高木浩光＠自宅の日記 - ランダムIPアドレスの発生源を特定
■ ランダムIPアドレスの発生源を特定 前回の日記で、「Winnyネットワークに対して、ランダムなIPアドレスをソースノードとした偽キーの散布が、目的不明ながら、何者かによって断続的に実施されている」と書いた件、ランダムIPアドレスキーの発生源を特定した。 クローラ「WinnyWalker」の接続履歴から、接続時の未発見ノード検出率が98%を超えるノードについて、ブラウザ「Nyzilla」でひとつひとつ接続して閲覧してみたところ、1つだけ異常な振る舞いをするノードが見つかった。 図1のように、そのノードに接続すると、次々とキーが送られてきて、（送られてきたキーに書かれたソースアドレスから集計した）「他のノード」リストに表示されるノードの数は、見る見るうちに増えて、17分ほどの間に11万個にも達した。通常のWinnyではこの数はあり得ない。リストに並ぶIPアドレスのほとんどが逆引きできないも
高木浩光＠自宅の日記 - 誤報是正「無罪判決でWinny利用者増加」は誤り
■ 誤報是正「無罪判決でWinny利用者増加」は誤り Winnyノード数は無罪判決後やや増加？ ネットエージェント調査, INTERNET Watch, 2009年10月14日 逆転無罪の影響か？「Winny」のノード数が増加――ネットエージェント調べ, japan.internet.com, 2009年10月14日 逆転無罪判決でWinnyノードはやや増加、ネットエージェント, @IT, 2009年10月15日 Winny裁判、判決後にノード数が増加！ 〜 10月最高値を更新, RBB TODAY, 2009年10月16日 上記の報道があり、たくさんの人々がこれを鵜呑みにしたようだが、増加した事実はない。 8月22日の日記に書いたように、5月から、Winnyネットワークに対して、ランダムなIPアドレスをソースノードとした偽キーの散布が、目的不明ながら、何者かによって断続的に実施されている
高木浩光＠自宅の日記 - 「WPA-TKIPが1分で破られる」は誤報
■ 「WPA-TKIPが1分で破られる」は誤報 先月、無線LANのWPA-TKIPが1分以内に破られるという報道があり、話題となった。 無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり, Gigazine, 2009年8月5日 今回の方法は昨年11月に発表された「Tews-Beck攻撃」（略）がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。（略） 今回発表される方法では、TKIPにおける定期的に変更される鍵について、TKIPのプロトコルの新たな脆弱性を利用して極めて短時間（数秒から数十秒）で導出し、その鍵を効率よく利用する方法として新たな中間者攻撃を開発したとのこと。 無線LANセキュリティ「WPA」をわずか1分以内で破る手
高木浩光＠自宅の日記 - ダウンロード違法化反対家の知られるべき実像
■ ダウンロード違法化反対家の知られるべき実像 あるきっかけで、あるダウンロード違法化反対家の人の、自宅のものと思われるIPアドレスを知ってしまった。知ることができたのは、2007年と2008年のいくつかのある日におけるIPアドレスである。そのIPアドレスを手元のWinnyノード観測システムの接続ログと突き合わせてみたところ、5回の日時において、WinnyノードのIPアドレスとして観測されていたのを見つけた。 それらのIPアドレスがソースとなっていたキーを抽出し、16日の日記の方法で視覚化したところ、図1のとおりとなった。 他の区間でどうだったかを調べたいところだが、2007年の部分と2008年の部分では、ISPが異なっており、ポート番号も「4857」と「3857」という具合*1に違っていた。 一般的に個人宅に割り当てられるIPアドレスは時々変化しており、それを追跡することは通常、簡単でな
高木浩光＠自宅の日記 - 津田大介氏の杜撰な評論 その1, 追記（30日）
