高木浩光＠自宅の日記(2006-09)

2006年09月01日

■ サイボウズ「闇改修」の件のその後

一昨日の日記の件*1について、出勤前の午前中にサイボウズのお客さま対応窓口から電話があった。電話の要件は訂正があるとのことで、以下の3点を訂正するとのことだった。︵以下は私による要約。︶ (一)ディレクトリトラバーサルの脆弱性については、ログインしていない者によっても攻撃され得る。告知文を訂正する。 (二)ユーザの一覧を取得できてしまう問題について、脆弱性としなかったのは、重要度が低いと評価していたという誤った認識によるものだった。告知文を訂正する。 (三)去年のクロスサイトスクリプティング脆弱性対応について、対策として追加された警告表示機能がデフォルトでオフとなっている理由は、既存バージョンとの互換性を考えたものであり、それはユーザが混乱するのではないかと考えたためで、そのような認識は誤りだった。今後、デフォルトでオンとするように検討する。そしてさきほど告知ページを見に行ったところ、更新されていた。 ●9月1日付の告知文 ●その更新内容あちらからの用件はそれだけだったのだが、﹁ご不明な点はございますか﹂とのことだったので、﹁重要度の認識の誤りとのことだが、先日の電話ではセキュリティポリシーによるものだと説明された﹂と確認したところ、﹁担当した者が確認をした範囲でそういう回答になったが経営者などの判断ではなかった﹂という。担当者ねえ……。まあ、しかし、同社の同じような方針はずっと以前からおおやけにされていたわけで。たとえば、2002年6月にあった脆弱性の修正の件でも、 ●インシデント事後対応ベストの企業に秘訣を聞く ■第5回■ サイボウズ, Scan Incident Report, 2003年3月4日ユーザへの告知は、﹁Office 4.0︵1.4︶﹂が公開された5月27日にサイト内のバージョン更新履歴や﹁FAQ﹂に掲載した。すでに21日の段階で﹁サイボウズDBメーカー﹂の対応版が公開されているが、すべての製品において何らかの対応がなされた状態になるまでは、脆弱性の存在を告知することがかえって危険を増やす可能性があると判断したため告知を27日に行ったという。また、まったく公表しないことには問題があると考えつつ、一方でこの脆弱性の影響が極めて少ないユーザに対してまで無用な不安を与えることは避けるべきであると考え、﹁FAQ﹂での告知という措置になったという。 という話があった。*2 9月1日付の﹁セキュリティに関するお知らせ(2) サイボウズ青野の3日ボウズ日記﹂によると、今後、より迅速で正確な対応ができるよう、セキュリティ対応ポリシーを改善し、お客様が安心して弊社製品を使い続けてくださるよう努力してまいります。となっている。次の質問として、﹁ユーザ名の入力をメニューからではなく直接入力とする設定が用意されているのは、インターネットでの利用などでのセキュリティとプライバシーを想定してのものなのか、それとも、イントラネットでの利用においても入力の利便性として直接入力の方が楽な場合もあるためなのか、どちらなのか﹂と尋ねたところ、﹁基本的にはイントラネット用を想定している。後者だ。﹂という。そこで意見として次のように述べた。﹁﹃基本的には﹄などと曖昧なことを言ってはいけない。インターネットでの利用を想定しているのか、いないのかだ。想定していないのなら、そのようにマニュアルに記述して、﹃インターネットでは使わないでください﹄と注意書きしない限り、責任はないと言うことはできないでしょう。﹂しかし、今になって気づいたが、サイボウズOffice 6のマニュアルにズバリ、﹁インターネット上での使用を想定している場合﹂と書かれている︵図1︶ではないか。

図1: サイボウズのマニュアルが「インターネット向け」と明記している様子

続いて、実態としてインターネットで使っている人がGoogleで見つかる件について述べると、﹁検索で見つかること自体を問題ととらえており、今後robots.txtやmetaタグを生成するようにして対策していきたい﹂とのことだった。そこで、﹁それは解決ではない。悪意ある者が自力でロボットを走らせれば、当然そのような指定は無視して探し出すのだから﹂ということを述べた。もちろん、やらないよりやったほうがよいことには違いない。ところで、告知文に書かれている ※上記対象製品をイントラネット内でのみ運用している場合に、外部︵インターネット網︶から攻撃を受けることはございません。という︵赤字で強調された︶記述だが、これは本当だろうか？︵せっかく頂いた電話で尋ねるチャンスがあったのに言い忘れた。︶今回の脆弱性の詳細を知らないのでわからないが、SQLインジェクションについては、﹁データベース内のデータ操作﹂という脅威があるそうだが、GETにせよ、POSTにせよ、ログイン中のユーザが悪意ある外部サイトのページを開いただけのタイミングでも起きるように思えるのだが。﹁イントラネット内でのみ運用している場合﹂といっても、ブラウザがインターネット上のWebサイトを閲覧できないようにしてあるというわけではあるまい。﹁イントラネットのURLが攻撃者にはわからないから、影響は極めて少ない﹂などという主張がありがちだが、たとえば一昨日の日記の﹁本日のリンク元﹂を見れば、イントラのURLがバレることは普通にあるということがわかると思う。

■ テスト用エントリ

Googleが「cache」と自称する機能の動作について実験するため、以下のリンクをここに表示しておく。

*1 ちなみに電話をしたのは28日のこと。

*2 ちなみにこの記事は、これを「インシデント事後対応ベストの企業」などと評価しているが、「Scan編集部」のこの一連のシリーズは、ベストとワーストの判断基準が不明瞭で、客観性に大いに疑問のあるものだと当時から思っていた。そもそも、告知しなければ危険をなくすことのできないソフトウェア製品の脆弱性と、告知しなくてもサイトを直せば危険をなくすことのできるWebサイトの脆弱性を同じ基準で扱って、ベストだのワーストだの言うのがおかしい。

本日のリンク元 TrackBack(1)

