■ 情報法制研究16号に連載第9回の論文を書いた 前回に続いて、情報法制研究16号に連載論文の第9回を書いた。 個人情報保護から個人データ保護へ(9) ――法目的に基づく制度見直しの検討, 情報法制研究16号（半年後にオープンアクセス） いったいいつまで続けるのか？とお叱りの声を頂く。たしかにこんな連載はない。当初は全4回程度の見通しだったのが、書いているうちに調べ方がどんどん深くなっていって、予定しているところの内容がどんどん膨らんでいって、膨張宇宙のようになったが、ようやくほぼすべての根拠を確保して収拾できるところまで来た。今回がいわば結論回の予定だったのだが、またしても、予定していた内容が膨らんで（「差別」との関係が予定していたより大幅に明確になった）1回では収まらなくなって、章の途中で次号送りとなった。次号ではそこを回収して、「学説等の状況」を示して、最終章「制度見直しの提案」を書

■ Winnyの問題で作者を罪に問おうとしたことが社会に残した禍根 Winny作者が著作権法違反幇助の罪に問われている裁判の地裁判決がいよいよ明日出るわけだが、有罪になるにせよ無罪になるにせよ、そのこととは別に、独立事象として、Winnyネットワーク（および同様のもの）がこのまま社会に存在し続けることの有害性についての理解、今後のあり方の議論を進めるべきである。 著作権侵害の観点からすればさして致命的な問題ではないと考える人が大半だろう。しかし、情報セキュリティの観点からすると、流出の事故を防止しなければならないのと同時に、起きてしまった事故の被害を致命的でないレベルに止めることが求められる。 これまでに書いてきた通り、Winnyは、従来のファイル交換ソフトと異なり、利用者達が意図しなくても、多くの人が流通し続ける事態は非倫理的だと思うような流出データであっても、たらい回しにいつまでも流通

大阪弁護士会館で17日、情報処理技術と刑事事件に関するシンポジウムが開催された。シンポジウムは、Winny事件の判決を契機にIT技術と刑事事件を考えるという内容で、大阪弁護士会刑事弁護委員会、情報処理学会、情報ネットワーク法学会が共同で主催した。 シンポジウムでは、Winnyの開発者である金子勇氏によるWinnyの概説や、ファイル共有ソフトに関する刑事法的な問題点など、技術と法律の両面からWinnyやファイル共有ソフトの問題点についての講演が行なわれた。午後の講演では、産業技術総合研究所の高木浩光氏が「ファイル共有の抱える技術的な問題点」と題して、セキュリティの観点から見たWinnyの問題点を語った。 ● Winnyは「人が望まない」ことを止められない点が問題 高木氏はまず前提として、「Winnyがどのような目的や意図で開発されたのかという話とは無関係に、結果としてのWinnyを基に議論を

■ キンタマウイルス頒布にマスコミ関係者が関与している可能性 Winnyを媒介して悲惨なプライバシー流出事故が続いているのは、言うまでもなく、自然現象なのではなく、ウイルスを作成し頒布している者が企図するところによるものである。いったいどういう人が何の目的で作成し頒布しているかということは、憶測にしかなりようがないので、あまり多く語られることはないが、よく耳にする陰謀論的な説としては、(1)著作権侵害行為をやめさせたいと考えている者が、Winnyの利用を危険なものにするためにやっているという説、(2)ウイルス対策や流出対策の事業者の関係者が、事業の需要を創出するためにやっているという説（これは、Winny媒介ウイルスに限らず昔のウイルスのころから語られていたもの）などがある。 私の憶測では、少なくとも初期のキンタマウイルスは、単純に愉快犯だったのだろうと思う。論座2006年5月号では私は次

■ JPCERTも糞、ベリサインも糞、マイクロソフトは糞、トレンドマイクロも糞、フィッシング対策解説は糞ばかり 一昨年7月のWASフォーラムのイベントで話した以下の件。 セキュアなWebアプリ実現のために本来やるべきことは? - 高木浩光氏, MYCOM PCWEB, 2005年7月12日 誤った解説や必要以上に危機感を煽る報道に不満 （略）アドレスバーがきちんと表示されていてURLが確認できる状態になった上で、SSLの鍵マークが表示され、ブラウザがSSL証明書に関する警告画面を出さなければ、いちいち証明書を開かなくても安全性は確認できるのに、未だに「安全性を確認するには証明書を開く必要がある」といった誤った解説が(それもセキュリティに詳しいとされている記者の記事の中で)なされている」と指摘。その上で「キーワードジャーナリズムは、よりユーザにとって手間のかからない対策手法を紹介すべきだし、

