大規模接種センターの予約システム、予約番号も地域も関係なく誰でも予約が可能な欠陥 358
ストーリー by nagazou
適当すぎる 部門より
適当すぎる 部門より
すでに二重予約を防止できないなどの問題が判明している大規模接種センターだが、新たな問題が判明したようだ。同センターの予約が17日からスタートしているが、この予約は年齢などに関係なく誰でも何度でも予約可能な状態になっているという（AERAdot、NHK）。
同サイトでは市町村コード（6桁）と接種券番号（10桁）に加えて自身の生年月日を入力、接種枠の空きがある日時を選び、予約を行える仕組みとなっている。しかし、AERAdotなどの記事によれば、市区町村コードも10桁の接種券番号も生年月日もすべてでたらめな番号であっても予約が取れてしまったとしている。NHKによれば、短期間で予約システムを構築したことから、対象地域の自治体の接種券の番号をシステムとひも付けすることはできなかったとしている。
なお実在しない番号で予約ができていても、会場では接種券を提示しなければ接種は受けられないとしているが、ワクチンは当日、予約人数分確保されていると思われるため、一部が無駄になってしまう可能性もあると思われる。なおTwitterで「SQLインジェクションできる」「同じ番号入れるとその前の予約がキャンセル」「torでも予約できる」など様々な報告が上がっている模様（Togetter）。
Dharma-store 曰く、
同サイトでは市町村コード（6桁）と接種券番号（10桁）に加えて自身の生年月日を入力、接種枠の空きがある日時を選び、予約を行える仕組みとなっている。しかし、AERAdotなどの記事によれば、市区町村コードも10桁の接種券番号も生年月日もすべてでたらめな番号であっても予約が取れてしまったとしている。NHKによれば、短期間で予約システムを構築したことから、対象地域の自治体の接種券の番号をシステムとひも付けすることはできなかったとしている。
なお実在しない番号で予約ができていても、会場では接種券を提示しなければ接種は受けられないとしているが、ワクチンは当日、予約人数分確保されていると思われるため、一部が無駄になってしまう可能性もあると思われる。なおTwitterで「SQLインジェクションできる」「同じ番号入れるとその前の予約がキャンセル」「torでも予約できる」など様々な報告が上がっている模様（Togetter）。
Dharma-store 曰く、
ワクチン大規模接種 架空番号で予約可能状態 適正入力呼びかけ
https://www3.nhk.or.jp/news/html/20210517/k10013036311000.html番号は何でも良いから10桁打ち込むと、予約画面に進めてしまう恐ろしい仕様。
NHKのニュースで予約に関して報じていたとき、0123456789で予約画面に進んでいたのですが、
ああ、アレはダミーなんだなと思っていたのです。でも実はその時点で、
こんなザルを満天下に知らしめていたのだなぁと改めて思う次第。今回はマイナンバーとか使って無いんですねぇ……
予約だけ取って、その権利を売りつけるような輩が出ないことを願います。
何しろ予約は出来ているので、これはだまされそう。まぁ、それで会場に行ってみたら、番号も名前もみんな違っている
謎の予約者が現れたと一騒ぎになるものの、確かに予約はされているし
注射の用意もされているから打っちゃうかということになるかどうか。
ほんと、この国はナニならまともに作れるんだ (スコア:5, すばらしい洞察)
「東京 ワクチン大規模接種 架空番号で予約可能な状態 改修困難」
運用でカバー！
https://www3.nhk.or.jp/news/html/20210517/k10013036311000.html [nhk.or.jp]
からの
↓
「対応可能な範囲で改修を検討」
そして
↓
岸防衛大臣「朝日・毎日新聞記者は虚偽入力を行っておりきわめて悪質」
https://twitter.com/KishiNobuo/status/1394440062125805572 [twitter.com]
『マスゴミ』を悪役にして怒りを躱そうとしてますけど逆ギレもいいとこでしょこんなの
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2, すばらしい洞察)
最初に防衛省に問い合わせて許可もらってから記事にするでしょ
こんな脆弱性がありますって断りもなしに記事にするのってどうなのよ
Re:ほんと、この国はナニならまともに作れるんだ (スコア:5, すばらしい洞察)
許可さえ出さなければ永久に脆弱性を放置できてしまうことになってしまいますので、許可が必要というルールはありえないです。
ゼロデイ攻撃を抑止するという観点から、通常の脆弱性報告手順だと直接なりIPAを経由するなりして報告し、修正されるか一定期間放置されたら公表、というのが一応業界的には正しい手順となっています。