■ 津田大介氏の杜撰な評論 その1 Twitterを「Winny」で検索していたところ、コンテンツ学会企画の津田大介氏の講演（「コンテンツビジネスと著作権-最新動向(仮)」）があったようで、数人の人がそれをTwitter中継しているのを見かけた*1。それらの内容からすると、津田氏はWinnyに対して浅薄な理解しかしていないように見受けられたので、どういう理解をしているのだろうかと、「Winny 津田大介」でWeb検索してみたところ、今年の1月に出鱈目な著作権問題評論を展開していたのを見つけた。 津田大介：著作権っていまモーリーさんが仰ったみたいに、実は著作権ってすごくそういうときに「悪用」って言ったらおかしいけど、利用されやすいんですね。たとえば、明確に日本の法律でコンピューターウイルスを作成したのって、どういう罪に問われるんだろうって時に、結構微妙なんですよ。 モーリー：ふーん。 津田大
高木浩光＠自宅の日記 - 楽天ad4Uが自粛していた
■ 楽天ad4Uが自粛していた 先週、「楽天 サイト閲覧情報収集し広告配信 無断利用に批判 政府問題視」というニュースが話題になっていたので、Twitterでの反応を調べに行ったところ、次の発言があった。 楽天ad4Uの顧客説明用資料かな？ とりあえず，保存保存 http://bit.ly/X2iDZ viperbjpn 10:23 PM Aug 20th TweetDeckで リンク先の公開資料を見に行ったところ、こんなことが書かれていた。 「Firefoxにて現在スタイルシートの仕様上の課題について議論されている状況を鑑み（略）楽天ad4UのFirefoxへの対応を自粛させて頂く」とのこと。 ならば、Internet Explorerについても、こういう使い方をすることの善悪についてのMicrosoftの見解が示されていればよい（ということになる）。 関連： 楽天CERTに対するブラウ
高木浩光＠自宅の日記 - Winnyの利用形態を視覚化してみた
■ Winnyの利用形態を視覚化してみた 3年前から稼働させているWinnyネットワーク観測システムで、観測したWinnyキーを記録している*1のだが、そのデータから利用者ひとりひとりがどんな行動をしているか、直感的に読み取れるよう視覚化を試みた。 これを行うためには、長期間にわたり同じ人が使っているノードを見つけ出すことが必要で、一般的には、IPアドレスが頻繁に変わってしまうので、単純には追跡できない*2のだが、今年のゴールデンウィークに観測システムを改良して以来、DNSの逆引きを自動化した関係で、固定のIPアドレスで（しかも固有のドメイン名に割り当てられたアドレスで）稼働させているノードが数十個見つかったので、それについて調べてみたところ、長期にわたって稼働し続けているものがいくつかみつかった。 図1は、2006年8月末から2009年4月末までの間に観測されたキーのうち、「〓.〓〓〓〓
高木浩光＠自宅の日記 - MIAUについての所感
■ MIAUについての所感 前々回の日記でMIAUの中川理事のTwitter発言に触れて以来、MIAUについて、はてなブックマークで小さなコメントを書いていたところ、MIAU側で反応があり、MIAUからの公式発表とインタビュー記事が出た。 「インターネット地図情報サービスWG」第一次提言（案）作成協力のご報告, MIAU, 2009年8月3日 インターネット・ユーザーの声を政策の争点にしたい - インタビュー, 日経ITPro, 2009年8月7日 これをベースに、MIAUについての感想を書いてみる。 日経ITProのインタビュー記事の冒頭と終盤で津田大介代表理事が述べているように、審議会が市民参加に配慮しようにも「代表がいないから呼べない」という問題が存在していて、それに応じられる団体としてのMIAUの役割は重要であり、特に、ある時期の著作権関連の審議会において大きな役割を果たしたことに
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例
■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。
高木浩光＠自宅の日記 - グーグル社の東京都への回答「元データは保管していない」は虚偽か
■ グーグル社の東京都への回答「元データは保管していない」は虚偽か 今年2月の東京都情報公開・個人情報保護審議会で、ストリートビューの問題が審議された際に、委員から、写真の顔などを自動認識や手動でボカシ修正するとき、修正前の元データはどうしているのかとの質問が出たが、これに対し、出席していたグーグル日本法人の藤田一夫ポリシーカウンセルと舟橋義人広報部長は、「元データは保管していない」と回答していた（2月4日の日記「東京都情報公開・個人情報保護審議会を傍聴してきた」参照）。このことは、審議会の公式議事録にも、以下のようにはっきりと記載されている。 ○藤原委員 質問ですけれども、先ほど表札や顔でも、顔がきちんと認識されたら修正します、ぼかしを入れる、周辺でもとおっしゃったのですけれども、文字どおり技術的な問題ですが、修正される前のデータは誰がどう保存しているのですか。つまり、（略） （中略）
