EU司法裁判所判断：IPアドレスは個人情報だがログなどへの保存は合法～Legitimate Interest
Business Newsline日本語版『EU: IPアドレスも個人情報とする新判断・承諾なしでのアクセスログの保管は違法に』(2016/10/20) <http://business.newsln.jp/news/201610201826390000.html> (2016/10/21取得)Der Standard「EuGH entscheidet über Speicherung von IP-Adressen」(2016-10-18)<http://derstandard.at/2000046081816/EuGH-entscheidet-ueber-Speicherung-von-IP-Adressen> (2016-10-21取得) ちなみに、日本の経済団体の方々へ。 もう何年も前から言い続けてるけど、法改正にあたっては、個人情報の範囲を絞ることを狙うのではなく（←国際的な趨勢
HTCスマホに指紋画像を誰でも読み出し可能な脆弱性〜株価急落
The HTC One Maxの指紋読取装置が指紋を誰でも読める形で保存していたことが発覚 写真提供: HTC The guardian の記事1によりますと、HTCのスマホが利用者の指紋画像を誰でも読み出せる形で保存していたことが発覚したようです。発見したのはFireEyeの4人の研究者達で、8月5日にBlackHat2で論文3が発表されました 。指紋画像は /data/dbgraw.bmp に暗号化もされず World Readable でおいてあるそうです。したがって、アプリ等から自由に読み出せるとのこと。 この発見のあと、HTCの株価は2割近く急落、その時価総額は解散価値を下回っている4とのことです。 発覚後、HTCの株価は急落 このセキュリティホールはHTCのものですが、Samsungを含む多くのスマホメーカーは、ARMなどが提供する組み込みのセキュリティ機能を使用していないため
MacOS XとiOSのXARA脆弱性について
今日（６月１８日）午後、GigaZineで「iOSとOS XでiCloud・メール・ブラウザ保存のパスワードが盗まれる脆弱性が発覚、Appleは半年以上も黙殺」1というセンセーショナルな記事が出ました。まぁ、Webメディアだからしょうがないかという感じではありますが、記事を読んだだけでは何のことやらさっぱりなので、読みましたよ、元の論文。 その論文は、これです。 Xing, Bai, Li, Wang, Chen, Liao: “Unauthorized Cross-App Resource Access on MAC OS X and iOS” 2 まずは、著者たちに拍手をしましょう。 その上で： 著者たちが、初めて発見したと主張するゼロデイ攻撃は以下の４つ、細かくは５つに分類されます。 Password Stealing (Keychainのアクセス・コントロール脆弱性)[MacOS
オバマ大統領、デビッド・リコードンをホワイトハウスの「情報技術長官(?)」に抜擢
photo by Brian Solis (2009) CC-BY。今はもうちょっと老けていると思われ。 やや旧聞ですね。日本時間の金曜日の朝に仲間内ではひとしきり盛り上がったのですが、いかんせん金曜日は時間がなく、その後体調を崩してずっと今さっきまで寝ていたので…。 Yahoo! Techによる、デビッドがホワイトハウスの「director of information technology」に抜擢されたというニュース[1]です。これって、日本語だと、「情報技術長官」で良いのですかね…。Wikipediaの米国政府用語[2]によると、Directorは「長官」らしいので…。（誰か詳しい人教えて…。） 彼は、米国のOpenID® Foundation立ち上げの立役者兼初代副理事長で、OpenID® Authentication 2.0の主著者でもありますね。当時はSixApart→Veri
Yahoo! CEO メリッサ・マイヤー「消費者からの不信がパーソナル・インターネットの発展を阻害している。」「自己情報コントロールを！」
Yahoo! CEO メリッサ・マイヤー「消費者からの不信がパーソナル・インターネットの発展を阻害している。」「自己情報コントロールを！」 ちょっと前のニュースになりますが、日本でも流れてましたかね？パーソナル・データの取り扱いに関する、Yahoo! CEOのメリッサ・マイヤー氏の発言が、最近の某国の某社を中心とした「オプトアウトで目的変更可能に」という主張と真っ向対立しているというニュースです。 The Drum の報道[1]によりますと、去る１月２２日に行われたパネル・ディスカッションで、米Yahoo! CEOのメリッサ・マイヤー氏は、「一部テクノロジー企業がデータ販売の境界を押し広げようとすることによって、政府・消費者双方の信頼を失い、パーソナライズド・インターネットの発展を阻害している。」と述べたとのことです。個人による意思を伴った同意を経ないで、パーソナル・データから利益を得よう
桑田佳祐ーソラミミ・アベーロードが凄すぎと話題
先ほどツイッターで流れて来たんですが、桑田さん、凄過ぎ〜。ソラミミ・アビーロード、題してアベーロード。正に天才、文句なし。いや〜、良いもの見せて頂きました。 ２００９年５月４日 放送 、『桑田佳祐の音楽寅さん』だそうです。 みなさんも是非！ https://www.youtube.com/watch?v=o-k5vGmCwzg&app=desktop 曲目 公明党BROTHER（Come Together） さみしい…（Something） 舛添居ず知らぬ間データ（Maxwell’s Silver Hammer） 親だ～れ!?（Oh! Darling） 僕当選さす票田（Octopus’s Garden） iPhone中（I Want You (She’s So Heavy)） 爪噛むおじさん（Here Comes The Sun） 民主党（Because） 油田は危機を招き（You Nev
