セキュリティガイドの「CSRFによるルーター再構成」のリンクが切れている件とその対応について

[yokomaru]

Railsガイドを利用して学習させていただいています。いつもありがとうございます。

リンク切れの報告

• 「セキュリティガイド」内「10.2 クロスサイトリクエストフォージェリ」のCSRFによるルーター再構成のリンク先に記事にアクセスできないようでした

• リンク先の記事のURLは以下になります

  • http://www.h-online.com/security/Symantec-reports-first-active-attack-on-a-DSL-router--/news/102352

確認したこと

• 2014年に原著側へのPRにて該当箇所のURLが http://www.h-online.com/security/news/item/Symantec-reports-first-active-attack-on-a-DSL-router-735883.html に変更になっているようでした
  • ただ、現在www.h-online.comにアクセスするとwww.heise.de/enにリダイレクトされるため原著側の記事でも同様にアクセスできない状態です
  • 以下のようにドメイン部分を変更して検索してみましたが、いずれも404エラーで同じサイトから同内容の記事を見つけることができませんでした
    • www.heise.de/en/security/...
    • www.heise.de/en/news/...
  • 別のサイトの記事でも問題なさそうであれば、同事件に言及している以下の記事などに差し替えることも可能かと思います
    • https://www.networkworld.com/article/809822/lan-wan-first-case-of-drive-by-pharming-identified-in-the-wild.html (WIkipediaではこちらの記事を参照しているようです)
    • https://www.e-channelnews.com/symantec-reports-real-drive-by-pharming-attack/

リンクの差し替えという対応で問題なければ、原著へのPRも併せて対応したいと考えています。
他に適切な参考記事や対応方法についてご意見などがありましたら、ご教示いただけますと幸いです 🙏

[yokomaru]

@yasulab
こちらの件、リンク先を https://www.networkworld.com/article/809822/lan-wan-first-case-of-drive-by-pharming-identified-in-the-wild.html に差し替えた内容で原著と合わせてPRを作成しようと思っていますが 問題ないでしょうか？

[yasulab]

@yokomaru 良いと思います! ぜひ...!! (≧∇≦)b✨

もし差し支えなければ I have found this through [Japanese Rails Guides](https://railsguides.jp/) 的な形で PR 内からもリンクを貼っておいていただけると嬉しいです...!! 🙏✨ (日本語のコミュニティからの contribution だよ、という文脈が伝わると良いかなと思うので 😌💭✨) cc/ @hachi8833

[hachi8833]

はい、ご提案の方法でよいと思います！

（念のため archive.org も辿ってみましたが、あまり古いリンクを維持するより、もっと新しい適切なリンクにする方がよさそうですね）

[yokomaru]

@yasulab @hachi8833
ご連絡いただきありがとうございます🙌
日本語のコミュニティからの contribution という旨を追加して対応します！

[hachi8833]

@yokomaru
FYI: もし本家への貢献が初めてでしたら、 プルリクのタイトル冒頭に [ci-skip][docs] を入れるのをお忘れなく（参考）。
そうすることで、自動的にタグが付けられ、余分なCIも動かなくなるので、リポジトリの負担も減ります。

参考: Ruby on Rails に貢献する方法 - Railsガイド

[yokomaru]

@hachi8833
まさに初めてでしたのでコメントいただけて助かりました！上記忘れず記載します。

[hachi8833]

よかった！

FYI: 実はドキュメントの貢献、特に凡ミスやデッドリンクの修正といった修正はとっても反映されやすいという特徴があります。
プルリクがマージされると、 https://contributors.rubyonrails.org/ に名前と貢献数が登録されるので励みになります。
（私も何やかやで35件 になりました）

[yokomaru]

@hachi8833 、@yasulab

色々情報共有してくださりありがとうございます！先ほどPRを出しました！🚀
ご協力いただき本当にありがとうございました！

ドキュメントの貢献、特に凡ミスやデッドリンクの修正といった修正はとっても反映されやすい
https://contributors.rubyonrails.org/ に名前と貢献数が登録される

おおお、そうなんですね！！とても緊張したので励みになります・・💪
今回の経験をもとに今後も積極的にOSS活動やそのサポートなどもしていきたいと思いました！
原著がマージされましたら日本語版にもPRを作成いたします。引き続きよろしくお願いいたします！

[yokomaru]

@hachi8833 、@yasulab (CC: @daipom)

