高木浩光＠自宅の日記(2006-10)

2006年10月07日

■ 「無断リンクは禁止とします」について栃木県警に聞いた

今年もネットワーク・セキュリティ・ワークショップin越後湯沢︵今日の昼まで開催︶に行ってきた。毎年、各都道府県警察の情報技術犯罪の捜査に携わる警察官の方々の参加がある貴重な交流の場だ。例年通り、夜の車座会議には警察関係の会場が設けられ、今年もそこに潜入したが、今年はいつになく警察以外の参加者との議論が活発になった。ところでそれとは何ら関係ないが、栃木県警察のWebサイトには﹁サイトポリシー﹂として次のように書かれている。リンクについて当サイトへリンクされる場合は、リンク元のサイトの運営主体、リンクの目的及びリンク元のページの URLを事前にご連絡ください。無断リンクは禁止とします。また、当サイトからリンクしているサイトの内容に関して、栃木県警察はいかなる責任も負いません。リンク先サイトの内容に関するお問い合わせはそれぞれのサイト管理者へお願いします。栃木県警察サイトポリシーこのことについて、先々週、質問を以下の内容でメールで送った。県警用の問い合わせ先が書かれていないので、県のwebmasterのアドレスに送った。

Subject: 県警サイトが「無断リンクは禁止」としている理由について

http://www.pref.tochigi.jp/keisatu/hiroba/sitepolicy.html の「サイトポ
リシー」を拝見してお尋ねします。

> リンクについて
> 当サイトへリンクされる場合は、リンク元のサイトの運営主体、リンクの目的
> 及びリンク元のページの URLを事前にご連絡ください。無断リンクは禁止とし
> ます。

とありますが、「無断リンクは禁止とする」理由を教えていただけますか。
また、事前に連絡が必要とされている理由を教えてください。

すると、一週間後に広報広聴課から返事があり、意見等への回答はメールではなく電話で行っているとのことだったので、電話して話をした。電話すると、開口一番、無断リンク禁止としている理由について説明された。警察は特殊な立場にあるので、業者に悪用されることがある。﹁うちは警察へリンクさせてもらっている﹂というようなことを言われて、警察の信用を悪用されてしまうことがあるので。とのこと。﹁ほう﹂と思いながら*1そのまま話を聞いていると、実際にはリンクはどんどんしていただいて活用していただきたい。ただ、ひとこと声をかけてほしい。という。そこで、まず、栃木県警のサイトがいかに素晴らしい出来栄えであるかを述べた。たとえば各地の警察署がひとつひとつ専用のページが作られていて、そこを紹介したいときにURLで直接そこを示せる。栃木県警Webサイトはどこへ直接リンクされ、どこから見られても、それが栃木県警サイトだとわかるようにデザインされているし、トップへ移動できるようになっている。あきらかにリンクされることを期待して設計されたサイトである。褒め称えて喜んでいただいているところへ続けて、それなのに、リンクする際には一声かけないといけないのでしょうか？メールではなくこのようにして結局は電話でお話ししないといけないのでしょうか。ということを尋ねたところ、そうですねえ、電話で確認できるのかということもありますが、悪用する人がわざわざこうして電話してくるということもないでしょうから、こうして電話いただいています。という。﹁それは不便ではないでしょうか﹂と主張すると、﹁そうですね、そういう声もしばしば入ってきています﹂という。ここで、﹁無断リンクを禁止としている理由はそれだけで他にはないのですね﹂という点を確認した上で、次の内容の説明をした。悪質な業者に﹁うちは警察へリンクさせてもらっている﹂などと利用されることが問題だとおっしゃるが、それはリンクを許諾制になんかしてるからそうなる。許可なくすることを禁止しているなどと掲示していれば、読者は、﹁リンクしているということは警察の許可をもらったのだろう﹂と思ってしまう。リンクしているからといってリンク先と関係があるわけではないことは、Web利用者全員に共通の常識としなければならない。このことは近年情報技術犯罪として問題となっているphishingの被害を減らすためにも必要なことだ。県警が無断リンク禁止の考え方を広めれば、民間サイトへリンクした偽サイトが登場したときに、﹁許可を得ているはずだから信用できるサイトだ﹂と誤解する読者を増やすことに加担してしまう。信用の悪用を防ぐには、﹁他のサイトが当サイトへリンクしている場合があるが、それは当サイトと関係があることを意味するものではない﹂旨の注意書きをすればよいのだし、県警ハイテク犯罪対策室は、phishing防止のために、一般論としてその注意喚起をする立場にあるはずだ。加えて、いくら無断リンクを禁止すると掲示したところで、悪人はいくらでも無視してリンクするのであり、禁止に何らの実効性はなく、他方で善良な市民が警察サイトを活用しようとしたときには、電話で許諾を得なくてはならないという著しい不便を強いられている。これを説明していると、﹁ははあ、逆に、ですか。なるほど﹂ということで、ご理解いただけたようだ。去年サイトをリニューアルしたときにこの﹁サイトポリシー﹂を書いたのだそうで、勉強して業者とも相談のうえ検討したいとのことだった。﹁業者は信用に値しないので気をつけて﹂と言っておいた。