高木浩光＠自宅の日記 - ビデオ版「日本のインターネットが終了する日」
■ 情報ネットワーク法学会特別講演会を聴講してきた 昨日は、情報ネットワーク法学会の特別講演会「個人情報保護、自己情報コントロール権の現状と課題」を聴講してきた。堀部政男先生の基調講演では、OECDの情報セキュリティ・プライバシー作業部会の副議長を12年間務めてこられた中でのご経験のお話、佐藤幸治先生の特別講演では、憲法学の立場からプライバシーをどうとらえるかの哲学的なお話を伺うことができた。 堀部先生のお話の中で、OECDの作業部会に副議長として参加した際に、他の国からは、「Privacy Commissioner」「Data Protection Commissioner」「Data Protection Authority」といった、国の機関からの代表者が派遣されているのに、日本だけが国の代表者ではなく一人の研究者としての参加であったため、時には一部の情報について教えてもらえないこと
高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした
■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
高木浩光＠自宅の日記 - Bluetoothフィッシングに注意 特にシャープ製ソフトバンクモバイル端末
Windows Vistaでも同様に注意深く設計されており、デフォルト設定でファイルを閲覧されることはないようだ。 これらに比べると「816SH」の設計はあまりにも不用心だ。初期設定のまま、ただBluetoothをオンにしただけで、この危険にさらされる。 図1や図2の画面をよくみると、「Bluetooth」「ペアリング」というタイトルが出ているので、「そこで気付け」という言い分があるかもしれない。たしかに、一度でもBluetoothで機器登録設定をやったことのある人なら、これらが何を意味するのか察知できるかもしれない。 だがどうだろう？ 昨日の日記に書いたように、シャープ製他のソフトバンクモバイル端末を使っている人の多くが、Bluetoothを使っていないのに、Bluetoothが何かさえわからないまま、Bluetoothをオンにしてしまっている。ペアリングの経験もない人々だろう。そういう
高木浩光＠自宅の日記 - Bluetoothの異常な大量検出、シャープ製に原因
■ Bluetoothの異常な大量検出、シャープ製に原因 間があいてしまったが、3月9日の日記の件について、その後わかったことを書いておく。 シャープ社製ソフトバンクモバイル端末のデフォルト設定 3月9日の日記で、「デフォルト設定で有効かつ検出可能としている」と書いたが、それは誤りだった。自分が持っているシャープ製のソフトバンクモバイル端末「816SH」で、設定の初期化（出荷時設定へのリセット）をしてみたところ、デフォルトで検出可能設定（「デバイスの公開」がオン）であるが、Bluetooth機能全体はデフォルトではオフになっていた。 それなのになぜ、Bluetoothをオンにしている人がソフトバンクのシャープ端末だけで多いのかについて、はてなブックマークコメントで「ちかチャットとか対戦ボンバーマンを起動すると青歯Onにされる」という指摘があった。 自分の816SHで確かめてみたところ、たし
高木浩光＠自宅の日記 - 東京都情報公開・個人情報保護審議会を傍聴してきた
■ 東京都情報公開・個人情報保護審議会を傍聴してきた 2月15日補足：日付を間違えていた。「今日は」とは2月3日のこと。2月3日の日記として書いたつもりが、2月4日で登録してしまっていた（書き始めたのは2月3日だが書き上がったのは2月4日の朝だった）。既にあちこちからリンクされているので変更はしない。 ストリートビューについてグーグル社との意見交換があるというので、今日は休暇をとって、東京都情報公開・個人情報保護審議会の傍聴に行ってきた。録音も撮影もOKとのことで、公開の場であることが強調されていたので、今回はメモはとらず、会話は録音して、会場の様子を写真やビデオに収めてきた。 グーグル社からは、執行役員で広報部長の舟橋義人氏とポリシーカウンセルの藤田一夫氏が出席し、主に藤田氏が説明と質疑への応答にあたった。事務局から前回議事録等への補足の後、藤田氏から25分ほどのプレゼンテーションがあり
