ワクチンをサーバに無断で仕込むことは善か悪か 41
ストーリー by wakatono
オレは決して悪いことではないとは思うが 部門より
オレは決して悪いことではないとは思うが 部門より
k3c 曰く，"CodeRedのように、サーバソフトの弱点を突いたワームが流行するたびに聞かれる提案がある。「ワームに対抗するワクチンも流行させてはどうか」というものだ。ワームが突く弱点と同じ弱点を突いて侵入し、但し悪さはせずにその弱点を埋める改造を施して無害化するワーム（のようなもの）を作って広めようというのだ。
技術的に可能かどうかという議論はともかくとして、このような手法にはいろいろなツッコミの余地があると思う。他人のコンピュータ内部のファイルを勝手に改変していいのか、法的に許されるのか、特例的に認める法律を作ってはどうか、などなど…。/.-Jの皆さんはどうお考えだろうか、ご意見を伺いたい。"
管理者からしたら、自分で把握できているもの以外（ちゃんと管理されていないものは）ワクチンもウィルスも同じという考え方もある。さて、読んでる方々はどういう意見をお持ちか？
善か悪かは置いといて (スコア:3, 参考になる)
k3cさんがタレコんでくれたんですが、
反応してくれた日記で、
セキュリティを気にしない人がもっとセキュリティを気にしなくなる
という問題点が指摘されております。
＃後にオリジナルじゃないと判明しまいしたが
ただ、
セキュリティを気にしない人にあてるパッチはないので、
これはもうどうしょうもないんじゃないかと思いますが。
一度痛い目を見たほうがいいのさ！ふははー！
という意見もありますが、
これは程度の問題もありますし、
どちらかというと他の人々が蒙る迷惑の方が大きそうですよねぇ。
Re:疑問 (スコア:3, 興味深い)
以前にも、バックドアを閉じてくれる親切なワームが作成されたと伺ったことはありますが、その変種で、バックドアを閉じてそれから別のバックドアを開くワームが出てきたりと、いたちごっこの様相を呈しているものもあるようです。
コンピューターウィルスといえどプログラムという制作物であって、かつ、悪戯という向きもありますから、そういった裏技を許さないようなＯＳ（など）の設計が必要なのかもしれません（今となっては手遅れですけれど、これからの開発に生かすという意味で）。やはりパッチをあてるという地道な作業以外には道はないようにも思えますし、場合によっては「セキュリティは破られてしまう可能性がある」ことを前提として常に認識して、コンピュータを利用するのが重要かもしれないですの。
力は、使い方によって毒にも薬にもなります。モラルと、予防と、啓蒙と、リスク管理をしっかりしないといけないですの。
-------- SORAMINE Yukino
「善玉ウィルス」と「悪玉ウィルス」 (スコア:3, すばらしい洞察)
価値判断のよりどころ（価値）は社会システムの側に存するのであり、これをまるごとコンピュータシステムに導入することは至難と言えましょう。
Re:「技術的に可能かどうか」って.... (スコア:3, すばらしい洞察)
思う以前に気が付かないんじゃないかな？(笑)
Re:善か悪かは置いといて (スコア:3, すばらしい洞察)
> これはもうどうしょうもないんじゃないかと思いますが。
はい、本当に難しいと思います…。実際、“いかに自分が仕事をしているように見せるか”というところで行動している人が責任者だったりする場合、セキュリティ問題は「被害が誰にどう及ぶか」とか「被害を最小限に押さえよう」などと考える対象のものではなく、「いかに周りに問題そのものを気づかせないか」あるいは「いかにうまく問題を自分が押さえたかの見せ場」と考える対象の出来事だったりするようなので、問題について打ち合わせしていても話が全く噛み合いません。一度だけですが、これの極端な例に出会っています…
こういったことはその人の生き方の話なので、そこを非難する気は毛頭ないのですが、プロジェクトの一員としてはかなり参りました。（最初、演技かジョークかと思っていたのですが本気だったようなので本当に驚いた。その人自身も自身にだまされているのでは？と思うほどだった。）
> 一度痛い目を見たほうがいいのさ！ふははー！
> という意見もありますが、
> これは程度の問題もありますし、
> どちらかというと他の人々が蒙る迷惑の方が大きそうですよねぇ。