2006年09月06日

■ ログアウトし忘れのブラウザをそうと知りつつ操作するのは不正アクセス行為に該当するか

やじうまWatchによると、mixiにログインしたまま放置されていた店頭のPCを操作してプロフィールを﹁改ざん﹂した︵当人曰く︶という人がいて、それを著名サイトで公言していることが注目を浴びているという。いくつか反応を見てまわったところ、不正アクセス禁止法違反ではないかという議論*1があり、その中に、﹁パスワードを入力したわけではないから、不正アクセス行為にあたらない﹂などという主張をみかけた。興味深い話題なのでちょっと検討してみる。なお、ここでは、技術的側面から行為の外形が不正アクセス禁止法3条の構成要件を満たしているかだけを検討するものであり、刑罰に値する違法性があるか否かについては検討しない。まず、不正アクセス禁止法3条2項各号の﹁入力して﹂とは、手元のコンピュータにキーボードで入力することを指すものではないことに注意したい。このことは、警察庁の法案立案担当者らにより執筆された逐条解説書で、次のように解説されている。﹁入力﹂とは、ここでは電気通信回線を通じて対象となる特定電子計算機︵ウ参照︶に電磁的方式により送り、伝えることを意味しており、特定利用をしようとする者の手元にあるコンピュータのキーボードを叩く行為自体を意味するものではない。なお、入力される符号は実際にはデジタル信号に変換されて送り、伝えられることになっても、このように符号から変換されたデジタル信号は、元の符号として入力されていると評価されることになる。不正アクセス対策法制研究会編著, 逐条不正アクセス行為の禁止等に関する法律, 立花書房, p.54 つまり、mixiのサーバコンピュータに対して﹁入力する﹂ことをこの法律は言っている。﹁入力﹂は、ここでは、電気通信回線を通じて対象となる特定電子計算機に他人の識別符号を送信することを意味しているから、他人の識別符号を送信する方法として、一々キーボードを操作することは必ずしも必要ではなく、パソコンのインターネット接続ボタンを押す、識別符号が記録されているICカードを差し込むなどにより、自動的に識別符号を送信するコンピュータの機能を用いて入力することも含まれる。不正アクセス対策法制研究会編著, 逐条不正アクセス行為の禁止等に関する法律, 立花書房, p.75 つまり、サーバコンピュータに入力するという結果を生じさせるあらゆる操作が、﹁入力して﹂という行為にあたるとされているように読める。ここで話を簡単にするため、まず、仮にmixiがBasic認証によるログイン方式だったとして検討してみる。ある青年が店頭のPCのInternet Explorerを操作してmixiにログインし、ウィンドウを閉じてその場を去った。しかし、Internet Explorerは他のウィンドウが開いていた︵タスクバーに隠れていた︶ことからプロセスとしては終了しておらず、Basic認証のセッションは継続したままの状態となっていた。そこへ現れた別人が、Internet Explorerのウィンドウを開き、mixiのサイトにアクセスしたところ、青年のアカウントでログインした状態でページが表示されることとなった。この別人がmixiにアクセスしたとき、電気通信回線を通じて何が行われたかというと、青年のIDとパスワードが、base64エンコードされてHTTPのリクエストヘッダのAuthorization:フィールドに格納されて、mixiのサーバコンピュータに﹁入力﹂されている。その動作は、その別人がブラウザをmixiにアクセスさせる操作をしたことによって自動的に生じさせられている*2。このようになるのは、Basic認証という方式が、1ページアクセスするごとに毎回、﹁入力された符号が当該利用に係る識別符号であることを確認して当該利用の制限の全部又は一部を解除する﹂という処理を繰り返しているからである。つまり、ページ毎にその都度ログインしているわけだ。では次に、実際のmixiではどうかというと、cookieでログイン状態の継続が処理されており、パスワードが毎回送信されているわけではない*3。そうすると、放置されたログイン状態のブラウザを操作する行為は、同法3条2項1号の﹁他人の識別符号を入力して﹂に該当しないことになるのだろうか？ここで、cookieの内容が﹁ユーザID + ユーザIDのHMAC値﹂という構成︵パスワードは含まれていない︶になっていて、サーバ側はこの値を検証してログイン状態であることを確認している場合を検討する。この場合、このcookieの値は、不正アクセス禁止法2条3項の括弧書き当該特定利用に係る識別符号︵識別符号を用いて当該アクセス管理者の定める方法により作成される符号と当該識別符号の一部を組み合わせた符号を含む。次条第二項第一号及び第二号において同じ。︶に該当するのではないか。ここで注意したいのは、﹁次条第二項第一号及び第二号において同じ﹂とあるので、3条2項1号における﹁他人の識別符号を入力して﹂の﹁識別符号﹂もこれを含むものとして解釈することになる。︵この場合にも、ページ毎にその都度ログイン︵というか、不正アクセス禁止法で言うところの﹁入力された符号が当該利用に係る識別符号であることを確認して当該利用の制限の全部又は一部を解除する﹂という処理︶を繰り返していると見なすことができる。︶では次に、もしcookieの内容が乱数で生成されたセッションIDのみから構成されている場合はどうか。セッションIDが3条2項1号の﹁識別符号﹂にあたるかどうかについては、5月20日の日記﹁セッションハイジャック攻撃は1号不正アクセス行為か、それとも2号ないし3号か﹂で書いている。そのときの結論は、﹁1号にはあたらなそうなのは立法上の不備ではないかと思うが、いずれにせよセッションハイジャック行為は2号か3号でいけるので運用上問題ない﹂というものだった。しかし今回検討しているのは、セッションハイジャック攻撃ではなく、目の前にあるログアウトし忘れの端末の操作という行為である。これを、2号、3号の﹁当該アクセス制御機能による利用の制限を免れることができる情報又は指令を入力して﹂と解釈するのは無理があるのではないか。とすると、ログインし忘れ端末をそうと知りながら操作し制限された利用を利用する行為は、セッション管理の実装方法によって、不正アクセス行為の構成要件を満たしたり満たさなかったりすることになってしまう。実装がどうなっているかなんて、操作する当人には知る由もないところなのにだ。このようなことがなぜ生じるかと言えば、この法律が、行為者の目的によって不正アクセスを定義するのではなしに、技術上何が起きるようなことをしたかによって不正アクセス行為を定義した︵しようとした︶からではないか*4。そして、ログイン時の認証機能については法律の文章としてうまく書き下すことに成功したものの、その後のセッションの維持という技術的必然機能の存在について配慮しなかったところが、立法上の不備であるように思う。これは法改正で改善できるだろうか。ちなみに、別の解釈として、ログアウトし忘れの端末を操作する行為が﹁制限された利用をし得る状態にさせる行為﹂かというときに、既に利用し得る状態になっているところに当人はやってきたのだから、﹁新たにし得る状態にさせたとはいえない﹂というような主張ができそうな気もするが、どうなんだろうか*5。

*1 不正アクセス禁止法の前に、電子計算機損壊等業務妨害罪と電磁的記録不正作出及び供用罪を検討するのが先だと思うが、この程度だと業務を妨害したことにはならないのかもしれない︵よく知らない︶のと、電磁的記録不正作出及び供用は、﹁人の事務処理を誤らせる目的で、その事務処理の用に供する権利、義務又は事実証明に関する電磁的記録を不正に作った者﹂なので、プロフィールが事実証明に関する記録かどうかなのかな︵よく知らない︶。 *2 その別人は、最初にmixiにアクセスした時点では、そのような結果になるとは予見していなかったであろうから、故意が認められない。しかし、他人のログイン状態であることを認識しながら、制限されている利用をするつもりで、続けてアクセスすると……。ところで、ログアウトボタンを押すことも﹁制限されている利用をする﹂ことに該当するのだろうか？？ *3 cookieの内容が暗号化されたパスワードである可能性もあるが、そうなのかどうかは知らない。 *4 それは避けられなかったことなのかもしれない。なぜなら、この法律は、制限された利用が利用されてしまうことによる不利益から利用権者やアクセス管理者を保護することを法益としたものではなく、あくまでも、アクセス制御機能の社会的信頼が害されることから保護するという趣旨で立法されているので。 *5 でも、その解釈を許すと、上で引用した逐条解説の﹁インターネット接続ボタンを押す﹂が該当することと矛盾してしまうような。

本日のリンク元 TrackBacks(6)

2006年09月08日

■ ぼくはペコロンの記事が好きだった

﹁火消しされた﹂﹁修正依頼はなかった﹂――ハイパーリンクというシンメトリックな参照装置*1が報道と日記の境目を曖昧にし、両者を区別なきものにしつつある今日このごろ*2、真意が伝わっていないという取材対象者の釈明に対して、取材者がメディア上で反論するという展開が現れた。﹁どちらを信用するか﹂というよりも、人の言ったことを伝えることの重さと、人に言い伝えられるであろう場面で発言することの重さは対等だということだ。 ――なんてことを書いてみたよ。これを読んで。 ●トップ10どの情報を信じますか？, 岡田有花, ITmedia, 2006年9月4日﹁誤報だ﹂﹁発言をねじ曲げられた﹂――メディアの報道に関して、取材対象者がブログなどで直接反論することが増えてきた。ギク。ちょうどつい先日、﹁この記事によると私が……と発言したことになっているが﹂と書いたばかりで、それは岡田記者の記事に対してだった。これまでにも、取材されて報道されたものに対して日記で釈明したことは何度かある*3。1回目は、2004年5月28日の日記﹁日経産業新聞の記事に補足﹂。他には2004年10月10日の日記を思い出す。マスメディアに取材されるというのは本来とても怖いことだ。どのように書かれるかわからないという恐怖感がある。専門家のコメントという形で取材されると緊張する。気をつけて発言しないといけない。このことは、研究屋の人たちはみんな感じていて、人によっては苦い経験からかマスコミを敵視ないし侮蔑している人もいる。私の場合、2000年以降、セキュリティ脆弱性の問題に首を突っ込んで以来、マスコミは頼るべき存在となった。問題の存在や対策の理解を広めるにはマスコミに正しく報道してもらうことが鍵だった。どう伝えられるか不安でありながらも、そこは長い時間をかけて必要な背景説明をし、記者さんに問題を理解して頂いた上で結論を述べるようにしてきた。幸い、私の場合多くのケースでおおむね的確に伝えていただくことができた。そんな中、2004年5月の記事では日記で釈明しようと思い立った。しかしそれはとても心苦しいことだった。書かれている文自体は﹁言っていないこと﹂というわけではない。言ったことがいろいろあるうち本論とは違う部分︵背景説明の部分︶が使われただけだ。使われたくないことは言わないようにするか、背景説明で必要なのなら、どこが本論なのかきちんと整理して念を押すということをするべきところだった。いつもならそうしていたところ、このときは電話だったことと慣れから油断がありそれを怠った。﹁そんなことは言っていない﹂などと釈明するのはとても見苦しい。記者さんからすれば、従来あまりなかった、記事が正しくないという取材対象者による外部での指摘は、ただならぬ事態として受け止められるであろうことも容易に推察できる。このときは、心苦しい思いをしたけれども、その一方で、いざとなれば後で釈明できるという可能性に気づいたときでもあった。それ以来、取材において緊張は少なくなったといえる。取材にもいろいろなパターンがある。新聞、テレビ、雑誌のコメントやインタビューは上の通り慎重にしなくてはならない。それに対して、日経BP社の雑誌記事のときはわりと気軽だ。話したことは記事全体の構成に参考にしてもらうけども、そこは記者の主張として書かれ、取材協力者のコメントはほんの1、2行出るだけなので、そこの﹁﹂内さえ間違っていなければよい。一方、こちらからは何もできないのが、講演やパネル討論の内容を記事にしてくださるケースだ。面談取材と違って、記者の理解に合わせて説明することができない。聴衆向けに話したことがそのまま材料となり、記者の理解で書かれる。それでも、いつも驚くほどとても的確に伝えてくださる記者さんもいらっしゃる。しかし、多人数が登場するときは扱われる分量が少なくなる分、真意が伝わらない記事となることが多い。これはしかたがない。しかたのないことだが、必要ならばブログで真意を補足できる時代なのだから、それでよいのだ。報道と日記が区別なくハイパーリンクによって並べられるようになったからこそ、それが可能なのだ。 8月29日の脚注の件では、﹁高木氏は﹃開発者側は、Winnyの利用が著作権違反につながる可能性があることを、ユーザーに分かりやすく告知すべきだった﹄と話す﹂という﹃﹄内の文自体は間違いではないのだろう。しかし、これだけだと読者は、﹁違法な目的に使ってはいけないとのユーザへの告知が足りなかった﹂という︵検察が言うような︶ことを私が言ったかのように読解する人が多いのではないか。パネル討論という何時間にもわたる長い議論の文脈の流れの中にこの文があるわけで、文脈の説明なしに切り出した文が事実通り存在しても、それは正しい存在とはならない。今回の岡田記者の一連の行動について︵深読みをして？︶絶賛している人たちがいるが、この﹁トップ10﹂の文章は次のように言っていることに注意したい。 Wikipediaは誰でも編集できる百科事典だが、直接の利害関係者が、自分に有利なように内容をねじ曲げることは、ルールで禁止している。中立的な事実を、自分の利益のために不自然に削除しようとすると、今回のように﹁炎上﹂するし、明らかに偏った内容の記述は、別の編集者に削除されることもある。その点、個人のブログなら、自分に有利なことを書いても、第三者に削除されることはまずない。マスコミに取り上げられるような有名人なら、自分に不利な報道があった場合、ブログで反論して﹁火消し﹂することもできる。しかしその報道が事実で、実は﹁火消し﹂のほうが誤っているということもありえる。誰が言っていることが本当か探り当てるのは、ユーザーの判断にかかっている。トップ10どの情報を信じますか？, 岡田有花, ITmedia, 2006年9月4日報道に対する取材対象者の釈明の方が事実でないこともあり、それが最近ではブログで書かれるようになったので無視できなくなっているという話だ。それはよいのだが、その話をするときに、﹁個人のブログなら、自分に有利なことを書いても、第三者に削除されることはまずない﹂という話を付け加えてくるあたりに注意が必要だ。それはつまり、編集を通している組織によって書かれた文の方が通常は正しいのだということを暗に言っているのであり、それは旧来メディアが2ちゃんねる等を蔑んで言うときと同じ構図にほかならない。ちなみに、2ちゃんねるが﹁ごみ溜め﹂かというと、2ちゃんねるは﹁ごみ溜め﹂ということにしておかなければならないものだ。実際にごみ溜めかどうかにかかわらず、世間からの認識が﹁ごみ溜め﹂でなくてはならない。そうでなければあのような自由は発言は許されないのであって、それを承知でごみ溜め環境を維持しているはずだ。*4 ごみ溜めがごみだらけなのは当たり前で、ごみ溜めの中に埋まっている宝を探す人もいるが、ごみの中に入ってまで宝探しするのが耐えられない人は入らない。一方で、外見が立派な建物の中身がごみだらけだったら、それは異常なものとして排斥されるのは当然だろう。