■ 無思慮なサイト運営者が本来言わんとすることを利用規約の形式で書いてみた

1日の日記にトラックバックを頂いた。ここのところ、﹁無断リンク禁止は悪なのか？﹂、﹁野村総研がリンクする際には文書で申し出よというので文書で申し出た﹂などの時代遅れの﹁サイト利用規約﹂に関する話題で盛り上がっている。﹁前例にならって無難な道を選ぶ﹂サイト運営者が多い結果だとは思うが、彼らをいくら非難したところで、﹁悪例︵＝ウェブの黎明期に作られてそのまま継承されている利用規約︶﹂がこれだけ氾濫している段階では、すぐには解決しないような気がする。ネット時代のデジタルライフスタイル: 時代にマッチした﹁サイト利用規約﹂を作ってみたこれではまるで、Web 2.0時代になったから無断リンク禁止が非常識化したとでもいわんばかりだ。そうではなく、Web 0.1時代からずっとリンクは当然であって、﹁黎明期に作られてそのまま継承﹂というのは事実誤認だろう。黎明期にそんなものは存在しなかった。私の理解では、1990年代に存在したのは著作権との混同による法的に誤った主張にすぎなかったのが、2001年前後に急速に﹁無断リンク禁止﹂サイトが増殖を始め、以下の日弁連の弁明にあるような理由で正当化しようとする勢力が拡大した。 ●リンク許可問題、日弁連は﹁あまり深く考えていなかった﹂, ASCII24︵佐々木俊尚︶, 2002年7月2日鈴木弁護士によると、日弁連が厳しいリンク許可条件を掲示したのは、昨年起きたある“できごと”がきっかけだったという。マルチ商法まがいのとある業者がウェブサイト上で、自社の合法性を証明するため、同会のウェブ上の文書を引用する形でリンクを張っていた。これにどう対応するか。インターネットに詳しい弁護士にも相談するなどした結果、リンク許可条件を掲示した方がよいのでは、という結論になったという。各地の弁護士会のウェブサイトを参考にし、その中でももっとも厳しい内容となっていた第一東京弁護士会のものを流用。今年5月1日のウェブサイトのリニューアルにあわせ、今回問題となった厳しいリンク条件を掲示したという。官庁ではこの時期には既に無断リンク禁止などと言っているところはなくなり始めており、現在は地方公共団体を含めてほとんど見つからない︵岡山県警と栃木県警と内閣府原子力委員会*2を除く︶。このときの第一次無断リンク禁止ブームは一旦は収まったようだった。ところが、昨年あたりから再び増殖が拡大している様子が見られる。どうやら、Webサイトの近代化リニューアルに伴って新たに生じているらしい。公共広告機構の事例では2005年にこのポリシーが作られていて、それ以前にもサイトは存在したがこんなことは書かれていなかったし、栃木県警も、去年だかにリニューアルしたときに、﹁無断リンクは禁止とします﹂を書いたのだそうだ。 Web 2.0時代になったことは、批判しやすくなった︵不当さが理解されやすくなった︶だけであり、その正当性のなさは昔も今も変わっていない。ちなみに、無断リンク禁止が日本特有のものであるかのように言う人をしばしば見かけるが、﹁"permission to link"﹂などで検索すると、英語圏でも同様に2002年ごろに無断リンク禁止ブームが起き、現在でも﹁Do I need permission to link to a website?﹂といった質問が後を絶たない様子だということがわかる。ただし、病的に無思慮にコピペが感染する状況が現在もあるのかというと、日本ほど酷くないのかもしれない。で、﹁時代にマッチした﹁サイト利用規約﹂を作ってみたとのことだが、そんなのは利用規約じゃない。ただし、当ウェブサイトコンテンツの引用を含んだ二次著作物を一般に公開する場合は、引用した文章等が引用であることを明示した上で︵blockquoteタグ推奨︶、複製したコンテンツを含むページへの直リンクで引用元を明示することをお願いします。ネット時代のデジタルライフスタイル: 時代にマッチした﹁サイト利用規約﹂を作ってみたなぜblockquote推奨なのか？鍵括弧︵﹁﹂︶がいけないとでも言うのか？*3 引用元を表示するにあたって、リンクをしないといけないというのか？当ウェブサイトコンテンツを引用目的で複製・転記する際には、原則として改編・修正・追加をせずに原文︵もしくは原図︶のまま引用していただきます。文章の一部だけを抜き出して引用する、引用者の注意書きを文章中に挿入する、という形での修正・追加は可能ですが、その場合には変更した箇所を︵中略︶︵引用者注︶などの形で明記するようお願いします。ネット時代のデジタルライフスタイル: 時代にマッチした﹁サイト利用規約﹂を作ってみたなんでこんなことをごちゃごちゃ注文つけられないといけないのか。よりわかり易く表現するのにどのような手段を用いるか、用いないか、あるいはべつにわかり易さをたいして追求する気はないかは、表現者のその場に応じた勝手であって、引用先に指定される筋合いのものじゃない。結局この手合いは、﹁リンクするときは一声かけるのがマナーですよ﹂とか言うのと根が同じだ。こんな説教のような文章が﹁利用規約﹂であるはずがない。規約というくらいなら、従わない場合は法的措置を前提に利用を認めないという趣旨のものになるはずだ。そこで私もテンプレートを書いてみた。無思慮なサイト運営者たちが﹁リンクポリシー﹂なるものを作成する際に、本当に頭で思い描いていたことは何なのかを、利用規約の形式にしてみた。

