質問: Webアプリケーション脆弱性により、本来知ってはならない情報を知った場合は、しっかりと報告すれば問題はないのでしょうか? ケースとしては * ボタン操作の誤りなど、偶然的に脆弱性を見つけた場合 * 意図的に脆弱性を見つける目的で、何らかの操作(SQLインジェクションなど)をした場合 です。 よろしくおねがいします
回答: IPAの脆弱性報告窓口というのがあります。 こちらに報告するのが現在最も間違いのない手段です。 サービス事業者に報告してももちろん構わないのですが、握りつぶされる、もしくは犯人扱いされるという事態を避けるには公的機関を経由する方が確実です。 なお、 > > - 意図的に脆弱性を見つける目的で、何らかの操作(SQLインジェクションなど)をした場合 > > > ですが、正常な操作での振る舞いから脆弱性の存在が強く疑われ、報告するためにも裏付けを取りたいような場合というのは存在すると思います。そういうときは高木浩光氏のブログが参考になるのですが、あくまで合法な手段だけで証明できないか、つまり自分のアカウントや自分のマシンに対してのみ攻撃を仕掛けるような手法でのみチャレンジしてください。 それにはもちろん、何が合法で何が違法か判断が付くだけの法律の知識も必要になってきます。