残念だが当然の結果

お久しぶりです。 僕です。 久しく特段何も無かったのですが、今回とうとう僕が想定していたセキュリティ上の問題が起こりました。 教育システム管理用ＩＤ、生徒が見られる場所に - 日本経済新聞 > 佐賀県の教育情報システムから大量の個人情報が盗まれた不正アクセス事件で、県内の複数の高校が、システム管理者の情報を生徒も閲覧できる状態にしていたことが27日、警視庁への取材で分かった。 > 警視庁サイバー犯罪対策課によると、県立高校などの校内ネットワークシステムは、教員と生徒それぞれにＩＤとパスワードが割り当てられているが、生徒が閲覧できる範囲は限られている。全生徒の個人情報を閲覧するには管理者用のＩＤなどが必要になる。 > しかし、複数の高校は管理者用ＩＤなどを含むファイルを、システム上の生徒が閲覧できる場所に保管していた。 まぁ僕の想定の範囲内です。 なぜなら 2014年4月16日の時点で生徒用

[michihide]

受注者は言われた以上のことをやると持ち出しになるので、言われたことまでしかやれない。なので、発注側のあずかり知らぬことが実装されることはない。さらに、良心を持つべき末端実装者の単価が一番安い。

[stealthinu]

例の佐賀県教育システムの情報漏えいの件、システムがだいぶ酷いものだったことがよくわかるエントリー。これは例の彼でなくても漏れてておかしくないわ。

[oooooo4150]

あわせて読みたい→http://hunter-investigate.jp/news/2016/06/-ictsei-net25-sei-netict-26ict-2326-25650.html

[mumincacao]

開始直後の『On Error Resume Next』の時点でいろいろ察せれちゃうなぁ・・・ 『GetJoinDomainName()』でぐぐったら予想通りこぴぺ元が・・・ （・ロ【みかん

[ockeghem]

パスワードを打ち込むVBScriptが熱い

[technerd]

あ、これ、スーパーハカーじゃなくても余裕で突破できるクソガバガバくんだわ。どこのSIが作ったのか知らんけど、これ、瑕疵担保責任に含まれる内容じゃねえかな。あと検収した人は地獄に落ちてどうぞ

[world_standard]

おそらく教育関係者の誰1人として、本当の問題点を把握している人は居ないんだろうな。せいぜい「アクセスできちゃった」生徒を潰して、適当なSierに改修の完了報告書貰って終了。 at:とても眠い人のブログ: 残念だが当

[tetsutalow]

佐賀の件、残念な実態。ハードコードされた管理者パスワード。エラーも拾わないから、これインストール失敗したやつ後でどうするんだろうね。で、これをNAS上に置いといて平気な運用かぁ…

[Sampo]

マンション全戸の鍵が共通でしかもその鍵がエントランスのマット下に置いてあって入居者が自分で鍵を付け替えるのは禁止、という物件の居室侵入に成功した人物をスーパーハッカーと呼びますか問題。

[exbaron]

最先端ではなく最西端だと何度いえば。

[ya--mada]

ナニ言ってるか全然わからなかったが、※読んで納得した。有り得なさ過ぎてブログ記事だけでは理解出来なかった。素晴らしくあり得ない状況、スゴイ。

[raitu]

佐賀県教育システム情報漏洩の件。関連記事はこれ http://hunter-investigate.jp/news/2016/06/-ictsei-net25-sei-netict-26ict-2326-25650.html

[filinion]

…こうして見せられたら「なるほどこれはひどい」と思うけど…。学校のICT担当って「PCに詳しそうな若いの」が割り当てられるだけの職務だからな…。事務官や学校カウンセラーみたいに、専門の技術者を雇って欲しい。

[blackshadow]

佐賀の件。スクリプト内に平文パスワードとか。

[kumicit]

見よう見まねで作られたシステムがひとつみつかったら、あと30はあると思うべきか。こういうのが世の中にはたくさんありそう。

[mfluder]

佐賀県の教育情報システム“実行して1秒後に管理者アカウントのパスワードを打ち込んでEnterを押し、指定したbatファイルを実行"vbsファイルを起動した直後にメモ帳等をアクティブにすればパスワードが丸わかり”

[tmyk_kym]

生徒が書いた記事なのかなー。VBSで権限昇格して実行してたの笑か。ドメイン参加させればいろいろOSの機能だけで出来るのに。結局は管理運用を考慮されずに設計された欠陥システムなのね。 / “とても眠い人のブログ:

[iyuichi]

専門家を入れないと現場の教師だけでは限界ありそう/とても眠い人のブログ: 残念だが当然の結果

[ardarim]

IT最先端（サイバーノーガード戦法を採用）

[yoshi-nkyma]

“と報道がありますが、僕が知る所では少なくとも「パスワードはデフォルトから勝手に変更するな」とICT担当から言われていました。 なにぶん勝手に変更した人がいたそうで、そうするとメンテナンス等の時にアクセス

[georgew]

管理者パスワードが当該vbsスクリプトファイル中に平文ハードコードというところが肝か。

[flowing_chocolate]

ほのぼの佐賀っぽい案件。樋渡に感化された結果が。

[J138]

IT最先端の佐賀が生み出した、アドミンパスワードハードコードVBS。力を感じる…

[kenjiskywalker]

本当なのか？

[ewiad420]

どんなにいいシステム入れても、現場にちゃんとした管理者がいなければ、こういうことは起きる。教員に兼務させるんじゃなくて、別の管理者・ヘルプデスクを入れるべき。ん、ビジネスチャンスか？

[dekaino]

あーひどいですねー

[rin51]

佐賀フロンティア

[uunfo]

どういう発想でこんなVBSを作ることになったのか

[gurinekosan]

セキュリティ以前のレベルだったとは。

[zyusou]

頭の中お花畑の人たちがなんとなく世間の流行を先取りしようとして発注した結果がこれかよ。まずは自分たちが勉強するべきだったのでは。

[snowlong]

ほっこり話

[ukidousan]

佐賀の流出事件

[mashori]

佐賀のアレって『金庫に入れておいたから大丈夫です！』って言って玄関から金庫まで丸見えの上、無人で金庫に取っ手とキャスターついててみんなテレビに夢中で誰も金庫気にしていないレベルの話だったのかよ、と。

[DocSeri]

そもそも現場に専門職を派遣するのではなく何も識らない現場の人にできる範囲のことしかやってはいけないという要求仕様の問題なので仕方ないね

[cubed-l]

酷いだろうとは思ってたけどここまでとは

[niton]

笑

[terlen0]

この情報が出てきた時点で、教育は失敗。教えるべきはリテラシー。わかってて、直せないなら公開すべきではないのはリテラシーあれば解るよね？

[blueboy]

こういうのは県レベルでやるのが根本的な間違い。全国共通で、まともな統一システムを使うべき。　ＩＴ全般の制度設計が狂ってる。ＩＴ省が必要なんだよ。そうすれば年金問題もなかった。

[misaca]

これは巧妙なハッカー育成システム

[endo_5501]

これは学生の格好のオモチャですわ