*1 無断リンクの禁止されていない。 *2 旧来より、組織による編集や承認を経て公開される出版物においても、ニュースとコラムのように、責任の重心を組織においた記事と個人においた記事とを使い分けることは行われてきた。1面トップのニュースはたくさんの人に読まれ、3面のコラムは少ない人にしか読まれない。そのはずだから、コラムで多少大胆なことを書いても﹁けしからん﹂と非難されることは起きにくい。そこに自由があり、1面には書けないことが書け、またそれを読みたい人が読むことができた。ところが、ハイパーリンクによってどこからでも平坦にリンクされ得るWebメディアでは、たくさん読まれるかどうかは、トップにあるかどうかではない。どこかからリンクされて注目が集まり始めることによって、マイナーだったはずの記事が大々的に扱われることになる。今や、個人の日記が報道と並ぶこともあれば、報道が日記のようなものになってしまうこともある。 *3 日記を始める前では [memo:4654] があった。 *4 鳥越俊太郎氏の発言がそれを踏まえた上でのものかどうかは知らないが。

本日のリンク元 TrackBacks(100)

2006年09月10日

■ 高度に発展したユビキタス社会ではアクセス制御機能が電気通信回線を通じたものか見分けがつかない

6日の日記﹁ログアウトし忘れのブラウザをそうと知りつつ操作するのは不正アクセス行為に該当するか﹂の、﹁入力﹂は、ここでは、電気通信回線を通じて対象となる特定電子計算機に他人の識別符号を送信することを意味しているから、他人の識別符号を送信する方法として、一々キーボードを操作することは必ずしも必要ではなく、パソコンのインターネット接続ボタンを押す、識別符号が記録されているICカードを差し込むなどにより、自動的に識別符号を送信するコンピュータの機能を用いて入力することも含まれる。不正アクセス対策法制研究会編著, 逐条不正アクセス行為の禁止等に関する法律, 立花書房, p.75 を前提とした続き。 ●メール盗み見事件京都市職員を容疑で書類送検, 京都新聞, 2006年9月8日というニュースが出ているが、こういう話を聞いて、メールを盗み見ることが刑事罰の対象だと思い込む人も少なくないのではないか。 7月にフジテレビの﹁週刊人物ライブスタ☆メン﹂という番組のスタッフから問い合わせを受けた。なんでも、﹁夫の知人女性のメールのぞき見﹂というニュースについて取り上げるが、メールを見ることが不正アクセス禁止法違反なのか？という問い合わせだった。番組では、﹁夫の携帯メールを無断でチェックしたことは？﹂というアンケートの結果を中心に、浮気の証拠を掴むために携帯電話の暗証番号を﹁0101﹂から順に日付の番号を試したという主婦の映像を紹介するという内容になっていた。携帯電話のロック機能としてのローカルな暗証番号︵電気通信回線を通じて暗証番号を送らない︶は不正アクセス禁止法に関係がなく、今回の事件はWebメールだったから問題なんだということを説明したが、なかなか理解がそう簡単ではなかったようだ。ちなみに、番組では、離婚問題に詳しい弁護士が、︵﹁ご主人がIDやパスワードを奥様に教えていないということであると、形式的には不正アクセス禁止法違反ということになるおそれはあると思います﹂と述べた後、︶﹁家庭の平和を守るという夫婦の間では、同居・協力・扶助義務という義務があるわけですけども、不信を持って︵メールを︶見るというのは夫婦間では許される行為なんですね﹂とコメントしていた。その後スタジオで、橋下徹弁護士が、﹁基本的には携帯メールってのは見てもいいんですよ﹂﹁他人でもいいんです﹂﹁携帯メールは信書開封罪の対象ではないので﹂﹁ただ、他人の、サーバの方にアクセスしてしまうと今回のようになってしまうので﹂﹁既に入っているメールを見ることはいいんですけども、送受信のボタンを押してメールを受信してしまうとこれは法律違反になるんですよ﹂と、正しく解説していた。*1 速いテンポだったが、視聴者ははたして理解できただろうか。携帯電話には暗証番号が何種類もある。1つはローカルに使われるだけのロック機能用、もう1つは、iモードやEZweb用の暗証番号。後者の無断送信が不正アクセス禁止法違反になるわけだが、画面上、どっちがどっちなんてわからないだろう。番組ではこれらの区別をせずに、主婦の映像の直後に﹁不正アクセス禁止法違反ということになる﹂という発言を入れていたが、間違われないためには、そうして釘を刺すしかないのだろう。しかし今思うと、送受信ボタンのように認証処理が自動になっているものに慣れてくると、そのメールが本当にローカルにあるものなのか、サーバに取りに行っているものかなんて区別できなくなってくるのではないか*2。EZのメールでは、添付ファイルだけ後で取りに行く機能があるが、そこを他人がクリックすると不正アクセスになるのか？ ……などと疑問が尽きない。いやいやまてよ、iモードやEZwebのメール送受信ボタンの押下が識別符号の送信を含んでいるとするなら、それはサブスクライバIDの携帯電話通信プロトコル下での送信による認証︵？︶なのだから、公式サイトを閲覧した時点でその認証を完了しているよね。ということは、他人の携帯電話でWebを閲覧した時点で不正アクセスなの？エェー？あー、いやいや、課金されてるんだから当然か。︵定額制を利用して久しいので麻痺してくるなあ。︶そうすると、SIPの電話とかも無断で他人のを使うと不正アクセス？？エェー？いやいや、そうではなくて、携帯電話のサブスクライバID︵ないし端末ID︶にせよSIPで使うIDにせよ、それが機器に割り当てられたものなのか、人に割り当てられたものかによって、不正アクセス禁止法の識別符号に当たるかが左右されるわけで、前者の場合は識別符号ではないとされている*3のだから、これらは前者と考えるべきなのか？たしかに端末IDは機器に割り当てられたIDだ*4。電話の課金はサブスクライバIDではなく機器IDで認証されていると見なすと、不正アクセスではないことになって直感に反しないことになるなあ。*5 なぜこんなことになっているかというと、サーバに対して技術的に何が入力されたかで不正アクセス行為が定義されているからだ。ちょうど先日もこんなニュースが出ていた。 ●暴露ウイルス感染者の口座に不正アクセス、同一被害者で2人目の容疑者逮捕﹁山田オルタナティブ﹂感染PCから情報を入手した疑い, INTERNET Watch, 2006年8月24日兵庫県警によれば、容疑者は兵庫県加西市に住む病院職員のPCから、インターネットバンキングのID・パスワードなどの個人情報を取得。これをもとに5月27日、病院職員が口座を持つイーバンク銀行とみなと銀行に1回ずつ不正アクセスした疑い。容疑者は口座にログインしただけで、金銭は詐取しなかったという。︵略︶兵庫県警では、﹁金銭を盗まなくても、他人の口座に不正アクセスするだけでも犯罪行為。不正アクセスを軽く考えないでほしい﹂としている。

