日keijiコメントをどうぞコメントTweet様々なコメントをいただきありがとうございました。コメントでいくつか質問や問題提起がありましたので、新たなエントリーという形で個人的な考えを書いてみます。不十分な内容でもありますのでご意見をいただければと思います。「とにかくWinnyの規制には反対!」という方は「ISPによるWinny規制が良くない理由をちゃんと考えよう」というエントリーがありますのでそちらにコメントをお願いします。(こちらのエントリーへ同種コメントがあった場合削除することがあります。コメントを書く前に一度過去のエントリーのコメント欄を良くご確認ください。既出のコメント内容等については削除する場合があります。)[注意]あくまで重要情報の漏洩・拡散の防止の観点で書いています。著作権保護等に関する議論は対象外です。[注意]■以前からP2Pネットワークへの情報漏洩の問題があったにも関わらず有効な対応策が取られていない理由おそらく組織や団体の管理者やセキュリティ担当者の多くがWinnyを使用しておらず、また漏洩情報の実情に接する機会も少なかったために事態の重大さに気づくのが遅れたのではないでしょうか?昨年後半から官庁等からの漏洩事故発表が増加し広く問題が認知されるようになったのではないかと思います。私自身も事故の存在は知りつつも昨年後半までセキュリティの課題としてそれほど大きく考えていませんでした。当時の認識のイメージとしては現在の山田オルタナティブのような状態でしょうか。■Winnyを規制しても結局いたちごっこになるのでは?「いたちごっこ」でも良いのではないかと思います。情報セキュリティ分野において「いたちごっこ」は最も効率的なアプローチの一つだと思います。ウィルス対策ソフト、修正パッチの適用等セキュリティ対策の多くは「いたちごっこ」です。情報セキュリティ対策自体が「いたちごっこ」だから行っても無駄ということを言われていた時期がありました。ある対策が有効であれば「いたちごっこ」であれなんであれ対策を行うべきでしょう。100%の安全を求めるあまりに目の前のリスクを見逃してはいけないと思います。Winny上に情報漏えいをしてしまった多くの企業団体はセキュリティ対策を怠っていたのでしょうか?全てではないにせよ多くの企業は多額の対策費用を投じて自社のネットワークを保護していたはずです。それらの投資の大半は、ハイスキルな侵入者を想定した高度なセキュリティ機器やサービスなどに使われていたと思われます。周囲で発生しているWinnyからの情報漏えいというリスクを認識できずに、当時考えられていた本質的なセキュリティ対策を優先してきた結果ではないでしょうか?「いたちごっこ」を恐れるあまりに脅威とリスクの変化に対応できていなかったともいえるでしょう。Winnyのない世界で同様のリスクが本当に発生するのかという点を見極めなければなりません。Winnyと同種の他のソフトウェアの違いは、ウィルスが原因の一つであるにしろ実際に多大な被害が発生しているということです。被害の程度についてもいまだに過去の漏洩事故のデータがダウンロードできる状態にあるなどWinny以外で発生している漏洩事故とも性質が大きく異なります。一つの仮説としてWinnyのプログラムはこの手の漏洩を引き起こす攻撃に対し比較的脆弱だったということが考えられます。国内外の同種の他のソフトで現在Winny上で発生しているような問題がそれほど発生していないのは、Winnyは漏洩事故を起こしやすい仕様または実装だったことも原因の一つではないでしょうか。技術的には任意ファイルの実行によりあらゆる操作が可能ですが、Upフォルダやその内容の設定を煩雑にすることにより攻撃の手間を増やすなどしてウィルス製作者に対する障壁を高くするなどの対策は可能と思われます。このような対策により現在発生しているような情報漏えいの発生確率をいくらか低くできる可能性があります。今後、更なる検証が必要ですが、なぜWinnyでこれだけ多くの事故が発生し、なぜ他のプログラムでは少ないのか。海外で同種の事故が発生していないのかなどについてもう少し掘り下げる必要があるように思います。■恒常的な対策はどうするのか?散々あちこちで書かれている組織・個人のセキュリティ対策を確実にする。情報の持ち出し管理を徹底する。不用意なクリックを防止する。十分な注意喚起を行う。ウィルス対策ソフトを使用し更新する。Winnyを使うマシンで重要ファイルを扱わない・・・等等は当然として、ここではWinny上での情報漏えいは他の一般的な情報漏えい事故とは大きく性質が異なるという観点でその対策を記述します。恒常的な対策として、実際に問題が起こったプログラムの使用を規制しつづけるというのはアリかと思います。Shareにユーザが移行したとして問題が起こればShareを規制するということを続けます。