security through obscurity

(別形 : security by obscurity) ハッカーが、ほとんどのOSベンダーがセキュリティホールに対処するお気に入りのやり方に当てはめる用語——すなわち、それらを無視し、既知のホールも背後のセキュリティアルゴリズムも文書化せず、誰もそれらについて知らないことと、知った人々もそれを悪用しないことを当てにすること。この「戦略」が長続きすることは決してなく、時には1988年のRTMワーム(Great Wormを参照)のような大失敗を世界にもたらすが、そうした出来事が生む束の間のパニックがおさまると、ほとんどのベンダーは平気で寝返りを打って眠りに戻る。なにしろ、実際にバグを直せば、マーケティングの願望リストにある次のユーザーインターフェースの飾りを実装するのに必要なリソースが吸い取られてしまう——おまけに、セキュリティバグを直し始めれば、顧客はそれを期待し始め、商品性の保証が、散弾を浴びたスイスチーズより穴の少ないシステムを手にする何らかの権利を自分たちに与えていると想像するかもしれない——そしてそうなったら我々はどうなる?

歴史的な注記: この用語の起源については相反する話がある。それは、HP/ApolloにそのUnixcloneであるAegis/DomainOSのセキュリティ問題を直させようとする運動の中で、Usenetのニュースグループcomp.sys.apolloで初めて使われたと主張されている(彼らは何ひとつ変えなかった)。一方、ITSのファンたちは、それは何年も前に、セキュリティがすべてだった廊下の向こうの信じがたいほど偏執的なMulticsの連中に対抗して作られたと言う。ITSの文化では、それは(1) tourist がトラブルの起こし方を理解する頃には、たいてい自分がコミュニティの一員だと感じてその衝動を乗り越えてしまっているという事実と、(2)(自嘲的に)ドキュメントの網羅性の乏しさと多くのコマンドの分かりにくさ、を指していた。意図的なsecurity through obscurityの一例が記録されている。実行中のITSシステムへのパッチを許可するコマンド(escape escape control-R)は$$^Dとエコーされた。実際にalt alt ^Dとタイプすると、それはフラグを立て、あとで正しく入力してもシステムにパッチを当てられないようにしたのである。