脆弱性により、本来知ってはならない情報を知った時

Question

Webアプリケーション脆弱性により、本来知ってはならない情報を知った場合は、しっかりと報告すれば問題はないのでしょうか？
ケースとしては

• ボタン操作の誤りなど、偶然的に脆弱性を見つけた場合
• 意図的に脆弱性を見つける目的で、何らかの操作（SQLインジェクションなど）をした場合

です。

よろしくおねがいします

Answer 1

IPAの脆弱性報告窓口というのがあります。
http://www.ipa.go.jp/security/vuln/report/
こちらに報告するのが現在最も間違いのない手段です。
サービス事業者に報告してももちろん構わないのですが、握りつぶされる、もしくは犯人扱いされるという事態を避けるには公的機関を経由する方が確実です。

なお、

• 意図的に脆弱性を見つける目的で、何らかの操作（SQLインジェクションなど）をした場合

ですが、正常な操作での振る舞いから脆弱性の存在が強く疑われ、報告するためにも裏付けを取りたいような場合というのは存在すると思います。そういうときは高木浩光氏のブログが参考になるのですが、あくまで合法な手段だけで証明できないか、つまり自分のアカウントや自分のマシンに対してのみ攻撃を仕掛けるような手法でのみチャレンジしてください。

それにはもちろん、何が合法で何が違法か判断が付くだけの法律の知識も必要になってきます。

Comments

[yuba]

高木浩光氏のブログ、なんの説明もなしに紹介しても何が参考になるのかわからなかったかもしれません。
最近の記事こそ法律や社会制度についてばかりですが、メインテーマは情報セキュリティ・情報プライバシーで、10年くらいまではかなりアグレッシブに各種ネットサービスの脆弱性やプライバシー侵害を指摘していました。相手がGoogleだってまったく容赦なしの超攻撃的ブログです。
目次からそういう脆弱性の分析・指摘をしているような記事を探せると思いますが、分析・証明の手段はとにかく慎重。絶対に自分が攻撃者とならないような手段を徹底しているのです。そういった分析手法を参考にしてもらえればなと。

ここからは余談になりますが同時期、10年前くらいに情報セキュリティ分野で名を馳せたスーパーハッカーのはまちちゃん氏（はまちや2氏とも）という人がいて、この人が高木浩光氏と正反対の活躍をしていました。
脆弱性を見つけると、大々的ないたずらを仕掛けるのです。mixiを大混乱に陥れたはまちちゃん事件とか。まあ完全にこれ違法なんですが、この事件まではCSRF脆弱性なんてほとんど知られていなかったのに事件を機に一般常識レベルになったりしたんでセキュリティ文化的にはプラスの貢献だったと言うべきなんでしょうね。

[p_np]

今回はあるWebサービスで、ある操作(*)をしたときに理論上任意のSQLコードを実行できてしまう脆弱性を見つけました。しかし、報告すると悪者扱いされるのではないかと心配し、このことに対して皆様がどのようにお考えなのかを知りたいため質問させていただきました。
*SQLインジェクションではなく、ボタンなど既に設置されているものを操作
今回のことについては、その企業に相談しますが、今後相談しにくい事態が発生した場合はIPAの脆弱性報告窓口に報告することにします。

脆弱性に関する実際に発生した事件なども例示していただきありがとうございます。とても参考になりました。

[yuba]

GUI操作だけでSQLインジェクションが可能なサイトを作れちゃうの、もはや何かの才能を感じますね…

Answer 2

Web の管理者と貴方の立場によるのではないでしょうか？

単純な操作ミスによるケース等は、報告すれば感謝される場合もあるでしょう。
ただ、脆弱性発見の目的でも、その行動がオーソライズされた立場での行動でなければ、インジェクションなどはその目的を問われて窮地に立つ場合もあるでしょう。

---

余談になりますが、単なる興味本位でアメリカのサーバーにいたずらしてサーバーをクラッシュさせてしまい、訴訟を起こされた例を知っています。その人は訴訟を回避するために、アメリカまで行って悪意がない？ことを釈明する羽目になりました。（笑）

Comments

[yuba]

法的リスクという点では、日本だとLibrahack事件がもっと印象に残ります。
この事件ではいたずら・攻撃をしたわけでもなくサーバー負荷にも配慮してアクセスするプログラムを使ったのに（サーバー側のバグにより）サーバーが落ちたことでそのプログラマが逮捕されたというもの。

サーバー管理者と警察の心証次第でどうとでもなってしまう現実、どうかお気を付けください。

[T.Kanno]

「相手の心証次第でどうにでもなってしまう」というのに激しく同意いたします。

「意図的に脆弱性を見つける目的で…」とは言っても、当事者や社会的な同意や許可がなければ問題は大きい気がしますね。

正当な依頼があっての事ならともかく、ここの家は防犯が弱そうだとピッキングして鍵が開いたぞ！と言ったら、悪意ある目的でなかったか勘ぐられるリスクは非常に大きいでしょうね。

[p_np]

ご回答ありがとうございました。
「意図的に脆弱性を見つける目的」は、よく考えてみると問題ですよね。今回は意図的に脆弱性を見つけようとしたわけではないのですが、仮にこのような行為をした場合にどのような扱いを受けるのかわからなかったため、質問させていただきました。