*1 ちなみに、携帯電話のメール送受信ボタンって、識別符号を送信している？ *2 まあ、待たされるのでわかるが。現状の通信速度では。 *3 逐条解説p.40に﹁IPアドレスのようにコンピュータ等の機器に付される識別情報は、識別符号に該当しない﹂とある。 *4 サブスクライバーIDは名前からしてそうだが契約者に割り当てられたID。 *5 ありゃー？iモードの場合に非公式サイトに送信するときに使う端末IDは、識別符号じゃないってことになっちゃうの？あーいやいや、そのサイトにおいて端末ID + パスワードで識別符号として使っているときは、識別符号だな。

本日のリンク元 TrackBack(0)

2006年09月12日

■ 「『サイト名と一致しません』という項目のみの警告であれば問題ありません」？

「site:cns-jp.com」で検索すると、33か所の https:// のサイトがヒットする。どうやら、各地の地方銀行が提供している情報サービスのようだ。ところが、このうちのいくつかをクリックすると、SSLの接続で以下の警告が出る。

図1: 現れる警告

警告の出るのは以下の9か所だけ。他は正常に運用されているのが謎だ。 ●https://www.hokkoku.cns-jp.com/ ●https://www.okinawa.cns-jp.com/ ●https://www.hokuriku.cns-jp.com/ ●https://www.gogin.cns-jp.com/ ●https://www.oitabank.cns-jp.com/ ●https://www.hokuetsu.cns-jp.com/ ●https://www.iyo.cns-jp.com/ ●https://www.shinwabank.cns-jp.com/ ●https://www.bugin.cns-jp.com/ 従業員もこの警告を疑問に思っていないということだろうか。証明書の内容はいずれも図2の内容になっている。

図2: 証明書の内容

Betrusted Japan 発行の正規の証明書ではあるようだが、この Subject はいかがなものか。

CN = www.cns-jp.com
OU = cns-original
O = CNS
L = Chiyodaku
S = Tokyo
C = JP

東京都千代田区の﹁CNS﹂？ *1 こんな会社名とも記号ともわからないような名前でも証明書を取れるのか……。もしやまた﹁問題ありません﹂とか書いていやしないかと、﹁セキュリティ証明書の名前が無効問題ありません﹂で検索してみたところ、ぜんぜん別のところがヒットした。 ●独立行政法人製品評価技術基盤機構化学物質排出把握管理促進法よくある質問︵インターネット方式︶Ｑ1．ログインしようとすると、セキュリティの警告ウィンドウが出てきます。Ａ1．下の画面のように、﹁セキュリティ証明書の名前が無効であるか、またはサイト名と一致しません。﹂という項目のみの警告であれば問題ありませんので、はい(Y)を押してください。

問題ないわけがない。︵~~証明書の内容を見るならまだしも*2。~~︶訂正*3 この警告が出る原因は、なぜか﹁https://202.241.xxx.xxx/﹂と数字IPアドレスのURLにアクセスする︵アドレスバーを隠しながら︶ようになっているためのようだ。せっかくVeriSignから証明書を買っているのに持ち腐れだ。 15408には適合するのだろうか。

*1 CNS で検索してみると﹁地銀ネットワークサービス株式会社﹂という会社が千代田区にあるらしいことはわかったが、これと関係あるかどうかはわからない。 *2 ~~﹁信頼された証明機関から発行されています﹂の場合ならば、証明書の中身を見ることに意味がある。~~ *3 証明書の中身を確認しても駄目。確認した後、次のアクセスのときに通信路上で別のインチキ証明書に差し替えられる攻撃があり得て、ブラウザがそのときにはもう警告を出さない実装になっている。︵たしか。︶

本日のリンク元 TrackBack(0)

2006年09月13日

■ 三井住友銀行、「雨やどり」「お風呂あがり」で検索のテレビ広告で便乗フィッシングの危機（被害防止用エントリ）

三井住友銀行のテレビCMで、﹁雨やどり﹂﹁お風呂あがり﹂で検索させるシーンが放映されているらしいが、現時点で、検索結果の上位に登場するサイトは﹁雨やどり﹂﹁お風呂あがり﹂のどちらも三井住友銀行の本物サイトではない。﹁雨宿り﹂﹁あまやどり﹂﹁お風呂上り﹂﹁おふろあがり﹂も同様だ。 Googleで﹁雨やどり﹂で検索した1番目は、現在のところ、露骨な性描写を含む二次元児童性愛倒錯ゲーム*1のサイトになっている。2番目以下もマイナーなページばかりだ。ちょっとしたドメインのページに三井住友銀行を装った偽サイトを作成されると、それが上位に出てきかねない。そのような偽サイトによる詐欺の危険性を低減するため、この日記が先に読まれることを期待し、次のとおり書いておく。

初めて訪れたサイトが、どこかからのリンクで辿り着いたのなら、そこに個人情報を送信したり、パスワードを送信するのは思い止まったほうがよい。たとえ、画面のデザインやロゴが本物っぽくても、それは丸ごとコピーされた偽サイトかもしれない。本物かどうかは、アドレス欄の﹁ドメイン名﹂部分が本物と同じになっているかを確認することで判別できるが、初めて訪れたサイトの場合は、どんなURLが本物かをまだ知らないはずだ。銀行であれば、通帳やキャッシュカードに書かれたURLと見比べるのがよい。それができない場合は、﹁雨やどり﹂とかではなく、銀行の正式名称で検索すれば本物サイトに辿り着ける確率は比較的高い。三井住友銀行の本物サイトは http://www.smbc.co.jp/ にあるが、もしあなたが私のこの日記を今初めて見たのなら、これを信用してはいけない。私がこのように書いていることが嘘で、偽サイトに誘おうとしている可能性を疑うべきだ。

ところで、﹁雨やどり﹂で検索したときに三井住友銀行へのリンクがどこに出るかというと、右側のスポンサー枠に﹁三井住友銀行特設サイト﹂と出るだけで、﹁雨やどり﹂の文字はない。普通、﹁雨やどり﹂と入力して検索した直後は、﹁雨やどり﹂の文字を探してリンクをクリックしようとするだろう。端っこのスポンサー枠にわざわざ目をやって、﹁三井住友銀行特設サイトネットバンキングなら三井住友銀行。便利な活用法をわかりやすくご紹介。﹂という文を見て、﹁ああ、ここに行けってことなんだね﹂と気づくのは、他にめぼしいサイトがないと気づいた後だ*2。もし検索結果のトップに﹁三井住友銀行雨やどりキャンペーンCMソング無料ダウンロード中！﹂というタイトルのページが存在すれば、そっちが先にクリックされてしまう。この広告手法がもたらす危険性は、富士通の﹁地底人の秘密﹂のときに既にあちこちで話題にされていた。このときは、既に本物サイトがトップに出る状態になっていたし、仮に富士通の偽サイトが登場したところで、たいして悪用されようがないからまだよかった。正直、キーワードSEOコンテスト気分で実験も兼ねて注意喚起するという面があっただろうが、今回は、よりによって、インターネットバンキングの新規申し込みを誘う広告だ。しゃれにならない。いくら三井住友銀行が﹁簡単！やさしいセキュリティ教室﹂でフィッシング詐欺から自己防衛する策を説いていても、それは既に本物サイトを知っている人にしか読まれない。今回のテレビ広告は、口座を持っているけどまだインターネットバンキングを申し込んでいない人を誘うのが目的なのだろうから、視聴者のネットリテラシに期待できない。ではこうしたテレビ広告はどうあるべきか。﹁smbc.co.jp﹂の文字列をどーんと放映して覚えてもらうというのが最も正しいが、アルファベットに見向きもしない人を誘いたいというのであれば、﹁三井住友銀行﹂で検索させるべきだろう。トップページにも﹁CMソング&楽譜無料配信中♪﹂というバナーで今回のキャンペーンページへのリンクはあるのだから、それでいいはずだ。なのになぜ﹁雨やどり﹂とかで検索させるのか。CMの効果を測ろうとしているのか。銀行サイトを見に来てもらうことよりも実はキャンペーンサイトを見てもらうことが第一なのか。広告会社のための広告になってしまってはいないか。

