えびの市と篠栗町の図書館システム、保守会社の社員がパスワードを解除していた 66
ストーリー by hylom
そんなんでいいの？ 部門より
そんなんでいいの？ 部門より
binsmax 曰く、
高木浩光＠自宅の日記に 朝日新聞名古屋本社版2010年8月23日夕刊6面に掲載された記事そのものが掲載されている。
岡崎市立図書館絡みで話題になっている三菱電機インフォメーションシステムズ（MDIS）であるが、 同社の別の図書館システムが導入されている宮崎県えびの市と 福岡県篠栗町において、 「ホームページのパスワードが外され、誰にでも改ざんできる状態になっていた」とのことである。記事では「ホームページ」となっているが、FTPサーバーのパスワードが設定されていない状態になっていた、というのが正確な事実のようだ。
原因は外部からのクラックというわけではなく、三菱電機側から営業、保守と請け負っていた業社の社員が、 複数人での保守をやりやすくするためにパスワードを外してしまったとのことである。
高木氏の日記によると、そのFTPサーバーは8月4日以降はパスワードによるアクセス制御が行われるようになったとのことだが、現在もインターネットから接続でき、通信路への対応は特にないとのことだ。個人情報の流出はなかったとされているが、そのような問題なのだろうか？
記事としてはちょっといただけないものになっている (スコア:3, すばらしい洞察)
クローラ事件で話題の岡崎市立中央図書館で今度は利用者情報の流出が発覚 [srad.jp]
の続報であるということは(別意見の人もいるであろうが)わたしは明示すべきだと思う。なぜならタレコミ文の
というのはlibrahack_bot [twitter.com]が繰り返し誘導しているまとめサイトを読めば事実誤認に基づく
言い方だとわかるからだ。
「何度も事件」ではなく、既に起こった事件はlibrahack氏の逮捕と岡崎市立図書館における個人情報流出はすべて一連のことであり、
この二つで何度もというのはちょっとねえ。なお、これからまだ起こるかもしれない不祥事というのは大いにありえそうなのです。
周回遅れ、もしくはたまに出てきて気の利いたことを言って受けを狙える状況じゃないんです。
個人情報流出露見はパスワードなしのftpサーバの存在そのものと表裏一体だし。
そこまでわかっているにも関わらずはしょって書くなら
Webページのパスワードが外され、
はいかがなものか。せめてFTPサーバと記述するのが適当では?
岡崎市立図書館をはじめ各システムがFTPサーバで中味ごっそりgetする構造で成り立っていることを
言ってもいいんじゃないの?
なお、あちこちの図書館を通じて岡崎市立図書館における個人情報を流出させていたのはMDISではなくて
三菱電機であると判断できる相当の理由もお忘れなく。
Re:記事としてはちょっといただけないものになっている (スコア:1, 興味深い)
続報と言えば続報なんでしょうけど、
スラド民ならわかってることだけど、
＞ 個人情報流出露見はパスワードなしのftpサーバの存在そのものと表裏一体だし。
この書き方もどうかと。
「個人情報流出」は「パスワードなしのftpサーバ」が存在しなくても発生する。
むしろこの二つは別のことが多い。
「個人情報流出」だけでもスキャンダルなのに、
その原因が「パスワードを解除したftpサーバ」だとなると、ミスが二重三重に重なった、
あまりに杜撰な運用による事件であり、三菱電機インフォメーションシステムズの
責任は免れないと言って良いでしょう。
Re:記事としてはちょっといただけないものになっている (スコア:1)
だから「個人情報流出露見」って書いてるのでは
個人情報流出は 岡崎 -> えびの市や篠栗町等のコピーの時点で起こっていて、
パスワードなしのftpサーバの存在によって、
ftpアクセスした第三者(高木氏等)がえびの市等に存在しないはずの岡崎の情報が存在することを確認したことで、流出の事実が第三者に露見した
(さらに第三者にも流出した)
ってことでは
記事って？ (スコア:1)
理解に時間がかかってしまいました。
タイトルって難しい。
Re: (スコア:0, オフトピック)
掲載時に修正・追記しました。ご指摘ありがとうございます。
Re: (スコア:0)
ソース的にはこのパスワードが外されていたの記事が先で、その後に利用者流出の件ですよね。
でもまあスラドに掲載されたのはこの順だし、ネットで話題になったのもこの順なんで