当サイトの使用許諾条件第1条︵中傷の禁止︶当サイトに掲載されている情報をもとにして、当社および当社の役員、従業員、当社の商品、当社のサービスを中傷し、名誉を毀損することを禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第2条︵擦り寄りの禁止︶猥褻、暴力、脅迫、非合法な内容、および当社がキモいと感じる内容を含むサイトにおいて、当社の社名、当社の役員名、従業員名、商品名、サービス名を表記することは、その表記の手法や形態に関わらず禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第3条︵誤認表示の禁止︶当社の社名、商品名、サービス名、ドメイン名、URLを記載して、当社と無関係ないかがわしい商品、サービス等が当社と関係あるかのように誤認させる表記をすることは、その表記の手法や形態に関わらず禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第4条︵苦情の拒否︶当サイトの各ページは予告なく消滅、もしくはURLを変更することがある。他のサイトから当サイトへのリンクが、404 Not Foundと表示されることがあっても当社の責任ではない。このことを理解しない者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第5条︵教育的指導︶他のサイトが当サイトへのリンクを記述している事実は、当該サイトが当サイトと何らかの関係を有することを意味するものではない。このことを理解しない者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。 ... 第9条︵管轄裁判所︶本利用規約に係る紛争については、東京地方裁判所または東京簡易裁判所を第一審の専属的合意管轄裁判所とする。

