求む「バグ・ハンター」…プログラム欠陥発見人

http://www.yomiuri.co.jp/it/security/snews/20141031-OYT8T50180.html

　プログラムの欠陥（バグ）を見つけてくれたら報奨金払います――。
ＩＴ企業が始めたそんな試みが注目されている。
バグなどが原因で生じるセキュリティーの穴（脆弱性（ぜいじゃく））はサイバー攻撃の“突破口”となりやすく、その情報は攻撃者の間で高値で売買されている。
そこで、攻撃者の手に渡る前に外部の目を借りて探しだし、修正しようというのだ。
脆弱性が表面化することを嫌い、探す行為を犯罪視さえしてきた日本の風潮に、一石を投じられるだろうか。（編集委員　若江雅子）

　　　■外部通報に報奨金も

　「攻撃者が先に穴を見つけるか、我々が先に見つけて塞ぐか。その攻防に外部の『目』を借りたいということです」

　東京のソフト開発会社・サイボウズの伊藤彰嗣さん（３４）は、今年６月から始めた報奨金制度をこう説明する。
自社の製品やサービスの脆弱性を見つけてくれた人に、その危険度などに応じて最大１００万円の謝礼を提供する。
これまで技術者や学生から２００件以上の報告があり、約１００件を脆弱性と認定、約８１０万円の支払いを決めた。

　報告を受けると、その内容を社内のチームで検証、修正プログラムを用意した上で公表する。
制度導入後、外部からの通報は３倍以上に増えた。
その対応も大変だが、「客から『そんなに欠陥が見つかるなんて、危ない会社なのか』と誤解されるのがつらいところ」（伊藤さん）。

　導入前には社内でも「会社の信用を落とす」との異論があったという。
だが、伊藤さんらは「脆弱性を放置するより、積極的に見つけて直す方が安全なんだと理解してもらおう」と説得して踏み切った。

　　　■サイバー攻撃激化背景に

　報奨金制度は国内では珍しいが、海外では何年も前から広がっている。

　米ソフト開発のモジラが２００４年に始め、今ではグーグルやペイパル、マイクロソフトなども実施。
発見者と企業を仲介する脆弱性報告サイトも次々登場している。
中には１万ドル以上で買い取られる情報もあり、高額賞金を狙う「バグ・ハンター」と呼ばれる人たちもいる。

　企業が金を払ってでも脆弱性情報を入手しようとする背景にはサイバー攻撃の深刻化がある。

　「まだ存在を知られていない脆弱性を使うと、対策が講じられていないため攻撃が成功しやすい。このため脆弱性情報の価値が上がっている」とサイバーディフェンス研究所の名和利男理事はみる。
自分たちがみつけた脆弱性情報を売買する闇サイトは名和氏が確認しただけで数千件あり、日本円で十数万～数十万円に相当するビットコインで売られているという。
こうしたブラックマーケットは年間数千億円規模との見方もあり、「社会が脆弱性を発見する行為を高く評価しないと、どんどん裏の世界に流れてしまう」と懸念する。


イラスト：攻撃を防ぐため外部の目を借りて脆弱性を早く修正する仕組み

　　　■「理不尽な対応も多い」

　日本人バグ・ハンターの一人、東内(とうない)裕二さん（４０）に話を聞いた。

　これまで、米ヤフーやグーグルなどの脆弱性を報告して１００万円以上の賞金や、企業ロゴの入ったＴシャツやボールペンなどの記念品を受け取った。
　現在無職なので小遣い稼ぎの感覚もあるが、脆弱性を探すことは単純に楽しいし、通報した結果、安全になるならうれしいと思うから。

　でも、日本は体制が整っていないので通報しにくい。
　特に、サイトの脆弱性の場合、理不尽な対応も多い。
　運営者に通報しようにも専用窓口がなく、代表電話の受付に説明しても話は通じないし、ようやく技術部門につなげてもらっても、無視されることも。
　不正アクセス禁止法に触れない範囲でチェックしているが、それでも犯罪者のようにあしらわれることもある。

