部門より先日、ユーザーの「信用度」を数値化する「Yahoo!スコア」オプトアウトで開始、自身のスコア確認は今後検討という話があった。となり個人情報保護法の第16条に違反している疑いがあるという(高木浩光@自宅の日記)。Yahoo!知恵袋の利用規約では同サービス上での行動データをスコア作成に利用する旨が記載されていないため、スコア算出に行動データを利用することは目的外利用に相当するという。部門より先日、延々とメッセージを表示させるWebサイトのURLを貼った中学生らが補導・逮捕されるという事件が発生した。この事件については、取り調べを受けた男性がその様子を明らかにしたことでも話題になったが、この事件の容疑者となっている2名を支援するため一般社団法人日本ハッカー協会(過去記事)が寄付を呼びかけたところ、開始から24時間で553名から合計693万4,471円の寄付が集まったという(日本ハッカー協会の寄付呼びかけページ)。これによりひとまず十分な費用が集まったとして、寄付の受付は終了となっている。寄付を集める理由としては下記が挙げられている。家宅捜索を受けたうち二人は、現在、費用の問題で弁護士をつけていないとのことです。このままでは、裁判を受ける権利を行使することができないまま略式命令で罰金刑に処されてしまう展開が予想されます。我々は本件について、後述するように、法の趣旨を逸脱した不当な摘発の可能性があるのではないか、と疑問を持っています。あるとすれば、IT技術の開発者と利用者の権利が不当に害されてしまうのではないか、と恐れています。立ち上げた加藤公一氏、セキュリティ研究者の高木浩光氏、とつげき東北の3人。これによると、改正案には「著作権侵害コンテンツへのリンク提供」についても著作権侵害とみなすという条項が含まれており、「著作権侵害コンテンツ」とされる対象として、著作物をそのままコピーして無断配信するようなサイト/サービスだけでなく、「無断転載」や「ライセンス違反での配信」も含まれると定義されているようだ。その結果、「アニメアイコンのTwitterアカウントの一覧リンク集」や「いらすとやのイラストを20点を超えて使用している商用利用のスライド一覧のリンク集」、「剽窃論文の一覧リンク集」、「GPL違反ソフトウェアの一覧リンク集」なども著作権侵害として摘発・刑事罰の対象になるという。部門より3月7日の毎日新聞に掲載されたサイバー犯罪に関する記事に対し、セキュリティ研究者の高木浩光氏が「大誤報だ」との指摘を行っている(高木浩光@自宅の日記:警察庁の汚い広報又は毎日新聞の大誤報を許すな)。問題の記事では、仮想通貨を採掘(マイニング)するスクリプトをWebページに設置した事件(いわゆる「Coinhive事件」)についても触れており、「有罪判決が出ている」としている。確かに仮想通貨採掘絡みでの有罪判決は出ているものの、これはネットゲームのチートツールに仮想通貨採掘機能をこっそり実装していたというもので(過去記事)、Coinhive事件とは関係がない。Coinhive絡みでは複数の事案があったが、一部は略式起訴で終了しており(過去記事)、また現在裁判が行われているものについてはまだ判決は出ていない。そのため、高木氏はこの記事について「誤報」だとしている。現在の著作権法では第30条の三で次のように規定されており、いわゆる海賊版サイトからの録音物(音楽や音声)もしくは録画物(動画)のダウンロードが違法となっている。著作権を侵害する自動公衆送信(国外で行われる自動公衆送信であつて、国内で行われたとしたならば著作権の侵害となるべきものを含む。今回の方針では画像など音楽や動画以外のコンテンツについても、権利者の許可無くアップロードされたものをダウンロードする行為は犯罪となる。スクリーンショットを保存する行為もダウンロードに該当することになるとのこと。著作権者の許諾を得ていない二次創作物についても「海賊版」という扱いとなるという(高木浩光氏のTweet)。そのため、たとえばTwitterに投稿された許諾を得ていないファンアートをダウンロードしたり、そのスクリーンショットを保存する行為も違法行為となる。罪に問われたウェブデザイナーの男性に対する裁判が行われている。この裁判で、この事件について当初から懸念を示していたセキュリティ研究者の高木浩光氏に対し、証人尋問が行われたとのこと(弁護士ドットコムNEWS)。高木氏は今回の逮捕は構成要件が曖昧であることを説明するとともに、今回のCoinhiveについて「取り返しのつかないほどの挙動はしない」「自動的に実行されるが、サイトを離脱すると停止されるため問題ない」として刑法犯で処罰されるものではないと主張している。