もちろん、こんなものを﹁アトリビューションシェアアライク﹂宣言したりはしない。

■ 追記（9日）利用規約改定

上に書いた利用規約案を改定してみた。各条を少し改善したのと、6条〜10条を加えた。

当サイトの使用許諾条件第1条︵中傷の禁止︶当サイトに掲載されている情報をもとにして、当社および当社の役員、当社の商品、当社のサービスを中傷し、名誉を毀損することを禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第2条︵擦り寄りの禁止︶猥褻、暴力的、脅迫的、非合法な内容、および当社が薄気味悪いと判断する内容を含むサイトにおいて、当社の社名および当社の役員名、商品名、サービス名、ドメイン名を表示し、記載することは、その表記の手法や形態に関わらず禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第3条︵誤認表示の禁止︶当社の社名および役員名、商品名、サービス名、ドメイン名を記載して、当社と無関係ないかがわしい商品、サービス等が当社と関係あるかのように誤認させる表示をすることは、その表記の手法や形態に関わらず禁止する。これに違反する内容を掲載するサイトの運営者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第4条︵苦情の拒否︶当サイトの各ページは予告なく消滅、もしくはURLを変更することがある。他のサイトから当サイトへのリンクがリンク切れとなることがあっても当社の責任ではない。当社に対しこのようなリンク切れについて苦情を申し立てる目的で電話し、電子メールを送信し、内容証明等の郵便物を送付することを禁止する。これに違反する者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第5条︵教育的指導︶他のサイトが当サイトへのリンクを記述している事実は、当該サイトが当サイトと何らかの関係を有することを意味するものではない。このことを理解しない者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第6条︵アクセス防御措置努力の放棄︶当社は、当サイトのセキュリティ対策を完全には行っておらず、従業員の過失によって個人情報その他の機密情報が誰にでも閲覧できる状態になる事故が発生する場合がある。情報流出を防止するため、当社の事前の許可なく、当サイトにリンクし、当サイトのURLを表示し、記述し、出版し、他言することを禁止する。検索エンジン等、機械的に生成される情報においても同様とする。これに違反する者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第7条︵アクセシビリティ改善努力の放棄︶当サイトはパンくずリストを設置しておらず、現在表示されているページがサイト全体もしくはコンテンツ内のどこに位置しているか把握するのが困難なページが存在する。また、タイトル要素のないページ、フレームを使用したページ、統一されていないデザインのページが存在する。途中のページから閲覧することは、当該コンテンツが当サイトによるものであることが不明確になるものであり、トップページ以外からの閲覧を禁止する。これに違反する者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第8条︵アクセスログ収集努力の放棄︶当社は、リンク元を示すアクセスログを記録する技術を有しておらず、当サイトへのリンクを設置している他のサイトの存在を知ることができない。電話、電子メールその他の連絡手段によりリンクの届出を受け付けるのに要する人件費を支出できないため、当サイトへのリンクを一切禁止する。これに違反する者は、当サイトを閲覧してはならないものとする。第9条︵言論に伴う責任の放棄︶当社の役員および従業員は、当サイトのブログページにおいて、自由闊達に自己表現を楽しむ権利を有している。不用意な発言が発表された場合であっても、これを批判する目的で当サイトにリンクし、トラックバックし、またはURLを掲示板に書き込み、他のサイトに表示し、出版し、他言することを禁止する。これに違反する者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第10条︵無断相互リンクの禁止︶当社は公正さと中立性を最重要事項としており、当社の事前の許可なく、当サイトから他のサイトへのリンクを設定することを禁止する。これに違反する者は、当サイトへのリンクの有無に関わらず、当サイトを閲覧してはならないものとする。第11条︵管轄裁判所︶本利用規約に係る紛争については、東京地方裁判所または東京簡易裁判所を第一審の専属的合意管轄裁判所とする。

*1 この瞬間、﹁これは落とせるな﹂と思った。 *2 内閣府原子力委員会は、JALのページからパクったようだ。 アグリゲーション、スクリーンスクレイパー等の技術を用いて、当社ホームページ内の情報を転用・転載することはお断りいたします。 JAL - 本サイトへのリンク アプリケーション、スクリーンスクレイパー等の技術を用いて、当委員会ウェブサイト内の情報を転用・転載することはお断りいたします。著作権・リンクについて - 原子力委員会内閣府原子力委員会は、﹁アグリゲーション﹂が何かわからなかったようだ。 *3 それどころか、以前ある弁護士さんとの会話の中で聞いた話では、blockquoteを引用とわかる形でレイアウトしないブラウザが存在することを理由に、鍵括弧以外は引用であることの表示と認めれないなどという主張も存在するらしい。

本日のリンク元 TrackBacks(100)

