HTML書き換えて不正アクセスで有罪。ちゃんと教えてあげたのに！

インターネットサイトから利用者の個人情報が引き出された事件で、
不正アクセス禁止法違反の罪に問われた元京都大学研究員・河合一穂被
告（４１）に対し、東京地裁は２５日、懲役８カ月執行猶予３年（求刑
懲役８カ月）の有罪判決を言い渡した。

河合被告は事件前からサイトの欠陥を探しては指摘してきた。今回問題
となったアクセスの後も、協会に対してセキュリティーのもろさを指摘
するメールを送っていた。ネット関係者からは「今回の行為が不正アク
セスにあたれば、セキュリティー強化はそこそこでよく、あとは不正ア
クセス禁止法に委ねればいいという風潮を生みかねない」との懸念も示
されていた

記事全文
http://www.asahi.com/national/update/0325/TKY200503250132.html

ｙ

こりあ、ひどい

htmlを踏むと2分間スリーズしてしまうんです（＞＜）

いみわからん

きもい

河合っつう男もブチ切れちゃった訳？
それも、駄目な奴じゃん…。

まぁ　ネットバンクで金引き出し放題だしな

アッ糞のとこだっけ？

どういう事？？

また京都か

WEB制作を仕事としてる側からするとありがたい判決だな。
セキュリティ対策は二の次でいいんだからｗｗｗｗｗ

ACCSのやつか。
たしかセキュリティの脆さを示すべく個人情報を取り出す実例をした人だな
裁判結果もなんか消化不良気味だぁな・・・

　河合被告は公判で事実関係は認める一方、「アクセス制御がなされてお
らず、不正アクセスではない」として無罪を主張した。これに対し青柳勤裁
判長は「アクセスはプログラムの脆弱（ぜいじゃく）性を利用したもので、管
理者は想定もしていなかった。アクセス制御機能による『特定利用の制
限』がかかっていたといえ、被告の行為は不正アクセスに当たる」と述べた。


「ぜいじゃく」って、裁判官が釣りかよｗｗｗｗ

>>14
？？？？

わざわざ読み振ってあるのかって事でしょ。
こいつ、2ちゃんのやりすぎなんだぜ…。

>>14は上級釣り氏（ﾌﾟ

クラッキングが想定の範囲外って・・・
クズなインターネッターだな
ボランティアしてやってんだからありがたく思えや

きじゃくだろって言いたいんじゃないの？

セキュリティーホール丸出しで個人情報駄々漏れさせたバカを裁けよ

この判決は妥当なのか？

>>14
4点

知らぬが仏

こっそりやれば問題ないってことかｗ

つまり知らなければ勝ちと言うことか。
え、買ってきたソフトがセキュリティに不備があるなんてことあるの？って
いうレベルの管理者なら攻めた方が悪いと。

２ｃｈのセキュリティーホール探ってたら
よくわからない隠しファイル見つけてしまった
http://news19.2ch.net/news/SETTING.TXT
もしかして俺も逮捕？

>>22
5点満点だよな？？ヽ（´ー｀）ﾉ

セキュリティーの不備を法律で守ればいいって考えはおかしい

お前らのせいで脆弱をきじゃくと読むようになった

「スカートのファスナー開いてますよ」と教えてあげたら有罪？

>>14>>22

>>25
破壊しとけ
http://www.netdisaster.com/go.php?url=http://www.2ch.net/&mode=bomb&destruction=massive&control=on&lang=en

