Winnyによる情報漏出は誰が悪いのか？
ここ最近、特にウィニーの利用者パソコンから情報漏洩が相次いで報道されている。
NTT東西の顧客情報1396件がWinny流出--原因は社員PCのウイルス感染
海自「秘」情報がネット流出 隊員ＰＣがウイルス感染か
受刑者情報が流出 京都刑務所の職員ＰＣから
生徒１９６人分の個人情報、ネットに流出 神戸
東京地裁の書記官が競売情報持ち出し、149人の個人情報がWinny流出
ここ数日のめぼしい記事だけでもこんなにある。
（追加：20060303）１５００人分の捜査資料がネットに流出 岡山・倉敷署
（追記：2月はWinnyによる企業の情報流出が問題に--トレンドマイクロ月間レポート
「近年の不正プログラムの傾向が金銭などの利得を目的とするようになってきた中で、あくまで世間を騒がせる古典的な愉快犯の要素が強いウイルス」とのことである。
道警の警察官については裁判にもなっているが、とにかく後を絶たないし、そろいもそろってWinnyのウィルスで私物パソコンから職場の機密情報が流出するという経過だ。
誰が悪いのか？
もちろんまずウィルスを作って放った奴が一番悪い。
それからウィルスに感染したままなおネットにつなぎ続けた奴が悪い。
さらには機密情報や個人情報など、漏れてはまずい情報を扱いながら、ウィニーを利用するのも軽率だ。利用者はウィルスの被害者であると同時に、情報漏洩の加害者でもある。
こんなことが重なると、どこかのわけ分からない組織のセキュリティ担当者が、ウィニーにとどまらずP2Pソフトすべてを禁止するという暴挙に出はじめるかもしれない。
| 固定リンク
「パソコン・インターネット」カテゴリの記事
- 最高裁サイトに証明責任関係を判示した裁判例はどれくらいあるか、AIに聞いてみた(2025.05.16)
- 任天堂Joy-Conドリフト問題についてのEU消費者保護部局の共通見解をNoteBookLM(2025.05.06)
- 生成AIもどんどん賢くなっている(2025.01.16)
- TwitterX:醤油なめ少年の家裁送致(2023.08.07)
- Mook:法律家のためのＩＴマニュアル(2023.07.19)
コメント
管理体制も悪い。
私物パソコンの持込 or 業務情報の持ち出しを許すなんて何を考えて、
といったところも加わりますかね。
投稿: サスケット | 2006/02/25 01:40
私物ＰＣを持ち込まざるを得ないようなせこい職場環境＋仕事のお持ち帰りをしなければならないような劣悪残業環境。
投稿: h | 2006/02/25 03:16
私物のＰＣ利用を批判する声が大きいですが、役所の多くは必要とする職員向けのＰＣを支給していないのですね。
まぁハードウェアとしてのＰＣを支給しないと、役所の管理が及ばない、といった考え方があるのだとするとその方が問題じゃないか？と思いますが、役所の作業環境などが問題になった例としては「ふさわしい服装問題」なんてのがありますからね。
それにしても、かなり多くの企業で Winny のインストールはルール違反としていると思うのですが、ウイルス対策の義務づけなど、ＰＣの使用ルールが決まっていていないところで問題が起きているのではないでしょうか？
学校（高校）にメールしても返事が来ないんですよね。
info@school のようなメールアドレスしか無くて、個人宛にメールが通らないから、実際には「印刷したメールの文章を読んでいる」とかなんです。
リンクの紹介なんてどうすれば良いのだ？？
投稿: 酔うぞ | 2006/02/25 08:11
私の意見は以前のトピックに書いたとおりのことを引用します。
＞もちろんまずウィルスを作って放った奴が一番悪い。
ところで、これって日本特有の事情なんでしょうか？
たまに、外国の人がこのソフトかどうかわからないけれどもひっかかるのは見かけますが、おそらく流出していることさえ気づいてない。日本だと
連日連夜起こってるから諸外国よりは漏洩に気づきやすいけれども。
一番怖いのは漏洩されていることがわからない状態じゃないでしょうか。
＞こんなことが重なると、どこかのわけ分からない組織のセキュリティ担当者が、ウィニーにとどまらずP2Pソフトすべてを禁止するという暴挙に出はじめるかもしれない。
その可能性は低いと思います。
たとえば、下記参照。
http://bbs.hotfix.jp/ShowPost.aspx?PostID=4647
それに会社で禁止したとしても従業員の私物PCから流出するケースが殆どですから
P2Pというよりは私物PCへのファイルのコピー自体等データの社外流出を一切禁止するという方向が対策としては望ましいでしょう。しかし、これは今のところ非現実的でどこも取り得ないでしょう。
投稿: 東馬 | 2006/02/25 09:32
＞＞こんなことが重なると、どこかのわけ分からない組織のセキュリティ担当者が、ウィニーにとどまらずP2Pソフトすべてを禁止するという暴挙に出はじめるかもしれない。
ひょっとすると公権力の公使という意味ですか。国がやるのでしたら上の引用は何の意味も持たないですね。
でも、
「検閲」になりませんか？
投稿: 東馬 | 2006/02/25 09:39
いやいや、企業が従業員にたいし、就業規則の一部として、P2Pソフトウェアの利用を禁止する旨の罰則つき条項をおいてしまうのです。
こうすれば従業員の私物パソコンからでも情報漏洩があったとき、Winnyのウィルスでやられた場合でも組織の管理責任はきちんとしていたと、悪いのはもっぱら従業員だと逃げられますから。
その条項を守らせる実効性とか、winnyとP2Pの関係とか、なぜファイル交換ソフトと書かないかとか、責任を取り繕うことしか頭にない人々にとってはどうでもいいわけで。
ちなみに、社内・学内のネットワークを経由する場合は引用された対策でもかなりいけますが、私物パソコンからの情報流出、それも自宅でネットにつないでいた、となると、ネットワーク管理者の技術的対策ではどうしようもありません。
投稿: 町村 | 2006/02/25 10:55
トラックバックを重複して送ってしまいましたので、削除をお願いします。失礼しました。＞町村先生
投稿: yjochi | 2006/02/25 11:13
う～ん、どうなんでしょう？
ぶっちゃけた話として、こういったP2P関連の情報漏洩が発生している事は、ほぼ周知の事実であると言ってしまって差し支えないと思いますので、結局は「対策を怠ったものが悪い」ということになるのではないでしょうか。
実際問題として、流出してはマズい情報を扱っているＰＣにおいて
１、P2Pソフトをインストールしない。もしくは削除する。
２、ネット接続自体ができないようにしておく。
３、上記２項の徹底が難しい場合、ＣＤやＭＯ等のメディアを使用し、情報そのものをＰＣから隔離して保管する。その上で、情報を利用する場合に限り、ネット接続の設定を無効にする。
以上３点。どれか一つが厳守できれば、９９％防げる問題だと思います。そして、これらは決して難しいことでは無いと思います。
仕事を個人ＰＣに持ちこまなければならない状況を打破できない組織があることは確かに事実でしょうが、だからといって、「仕方ないから個人ＰＣで仕事→対策何もナシで、情報ダダ漏れ→悪いのはこういう環境を作った組織側」なんて事は情報を漏洩させてしまった人間の甘え以外の何者でもなく、論外です。言い訳にもなりません。
持ち出すならばそれなりの対策を行って然るべきだと思うのです。
しかも、このP2Pの問題に関しては、決して対策に難しい技術を要するものではないのですから。
以上を踏まえまして、私はやはり今回の件に関しては「情報を漏洩させた人間の責任」が最も重いと考えます。
投稿: 一晃 | 2006/02/25 11:43
PCなんて、まとめて導入すればソフト込みで1台10万円なんだからなら、ケチケチせず買えばいいのに。
投稿: Inoue | 2006/02/25 12:00
情報を漏洩させた人（利用者）が一番悪いというご指摘は最も正論です。
自分自身を振り返ってみるに、機密というほどのものは何もないとしても、学生の個人情報はたくさんあるし、成績情報などはセンシティブかもしれないし、いくつかの企業関係の仕事では秘密になっていることもあるのでしょう。そういうのを無造作にメールでやりとりしていた時代は、徐々に終わりそうです。
既に一部ではPGP導入を義務づけている関係先もあるし、南山でもようやくVPN導入にこぎ着けたところです。
でも、個人の持っているファイルの管理は、全くの自己責任ですね。
私は常時使うファイルをメモリスティックに入れて持ち歩いてますが、これも安全性はどうなんだろうか？
投稿: 町村 | 2006/02/25 12:09
私の勤務先の会社でも、P2Pソフトのインストール禁止（例外許可申請が必要）というお達しがでました。skypeやメッセンジャーの類も禁止対象です。
ところで、暗号化による外部との通信は伝送路における盗聴対策としては有効ですが、通信されている内容を管理部門が（事前事後に）チェックできないという問題もあります。
