アカウント名:
パスワード:
> 結果として図書館側はサイバー攻撃と判断して警察へ届け出たとのことで、どうやらMDISの責任が一番大きいようです。図書館がMDISに責任を押し付けたんだろ。
もし前者(MDISは運用は受注していない)なら、DOS攻撃が来たかどうか判別する責任は本来図書館側にあるはず。 WEBサーバのログをちょっとみれば1秒以上の間隔でアクセスしてたことがわかったはずで、それすら調べなかった図書館の責任も大きいかと。
ここで医者が悪いと簡単に答えを出すのは話題のすり替えである
１秒間に一回のアクセスがサイバー攻撃に当たるかどうかが問題。止まったから犯罪ではない。もし1時間に１回のアクセスで止まったら？これでも犯罪ですか
もし1時間に１回のアクセスで止まったら？
サーバーのバグをついてサービスを継続不能にしたり落としたりするのは、よくあるDOS攻撃のパターンです。アクセス頻度は関係ありません。Slowloris とか聞いたことありませんか？極端な話、パケット１発で落ちるサーバーがあったとして、落とすことを目的にバグをつくパケットを１個送れば、犯罪です。
落とすことを目的にバグをつくパケットを１個送れば、犯罪です。
今回の事例は「落とすことを目的に」でないんだから、それは根本的に前提が違うじゃん。
今回の事例は「落とすことを目的に」でない
そう断言する根拠はなんでしょうか。
たとえば、あるサーバー上で動いているプログラムのソースが anonymous ftp で公開されていたとしましょう。そのソースを見つけた人が、DoS攻撃を可能にするバグに気づきました。その人がそのバグをついてサービスを何回も落としました。立派な犯罪ですよね。で、それが DoS攻撃として問題になった後で、ソースが anonymous ftp で公開されていることに別の人が気づき、「1秒1回しかアクセスしかしてないのにバグで落ちただけだ。DoS攻撃じゃない」と言いました。さて、DoS攻撃でない、という主張は正しいでしょうか？誤りです。落とすことを目的にアクセスして、実際に落としたんだから、犯罪でしょう。
今回のケースが上に述べた例にあてはまるかどうかは知りませんが、今まで明らかになっている事実から、「落とすことを目的にしていない」と判断できるとは思いませんね。
逮捕（たいほ）とは、捜査機関または私人が被疑者の逃亡及び罪証隠滅を防止するため強制的に身柄を拘束する行為をいう。(Wikipedia)
裁判所が令状出してるんだ。日本は法治国家だからな。そこを努々忘れないように。 法に触れないと信じ込んでる人には、どんな正当な手続きとったって文句は出るだろうよ。
ダイヤモンドの腐ったにおいがプンプンするぜぇー！
>そのソースを見つけた人が、DoS攻撃を可能にするバグに気づきました。>その人がそのバグをついてサービスを何回も落としました。立派な犯罪ですよね。
妄想乙。でも現実を見ような。
それは妄想ですね。偏った意見を述べている人たちに対して、あなたの意見は偏っていると指摘しているだけですよ。
「落とすつもりでやっているかどうかはわからない」けど、「落とすつもりでやったといえるだけの証拠がないから犯罪として裁いてはいけない」と主張するなら、それは正当な意見です。そうではなく、「落とすつもりがなかった」と言い切るなら、当然その根拠を求められます。それが出せないのなら、その意見は誤りです。
あなたがコメントをつけている #1867772で主張されているのは、「落とすつ
今回のケースが上に述べた例にあてはまるかどうかは知りませんが、
という言い回しは「本人も当てはまらないと分かっている」場合に使うものなので、常識的感性までは無くなられていないようですが、その上で非常識的な主張をなされるモチベーションがどこから来るのかちょっと興味深くはありますね。まぁどのように聞こうが応える事は無いだろうし、多大な労力を掛けて問いただそうという気も致しませんが。
#端的に書くと4文字で済む物を持って回った言い方をしてみた。
「Librahack氏の行為」とやらを具体的に定義しないままたとえ話に持っていくのも議論のすり替えでしょうね
『MDISが「システムに問題はありません」と図書館側にも言ってた』か、『MDISが「ごめんなさいバグです」と言ったら図書館が「面倒だから利用者のせいに」と言っていた』かで違ってくるんじゃない？