>>25
昔から見られますよ。




って、釣りかよ！

どんなことがあっても「管理者は想定もしていなかった」で無罪放免という判例か？
驚くほど画期的な判断だな。

>>29手鏡を持っていたら有罪。

ゆとり教育だな

セキュリティーホールなんて大したものじゃない。
普通に設計やってれば起こらないミス。
どうしてつつかれないと思ったのか理解に苦しむ。

なんつーか、曖昧な判決ですなぁ。

酷いな・・・。
パスワードが必要ないページにアクセスしただけで懲役8ヶ月かよ。

>>18
「イベントで被告が手口をプレゼンテーションした結果、模倣者まで出現した。」

これが決め手なんでしょ。
こそっとACCSに教えるか、ACCSが使ってるとは言わずに、こういうCGIは、Crack出来ます程度にしておけば良かったのに。

経緯は↓
http://www.geocities.jp/officeandaccs/keii.html

これからはネット当たり屋犯罪が幅をきかせてくるだろうね。

どこからもリンクされてないページを作っておく
↓
サーチエンジンが引っかける
↓
アクセスがありしだい不正アクセス禁止法を根拠にプロバイダに個人情報の開示請求
↓
そいつを訴えるそぶりを見せる
↓
今のうちなら和解してやるぜ、と和解金数百万円をふっかける
↓
和解成立(ﾟдﾟ)ｳﾏｰ

>>39
それはこの裁判とは別件だった希ガス

>>31
おもすれー
自分の会社のページでやってみよう。

河合被告は事件前からサイトの欠陥を探しては指摘してきた。
今回問題となったアクセスの後も、
協会に対してセキュリティーのもろさを指摘するメールを送っていた。



対策を講じなかった協会が悪いと思う。

えー、パスなしでも不正アクセス禁止法に引っかかるのかよ
ありえねえ

officeか

もろよわの中の人もたいへん

他人にアクセスされるとは想定してなかった
訴えてやる！！

>>40
違うんじゃないの？
纏めサイトを読むと、レン鯖標準のCGIにセキュリティホールがあって、
たまたま、ACCSが使っていたので、遊んでみたら情報が見れたので、
ハッカーコミュニティで祭ったら、訴えられたんでしょ。

office氏とACCSの間については、office氏が悪いと言う事でいいけど、
ACCSと利用者間については別で民事裁判開けるんじゃないの？

おいおいハッカーさんを逮捕すんじゃねえよ
セキュリティ甘いの教えてくれてるんだから

>>48
皮肉だろ

>>41
被告人名が同じだから、同じ件だと思うが？
それとも、別件でもやってるのか？

ACCSが被害者ぶりたいがための戦略訴訟に過ぎん
99%ハッタリの虚業のくせに

ひどい事件やな。バカが得する世界になりそう>ネット関係

これってアドレス削っただけのアクセスも捕まるの？

>>50
すまん。なんか、俺、必死だな。。。
徹夜でサイト構築して、今、家に帰ってきたばかりなので、なんか人ごとと思えなくて。。。
俺のためにも、悪いのは、Office氏ということにしておいて下さい。
じゃないと、心配で寝れない。。。

>>51
プレゼンや模倣者云々は不正アクセスとは関係ないということだろ。
確かに当初業務妨害罪の可能性があったが、それはないというソースだし。

>>54
ないだろうけど、アドレスやファイル名を推測するのはNGになりそうで怖い
サイバーノーガード戦法がネタじゃなくなる日がくるとはｗ

まあHTTPGETならよくてPOSTだと通常のアクセスじゃないってのも理解不能だがｗ

じゃあ俺ポップアップの特許取るから

標準のIEとマウスでできること意外は全部不正アクセスだよ

じゃ、ﾌｫﾙﾀﾞ丸さらしの馬鹿個人ｻｲﾄとかでﾌｫﾙﾀﾞ内見るのもｱｳﾄなの？

http://column.chbox.com/home/bloguide/archives/blog/main/2005/03/25_154618.html
今回の件について書いてみた。

ＨＰ制作者の想定しないアクセス方法だから逮捕でしょ
つまり堀江が作ったＨＰはアクセスしほうだいｗｗ

>>61
所有者から見て想定外のアクセスは全てアウト。

全て想定の範囲内ですｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

4月からの個人情報の保護法始まったら
管理者の責任も問われる事になりませんかね？

鯖内のファイルを表示するスクリプトを公開しておいて、
アクセス制御機能があったとかいわれてもお笑いなんだが

>>66
個人情報をどこかに書き込んでいるとしたら確かに管理者はその責任を
問われることになるけど、不正アクセス禁止法とは独立した法律なので
不正アクセスとして訴えられる可能性があることには何も変わりないよ。

