よこいまさる日記

■ [masaruyokoi.com] いきなりアカウント停止かよ。

いきなり masaruyokoi.com が停止してご迷惑をおかけしたかもしれません。マヂで迷惑だった方もそうでない方も、僕のほうから原因をご説明申し上げます。

先日まで、有限会社アクシズ (http://www.axisz.net) の chat-jp.com (http://www.chat-jp.com/) (以下 chat-jp) というところの Virtual host のサービスを利用していました。chat-jp.com に移行した理由としては、引越しに合わせて Web server をホスティングサービスを導入し、Website の引越しを実施したためです。7月末に予定している引越しまでには、どこかのホスティングサービスに導入させる必要があり、納期も早く比較的安価で容量の制限のない chat-jp.com のサービスに移行しました。移行した時期は2003年6月29日あたりです。初めは SRS さくらインターネットのサーバ共有サービスを検討していたのですが、申し込みから開設までの早さという点で chat-jp.com を選んだ次第です。

私のアカウント剥奪にいたった原因は、2003年7月4日の夕方からの chat-jp とのやりとりでした。サービス導入時から CGI スクリプトの実行環境を調べるためにインストールされているコマンドなどを調べていたところ、どう考えても Webサーバ専用に運用するには不要とおもわれるアプリケーションやコマンドがインストールされていることに気づきました。もしやと思い、一般的に指摘される「不要なサービス・デーモン」の動作具合や、一般的に危険だと言われているのに SetUID されたままのプログラムを探し、これを報告し、改善していただくつもりでいました。

1回目に ps コマンドと netstat コマンドを用いて稼動中のデーモンを調べたところ、かな漢字変換システムの Canna server (cannaserver) と Wnn4/FreeWnn (jserver)、NFS で必要な Sun RPC のデーモンの portmapper が動いていることに気づき、これを chat-jp.com のサポートセンターに報告しました。この1回目を報告したのが7月4日の 18時台でした。その後、SetUID (chmod u+s など) が設定されているバイナリファイルを検査したところ、34個のファイルが見つかり、そのうち17個は Website を運用するにあたり SetUID されていることが好ましくないと思われる旨をサポートセンターに報告しました。

この報告を終えた頃に chat-jp からの返答があり、以下のような内容でした。時刻は7月4日00:24でした。

横井　勝　様
CHAT-JP.COMです。
ご忠告ありがとうございます。
せっかくのお申し出ですが、そのようなことを調べられる方の利用は
セキュリティ上問題がありますのでサービスの提供を中止させていただきます。
今後いっさいのアクセス禁止させていただきます。

この点に関して私としては納得がいかないのが、自分が利用するシステムのセキュリティ上問題となりうる箇所を発見するために、「FTP からファイルを put し Web client からその結果を得る」という妥当な方法を用いたにもかかわらず、アカウントを停止されたことです。

その後、chat-jp のサポートセンタからの返答として、「パッケージはすべてアップデートされています。不要なデーモンは起動していません。ローカルユーザーによるroot権限の奪取は絶対にできません。*1またそのような行為をするおそれがあるユーザーはアカウントを削除します。ユーザーからのアクセスはFTPのみとしています。*2それ以外のアクセス方法でアクセスした場合は不正アクセス禁止法違反となります。*3」と主張しています。また、アカウント停止理由として「第8条　サービス提供の中止その他甲が乙に対し不適切と判断したとき」をあげてきました。しかも、私は一般に言うところのポートスキャンをやっていないのにもかかわらず「ポートスキャンは不正アクセス行為*4にあたります。したがって不適切と判断致しました。」だそうです。