今回の場合は防衛省側には記事の前に話が行っていたわけですから、公表まで待ってやる時間が適切だったかどうかというところが問題になります。
今回の件だと申込開始直後からチェックガバガバとして5chで祭りになっていた、つまり既にゼロデイ攻撃が始まっていたわけですから、即時公開やむなしという判断も絶対なしとは言えません。
とはいえ一般論を言えば24時間くらいは待ってやれよとは思います。
そもそも論としては、(我々の認識と違って)この問題はゼロデイ公表が悪なのだという話になっていません。そこを叩くのなら分かるんですけどね。
政府の怒りは「朝日が不具合を発見した」「検証した」ことに向かっており、これはセキュリティ屋さん的な観点で言えば「おっとサイバーノーガード戦法っすか？」って話にはなってしまいます。
問題の発生ではなく問題の発覚を問題視するのが実に日本的だなぁと。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
脆弱性じゃなく仕様ですって返ってくるんだから公開されてもなにも困らないじゃん。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
防衛省関係者が内部告発したのをマスコミが記事にしてるんやで。。。
記事にしてもいいですかって聞かれたらダメっていうだろうし
内部告発によると修正するつもりもなかったそうだから不具合報告しても意味ないだろうね。
国民の大多数が利用してる最中に問題が起きるより早期に報道してもらって逆に良かったと思うよ。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
許可が出なかったら公益のために公開するのが当たり前
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2, 興味深い)
岸防衛大臣の発言は正しい
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2, すばらしい洞察)
防衛省の内部告発をもとに検証してそのあと元に戻してる。
関係者内で話が広がってるので早晩攻撃に利用されることが予測できるから
かなり公共性の高い報道では？
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2, すばらしい洞察)
やった時点でアウトだよ
自己正当化甚だしい態度はまさか報道関係者かな？
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
いやオープン早々に5chで祭りになってたんすよ。
「自分の家族の番が来た時のために操作方法を確認しとこ」という人が実際に触ってみたらノーチェックと気付いてしまったという。
普通に考えたら発覚しないわけないですよね。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
支持者向けアナウンスとして「朝日と毎日が異常なのだということにしないといけない」からでしょうね。
ぶっちゃけ実際のサイトがどんなものか各メディアは触って確認してみているでしょうし、本物の老人を適当に人柱にするのでなければとりあえずダミーの数字入れてエラーで引っかかるまで画面遷移を見てみるというのはむしろ当然のように行われているでしょう。
産経あたりは実際のサイトを触りすらせずにエアプで翼賛記事書いたりするかもしれませんが……
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2)
責任を取らなければならない
最低でも紙面での謝罪と社員教育の徹底、今後の対応の明確化は必要だろう
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
何やらせてもまともな仕事が出来ない政府与党のせいだろ
お前みたいな何が何でも自民党擁護する豚がこんなポンコツ政府をつくったんだろうが
日本人なら日本の伝統に則って潔く責任とって腹切って氏ね
Re:ほんと、この国はナニならまともに作れるんだ (スコア:3)
自民以外がやってうまくいくの？いかないんだよなぁ
「うまく行かなかったら交代」って仕組みが働いてないからド下手な奴が延々やってるんだぞ
Re:ほんと、この国はナニならまともに作れるんだ (スコア:2)
安倍さんそこまで嫌いじゃないが、新しい人にしたいなぁ
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
拙速だからダメというのですね？
拙速も何も、去年一年間ワクチン接種システム作る時間あったじゃないですか。何やってたんですか去年一年？