またACCS久保田か！

違法は違法だ。悪意もってやったんだから
言い逃れ見苦しい。

>>70
悪意があるかどうかどうやって判断するのだ？

悪意があったらACCSに注意喚起なんかしないよ

窪田は悪意でやってるけどな。

>>71
そこは裁判官の匙加減一つで決まるんじゃね？

＞　青柳裁判長は、元研究員がアクセス手法をプレゼンで公開したことに言及し、
＞「自らの技術をプレゼンで誇示したいという動機で行ったもので、酌量の余地はない」とした。
＞元研究員は「プレゼン発表は、サーバ管理者のセキュリティ対策を促すため」と主張していたが、
＞裁判長は「たとえそうだとしても、管理者側に修正の機会を与えないまま発表したのは
＞正当視できない。模倣犯も出現し、高度情報通信社会の発展を妨げることは明らか」とした。
http://www.itmedia.co.jp/news/articles/0503/25/news022.html

事後報告じゃ悪意ありと取られるだろうな

例えば、家の中で素っ裸でいる所を通りすがりの人が見て逮捕されちゃう様なもの？

>>76
双眼鏡で簡単で覗けるからといって
覗いたことを他人に言いふらして、後から覗かれてますよと注意するのと同じだな。

>>75
>裁判長は「たとえそうだとしても、管理者側に修正の機会を与えないまま発表したのは
>正当視できない。模倣犯も出現し、高度情報通信社会の発展を妨げることは明らか」とした。


正直、こういう裁判に持ち込んでうだうだやってる奴が一番発展を妨げてるんだけどな。
更に、こういうﾊﾞｶな判例を作った奴も。

001.jpgを見て002.jpgがあるか試したら不正アクセスって事かね

>>1だと
＞今回問題となったアクセスの後も、協会に対してセキュリティーのもろさを指摘するメールを送っていた。

>>75だと
＞管理者側に修正の機会を与えないまま発表したのは正当視できない。

これってどゆこと？

いい事じゃねーか
インターネッツはもっと殺伐としてた方が面白い
厨房に塩を贈るような香具師はいなくなった方が面白い

>>79
そんなの普通だよな、そんなので逮捕されないよな。

「たとえそうだとしても」ってなんで仮定に格下げされてんだろ
セキュリティ関係のカンファレンスが高度情報通信社会の発展を妨げた？
具体例もないし、バカも休み休み言えつー感じ
明らかなのは、「ACCSの大穴がふさがってよかった」って事実だけだ
抽象的過ぎるよ。何が不正アクセスか理解できないとしか思えない

どうでもいいけど、このスレタイってWeb鯖上のHTMLファイルを改ざんしたかのような・・・

中央省庁の改竄したシナ畜はテロリストだろ

なにいってんのお前ら。すでにMicrosoftのOSで同様の話があるでしょーに。
民間会社がWindowsを販売前または販売中にセキュリティーホールを勝手に調査。
それをMicrosoftに報告。見つかった穴をこの日ぐらいまでに公開するから
それまでに穴を塞いで置く事と注意報告。
Microsoftはセキュリティーパッチを作成。公開日に間に合わなくても問題なし。
民間会社が公開。

別に訴えられたりしない。この方式を公表前にこの被告はやるべきだった。
もう知られた方法なんだがな。訴えられても確かにおかしくない事だよ。これは。

高度情報通信社会の健全な発展を阻害することは明らか

>>86
セキュリティホールの公開で訴えられてるんじゃなくて不正アクセスね。

>>86
業務妨害で訴えられることはなくなるかもしれんがこの場合は効果ないだろう
罪状もはっきりしないまま審理されてた感があるから、この駄目地裁に限って有効といえばそうかもしらん

