高木浩光＠自宅の日記 - 緊急速報：マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか
■ 緊急速報：マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか まえがき 個人番号（マイナンバー）を、法定された目的（税とか社会保障とか）以外で他人に対して提供を求めることが禁止されていることは、わりと広く知られており、みんな遵守してきたところだろう。だが、今、どう見ても目的外で提供を求めている（自社サービスの利用者登録の目的とされている）スマホアプリがあるということで、個人情報保護委員会の出方が問われているところ、宇賀説（宇賀克也『番号法の逐条解説』有斐閣）によれば合法ということになるのではないか？（おそらく弁護士らもそれを参考にしていたのでは？）という話が出ているのだが、これについて、番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律、平成25年法律第27号）の立案過程で、内閣法制局で二転三転していたことが判明したので、至急、速報的に、こ
高木浩光＠自宅の日記 - テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた
■ テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた 先週から、「ドコモ口座不正引き出し事件」の原因として、被害の発生した銀行が4桁数字の暗証番号で認証処理していたことが取りざたされており、リバースブルートフォース攻撃の手口が暗証番号特定の手段として使われた可能性について、テレビのワイドショーでも扱われるなど、世間での認知がかつてなく高まっている。 そこで、この機会に、昔から存在していたテレフォンバンキングの危険性について、銀行側に抗議すれば今ならご理解いただけるのではないかと考えた。この問題は十数年前にも銀行側に伝えているが、サービスを止めるわけにもいかないし、電話経由での自動処理による攻撃は考えにくいと当時は考えられたのか、対処されることはなかった。2020年の今日、電話経由のサイバー攻撃は技術面で十分に容易に可能となっていると考えられ
高木浩光＠自宅の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む
■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 1.4 セッション管理の不備 1.5 クロスサイト・スクリプティング 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 1.7 HTTPヘッダ・インジェクション 1.8 メールヘッダ・インジェクション 1.9 クリックジャッキング 1.10 バッファオーバーフロー 1.11 アクセス制御や認可制御の欠落 というのも、4年前にWELQ問題が火を噴いたのと同様に、キーワードWeb検索からの流入を当て込む「いかがでしたか系」の乱造記事のSEO汚染の
高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）
■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2
高木浩光＠自宅の日記 - 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ
■ 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ 前回の日記（6月11日23時46分公開）の件はその後、以下のように展開した。 6月12日 他人PCで仮想通貨獲得 了解得ず「採掘」初立件 神奈川県警など,*1 毎日新聞, 6月12日朝刊 仮想通貨マイニング（Coinhive）で家宅捜索を受けた話, モロ@ドークツ, 6月12日9時43分 Coinhive設置で家宅捜索受けたデザイナー、経緯をブログ公開 「他の人に同じ経験して欲しくない」, ITmedia, 6月12日12時17分 仮想通貨「無断採掘」疑い サイト運営者を書類送検,*2 共同通信, 6月12日20時45分 Police to press charges over cryptocurrency 'mining' of computers without consent, The M
高木浩光＠自宅の日記 - 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」