これによりプログラム開発者に同種の問題を引き起こさなくするような安全なプログラムを開発する動機付けになるかと思います。現在想定されている匿名P2Pファイル共有の仕様では作為的であれ事故であれ他人の人権を侵害するような悪質なファイルが漏洩してしまうとその回収が困難で拡散を続けます。情報セキュリティの観点からは、こういったネットワークの存在自体が大きな脅威となります。匿名ファイル共有という仕様が脅威でありそれを社会としてどこまで許容できるのか、すべきなのかについて、様々な観点から議論を行う必要があるように思います。その他恒常的な対策の選択枝の一つとしては、未成年の喫煙、無免許での自動車運転、幼児ポルノなどが禁じられているのと同様に、結果的に著しく社会に害を与える危険な使い方が可能なソフトウェアについては、本来の目的がどうであれ使用条件を制限するなどの法的規制もあり得るかと思います。いった規制は市民の自由を奪うことになるので、ある程度情報管理が可能な匿名P2Pファイル共有ソフトウェアに移行するなど、利用者、開発者のモラルによって規制に発展しないよう自制するに越したことはないかと思います。このような話を書くとすぐに著作権保護の話と混同されてしまうのですが、ここでは純粋に情報漏えいの防止と被害者の救済という視点で書いていますのでその点ご理解をお願いします。[注意]あくまで重要情報の漏洩・拡散の防止の観点で書いています。著作権保護等に関する議論は対象外です。引用インターネットの利用にも免許がいるのではないかという議論が先日終焉を迎えたパソコン通信の時代にもありました。匿名P2P使用に関して免許制度導入というのを考えたことがありますが、結局免許を持った人どうしのやり取りになり、かつ無免許利用者の取り締まり必要性を考えると登録なども必要になって匿名ではなくなってしまうんですよね。>ある程度情報管理可能な匿名P2P個人的には、匿名性と情報管理可能性は、完全には両立できないものではないかと感じています。匿名掲示板として知られている2chすらも完全に匿名ではありません。これを匿名であるとする幻想をもたらしているのは、問題が起きてもかなり度が過ぎたレベルまで放置してしまう特異な管理ポリシーによるものでしょう。結果、2chの生み出した文化には無責任という弊害が付属しています。Winnyも同じで、やり取りされるファイルに対する責任を誰も取らないことを前提として得体の知れない人と得体の知れないファイルをやり取りするためのものであるわけで、私のHNにinspireされたと思われる方も同意された通り、そんなものを欲しがること自体実に馬鹿げたことです。この無責任という点の大元は、個人的には2chよりも、事実上唯一の著作権管理団体たるJASRACにあると考えています。著作権者への還元内容をまったく明示せず、どんぶり勘定で済ませてしまっている。これでは音楽や映像を楽しむ側も、対価として払うべきものを払うという概念が根付きません。ここをきちんとして、各個人が楽しんだ分の対価をどれだけ払っているかという点を把握できるようにするところが、個人のリテラシー向上の原点になると思います。関係ないよう話をしているように見えるかもしれませんが、漏洩する情報も動画・音楽ファイルも暴露ウイルスも、PC上の一ファイルである点は共通です。一人一人が一つ一つのファイルを責任を持って扱うようにすることこそが、根本的かつ恒常的な対策であるように思います。それが結果として情報漏洩の対策にも著作権保護にもなるでしょう。引用お答えありがとうございます。いたちごっこになるというアプローチはしかたないと思っています。それはどんな対策を行ったとしてもその穴をかいくぐる人達が出てきますから。今後のワークフローありきでWinnyを規制するって説明の方がなんでWinny規制なんだ、他にもP2Pあるじゃんかという堂々巡りの話にならないと思いましたので、こういったコメントをつけさせて頂きました。あれば、このウィルスに対してシグネチャに追加するという内容のように、こういった事例であればこう対応するというワークフローを形成することが重要かと思います。それを行うことにより発生しえるデメリットの代替手案を考えることができ、不安に思う方々へもアプローチできるのではないかと思います。言ってもその際にどういったデメリットが発生するのか、またその被害を被る人への救済案が対策の進展に繋がるのではないでしょうか何々をやります。言っただけでデメリット、またそれの対応のアプローチを説明出来ないのではそりゃ非難轟々になるのはしかたないかとたぶんそれを詰めようとエントリを書かれたのかもしれませんが、あまりにも説明がなさすぎるように見えます。ちなみに対策の遅れの一文にある>おそらく組織や団体の管理者やセキュリティ担当者の多くがWinnyを使用しておらず実際にセキュリティ担当者が使っているという例を結構見ます。