ファイル暗号化も、本人しか復号できないと本人に何かあった時に必要なファイルが読めないという問題が起ります。
管理部門でも復号化できるようにすると、プライバシー問題や、管理部門で漏洩があると全体の通信、ファイルが危険にさらされると言うジレンマがあると思います。
私はメモリスティクを使っていないのですが、暗号化対応（スティック本体が対応しているかPC側に暗号化ソフトを入れる）しないと、（メモリスティックを紛失したときに中身が容易に閲覧、コピーできてしまうので）危険だと思います。（メモリスティクに限らず、リムーバブルな記憶媒体に共通な問題←ノートPCも含む）
セキュリティと利便性のバランスをうまく取るのは、頭で考えるより現実的にはずっと難しいと思います。
＃何処でどのようにバランスを取るのかは、その人の職種や扱っている情報によって変ってくるので一概には言えないです。
投稿: WA | 2006/02/25 12:32
メモリスティック、なくす恐れは常々感じています。
マックでも暗号化ツールがあればいいけど。
投稿: 町村 | 2006/02/25 14:03
PGPのマック版があります。が、OS Xではどうだろう・・・
GPGのUNIX版は使えるのかな？
Windowsでは様々なソリューションがありますが、確かにMac OSにはあまりありませんねえ。
なくしづらい方法として、ネックストラップの利用があります。
本体側（キャップではなく）にストラップ用の穴があるスティックか、キャップが本体から分離しないタイプのものを使っていればネックストラップにつけてしまえば無くしません。
また、キーチェーンなどにつけておく手もあります。
そもそも無くさないようにするということで。いかがでしょう。
投稿: 金田真一 | 2006/02/25 14:10
そうですね。
今は本体側にネックストラップを付けています。
投稿: 町村 | 2006/02/25 14:39
ぶちまけてしまうと「仕事場と同じ環境をよそで実現する」事がダメなんじゃないでしょうか？
ノートＰＣを持ち歩くのなら、仕事場では使ってはいけない、とかになりますが。
一台のＰＣで仕事場でも出先でも作業している、ということは仕事場にドアも無ければ鍵はもちろん無い、とも言えるわけですからねぇ。
以前、自宅で仕事用に使っていたら、息子も共用するようになって、知らない間に Winny を入れられていた、なんてのがあるのですから・・・・・。
難しいですなぁ。
投稿: 酔うぞ | 2006/02/25 17:05
あるＩＴ法曹は、事務所ＬＡＮ用、インターネット接続用（ＤＬとサーフィンオンリー）、Winny専用という３台のパソコンを使っているそうです。
ただ自衛隊のような公務員となると最低限必要な１人１台パソコンすら予算で確保していないので個人用パソコンを業務に持ち込み、個人用だからとの気安さからWinnyをインストしたままが多いのではないかと推察します。
投稿: 通行中 | 2006/02/25 18:16
仕事が職場だけで行われていた時代は過去のものとなりつつありますから、職場の情報を持ち出せないと困る場合が多くなるでしょう。
解はThin クライアントということになるのかなぁ。
投稿: 町村 | 2006/02/25 18:43
あるいは、VPNで社内LANに接続できる専用端末を配布するか、ですかねえ。
私の場合は都合上私物のPCを自宅と会社で使っています。
会社のPCも貸与を受けているんですが、こちらでは社内ポリシーを遵守すると一部業務ができないんですよね。
なので、私物PCを特別に許可を受けた上で持ち込んでいます。ただし、社内LANには接続禁止。当然です。
業務の大半を私物PCで行っている以上、紛失や情報漏洩に繋がるウイルス感染への対策は慎重です。
PCのキャリングバッグは電車でも肩にかけたまま抱いていますし、メモリスティックはそのかばんの中。決して手放しません。
ウイルス感染のリスクがある行為はその私物PCでは厳禁ですし、そもそも共用もしていませんから全部私の管理下にあります。
PCは「パーソナル」コンピュータだ、ということを認識してもらいたいところですよね。
本来、共用するようなものではないんじゃないかな、と思います。
投稿: 金田真一 | 2006/02/25 23:25
やはり持ち運びするなら暗号化、ついでに管理者の許可付きで、
なんていいたいところですが、なんというか売る側の立場で言わせてもらうと(笑)
安全性はともかくとしてめんどくさい。
パスワード打ったりとかめんどくさい。usbトークン認証とか無くしたらどうするんだ。ついでにお金もかかる。
やっぱり問題はお金と知識ですね。
例えとしては、バイクだと任意保険に加入してなくても普通と思われているような。特にお金のない中小企業さん。
セキュリティ減税に期待します。
投稿: サスケット | 2006/02/26 01:03
> 業務の大半を私物PCで行っている以上、紛失や情報漏洩に繋がるウイルス感染への対策は慎重です。
ここにいらっしゃる方には釈迦に説法たと思うんですけれど、紛失だけでなく盗難（場合によっては強盗）なんていうのにも対策しないと……。
盗難の場合、何処までが事故責任で何処までが個人としては免責されるのかをはっきりさせておかないと、個人としては防ぎようの無い事情でも責任を取らされる心配が無いとも言えません。（紛失対策とほぼ同じ対策（重要ファイル暗号化や肌身離さず身につけること）で、個人に責任は無くなると思うのですが、その免責の保証がないと……）
＃もともと出張や外出がほとんどない職種なんですが、仕事がらみのノートパソコンは社外に持ち出さないようにしています。
投稿: WA | 2006/02/26 11:28
Winnyとは直接関係がない記事ですが、大手会計事務所の社員がＭｃＡｆｅｅの社員の個人情報が入ったＣＤを飛行機の中に置き忘れたという記事がありましたので、リンクを貼りたいと思います。（英語です）
http://www.mercurynews.com/mld/mercurynews/13950371.htm
この社員の場合はＣＤの情報を暗号化もしていなかったようですが、うっかりとしたミスでクライアントの情報を流出しているのかもしれないという大失態を犯したようです。更に悪いことには、勤務先に速やかに報告しなかったことも問題であるということです。
こういう人的ミスを完全に除去することは不可能だと思いますが、再発を防ぐのにどのような対策をＤＴがクライアントであるマカフィーに提示したのか興味があります。
投稿: koneko04 | 2006/02/26 16:59
絶対流出できないファイルシステムやファイル管理はありません。事務所への侵入盗や取引先の紛失を考えれば、当初からデータ暗号化がビルトインされたファイルシステム（ＯＳ）を使うのが当面のベストでしょう。
もちろんパスワード（暗号解読キー）を書いた付箋紙をパソコンに貼り付けるなんて愚行は懲戒するくらいにしないといけませんが。
投稿: 通行中 | 2006/02/27 00:04
しかしですね、実際みんなそんなに覚えられるモンですか＞ＰＷ
投稿: 町村 | 2006/02/27 01:08
パスワードを書いた付箋紙を１００枚ぐらい貼れば、別にパソコンに貼りつけても良いのでは……
というのは冗談ですが、パソコンとは別に管理している紙のノートなり手帳に、毎日パスワードを変更してメモしておくと言うのは一つの手かもしれません。（パソコンと手帳の両方を手に入れないとパスワードが破れない）
＃偽のパスワードを書いた付箋紙をあえてパソコンに貼っておくというのもアリかもしれません。
まじめに考えると、一定時間毎にパスワードを更新するシステムと、そのパスワードに連動して表示するパスワード表示機を組み合わせるのが強力だと思います。でも、パスワード表示機にもパスワードが必要ですかね？
パスワードを破るために物が必要になると、パスワードが安全かどうかが、物が無くなったかどうかで判るので都合が良いかもしれません。
あとは、お金が絡むものや重要な情報を管理するときのパスワードと、わりとどうでも良い情報のパスワードでランク付けして複数のパスパスワードを使い分けるというのも手かと思います。（重要性の低いパスワードなら漏れても被害が少ない）
＃自分自身のパスワード管理はあんまりきちんとしていなかったりします……。
投稿: WA | 2006/02/27 02:12
Ｗｉｎｎｙという社会的に注目を浴びている話題からパスワード管理という個人的な悩みについて話題の方向性を転換してしまったかな？
でもこれも大切なことなので、よろしくってよね、町村先生？
☆アタシは個人的に必要なパスワードと会社などで必要なパスワードの使い分けに悩んでいます。個人のパスワードにはピリオドとか％とか＠などというマークは使わないのですが、会社のシステムによってはそういうのを入れないとパスワードを登録できないものがあります。