■ 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」 序章 昨日の読売新聞朝刊解説面に以下の記事が出た。 ［解説スペシャル］ウイルスか合法技術か 他人のPC「借用」 仮想通貨計算 サイトに設置 摘発相次ぐ, 読売新聞2018年6月9日朝刊 「まさか違法とは……」。こううなだれる首都圏のウェブデザイナー（30）は今年3月、横浜地検にウイルス保管罪で略式起訴され、罰金10万円の略式命令を受けた。自分の運営する音楽サイトに昨秋、「コインハイブ」と呼ばれるコインマイナー用のプログラムを設置したところ、これがウイルスと判断されたのだ。 （略）昨年末から神奈川や宮城、栃木、茨城県警など全国の警察が捜査を開始。これまでに確認できただけで5人のサイト運営者がウイルスの供用や保管などの容疑で捜索を受け、既に略式命令を受けたケースもある。（略） 略式命令を受けたウェブデザイナー
高木浩光＠自宅の日記 - 緊急周知 Coinhive使用を不正指令電磁的記録供用の罪にしてはいけない
■ 緊急周知 Coinhive使用を不正指令電磁的記録供用の罪にしてはいけない Coinhiveを設置したことで警察の捜査を受けているとの情報提供が、複数寄せられています。 Librahack事件の再来です。 Coinhiveの使用は不正指令電磁的記録供用の罪に該当しないとするべきです。 警察庁は、Coinhive使用の不正指令電磁的記録供用罪該当性をよく吟味してください。 各都道府県の警察本部は、Coinhiveの使用を犯罪とすることが適正なのか、警察庁によく相談してください。 近日中*1に、なぜCoinhiveの使用を不正指令電磁的記録供用の罪としてはいけないのかについて、ここで論ずるつもりです。 同様の捜査の対象になった方は、私 blog@takagi-hiromitsu.jp まで情報をお寄せください*2。 *1 本務先の降って湧いた火の車業務の終了に目処がつき次第。 *2 なお、
高木浩光＠自宅の日記 - 個人情報保護委員会ゥァア゛ーッ ドガシャア
しかも、取得主体が個人情報保護委員会であるなら、.go.jp（政府ドメイン名）に置かないと、「政府機関の情報セキュリティ対策のための統一基準」の遵守事項（6.3.2(1)）違反だよ。何回言ったらわかるの？ たかがドメイン名（笑）とバカにしてるんだろうが、政府ドメイン名の使用については、どういう風の吹き回しか知らない*3が、国会でも質問主意書が出る（「政府ドメインの統一に関する質問主意書」2018年1月25日提出, 衆議院質問答弁経過情報）くらい国会議員に注目されてる*4んだぞ。「閲覧者が偽サイトを政府の真正サイトと誤信し個人情報をだまし取られる「フィッシング詐欺」などの被害について早急な対応が必要と考えるが」とか言われてるんだぞ。 国会で吊し上げられることになってももう知らんぞ。 大事な原稿も落としたことだしもうぶっちゃけて言っちゃえば、事務局長に嫌われると「あいつらの話を聞くな」とか言わ
高木浩光＠自宅の日記 - 「都税クレジットカードお支払サイト」流出事件の責任は誰がとるのか
■ 「都税クレジットカードお支払サイト」流出事件の責任は誰がとるのか 残念なニュースが入ってきた。 都税のサイトに不正アクセス ６７万件余の個人情報流出か, NHKニュース, 2017年3月10日 このサイトについては、今年の正月早々に以下の件で話題になっていた。 「国税クレジットカードお支払サイト」は誰が運営するサイトなのか, togetterまとめ, 2017年1月5日 このとき、タイトルには「国税……」とあるが、「国税クレジットカードお支払サイト」と「都税クレジットカードお支払サイト」の両方を話題にしていた。 これは、GMOペイメントゲートウェイ株式会社とトヨタファイナンス株式会社が組んで、東京都への都税の納税代行と、国税庁への国税の納税代行をする「クレジットカードお支払いサイト」を運営している*1のだが、サイトの画面構成からして、誰が運営主体なのか不明だということが問題となっていた
高木浩光＠自宅の日記 - 名古屋市ではアンケートで「統計的な処理にのみ用いる」は生データ公開の意だそうな
■ 名古屋市ではアンケートで「統計的な処理にのみ用いる」は生データ公開の意だそうな 先月こういう話題があった。 子宮頸がんワクチン調査 名古屋市が結果を事実上撤回 #nhk_news https://t.co/cokWXHnenS — NHKニュース (@nhk_news) 2016年6月26日 子宮頸がん「全国で初めて大規模調査を行った名古屋市が、ワクチンを接種したグループとしなかったグループとの間に症状の差は無かったとする分析結果を事実上撤回し、今後、データの分析はしない方針であることが分かりました」（えっ！） https://t.co/okXV3KF6O8 — Haruhiko Okumura (@h_okumura) 2016年6月26日 正しくは「速報と変わらず因果関係なし」 名古屋市子宮頸がんワクチン副反応疫学調査 https://t.co/O1EMviwMbQ :「撤回」とい
