OAuth への道 ―― OAuth はなぜ安全なのか
さて、OAuth の具体的な対応方法は一時お休みして、そもそも、OAuth 認証というのが、Basic 認証に比べてなぜ安全なのか、とう安全なのかを書いてみようと思います。 一般的な解説記事などによれば、OAuth が安全なのは、「ユーザーのIDとパスワードを使わないから」といわれています。 確かにこの通りではあるのですが、OAuth では、その代わりに、Consumer key, Consumer secret, Access Token, Access Token Secret という４つの鍵を使用します。 そして、確かに、（ボットがそうするように）このキーを使って、ユーザーのかわりに様々な操作をすることができます。 さて、IDとパスワードなら危険で、同じように様々な操作をすることができる、４つの鍵なら安全だというのはどういうことでしょうか？ まず、何をもって「安全」とするかを考えなけ
「SIMフリーのおサイフケータイは、セキュリティ見直しが必要」とNTTドコモ、消費者支援連絡会より
総務省が2010年3月29日に開催した電気通信消費者支援連絡会の第21回会合において、NTTドコモはおサイフケータイの機能概要と機種変更や紛失時における取り扱いについて説明した。その後の質疑応答で構成員からの「SIMロックフリーとおサイフケータイは関連するのか」という質問に対し、NTTドコモの担当者は「SIMロックフリーになれば、NTTドコモがおサイフケータイのセキュリティ設定を見直す必要がある」と回答した。 NTTドコモの携帯電話機において、SIMカードと携帯電話機内のおサイフケータイの情報をヒモ付けしており、そのSIMカードがささっていないとおサイフケータイの機能が使えないようにしているためだという。NTTドコモの担当者は「例えば紛失や盗難にあった携帯電話機に別のSIMカードをさして電子マネーなどを使えるのは、セキュリティの観点から問題がある」と理由を説明した。
高木浩光＠自宅の日記 - 新はてなブックマークの登録ブックマークレットは使ってはいけない
はてなブックマーク（以下「はてブ」）がリニューアルされ、ブラウザからブックマークレットでブックマーク登録（以下「ブクマ登録」）しようとすると、図1の画面が現れるようになった。「こちらから再設定をお願いします」と指示されているが、この指示に従ってはいけない。ここで提供されている新型ブックマークレットは使ってはいけない。（この指示には従わなくてもブクマ登録はできる。） 新型ブックマークレットを使用すると図2の画面となる。ブクマ登録しようとしているWebサイト（通常、はてな以外のサイト）上に、はてブの画面のウィンドウが現れている。これは、Ajaxと共に近年よく使われるようになった「ページ内JavaScriptウィンドウ」である。（ポップアップウィンドウとは違い、ウィンドウをドラッグしてもブラウザの外に出すことはできず、あくまでも表示中のページ上のコンテンツであることがわかる。）
高木浩光＠自宅の日記 - グーグル株式会社の広報姿勢が嘘八百なことを示す事例
■ グーグル株式会社の広報姿勢が嘘八百なことを示す事例 ストリートビューについて、グーグル株式会社は、公道から撮影していて私道や敷地内には入っていないと説明している。このことは次のように報道されている。 グーグル地図新機能、削除要請次々 職質中の男性写真も, 朝日新聞, 2008年8月6日 グーグルは「公道から撮影した画像は基本的に公開が可能と判断した」と説明。 ネットで路上風景検索、京などでスタート グーグル新サービス 波紋, 京都新聞, 2008年8月18日 グーグル広報部は「公道から視覚的に見えているものだけを使っている。削除要請にも個別に応じ、個人情報保護に努めている」としている。 「ストリートビュー」のプライバシー問題、グーグルが方針説明, INTERNET Watch, 2008年8月5日 河合氏（引用時註: グーグル株式会社地図製品担当プロダクトマネージャー河合敬一）は、画像
URLをコピペしたら悪質サイトに――乗っ取り被害が続出
