Latest topics > スパイウェアちっくな拡張機能＋Webサービスの問題
宣伝。日経LinuxにてLinuxの基礎？を紹介する漫画「シス管系女子」を連載させていただいています。
以下の特設サイトにて、単行本まんがでわかるLinux シス管系女子の試し読みが可能！
スパイウェアちっくな拡張機能＋Webサービスの問題 - Aug 24, 2006
日経ITproの記事にもなっている、Japanizeなる拡張機能がある。これは、日本語化されていないWebサイトのメニューなどについて、対応する言語リソースがあるかどうかをサイボウズ・ラボのサーバに問い合わせて、言語リソースを自動的に取得してWebサイトのUIを日本語化する、というものだ。
けれどもこの仕組みは、悪用すれば、「その拡張機能をインストールした人がどのWebサイトを見ているのか」を逐次追跡することも可能で、ユーザのプライバシーを丸裸にしてしまうこともできる。そのため、れっきとしたスパイウェアと名指しで批判されている（ただしリンク先にも書かれている通り、利用条件でその可能性は否定されているため、実際にはスパイウェアではない。あくまで信用の問題になるが）。
同名のWebサービスと連動してWebページに付箋を貼り付けられるようにするMyStickiesも、同じ問題を抱えていると見ることができる。
IPAのOSS活用基盤整備事業の一環として開発されているTouchUpWebもそうで、こちらはFirefoxで表示が崩れるWebサイトに対してGreasemonkeyスクリプト形式のパッチを適用することで表示を改善するというものだ。接続先のサーバを変更することもできるが、デフォルトではMozilla Japanが提供するマスターサーバと通信するように設定されている。まあ、自分でサーバを立てれば情報を握られるおそれはないので、その点ではJapanizeやMyStickiesよりはまだ安心できるのかもしれないけれど。 中の人から指摘を受けて削除。TouchUpWebの場合はユーザの要求に応じて通信するそうです。
AdBlockやNoScriptのようなブラックリスト・ホワイトリスト型の機能を持つ拡張機能は、サーバを介してデータを共有すれば利便性が高まるものの、やはり同じような疑いを持たれることだろう。Firefox 2から本体に取り込まれるアンチフィッシング機能はGoogleのサーバに接続するものだが、これも問題視しようと思えば問題視できる。
このようなサーバ連動型の機能にとって、プライバシー侵害を疑われる可能性は常に付きまとう。どうすればこの問題を回避できるのだろう？ 僕にはよくわからない。とりあえず無責任に問題提起だけしておく。
Comments/Trackbacks
no title
うーん
http://labs.cybozu.co.jp/blog/kazuho/archives/2006/08/japanize-qa.php
で奥一穂たんが明言しているのを信用しないというのもおかしな話だなぁ。一応、既に消去していることは確認してからにしようよ。Piroたんの引用したブログにだって、そのことは書いてあるよ。また、現在、httpsに対してはサービスを提供してないのも、そういう配慮だと思うよ。
大体、それを言ったら、検索エンジンなんて、とても使えたものじゃないと思うけど。(変な比喩を使うと話がおかしくなるだろうけど)道を歩いているときに人に顔を見られたら、プライバシー侵害かな?
[browser][security][P2P]共有データはどこにあるべきか？
サイボウズ・ラボが公開しているFirefox向けの拡張機能「Japanize」に、スパイウェアでは？という批判が上がっている。 Latest topics > スパイウェアちっくな拡張機能＋Webサービスの問題 - outsider reflex プライバシーと安全性 - Torisugariの日記 ナンセンス不定記
＞ゆきちさん
TorisugariさんもPiroさんもトラッキングが可能な状態にもなっているという「システム（仕様）」について論じていらっしゃるので、奥一穂さんという「個人（ベンダ）」の技術や信用を擁護しても意味がないです。類似したシステムならMozilla FoundationやGoogleも疑われるという話なのですから。奥一穂さんの信用をゆきちさんが保証されても、そのゆきちさんの信用は誰が保証するの？となるわけですし。
んにゃ
いや、違う。そこのリンク先、マジで「通りで人に顔を見られたらプライバシー侵害」と同レベルのことを言っていることがわかった。要するに、そいつ、「あるサーバーを見る際に第三者のサーバーを通したらスパイウェアと同じ」と言っているんだけど、それって、多くのサービスでやっていること。
たとえば、クライアントサイドのRSSリーダーを提供して、それが通信毎に開発元に通信記録を開発元に送る、というならまあ、問題あるとしよう。
ところが、Japanizeはサーバーを通さないとサービスが成り立たないのだから、通信する必要がある。ただそんだけの話で、それを問題とするなら、多くのサービスが成り立たない。第三者に見られて問題だというなら、tDiaryのリンク元もだめだな。ほかの人間がその直前に見ていたページがわかるんだから。そいつが想定しているのは、クライアントとサーバーが1 対1 で通信する場合だけ。これだと、FeedburnerもスラドのRSSも読めないんだよな。結局「インターネットにつないだらプライバシーが抜かれる」と同レベルで、サービスというものをまったく知らない人間のエントリ。
ぐでんさんは、IPSの通信記録をどう考えます? プライバシー侵害? サービス?
