SQLer 生島勘富 の日記

ちゃっぴ 2010/06/29 03:58 Twitter のほうでの議論を打ち切ったようですのでこちらに失礼します。
なお、いろいろ書きたいことがあるので長文になることを先に断っておきます。

まず今回の問題ですが、関わりのある方すべてがそれなりに問題を抱えていたというのが本質ではないでしょうか？

生島さんは MDIS がもっとも悪いと主張されていますね。
それについてはもっとも悪いかどうかは正確な事実関係がわかりませんので何とも言えませんが、それなりに同意するところです。

今回告訴したのは岡崎図書館だと思いますが、その system を運用していたのはどの会社でしょうか？ MDIS が直接運用していたのであれば本当にどうしようもないですね。まさに確信犯なので。

ですが、仮に別の会社だった場合には今回の対応には疑問が残ります。実際の業務への影響がどの程度か公表された情報だけでは判断しかねますが、この手の攻撃を受けた場合、Web server の管理者が真っ先に行うべきことは警察への連絡ではなく被害を軽減することです。具体的には対象の IP address や攻撃 pattern を特定して、その access を遮断することです。

警察に頼んでどうなるものでもありません。Internet というものはご存じの通り全世界に公開されているものでして、日本の法律が及ばないことなんてことも普通に起こり得ます。

国内であっても、警察に即時対応を求めるのは無理があるでしょう。というのは、原告の訴えに応じて無条件で逮捕拘留することがまかり通るようなことがあれば、そちらの方がより深刻な事態を招くからです。世の中の人すべてが善人ではないですから、それを悪用する人がどんどん現れるでしょう。運用も MDIS が担当しているのであれば、まさにこの状況が当てはまりますね。

私はこの業界のいろいろな仕事をやってきていますが、一番経験が長いのが基盤の構築・運用です。生島さんは SQL のできない技術者をこきおろしていますが、それが通るのであれば、私は今回の運用技術者もしくはその運用構築を行った技術者をこきおろしてやりたいですね。SQL ができないと同じ理由で professional として失格です。

次に警察です。今回の問題は IT 技術に少しでも通じていれば、誰が見ても被告 (この呼び方は適切じゃないかも) に重大な過失が無いのは明らかだと思います。このことは一流の技術者じゃなくても判断可能なことです。図書館の system に通じている必要はありません。一般的な Web system のがわかれば判断できます。おそらくこの業界に身を置いている技術者の半数以上が判断可能なことでしょう。今後 cyber 犯罪が増加すると見込まれる状況で、警察に専門知識を求めずにすむでしょうか？ それはまかり通らないんじゃなかと思います。

警察もこのことは認識していて専門の部署を置いています。

警察庁 サイバー犯罪対策
http://www.npa.go.jp/cyber/

各都道府県警察におけるサイバー犯罪対策への取組み
http://www.npa.go.jp/cyber/localpolice/index.html

今回の事件でこの部署に相談があったのかは非常に気になりますが、仮に相談がありその部署がこの事件を担当したとするならば、原告の主張をそのまま受け入れていきなり逮捕に踏み切り 2 週間も拘留したことは大問題であると言わざるえないでしょう。専門部署であるからには professional であるべきですからね。そういう人をその部署に配属できない状況であるならば、警察組織そのものに問題があるでしょう。

仮に相談が無かったとします。この場合、大きく 2 通りの状況が想像できます。1 つめの状況としてはそういう部署があることを知っていたが、そこに相談を持ち掛けなかった。この場合では、担当した部署に明らかな非があることになりますね。

もう 1 つの状況としてはこの手の事件を cyber 犯罪担当の部署に引き渡す運用体制ができていない、もしくはその周知が不十分である状況です。この状況では警察自体の運用体制に問題があることになりますね。

いろいろ問題は指摘しましたが、今回の事件で警察や運用者や開発元の責任を法的に問うことはおそらくできない可能性が高いでしょう。最適ではない対応だったとは思いますが、そのこと自体をとがめる法律はありませんので。

どこが一番責任あるかを過去起きてこれ以上追及しても建設的ではないでしょう。もし重要なのは今後似たような問題を引き起こさないことです。そのためにはどうしたらよいかを考えませんか？

このような状況でいきなり警察に依頼するという対応は間違っていると思いますが、その依頼を完全に抑止することは不可能でしょう。中には確信犯でやるところもあるでしょうから。となると、それを止められるのは受け入れる側、つまり警察しかないわけです。