高木浩光＠自宅の日記 - eLTAXに反省なし 誤りを認めない告知文の捻出に3か月を費やしその間利用者を危険に晒す
■ eLTAXに反省なし 誤りを認めない告知文の捻出に3か月を費やしその間利用者を危険に晒す 3月14日の日記「治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ」から3か月近く経った今日、eLTAXが注意喚起を出しているとの情報が入り、なぜ今頃になって再び注意喚起をするのだろうかと首を傾げた。 ３ヶ月前の高木さんのblogの「署名済みActiveXコントロールのダウンロードを有効にする」eLTAXの件で、問題の対策して今日利用者向けにお知らせしているようです。https://t.co/Qk37l9cRMkhttps://t.co/epQvcdKiu5 — あさくら (@AkioAkioasakura) 2016年6月3日 よく見てみれば、あれ以来、何ら注意喚起を出していなかったのだ。つまり、これは再度の注意喚起などではなく、3か月経ってこれが初の「お
追記（19日）東洋経済オンラインの的外れ記事 / 高木浩光＠自宅の日記 - 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ
■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL
高木浩光＠自宅の日記 - CCCはお気の毒と言わざるをえない
■ CCCはお気の毒と言わざるをえない 驚きのニュースが舞い込んできた。CCCがプライバシーマーク（Pマーク）を返上したというのである。日経コンピュータの取材によれば、CCC社の「管理本部法務部リーダー」と、「経営戦略本部リスク・コンプライアンス統括部情報管理Leader」と、「経営戦略本部法務部会員基盤Leader」の3氏もそろってこれを認めているという。 CCC（ツタヤ）がプライバシーマーク返上で日本中のプライバシーフリークが騒然の事態(山本一郎) - Y!ニュース https://t.co/BKKhMTRyqX — やまもといちろう (@kirik) 2015, 11月 19 書きました。後編は来週掲載です。/ なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（前編） https://t.co/mJFLHTEnvK — Naoki Asakawa / 浅川直輝 (@n
高木浩光＠自宅の日記 - 利用目的の変更自由化で世界から孤立へ（パーソナルデータ保護法制の行方 その13）
■ 利用目的の変更自由化で世界から孤立へ（パーソナルデータ保護法制の行方 その13） 目次 日本の個人情報保護法はOECDプライバシーガイドライン非準拠へ 大綱に盛り込まれた経緯（情報経済課が終盤で突然提案） 必要性のない緩和策を理由もなく進めている疑い どうすればよいか 日本の個人情報保護法はOECDプライバシーガイドライン非準拠へ 12月19日のパーソナルデータ検討会第13回会合で、個人情報保護法の改正法案の骨子（案）が示された。 個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子（案）, 内閣官房IT総合戦略室 パーソナルデータ関連制度担当室, 2014年12月19日 この6頁に示されている 2.②(2)「利用目的の制限の緩和」は、オプトアウト方式で利用目的の自由な変更を許すようにするという改正案である。 2. 適切な規律の下で個人情報等の有用性を確保するための規定の整備
高木浩光＠自宅の日記 - 情報経済課は恥を知って解散せよ（パーソナルデータ保護法制の行方 その12）
■ 情報経済課は恥を知って解散せよ（パーソナルデータ保護法制の行方 その12） また同じ過ちが繰り返された。いったい何度繰り返せば学習するのか。 経済産業省委託事業 「経済産業分野における個人情報保護ガイドライン」 説明会 参加者募集開始！ http://t.co/JRFplpoiWP #プレスリリース — （株）共同通信社 (@Kyodonews_KK) 2014, 12月 2 このプレスリリースは誰が流したものか。以下の画面のように冒頭に「経済産業省」と記載があり、これを見た人は�経済産業省が流したものだと思うだろう。*1 経済産業省委託事業 「経済産業分野における個人情報保護ガイドライン」 説明会 参加者募集開始！, 株式会社共同通信社 申込先のリンクが http://kojinjohohogo-guideline.jp と書かれている。 やるのはいいけど、.go .jpじゃないわ、
高木浩光＠自宅の日記 - 動機が善だからと説明なく埋め込まれていくスパイコード