2006年10月18日

■ IPAセキュリティセンターさえディープリンク禁止などとしているわけだが

タレコミがあった。IPAさえもがディープリンクを﹁ご利用条件﹂で禁止している。ご利用条件リンクについて︵略︶・セキュリティ関連の情報については、頻繁にアップデートされています。利用者に的確な情報を伝えるため、http://www.ipa.go.jp/security/ にリンクを張ることをお願いしております。配下のページに直接リンクしないで下さい。情報処理推進機構‥ご利用条件脱力。電話すると知り合いにつながりそうな予感がするのでしない。直接関係者に連絡すればすぐに直りそうな案件だが、直ればよいという問題ではない。なぜこうなってしまうのか、そしてそれを皆が知ることがキモだ。これは、ディープリンク禁止事例にしては理由が比較的明確にされている。﹁セキュリティ関連の情報は頻繁にアップデートされている﹂から、アップデートされた他のページの存在にも気付けるように、つまり﹁利用者に的確な情報を伝えるため﹂に、トップページにもリンクして欲しいということなのだろう。百歩譲ってそれはよいとしよう。だが、それがなぜ﹁配下のページに直接リンクしないで下さい﹂となってしまうのか？ IPAセキュリティセンターが提供する個々の情報のページに直接リンクできなかったら、どれだけ皆が不便な思いをするかは、いまさら説明する必要は全くないだろう。直接リンクが禁止されたのでは、利用者に的確に情報を伝えることが阻害される。必要があって個別のページにリンクしつつ、同時にトップページにもリンクしてあげるというのは、リンクする側にとってもそれがその場において読みやすいと思えばそうするだろう。初めてIPAのセキュリティセンターのことを知る読者層を想定しているときは普通にリンクするだろうし、既にサイトの存在を知っているはずの読者を想定する場合はいちいちリンクしたりしない。リンクが2つあれば、ハズレを先にクリックしてがっかりする読者も出るだろうから、余計なリンクをしないほうが読みやすいページになる。そもそも、個別ページに直接リンクされ、そこだけ読まれて何が問題だというのか？ IPAの個別ページは適切にデザインされており、たとえば、﹁ソフトウエア等の脆弱性関連情報に関する届出状況 [2006年第3四半期︵7月〜9月︶]﹂のページに突然ジャンプしても、画面上部でそこがIPAであることは表示されているし、トップへジャンプするリンクも用意されているし、パンくずリストも用意されているし、各コンテンツへのメニューも用意されている。明らかにディープリンクされることを期待したサイト設計をしているくせに、表の顔では﹁配下のページに直接リンクしないで下さい﹂と言う。こういうことがなぜ起きるのかだ。一人でサイトを作っているときはこういうことは起きないだろう。個人が無断リンクやディープリンクを禁止しているときはそれは趣味の問題であり、﹁文化の衝突﹂などと評されることがあるが、組織でサイト作りをやっている場合には、個々のページ製作担当者が直接リンクされることを期待してデザインしても、﹁利用条件﹂なるページを作成する担当者が皆の本意ではないことを書いてしまう。組織における無断リンク禁止問題は﹁文化の衝突﹂ではない。組織として本意とは違う態度を示してしまう病気の問題だ。﹁本当はおたく、こうでしょ？﹂ということを組織に対して気付かせるのはとんでもなくハードルが高い。その手の意見を受け付ける担当者は﹁問題ありません﹂と答えることが使命とされている。誰もが指摘することをあきらめて放置してしまう。そして、これを放置しておくわけにいかないのは、他へ波及してしまうことと、有害性があるためだというのはこれまでに書いたとおり。ところで、﹁頻繁にアップデートされているから、利用者に的確な情報を伝えるため﹂という理由で、トップへのリンク﹁も﹂要求することに妥当性はあるだろうか。一度考えてみてはどうだろう。

■ 追記（19日）

「利用者に的確な情報を伝えるため」で検索してみると……、ほーらゾロゾロ。

LASDECの「リンク・引用転載について」なんか、「個別情報（案件）についても自由にリンクしていただいてかまいませんが、利用者に的確な情報を伝えるため、なるべくトップページにリンクされるようお願い」って、自分で言ってておかしいと思わない？

本日のリンク元 TrackBacks(5)

2006年10月19日

■ 全盲読者に配慮したWebページ作りを妨げる文部科学省と環境省と地方自治情報センター

総務省が推進するウェブアクセシビリティ。JIS規格にもなった JIS X 8341-3。これらでは、全盲の読者への配慮として、﹁新しいウィンドウを開かない﹂ことを留意点として挙げている。 ●ポイント4:利用者が迷わないリンク, 情報バリアフリーのための情報提供サイト, 情報通信研究機構 b. 新しいウィンドウは混乱のもと新しいウィンドウが開いても、それを目で確認できないため混乱する利用者がいます。︵略︶新しいウィンドウは基本的には開かない。︵略︶ ●総務省報道資料﹁公共分野におけるアクセシビリティの確保に関する研究会﹂報告書付録4a, ﹁公共分野におけるアクセシビリティの確保に関する研究会﹂報告書の公表, 総務省・リンク先のページを新しいウィンドウに表示すると、全盲の利用者や高齢者をはじめ、混乱したり上手に利用できない人が出てしまいます。自動で新しいページへ移動したり、ページ内の表示内容を切り替える場合も同様です。むろん、実際にそのような作りにするかどうかは、個々の状況に応じて決めるものであり、私たち書き手の自由であるわけだが、いざその配慮をしたHTMLを記述しようとしても、文部科学省にリンクする場合、環境省にリンクする場合、地方自治情報センターにリンクする場合には、この配慮をすることが禁止される。 ●文部科学省ホームページへのリンク・著作権について, 文部科学省 1．リンクについて文部科学省ホームページへのリンクは、原則フリーです。︵トップページだけでなく、個別情報︵案件︶へのリンクについても、同様の取り扱いです。︶ただし、各情報においてリンクの制限等の注記がある場合はこの限りではありません。リンクするに当たって事前のご連絡は特に必要ありませんが、︵1︶文部科学省ホームページヘのリンクであることを明記して下さい。︵2︶文部科学省ホームページが他のホームページ中に組み込まれるようなリンク設定はお断りしております。リンクは必ず新しいウィンドウが開かれるような設定で行ってください。 ●著作権・リンクについて, 環境省環境省ホームページへのリンクについて環境省ホームページのリンクは、原則として自由です。ただし、下記の点にご留意下さい。︵リンクの許可を得る必要はありませんが、ご連絡をお願いいたします。︶また、個々のコンテンツにつきましても同様です。 1. 環境省ホームページへのリンクであることを明記してください。 2. 環境省ホームページが他のホームページ中に組み込まれるようなリンクはしないでください。リンクは必ず新しいウィンドウが開かれるような設定で行ってください。 ●リンク・引用転載について, LASDEC 財団法人地方自治情報センター 2．リンクについて︵1︶当サイトは、以下の事項を遵守していただいた上で、自由にリンクしていただいてかまいません。︵略︶︵4︶当サイトが他のホームページの中︵フレーム内︶に組み込まれるようなリンクは行わず、必ず新しいウインドウが開かれるような設定にしてください。 ﹁新しいウィンドウで開かれるような設定﹂というのは、﹁target="_blank"﹂を指定したリンクのことを言っているのだろうが*1、そんなことをする必然性はもとより全くない。どこの馬鹿がこれを言い出したのか知らないが、ずいぶんと伝染して汚染が広がっているようだ。*2

