News & Topics 「OpenID Summit Tokyo 2015」にご参加いただき誠にありがとうございました。当日はあいにくの天気にもかかわらず述べ330名の方にお越しいただきました。講演資料は順次公開してまいりますので、引続き当サイトをご確認ください。 未来を支えるIDに向けて - No ID, No Future - OpenIDファウンデーション・ジャパンは、2015年11月10日 (火) に「OpenID Summit Tokyo 2015」を東京 (飯田橋) にて開催いたします。 開催テーマを「未来を支えるIDに向けて - No ID, No Future -」と題して、社会を支える ID とその未来について、また ID を理解せずにビジネスをするリスクなどについてみなさまと一緒に議論して行きたいと思います。 講演内容は、日本のリーディング企業によるID技術の活用例

どうやら、多くの企業の「ビッグデータ」はだだ漏れているようです。スイス・チューリヒのセキュリティ企業BinaryEdge[1] の調査の結果[2]、大量のデータがそのままインターネットにさらされているようなのです。その総量はなんと1.1ペタバイト。 同社の調査は、Fortune 500企業からベンチャーまで幅広い企業のインターネットに晒されているホストをスキャンし、公開されているMongoDB, Memchached, Elastic Search, Redis Cache などからメタデータを引き抜いてくるというものでした。（同社は、データ自体は取得していないことを明言しています。） それによると、 35,330件のRedis Cache、 39,134件のMongoDB、 118,574件のMemcached、 8,990件のElastic Search が、認証・認可無くデータを全世

今日（６月１８日）午後、GigaZineで「iOSとOS XでiCloud・メール・ブラウザ保存のパスワードが盗まれる脆弱性が発覚、Appleは半年以上も黙殺」1というセンセーショナルな記事が出ました。まぁ、Webメディアだからしょうがないかという感じではありますが、記事を読んだだけでは何のことやらさっぱりなので、読みましたよ、元の論文。 その論文は、これです。 Xing, Bai, Li, Wang, Chen, Liao: “Unauthorized Cross-App Resource Access on MAC OS X and iOS” 2 まずは、著者たちに拍手をしましょう。 その上で： 著者たちが、初めて発見したと主張するゼロデイ攻撃は以下の４つ、細かくは５つに分類されます。 Password Stealing (Keychainのアクセス・コントロール脆弱性)[MacOS

ずいぶん長くかかりましたが[1]、JSON Web Signature (JWS)とJSON Web Token (JWT) がようやく Standard Track の RFC[2]になりました。それぞれ、[RFC7515]と[RFC7519]です。 ご存じない方のために申し上げますと、JWSはJSONにデジタル署名するための規格です。XML署名のJSON版ですね。JSONシリアライゼーションとCompactシリアライゼーションの2種類あり、Compactシリアライゼーションがあります。 JWTは、このCompactシリアライゼーションのJWSに、いくつかの有用なパラメータ名を導入して、ログイン情報やアクセス許可情報を伝達できるようにしたものです。主にRESTfulなシステムでの利用を想定していますが、もちろんそれ以外でも利用可能です。既に、GoogleもMicrosoftも大規模に実装

このプログラムによって、OpenID Connectを実装している事業者は、自身の実装がOpenID Connect標準仕様を満たすことを宣言することができます。このCertificationプログラムに参加することで、異なる実装間での相互運用性がより確実なものになるでしょう。 OpenID Certificationテストスイートは、デジタルアイデンティティに関わるシステム間の相互運用性を促進する目的で、スウェーデンのウメオ大学 (Umeå University) およびEUのGÉANTプロジェクトの協力により、オープンソースソフトウェアとして開発されました。 OpenID Connectは、セキュアでモバイルフレンドリーかつプライバシーにも配慮した、Identity技術のオープンスタンダードです。昨年のRSA Conference 2014での仕様確定以降、この仕様はGoogle Si

photo by Brian Solis (2009) CC-BY。今はもうちょっと老けていると思われ。 やや旧聞ですね。日本時間の金曜日の朝に仲間内ではひとしきり盛り上がったのですが、いかんせん金曜日は時間がなく、その後体調を崩してずっと今さっきまで寝ていたので…。 Yahoo! Techによる、デビッドがホワイトハウスの「director of information technology」に抜擢されたというニュース[1]です。これって、日本語だと、「情報技術長官」で良いのですかね…。Wikipediaの米国政府用語[2]によると、Directorは「長官」らしいので…。（誰か詳しい人教えて…。） 彼は、米国のOpenID® Foundation立ち上げの立役者兼初代副理事長で、OpenID® Authentication 2.0の主著者でもありますね。当時はSixApart→Veri