■ 動機が善だからと説明なく埋め込まれていくスパイコード 5月にこのニュースを見たとき、嫌な予感がしていた。 父娘遭難、携帯の位置情報得られず 消防への提供ルール化 北海道地吹雪, 朝日新聞, 2013年5月22日 北海道湧別町を襲った３月の地吹雪の中で父親が娘を抱いたまま亡くなった事故で、消防が父親の携帯電話の位置情報を携帯電話会社から得ようとしたが得られず、父娘の捜索を中断していたことが分かった。総務省は情報提供のしくみが整っていなかったことが原因とみて、位置情報をすみやかに伝えるルールを作り、全国の消防本部と携帯各社に通知した。 ルールを整備するのはよいことだが、この記事は、基地局レベルの位置情報ではなく、GPSレベルの位置情報を用いて救助しようという話になっていて、そもそも、キャリア（携帯電話事業者）に頼んだところで、どうやって端末のGPS位置情報が得られるの？という疑問を持った。
高木浩光＠自宅の日記 - Tポイントは何を改善しなかったか, Tポイント以外は何をやっていないか
■ Tポイントは何を改善しなかったか さて、昨年9月に、「Tポイントは本当は何をやっているのか」を書いてからもう9か月経った。その後、この件がどうなったかを確認しておく。 まず、問題となった「T会員規約」だが、10月1日に（毎年恒例の）改訂があったが、文言が少し直された程度で、問題とされていた肝心の部分は、何ら修正されなかった。 第4条 （個人情報について） 2. 当社が取得する会員の個人情報の項目 （1）「お客様登録申込書」の記載事項及びT-IDお申し込み時の登録事項（変更のお申し出の内容を含みます）氏名、性別、生年月日、住所、電話番号、電子メールアドレス等 （2）ポイントプログラム参加企業における利用の履歴 （3）T-ID及びＴカードの停止・退会状況その他第3条第2項に関する事項 （4）ポイントの付与又は使用等に関する情報 （5）クレジットカード番号 （6）その他の記述または個人別に付
高木浩光＠自宅の日記 - 書評：良いウェブサービスを支える「利用規約」の作り方
■ 書評：良いウェブサービスを支える「利用規約」の作り方 3月のこと。出版されたこの本を技術評論社より献本いただいた。 雨宮美季, 片岡玄一, 橋詰卓司, 良いウェブサービスを支える「利用規約」の作り方, 技術評論社, 2013 第1章「3大ドキュメント超入門」として、利用規約と、プライバシーポリシーと、特定商取引法に基づく表示について書かれており、第3章には「すぐに使える・応用できるひな形」なるものが掲載されている。 プライバシーポリシーについて、第1章の超入門で、個人情報保護法における「個人情報」に該当しない「個人に関する情報」もプライバシーポリシーの対象とするべきだと書かれている*1点は良い。2012年8月の総務省「スマートフォン・プライバシー・イニシアティブ」を参照し、「今後の流れに大きく影響する可能性があります。」とあり、スマホアプリ対応の解説となっている。 しかし、3章の「すぐ
高木浩光＠自宅の日記 - 年金機構から基礎年金番号の付番機能を剥奪せよ, 追記（6月29日）
■ 年金機構から基礎年金番号の付番機能を剥奪せよ 我が目を疑うニュースが飛び込んできた。 性同一性障害者に年金共通番号 一時ネット閲覧可能に, 共同通信, 2013年5月7日 日本年金機構が、性同一性障害で性別変更した人を判別するため、昨年１０月から基礎年金番号１０桁のうち前半４桁に共通する固定番号の割り当てを始めていたことが７日、分かった。この４桁の番号が性同一性障害者を示すと明記した機構の内部文書が一時インターネットで確認できる状態だった。 「内部文書が一時インターネットで確認できる状態だった」というのが意味不明だなと思いつつ、Twitterを検索してみたところ、この問題と戦っている方々のツイートと、問題提起のブログが見つかった。 ＧＩＤ（性同一性障害）年金基礎番号 強制付番問題について, URＡIKADA | ＦＴＭＴＳのために, 2013年4月19日 急ぎで載せました「ＧＩＤ（性同
高木浩光＠自宅の日記 - オレオレ匿名化が良貨を駆逐する
■ オレオレ匿名化が良貨を駆逐する 「徒歩ログマップ」とビッグデータ 「auナビウォーク」（NAVITIMEのスマホアプリと同等品）に、「徒歩ログマップ」という機能がある。ナビタイムジャパン社のプレスリリース「『徒歩ログマップ』提供開始のお知らせ」によると、2011年4月28日から開始されていたようだ。 この機能、ほとんど説明がない。アプリでは図1の画面に出てくる表示しか説明がないし、ナビタイムジャパン社のプレスリリースでも次のように説明されているだけだ。 『徒歩ログマップ』機能とは、「NAVITIME」、「EZナビウォーク」のGPS情報を元に、5都市（「EZナビウォーク」「au one ナビウォーク」は7都市）及び現在地周辺で最近歩かれている道が地図上で表示できるサービスです。本機能は無料でご利用いただけます。 ・現在から1日以内に通行実績のある道路：緑色 ・1週間以内に通行実績のある道
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