％よか＠とかを使ったパスワードって、なんか覚えにくいです。手帳に書くのを忘れると、作成した後で何のマークを今回は使ったんだっけ？と思い出せなくて、すごく困ります。
投稿: koneko04 | 2006/02/27 05:38
たとえば
seisyun-no_satetsu@ahougakubu%5535
というのもありですよ。
Winnyで放流してもこの解読にはスパコンがなければ無理でしょう。パスワード（パスフレーズ）は桁が長ければ長いほど解読困難です。
投稿: 通行中 | 2006/02/27 07:38
Winnyの件で限定すれば、キャッシュ機能の悪い部分が出てしまったのかなという気がします。
キャッシュ機能は負荷分散や「クレクレ君」対策には有効だったのですが、アップロード元とまったく関係ない第三者にとっても、意図的／非意図的にダウンロードしたファイルをアップロード用に使われてしまい、無意識に加害者（と呼ぶには語弊はあるかもしれませんが）になってしまうわけで。
他のP2Pソフトはダウンロード済みファイル＝アップロード用ファイルとはならない（設定にもよりますが）ものが多いですし、何らかの対策は必要でしょうね。
投稿: 森 | 2006/02/27 09:31
Winny は匿名の陰に隠れたダウソ房犯罪者群（著作権法違反のオンパレ）を跳梁跋扈させたのだから、プリペイド携帯同様に、トレーシングを付加させる規制もやむを得ないかも知れません。
もちろんＰ２Ｐ技術の発展を阻害しない配慮の下、国や私人によるプライバシー侵害を許さない限度の下、トラフィック量の異常な増大を招かない程度の下でですが。
投稿: だれとはなく | 2006/02/27 11:08
一番の問題は、ネットにつなぐ者としての最低のマナーである、ウイルス対策をおそらくしていなかっただろうと言うことだと思います。初期の感染者で無ければ、ウイルス対策をしていれば、大概の場合予防できたはずです。ウイルス対策を全くせずに、放置しているおおばかものが多いのが、私としては一番許せないところですね。もちろん、ウイルスを作った人間が一番悪いのですが、作る馬鹿を予防する手だてはまず無いので、感染しない環境を作る事が重要だとわたしは思います。感染者は、一応被害者ではありますが、結局のところ、他の人に感染をさせてしまうため、知らず知らずのうちに加害者となってしまいます。そして、ウイルス対策をしていない人間のほとんどは、アップデートにも無頓着で、一度もしたことがないというのが、ほとんどだと思います。
むちゃくちゃな考えだとは思いますが、ウイルス対策などをきちんとしていないと、ネットに接続できないシステムなどが出来るといいかも知れません。
投稿: みさき | 2006/02/27 12:00
＞しかしですね、実際みんなそんなに覚えられるモンですか＞ＰＷ
私は覚えられません。
かといって付箋というのもスマートとはいえないので、Password管理ソフトを使っています。
たとえば私のように
WinだとIDManagerというのを使ってる人も
多いのではないでしょうか。
この手のソフトはマスターパスワードさえ忘れなければ安全です。
Macはなかなかいいソフトがないですね。。
現在探し中です
ただUSBメモリに関して言えば
Macでもフォルダをまるごと圧縮して
それにPassをかければセキュリティと
しては十分かと思います。
使用するときは最初に解凍という作業が必要になりますがこのあたりは仕方ないと割り切って。
個人の場合と違い、会社の場合だとPasswordを管理してる人が忘れたり、その人がPasswordを他の人に明かさないまま突然
急逝したりと言うような時どうするんだろう
と思ったり。
そういえば、昔どこかの国の美術館の
パスワードを管理してる人がだれにも
明かさないまま逝去して、その後何ヶ月か
かけてやっとパスワードを解除したという
ニュースがありました。
投稿: 東馬 | 2006/02/27 21:00
Winnyは使ったことが無いので詳しいことは判らないのですが、Winnyで情報漏洩したことって、本当はどれくらいあるんでしょうか。
アプリケーション/サービスプログラムであるWinnyに対するウイルスであるantinnyで漏洩した事例ばかり報道されている気がします。
Winny自体の問題って、作者が裁判中なので脆弱性が修正されないっていうことに尽きるのではないかという気がします。
例えて言うと、MS Office=Winny, マクロウィルス=antinnyではないかと。
マクロウィルスの挙動が、破壊型ではなく、情報漏洩拡散型というのが事の本質なのではないかと思うのです。
WinnyのUIがまずくて、公開予定で無いファイルを公開してしまったというのであればWinnyの欠陥ですが、実際には違うのではないでしょうか。
Winnyが著作権保護を危うくするという問題は、今の情報漏洩のantinnyの問題とは別に考えないといけないと思います。
ダウンロード済みファイル＝キャッシュ＝アップロードファイルと言う仕組みだとすると、その領域は個人管理領域ではなく、分散型公共ファイルシステムの一部と考えた方がいいように思います。もともとバケツリレーで転送していたMailやNetnewsも配送途中のスプールは公共的なファイル領域にあったわけです。
Winnyによる情報漏洩は、直接的には（操作ミスを誘発する作りになっていない限り）使用者の責任。
Winny+antinnyによる情報漏洩は、直接的にはantinny対策を怠った（対ウイルスツールの使用や危険性を増すWinnyをインストールした）使用者、ウイルスantinnyの作者にあると思います。（本来は、脆弱性を放置したWinnyの作者となるのですが社会的理由で修正不能なのでその点での責任を問えない）
問題の背景としては、重要な情報の持ち出しを許したこと、私物PCと業務PCを分離できていないことがあると思います。
もし、Officeの情報拡散漏洩型のマクロウィルスが現れて、その脆弱性が修正されないと、今のWinny+antinnyと全く同じ事になると思います。
Winnyをインストールすることが悪いと安直に言うことには抵抗感があります。（脆弱性対策がされていないWinnyをインストールすることが悪いというのであれば賛成です）
投稿: WA | 2006/02/27 22:57
>WAさん
えと、この件に関しては、Winnyの脆弱性云々はあまり関係ないかと考えます。
なぜならば、Winny絡みで情報を漏洩させてしまったケースは、利用者自身の危機管理が甘かった事に起因する物である可能性が高いからです。
今まで発生した事例の中には、ウイルス対策を施していさえすれば、情報の漏洩を防げたかもしれないケースも確かに存在するでしょう。
しかしながら、ウイルス対策を施した所で、Winny絡みの不正アクセスを100％防げるという保証はありません。
PCにWinnyをインストールし、いつでもネットに繋げる状態であれば、どれほどセキュリティに注意していても、情報をバラ撒かれてしまう危険性をゼロにはできません。
そう言う意味で、Winnyを含めたP2Pソフトを入れておく事自体に対して懸念している次第です。
投稿: 一晃 | 2006/02/28 12:00
Winny以外のP2Pネットワーク（Napster、WinMX、KaZaA、BitTorrent等など）で、Winnyほど情報流出が問題になったネットワークはないと思います。
利用者数の面から考えても、Winnyの60万ノードに対してKaZaAは270万人とも言われています。集計方法の違いはあるにしても、Winnyのアーキテクチャは情報流失に弱いと言えなくはないでしょう。
（ちなみに、KaZaA本体に対して感染するウィルスはあるようですが、Winny本体に感染するウィルスはあまり聞かないですね。）
KaZaA等でも同様に問題になっているが報道されていないだけという可能性もありますけど。
投稿: 森 | 2006/02/28 16:37
一晃さん
WinnyとWinny以外のアプリケーション/サービスプログラムって何処が違うのでしょうか？
一晃さんの説明は、Winnyを例えばOfficeに置き換えてもそのまま通用してしまいませんか？
ウィルスが管理者特権で任意のプログラムを実行できるような脆弱性を攻撃するものであれば、ウイルスの攻撃対象のアプリケーション/サービスの動作は関係無いですよね。
>Winnyが著作権保護を危うくするという問題は、今の情報漏洩のantinnyの問題とは別に考えないといけないと思います。
と言う話は、切り離して考えると言う前提ですけど。
Winnyって、ユーザーが公開しない限り、勝手にファイルを公開しないですよね？それならユーザーの操作ミス以外では、情報をバラ撒かれてしまう危険性はゼロなのではありませんか？
＃Winnyに脆弱性があると危険性がゼロでなくなりますけど、危険性がゼロではないというのはそう言うことではないですよね？
森さん
WinnyはWinny自身の脆弱性が修正されないから、情報漏洩拡散型ウイルスantinnyによる情報流出の危険が無くならなくて、情報流出が問題になっているということではないのでしょうか？