後先付けずに関連情報とでも言っておくのが一番据わりがいいかと。
ポストイット (スコア:3, おもしろおかしい)
何でわざわざパスワードなしにしちゃうんでしょうね。
ポストイットにパスワード書いてサーバマシンにペタ、で良かったのに。
#先日機会があって弊社のサーバールームに（システム部の人同伴で）入ったら
#やっぱり貼ってありました
Re:ポストイット (スコア:1, 参考になる)
私も貼ってます。
ただし、業者の後ろからのぞき込んでハックしたので、
こっそりバレないように、ルーターの底にｗ
#業者呼ぶほどでもないとか何人も経由しないとわからないような時は、
#自分で調べちゃった方が早いからね。
Re: (スコア:0)
Webカメラでもしかけとかない限りは見えないからな。
Re:ポストイット (スコア:2, おもしろおかしい)
＞部長「パスワードは絶対にメモしてはいけない。これは常識だ！書いた奴は契約違反で訴えるぞ！（キリッ）」
見たことある情景なので和んだ。
作業で使い回されるノートPCのパスワード文字列を変更したと聞いて、たぶんみんな忘れるだろうなと思い。
ノートPCの裏のバッテリー蓋内部にポストイットで貼っといた。
後日やっぱりとあるリーダーさんが忘れて現場から携帯電話で聞いてきたのでそこに書いてあると教えたら、
やっぱり「メモにしてはいけないことになってる！」と怒ってきたけど、じゃぁあんたそれどうやって使うんだ？
とぼかして遠回しに言ったら意味不明な言葉で怒鳴り返してきたので電話を切った。
という懐かしい思い出も蘇った。
Re:ポストイット (スコア:1, おもしろおかしい)
「リーダーに聞けば分かる。」
と書いておく。
Re:ポストイット (スコア:1)
思わずワロテ午後の眠気がフットンダ。
今度そう書いときます。
Re:ポストイット (スコア:1)
そしてパスワードを「leadernikikebawakaru」にしておけば完璧ですね。
素人? (スコア:0)
保守を行っていた会社の中の人たちは素人集団だったのだろうか?
なぜそんな連中と三菱は営業と保守の契約を結んでいた?
Re:素人? (スコア:5, 興味深い)
IT系全般に保守で出張してくる人は時としてとんでもなく低レベルです。保守作業手順が分からなくで電話をあごに挟んで逐一指示してもらいながら作業するとか、六角ナットをラジペンで回して外すとか,バッテリの取り外しをプラス極配線から先に外すとか・・・・いろいろ目撃しました。もちろんちゃんとしている人も居るんですが。
低レベル／Re:素人? (スコア:5, 興味深い)
1999年の11月から12月にかけて、警視庁所轄各署および本庁の幹部クラスにネット端末を配置する仕事にハケンで行きました。知人に頼まれて、この仕事のためにグッドウィルに登録。集まった十数名は、パソコンのキーの刻印も読めない人が大半。ある日などは警視庁の本庁に入るのに、事前に提出してある作業員名簿に合わせるため「きょうは君は○○くんね。この名札付けて！」とか、いろいろ凄かった。指示を出す日立の人たちはたいへん優秀でしたが、何かあったら大変だろうなと思いました。
驚いた (スコア:1)
踊る大捜査線の映画は「さすがに警察なんだしそりゃあねえだろ」と思ってたが、本気で似たようなことやってたのか
Re:素人? (スコア:1)
「手順書通りに作業するだけ」ならまだマシですな。余計なことはしないわけですから。
「俺いいこと思いついた！」な事は手順書に書いてないことなわけですし。
Re:素人? (スコア:2, すばらしい洞察)
手順書が間違ってる場合はどうするのかという問題も。
常に完璧な手順書が用意できる現場ばかりとは限らないし、
人間はミスを犯す動物でもある。
Re:素人? (スコア:1)
そのためには担当者が手順書を理解し、その間違いを指摘できるだけのスキルが必要となる。
手順書通りに作業するだけの単純作業者に割り当てておきながら、
「間違いがあれば手順書の修正を求めましょう（キリッ）」
なんて言うのは、現場のことも経営も知らない素人の戯言にしか見えないね。
そういう労働者に仕事を割り振った側が一方的に被害者ぶるのは、許しちゃいかんと思う。
＞それでまわらないなら、それは組織として破綻しているということです。
それは同意だが、今回も含めてそういう破綻している組織は多いよ。
Re:素人? (スコア:2, すばらしい洞察)
＞保守を行っていた会社の中の人たちは素人集団だったのだろうか?
