NTT西日本Bフレッツお申し込みページにみる個人情報管理サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。個人情報を扱うということが分かっていないなぁという作りを発見しました。NTTに申し込んだ筈のデータが、全然知らない会社に届く仕組みになっています。携帯電話等の連絡先電話番号といった、クリティカルな個人情報を扱うのに、説明もなく外部にデータを送ってしまうやり方には問題を感じます。いう状況に問題を感じないから、WebサイトやASPサイトでの個人情報漏洩が次から次に問題化するのかも知れません。間違っていたらフォロー頂けると幸いです。Bフレッツサービスエリアチェック[http://www.ntt-west.co.jp/ipnet/ip/bflets/entry/entry_form.html]:このページで電話番号とタイプを入力して検索を行います。実はここで、他所のサイトに302でリダイレクトされています。GET引数を用いて、電話番号を引き渡してしまっています。host.なお、この時GET引数の形に暗号化してある情報に府県名と電話番号があるのは恐らく間違いなく、二つのサーバ間で引き渡される情報であることを考えると、可逆な暗号化であることが推測されます。従って、REFERRER漏れを起こすと電話番号情報が漏れる可能性があります。ホームページから得られる情報では明確でありませんでした。httpsのページが開きます。これが外部のサーバのページであるということが、非常に分かりにくくなっているのです。リンク元のページで、JavaScriptを使用することによってリンク先が隠蔽されており、ステータスバーではntt-west.co.jp内のリンクの様に見える。リンク先の記入フォームでも、JavaScriptを用いてアドレスバーを非表示にしている。その会社のフォームに対して個人情報を入力しているということに気付きにくくなっています。whois情報やdmi.co.jpのホームページから得られる情報では明確でありませんでした。まとめ:という訳で、「NTT西日本に申し込む積りで個人情報を入力したら、良く分からないけど他の会社に個人情報を渡してた」という仕組みになっており、今後その個人データがどの様に扱われるのか不安なところです。他社にリンクされているけど、NTT西日本が保証する旨ページに記載するntt-west.co.jpのサブドメインで運用する程度の対応を行って頂ければと思います。ML[http://memo.st.ryukoku.ac.jp/archive/200211.month/4980.html]:にも同じ内容を投稿しました。この問題を一緒に考えて頂ける方は、こちらの議論も追っていただくと良いかと思います。沙耶16歳[http://saya.c-moon.jp/index.php?d=200211-B&cid=13-05#13-05]:さんに取り上げて頂きました。いうサイトを運用するためには、相当の情熱と時間を注ぎ込む必要があることを少なくとも私は知っています。いう情報を提供して下さっていることをありがたく思っています。FrontPage[http://reimy.com/#content_2_10]:に取り上げていただいた様です。いうサイトを運用するためには、相当の情熱と時間を注ぎ込む必要があることを少なくとも私は知っています。負担にならない程度に続けて頂ければと思います。説明があってしかるべきだとは思いますが、この先でクリティカルな個人情報を扱うことはない様です。ドメイン名訂正しました(2002/11/14)。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。