
Chaos Computer Club、独キリスト教民主同盟には2度と脆弱性を知らせない 73
ストーリー by headless
責任 部門より
責任 部門より
Chaos Computer Club (CCC) は 4 日、独キリスト教民主同盟 (CDU) のソフトウェアに脆弱性があっても今後知らせることはないと宣言した (CCC のブログ記事、
The Register の記事、
heise online の記事 [1]、
[2])。
発端は 5 月、CCC の活動家 Lilith Wittmann 氏が CDU のキャンペーンアプリ「CDU-connect」のデータベースに格納された大量の個人情報がインターネットで公開状態になっていることを発見したことだ。個人情報には選挙スタッフ18,500人と支持者1,350人のほか、戸別訪問した数十万人の反応を記録したデータも含まれる。Wittmann氏はCDUと当局に責任ある開示を行い、データベースはオフラインとなった。
しかしWittmann氏は3日、CDU-connectアプリに関して容疑者リストに含まれるので住所を連絡するようにとの通知を捜査当局から受け取ったことを明らかにする。CDUのStefan Hennewig氏は被害届がWittmann氏を対象にしたものではないと主張しつつ、Wittmann氏の名前を記載したのは誤りだったと謝罪した。
それでもCCCは将来的な法的問題を回避するため、CDUのシステムに関連する脆弱性の報告は回避せざるを得ないとし、匿名での無責任な脆弱性開示が増えてもCCCの責任ではないと述べている。
発端は 5 月、CCC の活動家 Lilith Wittmann 氏が CDU のキャンペーンアプリ「CDU-connect」のデータベースに格納された大量の個人情報がインターネットで公開状態になっていることを発見したことだ。個人情報には選挙スタッフ18,500人と支持者1,350人のほか、戸別訪問した数十万人の反応を記録したデータも含まれる。Wittmann氏はCDUと当局に責任ある開示を行い、データベースはオフラインとなった。
しかしWittmann氏は3日、CDU-connectアプリに関して容疑者リストに含まれるので住所を連絡するようにとの通知を捜査当局から受け取ったことを明らかにする。CDUのStefan Hennewig氏は被害届がWittmann氏を対象にしたものではないと主張しつつ、Wittmann氏の名前を記載したのは誤りだったと謝罪した。
それでもCCCは将来的な法的問題を回避するため、CDUのシステムに関連する脆弱性の報告は回避せざるを得ないとし、匿名での無責任な脆弱性開示が増えてもCCCの責任ではないと述べている。
恩を仇で返す的なやつ? (スコア:3, すばらしい洞察)
「玄関の鍵あいてるで、やばいで(善意)」
「ワイのシステムにケチつけんなや(360度敵)」
こんな感じかな?
認知の歪みって怖いね。
Re:恩を仇で返す的なやつ? (スコア:1)
Re: (スコア:0)
不正アクセス禁止法もそれに近い所があるように感じるんだよな。
Re: (スコア:0)
倒れている人を助けると訴えられる或いは告発される様な話。
故に放置するしかない。
Re: (スコア:0)
除細動器を正しく使ったが助けられなかった。後日、遺族から「あいつが殺した」って…
Re:恩を仇で返す的なやつ? (スコア:1)
女性にAED使うとセクハラで訴えられるみたいなデマもあったよね。
ただ、そういうデマでも「もしかしたらあり得るかも」と思われる程度には「何の欲目もなく善行をする奴はいない。居たとしたら真正の馬鹿」って風潮はあるのかもしれない。
Re: (スコア:0)
報告してくれ、と言っていないのにそれをやっちゃうのはまずいと思うんだけど
Re:恩を仇で返す的なやつ? (スコア:1)
何故?
