« livedoor Reader で SHIFT+Z | トップページ | livedoor Reader で、最も優先度が高かったろう課題 »

2006.05.02

Winny を修正させないことの責任

Winny にバッファオーバーフローの脆弱性があることが10日ほど前に公表されました。

作者の金子氏は

私自身は、諸般の都合により、Ｗｉｎｎｙのアップデートおよび 脆弱性の具体的な検証が困難な状況にあります。

[ JP Vendor Status Note - JP - JVN#74294680 ]

ということで、これは金子氏が警察側に提出していると云われる「『今後Winnyを開発しない』という誓約書」があるからなのでしょう。

この文章の中で「仮にバッファーオーバーフローの脆弱性への攻撃を想定した場合でも、これによりあらゆる任意のコードが実行が可能という訳では無いと判断」とありますが、「eEye Advisories - 住商情報システム株式会社」において、「数百バイトのコード(Bind Shell リモートバックドア)を実行できる事を確認」したという内容があります。

最近のウイルス／ワームは、愉快犯的に派手なメッセージを出したり、PCの内容を破壊したり、データを外部に流出させたり、というだけでなく、特定の指令を受けて、外部の標的を攻撃したり、spam などの踏み台になるものも多くあります。

そういうものは使っている本人には気が付かせずに潜伏し動作しますから、Winny の脆弱性が任意のコードが実行可能であることに繋がることが事実であれば、40～50万もあるというノードのうちの何割かが、ある日突然、特定目標を攻撃し始める可能性が大きく増大したということになります。

これが国内の目標であったとしても、目標によっては大きな（経済的）被害が出るだろうことは容易に予想が付きます。更に、これがサイバーテロリストによって悪用され、国外に向けられることも十分に考えられます。そのような事態が発生した場合、現状のような、いわば、タダ、口先だけで「使うのを止めてください」とだけ云っている状態を世界はどう見るのでしょうか。

このような場合、本来は、提供者が何らかの対策を取るか、それをしない場合は何らかの責任を追求されるか、でしょうが、その提供者・作者を国が行動を制約している現状では、行動を制約している国にも責任ありということはないのでしょうか？

作者の協力を得て何らかの脆弱性対策を開発、流通させることの方が公共の利益に沿うと云える状況において、それをさせない責任は誰が負うべきなのでしょうか。

2006.05.02 10:59 パソコン・インターネット |

トラックバック


この記事へのトラックバック一覧です： Winny を修正させないことの責任:

コメント

これは司法取引といった概念を取り入れないと無理です。

わたしの中学の同学年生に美谷島邦子さんが居ます。
彼女は「航空事故調査委員会をアメリカと同様にしないとダメだ」と言い続けて２０年です。

日本では交通事故（自動車・航空・鉄道など全部）の調査が世界的な水準で常に遅れています。
航空事故については

http://www.eonet.ne.jp/~accident/

ここにすごく良く整備されていますが、確実に改善されているのですが、日本は改善にほとんど貢献していません。

事故原因調査が責任追及を第一義にしているから、関係者は利害があるろうがなかろうか「とりあえず隠す」となって全然原因調査になってないわけです。

最近タクシーに急速に普及しているドライブレコーダーも純民間の（確か被害者の関係者）が発明した品物です。公的になるとまるで原因調査にならないし、その結果は改善案が出ないもちろん実際に改善されることもない。

全体の構成の問題だから、ちょっとやそっとでは変革しないでしょう。

>作者の協力を得て何らかの脆弱性対策を開発、流通させることの方が公共の利益に沿うと云える状況において、
>それをさせない責任は誰が負うべきなのでしょうか。

責任の追及は結果においてのみ有効なので、将来起こりうる危険の放置そのものは誰にも責任がない。
という論理です。
あくまでも「結果責任」を最初に追求する。
だから常に「パイロット（ドライバー）に第一義の責任がある」であって「第一の責任者を免責するほどの過失が第二の責任者にある場合に第二の責任者が第一の責任者に取って代わる」という論理です。
よって「させない責任」はほぼ追求されないのです。

これは「総無責任体制」とでも言うべきですが、日本ではどうも「責任追及（復讐の権利）」といった法的な要求が強いようで、司法取引を公然と認めるのは社会にとってはかなりの劇薬になるのかもしれません。
とりあえず、すぐに変わることではないと思いますわ。

投稿: 酔うぞ | 2006.05.02 23:21

そう。なんでもかんでもアメリカ式が良いとは思わないのですが、航空事故、列車事故なども含む社会的影響や利害が大きいものは、個人の責任追求を制限しても、次に同じ失敗を繰り返さないという手法を日本も取るべきだと思っています。

投稿: Tiger | 2006.05.03 00:04

この記事へのコメントは終了しました。