高木浩光＠自宅の日記 - 住民票コードを市町村が流出させても全取替えしない先例が誕生する？, 追記
■ 住民票コードを市町村が流出させても全取替えしない先例が誕生する？ 愛媛県愛南町の住基情報がWinnyネットワークに流出させられた事故では、住所、氏名、生年月日、性別と共に住民票コードも流出しているとのことだが、報道によると、愛南町は、「住民票コードの変更を求める住民については変更に応じる」とされていた。愛南町の発表文を確認してみると次のように書かれている。 愛南町では今後、5月21日（予定）から職員全員で関係する全世帯を訪問し、情報が流出したことについての説明とお詫びに伺う所存でございます。また、住民票コードの変更を希望される方には、変更申請を行っていただくようお願いいたします。 愛南町の住民の個人情報の流出に関するお詫びとお知らせ, 愛媛県愛南町, 2007年5月18日 「変更に応じる」と言っても、今回の事故の対応措置というわけではなく、元々、住民票コードの変更は平常時から用意されて
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
高木浩光＠自宅の日記 - RFID児童登下校管理システムのクオリティは安心安全ソリューションってレベルか
■ RFID児童登下校管理システムのクオリティは安心安全ソリューションってレベルか 2004年から2005年にかけてたびたびNHKニュースやテレビ東京で華々しく宣伝されていた、RFID児童登下校通知システムだが、去年あたりから悲惨なことになっていたようだ。 2006年8月13日の日記からリンクしていた個人ブログを再び見に行ってみたところ、その後こんなことになっていた。 「情報科な日々のつれづれ」の「ICタグ」カテゴリ 朝、7:36。 ICタグによる登下校システムの停止。（略） 事務所の電話は、鳴りっぱなし。 何とかならないかといわれても・・・・。 とにかく富士通に対応してもらうまで待つしかない。 原因は、どうやら、メールサーバの停止らしい。 7:36に最後の送信をしてから、停止したらしい。 それ以降に登校した子どもには、メールが送信されていません。（略） 27 September ご迷惑を
「Winnyは既に必要な技術ではなく、危険性を認識すべき」高木氏講演
大阪弁護士会館で17日、情報処理技術と刑事事件に関するシンポジウムが開催された。シンポジウムは、Winny事件の判決を契機にIT技術と刑事事件を考えるという内容で、大阪弁護士会刑事弁護委員会、情報処理学会、情報ネットワーク法学会が共同で主催した。 シンポジウムでは、Winnyの開発者である金子勇氏によるWinnyの概説や、ファイル共有ソフトに関する刑事法的な問題点など、技術と法律の両面からWinnyやファイル共有ソフトの問題点についての講演が行なわれた。午後の講演では、産業技術総合研究所の高木浩光氏が「ファイル共有の抱える技術的な問題点」と題して、セキュリティの観点から見たWinnyの問題点を語った。 ● Winnyは「人が望まない」ことを止められない点が問題 高木氏はまず前提として、「Winnyがどのような目的や意図で開発されたのかという話とは無関係に、結果としてのWinnyを基に議論を
高木浩光＠自宅の日記 - NHKの棒グラフ描画システムが機械的に世論を狂わせている可能性
少ないサンプル数のデータから、そのバラつきが有意な変化を示すものなのかどうか、直感的に把握するために棒グラフは適している。その場合、波線省略をしてはいけない。面積や高さの比によって把握するからだ。 「増加傾向はまぎれもない真実」と思った人達は、まさに、波線省略されたNHKの棒グラフ（下の図）を見たからこそ、「増加傾向」を直感的に感じたのじゃないのか。 「波線だって入っている」「読み手のリテラシーで理解するべきものだ」と言うような人たちが、自分自身の直感が狂わされていることに気づかない。 他に、NHKの制作現場の関係者をうかがわせる人（高校講座の情報Aの制作関係者？）からのコメントもあった。 身内がつるし上げられてるので、今日は（も？）こっちも大人げないモードで。 おお、高校講座がはてぶに載る日が来るなんて。 bm自身は地理には直接関わってないけど、ちょっとびっくり。 情報Aもどうぞよろしく
高木浩光＠自宅の日記 - あるある大事典が「一切リンクお断り」としていた心境を推察すると見えてくるもの