まじかよ・・・

裁判所ってプログラムとかネットの世界とかよくわかってなくて
たいてい想像で裁いてるよね

一番わかってないのは>>91なわけだが

>>87
えらい大きく出たな・・・

>>91
忙しい職業だから２ｃｈする時間は一日3秒までらしいよ

officeのやった事は、どう言い訳してもaccsに対するゼロデイアタックとその幇助なわけだが。
実際、プレゼンの後にofficeのやり方でaccsのデータを抜き出したアホがいるようだしな。

模倣者は無罪か

セキュリティホールについて議論もできないこんな世の中じゃ

＞犯行の経緯や動機に酌量の余地はない

不正アクセスとアクセスのプレゼンで量刑が同じというのは解せんな
「犯行の」というのも行為の見方が一面的過ぎる。最初から決まっていたかのような作文だ

豚の想定内＞＞＞無能管理者

これ最悪だな
セキュリーホールとか言ってるけど何ヶ月前に発覚したまま管理してる奴は知ってながら放置。
で、その委託業者はセキュリティなんて考えない世の中とか言ってたはず。

エコー出力するプログラムをおいておいて、サーバ内のリソースを
出力するのが想定した利用法と違った、というのは信じがたいねえ。
仕様上当然そういう動作をするものだから。

>>98
ライブドアはPHPのエラーをブラウザに吐くんで、インクルードファイルのパスとか
データベースの接続パスワードとかもろ見えになってますけどねｗ

>99
委託業者や管理者、関係者は数ヶ月と主張しているが、ITmediaの記事では３年間放置
そして「脆弱CGIを上書きしたと思いこんでいた」と言えばＯＫか

少なくとも３年は脆弱性放置垂れ流しでも裁判所が護ってくれる訳か


ACCSの個人情報流出は1184件、脆弱性を3年以上放置
http://www.itmedia.co.jp/news/0311/12/nj00_accs.html

FirstServer：２頁、カスタマイズCGIと誤認し、上書きを実施していなかった
http://www.firstserver.co.jp/pdf/news041015.pdf

ｻｲﾊﾞﾝﾁｮ馬鹿だｒ

IT関連は専門知識のある裁判官が勤めるべきだと思うんだが。
あんまわかってないで判決出してるだろ。

都合の悪いことがあったらサイバーノーガード戦法で行けばいいわけだな

他人の個人情報含んだファイルをリンクせずに置いておいて
誰かに見られてWEB上に広まっても無罪と言えるんじゃないかこれ

公開領域に個人情報おいたり、リクエストされたファイルを
なんでも表示しちゃうスクリプトを設置して訴訟するようなホームラン級のバカは
ACCSの他にはそういないでしょ

>>105
設置者が「こう使って欲しい」と意図したのと違うやりかたで
アクセスしたら有罪確定ということでFAのようだね

酷い判決だな・・。

ＵＲＬ打ち込みでも、例のログファイルにアクセスできたんだろこれ


http://internet.watch.impress.co.jp/cda/news/2004/11/22/5499.html
中程の行：篠田教授発言
「ブックマークレット」のようにURL欄にスクリプトを記述すれば本件と同様の行為が可能だったと指摘し


官邸の時もＵＲＬ打ち込み可な脆弱性

http://www.melma.com/mag/66/m00041466/a00000156.html
首相官邸にクロスサイトスクリプティング問題
中程の行：
偽装コードのサンプル（下記をブラウザのURLに貼ってください。
ttp://www.mmz.kantei.go.jp/cgi-bin/confirm.pl?mailaddress=
[email protected]&sex=><div%20align=left><font%20size=+5><b>%A1＜以下略＞
一連のクロスサイトスクリプティング問題を発見した office 氏は＜以下略＞

今回の事件は当該WebサーバのCGIに「通常であれば」IDとパスワードを用いてFTPアクセスするのに対し、
容疑者は、FTPサーバのユーザIDとパスワードを用いずにアクセスした。
（方法としては、CGIのプログラムをローカルに保存し、パラメータを変更しアクセスした）
ことによって、当該計算機にはFTPサーバがたっており、「IDとパスワード」が存在したわけで
それ以外からのアクセスは「不正アクセス」と見なす。