そうなんです。痛い目を見ても、といいますか、事故が起きても、周りにうまく説明して、なんと納得させてしまいます。極端に大きな事故ならばそうもいかないでしょうが、そうでない場合＆周りが事情に詳しくない部署の場合、みんな自分の仕事で手一杯で忙しいですから、自信に満ちた態度で「専門家」に説明されると簡単に…だまされちゃうんですね。そして場合によっては感謝までされてます(苦笑)。
この件では私もいろいろ学びました。「セキュリティを気にする」という行為は、例えば「落ちた林檎を拾う」という行為を身につけるのとは桁違いに複雑（←適切な表現ではないと思うのですがいい言葉が浮かばずすみません）で、前者は、生まれてからこれまでの生き方の積み重ねの反映と言える部分がかなり大きいと思うのです。よって、「林檎が落ちたら拾え」は習慣づけるのも簡単ですが、一言「セキュリティを気にしろ」と上司が担当者に言っても改善は難しいと思うのです。気にしろと言われて気にするような人は、言われる前にもうとっくに気にしていると思われます…
一方、「セキュリティという問題の存在を知る」は「セキュリティを気にする」とはまた別の問題で、こちらの場合、本当なら気にするところを、問題の存在すら知らなかったためにまだ気にしていなかっただけ、という人もいる可能性があります。ですので、セキュリティという問題があり、それはこれほど重大なのだ、という事実について広める行動は、こちらはきっと成果を得られると思います（私も機会をとらえてしています）。
が、「セキュリティを気にする」べきだという働きかけについては…、こちらは「セキュリティという問題の存在を知る」必要があるという問題と切り離して取り組むべき問題だと思われます。すなわち例えば、話が大きくなりますが、小学生のあたりから学んでもいいかもしれません（もっと幼い時からの方がよいかもしれませんが）。単純に、“そういうことを意識する機会がないまま大人になってしまったので意識する癖がついてません”というケースは減らせるかと思いますし、今後セキュリティ意識の重要さはますます増しそうですので。
最終的にはその人次第だと思いますのでとやかく言えませんが、せめてちょっと先を歩いている者として、後輩たち（子どもたち）には、こういうことを意識してみてごらん、どんなことが見える？どう思う？…と働きかけることはしたいなあと個人的には思います。解釈は子どもたちに任せますし、優秀なハッカーになるか犯罪者になるかは自由ですが、意識するきっかけに出会うチャンスは増やしてあげたいです。
本題からずれてしまいましたが、、せめて親コメントにポイントを戻しますと、、
> セキュリティを気にしない人がもっとセキュリティを気にしなくなる
はい、これは私の出会ったことのある人の場合は間違いなくこうなると思います。責任転嫁もしやすくなりますしね…。私の現時点での結論は、
です。
CodeRed コレは罪？ (スコア:2, 参考になる)
にアクセスすると説明があるが、CodeRedに感染していると、IISを停止させて、再起動するというものがあります。
perlで作成されていて、CGIとして動作させるのですが、
こちらからは一切侵入しないで、相手が入ってきたときに
相手が自分でCGIを実行してシャットダウンするというのは、犯罪なのでしょうか？
Re:CodeRed コレは罪？ (スコア:2, 参考になる)
まあスクリプト読んでみてください。
要はcgiでcgiのアクセス元(≒感染しているIIS)にHTTPのリクエストを送りつけてるだけなので、手作業でアタックをかけているのとたいして変わりません。
このcgiが問題なければ、手作業でroot.exe動かすのも問題ないことになると思います。
昔の記事ですが (スコア:2, 参考になる)
// ウイルスでウイルスを制する方法の欺瞞
パッチの当てられたマシンからみたら邪魔になりそうですね。
「もうパッチ当てられてるのにまたワームのアタックだ！」とか。
ところで、同じ弱点を突くとして「善玉ウィルス」と「悪玉ウィルス」（爆）を見比べる方法ってあるんですかね。どっちか判断がつくような人はすでにパッチ当ててるだろうし。
# ウィルスとワームがごっちゃになってるのは勘弁（;´Д`）
「技術的に可能かどうか」って.... (スコア:2, 参考になる)
勝手にシステムをいじられて気にしない人ってのは Unix ユーザとか "/." 読者には少ないと思いますけど、一般的にもそうなんでしょうかね？ウィルスチェッカーとか SP, Hotfix, Windows Update とかだって、ある意味そんなに変わらないですよね。システムのどこをどう変えられたかなんて全然わからない。むしろ、そういうことに全く興味の無い人は、「自動でやってくれるなら、そっちの方が便利じゃん」とか思ってもおかしくないような...