DQN上司「おい、(FTPサーバーの中身)見えねーんだけど」
保守担当「そこはユーザー名とパスワードを入れ・・・」
DQN上司「いちいちめんどくせーんだよバカ。パスワードとかいらねーようにしろよ」
保守担当「そんな事したら余所から丸見えになりますよ」
DQN上司「あぁ？ わけわかんねー事言ってんじゃねーよ。とっとと見えるようにしろバカ」
保守担当「（・・・どうなっても知らないからな）」
こんな具合に、上層部に聞き分けのないド素人が一人紛れ込むだけでぜーんぶおしまいさっ。
Re:素人? (スコア:1, すばらしい洞察)
聞き分けのないド素人を上層部に招き入れると云う時点で
既にアウトなような・・・。
Re:素人? (スコア:1, 興味深い)
> こんな具合に、上層部に聞き分けのないド素人が一人紛れ込むだけでぜーんぶおしまいさっ。
上層部かどうかはともかく、実際今回の件は「両市町とも同じ社員がパスワードを外しており」と
「ド素人が一人紛れ込んだ」ことを想起させる報道がされてますね。
「複数の担当者が並行して作業するのでパスワードを外した方が便利だと思った」レベルのようですし。
＃ 特定の人をスケープゴートにして話を終わらせようとしている...と妄想することも可能ではありますが。
Re:素人? (スコア:1, すばらしい洞察)
一人が勝手にそんなことを思いついても、常識のある人がいれば元に戻すでしょうしね
つまり
「パスワードが無い（本来の手順と違う）状態にされていることをおかしいと思う人が居ない」
常識のある奴が居なかったってことだ
Re:素人? (スコア:1)
＞「パスワードが無い（本来の手順と違う）状態にされていることをおかしいと思う人が居ない」
＞常識のある奴が居なかったってことだ
三菱界隈では「パスワードが無い状態」が常識だったんでしょうね。
#常識って必ず一つ且つ正しいものだというのが常識っすね。
Re: (スコア:0)
どの道素人集団としか言えないと思いますが。
Re: (スコア:0)
ふと思いました。
Re:素人? (スコア:2, すばらしい洞察)
Anonymous FTPになってたんですよね。
保守を請け負っていて、さすがに
「FTPの設定を、わざわざAnonymous可に変える」
というのはありえないと思うんだけど。
だから「外した」んじゃなくて、
最初からAnonymous FTPの状態でセットアップされて、
そのまま保守会社に引き渡されたんじゃないかという気はする。
Re:素人? (スコア:1)
IIS/ASP.NET + Oracle の構成だったと思いますし、FTP サーバーを設定する事自体は標準の手順にありますから、後はユーザー認証周りだけですね。
そして、ドメインコントローラーなどを設置しているかどうかが分からない (顧客次第) であることまで考慮すると……。
inetpub\ftproot ではなく inetpub\wwwroot にルートフォルダーをマッピングした後、 複数のユーザーが書き込めるよう Everyone/Full Control までは最初から行われていたのではないかと思います。
Anonymous FTP の有効/無効の切り替えは IIS6 の FTP サイトのプロパティーで「匿名接続を許可する」のチェックボックスにチェックを入れるかどうかだけです。(一度無効にしても、入力ボックスで指定する標準の IUSR_xxx やパスワードは保存されている)
従って、Anonymous FTP に設定変更ができる事なんていうのは、影響範囲を知らなくても簡単に可能です。
# 標準設定は FTP 有効化後 Anonymous FTP 有効 + 読み取り専用です。
Re: (スコア:0)
そりゃ三菱の人も素人だったからでしょう。
Re:素人? (スコア:1, おもしろおかしい)
三菱だけは使っちゃいけない。AC おぼえた。
せいぜいえんぴつくらいだな。
Re:素人? (スコア:2)
三菱鉛筆 [mpuni.co.jp]は三菱グループとは無関係な企業 [mitsubishi.com]です。憶えておきましょう。
Nullius addictus iurare in verba magistri
Re: (スコア:0)
いや、だから「せいぜいへんぴつくらい」なんでしょう。
Re:素人? (スコア:2, 参考になる)
三菱サイダーってのもある。
Re: (スコア:0)
無粋だなぁ。いちいち
関係ないから安心して使えるのです。
ってくどくど書かないとダメなのか？
Re: (スコア:0)
偏見だけどセキュリティ甘そう