■ あるある大事典が「一切リンクお断り」としていた心境を推察すると見えてくるもの 恥ずかしながら、私の勤務する研究所も、何年か前は、研究所Webサイトへのリンクについて、公序良俗に反するサイトからのリンクを「お断りします」としていた。その理由というのはどうやら、研究成果などに対していかがわしい会社からリンクされることが、ある種の人たちには懸念される事柄と思われているためのようだった。 だが考えてみて欲しい。たとえば、研究所の研究員の発表論文やテクニカルレポートが、食材販売業者のチラシやWebサイトで、参考文献として挙げられているときに、私たちはそれを止めさせる立場にあるだろうか？ 論文の参考文献リストへの掲載について 以下のいずれかに該当する出版物、Webサイトその他においては、○○研究所の職員が発表した論文を参考文献リスト等に無断で掲載することをお断りします。 (1) 公序良俗に反するも
高木浩光＠自宅の日記 - 日常化するNHKの捏造棒グラフ
■ 日常化するNHKの捏造棒グラフ こういう話は「なにをいまさら」という感じだが、 「テレビ全体の信頼にも関わる」、ＮＨＫ放送総局長, 産経新聞, 2007年1月24日 という話も出ていることだし、先週の日記の脚注1にも書いたので、この機会に書いてみる。 先週の件は、NHK総合テレビ1月20日22時放送の「@ヒューマン」という番組だったことまでは思い出したが、残念ながら証拠画像を入手することはできなかった。しかし、画像検索で nhk.or.jpドメインを軽く探したところ、すぐさま典型的な捏造例が2つ見つかった。 図1は、図2のグラフの一部にモザイク処理を施したものだ。 このグラフを提示して何を解説しているかというと、 繊維製品製造業のグラフです。 先進国から発展途上国に大量の生産拠点が移ったため、日本の繊維工場は減少しています。 という。繊維工場が減少していると解説されながら、図1のグラフ
Voice of Stone #1495 高木浩光氏の逆鱗に触れる
Index (comments/trackbacks) [0] 2006.12.26 hidew : 高木浩光氏の逆鱗に触れる [1] 2006.12.26 iaeo_cac : (110 文字) [2] 2006.12.26 国民宿舎はらぺこ 大浴場 : 突っ込もうかどうかちょっと迷ったけど [3] 2006.12.26 AFTERZERO : (68 文字) [4] 2006.12.26 hidew : (0.5 原稿用紙) [5] 2006.12.26 hidew : (160 文字) [6] 2006.12.26 hidew : 誤読と飛躍の俺様論理 [7] 2006.12.27 p : (0.7 原稿用紙) [8] 2006.12.27 iaeo_cac : (140 文字) [9] 2006.12.27 hidew : (1.2 原稿用紙) [10] 2006.12.27 hi
高木浩光＠自宅の日記 - ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。am/pmで使ったEdyは渡さない。
■ ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。am/pmで使ったEdyは渡さない。 高度ユビキタス化社会の到来は、プライバシーを守ろうとする人々のリテラシーをこうもややこしくする。一昨年書こうと思って準備したもののその後放置していた話を以下に書く。 2004年7月11日の日記に書いていたように、コンビニエンスストアのam/pmには、club apという会員サービスがある。am/pmで販売されているEdyカードには図1のように、club ap用の「仮パスワード」を記した紙が同封されている。 このサービスで特徴的なのは、「Edyご利用実績」という、am/pmでの買い物履歴を閲覧できるというものである。 一度メンバー登録すると、以後IDを使って、 Edyの決済やチャージの記録とお買い上げ品の明細がウェブ上で閲覧できます。小づかい帳、経費管理に、家計簿にと、便利な機能です
高木浩光＠自宅の日記 - 非接触型電子マネーは消費者にとって安全なのか
■ 非接触型電子マネーは消費者にとって安全なのか 最近、電子マネーの安全性にについて取り沙汰されているようだ。電子マネーの安全性というと、サービス事業者（発行者）ないし加盟店に損金が出るリスクと、消費者（利用者）に損金が出るリスクを分けて考えるべきだろう。 発行者の損金については、正直、外野がとやかく騒ぐことでもないという面がある。発行者は当然ながらそうしたリスクを詳細に検討した上で事業を展開しているはずであり、一定程度までの被害は必要コストとして計算されているはずだ*1。それに対し、消費者に損金が出るリスクが存在する場合にはそうはいかない。その事実が消費者に知らされるべきであり、回避策があるなら周知されるべきであろう。 さて、何か月か前にラジオライフ誌から取材したいとの申し入れが自宅日記のメールアドレスにあった。Suicaなどでスキミング被害が出ないのはなぜなのか技術的に解説して欲しいと