*1 いわゆるエロゲ。 *2 キーワードを入れて広告枠に何が出るか見る――などということを一般の人はしない。広告屋の人には日常なのだろうが。

本日のリンク元 TrackBacks(9)

2006年09月18日

■ 刑法18章の2「支払用カード電磁的記録に関する罪」は何のためにある？

●ETC車載器付け替え、料金詐欺で運転手を逮捕, 読売新聞, 2006年9月17日埼玉県警は17日、︵略︶を電子計算機使用詐欺の疑いで逮捕した。というニュースを見て、けったいな刑法学者さまの7月のエントリを思い出した。平成13年の刑法改正により、支払用カード電磁的記録に関する罪︵163条の2ないし163条の5︶が新設されました。これにより﹁支払用カード﹂の不正作出、供用、譲渡，貸し渡し、輸入、所持、不正作出の準備等が処罰されることになりました。︵略︶SuicaやEdyも、電磁的記録を構成部分とする支払用カードです。では、モバイルSuicaやおサイフケータイは、本罪の対象となるのでしょうか。携帯電話は﹁カード﹂か？, 続・けったいな刑法学者のメモ, 2006年7月21日けったいな法学者さまはこの続きで、刑法18章の2では﹁カード﹂という言葉が用いられていることから、カードの形状をしていない携帯電話まで対象とする類推解釈は許されないのではないかと考察なさっている。そうすると、携帯電話に組み込まれたICチップに記録された電磁的記録の情報を取得したとしても、これを163条の5により処罰することはできなくなります。つまり、SuicaやEdyに関していえば、携帯電話に内蔵されたものから情報を取得して、携帯電話に不正作出するときは、犯罪を構成しないことになります。これを回避するには、﹁カード﹂に携帯電話を含むという解釈をとるか、立法的な解決が必要です。携帯電話は﹁カード﹂か？, 続・けったいな刑法学者のメモ, 2006年7月21日しかし、携帯電話だけ追加してもだめだ。同じ周波数の電磁界振動を発生させられる電気コイル*1*2であればどんな形状のものでも、同じことができてしまう*3。ユビキタス前社会における支払い用カードは、店員に渡すか機械に挿入して使用するものであったため、支払いを請求する者が、提出されたその有体物が一定の形状を成していることを確認するようになっていた。そのため、刑法では﹁支払い用カード﹂の偽造等を処罰することとしたのだろう。それが、高度ユビキタス化社会の進行によって、有体物としての形状の確認の作業を支払い請求者たちが放棄してしまった。事実、Suicaの使い方は、改札機にかざすときだけでなく、コンビニエンスストアで店員の目前で支払いに使うときでも、財布に入れたまま装置の上に置くのが通例になっている。財布の中に実は電気コイルが入っているだけということも起こりかねない。立法的な解決を図るとしたら、﹁電磁的記録﹂の概念のほかに、電波信号そのものを法で扱うことになるのだろうか。しかし、昨日のETCのニュースによると、電子計算機使用詐欺の容疑で立件する様子だ。ETCのシステムはまさに、支払い用カードの形状を全く確認しておらず、自動車の方向から応答してくる電波信号の内容によって支払いの処理をしている。電子計算機使用詐欺罪で処罰できるならそれでいいのではないかとも思えるのだが、これも本来は支払用カード電磁的記録不正作出罪︵ないしそれを改正したもの︶を適用できるようにしないといけないのだろうか。だとすると、それはどんな理由からだろうか。刑法18章の2は、偽造カードを使った場合だけでなく、作る行為を処罰するものとしているし、さらには所持したり譲り渡す行為等までをも対象としている。電子計算機使用詐欺だけでは、作る行為やさらにその準備行為などを処罰できない。なぜこれらの行為は処罰されなければならないのか。有価証券偽造罪における有価証券や、文書偽造罪における文書は、元々技術的に容易に偽造可能なものであった。同様に、磁気ストライプ方式の支払い用カードも偽造が技術的に容易だ。そして実際問題として、これら支払い用カードを偽造する行為やその準備行為が横行してどうしようもないという現実がある︵あった︶。法律の素人の目からすると、そうした理由から処罰は必要であるように思える。他方、有体物としての形状を問わない支払い方式︵非接触型︶である SuicaやEdy、ETCなどは、それなりの技術によって、支払い処理を誤らせるような不正な電波信号の作出が困難であるようにされている︵はずである*4︶。では、技術的困難性をもって、不正作出まで処罰する必要はないということは言えるだろうか。日本の刑法体系に基づく法理論上ではどうなのか*5。非接触型の支払い方式を導入した人たちは、偽造防止までが法によって保護されないことを承知しているからこそ、技術で解決できるまで導入をしなかった……のかもしれない。もし、非接触型の支払い処理を誤らせる装置全体を刑法18章の2の対象にするとすると、それはまた厄介なことになる。まず、形状は任意であるので、ISO/IEC 14443準拠の通信が可能な回路は皆該当し得る。不正な行為に使えるかどうかは、それを制御するプログラムしだい、あるいは、行為者がどのプログラムの実行を選択するかしだいということになる。実行するプログラムを行為者が選択するまでその装置が何をするか確定しない装置は、作っただけで偽造と見なすわけにはいかないのではないだろうか。*6 というよりも、磁気ストライプカードを製造する行為の全部が刑法18章の2に抵触するわけではない︵たとえば、会社の電気錠を開錠する磁気ストライプカードの作成など︶わけであるから、非接触型の支払い処理を誤らせ得る装置自体を違法な物として扱うようにするのは変だ。刑法163条の2に書かれていることは、カードの製造ではなくて、︵カードを構成する︶電磁的記録の作出である。つまり、クレジットカード番号や、キャッシュカードに記録された情報︵口座番号とチェックディジット︶をカードに記録したものがその電磁的記録だ。そうすると、非接触型の支払い処理システムでは何がそれに該当するのだろうか。磁気ストライプカードでは、カードリーダがカードから読むデータは固定の値であった。それに対し、︵技術的対策のされている︶非接触ICカードがリーダに送信するデータは、暗号プロトコルによって常に異なる値となるようになっている。したがって、非接触ICカードがリーダに送信するデータを指して、偽造罪の類推で不正作出という言い方は変ではないだろうか。では次に、暗号処理されているとはいえ復号処理によって元の固定の値が得られるのであり、支払い処理を誤らせようとすれば、誤らせるのに使用するIDないし属性情報を装置内に電磁的記録として作出することになるのだから、その部分を指して不正作出であるという言い方は妥当だろうか？ところが、技術的対策のとられた非接触型支払いシステムでは、それらの情報は秘密情報として扱わないのが慣例となっている。むしろ、そのID番号を他の目的でも便乗利用しようというのが﹁ユビキタス社会﹂の方向性となっている。 ●Edyナンバーはどのように使われるものか, 2004年7月11日の日記 ●許諾なしに公表されるEdyナンバーとSuica番号, 2004年7月11日の日記けったいな刑法学者さまは、たとえば、163条の2は、人の財産上の事務処理の用に供する電磁的記録であって、支払用カードを構成するものを不正に作る行為を処罰の対象にしています。この場合、カードを構成する﹁電磁的記録﹂は磁気ストライプやICチップに記録された電磁的記録をいうことにも争いはないでしょう。とおっしゃるけども、ICチップに記録されたEdy番号やScuia番号は、公開情報であり、163条の4の﹁第163条の2第1項の犯罪行為の用に供する目的で、同項の電磁的記録の情報を取得した者は﹂が想定している、クレジットカード番号の取得や、スキミングにより得られるデータの取得と同様に、取得を処罰するというのもおかしな話になってくるのではないか。そうすると、非接触型の支払い処理システムが採用している技術的対策が万全であれば、そもそも不正は起きないところ、不正が起き得るとすると、技術的対策が万全でないということであり、何らかの原因で何かの暗号鍵が取り出されるなどして、支払い処理を誤らせることが可能になるのだから、そのような鍵ないしそれに類する情報を電磁的記録として作出する部分を﹁偽造﹂とするのが妥当なんだろうか……。支払い請求者たちが有体物の確認を放棄してしまった以上、偽造罪に倣って延長するというのは無理があるのではないかという気もするが、どうなんだろうか。