高木浩光＠自宅の日記 - Googleドキュメントの「招待メール」の危険
■ Googleドキュメントの「招待メール」の危険 ことの始まり 先々週の話。1月23日に次の記事が出ていた。 『Google Docs』の設定にご用心：知らないうちに書き換えも？, WIRED VISION, 2009年1月23日 この記事の趣旨は、「Googleスプレッドシート」の共有設定の画面の説明文「Let people edit without signing in」が誤解を招くために、誤って、誰にでも閲覧や編集を許す設定にしてしまいかねないという話である。この画面は、日本語表示では図1の表記となっている。 WIRED VISIONの記事の言い分では、「people」が上の招待メール送信先の人々のことを指すように読めて、下の「プライバシー」設定も変更しないといけないように誤解してしまうという。 そもそも、この機能の意図されている動作はどういうものか。私も試しているうちに一時混乱し
高木浩光＠自宅の日記 - 今年一年の日記を振り返る
■ 今年一年の日記を振り返る 今年は大きく分けて5つの話題があった。ウイルス罪を新設する刑法改正が進まない件、iモードIDの全サイト送信が開始された件、Webのサービスの公開/非公開の区別が適切に説明されない件、暴走し始めた行動ターゲティング広告の件、そしてストリートビューの件だ。 ウイルス罪新設刑法改正が進まない件 ウイルス罪を新設する刑法改正が進まない件は、何年も前からこう着状態が続いていたが、1月にウイルス作者が著作権侵害と名誉毀損の容疑で逮捕される事件が発生し、事態は少し進展した。 ウイルスを他人に実行させる目的で作成したり頒布する行為について、直接処罰する法律が日本にはまだない。1月の事件は、そのウイルスがたまたま、商用のアニメ画像を悪質な目的で改変して作られたもので、また、特定の個人を誹謗中傷するメッセージを含むものであったため、著作権侵害と名誉毀損で立件できたという特殊な事例
高木浩光＠自宅の日記 - Amazonジャパンはほしい物リスト問題を放置、9か月経った今も改善せず
■ Amazonジャパンはほしい物リスト問題を放置、9か月経った今も改善せず 昨日のINTERNET Watchの記事「やじうまWatchで振り返る2008年」で、Amazon.co.jpの「ほしい物リスト」問題（「ほしい物リスト」=「Wish List」）の件が取り上げられた。「日米文化摩擦」という観点が挙げられているが、これは単にそういう問題というわけではなかった。米国でも過去に同様の懸念が指摘された経緯があり、米国版 Amazon.com では既にシステムが改善されてデフォルトで非公開になっていたのに対し、日本版 Amazon.co.jp では改善が行われていなかったのだ。 このことについては、3月12日の日記「Amazonで私の情報は私の意志に反してどう表示されていたか」で触れた後、説明が足りなかったので続編を書くつもりだったが、忙しくて結局書かなかった。改めて現在の状況を確認して
高木浩光＠自宅の日記 - 楽天CERTに対するブラウザの脆弱性修正を阻害しない意思確認
■ 楽天CERTに対するブラウザの脆弱性修正を阻害しない意思確認 楽天は比較的早い時期からコンピュータセキュリティに真剣に取り組んできた希有な存在だと認識している。昨年には、企業内CSIRTを正式に組織し、組織名を「Rakuten-CERT」とした。*1 楽天、社内に「CSIRT」を設置, ITmediaエグゼクティブ, 2007年12月6日 「楽天ad4U」の「脆弱性を突いてブラウザの閲覧履歴を調べるという禁じ手」の問題（前回の日記参照）は、その手法自体が直接人々のプライバシーを侵害するか否かという問題ではない。実際、「楽天ad4U」について言えば、閲覧履歴の有無は参照するけれども履歴自体の送信はしないように作られており、開発元はこれを「プライバシー保護にも優れています」と宣伝している。 しかし、この問題の根本は、10月の日経の記事にも書いたように、この手法が広く使われるようになって、こ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