■ 最高裁判所が電話してというので電話した ボツネタ日記の「新しい裁判所のＨＰにリンクを貼ったときは，その旨を電話で連絡しなければならないようです。」というエントリを見て、裁判所Webサイトがリニューアルしたのを知った。 リニューアルした裁判所Webサイトには新たにプライバシーポリシーのページができていたのだが、その内容に誤りがあるため、それについてメモをとった。 裁判所Webサイトにリンクしたときは電話で連絡するよう留意せよとのことなので、出勤前の朝10時ごろ、指定されている最高裁判所事務総局広報課の番号に電話した。 私: 内線XXXXお願いします。 裁: はいお待ちください。……。ただいまお話し中です。 私: そう……ですか。 裁: 見学ですか？ 私: いえ違います。 裁: 少々お待ちください。 ………… 裁: はいもしもし。 私: 裁判所Webサイトにリンクを設置しました。その場合電

■ 主婦の友社が早速やらかしてくれました 仕事がはやい。 赤☆ネットのご利用環境 セキュリティ証明書（Mozilla Firefox3をご利用の方）, 主婦の友社 愛読者サイトにアクセスをすると下の画面が表示されます。「赤☆ネット」は「www.en-jin.com」のセキュリティーを使用しているために、このような警告がでますが ご安心してご利用ください。

■ ログアウトし忘れのブラウザをそうと知りつつ操作するのは不正アクセス行為に該当するか やじうまWatchによると、mixiにログインしたまま放置されていた店頭のPCを操作してプロフィールを「改ざん」した（当人曰く）という人がいて、それを著名サイトで公言していることが注目を浴びているという。いくつか反応を見てまわったところ、不正アクセス禁止法違反ではないかという議論*1があり、その中に、「パスワードを入力したわけではないから、不正アクセス行為にあたらない」などという主張をみかけた。 興味深い話題なのでちょっと検討してみる。なお、ここでは、技術的側面から行為の外形が不正アクセス禁止法3条の構成要件を満たしているかだけを検討するものであり、刑罰に値する違法性があるか否かについては検討しない。 まず、不正アクセス禁止法3条2項各号の「入力して」とは、手元のコンピュータにキーボードで入力することを

■ 単純所持刑罰化ならウイルス罪を同時施行しないとセキュリティバランスが悪化する 私は、著作権のあり方に関心がないのにWinnyの問題について意見を述べてきた。これは、著作権が情報セキュリティに影響を及ぼしていたからだった。著作権法による規制の強化が、制御不能な流通システムを誕生させ、人々に維持し続けさせ、その結果、漏洩情報の拡散も抑制不能になるという情報セキュリティ上の深刻な問題を引き起した。（関連記事1、関連記事2） このところ、児童ポルノの単純所持の刑罰化や、青少年に対するコンテンツ規制の法制化の機運が高まっているようだ。私は、それらの是非については専門外であり、とくに意見を持ち合わせていない。しかし、それらが情報セキュリティに及ぼす影響について関心を持っている。 児童ポルノ、所持だけで懲役1年以下・与党ＰＴ , 日本経済新聞, 2008年5月2日 児童ポルノ：所持は１年以下の懲役ま

■ リンクの話 まとめ リンクの論点はそれはもう大昔から出尽くしていて、同じことが品を替え形を変えて延々繰り返し語られているわけで、わかっている者には今更すぎなのだけど、次々新しい人達は入ってきているわけだから、少しでも新しいパターンを見つけるなりして退屈しない方法で繰り返しているわけだけども、ここへ来てどうやら本当に変革の時期が来たような期待感もあるので、あらためてまとめも書いておくとする。 まず、企業や官公庁などの団体のWebサイトにける無断リンク禁止条項の問題と、個人のWebサイトにおけるそれとは明確に区別することを踏まえないといけない。団体のサイトは、その全てが、明らかに不特定多数の公衆に見てもらうために設置されている。それに対し、個人のサイトは必ずしもそうとは限らない。 団体のサイトの場合を簡単にまとめると、本当は見て欲しいはずなのに、見て欲しくないかのような「リンクポリシー」を

