「Log4j」の脆弱性を突く攻撃手段の情報共有は違法？ 日本ハッカー協会に聞いた
文字列を記録させるだけで任意のリモートコードを実行できるゼロデイ脆弱性があることが明らかになった、Javaのログ出力ライブラリ「Apache Log4j」。12月10日に話題になってから、Javaを使ったシステムに関係するITエンジニアは対応に追われている。一方で、その脆弱性を突く具体的な手段をネット上で共有する行為は「不正指令電磁的記録に関する罪に問われるのではないか」と議論が起きている。 「罪に問われる可能性はある」 問題解決のためとはいえ、攻撃手段となりうる情報の共有は罪に問われるのか。日本ハッカー協会の杉浦隆幸理事に聞いたところ「log4jの脆弱性をつく攻撃を実際に実行して、成功してしまうと不正アクセス禁止法に該当する」と前置きした上で「そのコードを共有する行為は不正指令電磁的記録に関する罪に問われる可能性は十分にある」と指摘する。 不正指令電磁的記録に関する罪とは、コンピュータウ
「ウイルス罪」めぐる事件、セキュリティ事業者に余波 「活動の萎縮につながる」「指針が必要」
「ウイルス罪」めぐる事件、セキュリティ事業者に余波 「活動の萎縮につながる」「指針が必要」（1/2 ページ） さまざまなサイバー攻撃をいち早く検知し対処するには、攻撃者の手口、足掛かりとするインフラ、利用するツールなどの知見が欠かせません。ランサムウェアやbot、攻撃コードについても、例えばハニーポットを構築して捕まえ、解析することで、「どんな脆弱性が悪用されるのか」「どこが狙われているのか」を把握し、次の対策に役立てることができます。 しかし、そうした行為が「不正アクセス禁止法」に違反したり、「不正指令電磁的記録に関する罪」（通称：ウイルス作成・保管罪）にあたるとして、ある日突然逮捕されるのではないか――という懸念が、セキュリティ解析や知見の共有に取り組むエンジニアの間で広がっています。 きっかけとなったのは、仮想通貨のマイニングツール「Coinhive」を自分のサイトに設置したデザイナ
ASCII.jp：ウイルス罪の解釈と運用はどこが「おかしくなっている」のか (1/4)
2019年4月26日夜、日本ハッカー協会主催によるITエンジニア向けセミナー「不正指令電磁的記録罪の傾向と対策」が東京・渋谷で開催された（後援：IPA／情報処理推進機構）。 この日のテーマとなった「不正指令電磁的記録に関する罪」（いわゆる“ウイルス罪”）は、コンピューターウイルスをはじめとする不正なプログラムの作成や提供などを禁じ、罰する目的で作られた法律だ。 しかし最近になって、「Coinhive（コインハイブ）事件」（自らのWebサイトに仮想通貨のマイニングスクリプトを組み込んだことで検挙された事案）、「アラートループ事件」（無限アラート事件、アラートダイアログが繰り返し表示されるWebページへのリンクを掲示板に貼ったことで検挙・補導された事案）、「Wizard Bible事件」（セキュリティ研究のためのWebマガジンが初歩的なリモートコマンド実行コードを掲載したことで管理者らが検挙さ
「いたずらURL貼って補導」がIT業界の萎縮をまねく理由
JavaScriptのループ機能を使った“ブラクラ”のURLを書き込んだ3人が摘発されて物議を醸している。今回の事件で本当に注目すべき問題は何なのか。同じく問題視されている改正著作権法の共通点についてもまとめたい。 「何がセーフで何がアウトか分からない」――“不正なプログラム”のURLをネット掲示板に書き込んだとして、女子中学生らが不正指令電磁的記録（ウイルス）供用未遂の疑いで家宅捜索を受けた件がネット上に波紋を広げている。 実際はJavaScriptのループ機能を使ったもので実害はほとんどなく、目的はいたずら。にもかかわらず補導された事実は、2011年の刑法改正前から指摘されていた、あいまいな条文のグレーゾーンに警察が踏み込んだことを示している。 「合法と違法の線引きがよく分からない」「ネット利用者の実態に即していない」――いままさに、同じような観点で議論されている法案がある。「ダウンロ
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け いたずらURLを掲示板に書き込んだ3人がウイルス供用未遂の疑いで摘発。エンジニアの間で「何がアウトかセーフか分からない」と不安が広がる中、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニアが現れた。 JavaScriptを使った無限ループプログラムのURLを掲示板に書き込んだ3人が不正指令電磁的記録（ウイルス）供用未遂の疑いで摘発されたり、Coinhiveをサイトに設置した複数のユーザーがウイルス取得・保管の疑いで摘発されるといった事態を受け、「何をすればウイルス罪に当たるのか、セーフとアウトのラインが分からない」とエンジニアの間で不安が広がっている。 そんな中、全都道府県警に対して、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニア
なぜ日本で「国による不正アクセス」が適法に？ アクティブサイバーディフェンスとは