クリップボード機能の乗っ取り被害の報告が相次いでいる。Windows、Macユーザーの両方が被害に遭っているもようだ。 どんなサイトのURLをコピーしても、悪質サイトのURLがペーストされてしまう――。テキストなどのコピー＆ペーストに使われるメモリ領域「クリップボード」が乗っ取られる被害が続出している。被害報告はWindows、Macユーザーの両方から寄せられているという。セキュリティ企業の英Sophosが8月19日のブログで伝えた。 Sophosによると、ネットの掲示板には被害に遭ったというユーザーからの報告が相次いでいる。「URLを選択して“ctrlとc”でコピーし、ペーストしようとするたびに、ウイルスと思われるリンクが出てくる」「例えば、http://www.google.com/というURLをWindowsのクリップボードにコピーして、ペーストすると問題のURLになる。ウイルス対策
高木浩光＠自宅の日記 - MacユーザはIPv6を切るかnet.inet6.ip6.use_tempaddr=1の設定を
■ MacユーザはIPv6を切るかnet.inet6.ip6.use_tempaddr=1の設定を Mac OS Xの初期設定の危険性 私の周囲に物理的に近づくことのできる人は、私が使っているノート型コンピュータの無線LANインターフェイスのMACアドレス*1を知ることができる。たとえば、セミナー等で私が講演している会場に来れば、講演中に私が無線LANのスイッチを切り忘れていたなら、無線LANのパケットを傍受することで私のMACアドレスを知るだろう*2。それだけでは他の人のアドレスと混じって区別できないだろうが、別の場所で再び同じことをすれば、両方に存在したものが私のMACアドレスだ。 これはもう隠しようがないので、先に自ら暴露してしまおう。「00:1f:5b:d1:ec:bd」は私のMACアドレスだ（図1）。 これを暴露するのはリスクのある行為であり、お薦め出来ない。また、仮に他人のMA
高木浩光＠自宅の日記 - 日本のインターネットが終了する日
■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は
「解読不能は数学的に証明済み」、RSAを超える新暗号方式とは ― ＠IT
2008/04/11 すべての暗号はいずれ破られる。2000年前のシーザー暗号の時代から高度な暗号技術が一般化したデジタル通信の現代に至るまで、それが暗号通信の歴史が証明し続けた事実であると同時に、もっとも人口に膾炙したクリシェでもあった。例えば、鳴り物入りでリリースされたDVDのコンテンツ暗号技術「CSS」（Content Scramble System）が、リリースからわずか数年で10代のノルウェー人ハッカーに破られたことは記憶に新しい。 【追記】（2008年4月15日） この記事は取材に基づいて執筆したものですが、一部専門家らから「CAB方式暗号は解読不能」というのは誇大表現ではないかとの疑義が呈されています。アルゴリズムの公開や第三者による検証がない現在、この記事に登場するCAB方式が発案者・実装者の主張通り画期的な暗号方式で、本当に解読が不可能であるかどうか分かりません。現在、専
高木浩光＠自宅の日記 - Amazonは注文履歴の消去を拒否、アカウント閉鎖後もデータは残る
■ Amazonはやっぱり怖い そろそろ使うのをやめようと思う 今は朝6時。数時間前、寝ようとしたころに大騒ぎになっていた。 密かな趣味が全公開--Amazonのウィッシュリスト、改め「ほしい物リスト」に注意？, CNET Japan Staff BLOG, 2008年3月12日 これはひどいことになった。HATENA Co., LTD. では暗号解読の本をお求めのようだった。 幸い私は、ウィッシュリストを空にしていたので、何も見られることはなかったが、自分のAmazon登録メールアドレスを入れると、氏名と「茨城県」などの情報が表示された。（メールアドレスも非公開のものを使っているが、ワイルドカード指定もできたようなので、どうなっていたかわからない。もっとも、私は実名を隠していないが。） そもそも何年か前、この「ウィッシュリスト」なるサービスが始まったとき、やたらウイッシュリストへの登録が
密かな趣味が全公開--Amazonのウィッシュリスト、改め「ほしい物リスト」に注意？:CNET Japan Staff BLOG
