(cache) 昨今の学校のセキュリティ事情【第四章まとめ】

ここでやっていることはかなり危険な部類も入っています。

真似しないようにお願いします。また、この記事によっていかなる損害が発生してもその責任を負いません。

この記事によって自分のサービスのセキュリティを再認識してもらえばと思います。

第四章

まとめです。まとめというまとめです。

かなりこの事件に関してはイライラしてるので記事にもイライラしている感情があって感情的な部分もあるかもしれませんがご了承ください。

結果的に全ての脆弱性やセキュリティの穴は学校側にお伝えしました。

もちろんアドレスを晒してメールしたので気づいたのですが、メールを送らなければ気づきませんでした。アホですね。

ですが、個人的には何らかの謝罪と一週間の自宅謹慎を受けることに。

第三章にて、数百名が申し込んだイベントの個人情報(名前、住所、電話番号)がありました。

自宅謹慎に関しては、自分でも一線を超えた感じもあるし、人様の個人情報も見たのでそこらはなんとかいいとします。

しかし、学校側として一切「ありがとう」という言葉は使わず、

今後一切脆弱性を突くなという感じのスタンスなんです。

「うちの学校はプライバシーマークも取得しているのでこういうことされては困るのです」

・・・・・・・・・・・・・・・・・・・・・・・・・・

アホかっちゅー話ですよ。

そういうセキュリティの穴を塞いで個人情報を保護するからこそプライバシーマークが取れるわけですよね。

ため息しか出ないですよね、こんな学校ははよ潰れれば良いと思ってますよ。

その後

ちなみにその後なんですが、どうやらそのコードを書いた人はクビになったと先生が話してました(たぶん嘘)。

先生的には「キミの行動で人一人がクビになるんだから・・・なので反省してください」とか言ってますが、実際そういうコード書く人はクビにされていいですよ。金の無駄ですよ。はっきし言って。

まとめ

ポートは適度なものだけを解放する
MySQLはしっかりとインジェクション対策をする、プリペアドステートメントを使う
MySQLを使用する際はrootを使用せずデータベースごとに分ける
ユーザーのアクセスできるディレクトリを把握し、しっかりと管理をする
委託会社に全て任せるのではなく、身内に一人信用のある人を用意しとく

最後に

この記事に対する質問・意見などはコメントでどうぞ。

Twitterのリプライでもお待ちしております。

ありがとうございました。かなり記事が感情的になってしまいましたね。

Permalink | コメント(8) | トラックバック(0) | 23:54

コメントを書く

touhousintyaku 2011/09/14 18:03 こういうのって普通は管理者に報告して脆弱性が塞がった後でネットでネタにするもんじゃないの？

sora_h 2011/09/15 10:32 とりあえずそんな学校やめちまえと思うけどな．不幸になるだけ．

そんなスタンスなら生徒じゃなくて外部からつつかれて残念なことになっとけゴミクズ，って思うよ．
身内からの報告でよかったなーと思うべきだ，学校は悪意ある人間から脆弱性突かれたほうが
ヤバいと思うけどなー．

masterq 2011/09/15 21:46 これはヒドい。。。なぜ反省なの、、、会社なら寿司くわせてくれるよ。。。

co3k 2011/09/16 00:01 一連のエントリで書かれていたことの一部は少なくとも不正アクセス禁止法に抵触すると思います。まとまりきらなかったのですが、このことについて、

co3k.org - Blog - たとえ善意の脆弱性の検証であったとしても法は遵守すべきでは
http://co3k.org/blog/16

というエントリを書いたので、もしよろしければ参考にしていただければと思います。

無記名 2011/09/16 10:31 いや、あんた犯罪者じゃん。不正アクセスしてるじゃん。なんで、ありがとうなのよ。
馬鹿丸出し。

＞2011/09/16 10:31 2011/09/16 11:03 起訴されて有罪が確定するまで犯罪者ではないのでは？

ななし 2011/09/16 12:36 そいつがクビになるのと、そいつのせいでどれだけの個人情報が更に流出するのとどっちがいいかっていう…

でも、主はまず学校に報告してから記事を公開すべきだったと思う

Anonymouse 2011/09/16 12:56 こういう時の為にJPCERTや脆弱性関連情報の届出があるというのに。

http://www.jpcert.or.jp/about/brief/
http://www.ipa.go.jp/security/vuln/report/index.html

さてさて、どのように先方の対応が変わるか。第五章期待してます。

スパム対策のためのダミーです。もし見えても何も入力しないでください