no title
ごめん。あとひとつだけ。
ぐでんさん、言明されていることを疑う理由ってなんですか? 特にサイボウズ・ラボは、使用許諾(みなし契約書)レベルで言明しているわけです。契約書というのは、穴を探すものではあっても、基本的に書かれているものを疑うものではありません。なぜならそれが契約だからです。もし、言明されているにもかかわらず疑うなら、それは相手を詐欺師と言っているのと同等で、ぐでんさんは、契約を他人と結ばないことによってでしか他人と交流することができません。そして、それは論理レベルですら不可能な話なのです。
そういう観点から、僕の発言は「擁護」ではないし(事実の指摘と言明の提示にとどまる)、それを疑う理由はどこにもないのです。もし、これ以上のことがあれば、契約不履行(?)で裁判を起こせば良いだけです。
うおーい
「ぐでん」さんじゃなくて「くでん」さんですよ……と横レス。＞ゆきちさん
ぼかあ別に、サーバ連動型のサービスすべてを否定しようとしてるわけじゃあないですよ。契約そのものと、その契約の相手であるサイボウズ・ラボ（あるいは他の事業者）を無駄に疑うべきとも思いませんし。
まあ、契約ではああ言っておきながら実際はこう、なんて例がゴマンとあるし、世の中にいるのは裁判費用も時間も確保できるような人ばかりじゃあないので、条文を鵜呑みにせよとも言えないんですけどね、僕としては。
とりあえず僕の個人的な感情では、リファラくらいはまあ許容できますけど、全てのログを取られるとしたら、それは一日中ぴったり尾行されるのに近いことなので、さすがに許容し辛いですね。Googleに行動を把握されるのも正直な所、あまりいい気はしません。このあたりの「感情」は、リスクではなくハザードを恐れるものなのかも。狂牛病やなんかに対するそれと同様の。
そんな僕は旧人類なのかしらん。
no title
随分性善説？に根付いた意見だなぁ
誤解があるようなので、説明します
TouchUpWebについて言及して下さいましてどうもありがとうございます。
ただし、TouchUpWebについてやや誤解があるようなので、説明します。
「スパイウェア」の定義を「ユーザが意図しないサーバとの通信が行われる可能性がある」とするならば、TouchUpWebはけしてそのようなことはありません。TouchUpWebサービスの利用は、「あれ? このページの表示はおかしいな? TouchUpWebで直せないかな?」とユーザが考えて、さらにユーザが意図的にTouchUpWeb拡張機能を起動しないと、サーバへの接続は行いません。
2回目以降、あるいは既にダウンロード済みのTouchUpスクリプト(その実体はGreasemonkeyのスクリプトですが)が適用できるサイトの場合は、そもそもサーバへの通信が発生しません。
Japanize が出たときに、私達のサービスに似ているなと感じ、さらにそれがシンプルなサービスであるが故にインパクトも大きかったなという意味で感服しました。ただし、サーバとの通信が毎回発生する点については、私達の開発の過程でも検討した話題でもあり、明確に区別して頂きたい事項でもあります。
TrackBack ping me at
の末尾に2020年11月30日時点の日本の首相のファミリーネーム（ローマ字で回答）を繋げて下さい。例えば「noda」なら、「2006-08-24_webservice-and-spyware.trackbacknoda」です。これは機械的なトラックバックスパムを防止するための措置です。
Post a comment
writeback message: Ready to post a comment.