の回答・AIによるまとめ
7月に届け出た脆弱性について、数ヶ月間、起算日の連絡がなかった。12月に確認すると、開発者が11月に修正・公開・CVE割当てを終えており、回答者はCVEのクレジットを得られなかった。
これは、JPCERT/CCが製品開発者へ脆弱性関連情報を提供する以前に脆弱性が修正されたということであるため、IPAまたはJPCERT/CCで対応の遅延が発生していたことを意味する。
同年に制度外で報告した亜種の脆弱性数件は、修正と公開に2週間程度しかかからなかった。遅れについてIPAからは、具体的な説明はなく簡単な謝罪のみだったと記憶している。
現在は、IPAへの届出と開発者との直接調整を併用している。開発者との調整が難航した場合はIPAに代理を依頼する。
任意の国内製品に対する脆弱性報告でIPAへ届け出るとともに製品開発者との直接の調整を行います。ただし、製品開発者との調整が難航した場合はIPAへ代理を依頼します。
残したい点はJVNでの掲載の継続である。変えたい点は、ハンドリングプロセスのタイムライン開示と、「90+30日ルール」等のより早期に開示できる仕組みの2つで、優先はタイムライン開示とした。
情報セキュリティ早期警戒パートナーシップ運用の限界は、届出の経験がある人は知っているはずだが、外部には周知されていないため改善に要する外圧が期待できない。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見し、IPA経由で報告を行ったことがある
IPA経由で報告された中で、特に印象に残っているやりとりや出来事を教えてください。
全部の経過でなくて構いません。事業者名やサイト名、脆弱性の詳細は書かなくて大丈夫です。
2010年代後半のある年、とあるソフトウェア製品の脆弱性関連情報を届け出た際に、情報セキュリティ早期警戒パートナーシップについて運用の限界を感じた。 7月に当該の脆弱性関連情報を届け出たが受理の連絡後は数ヶ月が経っても起算日の連絡が無かった。同年の12月に当該製品のセキュリティアドバイザリーを確認していたところ、製品開発者ではない外部からの脆弱性報告を受けて、製品開発者が同年の11月上旬に当該脆弱性を修正し、中旬にはCVEの割り当てとともに公開していたことを確認した。なお、CNAであるRed Hat, Inc.は当該脆弱性についてCVSSバージョン3.0におけるベーススコアを7.3 (HIGH)と評価した。 脆弱性の修正と公開が済んでいた旨をIPAへ通知したところ、それからまもなくの12月某日にIPAから起算日の連絡が来た。 時系列を整理すると次の通りである: - 某年7月上旬: IPAへ脆弱性関連情報の届出 - 同年11月上旬: 製品開発者による脆弱性の修正 - 同年11月中旬: 製品開発者による脆弱性の公開とCVE割当て - 同年12月: 脆弱性の修正および公開の確認と、その旨のIPAへの通知 - 同年12月某日: IPAからの起算日（≒JPCERT/CCから製品開発者への通知日）連絡 これは、JPCERT/CCが製品開発者へ脆弱性関連情報を提供する以前に脆弱性が修正されたということであるため、IPAまたはJPCERT/CCで対応の遅延が発生していたことを意味する。また、その結果CVEのクレジットを損なう結果となった。 なお、同年には情報セキュリティ早期パートナーシップ外でも同等の修正が必要な、当該脆弱性の亜種となる脆弱性数件を報告しており、それらは修正と公開に2週間程度しか要さなかった。 ここからは憶測だが、以上の経験と脆弱性の公開日から推察するに、当該脆弱性を報告した第三者は私よりもあとに当該脆弱性を報告したと考えられ、私は「情報セキュリティ早期警戒パートナーシップの運用における対応の遅延がCVE獲得という機会の損失を招いた」と認識している。 これにより、私は情報セキュリティ早期警戒パートナーシップに対する疑念と運用の限界を感じた。その後は、情報セキュリティ早期警戒パートナーシップに頼ることの反省を踏まえて、脆弱性報告の際はIPAへ脆弱性関連情報として届け出るとともに、製品開発者との直接の調整を心がけるようにしている。
IPAへ修正と公開が済んでいたことを伝えたあと、起算日の連絡のほかに、遅れについての説明や、その後のやりとりはありましたか。
やり取りの内容は失念したが、具体的な説明はなく簡単な謝罪のみがあったと記憶している。
今後また脆弱性を見つけたとき、どんな方法で連絡を進めたいですか。
その方法を選ぶ決め手になる条件があれば、あわせて教えてください。
それは情報セキュリティ早期警戒パートナーシップに則った脆弱性報告についての質問ですか？
制度に限った質問ではありません。IPA経由、開発者への直接連絡、その併用など、今後ご自身が選びたい進め方をお聞きしています。
IPAへの届出と開発者との直接調整を併せる進め方を選ぶうえで、決め手になる条件はありますか。
任意の国内製品に対する脆弱性報告でIPAへ届け出るとともに製品開発者との直接の調整を行います。ただし、製品開発者との調整が難航した場合はIPAへ代理を依頼します。
いまのIPAの届出の仕組みについて、残したい点と変えたい点はありますか。
複数あれば、特に大事だと思うものを教えてください。
残したい点: - JVNでの脆弱性の掲載を続けてほしい 変えたい点: - ハンドリングプロセスのタイムラインを開示してほしい（初期連絡から公開まで） - 現行の制度では起算日から1年の経過をもって脆弱性の開示が可能になるが、「90+30日ルール」等のより早期の開示が可能となる仕組みを導入してほしい
変えたい点として挙げていただいた二つのうち、特に優先したいのはどちらですか。
そう考える理由も、差し支えない範囲で教えてください。
ハンドリングプロセスのタイムライン開示を優先したい。情報セキュリティ早期警戒パートナーシップ運用の限界は、届出の経験がある人は知っているはずだが、外部には周知されていないため改善に要する外圧が期待できない。タイムラインを開示することで、情報セキュリティ早期警戒パートナーシップの関係者が責任を持って遂行できるようにしたい。
ここまでのお話で触れていないことで、伝えておきたいことはありますか。
なければ「特にない」で構いません。
特にない
具体的な経験と、改善への考えを詳しくお聞かせいただき、ありがとうございました。
これでインタビューを終了します。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。