Re:「善玉ウィルス」と「悪玉ウィルス」 (スコア:2, すばらしい洞察)
＃SONYのモニターとPanasonicのトランシーバが日本の最大の軍需産業なのさヾ(^_^;;;
面白いアイディアだけど・・・ (スコア:2, 参考になる)
でも、ワクチンには、その性質上、許されないわけですよね。もっと精密に動作する必要があるし、robust でなくちゃいけない。
普通のプログラムでさえ、モジュール間の干渉なりで不具合がおきる世界なのに、こんなものが出てくると、ますます正体不明のバグがおきそうな気がして怖いですね。
いずれにせよ、「自分のマシンに、自分の知らないことが起こる」というのが、精神衛生上、とてもよろしくないです。
それが善意であれ、悪意であれ。
と、いうわけで、私は反対です。
DoS Attack (スコア:2)
# DoSというよりDDoSか？
仮にそうしたものを作成すると考えた場合、
・統制のとれた行動が保証されている(DoS Attack抑制のため)。
・確実に自己消滅する。長居しない。
・スキャン範囲が厳密に定義されている。
・No welcomeなサーバに対しては、挨拶だけして自己消滅(プロトコルの規定)。
ざっと思いつく範囲でこの程度はクリアされている必要があると思います。
ただし、上のような問題をクリアしていたとしても、進入先のサーバの資源をことわりもなく使用している事実にはかわりがないですし、全く別の地雷を踏む可能性が否定できないので、方々の管理者の了解を得るのは困難だと思います。
# 私自身も否定的立場です。
Re:侵入される側の意志次第 (スコア:2)
というか、結局、二者間に合意と信頼関係があるんだったらそういうまっとうなアクセス手段を用意して管理者権限を一部付与してしまえばいいわけだからワームみたいな危なっかしいメカニズムに頼る必要もない、という気はしますね。
エンバグしてたら？ (スコア:1)
疑問 (スコア:1)
あらゆる状態のシステムに対して無害なモノであり得るんでしょうか？
万が一そのワクチンが原因で不具合発生、なんてコトになったら
責任の所在とかはどうなるんでしょうか？
Re:CodeRed コレは罪？ (スコア:1)
Re:疑問 (スコア:1)
(あ、うちではありません)
Re:疑問 (スコア:1)
あらゆるクスリは毒にもなりうる。
新パラダイムとして (スコア:1, 参考になる)
Re:「善玉ウィルス」と「悪玉ウィルス」 (スコア:1)
「善悪はそれを用いる人の心にあり」、科学者が使う詭弁じゃー!
……すんません、ほんの出来心です。
Re:侵入される側の意志次第 (スコア:1)
それって、いわゆるアンチウィルスソフト的なものじゃないですか?
pushかpullかは違いますけど。
正邪と善悪 (スコア:1)
それは正義の条件を満たす可能性があると思います。
＃その蔭に小数派の迷惑が伴ったとしても。
善悪の基準は、思想/倫理感等によって十人十色だと思います…。
「余計なお世話、既に対処済」という声が多数派となって、
確かな根拠をもって「そんなものは不要である」と言える状況に
なって欲しいものです。
Re:「善玉ウィルス」と「悪玉ウィルス」 (スコア:1)
そのネタ懐かしすぎます(^^;;;;; Beautiful Dreamerやね。
Re:CodeRed コレは罪？ (スコア:1)
人間相手でも、「正当防衛」が成立するのは「過剰防衛」にならない場合に限ります。
この場合も、せいぜい相手に注意を喚起する程度までが、「サイバー正当防衛」の範囲かなぁ、と思っています。
私も CodeRed 騒ぎの時には逆襲 CGI を書かせていただきましたが、これはアウトだろう、と思います。
例えば、この逆襲された IIS が何らかの EC サイトで、それなりの注文を捌いて利益を上げていたとします。
それを有無を言わさず停止させてしまうのですから、相手から相応の損害賠償を請求されても文句は言えません。
もちろんその攻撃元サイトがまき散らす迷惑を放っておいて良い、という意味ではありませんが、自分が直接手を下すのは良くないかなぁ、と。
kaokun
ヘタレだけど (スコア:1)
Re:新パラダイムとして (スコア:1)
それが、また、国によって法律が違うもんだから、同じ事でも何処のサーバーに置くかで合法/非合法がわかれたり、どの国の人が置いたか、主な対象がどの国の人かでまたまた合法/非合法がわかれたりとむちゃくちゃになってしまってますね。
メインのパッチをあてるワームも、国ごとの法律によって合法/非合法がわかれるんじゃないでしょうか。
それと、ワーム＝悪って勧善懲悪論も、安全対策を行う気を起こさせる為に悪の存在が必要なのでしょうが、それは、対策を行ってもらいたい一般人向けだけで、対策を考える人々の間まで悪だと印象つける必要はありません。
あくまでもワームが技術であって、それが何をするかでしょうね。
ワームに感染してアタックしまっくってるサーバーを攻撃して黙らせるのは、結果としてトラフィック低減に役立つはずです。