*1 およびそれに接続された電子回路で必要な変調信号を発生させるもの。 *2 Sucia以外に目を向けると、使用する周波数によっては、アンテナ︵一本の導線︶の形状で使えてしまう。 *3 可能性がある。 *4 一部、疑問のあるものもあるが。 *5 たぶん、法律の専門家は﹁技術的困難性は関係ない﹂と言うように思える。 *6 米国の話として一昨年こんな話題があった。 ●どんなカードにも変身できる﹃カメレオン・カード﹄, WIRED NEWS, 2004年3月5日カメレオン・カードの黒い帯状の部分にはプログラム可能な﹁変換器﹂が隠されており、置き換えるカードの磁気ストライプに記録された情報をこの変換器が模倣する。カードのプログラムの書き換えには、カメレオン・ネットワーク社の新しいハンドヘルド機﹃ポケット・ボールト(画像)﹄を使う。利用者が決済に使うクレジットカードをポケット・ボールトで選択すると、そのカードの役割を果たすようにカメレオン・カードにプログラムが書き込まれる。日本ではこれは法的にどうなのだろうか。

本日のリンク元 TrackBack(0)

2006年09月21日

■ 「リンクお断りは普通」と人の心に種を蒔くAC

●公共広告機構ACがハンドルネームで運営のサイトからのリンクを固くお断り, スラッシュドットジャパン, 2006年09月17日現時点で公共広告機構の﹁本サイトについて﹂には以下のように書かれている。 1．リンクについて本サイトへのリンクは、原則お断りいたします。特に以下のリンクは固くお断りいたします。 ●当機構の活動等を誹謗中傷、信用を毀損するおそれがあるサイトからのリンク ●公序良俗に反する内容を含んだサイトからのリンク ●違法なコンテンツを掲載したり、違法な活動に関与した、または関与した可能性のあるサイトからのリンク ●フレームやその他の方法で、本サイト・コンテンツであることが不明となるリンク ●サイトの管理・運営者が不明、またはハンドルネーム等により運営されているサイト、 ●あるいは代理運営されているサイトなどからのリンクまた、本サイトをリンク先とするサイトであっても、そのサイトを運営する個人・団体との特別な関係は無いとともに、当該サイトを公共広告機構が推奨するものでもありません。本サイトについて, 公共広告機構これは電話で問い合わせるのが効果的と予想されるケース*1なので電話した︵19日午前︶。直接﹁ホームページ担当﹂の方とお話しすることができた。メモを取りながら話した。やり取りは概ね以下のようになった。既に他からも電話があったのか、あるいは、スラッシュドットで話題にされていることを知らされていたのか、会話の途中で何度も、﹁こういうのは良くないということでしょうか？ご意見をお聞かせください﹂と割り込まれた。このような場合、意見の結論だけ言っても問題の根本が理解されないまま、﹁批判が多い﹂とかいう多数決的な判断しかされないという懸念があるので、意見を述べるという電話方法は効果的でない。質問をして先方の考え方を確認するという方法がよい。幸い、真剣に質問に答えてくださる相手だったので、予定通りに話は進んだ。

