]

昔はメジャーだったけど胡散臭くて堕ちていった感じ。

Re:RealPlayerって

[hishakuan (32621)]

RealOnePlayerの頃は酷かったですね。
RealPlayerはスパイウェア？ [higaitaisaku.com]。
拡張子を全部掻っ攫っていくようなソフトはどうも信用できません。後知らないところで勝手に動くな。

Re:

[Anonymous Coward]

QuickTimeこそ、何かとセットで勝手に入ってくるうざいやつ 以外で話題になることがありませんよ。

セキュリティホールを探し出すノウハウ

[Anonymous Coward]

wordやEXCELが使えればいい企業ユーザーと、ウェブ巡回や年賀状作りができればいい家庭ユーザーにとっては、セキュリティホールなんてどこか別世界の話。
そういう末端ユーザーでもセキュリティホールを探し出すノウハウが普及していれば、件の商売は成立し得ないだろう。ユーザー全員が例外なく知るべきノウハウとは無論思わないが、調べようと思い立ったらいつでも調べられるようにはなってほしいものだと思う。

10,000ドルって

[Anonymous Coward]

どんなコトロが買うんだろう?

10,000ドルとして

[Anonymous Coward]

脆弱性をおしえてもらってもなぁ。
直してくれるんだったら払うかもしれないけれど。

恐喝と詐欺はどちらが罪深い

[Anonymous Coward]

うーん, 例えばセキュリティ調査しますとか言って, ろくな調査もせず料金をふんだくるような所もあるので, どうなんでしょうね. 健全な方向にどうやったらもって行けるんでしょう.

人に脅威をお伝えすること

[Anonymous Coward]

タイトルだけ見てコレ [hatena.ne.jp](からリンクされてるPDF)のことかと思ったよ

Re:釣り糸を垂らしてみるか

[Tsukitomo (22680)]

> こういう時にソースが公開されてないと泣き寝入りですね
RealPlayer for Linux. An opensource media player for Linux [helixcommunity.org]という。

--
Your 金銭的 potential. Our passion - Micro$oft

Tsukitomo（月友）

Re:

[Anonymous Coward]

言っている意味がよく判らない>(#1295277)

ソースｷﾎﾞﾝ