何の法にも触れない善意の好意でしょ。
Re: (スコア:0)
「はいれたよ」は触れてるだろ
Re:恩を仇で返す的なやつ? (スコア:1)
> (公開されていた)個人情報には選挙スタッフ18,500人と支持者1,350人のほか、戸別訪問した数十万人の反応を記録したデータも含まれる。
「選挙スタッフ18,500人と支持者1,350人」は自業自得だが、「戸別訪問した数十万人の反応を記録したデータ」がある以上、報告乃至公表せざるを得ない。
Re: (スコア:0)
発見者がクラッカーなら情報を売りさばけたのに
後で間違いだったと認めてる? (スコア:1)
アクセス履歴を機械的に出してそのまま被害届出したせいで、こっそり教えてくれた脆弱性報告者も含まれてて迷惑かけた、という流れで良いんだろうか。
もしそうだとすると、日本で言うところのIPA的な組織を通じて報告してたとしても同じ状況になってしまうような……。
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
知らせないわけじゃないだろ (スコア:0)
今後脆弱性を発見しても無責任に匿名で報告するというだけで
Re: (スコア:0)
報告すらされずに漏れるたびに毎回メルケルが謝罪すればいいんじゃね
Re: (スコア:0)
メルケルは今年予定されている任期限りで政界を引退すると宣言しているのだが、その後も引き摺り出すのか。
Re: (スコア:0)
永遠のコールガールだな
コールに引き立てられただけあって
Re: (スコア:0)
なんでわざわざ匿名で報告する必要がある?
というか脆弱性の報告ってデメリットしかない気がする。
Re: (スコア:0)
自分が利用者側なら被害を受けるので、無視はできないかと。
Re: (スコア:0)
脆弱性じゃないのでオフトピ
一昨日、黒い猫の運輸会社に道に落ちてた伝票の束(もちろん顧客の名前、住所、電話番号入り)を連絡したのだが、携帯からだとナビダイヤルしか連絡先がなくこちらが金払ってまでやるべきかとやる気が削がれる。それでも住所と目印は伝えたけど。
さらに1日以上経ってそのまま放置されてたのを見てバカらしくなった。
労力も金も善意に頼るなんて何なんだろうな
Re: (スコア:0)
ふつうに見つからなかっただけなのでは?
そこまでするなら素直に交番に紛失物として届けろよ……。
Re:知らせないわけじゃないだろ (スコア:1)
交番に忘れ物を届けに行くと、指紋取られたりして面倒だよね。
一応遺失物が盗品だった場合、真犯人の指紋と区別するために届出人の指紋を採取するという建前で、あくまで任意とされているけど、何か自分が犯罪者扱いされてるみたいだし、その指紋データ、いつまで、どういう管理されるの?っていうのも不明で気持ちが悪い。
Re: (スコア:0)
謝礼金は幾らぐらいになるんだろう???
Re: (スコア:0)
クオカードぐらいは貰えそう。
直接報告するのはリスクが高いってことかな (スコア:0)
日本だったら、IPAに報告するのがいいのかな。
脆弱性に報奨金をかけているようなところなら、直接、報告してもいいと思うけど。
Re: (スコア:0)
IPAは未だに情報セキュリティ白書をパスワード付zipで配布してるからなあ……
しかも、パスワードを得る為の登録サイトをIE/Edge/Chrome/Safari以外は弾く様に作ってある。
Re: (スコア:0)
え、マジで!?(Firefox使い)
Re: (スコア:0)
変なブラウザまで対応する必要はない
税金の無駄
Re: (スコア:0)
変なブラウザ(Firefox)
Re: (スコア:0)
変なブラウザ(Firefox)
「謎の半導体メーカー(nVIDIA)」なみにウケル
#NCSA Mosaic からの代々の継続ユーザー
Re: (スコア:0)
作ってて結果一部のブラウザで動かないということならその言い分もとおるが、
あえて弾くようにするのは追加費用だろ
Re: (スコア:0)
FirefoxはOSから切り離された独自のSSL監理システム持ってるからでしょうね
きちんと機能している間は問題ないでしょうが絶対の信頼を置くのは難しいブラウザですよ
Re:直接報告するのはリスクが高いってことかな (スコア:2, 参考になる)
OSから切り離された独自のSSL監理システム
ってのが何を指すのかはっきりしないのですが、もしMozillaが管理している認証局のリストのことでしたらca-certificatesというパッケージ名で大半のLinuxディストリビューションに標準搭載されているのでマイナーなものではありませんよ。
IPAの話をしますと、www.ipa.go.jpはApache httpdを使用しているようなので、高い確率でca-certificatesも使用しているでしょう。
絶対の信頼を置くのは難しい
と言っているあなたも何かしらca-certificatesの恩恵にあずかっているはずです。
そもそもMozillaの管理するリストがWindowsのものより信頼性に劣ると主張する根拠がよく分かりません。Mozillaの方は「どこどこの認証局は運用がダメだ」みたいな話を公の場で議論したりしているので、透明性という点ではむしろ優れていると思うのですが…
Re: (スコア:0)
NSSのことかも?