■ RFID児童登下校管理システムのクオリティは安心安全ソリューションってレベルか 2004年から2005年にかけてたびたびNHKニュースやテレビ東京で華々しく宣伝されていた、RFID児童登下校通知システムだが、去年あたりから悲惨なことになっていたようだ。 2006年8月13日の日記からリンクしていた個人ブログを再び見に行ってみたところ、その後こんなことになっていた。 「情報科な日々のつれづれ」の「ICタグ」カテゴリ 朝、7:36。 ICタグによる登下校システムの停止。（略） 事務所の電話は、鳴りっぱなし。 何とかならないかといわれても・・・・。 とにかく富士通に対応してもらうまで待つしかない。 原因は、どうやら、メールサーバの停止らしい。 7:36に最後の送信をしてから、停止したらしい。 それ以降に登校した子どもには、メールが送信されていません。（略） 27 September ご迷惑を

■ 「ウイルス作成罪」はこうしてほしい / 国会提出刑法改正案の趣旨 「ウイルス作成罪」という言葉は誤解を招くようなので、国会提出法案での名称「不正指令電磁的記録に関する罪」あるいは、「ウイルス」の代わりに「不正指令電磁的記録」を用語として使用していきたいところだが、Web検索上の便宜のため今回はタイトルは「ウイルス作成罪」とした。以下では同じものを指すものとする。 ウイルス作者の逮捕 さて、ウイルス作者が著作権法違反で逮捕されるという事態になった。24日に読売新聞の取材を受け、コメントが以下のように掲載された。 院生逮捕 ウイルス野放し、作成に法規制なし 法令駆使し摘発／京都府警, 大阪読売新聞, 2008年1月24日夕刊 （略） ウイルス被害が広がる中、法務省は2004年、ウイルスの作成・所持を罰する「ウイルス作成罪」を盛り込んだ刑法等の改正案を国会に提出。しかし、同法案に盛り込まれた

■ 本物がいい加減なことをしていると偽物につけ入られる事例2件 スパイウェア対策ソフト売りのFUD PC世界のリフォーム詐欺、「ミスリーディングアプリ」って何だ？, ITmedia, 2007年1月11日 という記事が出ているが、ここで次の映像の冒頭を見てみる。 【動画】 眞鍋かをり「スパイウェアの恐さをもっとわかって」*1, ソフトバンクビジネス+IT, 2006年10月5日 いや正直ですね、ほんとにあの去年の春に、はじめてあのー、まあ、お仕事させていただいてソフトを頂いたんですけど、それまでセキュリティ対策を一切やってなかったので、あのー、はじめてあの、ソフトを入れてチェックしたときはですね、スパイウェアがね、208個出てきたんですよ。（ハハハハ。）ふふ。ちょっとひどい状態、もしかしたら情報出ちゃってたかもしれないなと思うくらいなんですけども、たいした情報入ってないんですけど、ねー、で

■ 一日中幼児たちの映像を不特定多数に公衆送信している保育所 子ども守るIT ――学校で駅で街で, 朝日わくわくネット, 2005年9月28日 ネット中継 幼稚園での笑顔満開／職場で家で親安心 （略）こうしたシステムでは、保護者らには専用パスワードを配布して映像が見られるようにするが、権限のない部外者には映像を見せないのが普通だ。しかし、同保育所は「保育所に興味を持ってほしい」と、一般にも映像を公開している。もっとも、子どもの安全を守るため、カメラのズームアップはできないようにしており、保護者でもない限り、映像で子どもの見分けはできない。 という記事があった。「西脇保育所」で検索してみると見つかった。 社会福祉法人 西脇保育所 ライブ映像 たしかに、誰でもライブ映像を見られるようになっている。今見たところ、プールから出た女児たちが全裸になって着替えている様子が映っていた。 「映像で子どもの

■ CSRF脆弱性を突く攻撃行為を現行法で処罰できるか CSRF脆弱性が攻撃されることは、それがもたらす被害の内容によっては、不正アクセス禁止法が守ろうとしているものと同等のものが侵害される場合もある。たとえば、本人でなければ見ることのできないはずの情報が、CSRF脆弱性を突く罠を仕掛けた者に送信されるといった攻撃は、不正アクセス行為の典型的な侵害事例と同様の被害をもたらす。また、同法の目的である「アクセス制御機能により実現される電気通信に関する秩序の維持」（第1条）が損なわれるという点も共通する。 しかしながら、CSRF脆弱性を突く攻撃行為は、結果が同じてあっても手段が異なるために、不正アクセス禁止法による処罰は難しいのではないかと以前から思っていた。これについては、2005年7月3日の日記「クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか」にも書いた。

