極楽せきゅあブログ

ときどきセキュリティ

「想定の範囲内」だった判決

さて、どう出るのだろう?そしてそのあとどうするのかなあ?
結局有罪だった。懲役8ヶ月、執行猶予3年。
正直なところちょっと落胆したなあ>判決。議論が先に進まなかったので。

  • そのファイルがドキュメントルート外にあるか
  • ドキュメントルート外にあるとしたら、通常はftpなどでアクセスするんだけど、そのftpなどにIDとパスワードが設定されているか

この二つが満たされていれば、アクセス制御されている、という解釈になるということだ。今回はCGI脆弱性を突いてこのアクセス制御を回避した、ということでしかないので、立派に不正アクセスである、ということらしい。
このあたりはもうすでにいろいろなところでさんざ議論してきたことだから、目新しくも何ともないですねえ。
まーしかし(心情的に)一番議論の俎上に乗せて欲しかったのは、

  • 無知である、ということは鯖管が責任を怠っていた、と言えないのか?

というところだったりするんだけどねえ。量刑のときに考慮はされたみたいだけど(一般的にCGIの持つ脆弱性については報道もされていたのに、この鯖管と管理元団体は知らなかった、と言及してました)、でもなあ。
ただまあ、当たり前のことですが裁判ってぇのはこの論点だけを議論するわけではなく、現に弁護側がいろいろ主張していたところは、「そうは言っても先に管理元団体や鯖管、それにしかるべきところに通報すりゃーよかったじゃん」というところで一蹴されてしまったりしてたですね。そりゃもうおっしゃるとおりとしか言い様がありません。しかし、ここでちょっとおよよ、と思ったのは、「正当な脆弱性指摘行為とは言い難い」というくだりで、段取りを間違えなければ「正当な指摘行為だよん」と受け取ってもらえるってことなのかなあ?という印象を受けましたね。もちろん明言されていたわけではありませんが。っていうかそこも議論して欲しいところだったんだけどねえ。
さて、このあとどうするのだろう?控訴する場合は14日以内に申し出ろ、ということだけど。記者会見とかやったりしていたらそれも注目だなあ。あちきはもう裁判所に居ないけど。