真夏のゾッとする話(IT編)

最近騒ぎになっているこんな記事。

図書館ＨＰ閲覧不能、サイバー攻撃の容疑者逮捕、だが…（朝日新聞）
http://www.asahi.com/national/update/0820/NGY201008200021.html

ホームページの情報収集ソフト（クローラ）を使用していただけなのに、
サイバー攻撃を仕掛けたとして、ソフトウェア技術者が逮捕され、
数十日間にわたり拘束されていたというひどいお話。

解析に携わった高木さんのサイトで詳細は書かれていますが…
http://takagi-hiromitsu.jp/diary/20100821.html#p01

「図書館の業務に支障が出たことは事実で、捜査に問題はない」
との県警のコメントに唖然。問題の本質が全然見えてないんじゃないかと。

以下、凡人エンジニアとしてコメントしても、
ツッコミどころは山ほど見つかりますね。

・根本的に作り方が変。
　（セキュリティやサーバ負荷の観点から、
　　普通セッションにデータベース接続を持たせたりはしない。）
・ソフト自体のメンテナンスがきちんとかかっていない。
　（ASPとASP.NETの混在はあり得ないと個人的には思う。）
・そもそもなぜフリーソフトを転用している？
　（フリーソフト使用のリスクを意識できていた？）
・ソースをFTPで公開されている場所に置くのは危険。
　（コードから脆弱性を発見され、別の危険性が生まれる。）

ここから推測できるのは、
・フリーソフト作者の技術知識不足。
・ソフト会社の開発能力・知識の低さ。
　（少なくとも僕以下。）
・脆弱性を見つけようともしなかったソフト会社の怠慢。
　（レビューや負荷テストで見つけられる問題ですからね。）

これで高額の開発費を請求していたら、ぼったくりやね（笑）

また今後このようなITにまつわる犯罪が増加する背景の中で、
・警察のITに関する知識のなさ。
　（きっと、ドラマでよく見るようなアクセスログから…
　　なんてお決まりのことしかやってないんだろうね。）
・知識がないなら有識者を外部から入れる等の柔軟な対応ができない。
　（朝日新聞が高木さんに調査依頼しなかったら
　　…と考えるとゾッとします。）
・何よりも自分たちの非を認めない頭の固さ。
　（きっと進歩すらできません。）

民間企業がやってる問題解決の研修受けてきた方がいいよ。
あと「踊る大捜査線」も見た方がいい(^^;

あと、今回の事件を通じて。
・ソフトウェアに関する不具合でも、警察沙汰になるということ。

特定IPからのアクセスをブロックではダメだったのかな。

とにかく、容疑者として拘束されていた人が一番かわいそう。
自らクローラーソフトを作ったり、図書館に通い詰めるところから察するに、
有能なエンジニアなんじゃないかなと。
今回の一件で、もうこんな業界辞めてやる！って思ってなきゃいいけど。
貴重な人材がこんなことで失われるのなら、胸が痛みます。

ちょっと話題からそれますが…
ときどき日本って欧米のマネばかりしすぎて、
どうかなって思う時があります。

「ものづくりの日本」って言葉。
古いかもしれないけど欧米にはない、
日本の良いところを表す言葉なんだと思う。
今、インドや韓国に押されているのは
「ものづくり」を怠ったからだと思うし、
提案や企画力の前にまず「作る力」が重要なんだと思います。

僕も言ってみればソフト会社と同業者という立場なので、
「人の振り見て我が振り直せの気持ちで」人様に迷惑かけないよう、
日々切磋琢磨しなければ！

ところで、警察に相談したのは誰だったんだろう。
アクセスログを解析できるのは図書館のサイト管理者とソフト会社。
ソフト会社に問い合わせなく
不正アクセスかどうかは判断できないだろうから、
（普通ソフトの何らかのバグではと相談が持ちかけられるはずなので）
ソフト会社が不正アクセスって判断したのかな？

もしそうだとしたら、「無知は罪」だなぁ。