chat-jp の問題として、以下の問題をあげます。

• 利用者が利用中のシステムのセキュリティ上問題となりうる箇所を探すことが、chat-jp は結果的に規約違反と判断し、私のアカウントを停止しました。自分のセキュリティ対策は自分自身の責任で行う必要があるという観点から言えば、chat-jp の対応では自分のセキュリティ対策の責任を負えないという結論になるかと思います。
• 実機で実施したわけではないので推測になるのですが、私のアカウントが有効だった時点では、複数のセキュリティホールが存在していたと思われます。　そして約1ヶ月前の6月初旬にアナウンスされたセキュリティホール対策のパッチが適用されていませんでした。
• 実際に利用したコマンドは、rpm と find と netstat だけで、参照したものはローカルのファイルシステムのみになります。一般的にポートスキャンといわれている手法では検査していないのです。また、彼も私に対してポートスキャンしたという事実を提示していません。一種の濡れ衣を chat-jp は私に着せています。
• いくつかのメールのやり取りの後に、代金を返却するから口座番号を伝えるように連絡をうけました。代金返却をしないよりしたほうがマシですが。最終的にはクレジットカードでの返金処理をおこなったという連絡を受けました。
• 申し込み前の質問のときからなのですが、最後まで私に対応した担当者は自分の名前を言いませんでした。　対応した人が1人なのか2人以上なのかすら不明です。 責任の所在をハッキリさせるなどの目的のため、対応時には担当者の名前を相手に伝えるケースが多いのですが、chat-jp ではそうしていないみたいです。
• 今回対応された担当者は、実況に関して、ポートスキャンを行っていないのに「ポートスキャンは不正アクセス行為で...不適切と判断致しました」と存在しない事象を元に行動をおこされたり、「不正アクセス行為の禁止等に関する法律」に関して、誤った内容を断定の表現で主張しています。　結果的には全く話が通じませんでした。
• 最後に「事を荒立てるのでしたら顧問弁護士に依頼してそれなりの処置を」といってきました。　これには何の意味があるのでしょうかね？　わたしとしては誤認の激しい担当者さんより、まじめにプロの弁護士さんのほうが話が通じやすいく好都合だとおもうんですけど。

契約したあとで気づいたのですが、約款 (http://www.chat-jp.com/rentalkiyaku.html) にはサービスプロバイダである chat-jp 側にとって有利で、サービス利用者には不利に書かれています。その例の一つとして、契約の解除に関して双方の立場の状態を比較してみました。サービス提供者は「その他甲が乙に対し不適切と判断したとき (第8条のi) 」という理由で「サービスの提供をただちに中止する (第8条)」ことが可能で、「※いずれの場合も契約解除に至った場合、残り契約期間分のご返金は致しません。(第8条)」とのことです。それに対し利用者の方は、「契約が切れる２週間前までに所定の解約申し込みフォームより解約の申し込みを行うこと(第12条の1)」が必要で、「退会の申し出が無い限り、契約は継続されるものとします。乙は利用の有無にかかわらず、契約が有効である限り料金の支払い義務が発生するものとします。で(第10条の2)」となっており、甲は即時に契約解除できるのに対し、乙は解除するのに最短2週間かかります。しかも今回私の場合は事前通告もありませんでしたし。また、「甲は甲の都合により本サービスを廃止する場合があります。その場合、甲は乙に対して１ヶ月前までにその旨を電子メールにて通知するものとします。 (第20条の1)」と、申し込み期間は最低3ヶ月であるにもかかわらず、1ヶ月前の通知でサービスを廃止することができるんだそうです。また「甲の会社の倒産などによりサービスの継続ができない状況になった際のサービスの廃止時は、一切の返金は行わないものとします。 」と、支払ったお金に関する権利は劣後債扱いになります。これらユーザ保護軽視のきわみとして「甲が提供するサービスの利用に際し、乙に対して発生した損害の一切の責任を負わないものとします (第22条の1)」というのがありました。約款はちゃんと読みましょうね。　そして、自分にとって明らかに不利だと思うんだったら、そのサービスの契約はやめましょう。　今回みたいなことになりかねないですぜダンナ。

今後、chat-jp のサービスを導入しようと検討している方や現在利用中の方へ、この事実を知ってもらい、今後のご判断に役立てば幸いです。同じような被害にあうのはもうこりごりですし。

■ [Tigers] Go west!!

ということで、待ちに待った甲子園での阪神観戦の日がやってきた。ちなみに昨日からの逆切れ事件のせいで一睡もできず。しかし、いきなり朝からチュウハイをグビグビ.... うまーっ。「監督星野で酒がのめるぞ〜っ♪ 酒が飲める飲めるぞ♪ 酒が飲めるぞ〜っ♪」いやーっ、昨日はイヤなことばかりだったから、今日こそいいことあるかも。♪ちなみに新幹線は新大阪行きなので、寝ていても乗り過ごすなんていうことはないだろう、多分。

以下、翌日に続く。