＃どっちもあり得る話＃後者の場合、MDISが「ここで泥を被ってくれたら来年も随意契約するよ」とか図書館に言われた可能性も
似たような業界に居るのでAC
図書館の責任はどうなるの？
なんせ本件は社会副詞施設での出来事ですから…
形容詞がたいひどい事件でした…。
新入助詞社員の営業だったら、…
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
Stableって古いって意味だっけ？ -- Debian初級
いや (スコア:0)
> 結果として図書館側はサイバー攻撃と判断して警察へ届け出たとのことで、どうやらMDISの責任が一番大きいようです。
図書館がMDISに責任を押し付けたんだろ。
Re:いや (スコア:5, 興味深い)
> 図書館がMDISに責任を押し付けたんだろ。
事実と異なる被害届を出して無実の一般人を陥れたのは図書館です。
それはもちろん多大な社会的責任があると思います。
ただ、それとは別に、三菱電機には「虚偽の説明で無実の一般人を陥れるよう誘導した」責任があります。
図書館が責任を取るべきなので三菱電機には責任が無い、とは、とてもじゃないけど言えない。
「第三者の専門家」の意見を聞いているつもりで実際には「当事者(MDIS)」の意見のみで逮捕状を取り、
偽計業務妨害に嵌めるために取調べで被疑者に圧力をかけた（被害届に合わせて犯罪を捏造した）
警察にも責任の一端はあると思います。
「被害届を鵜呑みにするのは仕方ない」とは流石に言えません。
それではどんな訴えでも訴えた者勝ちになってしまう。
現状、それら全員が責任を認めているわけではありませんし、
仮に認めたとしても、「だからどうすればいい」は非常に難しい話ですが、
ここでの「責任が一番大きい」は、冤罪に至った原因のウエイトではないでしょうか？
図書館が「あいつ気に入らないんだけど法的にやっつけれるかな？」と三菱電機に相談したならアレですが、
「システムがエラーで止まってるみたいなんで原因を調べて」で三菱電機が「あいつのせいです」と嘘をついた流れなら、
三菱電機が『無実の一般人が陥れられた事』の主因でしょう。
Re:いや (スコア:2, 参考になる)
もし前者(MDISは運用は受注していない)なら、DOS攻撃が来たかどうか判別する責任は本来図書館側にあるはず。 WEBサーバのログをちょっとみれば1秒以上の間隔でアクセスしてたことがわかったはずで、それすら調べなかった図書館の責任も大きいかと。
Re:いや (スコア:1)
Re: (スコア:0)
> WEBサーバのログをちょっとみれば1秒以上の間隔でアクセスしてたことがわかったはずで、それすら調べなかった図書館の責任も大きいかと。
導入だけでなく、その後の運用管理も三菱電機に依頼していたようですね。
無論、主体である図書館の責任は全く否定しないのですが、
図書館は専門家として信頼していた三菱電機に相談した上で「攻撃」と判断したんです。
それは調査依頼の文中に明示されていなくても、
状況把握の一環として「ログを
嫌よ嫌よも好きのうち (スコア:0)
ここで医者が悪いと簡単に答えを出すのは話題のすり替えである
Re:嫌よ嫌よも好きのうち (スコア:2, すばらしい洞察)
医者などと見当違いの置き換えをするのはまさに話題のすり替えである。
しかも、自分は調べもしていないくせに、ある程度調べている人達に対して、
「簡単に答えを出す」等と誹謗中傷をするなんて、幼稚かつ無礼な話。
三菱電機は医者ではないし、Librahack氏のクローラーからのアクセスに対しては、
問題のサーバは完全に設計通りに動作した上で、仕様不良により止まった。
三菱電機が仕様不良に気付かず、何故止まったのかも確認せずに、
安易に他人を陥れてしまったと言うだけの話だ。
もし医者が「患者の身体を100%理解している」等と大口は叩かない。
三菱電機も「自分達が開発・導入・管理しているシステムの設計を理解していません」と正直に言っていれば、
図書館側も宛てにせずに他の専門家に相談したかもしれないな。
具体的に説明しよう。
問題のシステムは、一度割り振られたDBセッションを10分間は開放しない作りで、DBセッションはCookieで保持されていた。
Cookieに対応しないエージェントがアクセスした場合、毎回新たなDBセッションを割り振るため、