そうであるなら、それはWinnyのアーキテクチャの問題ではなく、実装上の問題なのではないでしょうか？
万が一、Winnyのネットワークによって公開されてしまうと、情報の回収（公開停止と削除）が難しいのは事実ですが、どのような手段であろうとインターネットという公共の場に情報が公開されてしまった時点で問題であり、それはP2Pネットワークに限らないのではないでしょうか？
Winnyに限らずP2Pをインストールしないというのは、リスクを減らす一手段ではあるかもしれませんが、情報漏洩拡散を防ぐための本質的解決にはならないのではないでしょうか？
そうすると、やはり、ユーザー教育で啓蒙して、重要なデータは持ち出さない、重要なデータを扱うPCを厳格に管理して、それ以外のPCと区別するといった地道な対策が一番なのかもしれません。
＃Winnyを使ったことが無いので、私が書いたことが間違っているかもしれないんですけど…。
投稿: WA | 2006/03/01 02:51
Winnyの実装上の脆弱性は、最近の情報流出騒ぎほど問題になったことはないと思います。
Winnyアーキテクチャの特徴として匿名性があげられるわけですが、
・中継ノード機能
・キャッシュ機能
これらの機能を使って「間接的なデータ転送」が可能になり、「一次公開者の匿名性」を高めているわけです。
結果的に、自分のノードは「悪意のあるファイルを中継しているかもしれない（がわからない）」、「間違って受信した悪意のあるファイルの送信元になってしまうかもしれない（がわからない）」という状況になってしまいます。
この辺りが他のP2Pネットワークと比べてどうなのよ、ということを語り出すとと長くなりそうなので、いずれまとめてほしい／まとめたいと思いますが…。
重要なデータを持ち出さないというのは当たり前ですが、「ユーザ教育」が広まるまで無対策ですし、属人的要素が多いのも問題です。かと言って、他の効果的かつ実行可能な対策がないのが現状ですね。
投稿: 森 | 2006/03/01 10:45
ちなみに、一般にソフトウェアの脆弱性は実装ミスだけを指すものではありません。「意図したソフトウェアの動きであっても脆く弱ければ脆弱性を持つと言われ」ます。（http://ja.wikipedia.org/wiki/%E8%84%86%E5%BC%B1%E6%80%A7）
実装ミスかアーキテクチャの不具合かは、「脆弱性の原因」に分類されます。
投稿: 森 | 2006/03/01 13:03
MacにもP2Pソフトは少数存在するけど、ほとんどGnutella系でWinnyはない。
それにMS Officeもあるから仕事に差し支えるような場面も少ないでしょう。
それ以前にそもそもウィルス自体がごく少ないという利点もあります。
こういう場合にこそ、少数派プラットフォームのメリットを活かせばいいのに。
投稿: 通りすがり | 2006/03/01 15:10
森さん、こんばんは。大変失礼な物言いで申し訳ありません。
森さんのおっしゃる主旨がよく理解できません。ウイニー事件の法的考察に関して、「ＩＴ技術者のためのデジタル犯罪論」 http://www.ofours.com/books/48/contents/ を参考にしていただければと思います。
いろいろ意見のあるところとは思いますが、参考にしていただければと思い、ご紹介します。
投稿: 弁天小僧 | 2006/03/01 20:17
情報漏洩は他のP2Pと比較してWinnyだけが多いのを疑問に思いませんか、ということです。法学的視点は先生方にお任せしますが、Winnyの設計に問題があるのではないかと考えているわけです。
投稿: 森 | 2006/03/01 21:16
森君。よろしくて？
＞ 情報漏洩は他のP2Pと比較してWinnyだけが多いのを疑問に思いませんか、ということです。
そんなこともわからないの？
もし、紹介するページを見てまだわからないようなら、もう少し大人になってからアタックしてね。ボウヤにはまだ早いみたいだから。
http://internet.watch.impress.co.jp/cda/news/2005/05/31/7826.html
投稿: sugary | 2006/03/01 22:41
ボウヤ呼ばわりされる覚えはありませんけどね。
ご提示の記事だと、2005/5/31ではWinnyよりWinMXの方が利用者数は多かったようですが、WinMXで情報流出騒ぎってどのくらいありました？あんまり記憶にないんですが。
脆弱性とまで言わなくても、「Winnyは他のP2Pと比較して情報流出しやすいという特徴がある」という表現ならいかがでしょう。
投稿: 森 | 2006/03/01 23:48
http://kitaoka-lawoffice.cocolog-nifty.com/infolaw/2006/03/post_944e.html
こちらの弁護士さんのご意見もご参照あれ
投稿: 町村 | 2006/03/02 01:29
ちなみに、winnyによるうファイル流出の被害はwinnyの脆弱性ではなく、オペレーションミスが原因ですね。
ほとんどの場合ユーザの実行ファイルの安易な実行が原因です。
メーラーで送られた実行ファイル実行して感染しました、メーラーの設計ミスですと言っているようなもの。
もちろん、メーラーはこういう場合警告を出します。
【exeファイルです、保存しますか？】
しかし添付ファイルを一回保存した後までメーラーは感知しませんからね。
保存した後、手前が勝手に実行したプログラムまで責任取れない。
winnyも同様。勝手にプログラム実行していない以上脆弱性とはいえない。保存した後のプログラムをユーザーが実行したからといって責任もてないところでしょう。
＞http://kitaoka-lawoffice.cocolog-nifty.com/infolaw/2006/03/post_944e.html
＞基本的に、この手の漏洩事件は、従業者のウイルス感染に対するリスク認識が欠けているということだと思っています。
まさにそのとおりです、特に非限定な外部とつながる部分は基本的に危険だという認識が必要かと。
この手のネタでブラウザやメーラーが目だって槍玉に挙げられるのはそのためですし。
投稿: サスケット | 2006/03/02 01:42
まあ、むきになっちゃって。可愛いのね。
森君は「Winnyの60万ノードに対してKaZaAは270万人」とおっしゃったけれど、記事から読み取れるのは「ファイル共有の2005年1月時点の利用者約127万4,000人中、Winny利用者は約半数、KaZaA利用者は約5%」ね。
概算でWinnyはおよそ65万ノード弱、KaZaAは6万程度と読み取れるわ。
おわかりかしら。あなたが持ち出した数字は日本国内の事情ではないということよ。
これだけで同じ条件で情報流出が起きたとしても頻度が10倍違うことが予測できてよ？
つまり、森君が「他のP2Pと比べて」と言うのは、根拠が薄弱になってしまうの。決してそれだけではWinnyが問題とは言えないのよ。
だってそうでしょう。日本国内の報道では日本国内のニュースが中心になりますもの。さらに10倍ものシェアの差があれば、それだけでずいぶんニュースの量も変わりましてよ？
それだけでなくWinnyには他にない存在がそのネットワークに蔓延していますわね。
2003年8月に見つかった Antinny とその亜種たちよ。これは情報漏洩を引き起こすウイルスで、Winnyネットワークに蔓延しているの。でも、WinMXネットワークにはほとんどいないわね。なぜかはおわかりよね？
見た目上、Winnyで情報漏洩が多いように映るのはそういうことなの。
大きな話題にはフォローするように報道が続くこともあるわね。Winnyでの漏洩はセンセーショナルですから。
Antinnyはアイコンやファイル名を偽装するタイプのウイルスよ。決して他のウイルスたちのように「メールを開くだけで感染」したり、「画像を閲覧したら感染」したりはしないの。
なんとかユーザを騙してプログラムを起動させようとする古典的手法なのよ。
よろしくて？
古典的とはいえ確かに危険なウイルスが蔓延してはいるけれど、それがWinnyそのものの問題ではないわ。
問題はAntinnyという危険なウイルスなの。そして、その蔓延を食い止めらていれないこと。
あとはサスケット様がお示しになられたので省くわね。
投稿: sugary | 2006/03/02 08:34
http://www.asahi.com/edu/news/TKY200602160302.html
県立校全教員に配布のＰＣ、ネット接続認めず 島根
上でふれた現実的でない対策の第一歩となるか。
＞こうすれば従業員の私物パソコンからでも情報漏洩があったとき、Winnyのウィルスでやられた場合でも組織の管理責任はきちんとしていたと、悪いのはもっぱら従業員だと逃げられますから。
そうなのかなぁ。民法715条の免責が容易に