私: ﹁本サイトへのリンクは原則お断りいたします﹂とありますが、なぜお断りなのでしょうか？ AC: こちらの掲載しているコンテンツの関係で、1年ごとに展開しているものは年間の契約という形での掲載であるため、こちらのホームページ上の掲載も契約をしている関係でコンテンツがかわっていくということがございまして、基本的にはお断り申し上げているわけです。おそらくおっしゃりたいのは、こういう方針はよくないというご指摘なんだと思いますが、どういった点がご不満でございましょうか。ご意見をお聞かせください。私: どこからならリンクしてかまわないのですか？ AC: こちらと関係している場合、たとえばそのー、広告と関連している方々、会員会社の場合はリンクを張っていただくこともございますが。私: ﹁年間の契約という掲載であるため﹂とのことですが、契約期間が過ぎると閲覧できないようになるんですよね。そちらがそのように削除なりなさるんすよね？ AC: はい。私: であれば問題ないと思いますが？ AC: そういった場合も、変更になったということもございまして、リンク先の方々…… 私: リンク先？？ AC: ……リンクをしていただいている方との連絡もできませんので、こちらで把握している方とのリンク以外はお断りしているところです。私: たとえば、私がそちらのコンテンツにリンクしてですね、契約期間が過ぎてですね、見えなくなったとか、場所が変わったとかあってもですね、べつに、連絡いただきたいとは思わないのですが。 AC: そういう方もいらっしゃるでしょうし、そうでない方も。今までの経験から、ご迷惑がかからないような形をとっているのです。私: 通常、色々なところへリンクしたときに、連絡なんてもらったことがありませんし、それが普通だと思うのですが。リンク先がなくなると苦情がくるんですか？ AC: そういった場合もあるかと。私: べつに放置しておけばよいのでは？ AC: そういう場合もありますので。これまでの経験から。私: 実際にあったんですか？ AC: 私どもの内部的な情報ですので、お伝えできることとできないことがあります。問題があるということでしたらぜひご意見を頂戴したいのですが。私: 意見を言うつもりはありません。質問にお答え頂ければ、あとはご自身の頭で考えていただくことでおのずと結論がでるはずですので。それで、何のためにWebサイトを公開しているのですか？ AC: 相互リンクを、リンクを張るということを念頭においてWebを公開してるわけではないです。私: 相互リンク？？ AC: 間違って言ってしまいました。リンクを想定してWebを公開しているわけではないということです。私: リンクを想定していないというのはわかりましたが、何のために公開しているのかと尋ねているのです。見て欲しいからじゃないんですか？ AC: 公開しているわけですから見ていただきたいというのは、お話しするまでもないと思いますが。私: ﹁このコンテンツを見て欲しい﹂というときどうすればよいですか？ AC: リンクをはらなくてもできると思います。私: ほほう。どうやって？ AC: たとえば検索エンジンで探せばよいですし。私: 検索エンジンからリンクされているのでは？ AC: 各サイト上でのリンク設定をするかどうかの問題ではないかと。私: 検索エンジンからのリンクはいいわけですか？ AC: 検索エンジンに関しては、こちらにリンクをかからないようにしているわけではない…… 私: いいわけですか？ AC: そうですね。私: では、私がですね、私の個人サイトに検索ページを設けてですね、検索結果からリンクするのは、それはかまわないんですか？ AC: ……………。こちらの方で、固定した…… 私: お断りではない？ AC: 検索という形であれば問題ないということになります。固定的にリンクされるわけではないのですし、閲覧した方がそちらのサイト上の検索エンジンを使われて公共広告機構というキーワードでつかわれて検索された場合には、こちらのほうに検索としてあがってくるだろうということをおっしゃっているのでしょうが、検索エンジンという機能を否定するわけではないので、否定するものではありません。私: ﹁本サイトについて﹂に、検索エンジンはリンクしてよいと書いてないですね。 AC: そうですね。私: 書かないんですか？ AC: そうですね、まー、検索エンジンを想定しておりませんでしたので。リンクフリーといった場合は、通常あるようなサイト上のページの、固定して常時URLを飛べるようにしていることを考えているわけでして、そういうことを想定しているだけですので。私: でも、検索エンジンの結果からそちらへリンクされているのは、まさにリンクですよ。書かないんですか？というのが質問です。 AC: 内部で検討したいと思います。私: リンクしてあったものがある日消える不便さと、そそもそもリンクできないことの不便さと、どっちが大きいですか？ AC: それぞれの判断によると思いますので、個人的な見解を述べることはできませんので。私: で、リンクをお断りしている理由は、消したときの連絡ができない、それだけなんでしょうか？ AC: リンクフリーにするか、許可願いを出していただく方法にするかということは検討しました。当方の人員が不足していることもあり許可制にするのは難しいということで、現在はそのような判断をしています。私: 検索でトップページはみつかるかもしれません。では、﹁これが面白いからみんな見てよ﹂と紹介したい場合にどうすればよいんでしょうか。それを教えてください。 AC: どなたかが思われた場合ですか？私: 私がですね。 AC: リンクしたいというお考えをされるということでしょうか。私: そうですね。 AC: リンク設定をする場合に特定のページに直接リンクするということは、基本的には断られているホームページが多いと思いますが私: 少ないですね。 AC: 少ないですか？あるとおもいますが。私: たとえばどこですが？ AC: えーと……。私: 多いとおっしゃるなら例えばどこですか？ AC: ……………。私: 思いつかないですか？ AC: そうですね。私: このコンテンツを人に紹介したいと。﹁面白いよ﹂と。どうすればよいですか？ AC: 私でしたら、トップページを紹介して、どこどこにあると伝えるかもしれません。私: 例えば、﹁人のココロにタネをまく。﹂という作品がありますが、このコンテンツを人に紹介したいとき、どうすればよいですか？ AC: ﹁メインメニューの中のキャンペーンの中にある﹂と。私: それでわかるんですか？ AC: キャンペーンの概要の中の、本年度自主キャンペーン全国の中にある。私: ﹁メインメニューの中のキャンペーンの中のキャンペーン概要の中の本年度自主キャンペーン全国の中にあるよ﹂と紹介しなければならないのですね。その前にトップページを紹介しなければいけないんですが、どうやって？ AC: ああなるほど。……。ああ、そうですね。私: 検索するんでしょ？ AC: ご指摘の意味がちゃんとわかってきました。URLを伝えるということ自体がリンクを意味するということですよね。私: ……。 AC: リンク設定をしているということは、URLを伝えるということと同じなのですね。私: リンクしていいんですか？ AC: お断りしているわけですが…… 私: URLを口頭で言えということですか？ AC: そうなってしまうことになります。そうですね。口頭であれ、URLは周知のことであれ、リンクボタンは同じことということですね。ご指摘はよく理解できたと思いますので、社内で検討させていただきます。私: 指摘なんかしてないですよ。 AC: ご質問をいただいたことは事実ですね。私: 個別のコンテンツにリンクすることはまかりならんとあるのだから、﹁公共広告機構で検索して、トップページのメインメニューの中のキャンペーンの中のキャンペーン概要の中の本年度自主キャンペーン全国の中にあるよ﹂と言わないといけない？ AC: 今の場合はそうっなってきますね。私: ところで、どういう理由でリンクをお断りとなさっているのか、先ほどうかがったところでは、リンク先がなくなるかもしれないから、そのとき連絡できないからとのことでしたが、それは変ですね。トップページがなくなることはないのですから、トップページへのリンクもお断りとしているのは、他に理由があるのでは？ AC: ないんですよ。私: でもいろいろ書いてありますね。﹁当機構の活動等を誹謗中傷、信用を毀損するおそれがあるサイト﹂とか﹁公序良俗に反する内容を含んだサイト﹂からのリンクを特に固くお断りとしていますね。 AC: まったく別の意味合いで、作品が別の文脈の中で紹介されてしまうことで、キャンペーン作品自体の意味が変わってしまうというのは、できればこのメッセージは私たちの考えているように発信したいと考えているので、できれば避けたい。こちらのお願いでして、法律はありませんので、お願いです。私: 批評するなということですか？ AC: いえ、そうではなく、あ、そうではなく、それを言ってしまうと難しい問題になってしまうと思いますが、できればそういった方向に持って行きたい。私: ならば、そう書けばよいのでは？﹁紹介しないでください﹂と。なぜそう書かないんですか？ AC: ……。私: リンクしなくても、先ほどのように﹁メインメニューの中のキャンペーンの中のキャンペーン概要の中の﹂と言って、﹁面白いのがあるから見て﹂と紹介することはできちゃうわけですよ。﹁違う文脈﹂の中で紹介できるわけですよ。 AC: そうですね。私: リンクがあるないは関係ないわけです。﹁本サイトの紹介は原則お断りします﹂というのが本当の意図なのではありませんか？ AC: 理解できましたので、社内的に検討させていただきたいと思います。私: まだ他に理由があるのではないですか。﹁本サイトをリンク先とするサイトであっても、そのサイトを運営する個人・団体との特別な関係は無いとともに、当該サイトを公共広告機構が推奨するものでもありません﹂と書いてあるわけです。これが理由じゃないんですか？ AC: …………。私: つまり、リンクされると関係があると思われると思ってらっしゃるということですか？ AC: そういった場合も発生すると思うのですが。私: 本当に起きているのですか？ AC: そこまでは社内のことですのでお伝えできません。私: そういうことがあるから、誤認されるから、リンクを断っているんじゃないですか？ AC: 似たような活動をされている団体もございますから、考え方の同じでない団体からリンクされた場合に、利用されてしまうということもあります。違法な活動をしているところからはご遠慮いただきたい。私: では、リンクをしないで、﹁公共広告機構﹂という文を書くだけだったらいいですか？よその団体にですね、いろいろな団体の名前がなんとなく書いてあって、そこに﹁公共広告機構﹂の名前が文字でですね、書かれていると。それはいいんですか？ AC: こちらがわかりしだいご指摘させていただいているところです。全部はできませんけども。私: そうでしょう。インターネット以前に従来のパンフレットとかでも、そういう誤解を招くような記述があれば、やめてもらうよう指摘してきたんですよね？それと同じですよね？﹁本団体と関係のあるかのような記述をしないでください﹂と書けばいいんじゃないですか？ AC: ええ、そうでうね。…………………。私: つまり、リンクはまったく関係ないですね。 AC: リンクについて書くこと自体間違っているというご指摘でしょうか。私: リンクについては何も書かなくてよい。にもかかわらず、なぜかあなた方は書いている。その理由はなんですかと聞いているだけです。あなた方の本当の願いは何ですか？ 1. コンテンツがが消えることがあるが連絡しないのであしからず。 2. 作品の意図を損ねるような紹介をしないで。 3. 当団体と関係あるかのような形で名前を出さないで。ということが本当の願いなんじゃないですか？ AC: そうですね。私: リンクを禁止しておけば、それを言わなくて済むと、そう思ってらっしゃるんではないですか？ AC: …………。私: 本当の願いをズバリ書くのと、リンクを禁止することで間接的に願いを実現するのと、どっちでもいいということなのかもしれませんが、リンクが禁止されてしまうと不便なわけですね。善良な人達に不便をかけてまでそちらを選択するのですか？ AC: 趣旨は理解しましたので社内で検討します。

今回のやり取りの中で、先方の意識が透けて見えてくる興味深い発言が何か所かあった。 ﹁相互リンク﹂と思わず口走る ―― リンクといえば相互リンクのこととしか思い浮かばない担当者というのがいる。そのような担当者は、リンク集のようなページから勝手にリンクされたくないと考えてしまう。役所や某公的研究所のように、自分達は信用度が高くなくてはならないと思っているところがそのような発想をする。それが言いたいのなら、﹁リンク集からリンクしないで﹂という規約にすることもできるだろう。あるいは、﹁相互リンクお願いします﹂みたいな依頼メールが来たときに、断るのに嫌な思いをしたということがあるかもしれない。そんなのは単に無視すればよいだけなのに、まじめに扱おうとする事務員が、事前にお断りしておきたいがために﹁リンクはお断り﹂としてしまう。相互リンクが嫌なら、﹁相互リンクのお申し出はお断りしています﹂と書けばよい。以前はそういうことを書いているところもあったが、最近は当たり前すぎて恥ずかしいので書かないようになってきている。 自分はリンクしたことがない ―― どうやって知人に紹介しますかと問い詰めると、﹁ああ﹂とやっと何か気づいたらしいという今回の結果。サイト作りに携わったIT担当者でも、自サイト内で閉じたコンテンツしか作っていなければ、素人同然のままということもある。 ﹁リンクフリーにするか検討した﹂という ―― ﹁リンクフリー﹂﹁リンク許可制﹂﹁リンクお断り﹂の3つの選択肢が世の中にはあって、運営者はどれにするかまず決めるものだ、と先方は思っていたらしい。許可制は対応できないので不採用、リンクフリーは責任をもてないから不採用、消去法で﹁リンクお断り﹂と事務的に決められているっぽい。そもそも﹁リンクフリー﹂などという言葉が存在するのが有害だ。﹁当サイトはリンクフリーです﹂などと書いているサイトがあると、﹁うちはリンクフリーにはしない﹂という発想を誘発してしまう。﹁当サイトはリンクフリーです﹂という記述を絶滅させることが次のステップとして必要だ。 ﹁ディープリンクを禁止しているサイトが多い﹂という認識 ―― かつて新聞社の大半がそうした規約を掲げていた。それが、﹁そうするのが当たり前なのだ﹂、﹁皆がやっているのだからうちもやるよ﹂という感覚を生じさせているのだろう。新聞社がそうしていたのは経済的利益の都合という別の理由があったわけで、公共広告機構には不必要な理由であるにもかかわらず、規約だけが真似される。その他、﹁リンクされると関係があると思われると思ってらっしゃるということですか？﹂の部分は、もう少し質問を続けたかったのだが、先方はそこまで考えていない様子だったので続けられなかった。つまり、よそのサイトに単に﹁公共広告機構﹂と文字を書かれることと、リンク付きで書かれることには違いがあって、﹁リンクされているからには関係があるのだろう﹂と読者が思ってしまうことを避けたいという考え方がある可能性について追求したかった。もしリンク許可制が当然な世の中になると、それこそ﹁リンクされているからには関係があるはずだ﹂と読者が思う世の中になるだろう。そのような世の中は、詐欺師達にとって都合のよい世界だ。許可をとらずに勝手にリンクすれば読者がそれを信じてくれる。過去から現在までの常識では、﹁リンクされているからといって関係があるとは限らない﹂と読者は考えるべきであり、その常識を維持するためには、リンク許可制が拡大することをくい止めなくてはならない。以前、ある組織に対してそれを言ったところ、﹁読者は皆が高木さんのように詳しいわけじゃない。リンクがあるだけで関係があると思ってしまう人もいるんですよ。﹂という返事だったが、それを懸念して自分のサイトをリンク許可制にするのは、短期的な都合でしかなく、長期的には自分の首も絞めることになる。そこまでわかっていながら、それでもなお、﹁リンク許可制が当然な世の中になるのはまずいが、今のところそれは大勢ではないので、うちのサイトだけ許可制にしても問題ない。﹂などとするのは、エゴ丸出しの身勝手な行為だ。