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
それは与党に批判的な目を向けて監視するというメディアの真っ当な機能を果たしているということではないですかね。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
simonの書き込むことに必ずモデ入れるアホが毎回2人いるんで
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
ちょっと待って。光るところに闇ありというけど、スラドに光ってあるの？
髪の話以外で。
Re:ほんと、この国はナニならまともに作れるんだ (スコア:1)
// いきなりネタコメントの種塞がれたのでヤケ
チェックデジット必須にしよう (スコア:2)
いやー今更厚労省には無理か
デジタル庁とやらに期待するしかないのか
Re:チェックデジット必須にしよう (スコア:1)
Re:チェックデジット必須にしよう (スコア:2)
個人情報保護法の対象外なので普通にデータは持てるそうですね
https://twitter.com/HiromitsuTakagi/status/1394451693144662018 [twitter.com]
Re:チェックデジット必須にしよう (スコア:2)
マイナンバーは全員持ってるでしょ
でもマイナンバーを書かせることはできないんだよなぁきっと
Re:チェックデジット必須にしよう (スコア:2)
マスコミが何を言おうが安保法制は変えたし日本学術会議の任命拒否はそのままやろｗ
単に政権が無能なだけだ
Re:チェックデジット必須にしよう (スコア:2)
時間がかかるのは民主主義の宿命だ
嫌なら北朝鮮にでも行くんだなｗ
Re:チェックデジット必須にしよう (スコア:2)
発番ソフトでも渡せばよろしいんではないでしょうか
軍隊に余計なセキュリティはない (スコア:2)
だから軍隊ではセキュリティは必要最小限なものだけを人の目ベースで厳重にかけるという形になる。
別人に予防接種打ったり1回余計に打ったりしても別に死ぬわけじゃないからそういうのはスルーする。
Re:軍隊に余計なセキュリティはない (スコア:1)
こういう大規模な情報処理システムと装備品を同列で比べるのはかなり違和感がある。
軍の性質について思いつきで言われてるようですけど、「軍隊ではセキュリティは必要最低限」の根拠とかあるんですか？
むしろ、最近の軍隊ではコンプライアンス遵守や情報漏洩対策などが重視されていて、死ぬかどうかで判断するような質実剛健の塊みたいな基準はそこまでないと思いますけど…
Re:軍隊に余計なセキュリティはない (スコア:2)
コンプライアンス遵守や情報漏洩対策などが重視される大規模な情報処理システムという意識はないのでは
Re:軍隊に余計なセキュリティはない (スコア:1)
チェック要らないなら、Google Formsで10分で作れない? という疑問が…
不正アクセス (スコア:2)
現場にいる同志は Ｘ日で作れ！とか言われて困ったでしょうね。
簡単な バリデーションは実装したほうがいいし、
あらためて時間をかけて、強化していけばいい。足りない部分を素直に認めた岸防衛相には好感を持ちました。
それは置いといて、今回のマスコミの行為が法に触れるかが話題になってます。
「大規模接種予約システムに許諾なしに嘘の予約を入れる行為」って、どっかの法に触れてないか？という話
https://togetter.com/li/1716155 [togetter.com]
法にふれなくても、わざわざ現場を混乱させる手順を、困った人たちに教える行為が良いこととは思わない。
Re:不正アクセス (スコア:2)
１年たてば、あなたも通常の３倍の仕事ができたかもしれません。１年あるんですから。
それと、
アメリカでは予約なしでワクチン打てます。
日本もそれぐらい確保できると思われてました。
さて、予約システムが必要となったのはいつでしょう？
防衛省「悪いのは欠陥を広めたマスゴミ！」 (スコア:2, すばらしい洞察)
いや、番号間違えて入力した人とかどうするつもりだったんだ…
Re:防衛省「悪いのは欠陥を広めたマスゴミ！」 (スコア:1)
今回マスコミの行為のどこが犯罪なんでしょうか
加藤官房長官は先ほどの会見で「大量」「悪質」「架空予約」に対しては法的措置を「検討」との政府見解を述べました
つまりそのレベルでも犯罪とは明言していないようですね
朝日・毎日・日経の記事を読む限り上記の３要件とも満たしておらず(予約はキャンセル)
国防にもかかわる省庁のシステムの問題を公知させたことはむしろ今後の被害を未然に防ぐ国益だとも思えますが
SQLインジェクションはアウトでは (スコア:2)
SQLインジェクションが可能って誰が実施したんだろう。
脆弱性検査を依頼されてやったならともかく、確実に法的にアウトな案件では。