逆にワクチンのデータ更新も度が過ぎればワームと同じ症状を引き起こします。（実際、更新のせいで他の業務に支障が出て困ってます）
この辺の一般者向けの理論で法律まで動かれてはいずれ対策まで違法になってしまいます。
実際、ワクチンのウイルスを探す手順って技術的には悪い事ってされてる物と同じですしね。（メールを盗聴してるのと同じ）
ワクチンをワームにするのは反対。 (スコア:1)
・ワームのスキャンに対し、相手の管理者にメールを出すのはＯＫ
・逆襲して、ワームをパッチして無害化するのは、グレーゾーンだがＯＫ
・ワームを止めるために相手の計算機やサービスを止めるのはだめ。
・ワクチンをワームにするのはだめ
こんな感覚です。
kaokun
Re:薬には副作用も。 (スコア:1)
薬には副作用もあります。
ＣｏｄｅＲｅｄのパッチも、ＳＰ２が前提でしたので、びくびくしながらＳＰ２を入れて、それからＭＳ０１－３３を当てました。
パッチの場合は、バグを減らしてくれますが、ＳＰではよく新機能を追加してバグを増やしてくれる事が多いだけに、当初の予定では、半年ほど様子を見てから当てる予定が、早急に当てる事になって、今回のＣｏｄｅＲｅｄの対策はとても怖かったです。
ＮＴ４では、本当に副作用が出てますね。
そうそう、Ｗｉｎ２ＫをＳＰ１にしたとき、ＰＤやＣＤ－Ｒが突然使えなくなくなりました。その問題の原因がＳＰ２で解消されたって聞いたら、本当に大丈夫か？って酷い目にあってるだけに思いますよねぇ。
先行者は既にいたりします (スコア:1)
[Code Redの脅威は消えず(ZDNN)]
Mc.N
ワクチンもワームも (スコア:1)
＃弱毒化したワームをばらまいて、穴を機能させなくする、ってのはすぐにでも出てきそうだが。
みんつ
それをするくらいなら、 (スコア:1)
そのほうが、そのサーバーの管理人のためでしょうから。
落ちていても気がつかないのなら、それもまた、一興。
ペシミスティックな未来。 (スコア:1)
アイデアとしては間違いなく止めるべきだと思うし、そんなワクチンが自分のサーヴァに勝手につっこまれるのも絶対イヤだ。それに法的にはかなり濃いグレーだろうし。
それでも、世界中の家庭がインターネットにつながって、そのときまで M$ 社が繁栄していたら・・そういうのも仕方ないかな、とは少し思う。正直に。だって、今ですら html メール送ってくる奴とか、本当になんにも知らねぇんだなぁ、って人は恐ろしいほどの数、居るから。そういうのが全員教化されるなんてあり得ない。
と言うわけで、ワクチンアタックが認可されるヒントを考えてみた。
どうでしょうかね？まぁ人が集まって政治的思惑の働かない場所、と言うのだけはあり得ないかな。他にもヒント思いつきます？
本物の生物と同様にイタチごっこは継続される？ (スコア:1)
ウイルスを制するウイルスを正当化すると、かえって拡散や増殖の手法が巧妙化して事態が複雑化するような気がします。
コンピューター科学的には価値があるかもしれませんが、普通の利用者にとってはつらいかも。
Re:疑問 (スコア:0)
その不具合はSP5で解消されるとの情報があったのでSP5入れるように言ったが、
基幹業務ソフトがSP4までしか動作保証されていないとのことで途方にくれたことを覚えている。
（当時、SP5が最新だった）
あの後、彼らはどうしたのだろうか？
侵入される側の意志次第 (スコア:0)
当事者間での侵入の合意があれば罪にはならないわけだから、ワクチンに来て欲しい、と思っているサイトの管理者は、たとえばどこかのサイトに登録しておく、とかいうやりかたもあるかと思う。もっとも、Webで登録となると、今度は別の問題が出てくると思うので、Web以外の方法で当事者間の同意がきちんと取れる方法を選ぶべきだと思いますが。まだ、詳しい方法は考えつかないけど。
よけいなモノ (スコア:0)
>あらゆるクスリは毒にもなりうる。
無害なものは毒でもクスリでもないですよ
CodeRedネタが多いけど、 (スコア:0)
そうであった場合、Ramenが一体何と名付けられていたか、
歴史に「if」が無意味であると言われても興味がある。
Re:侵入される側の意志次第 (スコア:0)
同意。
話をWindows系に限定します。 (スコア:0)
あれ以上に信頼できないからくりはないな。
#DELLのマニュアルにはWindowsUpdateに起因する不具合は保証対象外ですとまで書かれていたし。
昔のハッカーとやってることは同じ？ (スコア:0)
かといって、それが正義であるわけでは決してなくどっちかというと非常にダークな感じ。
リスクを負ってまで教えてくれるという所が自分はハッカーのかっこよさだと思っているので、それが「正義」と明文化されたら非常にうさんくさくて、非常にイヤになると思う。
Re:ワクチンをワームにするのは反対。 (スコア:0)
CodeRedに限って言えば、感染に気づいていない個人の常時接続回線が多い模様であり、言い換えれば今後もパッチを当てる可能性がかなり少ないということ。
せめて迎撃ぐらいしないことには…。
ワクチンをワームにすることは本末転倒も甚だしく、まったく無意味ですね。