認められた例が皆無なように、就業規則等
が免罪符となるかというと責任は個別的に判断されるという理由で一蹴されるような気がします。
投稿: 東馬 | 2006/03/02 16:25
東馬さん、民事責任だけが追及される責任ではないですよ。むしろ民事責任など追及される可能性は皆無といってもいいくらい微々たるものかも。
企業が恐れる責任は誰から追及されるもので、その追及主に対するエクスキューズの成否に民法715条の判例法理が関係するかどうか、考えてみたらどうでしょうか？
それと、エクスキューズが実際に有効か、それとも有効だと企業が思いこむ（希望的観測としても）ということは別ですが、企業行動はしばしば後者に基づいているのでしょう。
投稿: 町村 | 2006/03/02 18:52
森さん
＞脆弱性とまで言わなくても、「Winnyは他のP2Pと比較して情報流出しやすいという特徴がある」という表現ならいかがでしょう。
こうした特徴はやはりWinnyの脆弱性であると捉えることができると思います。高木浩光さんなんかも同様のことをおっしゃっていましたね。Winnyは「ファイル共有」ではなく「ファイル放流」ソフトだ、と。少なからずWinnyの「放流」という脆弱性が今回の一連の被害を「放流」させた、と言えるでしょうし、そういう意味では、森さんの最初のご指摘は的確だと思いました。
投稿: 福田 | 2006/03/02 22:28
福田さんへ
＞こうした特徴はやはりWinnyの脆弱性であると捉えることができると思います。
今までの流れ読んでいますか？
ウィルス対策やリテラシーがWinnyを使う人間には足りていないって話なのですが？
投稿: sakimi | 2006/03/02 22:51
＞森氏＆福田氏
そもそも Winny は匿名によるファイル放流ソフトだから情報が流失しやすいのは当たり前でしょう。
情報流出はバグ（脆弱性）ではありません仕様です。ｗ
投稿: とおり過ぎ | 2006/03/02 22:55
antinnyの実体って、トロイの木馬なんですか？
もう少し高級な仕組みでWinnyの（実装上の）脆弱性を突くものだと思っていました。
トロイの木馬だとすると、正規のソフトとトロイの木馬との区別は、PCの使用者の意思に即した動作をするソフトかどうかという違いしか無くなってしまうので、本質的な解決には、怪しい実行ファイルは実行しないということを周知徹底するようなユーザー教育を徹底するしかないですね。
あとは、ファイル自体は漏洩しても解読できないように暗号化しておくとか、出所のはっきりしない実行ファイルは実行しないか、漏洩しても困らないファイルしか置いていない環境で実行するようにするとかいう、技術上の対策ではなく運用上の対策でなんとかするぐらいではないでしょうか？
投稿: WA | 2006/03/02 23:15
＞ウィルス対策やリテラシーがWinnyを使う人間には足りていないって話なのですが？
もちろんそういう側面もあると思いますが、話はそれだけでは終わらないと思います。単に「ウィルス対策やリテラシーがWinnyを使う人間には足りていないって話」で終わらせてしまうと、その対策としても重要情報の持ち出し制限やPCの安全対策の啓蒙とか、その程度で終わってしまいますし、そうした対策には限界があるわけです。そういう意味では森さんのご指摘は示唆的だと思います。
＞情報流出はバグ（脆弱性）ではありません仕様です。ｗ
「脆弱性」というのは何も「バグ」だけを指しているわけではないでしょう。情報流出が好ましくない、という価値観で見れば、情報の流失しやすさもまた、「脆弱性」に他なりません。
投稿: 福田 | 2006/03/02 23:25
＞福田氏
あなたはジョークがわからん人だ。
ちなみにアナタは「脆弱性（バルナビリティ）」の意味を正確に知って使っていますか？
投稿: とおり過ぎ | 2006/03/03 00:09
＞とおり過ぎさん
＞そもそも Winny は匿名によるファイル放流ソフトだから情報が流失しやすいのは当たり前でしょう。
そうですね正確には…と言ってよいのか、ファイル(情報)をやり取りするプログラムですからね。
流出しやすいんじゃなく、させなければいけないところが問題で。
結局のところ、流出してはいけないファイルがある居場所にwinnyを入れて使うユーザがいたというのが一番の脆弱性ですね。
リモートアクセス許してるマシンにパスワードもかけないで大事なファイルを置いておいて削除されました、盗られましたといってもリモートアクセスツールが悪いわけではなし。
大事なファイルがあるならリモートアクセスさせないということも考えないといけない。
知識のないユーザそのものが社内ネットワークの癌(脆弱性)となる例はそれこそP2Pに限らずいっぱいありますから、やはり教育とか規則は重要でしょうね。
かといって、
http://kitaoka-lawoffice.cocolog-nifty.com/infolaw/2006/03/post_944e.html
の【しかし、現実を無視したルールというのは、守られないことが多いということを忘れてはいけないと思います。】というのも身につまされるところはありますが(笑)
たとえばパスワード月イチで変えろといわれても
＞しかしですね、実際みんなそんなに覚えられるモンですか＞ＰＷ
やっぱりそう簡単に覚えられないし、ソフトにセットする手間も面倒だったり。
投稿: サスケット | 2006/03/03 02:58
個人的には、Winnyにもアップロードモニターがあれば、流出はかなり避けれるような気はしますね。「自分がどのファイルを送信しているか」くらいの情報は匿名性にそれほど影響しないと思いますし。
「ウィルス対策やリテラシーがWinnyを使う人間には足りていない」と言ってしまうとそれまでなんですが、その対策が難しいからニュースが絶えないわけで。Winnyユーザは他人の流出を面白がってる節もあるので、また難しい。
>とおり過ぎさん
ジョークは好きですが、ウソは嫌いです。
>sugary様
Winny以外に同じようなウイルスがないのは不思議に思わないかしら？
投稿: 森 | 2006/03/03 10:16
あら、森君。
別段不思議に思わなくってよ？
カンタンな話じゃない。そんなことも解らないのかしら？
それとも、コンピュータウイルスって、自然と湧き出してくるものだとでも思っているのかしら？
投稿: sugary | 2006/03/03 10:46
あら、sugary様、いらっしゃいましたの？
たまたまWinnyにAntinnyがいるだけよ、とおっしゃりたいのかしら？それはそれでかまわないわ。でもWinnyの特性をAntinnyが利用しているっていう観点も考えられるわよ。
投稿: 森 | 2006/03/03 10:54
あらあら。たまたまだなんて一言も申しておりませんわ？
困りましたわねえ。いくら私を想って頂いても、耳元で囁いているのは現実の私ではなくってよ？
投稿: sugary | 2006/03/03 11:04
>WAさん
はい。私の考えは、Winnyに限らず、いかなるアプリケーションにおいても置き換えて考える事が出来ます。元々、そのつもりで述べていたのですが・・・説明が足りなかったようで申し訳ありません。
要するに、今現在においてWinnyに対する不正アクセスが原因の情報漏洩が頻発している。それに対応するには、先に私が述べたような（他に有効な手段があれば勿論それでＯＫ）方法を取るなりして、何らかの対処をするべきである筈なのに、それを怠った結果、情報漏洩をおこしてしまったとすれば、それはＰＣ使用者自身の責任であろうと主張したいのです。
説明漏れがありましたらご指摘願います。
投稿: 一晃 | 2006/03/03 11:53
連続投稿失礼致します。
>WAさん
ちょっと気になる文章に気付いてしまったので、指摘させて頂きます。
>Winnyって、ユーザーが公開しない限り、勝手にファイルを公開しないですよね？それならユーザーの操作ミス以外では、情報をバラ撒かれてしまう危険性はゼロなのではありませんか？<
大変失礼ながら、あなたは今回のエントリの内容を十分に把握されておられますでしょうか？
本来、ユーザーが公開しなければファイルの送信を行わないシステムである筈のWinnyが、ウイルスの感染によって、“当該ＰＣ内の非公開のファイルまでもがバラ撒かれてしまう”・・・というのがこのWinny問題の核なのですが・・・？
投稿: 一晃 | 2006/03/03 12:05
＞個人的には、Winnyにもアップロードモニターがあれば、流出はかなり避けれるような気はしますね。「自分がどのファイルを送信しているか」くらいの情報は匿名性にそれほど影響しないと思いますし。
おっしゃる通りですね。そもそもキャッシュファイルを暗号化する必然性も、ファイル名もハッシュ値にする必然性もないわけで、そのような暗号化が結果的にデータの拡散に対する無自覚さを生じさせているとすれば、やはりワームの拡散を回避していくためにはそうしたアーキテクチャの脆弱性を補強する必要はあります。ただ、現実的にはこれは難しい。だからと言って啓蒙だけでも限界がある。現状としてはそういう状況でしょうか。私としては国家規模の施策が必要なのではないかなと感じています（具体的には何とも言えませんが）。