Re:直接報告するのはリスクが高いってことかな (スコア:1)
オフトピですが、これですね
Mozilla、日本政府の公開鍵基盤(GPKI)について「対応予定なし」というステータスに
https://it.srad.jp/story/18/03/01/072235/ [it.srad.jp]
発見プロセスを書いてどうこうという訳じゃないけど (スコア:0)
いかにして脆弱性が見つかるか知らない一般人にとっては、ドアノブ弄ってドアが開くことを確認されたように感じるんだろうね。当然そんなことをするのは空き巣狙いの泥棒しかいないという発想に陥り、あの人犯罪者ですと通報される羽目に。
Re: (スコア:0)
ドアを開けただけじゃなく家の中に入って情報を持って帰ってるからね。
持って帰ったものを破棄したか分からないし、それ以外に取っていないかとか、家に何か仕込まれてないかとか心配になるのはしょうがないよ。
Re: (スコア:0)
でもそんなこと言ってるとセキュリティが改善しないから
実を取るか面子を取るかでこの政党は面子を取ったってこと
Re: (スコア:0)
ここまで読んでoffice氏事件を思い出す人がいないのは世代の差かな?
ACCSの著作権・プライバシー相談室から個人情報流出 [srad.jp] /.J 第一報、脆弱性の発見について
欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手 [srad.jp] /.J 第二報、脆弱性を指摘した専門家に司法の手が
ACCS事件でoffice氏逮捕 [srad.jp] 脆弱性を指摘した専門家が逮捕
Re: (スコア:0)
office氏との大きな違いは「責任ある開示」をしたかどうかだね
Re: (スコア:0)
世代の差というか、世間に露出した事例数の差では? 十数年で「ときどきあるよね」と広まった感じ
Re: (スコア:0)
あ、はい。その突っ込みはくると思ってた。
「全然」ね。そうか。0か1か。
日本で言うとベネッセとか (スコア:0)
に似ていますね
Re: (スコア:0)
最近聞かなかったけどサイバーノーガード戦法だね
さすがドイツ、恩を仇で返されたほうも黙ってなくて、きっちり反撃した
Re: (スコア:0)
やはり日本は最先端
キリスト様は (スコア:0)
我々の行ないを最善に導いてはくださらないのですか?
Re: (スコア:0)
ヤハウェやエロヒムには邪神な面もある。
そんな神の子とされるキリストに、そんな事を期待するべきではない。
Re: (スコア:0)
天国の鍵のことはペトロに聞くと良い。
Re:キリスト様は (スコア:1)
ペトロ「襟の裏です、主はいつもそこに隠します」
Re: (スコア:0)
> #セキュリティ専門家とハッカーの違いはバレる前に自首するかどうか
後から追跡-特定可能な形で通知しているから、自分の行動を隠蔽したり逃げたりする意図は無いと思う
通知先もCDUと当局だけだし(サイトで公開とかしてない)
個人情報・秘密情報を閲覧すると、インターネットで公開状態になってる場合でも不正取得になんのかな
なんか罠っぽい
Re: (スコア:0)
セキュリティ専門家とハッカーを同一視するようだと、政党も「当局」なんですね。