■ 第1回「リンクポリシー」大賞受賞者決定

金賞このサイトについて, 東京弁護士会 このサイトについて 閲覧環境について ︵略︶ PDF ファイル、Adobe Acrobat Reader について ︵略︶ Cookie について ︵略︶ JavaScript について ︵略︶ 当サイトへのリンクについて 当会では、当サイトへのリンクに関する許可・不許可の手続きはありません。リンクについては、貴団体の判断でお願いいたします。講評: これが正解。規約でもポリシーでもない。ただ、個人が﹁団体﹂に含まれるのかという疑問は残る。銀賞著作権とリンク, TBS 4．リンクの手続きについて ハイパーリンクはインターネットに特有の優れた機能です。TBSのホームページへのリンク設定は、運営主体が団体、企業、個人問わず、どのページからも可能です。︵ただし、リンクの設定は、インターネット上のページからに限ります。CD-ROMやテレビなど、別のメディアやハードからのリンク設定については、TBSにご相談下さい。︶リンク先としては、TBSのどのページへも設定ができます。︵ただし、ページに含まれる一部のデータだけにリンクを設定し、TBSのオリジナルページデザインを改変するようなリンク設定は、一切お断りいたします。︶なお、TBSホームページのURLはコンテンツごとに告知なく変更されることがありますが、TBSは一切の責任を負いません。講評: リンク元運営者の業種等による差別をしないことを明示しているのは英断といえる。ただ、著作権と同列に扱うのは読者を誤解させる虞がある。また、CD-ROMからのリンクに相談が必要というのがよくわからない。本に記載するのも相談が必要？銅賞首相官邸講評: 何も書いてない。これが最も正しい。たくさんあるうちの代表的なサイトの一つ。︵ただし、たまたままだ作ってないだけの可能性もあり、意図的にそうしているのかは判別できない。︶佳作国立国会図書館ウェブサイト‥利用上のご注意, 国立国会図書館 リンクについて 国立国会図書館ウェブサイトへのリンクは基本的に自由に行っていただいて結構です。リンクを張られる際はＩＰアドレスではなくＵＲＬ︵http://www.ndl.go.jp/︶にすることをお勧めします。︵以下略︶講評: これは新しい。誰もそんなことしない。なお、賞品はありません。

*1 リンク元がフレーム内にリンクを設置する場合に、リンク先への移動がそのフレーム内で切り替わることのないよう、その方法をリンクする人にアドバイスしたいのなら、「target="_top"」を教えればよい。

*2 私も私のWebページに対して某所で「外部へのリンクは新しいウィンドウで」などと注文を付けられたことがあるが、どこの糞業者がそういう出鱈目をコンサルしてるんだ？

本日のリンク元 TrackBacks(9)