徳丸浩さんもツイートしてるけど
AND 1=1を付けてみた程度ならともかく、更新系が可能って確認した人がいたら真っ黒でしょう。
--------------------
/* SHADOWFIRE */
Re:SQLインジェクションはアウトでは (スコア:1)
ソースは以下
【悲報】東京ワクチン大規模接種センターの予約システムに重大”欠陥”「誰でも何度でも」 ジャップｗ★2 [738765952] [5ch.net]
【悲報】東京ワクチン大規模接種センターの予約システムに重大”欠陥”「誰でも･･何度でも･･」 ジャップｗ★3 [628044343] [5ch.net]
これだけ書き込みを重ねていても一切証拠は貼ってないのと、実際にTRUNCATE（全行削除のSQL命令）されて予約情報が消えたという話も出てないので、注目を集めたいスクリプトキディの虚言の可能性が濃厚
なぜなぜ分析かけた方がよさげ (スコア:1)
この手の地方自治体が絡むトラブルって、見えてる場所だけ追求してもボトルネックまでたどり着かない。
なぜなぜ分析的な因果関係を深くたどる調査をしないと体質改善のための方策も練れないし、対処も出来ないんじゃないか。
なんでそんな変な仕様になっているのかを「手抜き」で済ませると、ボトルネックが放置されるので同種の問題が再発する。
これ、いろんなところでおきてる「あるある」ネタだと思う
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
Re:なぜなぜ分析かけた方がよさげ (スコア:1)
せめて半年前から動いていればと思う。
なんでウィルス接種が始まってから動いてるんだ・・・
＃ 自治体任せのつもりだったから！というのはわかってるけど。
Re:市区町村コードくらいは (スコア:1, すばらしい洞察)
接種券番号自体は自治体主管で総務省すら把握してないからしょうがないというのは百歩譲っても、
2020年6月生まれでも予約できるとかなんなら2月31日でも予約できるとかシステムとすら呼べないデザインモックレベルなのは言い訳のしようも無いというか。
これで毎日や朝日の記事を叩くのは逆ギレでしかない。
Re:市区町村コードくらいは (スコア:2)
これはひょっとしたらあるのかもしれない
「描いた通りのものを入れるべきで、勝手に修正するべきじゃない」
とうるさい客に会ったことがあるので…
2月31日と書きたい人が書けないシステムはダメ
そういう判断する人がいたのかも
Re:市区町村コードくらいは (スコア:1)
システム開発の教科書でいいかい？
Re:万引き犯と同レベルのAERA (スコア:1)
こんな糞システムで公開した奴が悪いわ
Re:万引き犯と同レベルのAERA (スコア:1, すばらしい洞察)
普通は記事にする前にバグについて問い合わせて時間置いてから情報公開しますよね。
こんなことやってるから情報の信用度も減っていくんでしょうね。
Re:うーむ (スコア:2)
大規模接種センターの開設式で、中山泰秀防衛副大臣は
> 「国民の命と暮らしを守り抜く、わが国最後のとりでとして、
> その力をいかんなく発揮するときだ」と激励
東京大規模接種センターを報道陣に公開 「官民一丸で任務完遂」（産経新聞） - Yahoo!ニュース
https://news.yahoo.co.jp/articles/a79f8b1b149aa6f9d385feff0a44f5128e7c8d42 [yahoo.co.jp]
したそうです。
個人的には、これを「最後の砦」にされるのはなぁと思っていたのですが、
砦はあっけなく突破されてしまったのでしょうか。
できれば、橋頭堡か最前線とか言って欲しかった。
「こんなこともあろうかと」といった感じで、
まだまだ最終兵器とかあると思うので（願望）。
Re:うーむ (スコア:1)
Re:うーむ (スコア:1)
防衛省は攻撃能力だけでなく防衛能力までも喪失したと考えると失望を禁じ得ない
Re:実は予約しなくても、会場に行ったら接種できたりして (スコア:2)
忘れる、休用に急病、事故などなど
どうせあまりは出る
どうする予定なのかは正しておかないと、この調子だとマジ余らせそう
キャンセル待ち予約システム作られてんかな？
Re:実は予約しなくても、会場に行ったら接種できたりして (スコア:2)
大規模接種会場向けらしいので入院患者はいないだろうしなぁ、と
なんかどっかの国でキャンセル待ち行列がすごいことになってたとかもあったし、
さばき方難しいですね
Re:実は予約しなくても、会場に行ったら接種できたりして (スコア:2)
貰ってくればいいやん
日本に援助してやったとなれば韓国も悪い気はしないだろうし…
とか思ったけど
> 韓国では国民一人ひとりに番号を割り振った「住民登録証」が発行されている…こうした点はIT利用における日本との大きな違いだ。
残念、使えないか