いくつかのニュースでもセキュリティ担当だったという表現が用いられてる話もあったと思います。自分が使っているからとして大々的に非難する人が少かったのもこのような事態に発展している一面もあるのかと。多くの企業のセキュリティ部署は、受動的に動く性質が結構あります。引用blacklightさんコメントありがとうございます。2ch風匿名likeP2Pファイル共有ネットワークというのは一つの方法としてはありそうですね。インターネットは匿名だとか自由だとか思っている人が多いですね。技術的には可能ですが通常の利用をしている限りはそうでもないにも関わらず・・・。alvissさん、コメントありがとうございます。心情的に規制が嫌だと感じる人がいる。違法にファイルをやり取りする場が減る以外のデメリットがわかりません。この点については「ISPによるWinny規制が良くない理由をちゃんと考えよう」というエントリーを用意していますので、意見のある方はそちらにお願いします。上記1については、漏洩事故の被害者の心情とのバランスかと思います。私個人は漏洩事故被害者の事故情報が漏れ続けるのは嫌だという心情を尊重するべきと思います。わかりやすく説明していく必要がありそうですが。2については推奨はできませんが方法としては漏洩事故対策の施されたソフトウェアの使用、WinMXやBitTorrentなど匿名性と拡散が緩やかなソフトの利用などが考えられます。引用>>今後のワークフロー>についてはこれまでもずっと書いているように同様の問題が発生し>たら規制をするの繰り返しで良いのではないでしょうか?その場合、ISPにとっては管理部門を置かなくてはなりませんしどう管理していくか、またどのレベルの問題で規制をするのかを明確にしなくてはなりません。その判断は誰がするのかその費用、管理はISP独自で負担するのでしょうか?結果それはユーザーへの料金設定へも影響すると思います。全体ユーザーの数%しか満たないユーザーのせいでそうなるのはいたしかたないということなのですかね#大規模ISPならどうとでもなるかもしれませんが、小規模のISPにとってはその負担が経営悪化を招く恐れもありますけど政府が団体の設立、またIPAが管理するなどをお考えでしょうか?それでも補助などない限り、ISPの費用負担は避けられないとは思いますが・・・。そのあたりのISPに対する費用対策はどうするのでしょうか管理~運用を含めた管理面、費用面まで含めてのワークフローかと思います。自ら規制を率先しているISPもあるわけでそれぞれの事情があるでしょうから、ISPの当事者でもない私がここでいくらフローを書いたところで仕方がないような気もします。引用ソフトウェアという「道具」に責任を求めるのではなく情報流出という「結果」に対して責任を求めるべきではないでしょうか?これだけ多くの事例が報告されながらまともに処罰されたという例は聞きません。道具に責任は求めてないですよ。事故防止と被害軽減の方策を模索しているのだと思います。各アンチウィルスソフトメーカーのサイトにてP2Pファイル交換ソフトへの対応状況を調べました。アドバンスに移行すればwinnyの発見、駆除まで対応しているようです。【キングソフト】winny起動時に警告を表示、許可か禁止を選択できる。駆除はしていないようです。トレンドは法人版だけに対応している、キングソフトは個人に対応している。このあたりメーカーがどれくらい日本市場に力を入れているか試金石になっているようだ。マカフィー、シマンテックはおそらく米国主導なので対応が遅れているのだろう。P2Pファイル交換ソフトを駆除しろと技術者を説得しなければならないからだ。してみると今後の日本のインターネットインフラの脆弱性を垣間見るようだ。アンチウィルス、セキュリティ対策は外国企業頼みという現状が浮き彫りになった。他人の「重要情報の漏洩・拡散の防止」につき合う義務はあるのか?Winnyを利用したウィルスなどによる情報漏洩については、武田圭史氏が、積極的に規制推進の議論を行っている。第一回が開催されたようです。引用トレンドマイクロがwinny駆除に積極的に動いているのは評価したい。メイドインジャパンのアンチウィルスソフトメーカーがなければ、各社一覧にしてwinny検地・駆除に対応しているアンチウィルスソフトはここですと定期的に表示して競争させ、開発を促すのがいいだろう。それをみた消費者が値段も手ごろでサービスがよく、必要なセキリティを確保しているメーカーを選択すればよい。現状ではメーカーを競争させて必要なソフトを入手するしかないのだから。日本社会のセキュリティ向上に役立たないメーカーは市場に生き残れないようにしてしまおう。ネットワークを壊滅させる。これ以外に無いでしょう。