スマホを与える時にどうしよう、って結構悩みどころ。世の中には同じように悩んでいる方も多いと思うんですが、そこにそういう話が流れてきた。子どもがインターネットの交流サイトなどを通じて犯罪に巻き込まれるのを防ごうと、福岡市のIT企業などで作る財団が、子どものスマートフォンにダウンロードすれば有害なサイトへの接続を制限できる「フィルタリング」サービスを開発し、無料で提供を始めました。]当財団が提供するフィルタリングサービスは全ての通信を暗号化しフィルタリングを行いますので、特定のアプリを使う必要はありません。利用するための費用は一切かかりません。保護者は、インターネットにおいて青少年有害情報が多く流通していることを認識し、自らの教育方針及び青少年の発達段階に応じ、その保護する青少年について、インターネットの利用の状況を適切に把握するとともに、青少年有害情報フィルタリングソフトウェアの利用その他の方法によりインターネットの利用を適切に管理し、及びその青少年のインターネットを適切に活用する能力の習得の促進に努めるものとする。保護者は、携帯電話端末及びPHS端末からのインターネットの利用が不適切に行われた場合には、青少年の売春、犯罪の被害、いじめ等様々な問題が生じることに特に留意するものとする。]まぁ、どんなもんかと思って申し込んだり、色々と調べてみたりしたんですが、使い始める前「こりゃダメだ」って結論に至ったので、その辺をまとめておく。キーワードに基づいて、アクセスを制限すること、と考えてもらえてば差し支えないか、と。列挙していくホワイトリスト方式にするのか、といったところも、結構悩ましいところだったりします。サイトのどこを見せない/見せるという判断やリスト自体のメンテには非常にパワーを取られますんで、とてもじゃないけど個人の手には負えるもんじゃないし、企業であってもそこにリソースを潤沢に割くことは、事実上不可能。いうことで、製品として提供されているものを使うのが普通でしょう。?(企業向け、個人向けの両方ありますし。)さて、もう少し技術的なことに踏み込んでいきます。アクセスをプロキシーサーバを経由させる形をとることがほとんどです。ゲートウェイ部分で対策しているところもあると思う。通信先が記録されるだけ、と情報漏えいを恐れる企業のお偉いさん方にとっては頭痛の種だったりするわけですな。POSTメソッドで送信されるデータの詳細を記録する機能を実装していたりします。メールの投稿内容」なんてものの記録が簡単に出来ちゃうわけです。デコードしちゃうとアクセスに支障が出るところもあるので、特定サイトはデコード対象から外す、ということはやってます。いった扱いが非常に微妙な情報がログやデータの形でプロキシサーバに保存されるということは、それらに容易にアクセスすることが可能なサーバの管理運用者に対しては、情報の扱い関する非常に高い倫理観が求められる、ということでもあります。前置きが長くなったけど、本題に行きましょう。張ってそこを経由して全アクセスを行なう、という形を取っています。より指定されたプロキシサーバを経由して行くことになる、というわけです。読み込めたので、そのときに撮ったプロキシ設定のスクリーンショットが下のもの。あ、構成プロファイル自体は署名されてなかったし、ダウンロード元もサイバーセキュリティ財団のとは違うドメイン名のサーバからのデータダウンロードと、「怪しいサイトにアクセスしない」というセキュリティの基本から外れたことしなくちゃいけない、ってのが、最初の問題点...。張ろうする挙動を繰り返すだけで上手く繋がらなかったので、実際のアクセスは出来てません。正しく張れなかったのかは、不明。原因を追求する気もありませんけど。データを取得したりということは、技術的に十分可能なことなので、サイバーセキュリティ財団が用意しているプロキシサーバにそれらの機能が実装されている可能性は排除できません。以外のプロトコルの扱いも気になるところ。いうことはありえない。サーバ上でパケットキャプチャを取られでもしていたら、通信内容が全て筒抜けになるわけですよ。以外の通信がどう扱われるのかは、まったく闇の中...。フィルタ設定についても、申込者が利用者毎にアクセスの許可/不許可を行なうようなカスタマイズ機能も用意されていないですし、実際どこを見に行っていたのか、どこにアクセスしてブロックされたのか、というアクセス記録の提供機能についても不明なところが多い。アクセスしまくらないと、どうなるのかがわからないってのは、かなり面倒だと思うんですけど?あとは、チャイルドフィルターを運営するメンバーに関する不信感も、個人的には大きいんですよね。面談日当日博多から学院校長の田口と二人で車を走らせた。そこで冒頭の事件勃発!当時サイバー攻撃による情報流出が明るみに出る事はごく稀で、申告する企業もなかった。ところが我々は正義のハッカーを養成するホワイトハッカー学校である。ハッカー育成する側がハッキング攻撃にあいまた大切な顧客情報を流出したとなっては、学院の信用は地に落ち、運営ができなくなる窮地に立たされた。]自分のやってる事業が窮地に陥っている時に、そっちを最優先せずに陥るようなセキュリティインシデントが発生している最中という、本来であれば何事にもおいて最優先でその対策への対応・指揮に当たらなければならない状況下であったにも関わらず、人に会うことを優先させた人がトップに立つ組織ですよ、サイバーセキュリティ財団って。多少、話盛ってるにしても、そういうことを対外的に文章にしてしまう時点で、信用しちゃいけないタイプの人だ、と...感じましたし、そういう人物がチャイルドフィルターに絡んだ情報流出事故が発生した際に、果たして誠意を持って対応・対処できるのかという点において不安しかない、というのが正直なところなのです。利用規約に関しても、こんな指摘もありますしねぇ...。セキュリティ財団のチャイルドフィルターの「お預かりする個人情報の取扱いについて」これすごいね。財団の販売促進活動のためには検索ワードやアクセスログを徹底的に解析して使うよって宣言しているようにしか読み取れない。2017年3月10日とにかく、利用する上で機能面でも運営面でも規約面でも不明な点、不安な点が多すぎる、ということで、オススメできないと思った次第。フィルタリングには仕事で関わっていますし、セキュリティ関連の仕事もしてきたことがあるんで、経験上どうしても、ね...。00:25)先週末に書いた、チャイルドフィルターに対する批判エントリー、結構いろんな方に読んでいただけたようです。01:33)質問しても、利用解除申し込んでも、梨の礫だったわけですが、ちょっと動きが出てきたので、その辺をまとめておきます。年ほど前に書いた以下のエントリー。(スタイル用のHTMLタグを使えます)About気になったことを、思ったように書いているBlogです。時々テクニカルなこと書いてます。