The Intercept が現地時間2015/2/19に報じた[1]ところによると、NSAとGCHQによって、Gemealtoから出荷されたSIMに保存されている鍵(Ki)が大量に強奪されていたとのことです。その結果、これらのSIMを使った携帯電話の通信を盗聴するのは、何でもなくなっていたと。Snordenさんが持ちだしたファイルの中にこの情報が入っていたとのことです。 携帯電話に入っているSIMカードは、Gemaltoのような「パーソナライゼーション会社」によってAuthentication Key (Ki)が焼きこまれます。このAuthentication Keyは、SIMをネットワーク上で認証するのと、暗号鍵を生成するのに使われます。この鍵は生成された後、SIMカードに記録され、取り出せないようになります。ですが、このSIMカードをネットワーク上で認証するためには、同じ鍵を携帯電話

Yahoo! CEO メリッサ・マイヤー「消費者からの不信がパーソナル・インターネットの発展を阻害している。」「自己情報コントロールを！」 ちょっと前のニュースになりますが、日本でも流れてましたかね？パーソナル・データの取り扱いに関する、Yahoo! CEOのメリッサ・マイヤー氏の発言が、最近の某国の某社を中心とした「オプトアウトで目的変更可能に」という主張と真っ向対立しているというニュースです。 The Drum の報道[1]によりますと、去る１月２２日に行われたパネル・ディスカッションで、米Yahoo! CEOのメリッサ・マイヤー氏は、「一部テクノロジー企業がデータ販売の境界を押し広げようとすることによって、政府・消費者双方の信頼を失い、パーソナライズド・インターネットの発展を阻害している。」と述べたとのことです。個人による意思を伴った同意を経ないで、パーソナル・データから利益を得よう

さてさて、お正月第3弾のネタは前回の記事のお約束通り、「夢のある」[1]成長戦略です。 今の日本は少子高齢化が最大の問題とされています。これの何が本質的な問題かというと、生産人口に比べて消費人口が多すぎる状態になるのが問題なんですね。消費＞生産になると、国富がどんどん海外に流出し、国民が貧しくなっていきます。また、需要が供給より強いわけですから、輸入が困難な産業ではインフレが進むでしょう。 これのオーソドックスな解法は 産めよ増やせよ 移民 です。フランスは1.をやってある程度成功しました。アメリカは2.で経済を維持しています。日本でもこれらが検討されていますが、1.は最低でも20年がかりでいささか手遅れ（でも今すぐにでもやるべきですが）で、2. は移民国家ということ自体がアイデンティティである米国とは違って日本ではさまざまな摩擦を引き起こすことが予想され、多くの困難があるであろうことは、

あけましておめでとうございます。 戦後７０年の本年も宜しくお願い申し上げます。 さて、世間的にはGPIFが株の購入比率を引き上げるのはキ◯ガイだとかかますびしいわけですが、そんなことは無いということを新年にあたり２０１４年のデータを使って振り返ってみたいと思います。 みなさん、良く「株は危ない。現金が安全。」といいますよね。これは、名目値に惑わされた錯覚です。昔、各国の年金基金をまわってインタビューしたことがあるのですが、その時に某欧州の国の基金に「株が一番の安全資産だ」といわれたのを鮮明に覚えております。名目値は変動するかもしれないが実質経済にリンクしているので実質値は確保しやすいのに対して、現金は長期的には必ず負ける（インフレ率が＋である限り）というのがその根底にありました。 それをたった一年でキッチリしめしたのが、日本の2014年であったように思います。図１は、ドルベースでの日本株（

ID&ITのサイトは仮題のままですが、明日、ANAホテルで「車輪は丸くなったのか〜ID関連標準の成熟度と動向」というタイトルで30分ほどスピーチさせていただきます。セッション番号は GE-05 です。外タレ、ナット・サキムラとしてです。 お申し込みはこちら→ http://nosurrender.jp/idit2014/registration.html 内容は、3月までガートナーのIdentity関連のアナリストだったイアン・グレイザーから独自に入手したCloud Identity Summit基調講演のスライドのネタを下敷きにして、彼の考え、私の考え、はたまた、元米国大統領サイバーセキュリティー特別補佐官のハワード・シュミット氏との朝食会で話したことなどを交えながら、認証、認可、属性、プロビジョニング、の国際標準の状況を「今使えるのか」という観点も含めながら紹介します。 外タレとしてな

文部科学省は、2018年度から大学生の奨学金制度に「所得連動返還型」を導入する方針を固めた。所得連動返還型はイギリスやオーストラリア、アメリカで採用されている制度で、卒業後の年収に応じて返還月額が変動する。景気や年収の増減に応じて返還額が決定するため、低所得の者ほど負担が少なく、回収率を上げることができるという。 引用元: EconomicNews（エコノミックニュース）. 明日の某研究会で話そうかと調べていたら、既に発表されていたようだ。 所得連動返済型奨学金は、オーストラリア、ニュージーランド、英国などで提供されている。オーストラリア(HELP)は、2013年現在、450,314人が利用している。また、米国でもFederal Student Loan に関して同様の取り組みが始まっている。ただし、こちらは低所得者のみが対象である。 所得連動変換型奨学金は一定の収入になるまでは返済しなく

