K's Diary @ cocolog

各所で話題にあがっている朝日新聞に今更取り上げられたセキュリティ問題の話、結局、なんで今更あがったんだろう。
http://www.asahi.com/national/update/0104/003.htmlとりあえず新聞読んでて明らかにおかしいと感じたのは次のQA。（slashdotよりコピペ）

(記)サイトを守る側から指摘を続けるべきでは?
(o)一度バイトで引きうけたが楽しくなかった。脆弱さを指摘した相手の対応の仕方に興味がある。(サイトに入るための)攻撃コマンドが決まったときはすかっとする。

なんか問いと答えがあってないし、多分、この前に「何度もメールを送ったけれど対応してくれなかった」というのが理由に入っているんじゃないかと思うんだが。って、あ、今回は送ってないのか。
まあ、それでも、この方がサイトで公表されていることとは食い違うか？

今回の件が今頃出てきたのは……なぜだろう。セキュリティの不備は公開してはいけないということを周知徹底させるため？ 住基ネットの絡みだったりして。住基のセキュリティが危なくても公開しては駄目だよ、とか。

実際問題、結構前からこれって問題になっている話。確か通報してから1週間だったか、10日だったかの間は様子を見て、その間に反応が全くなければ公開してもいいというルールを誰かが提唱してなかったっけ？
問題は現在はチェックすることが不正アクセス禁止法にひっかかるということか。少なくとも実演は無理。ということは、やっぱり国か警察かにこれに対応した部署が欲しいかも。見つけたらそれを通報するわけだ。そして通報が行われていれば、おとがめ無しとする。……国じゃだれも通報しないか。第三者機関をつくって、匿名での通報を可能にすると言うのが理想的かな。
そして、そこからの指摘があった場合、サイト側は適切な期間（10日程度）内に修正を行わなければならず、その期間が過ぎたら、第三者機関のWebサイトで公開されるようにする。その期間内では無理な修正であった場合は、期間の延長も有りとする。（そのために技術に詳しい人間が機関に必要）

なんか、サーバー管理者資格制度への道を開きそうだな。