ついでに言うと、ワーム放流者をトレースするためにも、winnyにおけるある程度の匿名性の制限は必要ですね。結果的にワームの最初の放流者をトレースできないからと言って、責任をユーザーに転嫁するのは無理があるように思います。そもそも事件が生じた「原因」と事件が生じた「責任」は必ずしも一致するわけではありませんから（「原因」はそもそも無限にありますから「原因＝責任」としてしまうと、無数の「原因」に関与した人が皆、責任を負う羽目になってしまいます）。
投稿: 福田 | 2006/03/03 12:55
「国家規模の施策」もまた非現実的に思いますけどね。
私の意見としては、キャッシュによる二次送信者と中継者にも多少の責任はあると思います。自分のローカルディスクを「公共領域」と見ていいのかと思いますし、Winnyを使ってる時点で、ウイルス・秘密情報の拡散に使われてしまうのを自覚してるわけですし。
投稿: 森 | 2006/03/03 22:27
一晃さん、ごめんなさい。
> えと、この件に関しては、Winnyの脆弱性云々はあまり関係ないかと考えます。
という文章に脊髄反射してしまいました。
Winnyの「実装上の脆弱性」が対策されない→antinnyの活動が止まらない→情報漏洩
と考えていたため、
Winnyの脆弱性はあまり関係無い→著作権保護を危うくするからWinnyが問題
というふうに誤って読んでしまいました。
Winnyそのものを著作権保護を危うくするからけしからんという風に問題にする人が多いように感じたので、著作権保護の問題を別にして考えたら、Winnyそのものに問題は無く、情報漏洩を理由にした「ウィニーにとどまらずP2Pソフトすべてを禁止する」という根拠が無くなるのではないかと考えたためです。
>本来、ユーザーが公開しなければファイルの送信を行わないシステムである筈のWinnyが、ウイルスの感染によって、“当該ＰＣ内の非公開のファイルまでもがバラ撒かれてしまう”・・・というのがこのWinny問題の核なのですが・・・？
はい。
非公開ファイルがばら撒かれてしまうのは、Winnyの問題ではなく、きちんと対策しないユーザーの問題だと考えていました。Winnyの「実装上の脆弱性」が改善されていないし、これからも改善される見込みがないのに、使い続けていること、たとえ、ばら撒かれても問題の無いファイルしか見えない環境で使用することなどの対策を取っているようには思えなかったからです。ですから、Winnyの「実装上の脆弱性」が修正されれば、antinnyによって非公開データがばら撒かれてしまうということが起らなくなると考えていました。
Winnyの「実装上の脆弱性」が解決されれば、あとはあまり多くないであろうユーザーの操作ミスを除けば問題は解決（こんなに漏洩事件が頻発することはありえない）する。Winnyの「実装上の脆弱性」が解決されないのであれば、漏洩事件を防ぐには、ユーザーの教育を地道にしっかりやるしかないと考えたのです。
＃この辺、おかしいですか？
＃過去形なのは、下で述べるような問題に気が付いたため、これだけでは問題が解決しないことに気が付いたためです。
しかし、よく考えると、Antinnyのようなウィルス（トロイの木馬）プログラムに感染（実行）してしまうことだけでなく、PCのプライベートな領域に侵入を許してしまうことに、この問題の核があるような気がしてきました。
Winnyユーザーが、ファイル共有ソフトでファイルをダウンロードする目的は、ファイルを利用するためであるはずです。ですから、ダウンロードしたファイルを（トロイの木馬だろうと）実行してみようとするという背景（Winnyユーザーの目的意識からくる弱点）があります。
本来であれば、ダウンロードしたファイルを実行しても安全なのかを、サーバーのURL等からファイルの信頼性を評価してから（公共領域からプライベート領域への移動させて）使っているはずです。しかし、漏洩を起こしたWinnyユーザーはその辺を意識しないで、本来は安全でないファイルを（危険性を考えることなく）安易に（公共領域からプライベート領域へ移動して）実行してしまっているのではないでしょうか？
＃公共領域からプライベート領域への移動とは、IEでいう、インターネットゾーン扱いからイントラネットゾーン扱いへの変更のようなものを指しています。
Winnyに限ったことではないのですが、ダウンロードしたファイルを信用しても良いものかどうかをしっかり意識できるようにすること（ファイルの信用性を評価の仕組みをソフトに組み込むというのもアリかもしれない）が、情報漏洩を防ぐ一つのアプローチにならないでしょうか？
投稿: WA | 2006/03/04 01:13
>sugary様
Winny以外に同じようなウイルスがないのは不思議に思わないかしら？
同じようなウイルスならどこにでもあります。
メール経由のウイルスなんてまさにそれです。
ウイルスがメーラーを利用してウイルスを送る。
ウイルス製作者からするとほぼ同様の発想です。
＞私の意見としては、キャッシュによる二次送信者と中継者にも多少の責任はあると思います。
ありませんよ。
ウイルス被害の責任に中継者なんて関係ないでしょ(苦笑)
投稿: サスケット | 2006/03/06 00:03
Antinny の被害に遭わない一番の対策は、現在のところ winny を使わないか、又は、Winny 専用パソコンでダウンロードに徹するか、がいいと思います。誰が悪いかというエントリに関連した理屈じゃなくて現実的対応としては。
情報流出の被害に遭った人の率直な感想は、Antinny を作った人も Winny を無防備で使った人もどっちも悪い、だそうです。
投稿: とおり過ぎ | 2006/03/06 00:31
マックユーザのくせにと言われそうですけども、Antinnyとかキンタマウィルスとか言われているものには亜種も含めて駆除方法があるんでしょう。
またシマンテックなどは亜種も含めてきちんと対応しているんでしょう。
漏洩させた連中は、要するにウィルス対策ソフトを導入していないかアップデートをさぼっていたかどちらかなんでしょう。
こういう前提では、作った奴とウィルス対策しなかった奴が悪いのは自明です。
しかしウィニーのようなP2Pソフトなら、ダウンする段階か、せめてアップする段階でのウィルス予防を組み込むような改良が欲しいところです。その点は、やはり金子さんがオープンソース化していけばカバーできるのではないかという気がしますね。
投稿: 町村 | 2006/03/06 09:08
P2P悪者論が大勢になると禁止論も出てくると思います。
「百害あって一利なし」なんて比較衡量する場合の「一利」というのは、何ていえばいいですか？
投稿: 奥村徹(大阪弁護士会) | 2006/03/06 10:04
「なし」なら何も無いのでしょう＞利
投稿: 町村 | 2006/03/06 11:18
んもう！サスケット様ったら！
＞名前: サスケット | March 6, 2006 12:03 AM
森君からの引用だとわかるまでの一瞬、心臓が飛び出すかと思いましてよ。
おちゃめさんなんだからもう。
投稿: sugary | 2006/03/06 14:20
町村様。
ウイルス対策ソフトはメーカーによってはAntinnyへの対応に温度差がありましてよ。
最新のアンチウイルスだからといって亜種まで含めてしっかり検出できるとは限らない、と考えたほうが良さそうですわ。そもそもワクチンなんてあくまでも保険的なツールですから、あまり頼りすぎるとどこかの軍事関係者みたいに「絶対大丈夫だと過信」してしまうことにも繋がるわ。
参考までに、あくまでも2chのスレに貼られていたものという前提でご覧になってね。
http://pc7.2ch.net/test/read.cgi/software/1131430923/26
antinny系ウイルス検出数チェック 2005/10
nyで入手したウイルスかもしれないもの156個
F-Secure(o)[kaspersky他] 82.7%
Norton(o) 81.4%
NOD32 76.3%
AntiVir 75.0%
BitDefender(o) 72.4%
MCAfee(o) 69.9%
ウイルスバスター(o) 69.2%
haurijapan(o)(バイロボット) 69.2%
Avast 61.5%
KV2005(o)(ウイルスドクター) 53.2%
ウイルスチェイサー(o)[Dr.Web] 49.4%
AVG 48.7%
Ahnlab.com(o)(V3ウイルスブロック) 47.4%
PandaActiveScan(o) 46.8%
etrast(o) 35.9%
kingsoft[金山毒覇] 35.9%
Rising AntiVirus(o)(ウイルスキラー) 35.3%
