高木浩光＠自宅の日記

■ 最高裁も推奨するオレオレ警告の無視

最高裁判所の「裁判所オンライン申立てシステム よくあるご質問」より:

図1: 裁判所オンライン申立てシステム, よくあるご質問, 最高裁判所

Q12: 申立書の入力画面が表示される前に証明書に関するセキュリティ警告ダ イアログが表示されます。どうすれば良いのでしょうか？

A12: メッセージの内容を確認し，「はい」又は「常に」を押してください。

最高裁判所にそう言われたのでは国民は従うしかない。

ここはひとつ「よくある質問」に次を追加してもらいたいものだ。

週明けにでも電話してみよう。

■ 「受動的攻撃の被害 = 利用者の自業自得」が最高裁基準

コートドミーノサーバにある、裁判所オンライン申立てシステムトップページには、現在、次の「お知らせ」が掲載されている。

図2: 裁判所オンライン申立てシステムに関するお知らせ, 最高裁判所

本申立てプログラムの稼働に必要な中間プログラム（JRE : Java Runtime Environment）の脆弱性について

裁判所オンライン申立てシステムを利用して申立てを行う際に必要なJREについて，悪意のあるWebサイトを閲覧した場合，任意のプログラムを実行させられたり，パソコンを乗っ取られたりするという脆弱性が発見されました。

JREの提供元であるサンマイクロシステムズ社によると，この問題については，JREを最新の「1.4.2_06」にバージョンアップすることで回避できるとのことですが，裁判所オンライン申立てシステムでは，「JRE1.4.2_06」について，動作確認ができていません。

ついては，JREをパソコンにインストールした状態で，信頼できないサイトを閲覧したり，出所不明のアプレット（プログラム）を実行したりすることのないようにしてください。

ご利用のみなさまにはご迷惑をおかけしますが，ご理解とご協力のほど，よろしくお願いいたします。

裁判所オンライン申立てシステムに関するお知らせ, 最高裁判所

きょうび、Microsoftですらそんなことは言わない。

既に2か月半が経過しているわけだが、いまだに「動作確認ができていません」 ということなのか。おそらく動作確認などしていないのだろう。

「_06」といったバグフィックスバージョンの違いだけで、この申立てシステム が動かなくなるのは、 専用の「申立てプログラム」のインストーラが、 「C:\Program Files\Java\j2re1.4.2_04\lib\security」という決め打ちの 場所に、必要なファイルをインストールするようになっているからだ。

2か月半経っても「_06」に対応できないのは、そのために必要な予算を確保し ていないということなのか。Webアプリケーションは作ったら終りではない。 欠陥が見つかったら修正しなくてはならないのであり、そのための費用を運用 コストに見込んでおくのが当然である。それができないならサービスを中止す るべきだ。

参考: 2002年9月ごろの議論

• セキュリティ脆弱性にどう対応するか, JavaOne JAPAN 2002, BOF-1254

■ サポート中止ソフトをこれからも入れさせる最高な裁判所

最高裁判所の「必要なプログラム等のダウンロードのページ（図3）

図3: 最高裁判所からのリンク「JREをダウンロードします」

は、JREのダウンロード先として、次のURLへリンクしている。

ここは、開発者向けのサイトである。 冒頭には次のようにこのページの趣旨が説明されている。

Sun is providing the products available below as a courtesy to developers for problem resolution. The products available here have completed the Sun EOL process and are no longer supported under standard support contracts. These products are down-revision products that may have various bugs, Y2000, and possibly security issues associated with them. Sun in no way recommends these products be used in a live, production environment. Any use of product on this page is at the sole discretion of the developer and Sun assumes no responsiblity for any resulting problems.

（以下、今適当に書いた訳）

Sunは以下の製品を、不具合解決のための開発者向け特別措置として提供しま す。ここで利用可能な製品は、Sun EOLプロセスを終えており、これらは、 標準のサポート契約でサポートされることはもう二度とありません。 これらの製品は、様々なバグや、2000年問題、またそれに起因するセキュリティ の問題点を有することのある旧版製品です。Sunは、これらの製品を現行の 製品環境で使うことを全くお勧めしません。このページにある製品のいかなる 使用も開発者単独の自由裁量によるものであり、結果として生じるいかなる 問題に対しても、Sunは一切の責任を負いません。

Archive: Java[tm] Technology Products Download, Sun Microsystems

ようするにここは開発者だけが使うところだ。 おそらくこのリンクを張ったのはベンダーの開発者だろう。 開発者の都合でこういうものを使うことはたしかにあるが、 そのノリが一般市民にまで押し付けられている。 Javaはいまだに技術者の実験用玩具だというのか？

技術者がこういうことをしないよう監督する責任が、 最高裁判所のホームページ管理担当事務員にあるだろうが、 英文だから読んでもいないといったところか。

国民を危険に陥れるこれらの行為は法律で規制してはどうか。