ってことです。
ようはサーバに一つでも「IDとパスワード」が必要なものを仕掛けておくだけでそのサーバは「セキュリティ保護されている計算機」
と見なされる結果になりました。
アホらしい結果。これで日本のセキュリティ技術者がレベル上げる必要はなくなったし。
判決も検察の求刑通りだし。
これからセキュリティ対策が不十分なサーバがたくさん出てくる。

FTPのパスなんてHTTPにはなんの関係もないじゃん
こりゃ裁判官大馬鹿説が真実味を帯びてきたな

まあ、カギが空いていても、知らない人の家に入ったら
不法侵入だもんな

FTPさえパスかけとけばポート全開にしといてもおｋなのか
そりゃしらなかった

>>110
これマジで？
スクリプトの脆弱性とかSuexecしてないとかそういうレベルの問題じゃないじゃん
ftpdがパスワードで保護されてたってApacheさんには１�_も影響しなーよ

サイトを構築してたヨセフなんとかってのがすごい声明文出して笑った

判決がほとんど検察のお作文と同じなのが引っかかるな。

ぶっちゃけ裁判長はよくわかってないだろ

>>114
マジです。「計算機がセキュリティ保護されている」という点でみれば
ひとつでも「IDとパスワード」があればOKなのです。
Office陣営は「計算機には異なるserviceがあり、それらは個別に見る必要がある」
という論法で闘ってたのですが、結局却下されました。
要は、HTTPもFTPもtelnetも同じわけです。

今回の裁判の判定は非常に残念でした。
私もおかしいとは思います。しかしこれが国の出した判決です。
控訴するかどうかはまだわからないですが、おそらく控訴しても同じでしょう。
この裁判には、たくさんのセキュリティを研究している教授が意見書としてだしていましたが
それらもすべて無視した結果になってしまいました。。。

ホントアホらしい。

>114
マジ
しかもFTP云々はブラウザ側からはｻﾊﾟｰﾘ判らん世界

しかも第５回公判で「FTPパス云々」が初めて出てきたはず
完全に後出しじゃんけんの世界

個人ＨＰの第５回公判傍聴記録
http://sp.homelinux.com/seer/lib/04f/j5a.html

HTMLがセキュアであったならば私は河合を支持した。

じゃあsamabaでアクセス制限したとか言えばなんでもありだな

たとえば
http://なんとかかんとか/
を
ftp://なんとかかんとか/

にしてアクセスしたら、タイーホなの？

ftpにパスがありゃhttpで読めるデータも保護されてると見なすってどういうことだコラｗ
一方のアクセス制御機構で他方も保護されていると見なすためには、一つのものでftpと
http両方のアクセスを制御できるか、2つの機構が一つの同じ仕組みで提供されているか
のどちらかを満たしている必要があるはずだ。
しかもデーモンと電算機は1対1の関係で固定されるわけじゃないし、>>110の話が
ネタじゃないとすると、裁判官の判断は矛盾撞着もいいとこ。

河合は罰せられないとヤバイさ。
問題なのはヌルイセキュリティーが何も問題視されない事。
激甘セキュリティーのおかげで裁判や捜査に無駄に税金を使ったのだからそっちも罰しても構わんぞ　ﾌﾟﾝﾌﾟﾝ

河合氏のやり方が間違ってるのは確かだが
個人情報漏洩しといて被害者ぶってるアホどもが問題

>>124
明らかにこの糞判例が残ることのほうがヤバイぞ
小者が罰せられるかどうかなんてACCSの面子意外に大した意味は無い
あえて比較するなら、だが

かつてのひろゆきの言葉

104 名前：ひろゆき ◆3SHRUNYAXA ＠どうやら管理人 ★[] 投稿日：04/02/04 12:22 ID:???
次回、accsがミスしても助けてくれる人は
現れないでしょうね。