Re:素人? (スコア:1)
略称にダイヤモンドのDが入るように社名決めたのかな。
Re: (スコア:0)
ここ最近「素人感覚」「庶民の目線」の方がもてはやされていたからではないでしょうか。
Re: (スコア:0)
バージョンup版は、定額保守料とは別に費用をもらわなければ渡せないよ？
個別カスタマイズ部分は、バージョンupしたらやり直しだからね。
代理店は、システムに関して言えば素人以下か、相当レベルが低いんだと思う。
マトモな会社なら、あんな酷い欠陥仕込みのパッケージを売って保守しようなんて思わないもの。
あのパッケージはそもそも図書館内の閉じたネットワークで限られた台数の端末のみで運用すべきだな。
使い方を間違ってる。
今日は9月なんですが (スコア:0)
実際には流出していたという事は既報ですが、その段階で
と、過去の認識が今も言っている様な書き方はいかがかと。これは（ろくに調査もぜずに言った早まった結論ではあるが）あくまで8月の段階での言葉だと示すべきでは。
そして、さらに、実際には流出していた事が分かっている今における、過去に流出がなかったという言葉の後の
の「その」とはどの様な意味合いなのだろうか？
よくもGoogleに暴かれなかったものだ (スコア:0)
ftpサーバにだってGoogleのクローラは結構来るんですがねぇ。
ウチの放置気味な自宅サーバ(ログインは匿名のみ許可、書き込みは当然禁止)でさえ今月だけで20件。
Re:よくもGoogleに暴かれなかったものだ (スコア:4, 興味深い)
Anonymous FTPで公開されていたGlobal.asaが示すもの 岡崎図書館事件(6) [takagi-hiromitsu.jp]ではgooleで見つかったみたいですよ。
パスワードなしで (スコア:0)
SSHでクライアント証明書使っているから
パスワード使ってないよ。
という話では無いわけですよね。
あえて書いてみましたけど。
Re:パスワードなしで (スコア:1)
Re:パスワードなしで (スコア:1)
SSHの単なる鍵ペアを証明書と呼ぶのはどうにも違和感が・・・ってそういう話でもないですかそうですか。
篠栗町のホームページアドレスはこちらでは？ (スコア:0)
おそらく、「資料検索」をたどるとあらわれる、
http://sasaguri1.uxt.cknet.co.jp/index.html [cknet.co.jp]
では？
えびの市と同じく、
uxt.cknet.co.jpであり、千代田興産株式会社 [cknet.co.jp]のサーバではないかと。
千代田興産株式会社の関連会社に千代田情報システム株式会社 [cjsnet.com]があり、
三菱電機と関係がある [cjsnet.com]ようです。
ここが今回の保守会社ではないでしょうか。
Re: (スコア:0)
元の記事中に「千代田興産」と書かれていて、同社の取引先にはMDISも含まれているのに
わざわざ
> 千代田興産株式会社の関連会社に千代田情報システム株式会社があり、
> 三菱電機と関係があるようです。
> ここが今回の保守会社ではないでしょうか。
と考えるのはなぜ？
＃ 千代田情報システムが千代田興産から再委託受けていたりとか、
＃ 今回問題引き起こした作業者の原籍が千代田情報システムである可能性までは否定しないけどね。
まだ、
千代田興産の主要業務にコンピュータシステムの保守事業が含まれていないから
そういう事業を行っている関連会社に振ったのかも
って想像ならわからんでも無いけど、
> 三菱電機と関係があるようです。
関係があるっていっても、MDISじゃなくて三菱電機本体の話で、
それも三菱製コンピュータの代理店販売やってるってだけ。
さすがに今回の件の根拠にはするには薄すぎるだろ。
Re: (スコア:0, オフトピック)
千代田興産株式会社 [cknet.co.jp]トップページのLIBZOO(学校図書館管理システム)が三菱図書館システム(MDIS)に丸投げ状態だから。
千代田情報システム [cjsnet.com]のサービス内容がその辺の面倒を全部みているっぽく見える反面、千代田興産が実際にそういう仕事に人手を割いているようにまるで見えないから。
などなど。これでは論拠として不自然かつ不足でしょうか?
Re: (スコア:0)
セキュリティ上の不備は修正されることが正しい。
黙っていればいいってものじゃない。黙っているだけだと知らないうちに色々とやられる可能性がある。
Re: (スコア:0)
図書館が違法性のないクローラーに大騒ぎしたおかげで被害拡散だね