ベネッセ個人情報漏洩事件所感
ベネッセから、子供等の個人情報が最大2070万件漏洩[1]したらしい。 これはいろいろな面で示唆深い事件だ。いくつか挙げて見よう。 子供のデータであること。 諸般の事情で名簿屋が取得できなくなっていたデータであること。 実際に個人の被害が確認されていること。 転々流通が確認され、その問題が意識されはじめたこと。 個人情報保護法改正のまっただ中であること。 これらのうち多くの点は、楠さんのブログ「ベネッセが埋めた名簿屋のミッシング・ピース」[2]で指摘されているので、そちらを参照されると良いと思う。（なお、転々流通の問題は、５年前にこの記事[3]で言及しているが、ようやくちまたに意識されるようになってきたようで感慨深い。実際今回の件では、複数の事業者がこのデータを販売しているが、そのうち少なくとも２つは、同じIPアドレスにサーバを持っており事実上同一であるように思われる。５年前に指摘した、個
OpenID Connect リリース～インターネットのアイデンティティ層
苦節４年半、ワーキンググループを作るところから始めたら、苦節６年、ようやくOpenID Connectをリリースしました。 OpenID Connect は、インターネット上の「アイデンティティ層」をなすものです。ちょっと説明しましょう。 レイヤーとか「層」とかというと、よく使われるものTCP/IPの参照モデルというものがあります[1]。これはIETFによって策定された、インターネット上のホストの持つべき通信機能を階層構造に分割したモデルで、TCP/IP参照モデル、インターネット・プロトコル・スイートなどとも呼ばれ、通信機能（通信プロトコル）を４つの階層に分けて定義しています(RFC1122)。この第４層はアプリケーション層と呼ばれますが、これは、あくまでHTTPやFTP等の通信サービスのことであり、いわゆる「業務アプリケーション」の意味ではありません。実際のユーザが使う「業務アプリケーシ
連結不能、非識別化とは何のことか（１）
以前からずっと議論はされてきているのですが、ここのところまた私の周りでは、「非識別化」だとか「匿名化」だとかといったことの意味を明らかにしようとする活動が活発化してきています。これは、今年の６月２５日に総務省のパーソナルデータ利用・活用に関する研究会の報告書が発表 （以後、総務省報告書と言及）されたことを契機にしています。 この報告書の中で特に注目されるのは、同報告書の３３ページで、「米国のFTCが2012年3月、消費者データを収 集し利用する企業の行動枠組みについてまとめた報告書である「急速に変化す る時代における消費者プライバシーの保護」 （筆者注：以後、FTC報告書と言及）に見られるようなFTCにおける考え方等を踏まえ、次のような 条件をすべて満たす場合は、実質的個人識別性はないといえるため、保護され るパーソナルデータには当たらないとして、本人の同意を得なくても、利活用 を行うこと
マイナンバーとプライバシー：識別子と超過リスク
前回、「マイナンバーとプライバシー：識別子に対する要件」で、以下のように書きました。 次に、仮想例として、税と社会保障（含む年金）の共通番号というものを考えてみましょう。これは、基礎年金番号と納税者番号双方の要件を満たす必要が出ます。つまり、年金管理が要求する「長い期間」と、税が要求する「広い範囲」の掛け算が必要になります。つまり「長い期間広い範囲で安定的」な識別子が必要になります。これは、要件３を満たしませんので、筋の悪い組み合わせだと言えます。 今回はこれを素材として、識別子のもたらすリスクの特性について考えたいと思います。 識別子の種類 さて、まず本題に入る前に識別子の定義を復習し、その種類をまず見てみましょう。 識別子：＝ある集団の中で、その個人（やモノ）を一意に他と区別（識別）うることができる属性の組み合わせ そうです。普通に考える「個人番号」のようなものだけでなく、「氏名・性別
意味ある同意と情報共有標準ラベル
みなさん、フェースブックやらグーグルやらのサービスを使ったりするときに、サービスの利用規約やプライバシーポリシーをちゃんと読んでますか？ 私は読んでません。いや、フェースブックとグーグルは読みました。が、他の殆どは読んでいません。だいたい、そのサービスが使いたくてそこに行ったのに、何十ページもある規約なんか、読めるわけ無いですよね。 顧客がそれらを読まないことは、サービス提供者側も十分承知なはずで、この場合の同意に意味があるかどうかは大いに疑問なのであります。 こうした状況は、サービス提供者にとってもユーザにとっても不幸なことです。 この課題に対する一つの回答として Kantara Initiative の Information Sharing Work Group で検討されている仕様に、Standard Information Sharing Label （情報共有標準ラベル）という
非技術者のためのデジタル・アイデンティティ入門
「非技術者のためのOAuth認証(?)とOpenIDの違い入門」が800はてブ超えをしたのに気を良くして、今度はアイデンティティについて書いてみることにしました(*0)。 （デジタル）アイデンティティとは、聞きなれない言葉だと思います。デジタルはまだしも、アイデンティティとなると、はてさて一体何？という感じではないでしょうか？ ところがこの言葉、OpenIDにせよ、OAuthにせよ、「認証」を語るときには、必ず出てくる言葉ですし、先日ニコニコ動画で放映され、のべ27000人以上の来場者を数えた「一番いいのを頼むための共通番号制度徹底解説 ～そんな共通番号制度で大丈夫か？～ MIAU Presents ネットの羅針盤」が取り扱っていた「番号」制度を考える上でも実際には欠かせないものなのです。 そんなに大切な概念なのに、ぱっと分かりやすい解説というのがなかなか無いのですね。私の大好きな
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をしているサイトである伊
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
