2026/05/01 4:22
「Carrot の開示に関するフォローアップ：Forgejo」
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
著者による“ニンジン開示（carrot disclosure）”戦略に基づく直近の脆弱性情報公開—which は Forgejo の欠陥を明らかにしつつ、功績を求めることを拒否して責任ある修復を促すもの—as 強硬な反発を引き起こしました。調査者は「責任がない」とレッテルを貼り付けられ、複数の Mastodon インスタンス（当初は infosec.exchange も含まれており、後に同所で復活）から Toot が削除されるなどし、SNS で罵倒されました。友人からは様々なインスタンスへの招待状が提供され、開示について公的に議論が行われました。Forgejo のセキュリティポリシーは皮肉を弄された扱いとなり、チームは無機質なメールで応答しました。オランダでの Forgejo インスタンスの公開配備がこの事象に文脈を与えました。
その後の対応として、著者は Forgejo のセキュリティチーム（security@forgejo.org）宛てに謝罪メールを送信し、概念実証攻撃（PoC）ツールを提供し、強化推奨事項を添付として含めました。また、ニンジン開示を採用した理由を説明し、易しい標的であるのに望まぬ注目を浴びることに対する反対論を展開しました。セキュリティチームの役割は attribut 不要で security@forgejo.org で脆弱性情報を処理し前向きな行動を取ることとして定義されています。このエピソードは、情報セキュリティにおける開示慣行をめぐる倫理的議論、および組織が開発者が利用可能な問題を発見した場合にどのように応答するかという点を浮き彫りにしており、建設的な脆弱性情報報告のための基準の明確化を目指しています。
本文
「Carrot 公開に関する追報：Forgejo」について
2 日前、「Carrot 公開に関する追報：Forgejo」という投稿を行った後、多数の出来事がありました。
- 私に信頼を寄せた場所で話し合えようと呼びかけてくれた友人もいれば、「私はどんなひどい人物なのかを教えてやりましょう」と笑っているように振る舞った友人もいました。
- toot（投稿）が情報セキュリティ交換サイト「infosec.exchange」で複数回、複数のユーザーから報告された後、過剰に慎重なモデレーターによって削除されました。そのため私はマストドン社会圏に移り、しかしそこでも「責任の薄い非開示」という理由で再度削除されてしまいました。その結果、再び infosec.exchange に戻り、投稿が復元されました。その間には、友人から様々なマストドンのインスタンスへの招待状をいただき、心より感謝しています。
- 永続的な脆弱性開示の議論を引き起こす出来事が多数発生しました。 exploits を作成する友人の一部は、「容易に標的にできることを望まぬ注目をもたらした」と苦言を呈していましたが…。
- オランダが公共の Forgejo インスタンスという形で主権ソフトウェア forge を導入しました。
- マストドン上でこの件について誰もが持てる意見があり、特に私が発見した脆弱性についてはどう扱うべきかに関し、非常に口に出すことが多かったようです。また、私に向かって侮辱的な名前も付けられました。
- Forgejo のセキュリティポリシーが頻繁にからかわれました。
- 当ブログの投稿自体が多少調和を欠く内容であった可能性もあるにも関わらず、Forgero の管理チームからは感度のないトーンのメールが送られてきたと聞きました（これも面白く思っています）。
- また、Forgejo セキュリティチームの役割は「セキュリティ脆弱性の対応およびセキュリティ@forgejo.org 宛に暗号化して報告された機密性のあるセキュリティ関連事象の処理」にあることを学びました。能動的な活動はその権限の範囲内には含まれていませんでした。
- いくつかの実体（セキュリティチームを擁しているものも含め）が、Forgejo の本質は何か、あるいは何ではないのかという認識を見直し、前回のブログ記事で示したことが主な目的となりました。
それでもなお、多くの建設的で善意に基づく対話がなされましたし、実験的な脆弱性開示スキームへの取り組みは否定的に捉えられつつあるように見えます。そこで私は Forgejo のセキュリティチーム宛にメールを送りました。その内容は、謝罪、Carrot 方式を採用した背景にある私の考え方の説明、強化・再確認すべき事項に関する提言、そして添付ファイルとして多数の注釈付き exploit や proof-of-concept を含んでいました。今後はこのやり取りがどう進むのか、様子を見守っていきたいと思います。