http://perape.hp.infoseek.co.jp/column/e00/colm_e98.htm

パスも掛かってないからアクセスしていいんだろうと思ってコネクトしたら、
実はFTPはパスありデシタ〜とか言われて起訴されることがありうるってことか。

HTTPでアクセスした側から見たら、しらんがな(´･ω･｀)状態だぞ。

こうして日本のレベルは落ちていくのであった。

【完】

http://www.ipa.go.jp/security/ciadr/law199908.html
不正アクセス行為の禁止等に関する法律
（目的）
第一条
＜途中から＞アクセス制御機能により実現される電気通信に関する
秩序の維持を図り、
~~~~~~~~~~~~~~~~~~
もって高度情報通信社会の健全な発展に寄与することを目的とする。
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~


すばらしい秩序維持と高度情報通信社会の健全な発展に寄与する判決だった
これで日本のセキュリティは向上するんだろうな？
　＞バカ地裁　＞バカ裁判官　＞この法律で戦ったバカＡＣＣＳ

　　|￣￣￣￣￣￣￣|
　　| 　チーズと 　　　|
　　|　小イモ定食　　.|
　　| 　３０００円　　　.|　 　,. . _
　　|＿＿＿＿＿＿＿| --' 、　 ￣￣ヽー- ､
　　　　　　　| |　 ヽ￣7　, ,　＼　 、　　 「￣ 7
　　　　　　　| |　　ヽ / /_ /ハ　|ヽ、＼　V ./
　　　　　　　| |　　　 i　il/　　 ヽl　　＼ヽ. V
　　　　　　,. -{-､ __ .| ii i!　 ｏ　　 ｏ　 | il　|
　 　 　　　{ 　 Y/　　l il |､　　 Д　　　| li　|
　　　　　　`t-く　　　ヽN　` 　---　＜ﾘiレ'
　　　　　　　| |　`ー-- ､　 / 　　.ヽ　 ｀丶、
　　　　　　　| |　　　　　 ￣ヽ　　　 ノ >-'　　 !
　　　　　　　| |　　　　　　,.ｨ`＝=＝ r'^ヽ､_,／- 、
　　　　　　　| |　　　,　 '"　　／/　　!'~｀V-─ ､　）
　　　　　　　| |　＜ _,／　／　/　　/i 　　＼　(_ノ
　　　　　　　i_j　　　 /ヽ '　　/　　/　!　　　 ,>
　　　　　　 　　 　　/＿ > ､ 」＿_/ _」, ｨ'´ 「
　　　　　　　　　　:::`ー':::::::::::::::::::::::::::::ヽこﾉ:::

ねぇ、ACCSのホームページにいっても真っ白だよ。
ここってぺーじもってないの？

>132
ttp://www2.accsjp.or.jp/

>99
これ？
ttp://www.josephandleon.co.jp/seimei.html
声明 ：officeこと、河合一穂の逮捕にあたって：有限会社ヨセフアンドレオン
代表取締役　中川文人

現在、ASKACCSの再開に向けた作業を進めていますが、 セキュリティの専門家やセキュリティ技術に依存しないセキュリティのあり方、セキュリティに依存しない情報社会のあり方を模索していかなければならないと考えております。


↑　セキュリティノーガードライター集団、ＩＴ業界に見参って所か

>101　の３年以上脆弱性放置垂れ流し、検察の求刑通りの有罪判決なら五条違反の過失相殺はゼロな訳だ
何のための五条だ？　いったい何十年脆弱性放置すれば五条違反だ？

第五条（アクセス管理者による防御措置）
アクセス制御機能を特定電子計算機に付加したアクセス管理者は、
当該アクセス制御機能に係る識別符号又はこれを当該アクセス制御機能により確認するために用いる符号の適正な管理に努めるとともに、
常に当該アクセス制御機能の有効性を検証し、
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
必要があると認めるときは速やかにその機能の高度化その他当該特定電子計算機を
不正アクセス行為から防御するため必要な措置を講ずるよう努めるものとする。
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
ttp://www.ipa.go.jp/security/ciadr/law199908.html