尊敬する國領先生にお題を頂いたので、ちょっと時間がかかりましたが、ブログにまとめてみました。 まずは結論から。 (1) 識別子 → Identity Register+RA (2) 本人確認基盤 → IdP+CSP (3) 属性 → IIA/IIP (4) サービス → RP/SP と読み替えるならば、このように分割して分別管理するのが良さそう、ということになります。 以下、その解説です。 IdMの基本は、当該ユーザの識別です。識別とは、その存在を母集団の中の他の存在から一意に区別するということです。わたしたちは、存在を直接的には観測できないので、これは、その存在に紐付いている属性の値の集合が一意になるまで集めるということに他なりません。この状態では、その属性の値の集合が「識別子」になっています。ただし、値はどんどん変わり得て、別の時点では識別性がなくなるかもしれないので、識別された時点で

2. あらまし の あらまし • パーソナルデータのデータベースは 個人ＩＤ＋多数の属性値 というレコードからなります。 • 属性値には購買した品物、特定の場所の滞在履歴や移動履歴、評 価した商品（映画など）があります。 • 個人ＩＤを消して匿名化していても、少数の属性値が攻撃 者に知られるだけで、個人識別ができてしまいます。 • 稀(rare)な属性値が知られると非常に危険です。 • こういった直感をモデル化して数量的に評価した話です。 3. • Netflixの映画評価データベースを使った公開タスク事件：  Narayanan, A., Shmatikov, V. (2008) Robust De-anonymization of Large Sparse Datasets, Proc. of the 2008 IEEE Symposium on Security and Priva

「殺人の冤罪で18年ほど刑務所にいたけど、何か聞きたいことある？」想像を絶する海外掲示板のやりとり 冤罪はあってはならないことですが、人間が人間を裁いている限り避けられないのも現実です。 無実の罪でありながら、ニューヨークで起きた殺人の罪で刑務所に18年間服役した男性が、海外掲示板で質問を受け付けていました。 本人からの投稿文は以下のもの。 「1995年に、他の5人と一緒に殺人罪で逮捕された。全員有罪となり、25年〜無期懲役の判決を受けた。全員が最初から無実を主張していたが、僕は1度もあきらめなかった。刑務所の中で自分で調査し、すでに服役をしていた真犯人を見つけることができ、冤罪を証明することができた。 ようやく2年前に、18年の服役をした僕たち6人は釈放された。テレビでも自分のことについてNBCが放送している。 （SNEAK PEEK: 'A Bronx Tale' - NBC News

インターネットサービス事業者であるヤフー。同社は近く、遺伝子情報の解析に基づく生活改善助言サービス「HealthData Labo」のモニター募集を開始する。 HealthData Laboは、スマートフォンやウエアラブル端末で測った活動量や睡眠、食事内容などの情報と遺伝子情報を組み合わせて、生活習慣に関するアドバイスなどを行うもの。遺伝子情報の収集に当たっては、東京大学発のベンチャー企業であるジーンクエストと組む（関連記事）。 ヤフーはなぜ、遺伝子解析に目を付けたのか――。同社の別所直哉氏（執行役員 社長室長）と阿南愛氏（メディアサービスカンパニー ターゲティングメディア本部 ヘルスケア関連サービス部 部長 Yahoo!ヘルスケア サービスマネージャー）に聞いた。

マイクロソフトが自社の社内ネットワークで実施しているセキュリティ対策について、紹介・解説する一冊だ。「Windowsの堅牢性を自慢する」という本ではない。あまり公開されることのない、ユーザー事例としてのセキュリティ対策を詳細に解説している。 タイトルの「なぜマイクロソフトはサイバー攻撃に強いのか？」。一言で結論をまとめてしまうと、「一貫した対策を徹底するから」という点に尽きる。本書で紹介されている対策は奇をてらったものではない。雑誌やWebサイトで何年も前から紹介されているような対策ばかりだ。だからといって、目新しさが皆無ということはない。対策を徹底するための方法論というのは、ほかに類を見ないものがある。 教科書的な対策を徹底するための教科書、と位置付けると分かりやすいだろう。基礎から解説しているので、ネットワーク管理者1～2年生でも読みこなせるはずだ。

DIAMOND Online に、『「響きの科楽」著者ジョン・パウエル博士が明かすあなたの知らない音楽の秘密』という記事が出ていた。 その中で、「多くの作曲家が誤解していること」として、「最初に使うキー（長短の調）次第で、違った感情が生まれるという考えも間違いだ。」と主張している。曰く、 同様に、最初に使うキー（長短の調）次第で、違った感情が生まれるという考えも間違いだ。例えば、スティービー・ワンダーの曲で「I just called to say I love you」という歌詞を繰り返すところがあるが、途中で１音上げるとより気持ちが明るくなる。しかし、どの調から始めても途中で１音上げると同じ効果がある。最初の調は問題ではない。 ――つまり、多くの作曲家が誤解をしているかもしれないということか。 そうだ。ベートーベンをはじめとして多くの作曲家は、特定のキーは独特の感情を引き起こすと思い込

EnterpriseZine（エンタープライズジン）編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。