証人尋問を傍聴してきた@shonen_mochi氏のTweetによると、検察側は高木氏と全面対決する姿勢を見せていたようだ。Storeでの同社製アプリの配信を停止している。これに対し10月31日付けでトレンドマイクロが状況を説明する文書を公開した(ITmedia、窓の杜)。これによると、トレンドマイクロはAppleがアプリケーションによる個人情報収集について厳しい制限を課していることを肯定的に評価するいっぽう、自社による個人情報収集に対しては「一定の履歴データを収集することは、想定しうる被害を最小限にとどめるために当社にとって必要」として正当化しており、これがAppleとの間で「見解の相違」となっているという。これに対し、セキュリティ研究者の高木浩光氏は「業界の信用を傷つける思想」と批判、抗議するべきと訴えている。(ウイルス)保管の罪で略式起訴、罰金30万円の支払いが命じられた。ついては不起訴になったという(毎日新聞)。相当するかどうかはセキュリティ研究者の高木浩光氏が検証を行なっているが、検察や簡易裁判所は違法だと判断したことになる。Coinhiveの設置を巡っては複数の人が摘発されているが、うち1人は命令を不服として裁判を申し立ててているという。家宅捜索や取り調べを受け、罰金10万円の略式命令を受けていたことを報告している(ITmedia)。該当するかどうかは明確ではなく、今回の摘発は不適当である可能性がある。いった「Coinhiveの摘発」はこの一件だけではなく、「合同捜査本部があって複数の県警に事件が割り振られており、結構な人数が検挙されているらしい」という話があるようだ。ウイルス対策ソフトウェアなどを提供しているメーカーがこういった仮想通貨採掘スクリプトについて過剰に危険だと煽っているとの指摘もある。Ohtsu氏のTweet)。SSL/TLS証明書の役割の1つは暗号化通信に利用するための鍵を提供することだが、別の役割としてその接続先を保証するというものもある。Encryptは接続先サーバーがそのドメイン名に適切に紐づけられていることについては保証するが、証明書の所有者については保証しない。そのため、企業などでの利用には適さないとされている。0:55)セキュリティ研究家の高木浩光氏によると、「TLS(SSL)における証明書の役割は中間者攻撃を防ぐことであり、それを上回りもしないし下回りもしない。(実在証明の機能はTLS(SSL)の機能ではない。)」とのこと(指摘Tweet)。SSL/TLS証明書にはドメインの認証のみを行うDV証明書と運営者の実在性審査を行うOV証明書、厳格に運営者の審査を行うEV証明書があるが(解説記事)、高木氏によるとOV証明書は無意味とのことで、DV証明書を利用するのであれば無料の証明書でも十分だという。Encryptの証明書の利用も問題ないようだ。部門よりWebブラウザ上で仮想通貨の採掘(マイニング)を実行させるサービス「Coinhive」を利用したWebサイトの運営者が警察に捜査されるというトラブルが発生しているとして、セキュリティ研究家の高木浩光氏が情報提供を呼びかけている。Coinhiveについては海賊版サイトなどが収益のために採掘コードを設置するケースがあったほか(過去記事)、広告ネットワークを経由して不正に採掘コードを第三者のWebサイトに埋め込むといったトラブルが発生していた。一方でサイト運営者が広告などに代わる収益源として、利用者の同意を得た上で利用するケースも少なくない。豪UNICEFはCoinhiveを利用して仮想通貨を採掘し、その結果を寄付するWebサイトを開設しているほか、広告を表示する代わりに仮想通貨の採掘をさせるという試みも登場している。Bible」が、4月22付で閉鎖した。Bibleは2003年にスタートしたWebマガジンで、主催のIPUSIRON氏だけでなく、複数のエンジニア・研究者などがセキュリティやハッキングなどに関連する記事を寄稿していた。該当すると判断され、検察から閉鎖を要求されたという(現在これらの説明は削除済み)。「問題のある記事が投稿された場合、記事の内容を改めたとしても、投稿者のPC内のそのファイルが存在するのでアウト。Bibleを続けることは反省が足りない」などとされたという(eagle0wl氏のブログ)。Bibleに寄稿していたという話もあるようだ。罪については、このところ妥当性を欠く検挙例の話が聞こえてきており、いよいよ放置できない段階に来た」とコメントしている。部門より日テレNEWS24で「安全なパスワードの作り方」として安全でないパスワードの作り方を紹介していたことが話題になっている。