高木浩光＠自宅の日記 - 新聞の意味不明な識者コメントはデスクの解釈で捏造される
■ 新聞の意味不明な識者コメントはデスクの解釈で捏造される 13日のWinny判決の日は、午後からIPAで講演のため留守にしていたこともあり、当日のマスコミからの取材申し込みはお断りさせていただき、事前に申し込みのあったものについてだけコメントさせていただいた。そもそも私は業務上この判決の是非についてコメントする立場になく、情報セキュリティの観点から今後のWinnyをどう考えるかについてのみ、コメントするようにしている。判決が出てから慌ててコンタクトしてくるようなメディアには、短時間で私の主張の趣旨が理解されない恐れがあり、危なくて応じられない。 しかし、注意深く応じたにもかかわらず、読売新聞13日夕刊には、言っていないコメントを掲載されてしまった。 高木浩光・産業技術総合研究所情報セキュリティ研究センター主任研究員の話 「ウィニーは、本人の意思に関係なく、個人のファイルやデータが流出して
高木浩光＠自宅の日記 - Winnyの問題で作者を罪に問おうとしたことが社会に残した禍根
■ Winnyの問題で作者を罪に問おうとしたことが社会に残した禍根 Winny作者が著作権法違反幇助の罪に問われている裁判の地裁判決がいよいよ明日出るわけだが、有罪になるにせよ無罪になるにせよ、そのこととは別に、独立事象として、Winnyネットワーク（および同様のもの）がこのまま社会に存在し続けることの有害性についての理解、今後のあり方の議論を進めるべきである。 著作権侵害の観点からすればさして致命的な問題ではないと考える人が大半だろう。しかし、情報セキュリティの観点からすると、流出の事故を防止しなければならないのと同時に、起きてしまった事故の被害を致命的でないレベルに止めることが求められる。 これまでに書いてきた通り、Winnyは、従来のファイル交換ソフトと異なり、利用者達が意図しなくても、多くの人が流通し続ける事態は非倫理的だと思うような流出データであっても、たらい回しにいつまでも流通
「サニタイズ言うなキャンペーン」私の解釈
高木浩光さんの「サニタイズ言うなキャンペーン」 という言葉自体はずいぶん前から存在したのだが、 続・「サニタイズ言うなキャンペーン」とはにて高木さん自身がいくつも誤解の例を挙げているように、 そしてまた最近も 駄目な技術文書の見分け方 その1にて「まだわからんのかね」と言われているように、 「わかりにくい」概念なんだろうとは思う。 そこで、僭越ながら、「サニタイズ言うなキャンペーン」について、 私なりの解釈を書いてみようと思う。 もっともこれが正解であるという保証はないのだが、 間違っていたらどなたかツッコミいただけることを期待しています(_o_) そもそも何のせいで「エスケープ」しなければならないのか たとえば住所氏名を登録させるWebアプリケーションは珍しいものではないと思う。 そこで、私が「Taro&Jiro's castle サウスポール」 とかいう恥ずかしい名前のマンション(?)
高木浩光＠自宅の日記 - 駄目な技術文書の見分け方 その1
■ 駄目な技術文書の見分け方 その1 はてなブックマークのホッテントリを見ていたところ、300を超えるユーザに登録された以下の記事があった。 今夜分かるSQLインジェクション対策, 上野宣, @IT, 2006年11月2日 また上野宣か。顔見知りなのでズバリいくことにする。 しかし、その対策はまだ本当に理解されていないように思える。 へえ。 終わりの方を見てみると、 Webアプリケーションの対策 入力値のSQLの特殊文字を適切にエスケープ 入力値＝プログラム（プロセス）に外部から入ってくるもの シフトJISの場合には1バイト文字を整理 SQLの記述をなくすためにO/R（Object/Relational）マッピングを活用 攻撃者に役立つ情報を与えないために、不要なエラーメッセージ（データベースが出力するエラーなど）の表示を抑止 対策に「準備された文」(prepared statement)
高木浩光＠自宅の日記 - 第1回「リンクポリシー」大賞 受賞者決定
■ 全盲読者に配慮したWebページ作りを妨げる文部科学省と環境省と地方自治情報センター 総務省が推進するウェブアクセシビリティ。JIS規格にもなった JIS X 8341-3。これらでは、全盲の読者への配慮として、「新しいウィンドウを開かない」ことを留意点として挙げている。 ポイント4:利用者が迷わないリンク, 情報バリアフリーのための情報提供サイト, 情報通信研究機構 b. 新しいウィンドウは混乱のもと 新しいウィンドウが開いても、それを目で確認できないため混乱する利用者がいます。（略）新しいウィンドウは基本的には開かない。（略） 総務省 報道資料 「公共分野におけるアクセシビリティの確保に関する研究会」報告書 付録4a, 「公共分野におけるアクセシビリティの確保に関する研究会」報告書の公表, 総務省 ・リンク先のページを新しいウィンドウに表示すると、全盲の利用者や高齢者をはじめ、混乱し