2006年10月20日

■ リンクの話まとめ

リンクの論点はそれはもう大昔から出尽くしていて、同じことが品を替え形を変えて延々繰り返し語られているわけで、わかっている者には今更すぎなのだけど、次々新しい人達は入ってきているわけだから、少しでも新しいパターンを見つけるなりして退屈しない方法で繰り返しているわけだけども、ここへ来てどうやら本当に変革の時期が来たような期待感もあるので、あらためてまとめも書いておくとする。まず、企業や官公庁などの団体のWebサイトにける無断リンク禁止条項の問題と、個人のWebサイトにおけるそれとは明確に区別することを踏まえないといけない。団体のサイトは、その全てが、明らかに不特定多数の公衆に見てもらうために設置されている。それに対し、個人のサイトは必ずしもそうとは限らない。団体のサイトの場合を簡単にまとめると、本当は見て欲しいはずなのに、見て欲しくないかのような﹁リンクポリシー﹂を掲げてしまう病的構造があり、これをなんとかしたいということだ。IPAセキュリティセンターの事例では、コンテンツを作っている人たちは、﹁リンクポリシー﹂を書いた管理部門に怒りを覚えているはずだ。私も勤務先の古いバージョンの恥ずかしい利用規約を変えてもらう交渉をした際に辛い思いをした経験がある。団体サイトの﹁リンクポリシー﹂が変わるべき理由は、﹁無思慮なサイト運営者が本来言わんとすることを利用規約の形式で書いてみた改訂版﹂で暗に表現したつもりだ*1。﹁第7条﹂は、﹁トップページを見て欲しい﹂という団体サイトの願望が怠慢であることを言っていて、ようするに、﹁ディープリンク禁止なんて言うな﹂という運動は、﹁CSSを活かしてHTMLを書こう﹂とか、﹁アクセシビリティに配慮しよう﹂という運動と同じラインにあり、﹁どこから見始めても全体を把握しやすいようにサイトをデザインしよう﹂という運動だ。しばしば、﹁そんなにディープリンクして欲しくなければ、機械的にそれを拒否するようにサイトを実装すれば？﹂という主張が出てくる。これが個人サイトに向けた発言ならば、﹁無茶言うな﹂という拒否反応が出てくるわけだが、団体サイトに向けたものとしては、︵やろうと思えばできるのだから︶その発言の狙いを理解するべきだ。たとえば、IPAセキュリティセンターの事例で本当にディープリンクを機械的に拒否する措置をとったなら、それこそ内部で怒りが爆発するだろうから、一度そうなれば、やっていることと言っていることが違うことを強制的に気づかされるはずだ。同様のことが新聞社のディープリンク禁止態度についても言える。かつて新聞各社は、記事へのリンクを無条件に禁止するリンクポリシーを掲げていた。もし機械的に拒否する仕組みを導入したらどうなっていただろうか。アクセスは減り、新聞Webサイトの存在意義が目減りし、新聞社もその失策に自動的に気づかされるはずだと言える。本当は記事にリンクされることが新聞サイトにとって欠かせないものになっているのに、ポリシーでは禁止するというのは怠慢にすぎない。怠慢な点は複数ある。1つ目は、本当に禁止したいことが何なのか︵たとえば、ライントピックス訴訟のケースのようなリンク様態を禁止したいなど︶を、管理部門がきちんと洗い出しするべきところ、その作業を怠って、単純に全部を一律に禁止してしまっていること。2つ目は、個々の記事ページから読み始められることを想定して広告の配置等を工夫するべきところ、それを怠っていること。その他、アクセシビリティ改善を怠っているなどがある。先にWebを利用してきた者が、後から入ってきた人たちに対して、﹁郷に入れば郷に従え﹂的なこと︵たとえば、﹁それがハイパーテキストの優れたところなんだから﹂など︶を言って反発をくらっている様子もよく目にするが、団体サイトに向けてのものであれば、それはつまるところ、﹁もっとよくできるんだから、ちゃんと努力しようよ﹂という運動なのだ。その甲斐あってかどうかはわからないが、朝日新聞は、2005年3月のリニューアルでアクセシビリティに配慮したWebサイト設計の取り組みを実現させており、その結果を踏まえてであろうか、﹁リンクについて﹂は、記事へのリンクを認めるものになっている。HTMLを用いたWWWが登場したときから︵わかる人には︶予感されていた、あるべき姿がようやく実現しつつあるという状況だ。それでもなお、未開発な、というか、実体と乖離した﹁リンクポリシー﹂を恥ずかしげもなく掲げている団体が数多くあり、それは残存しているというだけでなく、新規に登場、ないし、サイトのリニューアルの際に改悪されて登場している様子がある。﹁会社のポリシーは会議室で決めてない、現場でコピペしてるんだ﹂の事例に見たように、こういうものは、ウイルスのように伝染する性質がある。