高木浩光＠自宅の日記 - 個人情報保護委員会ゥァア゛ーッ ドガシャア
しかも、取得主体が個人情報保護委員会であるなら、.go.jp（政府ドメイン名）に置かないと、「政府機関の情報セキュリティ対策のための統一基準」の遵守事項（6.3.2(1)）違反だよ。何回言ったらわかるの？ たかがドメイン名（笑）とバカにしてるんだろうが、政府ドメイン名の使用については、どういう風の吹き回しか知らない*3が、国会でも質問主意書が出る（「政府ドメインの統一に関する質問主意書」2018年1月25日提出, 衆議院質問答弁経過情報）くらい国会議員に注目されてる*4んだぞ。「閲覧者が偽サイトを政府の真正サイトと誤信し個人情報をだまし取られる「フィッシング詐欺」などの被害について早急な対応が必要と考えるが」とか言われてるんだぞ。 国会で吊し上げられることになってももう知らんぞ。 大事な原稿も落としたことだしもうぶっちゃけて言っちゃえば、事務局長に嫌われると「あいつらの話を聞くな」とか言わ
高木浩光＠自宅の日記 - Tポイントは本当は何をやっているのか
■ Tポイントは本当は何をやっているのか Tポイントが実際のところ何をやっているのかは、以前から確認する必要があると考えていたのだが*1、その加盟店に公共図書館をを加えるという話が出てきて*2、いよいよ待ったなしの段階に入ったと思い、5月から6月にかけて「Tカードサポートセンター」に問い合わせて確認していた。 最初に問い合わせたのは5月8日で、「T会員規約にはこう書かれているが実際には何をやっているのか」と素朴に尋ねたところ、電話に出たオペレータからは、「ファミリーマートを利用した会員にガストでクーポンを出したり、ガストを利用した会員にファミリーマートでクーポンを出したりしている」という趣旨の説明があった。このオペレータは、このようなクーポン発行に、商品名レベルの購入履歴は使用しておらず、ファミリーマートの利用の有無（店舗レベル）に基づいてクーポンを発行しているという認識のようだった。 そ
高木浩光＠自宅の日記 - 企業秘密を含み得るメールの件名がNAVERへ送信されている
■ 企業秘密を含み得るメールの件名がNAVERへ送信されている 前回の日記の件、あのようなサービス形態（サービス内容の説明の構造を含む）が偶然に誕生したとは考えにくい*1ことから、現場で早まって安易な(b)の選択をする*2のでなく、元々本来の設計は「モニタ登録」した場合だけ送信するはずのものでなかったのか*3、今一度ちゃんと経営の判断も含めて検討されるよう促せないかと思い、（サポートデスクへの伝言では心許ないので）前回の日記を書いたのであった。 しかし、結局、翌日のサポートデスクからの電話回答は、利用規約の文言を変更するというもの、つまり(b)が選択されたものであった。以下のように、28日の午後*4に「必ずご確認ください」という注意書きが加えられていた。 この対応について、Twitterでは、当該事業者（NHN Japan）の本件当事者と、永久不滅プラス利用者の反応が、それぞれ以下のように
高木浩光＠自宅の日記 - クレディセゾンへの信頼、明日、正念場
■ クレディセゾンへの信頼、明日、正念場 クレディセゾンといえば、信頼のおけるクレジットカード会社という印象があり、「永久不滅.com」のサービスが現れたとき（2006年）も、きわどいなあと思いつつも、そういうサービスとわかってて使う人向けの構成になっていたので、まあいいかと思った記憶がある。 しかし、昨年8月の「永久不滅プラス」なるツールバーの出現には気付かなかった。「永久不滅プラス」については、先日、8月18日の日記の中で書いたように、Tポイントツールバーと同様に、閲覧する全てのWebサイトのURLを全部送信するというきわどいもの*1ではあるものの、Tポイントツールバーとは違って、「モニター登録」という追加サービス（毎月100ポイント貰える）の導入を受け入れた人だけに対する機能として説明されているので、欺瞞的要素は見られず、きわどいサービスだけに誠意を尽くしているのだなと思った。 とこ
高木浩光＠自宅の日記 - 日本フェイスブック学会総会1118聖誕祭
