リードを埋めちゃったね… アルコは、彼のコンサルタント会社がデータをマネタイズできるように、rubygems.orgのHTTPアクセスログのコピーが欲しかったんだ。RCが二次的なオンコールの予算がないって判断した後にね。それから、彼がメンテイナーを外された後にログインしてAWSのルートパスワードを変更したんだ。

AWSルートアカウントの認証情報を回転させるのに失敗した… 共有の企業パスワードマネージャーに保存されている 残念ながら、多くの企業は、以前アクセスしていた従業員が退職した際に、共有のパスワードマネージャーに保存された認証情報を回転させずにそのままにしておくという悪い習慣を続けている。

アルコが不正アクセスの犯人でなかったとしても、これで彼のキャリアはずっと傷つくことになるね。メールの件は別としても。コンサルタントを運営するには最悪のタイミングだよ。彼の他の顧客は今、何を考えているんだろうね。

言語パッケージレジストリのAWSアカウントルートアクセスが11日間もあったんだ。EC2のルートじゃなくて、AWSアカウントのルートだよ。IAM、S3、CloudTrail、すべてを完全にコントロールできる。彼らは「侵害の証拠はない」と主張してるけど、CloudTrailのログはAWSルートが削除したり変更したりできるものだよ。しかも、彼らは「制御を取り戻した後にAWS CloudTrailを有効にした」と認めてるから、侵害の間はCloudTrailが動いてなかったってことだ。ルートが侵害されたシステムのログからサプライチェーンの整合性を確認することはできないし、ログが存在しなかったときにはさらに確認できない（彼らは修復中に有効にしたの？）。だから、もし間違ってたら誰か訂正してほしいけど… 9月19日から30日に公開されたすべてのgemは疑わしいよ。その期間に動いている本番のRubyアプリケーションは、バックドアが仕掛けられていないことを確認する手段がない。正しい対応は、公開を凍結して、ゼロから再構築すること（当時公開されたパッケージも再公開する必要があるのかな？うーん、どうやってやるのかも分からない！）で、オフラインバックアップと照合することだよ。でも、彼らはパスワードを回転させただけで終わらせたんだ。

もし本当に第三者とデータを共有することに倫理的な懸念があるなら、プライバシーポリシーをそれに合わせて更新すべきじゃない？「私たちは、セキュリティに関連するイベントやRubyGems.orgの使用状況を分析するために、IPアドレスや位置情報データなどのウェブトラフィックに関連する情報を収集します。」（https://rubygems.org/policies/privacy）「私たちは、特定の個人を特定しない限り、研究、マーケティング、分析、その他の目的のために、集計または非特定情報を第三者と共有することがあります。」（https://rubycentral.org/privacy-notice/）

これは「ウェブサービスから誰かを締め出す方法が全く分からない」と言うにはかなり面白くて長い言い回しだね。> 1. Ruby Centralは、事件の前に企業パスワードマネージャーを通じて共有認証情報へのアクセスを正しく削除したが、スタッフはこの認証情報が他のパスワードマネージャーにコピーされたり流出したりする可能性を考慮しなかった。 > 2. Ruby Centralは、共有ボールトにアクセスしていた人員が退職した後にAWSルートアカウントの認証情報（パスワードとMFA）を回転させるのを怠った。

みんなには、反応を待つことをおすすめするよ。RubyCentralは今、めちゃくちゃな非難をしてるし、ここ数日間ずっとそうだしね（それに、全ての開発者を解雇して、特にMarty Haughtを責任者にした理由も説明できてないし。論理的に説明できたことがないんだよね。それに、なんでこの書類をもっと早く出さなかったの？ここで待つのはすごく変な感じだよ。もっと早く状況を明確にできたはずなのに、なんか待ってから説明を考えたって感じがする）。RubyCentralの今の戦略、つまり非常に孤立したメールを投稿して「これが最終的な証拠だ」とほのめかすのは受け入れない方がいいよ。メールのやり取りにはたくさんのメールが必要だってみんな知ってるから、こういう部分的な公開は本当に変だよ。それに、対面のミーティングもあったのに、RubyCentralはそこで何が話し合われたかを公開しないのはなぜ？金銭的な圧力で利益相反があったのかな？それに、すでに指摘されてるけど、RubyCentralは弁護士を雇ってるみたいだし、redditの議論を見てみて。これが本当にユーザーや開発者が求める透明性なの？日々状況が悪化してるし、どの視点から見てもRubyCentralが中心にいるし、少なくともたくさんのミスをして、過去のミスを隠そうとして...さらにミスを重ねてる感じだよ。RubyCentralを解散させた方がいいと思う。クリーンな状態から始めようよ。富裕な企業がエコシステム全体の上に立たないようなルールを見つけよう。最後に、この戦略的な中傷は本当にうざい。もし事実に基づく証拠があるなら、裁判に持ち込むべきだし、ないなら人を中傷するのはやめるべきだよ。私の知る限り、RubyCentralはまだ裁判を起こしてないし、起こさないんじゃないかって少し疑ってる。なぜなら、一般市民としては完全な透明性を求めることになるから。RubyCentralの全メンバーとその活動を含めてね。だから私のおすすめは：しばらく待って、告発された人たちの反応を見よう。

「これらの予算調整に続いて、アーコ氏のコンサルタント会社が、IPアドレスやその他の個人を特定できる情報（PII）を含むプロダクションHTTPアクセスログへのアクセスと引き換えに、無償で二次的なオンコールサービスを提供する提案を提出しました。このオファーにより、アーコ氏のコンサルタント会社はそのデータにアクセスでき、アクセスパターンを分析して、無関係な第三者と共有することでマネタイズできる可能性がありました。」なんだこれ。最近、Ruby gemsの競合インデックスを立ち上げた同じ人だよ。一方で、RubyCentralの行動は本当に無能だったし、どっちが悪いのか分からなくなってきた。

今、チャットでこの件について話しているセキュリティ仲間たちが考えているように、ここでの「無許可の行為者」がアンドレ・アーコだと仮定すると、これはRuby CentralがアーコをRubygems.orgをハッキングしたと直接非難していることになる。これは明らかに18 USC 1030の違反を示してる。物語のどの部分も間違ってる可能性があるけど、アーコの行動がOKだと読むことはできないよ。