なぜ人々は脆弱性をIPAにばかり報告するんですかね

るくす @RKX1209

ところでなぜ人々は脆弱性をIPAにばかり報告するんですかね。実際私ディストリのパッケージメンテナ通したり自分で直接レポート書いたりしてMITREに送ってますがそんな理不尽な事無いよ

まさみさんboosted @mhiramat

@RKX1209 あれ、プロプラの話だと勝手に思ってました。

るくす @RKX1209

@mhiramat というと、どういう事です？

まさみさんboosted @mhiramat

@RKX1209 OSSなら開発者に直接話ができるし、ソースコードから原因を突き止めることも可能な窓口がありますけど、プロプラの場合、ユーザサポートに連絡しても取り合ってくれないか時間がかかるからIPAに投げちゃうのかな、と。

るくす @RKX1209

@mhiramat あー IPAってそこまで面倒見てくれるんでしたっけ。 なるほど

まさみさんboosted @mhiramat

@RKX1209 勝手に思ってただけなので、もしかしたら元ツイートの背景は英語で報告するのが嫌だからIPAに投げたという話なのかもしれませんが・・・。

るくす @RKX1209

@mhiramat 個人的には日本語で対話できるからなのかと思ってましたけど、実際MITREもディストリのセキュリティチームも開発者への報告は先に自身でやる必要があるので、面倒見はそこまで良くないですね。 その点でIPAを頼っちゃうというのは分かります。

山本 茂 @BsdHacker

@RKX1209 @mhiramat 日本語で対応できるのは大きい気がします。 また、今では MITRE とも連携しているため、JVNを申請すると CVE もつくようになってますので、その点も楽だと思います。 ipa.go.jp/security/vuln/…