■ 日本フェイスブック学会総会1118聖誕祭 前回の日記に学会長から答礼を頂いた。 条例解釈と図書館カード全体の運用の在り方について根本的に間違っている。 RT @methane @hiwa1118 高木さんの指摘はとてもわかり易いと思うのですが、どの点の理論展開が不明なんでしょう？結局、武(cont) tl.gd/j03spd — 武雄市長 日本ツイッター学会長 樋渡啓祐さん (@hiwa1118) 8月 23, 2012 高木浩光先生、やっぱり間違っています。もっと勉強してください。, 武雄市長物語, 2012年8月23日 あの高木浩光先生が、不思議なことに、「武雄市個人情報保護条例はやはり欠陥だった」と、ブログを書いておられる。 その中に、 「そらみろ、条例でちゃんと明文化しないからこういうことになる。」 と言われても、どういう論理展開であるか不明だが、以前に指摘したとおり、括弧書き
高木浩光＠自宅の日記 - 追跡されない自由を奪う技術を肯定的に捉えた珍しい学術論文の例
■ 追跡されない自由を奪う技術を肯定的に捉えた珍しい学術論文の例 行動ターゲティング広告がオプトアウト方式で概ね許容されてきたのにはいくつかの理由がある*1が、その一つは、cookieはいつでも消去することができ、閲覧者側で追跡から逃れることができるからというものであった。実際、行動ターゲティング広告を展開している事業者は、そのようなエクスキューズ*2をしていることが多い。 しかし、cookieを消しても、ブラウザの特徴的な挙動、たとえば、User-Agentが特殊なものであったり、利用しているプラグインのリストなどから、ある程度の確率で閲覧者を追跡できてしまうことが、研究成果として発表された例がある。 Peter Eckersley (Electronic Frontier Foundation), How Unique Is Your Web Browser?, Proceedings
高木浩光@自宅の日記 - ローソンと付き合うには友達を捨てる覚悟が必要
■ ローソンと付き合うには友達を捨てる覚悟が必要 当初3月末開始とされていた「LAWSON Wi-Fi」が、なぜか「当初の計画より事前テストに時間を要したため」として、遅れて4月6日から開始されたのだが、早速Twitterでこんな指摘が出ていた。 少なくともこういうのを「ログイン」と呼ぶのはやめて頂きたい。金融機関などでは、暗証番号に電話番号や誕生日を使うのをやめるよう利用者を啓発する活動にコストをかけてきたが、そうした労力を台無しにする。ローソンとしては、無料の無線LANを使わせるくらい、本人確認が甘くても自社の問題だから許されると思っているのだろうが、こういうやり方が社会に悪弊をもたらすことに気付いていないのか。 今回は、前回の日記で取り上げた「PASMOマイページ」の問題とは違って、「ログイン」で電話番号と誕生日を使用している。一般に、不正アクセス禁止法では、このような、IDと電話番
高木浩光＠自宅の日記 - ウイルス罪についてNHKが再び誤り解説を放送、無理解は深刻な状況
7月の刑法改正は過失を処罰するものではないのに、あたかも過失で処罰されるかのように視聴者は受け止めている。 録画を見返して確認してみると、放送では以下のように解説されていた。 徳永アナ： （略）そのうちの3台は我が国のパソコンです。1つは北海道、1つは香川県、そしてもう1台がこのBさん（東京都）のパソコン、Bさんのパソコンが知らず知らずのうちに乗っ取られ、ある日突然家のデスクトップのパソコンが「攻撃セヨ！」と命令を下していたということがわかりました。ちなみに、このケース、知らなかったので、お咎めなしでした、Bさんは。でも、7月に新たな法律ができた。今後はケースによっては、お咎めなしとは限らないとされています。 とよた真帆： 何ですか？ケースっていうのは。 徳永アナ： これはまだ始まったばかりの法律なんで、まだケースがまだまだ集まってないんですが、例えば、全くセキュリティ対策をしていない無頓
高木浩光＠自宅の日記 - テレビ録画機「トルネ」の視聴ジャンルが無断公開されている
■ 何が個人情報なのか履き違えている日本 昨日の日記の件、みなさんからの声により、PlayStation 3をテレビ録画機にする製品「トルネ」についても同じ問題があり、どんなジャンルの番組をよく視聴しているかや、視聴時刻までもが公開状態になっていることが判明した。これについては後述する。 それより先に今言いたいのは、こういうことが起きるのは、何が「個人情報」なのかを、日本の事業者や行政がみんな揃って履き違えているためではないかということだ。 今回の件について、ソニーはこう釈明するかもしれない。「オンラインIDは個人情報に該当しない。オンラインIDに氏名などの個人情報を含めないよう登録画面で注意書きしている*1」と。しかしそういう問題でないのは明らかである。 日本の事業者はどこもかしこも、「個人情報」に該当しなければ何をやってもいいという誤った道に進み始めている。そして、日本の個人情報保護法