すぐにDBセッションが足りなくなってしまう。
頭の良い人達の間では「DBのハンドリングが宜しくない」と議論されているが、
このシステムの作者並みに頭の悪い俺に言わせれば、こんなもんは、
利用者を「Cookie対応のエージェント」に限定したショボイ作りだったにも関わらず、
処理の最初で「Cookie非対応のエージェント」を撥ねるステップを入れておかなかった、と言う話に過ぎない。
DB周りを弄らなくても、ただ1ステップ、Cookieに対応しているかどうか確認する挙動を取らせていれば、
馬鹿みたいにDBセッションを大盤振る舞いして手札切れで止まるような事は無かった。
「Cookieを呼んで何も返って来なければ新たなユーザと見なしセッションを割り振る」
と言う設計がかなりキチガイじみている。
Cookieが「空」なのか「無効」なのかを区別しないのがおかしい。
Cookieを使うのに「Cookie非対応（あるいは抑止中）のエージェント」が想定外なんて有り得ない。
普通は「入れてみて、読んでみて、読めなければ対象外エージェントとして排除」となる。
エラー処理（この場合は単にメッセージ表示だけでいい）さえ無いあたり、
素人のフリーCGIスクリプト以下のお粗末な話だ。
自分達が作った仕組みを理解してない、サーバログも読まない、そんな連中に状況把握なんて出来るはずが無い。
医者？ 何の話だ？
Re:嫌よ嫌よも好きのうち (スコア:1, おもしろおかしい)
システムの作りが悪い？んなこたーどーでもいいんだよ。
要は、相手のシステムを何度も止めてしまったことだ。
そりゃ三菱がまともな修正してればこんな事件起きなかったさ。
でもクローラ動かしてサーバに障害与えてないかなんて普通の頭もってれば確認する。
そんな簡単なこともしないで、ショボい対策の隙をついて「何度も」サーバ止める。
悪質と疑われて当然の事例だ。当然逮捕もされるわな。
それでクローラ技術を萎縮させるだと？笑わせるな。
警察にしてみれば、システムの欠陥を利用して攻撃した、とシナリオ描いていてもいい事例。
Re: (スコア:0)
もともと、応答が悪いからゆっくりクローラをまわしてそのうち取れればいいやってのが意図じゃなかったっけ？
mdisの中の人乙、とでもいっておけばいいのかな？
Re: (スコア:0)
ああ釣りかまんまと釣られたぜ。
Re: (スコア:0)
Re: (スコア:0)
Re: (スコア:0)
１秒間に一回のアクセスがサイバー攻撃に当たるかどうかが問題。
止まったから犯罪ではない。
もし1時間に１回のアクセスで止まったら？
これでも犯罪ですか
Re: (スコア:0)
サーバーのバグをついてサービスを継続不能にしたり落としたりするのは、よくあるDOS攻撃のパターンです。アクセス頻度は関係ありません。Slowloris とか聞いたことありませんか？極端な話、パケット１発で落ちるサーバーがあったとして、落とすことを目的にバグをつくパケットを１個送れば、犯罪です。
Re:嫌よ嫌よも好きのうち (スコア:1)
今回の事例は「落とすことを目的に」でないんだから、それは根本的に前提が違うじゃん。
Re:嫌よ嫌よも好きのうち (スコア:0)
そんなことできんなら今回逮捕されなかっただろうに。
あ、図書館がログよく調べれば良かった、じゃだめだよ。
偽計業務妨害の容疑なんだから。
Re: (スコア:0)
逮捕しなくたって捜査はできますし、逮捕は「ちゃんとした捜査」のためにするんじゃありません。
Re: (スコア:0)
そう断言する根拠はなんでしょうか。
たとえば、あるサーバー上で動いているプログラムのソースが anonymous ftp で公開されていたとしましょう。そのソースを見つけた人が、DoS攻撃を可能にするバグに気づきました。その人がそのバグをついてサービスを何回も落としました。立派な犯罪ですよね。で、それが DoS攻撃として問題になった後で、ソースが anonymous ftp で公開されていることに別の人が気づき、「1秒1回しかアクセスしかしてないのにバグで落ちただけだ。DoS攻撃じゃない」と言いました。さて、DoS攻撃でない、という主張は正しいでしょうか？誤りです。落とすことを目的にアクセスして、実際に落としたんだから、犯罪でしょう。