ウイルスセキュリティ[K7 Computing] 27.6%
投稿: sugary | 2006/03/06 14:49
うーむ、それが正しいとすれば、やはりウィルスによるディスク内ファイル漏出があり得ると言うことを前提に、暗号化なりディスクを分けるなりの対策が必要ですね。
シマンテックなんかの宣伝文句では、アップデートしさえすれば絶対安心みたいな感じだけど、そちらの消費者問題もありそうです。
投稿: 町村 | 2006/03/06 15:04
あくまでもウイルス対策ソフトは「転んだときの処置キット」ですから、本来は感染経路を適切に絶つことが必要ですわ。
個人的にはやはり、Winnyが稼動しているシステムには重要な情報を入れないことが大事だと思いますの。
大切なものは大切に取り扱うべきですわ。
投稿: sugary | 2006/03/06 15:14
＞うーむ、それが正しいとすれば、やはりウィルスによるディスク内ファイル漏出があり得ると言うことを前提に、暗号化なりディスクを分けるなりの対策が必要ですね。
そうなってくると、ますますユーザー側に責任を負わせることは難しいと言えるでしょうね（専門家や技術者でもない単なる1ユーザーが講じうる対策には限界があるでしょうから）。
投稿: 福田 | 2006/03/06 15:57
福田さん
＞そうなってくると、ますますユーザー側に責任を負わせることは難しいと言えるでしょうね（専門家や技術者でもない単なる1ユーザーが講じうる対策には限界があるでしょうから）。
仕事で扱っている情報を管理するのに、自分は一般ユーザーで暗号化の仕方などわからにから仕方がないというような投げやりな態度は許せないですね。
その辺り、職務責任を負うのは誰かということを考えたら、そのようないい加減なことは口にしないのではないかと思います。
福田さんが本当にそのようなことを考えていらっしゃるのでしたら、重要な情報の管理などには関わらないようにされるようにしてください。
正直に言うと、上の福田さんの発言には呆れました。
投稿: koneko04 | 2006/03/06 16:43
眠いので、うっかりと変な文字変換をしたままコメントを送信してしまいました。
＞暗号化の仕方などわからにから
は
暗号化の仕方などわからないから
です。
それから
＞関わらないようにされるようにしてください。
は
関わらないようにしてください。
になります。
無駄にコメントスペースを使ってしまい、失礼いたしました。
投稿: koneko04 | 2006/03/06 16:45
koneko04さん
現状では個人ユーザーが技術的にどこまでの防衛策を行っていないと、民事上の不法行為責任を負わされるかについての明確な基準は確立されていないように思います。安全管理措置に関わる責任というのは、むしろ個人に対してではなく、組織に対して問うべき話だと思います。
投稿: 福田 | 2006/03/06 17:34
ウイルス防衛策をとらず、結果的に感染させてしまったことについて、不法行為責任（民７０９）を負うかという問題については、
①その被害者との関係で、ウイルス対策を行うべき義務があるといえるか
②それが容易・実行可能であるといえるか、
③ウイルス対策を実行しなかったことについて過失があるといえるか
④ウイルス対策をしなかったことと、被害者が感染したことについて因果関係があるといえるか、
など、いろいろ考えることが多いです。
ただ、koneko04さんがいうような「職務責任」に基づく責任（民４１５？）を追求するのであれば、話は別でしょう。
私としてはどっちの見解もそれなりに妥当だと思います（問題はその妥当領域）。
投稿: 佐藤 | 2006/03/06 18:54
ウィルス感染を放置して情報を漏らしてしまった利用者は、過失と評価とれて不法行為責任を負うのは否定できないところでしょう。
そのウィルス感染が感知できないものであれば、注意義務としてどこまでを要求するかが問題となるでしょうが、そもそも漏洩して責任追及されるような情報を漏洩する可能性のある場所においたことについて、注意義務違反が問われるかもしれないです。
例の道警の警察官が捜査資料をwinnyで漏らして国賠責任が問われたケースでは、裁判所は大甘な注意義務を設定しましたけど、それでもウィルスの存在が知れ渡っていなかったからということを無過失の決め手にしていました。つまり現在ではwinnyを使用してウィルスに感染し、意図せぬファイル送信か行われてしまう危険があることが知れ渡っていますから、あの判決の論理でも無過失というわけにはいかないでしょう。
この議論は昨年12 月の日弁連コンピュータシンポでも道警国賠訴訟で原告代理人だった弁護士さんが報告していましたし、さかのぼると2003年に韓国のウイルス騒ぎをきっかけに、諸外国調査をしたり、Network Security Forum 2003で発表したりしたことがあります。
http://internet.watch.impress.co.jp/cda/event/2003/10/23/874.html
また経済産業省の報告書は以下のPDFファイルをご覧下さい。特に提言２で日本でも民事責任をはっきりさせようとしています。
http://www.meti.go.jp/policy/netsecurity/Foreign_Law_Report.pdf
投稿: 町村 | 2006/03/06 20:41
>ウイルスがメーラーを利用してウイルスを送る。
メール感染ウイルスは、自分自身でメール送信するのがほとんどだと思っていました。
>ウイルス被害の責任に中継者なんて関係ないでしょ
「情報の配布において中継者に責任がない」というのは、どんな状況でも成り立つわけではないのではないかと思います。
P2Pは使用者責任、というのは基本としても、Winnyの特殊性をもっと検討すべきでは？ウイルス作者は罰せられるのは当然として、ウイルス配布者はどうなんでしょうか？
投稿: 森 | 2006/03/06 20:42
町村先生
ご教授ありがとうございます。情報漏出については、二次感染よりも明確に責任を問われることが多そうですね。
このエントリの趣旨も情報漏出についてでした。うっかりしてしまい、失礼致しました。
投稿: 佐藤 | 2006/03/06 21:05
＞しかしウィニーのようなP2Pソフトなら、ダウンする段階か、せめてアップする段階でのウィルス予防を組み込むような改良が欲しいところです。その点は、やはり金子さんがオープンソース化していけばカバーできるのではないかという気がしますね。
ダウンする段階というのは不要だと思います。
メーラーなんかもそうですが、基本は実行しないというところさえあれば良いのではないかと。
【ダウン後】はウイルス対策ソフトがやってくれますからね。
アップ段階の予防というとウイルス感染後の話でしょうか？
そうなってくると、【winny側が対策するに越したことはない】というのはあるんでしょうけど、結局のところwinnyでの感染後に、winnyだけでファイル流出するわけではありませんから。
そこはFWなど含めて総合的に考えたい…まあ、winny使ってたらFWはwinny素通しでしょうから何らかの対策を入れるというのはありだと思いますが。
＞うーむ、それが正しいとすれば、やはりウィルスによるディスク内ファイル漏出があり得ると言うことを前提に、暗号化なりディスクを分けるなりの対策が必要ですね。
それは難しいですね。
暗号化していたって、使用時は当然復号化しますし、ディスクを物理的に分けるということは【そのマシンでは使用不可能にする】ということ。
パーティションきって論理的に分けても意味ないですし、ネットワークドライブにおいても同様。
やはり、基本的なところ、ウイルス対策とFWの導入がまず、ではないかな、と。
ただ、FWも警告出るからどんどん素通しとかやってる一般ユーザが多そうなのが心配ですね。
おっしゃるとおり、ウイルス対策ソフトをアップデートしても、FW導入してもユーザが切っちゃったり、うっかりウイルス実行したら無意味ですから。
基本はお勉強だよなー、というところに落ち着くのだと思います。
そもそもwinnyは外部とデータをやり取りするプログラムですから、
winny実行＝隙を増やしているようなもの。
使用しないサービスはどんなものでも(メールでもウェブサーバでも)きっておくというのが原則ですから、機密データ扱うマシンにファイル交換サービス組み込む時点でもうおかしいな、と。
＞ウィルス感染を放置して情報を漏らしてしまった利用者は、過失と評価とれて不法行為責任を負うのは否定できないところでしょう。
だからこれは納得なところです、
-------------
＞P2Pは使用者責任、というのは基本としても、Winnyの特殊性をもっと検討すべきでは？
winnyを特別視しすぎです。
どんな状況でもとまでは言いませんが、
キャッシュデータにウイルスが勝手に落ちてきたユーザ＝ウイルス配布者なんて勘違いもはなはだしい。
投稿: サスケット | 2006/03/07 00:55