情報通信研究機構（NICT）や情報処理推進機構（IPA）などは、国の予算で運営される法人のため、関連法による規定が存在する。 NICTの場合、高度化する国際的なサイバー攻撃への対処、特に増えるIoT機器のセキュリティやオリンピックの安全確保が急務とされ、昨年の5月、サイバーセキュリティ基本法改正に先んじて、国立研究開発法人情報通信機構法が改正された。 附則第8条（第1項）は、テレビの難視聴地域への衛星放送助成に関する業務を規定したもので、改正で追加された第2項以降第8項までは、脆弱性のある通信機器を調査して必要な通知と改善を促す業務についてを規定している。 総務省は、この業務について情報通信行政・郵政行政審議会の審議と答申を受け、1月25日に当該業務の認可を行った。今後は必要な省令整備とともに実際の業務に移る予定だ。 調査作業は5年間と期限付きだが、背景の1つにオリンピックがあるとすると、
仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する
フリーランスライター、エディター。アスキーの書籍編集から、オライリー・ジャパンを経て、翻訳や執筆、取材などを紙、Webを問わずこなす。IT系が多いが、たまに自動車関連の媒体で執筆することもある。インターネット（とは言わなかったが）はUUCPのころから使っている。 そもそもコインハイブは「マルウェア」ではない コインハイブ（Coinhive）は、昨年9月ごろ公開されたサービスだ。ホームページによれば、広告に代わる新しいモデルとして、Webサイト閲覧者に仮想通貨のマイニングを実行させるというもの。この趣旨に賛同し、ユニセフ（オーストラリア）のサイトにも採用されているもので、ソフトウェア/サービスそのものに違法性や悪意はないものとされている。 コインハイブの利用サイトは数行のJavaScriptをサイトに埋め込む。そのサイトを閲覧したブラウザ上で当該スクリプトが実行されマイニングを行う。採掘され
セキュリティ会社の社員逮捕、ウイルス拡散が疑われるも残る疑問
京都府警サイバー犯罪対策課などは2017年10月31日、ファイル共有ソフト「Share」を介して他人から得た「暴露ウイルス」と呼ばれる情報流出型のマルウエア（悪意のあるソフトウエア、以下ウイルス）を業務用PCに保管したとして、セキュリティ会社ディアイティの社員を不正指令電磁的記録（ウイルス）保管容疑で逮捕した。 同社は顧客企業の依頼を受け、複数のShareで構築されたPeer to Peer（ピア・ツー・ピア、P2P）ネットワークに、顧客企業に関する情報が流出していないかを監視するサービスを提供している。Shareなどで拡散するファイルにはウイルスを内包する悪質なものが多く、不用意に扱うと感染するリスクが高い。 そのため、P2Pネットワークへの情報漏洩を懸念する企業はディアイティのようなセキュリティ会社に監視業務を委託するのが一般的だ。逮捕された社員はそうしたサービスを1人で担っていた。
情報処理安全確保支援士に科せられる懲役刑・罰金刑の罰則まとめ
情報処理技術者試験の各区分に合格してきた記録を記載しています。理系の情報系院卒ですが新卒時からずっと非IT業界で単なる趣味で試験受けてます。 （ロゴマークはhttp://www.meti.go.jp/press/2016/10/20161021002/20161021002.htmlより引用） 2016年10月21日(金)に情報処理安全確保支援士制度が開始されました。 具体的な登録手続きは2016年10月24日(月)から開始されています。登録手続を経ることによって情報処理安全確保支援士を名乗ることができます。 私はこの制度を論評する上で、改正された「情報処理の促進に関する法律」の全条文を読んでいます。経済産業省やIPAが掲載している概要説明のPDFだけでは全く不十分だからです。 特に情報処理安全確保支援士に登録しようとしている方に強く忠告しておきたいことは、情報処理安全確保支援士は罰則が規
ついに成立したサイバー刑法に懸念点はないか
第49回、50回、第51回とサーバー刑法を紹介してきました。成立した法律では、法案提出時に懸念点とされていた部分の多くは解消されているように見えます。それでは心配する部分はまったくないのでしょうか。 それでも残る懸念点 この法律で、ウイルスを他人に被害を与える目的で作成や提供した人間以外が処罰されるようなことがあってはいけません。前回紹介した法務省「いわゆるサイバー刑法に関するＱ＆Ａ」などの内容を見る限りは、そういった心配はほとんどないように思われます。しかし、払拭しきれていない部分があったのではないかと思います。 1つには、処罰対象とされるコンピュータウイルスについて、もう少し限定的に記述するべきであったのではないかと思います。ソフトウェアには非常に多種多様なものがあり、何がウイルスなのか判断が難しいケースもあります。筆者はアンチウイルスベンダーの人間ですが、ウイルスとして検出するかどう
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
米連邦政府機関に策定と公表が義務付けられた脆弱性開示ポリシーとは【海外セキュリティ】
「何をやったら犯罪なのか」セキュリティエンジニアが兵庫県警に対し情報公開請求【やじうまWatch】
ウイルス作成罪は研究者を萎縮させる――弁護士が指摘するサイバー法の「矛盾」と「課題」