　僕は別にお金をもらえなくても、Ｔシャツとかの記念品でもいいし、サイトに謝辞を掲載してもらうだけでもいい。ようは感謝してほしいだけ。

　　　　脆弱性報告サイトの一つ、ＨａｃｋｅｒＯｎｅ。
　　　東内さんはヤフーの賞金獲得ランキング５位に

　海外には、見つけた脆弱性の危険度や難易度などを評価したランキングサイトもある。
　上位者は仲間内で尊敬されたり、一流企業から勧誘されたりするので、もっと探そうという動機付けになる。
　脆弱性を探す行為に敬意を表することが、情報を悪いサイドに流さないだけでなく、若い技術者の育成にもつながるのではないか。

　＜脆弱性＞
　バグや仕様上の欠陥のために生じるセキュリティー上の弱点。
第三者にはできないはずの操作ができたり、見えないはずの情報が見えたりするため攻撃に悪用されやすい。
バグが見つかるのは珍しいことではなく、マイクロソフトは年１００件前後を公表し、その都度、修正プログラムを配布して利用者に更新を求めている。


写真：脆弱性を探す東内さん（２３日、都内で）

おたくの使ってる環境そのままだとやばいですよって親切に指摘しただけなのに
> 犯罪者のようにあしらわれる
とかすげーな

俺もアカウント系サイトの開発請け負ってるが
報告してくれたら個人的に1万くらいなら出すわ

×IT土方
○IT奴隷


小銭でデバッグしてもらおうとか片腹痛いわ

「穴を発見！」
「仕様です」

余計なことするなよ
少なくともタダ働きして報告とかやめろよ
それに日本じゃ報告したほうが訴えられて負けるまであるからな

>>これまで技術者や学生から２００件以上の報告があり、
約１００件を脆弱性と認定、約８１０万円の支払いを決めた。

見つけたところではした金じゃないか
割りにあわない

報奨金支払うのはまだ良心的な会社だよ

技術屋集団と違って、面倒な運用は外部に委託・内部の社内SEは既存社員の持ち回りでヘルプデスクと社内システムの上流担当、
って企業の代表電話に「オタクのWEBサイトに脆弱性があってさぁ～」なんて連絡してみろよ

パニックになるのはトーゼンだ

「オタクの玄関、簡単に爆弾や盗聴器を仕掛けられそうですね…ちょっと適法内で試したら余裕でしたよフフフ…注意してください…」←こんなん一般社員では相手できないｗ

>>その危険度などに応じて最大１００万円の謝礼を提供する。

１００万円とかってバカにしてるわ。
その何十倍、何百倍もの損害が出る可能性のある情報を、１００万円で欲しがるなよ。

＞約１００件を脆弱性と認定、約８１０万円の支払いを決めた。

一桁足りないな

金はかけたくないけどトラブルは解決してくれ！

ちゃんと給料払ってテスター雇えよ

あとデバッグ期間が短いプロジェクト多すぎ
数ヶ月の工期の最後の一週間とかそんなのばっかり

日曜プログラマーだけど、脆弱性ってどういうのなん？
SQLインジェクションみたいな初歩的なものは、大抵の言語はクラスライブラリで対応してるだろうし

企業の頭の中にプログラマ達を土人扱いすることが最大のバグですね
だれかこいつ等の頭のデバッグもしてやれよw

開発側は有り難いと思っても、その前で広報が勝手に判断して握りつぶすんだよ

バグの無いシステムでオナシャス！
そういえば出来ると信じている日本の高学歴や会社幹部様

外注/契約ですら無いテスティング要員としか思えないんだが

一番辛い作業なのに
はした金とかｗ

確かに無知な人はプログラムの性質しらないから欠陥品にみえちゃうんだろうな
バグがゼロなんて不可能です

日本の場合は趣味人が参入すると本職の単価がドンドン引き下げられます
デジタルイラスト業界で起こった事から何も学んでねぇ

バグ鳥専門の会社って無いの？

現場ではプログラマは昼間は稼働立ち合いでそこで出たバグは
原因も工数もわからないのに翌日の朝の稼働までに修正しろと言われる。
プログラマが昼も夜も眠れないというのは現実の話。

俺が組んだシステムは必ずバグが出る
しかも納品後発見率100%だ
涙が出る

こう言うの出来る人尊敬するわ
全然見つけられん