■ 編集長が見て見てと言うので買ったネットランナー5月号の仰天内容 4月12日の日記「Winny利用教唆本のセキュリティ対策指南、その仰天内容」のリンク元を辿ったところ、 今月Winny特集やってるから、高木さんに取り上げてほしいなあ。 d.hatena.ne.jp/kgoutsu/, 2006年4月13日 という記述があった。どうやらこのブログ主は、「ネットランナー」の編集長の方らしい。 たしかに、Winnyの話題で「違法行為を蔓延させた刑事責任は出版社にある」という指摘が出てくるときに真っ先に槍玉に挙がるのは「ネットランナー」であることが多いが、実際のところ同誌はそれほど悪質なものではなく、セキュリティ対策をキチンと啓蒙するなどの良い点もあるとの主張を耳にすることもあった。 ネットランナーはほとんど読んだことがない*1ので、昔どういう内容だったとかは知らないが、編集長がこうおっしゃるく

■ Java用「winnytp://」プロトコルハンドラを作ってみたら簡単にできた タイミングのよいことに、11日の日記の「Winny可視化のため、WebブラウザにWinnyプロトコルハンドラを」に対して、「高木版Winnyプロトコルハンドラは妙だ」という反応があった。 それを言うなら winnytp://a272e2d2e7a6844d97ab5fd9619be1d6 というURIで、ネットワークのどこかにある a272e2d2e7a6844d97ab5fd9619be1d6 というハッシュのファイルを指すのが自然なんじゃないかと。 高木版Winnyプロトコルハンドラは妙だ, blog.fuktommy.com, 2006年6月25日 べつにそれに限定される理由はない。両方があり得るというだけのことだ。 URL (Uniform Resource Locator) として、場所を指定して

1 安全なWebアプリ開発の鉄則2005 独立行政法人産業技術総合研究所 情報セキュリティ研究センター 高木 浩光 http://staff.aist.go.jp/takagi.hiromitsu/ Internet Week 2005 チュートリアル 2005年12月8日 配布資料 2 目次 • Webアプリの基本的な構成 – セッションIDによるセッション追跡 – セッションIDの配置 • セッション追跡に対する攻撃と防御 – セッションハイジャック – セッションライディング（CSRF:クロス サイトリクエストフォージェリ） – セッション固定化 • セッション追跡方式の欠陥 – 推測可能なセッション追跡パラメタ – 予測可能なセッションID – 稚拙な暗号の使用 • 権限確認の欠陥 – アクセス制御の欠如 – ユーザ識別の欠如 • 画面設計の問題 • 万が一に備えた適切な実装 •

Top Page: メイン Previous Page: 無意識プロテクト解除 Next Page: FON with Mac January 29, 2007 Category: 本日のはてぶより Tags: 挑発に乗ってみる 身内がつるし上げられてるので、今日は（も？）こっちも大人げないモードで。 高木浩光＠自宅の日記 日常化するNHKの捏造棒グラフ おお、高校講座がはてぶに載る日が来るなんて。 bm自身は地理には直接関わってないけど、ちょっとびっくり。 情報Aもどうぞよろしく。来年度、ほとんど再放送(3年目！)だけど。 一つめの地理のグラフは、確かにy軸と下の方の波線を書き忘れている点でまずかったと思う。 といってそのためにちゃんと数字書いてるのに、一番最初にそれを隠して見せて印象づけるのは卑怯だよね。 それで数字つけられたらあれれ？ってなる。 次のイブニング信州のグラフ

■ 我孫子市のウイルスメール配信事故で報道各社がそろって誤報 報道各社は、我孫子市の防災・防犯情報メール配信サービスでウイルス入りメールが配信された事故について、「何者かが外部からサーバーに不正侵入した」などと報道した。 我孫子市から２５８３人にウイルスメール　外部から侵入, 朝日新聞, 2006年7月2日 千葉県我孫子市は、防災・防犯情報をメール配信しているサーバーシステムが外部から不正に侵入され、市民２５８３人にウイルスメールが送信されたと２日発表した。（略）我孫子署に報告し、被害届の提出を検討している。 （略） 市は直ちに配信サービスを停止して調査。その結果、何者かが外部からサーバーに不正侵入し、市のメールアドレスを使ってウイルスメールを送信したと判断した。（略） 我孫子市役所からウイルスメール, 日刊スポーツ, 2006年7月2日 市によると、何者かが市役所のシステムに侵入。システ