-ハロプロは嗜む程度ハロプロ感想と日記(*゚▽゚)ノ国勢調査オンラインであそん・・・検証してみた(*゚▽゚)ノ東京都民限定の国勢調査オンラインは、血税使ってフィッシング詐欺師に情報詐取のチャンスをやってるようなもんだ。■問題:URLの正当性が確認できない。オンライン入力のURLが総務省のHPから辿れない。1週間ほど前は辿れたのに、10/10現在はリンクが無くなっており「配布された資料にあるURLを手入力してください」とある。フィッシング詐欺師は紛らわしいURLを用意して誘導する。おしまいが「go.jp」でも「co.jp」とクセで打ってしまう人もいる。確実な「総務省からのリンク」を用意しない時点で、フィッシング詐欺師のチャンスがどんと増える。そもそも、配布された資料自体、偽装されている可能性がある。うちは、留守の間にポストに押し込まれていたから、調査員がもってきたかどうかも怪しい。調査対象者IDと確認コードもニセサイト用の可能性がある。SSLの証明書を確認したいが、肝心の拇印が確認できない。拇印ぐらい総務省のHPに掲載しておけばいいのに。なると正当性は「go.jpだからたぶんだいじょうぶだろう」程度のものだ。組み合わせでユニークと思われる。このユニークキーとインターネット回答用の「調査対象者ID」はリンクしていない。(配布した調査員もわからないため)だから、私が「世帯番号」をちょっとずらせば、隣人になりすますことができる。隣の人を「ロシア生まれの大富豪」にすることも「明治生まれの須藤茉麻」にすることも可能だ。いったセンシティブな個人情報を、わざわざ正直にデータにして打ち込む気にもならない。紙提出に比べて一網打尽でもってかれる可能性もあるし。総務省によれば、都民の人、7%強もネットで入力したらしいけど、それは「正しいサイト」で入力した人に限る。あなたの入力したサイトは、本当に正規のサイトですか?というわけで、「提出はしない」と判断。あとは、実際の情報は書かず、「試す目的」で、入力を進めてみることにした。うそを書くと怒られるので、「送信」はしていない。タグ入力など脆弱性を試すような攻撃もしていない。■Javascriptを使用している入力チェックにJavascriptを使用している。信用できるサイトにしないとJavascriptを使えないようにしている人も多かろうに。■確認コードを自分で再設定させる理由が不明なのと、英大文字、記号が使えない自分で変更させるのだけども必要性が判らない。なんで変えさせるんだろう?また、32文字の長さは問題ないと思うけど、変な制限をつけたのは何でだろう。36種の文字だったら、ブルートフォースでひとたまりもないだろうに。世帯番号はデタラメでOK身元をしられたくないのだから、デタラメをいれた。