警察の体制を見直し、一刻も早く cyber 犯罪に対する強力な体制を構築することが全体の利益につながるのではないでしょうか？

ご一考いただければ幸いです。

Sikushima 2010/06/29 07:45 ちゃっぴさん、おはようございます。

保守を受け持っていた会社もMDISだそうです。

MDISもプロですから、違う主張をするプロが出てきてしたとして、プロ同士で主張が割れていることになる。

とすると、第三者としての警察のジャッジが、開発をして保守も請け負っている一番詳しいプロの主張を採用しない。加害者側の主張を警察が採用するなんてことはあってはならないのです。
（事例・判例が積み重なったら話は別ですよ）

とすれば、警察はMDISの主張を聞かざるを得ず、21回も業務が止まった被害が意図的な行為によるものであれば、そうとう悪質と判断したことは間違いではない。

警察を萎縮させても何もいいことはないし、警察の手足を縛るようなことは良くない。

今後も未知の攻撃は起こり得るし、攻撃に見える未知の善意の行為も起こりうるでしょう。
それを最初に調査するのは、常に技術者で、技術者がミスをしたら、警察が覆すのは現実的に無理です。

だから、技術者がスキルをつけるしかない。自分たちの問題を警察の責任にしても何の意味もないのです。

ちゃっぴ 2010/06/30 09:52
> MDISもプロですから、違う主張をするプロが出てきてしたとして、プロ同士で主張が割れていることになる。

MDIS を professional 失格とおっしゃっていますが、判断する側が専門知識が無いから問題になるのでしょう。

とりあえず対象を本件に限定します。Professional の中でも意見が割れているとのことですが、MDIS 以外に MDIS の方を持つ専門家はほぼ皆無でしょう。ごく一般的な IT 基礎知識があれば判断できることです。

本当に複雑な問題で、一般的な知識のみでは判断できない事象であれば裁判で争うことになりますが、今回の問題は一般的な知識を持っていれば明らかに判断可能なことです。この程度は警察が判断できるように体制を整えてもらわないと困ります。

> とすると、第三者としての警察のジャッジが、開発をして保守も請け負っている一番詳しいプロの主張を採用しない。加害者側の主張を警察が採用するなんてことはあってはならないのです。

それは違うでしょう。被害届を受理せず捜査を全く行わないというなら問題ですが、捜査を行い立件するだけの根拠が得られなければ、その時点で打ち切るのはごくあたりまえでしょう。今回の場合刑事事件ですから、立件するかどうか判断するのは警察です。そのために警察内部に理解できるだけの技術者を揃えることが必要です。

全く捜査を行わないというのは問題ですが、既に書きましたが私は捜査を行うなと言っているわけではありません。今回の事件ではいきなり逮捕、拘留を行いましたがそのことを問題視しています。

> 今後も未知の攻撃は起こり得るし、攻撃に見える未知の善意の行為も起こりうるでしょう。

これは当然発生します。だからこそ、警察に専門知識を持った部隊が必要なのです。
刑事事件として扱うのですから立証する全責任は警察にあります。全くわからないではそもそも立証できないですね。

また、下記のような問題も生じます。
例えば、本当に悪意を持った者が攻撃をすると仮定します。それなりの知識を有したものであれば自分の端末から直接攻撃を仕掛けることなんてしません。多くの場合、clacking や virus を利用して乗っ取った端末を経由して攻撃します。

この場合、IP Address が特定できたからといってすぐに逮捕がいいでしょうか？
確信犯で脆弱性を放置している場合もあるでしょうが、中には 0 day 脆弱性を突かれたものも含まれるでしょう。つまり、全く落ち度が無い場合も存在するのです。

それなのにいきなり逮捕、拘留これが正しいですか？
これはいくらなんでも行き過ぎであると思います。対象者に逃亡の前科があるならともかく、多くの場合逃亡の恐れはないと考えられるでしょう。

もっとも証拠保全は早期にやっておく必要があるでしょう。そのため、家宅捜索を行い PC を押収することは必要ですね。これで十分ではないでしょうか？

なお、このような踏み台を利用した攻撃の場合、警察以外に捜査を行うことはできませんね。これも警察内部に技術者を必要とする理由です。

> だから、技術者がスキルをつけるしかない。自分たちの問題を警察の責任にしても何の意味もないのです。

これは逆だと思います。警察や司法がまともな判断を下せないようでは、技術が無い者のとんでもない主張がまかり通るでしょう。
被害届を出す方が悪意を持つ場合も存在しますので。

Sikushima 2010/06/30 10:37 誰が皆無って決めたの？
twitter上でも逃げ出したけれど、1秒1アクセスは過剰でしょ。って意見はいっぱいありましたよ。

専門家の意見が割れたら、何を持って客観的な意見と考えるの？

もっともっと考えるべきです。
http://d.hatena.ne.jp/Sikushima/20100629/1277791208

スパム対策のためのダミーです。もし見えても何も入力しないでください

画像認証