高木浩光＠自宅の日記 - なぜソニーが駄目でアップルやマイクロソフトは良いのか
■ なぜソニーが駄目でアップルやマイクロソフトは良いのか 8月14日の日記を書いた翌週のこと、なんとなく「hiromichu」でググってみたところ、以下のページが見つかり、魂消た。 hiromichu - PlayStation®Home オフィシャルサイト, http://playstationhome.jp/community/mypage.php?OnlineID=hiromichu このページで「トロフィー」のところをクリックすると、なんと、私がどんなゲームで遊んでいたかまで表示されてしまう。URLの「OnlineID=」のところに任意のIDを指定することで、全ての人のゲームプレイ状況を閲覧できてしまう。（このサイトにログインしていなくても。） プレステ3を買ってPlayStation Networkを使い始めてかれこれ何年にもなるが、これまで、全くこのことに気付かないまま、いくつ
高木浩光＠自宅の日記 - 心から利用者に説明する気なぞ微塵もない日本の事業者たち
では、この「利用規約を見る」ボタンを押せば、「端末情報を取得します」というのが何であるのかが、わかるようになっているのだろうか。 このボタンを押すと、Webブラウザが開くようになっており、表示されるのは以下のWebページであった。 セカイカメラ サービス利用規約, セカイカメラ サポートセンター このページの内容をくまなく見てみたが、どこにも「端末情報」という文字列は存在しないし、「UDID」の文字列もなければ、「端末識別」という文字列もない。内容的にUDIDに関係しそうなところを探して*5も、次の記述しか存在しない。 8. プライバシー 8.1 登録ユーザーが当社に届け出る情報および当社が取得したユーザーに関する情報は、当社が別途本サービスにおいて掲示するプライバシーポリシーに従って取り扱われるものとし、ユーザーは、かかるプライバシーポリシーに基づく個人情報の取扱いにつき同意するものとし
高木浩光＠自宅の日記 - オレオレ警告の無視が危険なこれだけの理由
警告を無視して先に進むと、その瞬間、HTTPのリクエストが cookie付きで送信される。 もし通信路上に盗聴者がいた場合*2、そのcookieは盗聴される。セッションIDが格納されているcookieが盗聴されれば、攻撃者によってそのセッションがハイジャックされてしまう。 「重要な情報さえ入れなければいいのだから」という認識で、オレオレ警告を無視して先を見に行ってしまうと、ログイン中のセッションをハイジャックされることになる。 今見ているのとは別のサイトへアクセスしようとしているのかもしれない さすがに、銀行を利用している最中でオレオレ警告が出たときに、興味本位で先に進む人はいないかもしれないが、銀行を利用した後、ログアウトしないで、別のサイトへ行ってしまった場合はどうだろうか。通常、銀行は数十分程度で強制ログアウトさせる作りになっているはずだが、その数十分の間に、通信路上の盗聴者により、
高木浩光＠自宅の日記 - タイトル未定（新春特別長編）
■ タイトル未定（新春特別長編） 2017年5月、それは新聞各社のベタ記事報道から始まった。 朝売新聞2017年5月26日朝刊 美術館の電子書籍を破壊 愛崎県警 不正指令電磁的記録作成容疑、32歳を逮捕 岡知市立美術館の電子書籍データを破壊する不正なプログラムを人の実行の用に供する目的で作成、提供したとして、県警生活経済課と岡知署は25日、不正指令電磁的記録作成及び同供用の容疑で、コンピュータソフトウェア制作会社社長を逮捕した。 発表によると、容疑者は、昨年12月、ハードディスクを繰り返し執拗に消去するプログラムを作成し、インターネットのホームページで公開していた。今年3月に市立美術館の主任主査がこれをダウンロードしたところ、美術館の電子書籍データがすべて破壊された。プログラムは35回にわたって繰り返し0（ゼロ）を書き込むよう作られており、誤消去したファイルを元に戻すソフトを使った復旧作業