お世話になっております。先日は色々アドバイスをいただきありがとうございました！
提出したPRにて、以下のフィードバックをいただきました。

1. 20年前の古いインシデントのリンクを保持する必要があるか？
2. 営利目的のメディアサイトではなく、より信頼性の高い情報源を使うべき

現時点での認識と対応方針

1. 古い事例について

ご指摘いただいたように、2007年の事例はかなり古いものですが、CSRFを用いたルーターのDNS改ざんという初期の実例として、当時の攻撃の具体性や重要性を示す参考になると感じました（初学者としても非常に興味深く読ませていただきました）。
そのため、可能であれば信頼できる出典が見つかれば残す方向の方がいいのではないか？と考えました。

ただ、同章 (日本語版リンク) にて攻撃の仕組みや背景はすでに丁寧に解説されているため、今後のメンテナンス性を考えると必ずしもこの事例へのリンクが必要というわけではないのかもしれない、とも考えています。

2. 情報源の信頼性について

当初は h-online のようなニュースサイトでも問題ないと考えていましたが、Rails公式ガイドの参照先としてふさわしいかという観点での検討が甘かったと反省しています・・。

本来の1次情報であるSymantecの元記事は、以前共有いただいた archive.org から辿っても 404 となっており、利用が難しい状況のようでした。

調査した結果、代替案として以下のようなセキュリティベンダーによる調査記事であれば、比較的信頼性の高い情報源として扱えるのではないかと考えています。

• TrendMicro の2008年の調査記事
• Kaspersky のCSRF / drive-by pharming に関する技術記事(事例のうちの1つにこの内容がある)

営利企業による記事ではあるものの、内容は中立的で宣伝色も薄く、他に信頼できる一次情報が見つからない場合は、出典候補になるかなと思っています。

---

最終的な対応案

• 上記記事が信頼できる出典として受け入れられる場合 → リンクを差し替えてPRを更新
• 受け入れが難しい場合 → 当該リンクを削除のうえPRを更新
• より慎重な判断が必要な場合 → このPRを一度クローズし、Issueとして立て直してより知見のある方に引き継ぐ形もありえるのかな？と思っています（そもそもこの古い事件を取り上げ続けるべきなのか、という観点からの再検討もあり得ると感じています。）

みなさまお忙しいことを重々承知しておりますので、お手隙の際に対応についてのご確認やご助言をいただけますと幸いです。
どうぞよろしくお願いいたします🙇

[hachi8833]

@yokomaru お疲れさまです。

どの対処方法が最もシンプルかつユーザーにとって不便にならずに済むかですが、私は原文からリンクのみ削除するのが最もシンプルかなと思いました。

[daipom]

僕も、原文からリンクのみ削除するのが良さそうだなと思いました！

• 「古い事例なので、無理にリンクを維持しようとすることはないんじゃないか？」というレビュワーの考えは理解できる

• 同章 (日本語版リンク) にて攻撃の仕組みや背景はすでに丁寧に解説されているため、今後のメンテナンス性を考えると必ずしもこの事例へのリンクが必要というわけではないのかもしれない

  • 同感です

余談

より慎重な判断が必要な場合 → このPRを一度クローズし、Issueとして立て直してより知見のある方に引き継ぐ形もありえるのかな？と思っています（そもそもこの古い事件を取り上げ続けるべきなのか、という観点からの再検討もあり得ると感じています。）

今回そこまで考えなくて良いと思います！
「そもそもこの古い事件を取り上げ続けるべきなのか、という観点からの再検討」をするにせよ、
いったんこのリンク切れという問題は直してしまえばいいと思います！

[yokomaru]

@hachi8833 @daipom

コメントいただきありがとうございます！！

どの対処方法が最もシンプルかつユーザーにとって不便にならずに済むか

今回そこまで考えなくて良いと思います！
「そもそもこの古い事件を取り上げ続けるべきなのか、という観点からの再検討」をするにせよ、
いったんこのリンク切れという問題は直してしまえばいいと思います！

お2人がおっしゃる通り、まずシンプルにリンク切れという問題を解決する方法を考えるべきでした・・！
つい今の修正方法に囚われてしまったのと、余計なことまで考えて必要以上に悩みすぎてしまいました。。。
解決すべき問題が何かを忘れないことと、なるべくシンプルに考えることを意識していきたいと思います。

今回は無理に限られた情報の中から差し替えるのではなく、
一旦はリンク切れを解決する方法としてリンクの削除にて再度修正＋提案してみようと思います！