今回のケースが上に述べた例にあてはまるかどうかは知りませんが、今まで明らかになっている事実から、「落とすことを目的にしていない」と判断できるとは思いませんね。
Re: (スコア:0)
逮捕（たいほ）とは、捜査機関または私人が被疑者の逃亡及び罪証隠滅を防止するため強制的に身柄を拘束する行為をいう。(Wikipedia)
裁判所が令状出してるんだ。日本は法治国家だからな。そこを努々忘れないように。 法に触れないと信じ込んでる人には、どんな正当な手続きとったって文句は出るだろうよ。
Re: (スコア:0)
ダイヤモンドの腐ったにおいがプンプンするぜぇー！
>そのソースを見つけた人が、DoS攻撃を可能にするバグに気づきました。
>その人がそのバグをついてサービスを何回も落としました。立派な犯罪ですよね。
妄想乙。でも現実を見ような。
Re: (スコア:0)
それは妄想ですね。偏った意見を述べている人たちに対して、あなたの意見は偏っていると指摘しているだけですよ。
「落とすつもりでやっているかどうかはわからない」けど、「落とすつもりでやったといえるだけの証拠がないから犯罪として裁いてはいけない」と主張するなら、それは正当な意見です。そうではなく、「落とすつもりがなかった」と言い切るなら、当然その根拠を求められます。それが出せないのなら、その意見は誤りです。
あなたがコメントをつけている #1867772で主張されているのは、「落とすつ
Re:嫌よ嫌よも好きのうち (スコア:1)
という言い回しは「本人も当てはまらないと分かっている」場合に使うものなので、常識的感性までは無くなられていないようですが、その上で非常識的な主張をなされるモチベーションがどこから来るのかちょっと興味深くはありますね。
まぁどのように聞こうが応える事は無いだろうし、多大な労力を掛けて問いただそうという気も致しませんが。
#端的に書くと4文字で済む物を持って回った言い方をしてみた。
Re: (スコア:0)
＞DB周りを弄らなくても、ただ1ステップ、Cookieに対応しているかどうか確認する挙動
というのは不可能です。
ブラウザが自己申告するわけじゃない＆セキュリティソフトやプロキシが勝手にヘッダを書き換えることも多いので「対応しているはず」という処理は出来ません。
しかし、CGIを直で呼び出す場合、その時点でコネクションは生成しないといけません。
よって初回はクッション動作を兼ねつつ(Cookie対応ブラウザであっても)Cookie非対応として処理する事になります。
そういう意味ではコネクション生成コストが二倍になってしまうので結局コネクションをプールして生成コストをケチるという目的からは微妙な結果になります。
原因はCookie非対応を想定していないからではありません。
DB接続数限界を想定せず、再利用機構を持たないプールを実装したことが原因です。
#まぁ医者の喩えがクソなのは同意する。
Re: (スコア:0)
「Librahack氏の行為」とやらを具体的に定義しないままたとえ話に
持っていくのも議論のすり替えでしょうね
Re:いや (スコア:1, 興味深い)
『MDISが「システムに問題はありません」と図書館側にも言ってた』か、『MDISが「ごめんなさいバグです」と言ったら図書館が「面倒だから利用者のせいに」と言っていた』かで違ってくるんじゃない？
＃どっちもあり得る話
＃後者の場合、MDISが「ここで泥を被ってくれたら来年も随意契約するよ」とか図書館に言われた可能性も
似たような業界に居るのでAC
判断した人 (スコア:0)
図書館の責任はどうなるの？
Re: (スコア:0)
営業的理由では? (スコア:0)
Re:営業的理由では? (スコア:2, 参考になる)
岡崎市立中央図書館事件 [wikipedia.org]
Re:営業的理由では? (スコア:1)
Re: (スコア:0)
Re:営業的理由では? (スコア:5, おもしろおかしい)
それは困った。動詞よう‥
Re:営業的理由では? (スコア:1, おもしろおかしい)
なんせ本件は社会副詞施設での出来事ですから…
Re:営業的理由では? (スコア:3, おもしろおかしい)
形容詞がたいひどい事件でした…。
Re: (スコア:0)
Re: (スコア:0)
新入助詞社員の営業だったら、…
Re: (スコア:0)
Re: (スコア:0)
Re: (スコア:0)