紹介されていたのは、「アルファベットの代わりに似ている記号や数字を使う」というもの。「情報提供:トレンドマイクロ」となっているが、昨今ではこのような手法を考慮した総当たり攻撃が行われているため、あまり意味はないという。これに対しセキュリティ研究者の高木浩光氏は正しい「安全で覚えやすい」パスワードのつけ方として、「5万語の語彙の辞書(広辞苑など)をランダムに開いて3つの語を選んで繋げる」を提案している。一昨年にもイベントの告知サイトで同様に個人情報の取り扱い主体をを記載しないという問題を起こしていたという。このサイトで使われているドメインが.go.jpでない点についても指摘が入っている。部門よりSNSやブログへの投稿やプロフィールを収集し、それをその投稿者に無断で企業に提供するというサービスがあるそうだ(NHK)。このサービス「scouty」は、公開されているブログやSNSなどから情報を収集し、それらをまとめたものを人材を募集している企業に提供するというもの。レポジトリ共有サ―ビスや技術情報共有サービス、SNS、イベント情報サイト、個人ブログなどから情報を取得しているとのこと。セキュリティやプライバシ問題の研究者である高木浩光氏はこのサービスに対し「違法では?」と疑問を呈している。同社はWHOIS情報から連絡先を集めていると公言しているが、これはWHOISの利用規約違反となる可能性があるという。情報が収集されることを希望しない個人に対してはデータの削除申請を受け付けるとしているものの、同社のプライバシーポリシーでは利用停止の条件として「あらかじめ公表された利用目的の範囲を超えて取り扱われているという理由又は偽りその他不正の手段により取得されたものであるという理由」が必要とされているなど、このサービスでは適切に個人情報を取り扱っているのかという点において疑問があるようだ。Omi氏のTweet)。このアプリは富士通が開発したもので、アプリのページでは次のように説明されている。eMe」は位置情報とビーコンを利用して、講義中にスマートフォンから自動的に出席を報告します。岩手大学が学生向けに行った説明によると、教室に設置したビーコンとBluetoothで通信して出欠を把握するシステムになっているとのこと。そのためBluetoothが有効になっていればGPSはOFFでも構わないとのことだが、いっぽうでアプリに対し位置情報の利用権限を与える際のポップアップ画面では位置情報の利用を許可しないと出席報告が正常に行われないとの説明がされるという(高木浩光氏のTweet)。2の脆弱性を狙った攻撃でクレジットカード情報を流出させ、一時停止されていた「都税クレジットカードお支払サイト」が復旧した(ITmedia)。よるTogetterまとめ)。lg.jpは地方公共団体を対象としたドメイン(JPRSの説明)。このドメインを登録できるのは地方公共団体とそれらの組織が行う行政サービスのみとされている。運営するのはトヨタファイナンスであり、地方公共団体ではない。問題の都税クレジットカードお支払サイトにアクセスすると組織名として「東京都」として表示されるようにもなっている。大きな問題点として、情報の取得主体が誰なのかが不明瞭になっている点がある。個人情報保護法の義務である「利用目的の公表」をしていないとも指摘されている。このサイトは都が運用をトヨタファイナンスに委託しているものではなく、トヨタファイナンス自体が運営主体とのこと。部門より90曰く、WFrontierという企業が、「セキュリティフォント」なるソリューションを提案している。セキュリティ研究家の高木浩光氏が面白おかしく紹介しているこの商材は、日本語フォントのグリフIDを雑に入れ替えたものとみられる。「コピーすると文字化けしてしまう」「暗号化したまま検索できる」などと宣伝されているが、解読は容易で特別な技能も不要のようだ。カエサルに返した方が良いのではないだろうかと思うが、スラドの諸賢はどうお考えだろうか。この「セキュリティフォント」は、各文字に対してASCIIやUnicodeで規定されているのとは異なるコードポイントを割り当てることで、表示上は意味のあるように見えるがシステム的には本来とは異なるデータとして扱われる、というもののようだ。GMOインターネット社長曰く、「在宅勤務による業績への影響はない」。GMOインターネット社長曰く、「在宅勤務による業績への影響はない」。(102)GMOインターネット社長曰く、「在宅勤務による業績への影響はない」。(わざとやるとき以外は)。service.閉じるスラド読み込み中...。