高木浩光＠自宅の日記 - IPAセキュリティセンターさえディープリンク禁止などとしているわけだが, 追記（19日）
■ IPAセキュリティセンターさえディープリンク禁止などとしているわけだが タレコミがあった。IPAさえもがディープリンクを「ご利用条件」で禁止している。 ご利用条件 リンクについて （略） ・セキュリティ関連の情報については、頻繁にアップデートされています。 利用者に的確な情報を伝えるため、http://www.ipa.go.jp/security/ にリンクを張ることをお願いしております。配下のページに直接リンクしないで下さい。 情報処理推進機構：ご利用条件 脱力。電話すると知り合いにつながりそうな予感がするのでしない。直接関係者に連絡すればすぐに直りそうな案件だが、直ればよいという問題ではない。なぜこうなってしまうのか、そしてそれを皆が知ることがキモだ。 これは、ディープリンク禁止事例にしては理由が比較的明確にされている。「セキュリティ関連の情報は頻繁にアップデートされている」から、
高木浩光＠自宅の日記 - 無思慮なサイト運営者が本来言わんとすることを利用規約の形式で書いてみた
■ 「無断リンクは禁止とします」について栃木県警に聞いた 今年もネットワーク・セキュリティ・ワークショップ in 越後湯沢（今日の昼まで開催）に行ってきた。毎年、各都道府県警察の情報技術犯罪の捜査に携わる警察官の方々の参加がある貴重な交流の場だ。例年通り、夜の車座会議には警察関係の会場が設けられ、今年もそこに潜入したが、今年はいつになく警察以外の参加者との議論が活発になった。 ところでそれとは何ら関係ないが、栃木県警察のWebサイトには「サイトポリシー」として次のように書かれている。 リンクについて 当サイトへリンクされる場合は、リンク元のサイトの運営主体、リンクの目的及びリンク元のページの URLを事前にご連絡ください。無断リンクは禁止とします。 また、当サイトからリンクしているサイトの内容に関して、栃木県警察はいかなる責任も負いません。 リンク先サイトの内容に関するお問い合わせはそれぞ
高木浩光＠自宅の日記 - 野村総研がリンクする際には文書で申し出よというので文書で申し出た
2．リンク ・当ウェブサイトへのリンクをご希望の場合は、必ず事前に、文書にて当社までお申し出ください。その際、お名前、ご連絡先（住所・電話番号・メールアドレス）、リンクを設定するページのURL、ウェブサイトの内容とリンクの目的を明記して下さい。 野村総合研究所 サイト利用規定 そこで、文書で申し出た。 返事はないが、許諾を得よと書かれているわけでもないし、このままリンクして批判する。 野村総合研究所は、一方で「Web 2.0」、「ユビキタス」などと宣教していながら、他方では自身のWebサイトにおいて、リンクの際に「必ず事前に文書で申し出よ」と要求し、かつ、ディープリンクは原則的に認めないなどという「Web 0.0」のごとき利用規定を掲示しており、これが悪例となって他のサイトに波及しかねないという点でインターネット社会の癌となっている。 ちなみに、他の「○○総合研究所」がどうなっているのか、
高木浩光＠自宅の日記 - 会社のポリシーは会議室で決めてない、現場でコピペしてるんだ, 追記（24日）
■ 会社のポリシーは会議室で決めてない、現場でコピペしてるんだ すごいタレコミがあった。東芝テクノネットワーク(株)の「サイトポリシー」と東芝テクノシステム(株)の「サイトポリシー」にすごいことが書いてある。 リンクについて ※御社の規定によって下記の２つよりお選び下さい。 （事前の連絡不要の場合） このウェブサイトへのリンクは原則として自由です。ただし、途中のページやページ内のコンテンツそのものにリンクを張ることや、当社が不適当と判断するホームページからのリンクはお断りすることがあります。 （事前の連絡必要の場合） 事前に当社からの文書による承諾を得ない限り、このウェブサイトへリンクをはることはできません。このウェブサイトへのリンクを希望する場合は、必ずリンク元のURL、当社ホームページの希望リンク先のURLをこちらへご連絡ください。リンクの際のURLは、（http: //www.tos
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPプログラミングの基礎を学ぼう（1/2） ? ＠IT
