しかしソクラテス、現実の運用者はこう尋ねるべきではないか。まず、このシステムでOAuth 1.0aが本当に有効に設定されているのか。そして、リクエストトークンがセッションに結びついているかを確認すべきではないか。たとえば、サイト管理者が「コンシューマー設定」を誤って全体に適用していないかを、ログを確認する必要があるだろう。この脆弱性は、設定ミスと攻撃者の知識が重なったときだけ発生する。我々は、まず「これは本当に影響範囲に含まれているか」を確認するべきだ。

その通りだ。だが、現実的にはこうするべきではないか。まず、Apache Rollerのバージョンが6.1.5かを確認し、6.1.6へのアップグレードを検討する。次に、OAuth 1.0aの設定がサイト全体に適用されているかを、confファイルや管理画面で再確認する。そして、リクエストトークンがセッションに結びついているかを、テスト用アカウントで再現してみる。もし影響があるなら、パッチ適用と変更管理の記録を忘れずに。ベンダー情報はNVDのリンクを確認し、その信頼性を再確認する。これは哲学ではなく、現実の「信頼の手順」だ。

学ぶべきは、システムの設定を定期的に見直し、ベンダーのパッチを速やかに適用するということだ。そして、コーヒーを飲みながら、変更管理の文書を書く時間を確保することではないか。哲学は現実に根ざさなければ意味がない。