感染した1.5万サイトにどう伝える? 海外エンジニアが議論
姉妹サイトの新着
セキュリティ研究者が15,579件のウェブサイトが同じ手法で感染していることを発見し、ブログで報告した。問題はそこから先、どうやって何千もの運営者に知らせるかだ。Hacker Newsでは「晒し上げデータベースを作ればいい」という意見と、「下手に動けば不正アクセスと疑われる」という慎重論が対立した。さらに、昔はWHOISで管理者に直接連絡できたが、GDPR以降はその手段も実質的に使えなくなっているという指摘も出て、議論は個人情報保護と大量通知の板挟みという構造的な問題に広がった。
15,579件のウェブサイトが感染していることが分かった。一体どうやって知らせればいいのか?
出典: scotthelme.co.uk / 元記事はこちら
これが正解だと思う。他のコメントが言うような『晒し上げ』じゃない。これはデータベースだ。サイト運営者が自分のサイトが載ってないか確認できる、役に立つ仕組み。haveibeenpwned.comと似た発想で、あれもすごく便利だし。
その通り。難しい話じゃない。名前を晒して恥をかかせる。アクセス数の多い順に並べればいい。
それはやめとけ。
小さいサイトだと、そこに送ったメールを実際に読む人間にたどり着く確率は100件に1件もないんじゃないかな。
WHOISのデータは今でも使えるよ。たいていはプロバイダのabuse@宛のアドレスになってて、そこから本当の管理者に転送してもらえるし、事情を説明すればそのサイトを直接ブロックしてもらえることもある。
問題はGDPRそのものじゃなくて、公開されていた連絡先情報が悪用されたことだ。クズどもがスパムを送らなければ、今でも連絡先は公開されたままだっただろうね。
WHOISはGDPRより前からすでに死んでたようなものだよ。GDPR以前からほとんどの人が住所や電話番号を隠すプライバシー保護サービスを使ってたし。
まあそれは一つの立場としてはアリだけど、ここでは的外れだね。自分のサービスからその攻撃経路を取り除いたところで、他の人の感染が治るわけじゃない。
それは言えてる
他サイトの新着
うん、たぶんそれが正解。ユーザーをすぐ守れるし、サイト運営者もすぐに気づくことになる。一番の責務は、感染したサイトの運営者じゃなくてユーザーに対してあるんだから。
その通り。まずユーザーを守る。たとえばGoogle Safebrowsingにサイトを報告するという手もある: https://safebrowsing.google.com/safebrowsing/report_phish/
自分のブログにtxtファイルを置いて済ませればいいだけの話だろう。なぜ『責任ある情報開示』なんて持ち出すのか理解できない。それが適切なのは、簡単に開けられる鍵を見つけた時の話であって、道の向こうから家が泥棒に荒らされてるのを眺めてるだけの状況には当てはまらない。
WHOISは今でも機能するよ。試してみて: whois ycombinator.com を叩くと、管理者名は『REDACTED FOR PRIVACY』になってるけど、管理者のメールアドレスは転送用のアドレスになってる。Gandi.netがそのメッセージを本来の管理者登録者にちゃんと届けてくれる。
何か別の話に返信してない? 一部のサイトだけに影響する問題や、ブラウザメーカーに全部報告して間接的に知らせるという提案と、どう繋がるのか分からないんだけど。
いや、これは僕が持ち出した別の、かなり古い議論なんだ。『感染サイト』と見なす基準がはっきりしていないという話。
なんでだめなの?
その例はまさにサイトが感染した経緯そのものだよ。感染の種類については、その2段落くらい上に書いてある。
この話題の背景と論点
この議論の背景には、ドメイン登録情報(WHOIS)の扱いが2018年のGDPR施行前後で大きく変わったことがある。かつては管理者の氏名や連絡先がWHOISで公開され、脆弱性を見つけた側が直接メールを送れた。GDPR以降は多くのレジストラが登録者情報を隠すかabuse@宛の転送アドレスに置き換えており、スレ内でも「WHOISはもう使えない」「いや今でもabuse経由で届く」と評価が分かれていた。また「責任ある情報開示」という考え方は、もともと一つの脆弱性を一人の開発者に伝える場面を想定した規範であり、1万5千件規模の一斉通知にそのまま当てはめられるかは別問題だという指摘も出ていた。無断で連絡を取ること自体が「不正アクセス」と誤解されるリスクも論点になり、名前を晒して対応を迫る方式と、Google Safebrowsingのようにユーザー保護を優先してブラウザ側に報告する方式と、どちらを優先すべきかで意見が割れている。
※本記事は海外掲示板 Hacker News のスレッド「We know 15k websites are infected. how do we tell them?」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。