文:Joris Evers(CNET News.com)
翻訳校正:編集部
2007/03/26 12:36
ワシントン発--こと脆弱性の開示に関しては、ソフトウェアメーカー各社はバグハンターらのなすがままである、とMozillaのセキュリティ担当トップが米国時間3月24日に語った。
ソフトウェア業界は、脆弱性の開示に関するガイドラインを何年も前から推進してきた。Mozillaのセキュリティ部門トップWindow Snyder氏は、当地で開催のハッカー関連イベント「ShmooCon」のパネルディスカッションで、これらの「責任ある開示」活動はある程度成果をあげてきたが、そのプロセスはセキュリティ研究者に完全に掌握されている、と語った。
「研究者がすべての実権を握っている。彼らは、開示時期や、ベンダー対応のタイミングについての考えまでもコントロールしている」とSnyder氏は語っている。
脆弱性の詳細公表は何年も前から熱く議論されてきた。ソフトウェア業界は、バグの私的開示と公開前の修正時間確保を研究者に提唱し、このような手法を責任ある開示と呼んでいる。何よりも、早期の公表は犯罪者のサイバー攻撃と、それによるベンダーの評判低下を助長するためだ。
一方、業界のガイドラインに従うセキュリティ研究者は、ソフトウェアメーカー各社から反応がないことにいら立ちを多々感じている。そのほか頻繁に批判されるのが、パッチがリリースされるまでにかかる時間と、問題を発見した研究者がセキュリティ警告のなかで功績を認められるまでにかかる時間だ。
Microsoft出身のSnyder氏は、「ベンダーには、報告に対して何らかの対応を取る大きな責任がある」と語っている。
しかし、だれもがこの責任ある開示を受け入れているわけではない。パネルディスカッションに参加したセキュリティソフトウェアベンダーImmunityのDave Aitel氏によると、これはソフトウェアメーカーが仕掛けるわなだという。同氏は、「責任ある開示はマーケティング用語にすぎない。責任ある開示は、Microsoftなどの大手ベンダー各社に都合よくなっている。彼らはこのプロセスをコントロールしようとしている」と語っている。
Aitel氏はバグハンターらに対し、ベンダーに脆弱性を公表する代わりに、自分たちに情報を売って欲しい、と呼びかけた。Immunityは、セキュリティの脆弱性に関する詳細を提供するバグハンターらに情報料を支払い、それをコンピュータやネットワークへの侵入に利用可能な侵入テストツールなどの自社製品に活用している。
OpenSolaris 2008.05 リリースの中身
「データポータビリティ」の行方--グーグル、Facebook、マイスペースの施策を検証
西暦2050年のテクノロジ世界--IBMの研究者5人が予測
躍進する中国最大のビデオ共有サービス56.com--YouTubeと異なる強みと戦略
今夏に新はてなブックマーク登場--その進化と情熱
人気を集めるモバイルコンテンツにも変化の波
倍々ゲームのDeNAは高成長持続へ
ドイツの出版社が「ウィキペディア」を書籍化、出版へ
-Simplify IT- ITをシンプルに 連載第2回
リスティング広告における競争優位性の維持
内部統制対策を実現するIT運用管理ツール
絵画の価格高騰 〜批評家は間違えられない
PRADA phoneパーティー
Apple,WWDC2008参加チケット売り切れ
「第2回オフラインnewsing」参加にあたって考えた、「『ニュースサイト』がつまらない7つの理由」
コメント欄の仕様
MEFFYS 2008 〜携帯につながるコントローラーZeemote〜
CMSのページ編集機能が優れていればいるほど
[速報]米CBSが米CNETを買収
ヤフーでニコニコする方法:「ニコニコ動画のSilverlight版」
個人情報持ち出し従業者に損害賠償
マイクロソフト、「XP SP3」の提供を延期--未対応の問題発見で
次世代DVD戦争は終結も…、進まぬBlu-rayプレーヤーの普及
ニコニコ動画とAR(現実拡張)技術が可能にする「ニコニコ現実」という未来
ドコモが持つ「1人負け」への危機感--ロゴ変更の裏にあるもの
数量限定アップルストアご当地グッズ--全7種類、このGWにコンプリートする?
もっと楽しい検索を--百度の技術を統括する元はてな社員
PCで宇宙探査--「WorldWide Telescope」レビュー
北京五輪会場と大会を支える技術チーム--開催をひかえ進む準備
写真で見る「PRADA Phone by LG(852i)」
[特集] Windows Vista SP1搭載の最新PCラインアップ
[特集]2008年春 ビデオカメラフルラインナップ
[レビュー]一番小さなホームシアター--パイオニア、サラウンドヘッドホン「SE-DRS3000C」
顔認識の発展とひと味違うモデルの台頭--コンパクトデジタルカメラの動向を探る
楽しさで選ぶか、個性を取るか?--デジタル一眼レフカメラ お薦めモデル
文字入力でネットを操るインターネットマシン--ソフトバンクモバイル「Internet Machine SoftBank 922SH」
今週の新製品総チェック:「PRADA Phone」がついに日本上陸
[レビュー]5万9800円の格安ミニノートPC--工人舎SAシリーズ「SA5KX08AL」
[レビュー]防水Xactiセカンドステージへ--三洋電機「Xacti DMX-CA8」メンバー限定サービスをご利用いただく場合、このページの上部からログイン、またはCNET_ID登録(無料)をしてください。