やや誤解されたかなと思いますが、ダウンした後のウィルス対策ソフトが十分働かないのなら、水際でのウィルス対策が入っているのが望ましいという趣旨です。
特にウィニーの場合、実行して感染して再配布というルート以外に、ダウンしたファイルがキャッシュに残って再配布されるようですから、そのルートも断ち切ることが有益なのではないかと考えたのでした。
もっともこれは後半にサスケットさんが書いているように、法的責任ではなく、道に落ちているゴミは拾いましょうという世界ですけど。
もう一つ、暗号化やディスクを分けるというのは、特に守秘性が高いファイルにつき、そのような手段を講じて流出に備えるしかないかなという趣旨です。
ちょっと前までは、一番の対策はみんなでマックを使うことって言ってたんだけど、最近はそうもいえなさそう。
投稿: 町村 | 2006/03/07 06:21
Antinnyの実体がトロイの木馬だとしたら、Winnyでダウンロードしたファイルは実行しない。
おいしそうに見えても（道路に）落ちてる物を拾って食べないがまず第一ですね。
＃でも、これって、Winnyに限らず、メールの添付ファイルでも、Webサイトに置いてあるファイルでも一緒のことなんですよね。
しかし、実際には、正体を調べようとして間違って口の中へ入れてしまったり（誤操作による実行や偽装ファイルの実行）、袋を開けたら落ちていた物だと言うことを忘れて食べてしまったり（ダウンロードした圧縮を伸張展開して実行）してしまうので、予防薬（最新ウイルス対策ソフトの利用）や治療薬（流出したり削除されては困るファイルの暗号化や隔離）も必要ということですね。
Winnyが特別なところというと、
・自分のPCの一部がインターネットの一部（道路）となるファイルサービスソフトであるということをあまり意識せずに、単なるダウンロードツールの認識でインストールしてしまうということ
・ダウンロードファイルが得体の知れないファイル（道路に落ちている物）であると言う意識が希薄なこと
でしょうではないでしょうか。
＃っていうことは、Winnyって拾い食いソフト？ ^^;
＃Winnyは、ファイルダウンロードに使わなければ安全ということで、ファイル放流ソフトであるというような言い方は言い得て妙と改めて感心したりしています。
>ちょっと前までは、一番の対策はみんなでマックを使うことって言ってたんだけど、最近はそうもいえなさそう。
マックについては、今まで、たまたま運が良かっただけだと思います。（シェアの少なさが幸い？）
トロイの木馬は、ラベルと中身のあっていない薬のようなものですから、簡単に作れちゃいます。（意図的に作る以外にも、ラベルを貼り間違えたり、中身を入れ間違えたり、副作用が強すぎたりといった過失でできちゃうものもありますから。）トロイの木馬の定義を過失も含めて（本当は悪意の有無が重要だと思うので、あえてですが）広く取って解釈すると、マックでもなにやら覚えがありませんか？（インストーラのはずが削除ツールになっていたバグとか……）
＃誰が悪いのかの話になっていなくてすいません。
＃やっぱり拾い食いした人が悪いのかなあ？
投稿: WA | 2006/03/07 09:01
＞そもそも漏洩して責任追及されるような情報を漏洩する可能性のある場所においたことについて、注意義務違反が問われるかもしれないです。
職務に私有パソコンを使用することは予算上の制約などに依存する問題であって（例えば道警のケース）、十分にパソコンを配備せず私有パソコンの使用を禁じてこなかったことの責任を、注意義務違反と称して私有パソコンを使用した従事者に負わせるのは難しいと思います（道警のケースでは管理担当者の不作為の不法行為も認められませんでしたが）。
＞つまり現在ではwinnyを使用してウィルスに感染し、意図せぬファイル送信か行われてしまう危険があることが知れ渡っていますから、あの判決の論理でも無過失というわけにはいかないでしょう。
予見可能性があったのであれば、問われるべきなのはむしろ管理担当者の不作為の不法行為についてでしょう。職務に使用している私有パソコンを一般的な使用方法（ネットに接続したり）において使用することは不法行為である、というロジックは従事者にとって過剰な負担であるように思います。
投稿: 福田 | 2006/03/07 10:47
＞特にウィニーの場合、実行して感染して再配布というルート以外に、ダウンしたファイルがキャッシュに残って再配布されるようですから、そのルートも断ち切ることが有益なのではないかと考えたのでした。
なるほど、それは確かにそうだと思います。
このエントリの趣旨からは外れますけど、流通した機密情報だとかを削除できないというのがwinnyの最大の弱点(だと思っている)ですし。
流通禁止リストみたいなのは今後同様のシステムの課題なんでしょうね。
＞>ちょっと前までは、一番の対策はみんなでマックを使うことって言ってたんだけど、最近はそうもいえなさそう。
＞マックについては、今まで、たまたま運が良かっただけだと思います。（シェアの少なさが幸い？）
これはおっしゃるとおりかと。
汎用的なウイルスより、何かの脆弱性に直撃するウイルスのほうが効果的(笑)ですし、そうなると【よく使われている】物はターゲットになりやすい…
…のですが、逆に弱点が発覚してこなれてくると帰って安全だったりします。
これも常識として、【パッチを当てる】というのは広まってほしい観念かな、と。
まあ、最新にしておかしくなったというケースもよくあるので一概にそうは言えないんでしょうが(苦笑)
投稿: サスケット | 2006/03/08 00:36
>道に落ちているゴミは拾いましょうという世界ですけど。
単に「道に落ちている」と言っていいものでしょうか？
「ウイルスを含むファイルをダウンロードしてしまった」と気付いたのに対策をしない場合、ウイルスを含むキャッシュがあると認識しているのに送信可能状態で放置しておくことになります。この状況は意図的にウイルスを送信可能状態にすることとの違いはあるのか、疑問が残ります。
投稿: 森 | 2006/03/08 18:11
なんでこんなにβ版のソフトウェアを使用して起きたトラブルをソフトウェアのせいにする人が多いんでしょうね？
β版ってのは使用者責任で使うもんでしょうに・・・
個人的にはWinnyのトロイごときに引っかかる人間はBlasterとかを絶対飼ってると思うんですが・・・
おそらくBotも入っててゾンビ化してると思うんですが・・・
そーいう議論って見かけないですが、Winnyで完結していいんですかね？
投稿: らぃ | 2006/04/18 09:48
なんでこんなにβ版のソフトウェアを使用して起きたトラブルをソフトウェアのせいにする人が多いんでしょうね？
β版ってのは使用者責任で使うもんでしょうに・・・
個人的にはWinnyのトロイごときに引っかかる人間はBlasterとかを絶対飼ってると思うんですが・・・
おそらくBotも入っててゾンビ化してると思うんですが・・・
そーいう議論って見かけないですが、Winnyで完結していいんですかね？
投稿: らぃ | 2006/04/18 09:48
こんな記事もあったりします。
http://takagi-hiromitsu.jp/diary/20060416.html#p01
私もここまでアンチウィニー(笑)ではないにせよ、winnyそのものの改良は当然必要だとは思います。
要するに、いきなり道をふさぐんじゃなくて、それこそバランスとって使えないところは治してくださいという……のは、当たり前の流れではないのかな、と。
無論、「誰が悪いのか？」という意見に異論はないわけですが。
いきなり特定プログラム使うな、で完結させられてもたまりません。
投稿: サスケット | 2006/04/19 00:27
ていうか、ソフトってバグふさぎながらバージョンアップしていくのが普通なんじゃありませんか？
ついでに言うと、Wiから始まる有名ソフトも、毎週のように情報流出やらルート権限をジャックされるリスクをふさぐパッチを作り続けているんじゃありませんかね？
投稿: 町村 | 2006/04/19 01:01
＞ていうか、ソフトってバグふさぎながらバージョンアップしていくのが普通なんじゃありませんか？
そうですね。
しかし、winnyの場合、
http://slashdot.jp/security/article.pl?sid=06/02/26/1847250&from=rss
＞作者が欠陥を改良したくても、改良を繰り返していたことが著作権法違反幇助であるとして刑事訴追されていることから、改良ができない状態になっているとしている。
みたいな話があって、どこまで本当なのか疑うぐらい愕然としたものです。
司法？はWinnyで完結しちゃってるんでしょうかね？
投稿: サスケット | 2006/04/20 00:23
この辺は、なんとなく成り行きでそうなってしまったのかなという気がします。
警察も他人の迷惑は想像できないのでしょう。
投稿: 町村 | 2006/04/20 00:35