*1 これまでのいくつかの事例と比べると、最高裁判所の事例は、電話しろとされていたので、皆でその通り従うだけで問題が理解されるという特殊事例だった。電通の事例は、たぶん電話してもまともに取り合ってもらえない。岡山県警と栃木県警の事例は、電話しても会話のできる人につなげてもらえないと予想する。北国銀行の事例は、「不正競争防止法違反になるとのことだが何条違反ですか？」と尋ねただけで一発で解決した（実際に電話した）という紹介するまでもない特殊事例。北九州市と仙台市の教育委員会の事例は、電話しても会話が成り立たないと予想する。

本日のリンク元 TrackBacks(18)

2006年09月23日

■ 会社のポリシーは会議室で決めてない、現場でコピペしてるんだ

すごいタレコミがあった。東芝テクノネットワーク(株)の「サイトポリシー」と東芝テクノシステム(株)の「サイトポリシー」にすごいことが書いてある。

図1: 東芝テクノネットワーク(株)の「サイトポリシー」

リンクについて ※御社の規定によって下記の2つよりお選び下さい。 ︵事前の連絡不要の場合︶ このウェブサイトへのリンクは原則として自由です。ただし、途中のページやページ内のコンテンツそのものにリンクを張ることや、当社が不適当と判断するホームページからのリンクはお断りすることがあります。 ︵事前の連絡必要の場合︶ 事前に当社からの文書による承諾を得ない限り、このウェブサイトへリンクをはることはできません。このウェブサイトへのリンクを希望する場合は、必ずリンク元のURL、当社ホームページの希望リンク先のURLをこちらへご連絡ください。リンクの際のURLは、︵http: //www.toshiba.co.jp/tcn/︶を基準に東芝テクノネットワーク株式会社のウェブサイトである旨を明示してください。なお、このウェブサイトへのリンクとして相応しくないと判断した場合は、リンクをお断りすることがあります。東芝テクノネットワーク(株)の﹁サイトポリシー﹂これは……いったい？﹁御社﹂って読者のこと？いや、この場合﹁御社﹂とは東芝テクノネットワークのことを指すのだろう。つまり、﹁お選び下さい﹂と言っているのは、このサイトの運営者がではなく、このサイトのデザインテンプレートを作成したWebデザイナーが言っているのだろう。東芝テクノはそれをそのまま掲載したわけだ。プギャー *1 二者択一かよ。しかも、この文書にあるフレーズで検索してみると、同じ文章が大量に増殖して世に蔓延っていることが観察できる。 ●﹁途中のページやページ内のコンテンツそのものにリンクを﹂で検索 ●﹁事前に当社からの文書による承諾を得ない限り﹂で検索会社のポリシーは会議室で決めていない。コピーして使いまわせば完了。理由を訊かれたら後付で辻褄合わせればオーケ。リンク許諾制やディープリンク禁止方針の汚染源はWebデザイナーではないかという、これまで憶測で語られてきたことの傍証が発掘されたと言えよう。類似事例: ﹁事業の内容および規模を考慮﹂で検索

■ 追記（24日）

はてなブックマークコメントに、他にも同じサイトがあるとのコメントがあった。

図2: (株)ユニテックの「当サイトへのリンクについて」

これは、読まずにコピーを掲載したのではなく、読んだ上で修正してこの内容にしたのだと推察される。﹁︵事前の連絡不要の場合︶﹂が、﹁事前の連絡が不要な場合﹂へと、読者向けの文に改められているように見える。もうひとつ興味深いのは、﹁リンクの際のURLは、︵URLが入ります︶を基準に株式会社……﹂という部分だ。この括弧書きは、掲載するサイトのURLに書き換える部分なのに、そうとは気づかなかったようだ。﹁ＵＲＬが入ります︶を基準に﹂で検索してみると、同じミスをしているところが1か所見つかる。﹁を基準にのウェブサイトである旨を明示してください﹂で検索すると、URLには書き換えたものの、括弧を削除し忘れているサイトがたくさん見つかる。よく見ると、東芝テクノの﹁サイトポリシー﹂にもこの括弧が残っていた。いったいどこが用意したテンプレートなのだろうか。水無月ばけらのえび日記﹁Web屋が無断リンクを禁止する?﹂にて、 Web 屋が他人のポリシーを決めることはないと言いましたが、中には﹁Webは分からないんでサイトポリシーも御社で考えてほしい﹂というご依頼をいただくケースもあります。︵略︶ディープリンク禁止はほとんどの場合デメリットにしかならないと思いますし、Webのプロであれば皆このあたりは理解しているはずです。ですから、私はそのような文言を用意したのが Web のプロだとはとうてい思えないのです。とあった。さあどうですかね。私も過去に2度ほど発注側の立場で軽く関わったことがあったが、プライバシーポリシーのテンプレートが付いてきて破棄したのは確かに覚えている。トップページの下部にはフッターとして、﹁プライバシーポリシー﹂、﹁著作権について﹂、﹁リンクポリシー﹂が並んでいた記憶がある。トップ絵、メニュー、これらポリシーのフッターを用意することがWebデザインの仕事になっているように思った記憶がある。私が言いたいのは、そもそも﹁リンクポリシー﹂などという枠を作るなということだ。デザイン屋がその枠を作れば、サイト運営者は枠に何か入れないといけなくなる。﹁リンクポリシーって何ですか？﹂、﹁﹃リンクフリー﹄と﹃無断リンク禁止があります﹄﹂、﹁じゃあリンク禁止で﹂という流れの源は、枠が作られることにある。ところで、﹁模倣は手法や形態を問わず禁止されています﹂で検索するといっぱいヒットする。当ウェブサイトのデザインエレメント、外観および情報の構造などは、不正競争防止法・商標法を含む各種の法律によって保護され、その複製・模倣は手法や形態を問わず禁止されています。というのだが、情報の構造までもを対象に模倣が手法や形態を問わず法律によって禁止されているなどというのは、本当か？だいたい、本当に法律で保護されているなら、書くまでもないことだろう*2。著作権で保護の対象となるものは著作権で保護されているし、特許、商標に登録しているものはそれらで保護されているし、不正競争防止法で保護されているものは不正競争防止法で保護されているが、著作権でも特許法でも不正競争防止法でも保護していないもの︵情報の構造など︶は保護されていないし、保護されるべきでない。 Webデザイン屋の筆一つで社会通念を変革し得るという、第六の権力が生まれてきたということか。

*1 伝説の渉外監理室がコワいので電話しないよ。ここの音楽の﹁DESPOTIC﹂が好き。 *2 警告として書くのはわかるが、それはポリシーではない。﹁ご利用の皆さまへ警告﹂というタイトルで書いてはどうか。

本日のリンク元 TrackBacks(19)

高木浩光＠自宅の日記

2006年09月01日

■ サイボウズ「闇改修」の件のその後

■ テスト用エントリ

2006年09月06日

■ ログアウトし忘れのブラウザをそうと知りつつ操作するのは不正アクセス行為に該当するか

2006年09月08日

■ ぼくはペコロンの記事が好きだった

2006年09月10日

■ 高度に発展したユビキタス社会ではアクセス制御機能が電気通信回線を通じたものか見分けがつかない

2006年09月12日

■ 「『サイト名と一致しません』という項目のみの警告であれば問題ありません」？

2006年09月13日

■ 三井住友銀行、「雨やどり」「お風呂あがり」で検索のテレビ広告で便乗フィッシングの危機（被害防止用エントリ）

2006年09月18日

■ 刑法18章の2「支払用カード電磁的記録に関する罪」は何のためにある？

2006年09月21日

■ 「リンクお断りは普通」と人の心に種を蒔くAC

2006年09月23日

■ 会社のポリシーは会議室で決めてない、現場でコピペしてるんだ

■ 追記（24日）

2006年09月30日

■ 三井住友カードのCAPTCHA風無意味画像は月替わり？

最近のタイトル