高木浩光＠自宅の日記 - かんたんログイン方式で漏洩事故が発生
■ かんたんログイン方式で漏洩事故が発生 ガラケーからiPhoneに乗り換えた人々が「ガラケーサイトが見れない!!」とご不満らしいという話は、聞いたことがあったし、そういう方々向けに「ガラケーサイトを閲覧できる」と謳うスマホ用の専用ソフトが提供されたというのも、どこかで見た記憶があった。 そんな10月9日の夜遅く、ある方から、「iPhone用のSBrowserというアプリで、クロネコヤマトのサイトを使ったら、知らない人の個人情報が出てきてびっくりした。どうしたらいいか」という相談が舞い込んできた。 早速、iTunes Appストアで「SBrowser」の商品説明ページを見に行ったところ、数々の雑言レビューが付いており（図1）、この種のアプリの需要とユーザ層が見えた。
高木浩光＠自宅の日記 - 岡崎図書館事件 日記予定
■ 岡崎図書館事件 日記予定 「岡崎図書館事件について その1」に続く今後の日記予定。 岡崎図書館事件(2) 何があったのか、図書館はどうしたのか、事実関係の聴き取り 6月20日のこと、Twitterで @librahack から言及された。見に行ってみると http://librahack.jp/ というサイトが出現していた。なんと、岡崎図書館事件で逮捕された方は不起訴処分になっていた。@librahackからフォローされていたのでダイレクトメールで連絡が欲しいとコンタクト。メールで何があったのか事実関係を…… 岡崎図書館事件(3) 業務妨害は故意がなくても犯罪だというデマの蔓延 Twitterで「逮捕はしかたない」と言う人が何人もいて驚いた。刑事責任と民事責任を混同している人、刑法の過失犯の概念を理解していない技術系と思しき人々がいる中、法律に詳しいと自称する人が、「業務妨害罪は危険犯
高木浩光＠自宅の日記 - 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき, CAPTCHA機能の発注仕様をどうするか
■ 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき CAPTCHA*1が基本的に荒らし対策目的で使用されるものであることは以前にも書いた。ユーザビリティの犠牲が少ないものは早いうちに破られるし、改良してもイタチごっこになることも目に見えている。それでもなお活用する意義があるのは、使用目的が荒らし対策だからだ。新規ユーザ登録や、ログインなしでできるコメントやトラックバックなど、元々自由に利用させる機能である限り、完全に防ぐことはできないのであり、たとえ将来破られる可能性があろうとも何もしないよりはましだというわけだ。（荒らしがよりハードルの低いところへ行ってくれることを期待できる。） そのようなCAPTCHAは、日本ではあまり普及していないようだ。荒し行為が英語圏での状況ほど深刻なものになっていないためか、あるいは、イタチごっこになることが目に見えている技術の採用を嫌う国
高木浩光＠自宅の日記 - 日記予告
■ おススメの本 その1 実家の件は幸い良い結果で済みそうになったので東京に帰ってきた。 溜まった仕事の処理で引き続き時間がない状況。 病院での夜は何もすることができないので読書した。 これならわかる不正アクセス対策入門の入門, 萩原佳明著, 山田祥寛監修, 翔泳社, 2006年1月17日発売 この本はなかなかよい。 Webアプリの脆弱性の話が（だいたい）網羅的に紹介されている。CSRFや Session Fixationの話も含まれている。 「入門の入門」というだけあって、詳細な解決策の提示は十分でないにしても、 初心者Webプログラマが、Webのセキュリティがどういうものであるのかの全体 像を大まかに把握するのに効果的そうだ。そのうえ、肝心な論点がたくさんお さえられている。 また、出版社の編集者の経歴を持つ著者だけあって、文体は適切であるし、論 理に飛躍もないし、中途半端な結論を言っ
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
高木浩光＠自宅の日記 - 携帯電話販売店が本人同意を亡きものにする, 追記（21日）
高木浩光＠自宅の日記 - Macっ娘ならオートメータ君つかいたおすわよね