の回答・AIによるまとめ
IPA経由で報告しなかった主な理由は、報告先が分からないことと、報告が犯罪行為にならないかという不安だった。大げさでない脆弱性でIPA経由の修正要請をすると不正アクセス禁止法に抵触すると考え、運営者との連絡だけで終えた。
IPA、JPCERT、JVN、NICT、警察などに脆弱性を報告する宛がどこか分からない、もしくは報告していいのか(犯罪行為にならないか)で戸惑った。
実際の対応は、運営者にCVE番号を示して調査を依頼し、運営者が確認・修正して連絡が来た時点で終了した。本人は「脆弱性を発見した」というより、既知のセキュリティ修正を求めた感覚だった。
脆弱性があったサイトから連絡先に「CVE-〇〇〇〇を調査してほしい」と報告して、のちに運営から「CVEが確認されたから修正した」と連絡が来て終了した。
今後も個人間の相談程度で済ませたい意向がある。PoCの再現・検証が面倒なことに加え、AIで報告が容易になったため他の誰かが報告すると見込んでいる。本人はAIを使いたくないとも述べた。
自分でPoCを再現して検証するのが面倒くさいし、今はAIを使って自動で報告できるからわざわざ自分が報告しない。
IPAには「よく分からない行政」という印象を持つ。印象の根拠は挙げず、「IPAじゃなくてもいい」と述べた。あわせて、ホワイトハッカー養成のための学習サイトを求めた。
社会人と資格取得した人のためにあるようなよく分からない行政だと思う
ホワイトハッカーを養成したいならスタディサプリのtryhackmeみたいに学ぶサイトがほしい
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見したが、IPA経由で報告を行わなかった
報告しなかったご経験について、特に印象に残っている出来事ややりとりがあれば教えてください。事業者名やサイト名、脆弱性の詳細は書かなくて大丈夫です。
報告しないと決めるまでに、何か判断に影響した場面はありましたか。
「脆弱性を発見した」というよりも運営者に既知のセキュリティ修正を求めた。 それほど大袈裟でもない脆弱性を報告するためにIPAを通じて修正を要請するということは不正アクセス禁止法に抵触すると思い、運営と自分の連絡で終了した。 IPA、JPCERT、JVN、NICT、警察などに脆弱性を報告する宛がどこか分からない、もしくは報告していいのか(犯罪行為にならないか)で戸惑った。 githubなら安全で簡単に事が終わると思ったからIPAで報告はしなかった。
運営者に連絡したあと、実際のやりとりはどう進みましたか。印象に残った返答や対応があれば教えてください。
脆弱性があったサイトから連絡先に「CVE-〇〇〇〇を調査してほしい」と報告して、のちに運営から「CVEが確認されたから修正した」と連絡が来て終了した。
今後また似た状況になったら、どんな方法で連絡や対応を進めたいですか。
場合によって変わるようでしたら、そのままお聞かせください。
個人間の報連相で終わらせたい。 相談程度で終わらせたい。 自分でPoCを再現して検証するのが面倒くさいし、今はAIを使って自動で報告できるからわざわざ自分が報告しない。
今はAIを使って自動で報告できるというのは、どういうことですか。差し支えない範囲で教えてください。
AIを使うことで脆弱性報告が誰でも簡単になったからMythosなどを使用して他の誰かが報告してくれると思ってる。 個人的にAIは使いたくないのもある。
IPAに脆弱性を届け出る今の仕組みについて、残したい点や変えたい点はありますか。
使ったことがなくても、印象やイメージで構いません。特に大事だと思うものを教えてください。
社会人と資格取得した人のためにあるようなよく分からない行政だと思う
そう感じるようになったきっかけや、実際に見聞きしたことはありますか。
特になければ、ない旨だけでも構いません。
IPAじゃなくてもいい。
ここまでのお話で触れられなかったことで、伝えておきたいことはありますか。
特になければ、ない旨だけでも構いません。
ホワイトハッカーを養成したいならスタディサプリのtryhackmeみたいに学ぶサイトがほしい
学ぶ場がほしいというお話まで、率直にお聞かせいただきありがとうございました。
いただいたご経験やご意見は、今後の検討の参考にさせていただきます。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。