Amazon.co.jpに「ほしい物リスト」という機能がある（3月8日よりウィッシュリストから名称変更）。自分の欲しいAmazon.co.jpの商品を登録し、友人などに知らせることができるというものだが、この機能を利用するにあたっては注意が必要だ。 というのも、ほしい物リストは作成時に非公開設定にしない限りウェブに公開される仕様となっており、さらにAmazon.co.jpのサイト上から名前またはEメールアドレスで検索できるため、不特定多数のインターネットユーザーに自分の欲しい商品が見えてしまうからだ。 「ほしい物リスト」の検索画面（クリックして拡大） 試しに、検索窓に思い当たる人名や会社名などを入力してみると、まったく知らない人や団体のほしい物リストが次々と表示される。表示されている名前をクリックすると、欲しがっている商品までわかってしまう。 「会社」というキーワードで検索した結果 Ama
高木浩光＠自宅の日記 - 国民生活センターの不適切なアドバイス事例
■ 国民生活センターの不適切なアドバイス事例 国民生活センターのサイトに「あわてないで!! クリックしただけで、いきなり料金請求する手口」という、いわゆるワンクリック不当請求に対する注意喚起が掲載されている。2004年12月に公表されたものであるが、現在もセンターのトップページから案内されており、消費者に知らせるだけでなく、消費生活専門相談員や消費生活アドバイザーらのバイブルとして活用されていると思われる。 しかしながら、この資料うち、携帯電話の場合について解説された以下のページには、不適切なアドバイスがあり、これは修正するべきである。 携帯電話を利用した クリックしただけで、いきなり料金請求する手口, 国民生活センター, 2004年12月13日 ※サイトアクセスしただけで契約者名等の情報が伝わることは絶対にありません。 3. アドバイス (2) 個体識別番号”から個人情報は伝わらないため
高木浩光＠自宅の日記 - こんな銀行は嫌だ
■ こんな銀行は嫌だ 「こんな銀行は嫌だ――オレオレ証明書で問題ありませんと言う銀行」……そんな冗談のような話がとうとう現実になってしまった。しかも、Microsoftが対抗策を施した IE 7 に対してさえ言ってのけるという。 この原因は、地方銀行のベンダー丸投げ体質と、劣悪ベンダーが排除されないという組織の構造的欠陥にあると推察する。 【ぶぎんビジネス情報サイト】アクセス時に表示される警告メッセージについて ぶぎんビジネス情報サイトでは、サイトＵＲＬ（https://www.bugin.cns-jp.com/）ではなく、ベースドメイン（https://www.cns-jp.com/）でSSLサーバ証明書を取得しております。このため、本サイトにアクセスする際、ブラウザの仕様により次の警告メッセージが表示されますが、セキュリティ上の問題はございませんので、安心してぶぎんビジネス情報サイトを
高木浩光＠自宅の日記 - 無線LANのMACアドレス制限の無意味さがあまり理解されていない
■ 無線LANのMACアドレス制限の無意味さがあまり理解されていない 職業マスメディアに代わって、ブログスタイルのニュースサイトが人気を博す時代になってきた。海外の話題を写真の転載で紹介する安直なニュースも人気だ。 このことろなぜか、無線LANのセキュリティ設定について書かれた記事を何度か見た。おそらく、ニンテンドーDSがWEPしかサポートしていないことが不安をもたらしている（そして実際に危険をもたらしている）ためだろうと思われる。 セキュリティの解説が増えてきたのはよいことなのだが、内容に誤りのあるものが少なくない。 実は危険な無線LAN, らばQ, 2007年10月21日 この記事には次の記述があるが、「接続されなければMACアドレスは盗まれない」という誤解があるようだ。 MACアドレスというのは、機器固有のIDのようなものです。たいていの無線LANアクセスポイントにはMACアドレスフ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
行動ターゲティング広告はどこまで許されるのか?インターネット-最新ニュース:IT-PLUS