の回答・AIによるまとめ
IPAへの報告は、フォームの入力量と一時保存の欠如が原因で断念された。誤ってページを移動して入力が消えたことが決め手で、その脆弱性は放置された。
脆弱性の説明以外の入力内容も多く、またフォームの一時保存などもないため、うっかり閉じたり別のページに遷移した瞬間やり直しになってしまうのは辛い(実際に誤ってページを移動してしまって15分ほどの入力が失われたため諦めた)
今後の報告先は、バグバウンティの有無で判断する。ある場合は対応したいが、ない場合は、国内では警察の捜査リスクがあるため基本的に対応しない。
基本的にはバグバウンティをやっているものは対応したいが、そうでないものは(特に国内だと神奈川県警などのリスクもあるため)対応するつもりは基本的にはない
判断の分かれ目は、先方が受け入れる姿勢を示しているか、報告形式が整っているかである。ない場合は、指摘者が悪意ある攻撃者と混同される可能性を懸念している。
逆にそうでない会社は脆弱性の指摘した人間と悪意ある攻撃者とを混同する可能性などもあり、かかわり合いになること自体のリスクがある
IPAの仕組みのうち、先方への間接的な情報提供は残してほしいとしている。あわせて、セキュリティプログラミングキャンプなどの啓蒙教育活動への注力を望んでいる。
少なくとも、間接的に先方に情報提供してくれる仕組みがあるのは適切で、目的としては正しいものだと思っているため、無くさないでほしい
IPAの外の課題として、警察への啓蒙と、不当な捜査や取り調べに対する適切な処罰の仕組みを求めた。日本ではセキュリティの調査や研究への不当な弾圧が長く散見されるという認識に基づく。
そもそも日本ではセキュリティの調査や研究が警察によって不当な弾圧を受けるケースが長く散見されるため、警察に対する啓蒙や、そもそも不当な捜査や取り調べに対する適切な処罰の仕組みが求められる
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
IPAで報告を行おうとしたが、あまりにもフォームの入力する内容が多く断念したことがある
入力をやめると決めたとき、どんなことを考えていましたか。
脆弱性の説明以外の入力内容も多く、またフォームの一時保存などもないため、うっかり閉じたり別のページに遷移した瞬間やり直しになってしまうのは辛い(実際に誤ってページを移動してしまって15分ほどの入力が失われたため諦めた)
入力が消えてしまったあと、その脆弱性についてはどうされましたか。
放置した
今後また脆弱性を見つけたら、どんな方法で連絡や対応を進めたいと思いますか。その方法を選ぶうえで大事にしたい条件があれば、あわせて教えてください。
基本的にはバグバウンティをやっているものは対応したいが、そうでないものは(特に国内だと神奈川県警などのリスクもあるため)対応するつもりは基本的にはない
バグバウンティの有無で対応を分けるのは、どんな点が違うからですか。差し支えない範囲で教えてください。
まず先方がバグの報告を受け入れる姿勢を示している点が大きく、また報告の形式が整備されている点も良いため。逆にそうでない会社は脆弱性の指摘した人間と悪意ある攻撃者とを混同する可能性などもあり、かかわり合いになること自体のリスクがある
IPAの届出の仕組みについて、今のまま残してほしい点はありますか。
特になければ、ないというお答えでも構いません。
少なくとも、間接的に先方に情報提供してくれる仕組みがあるのは適切で、目的としては正しいものだと思っているため、無くさないでほしい
フォームの入力のこと以外で、IPAの仕組みの中で変えたい点はありますか。特になければ、ないというお答えでも構いません。
IPAの仕組みであれば、セキュリティプログラミングキャンプなどの啓蒙教育活動は今後の少子化の中でますます大事になっていくことが予測されるため、より注力されることが望ましく思う
ここまでのお話に出てこなかったことで、ほかに伝えておきたいことはありますか。
特になければ、ないというお答えでも構いません。
脆弱性の報告というケースにまつわる話では、そもそも日本ではセキュリティの調査や研究が警察によって不当な弾圧を受けるケースが長く散見されるため、警察に対する啓蒙や、そもそも不当な捜査や取り調べに対する適切な処罰の仕組みが求められる
お話しいただき、ありがとうございました。フォームの使いにくさから、制度や警察との関わりまで、率直にお聞かせいただけました。
いただいたご意見は、今後の検討の参考にさせていただきます。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。