これは不幸なことだ。際限なく伝染するものは社会にとって害であるから、少なくとも伝染は阻止したいところではないか。官公庁は、お手本として真似される立場にあるのだから、率先して改善されるべきところだろう。幸いなことに、中央官庁と都道府県は︵一部を除いて︶早い時期から比較的問題の少ない﹁リンクポリシー﹂になっていたようだ。さすがに頭の良い人が働いているからなのか。単に﹁もっとよくできるんだから、ちゃんと努力しようよ﹂の運動だけであれば、まあ、個々の団体サイトが自己矛盾したポリシーを掲げていても、﹁放置しておけばいいじゃないか﹂ということにもなろう。だが、それだけでは済まないケースも現れ始めてきた。それが、栃木県警察の事例だ。一部には、﹁リンクしているということは、リンク元はリンク先の団体に認められた団体だ﹂という誤解が生じ始めているらしい。これは、フィッシング詐欺を防止する観点から、そのような誤解をなくしていかねばならず、リンク許諾制は、むしろそれを助長することになるのだから、やめるべきである。安全なWeb利用の観点から、アドレスバーを確認することと、リンクはリンク元にのみ責任があることの理解は、すべてのWeb利用者に最初の一歩として学習してもらうべきものである。次に、個人サイトの場合はどうか。個人サイトについても、﹁もっとよくできるんだから、ちゃんと努力しようよ﹂ということは言えるわけだが、そうはいっても、全てのページにトップページへのリンクを設けるとか、パンくずリスト的な仕掛けを手で書くというのは、なかなか面倒くさくて、皆がやる気になるものではないのだろう︵私はやっていたが︶。それが、この数年で、Web 2.0的なWebサイトを自動生成するCMS︵コンテンツマネジメントシステム︶が、ブログブームによって隅々まで普及したことで、誰にでも簡単に実現できるようになった。これによって、それを使った人たちは﹁もっとよくできるんだから﹂が何だったのかを、体験的に理解することになった。﹁時代とともに文化が変わったのだ﹂という言う人がいるけれど、先人達が理想として掲げていたものが、ようやくアーキテクチャとして実現され、普及させることに成功したため、理解が追いついたのだ。その結果として、団体の方針も変わりつつあるようだ。prima materiaの﹁﹁有害サイト等から学校と児童生徒を守る﹂ことよりも﹁周りがどうなっているか﹂の方が大事な仙台市教育委員会﹂によると、しかしながら，一般のWebページや公共のWebページにつきましてはこうした表示がなされなくなってきたこと，学校情報の積極的提供などの観点から，仙台市教育委員会といたしましては，﹁第8条﹂についての見直しを今後検討していきたいと考えております。とあり、仙台市教育委員会は考えを変える予定らしい。これも、Web 2.0ブームの効用であろうか。今こそ、論点をキチンと整理して、各団体の﹁リンクポリシー﹂なるものを一気に適正化する時ではないだろうか。さて個人サイトの話に戻ると、個人サイトの場合は、必ずしも全部が、不特定多数の公衆に見てもらうために設置しているわけではないのだろう。これは、上に書いたこととは別問題として捉えるべきものだ。まずひとつは、ローカルコミュニティに固有のマナーの話。これについては、﹁rikuoの日記﹂の﹁昔はリンクするのも大変だった、という話﹂が自然に表現していると思う。もうひとつは、表に引っ張り出されたくないという目的で無断リンクを禁止とする話。先に言っておきたいのは、これは﹁無断リンク﹂の問題として語る必要がない。﹁無断紹介﹂の問題として語ればよいのであり、その方が誤解が少ないので、﹁無断紹介﹂という言葉を普及させたい。トップページへのリンクは﹁無断サイト紹介﹂、ディープリンクは﹁無断ページ紹介﹂といったところか。で、この話も散々同じことが繰り返し語られているわけだけども、これについては、一昨年から去年にかけて行われた﹁ised@glocom : 情報社会の倫理と設計についての学際的研究﹂の中でも議論されている。倫理研第3回で、﹁侵食される﹁私的領域﹂﹂と﹁情報社会における私的領域の確保――公共圏の確立にかわって﹂というテーマでまず議論があった。リアルでのコミュニケーションの代替としてネットでのコミュニケーションを活用しようとしても、﹁公的空間と私的空間の溶解という現象﹂が起きるため、﹁インターネットにおける公共圏は、すべての私圏を取り込んでいってしまう﹂ことになる。﹁インターネットにおける私的空間はなにか﹂﹁インターネットにおける私的空間をどう作るのか﹂という問題提起がなされる。そしてこれを受けて、次の第4回で、﹁アクセス・コントロールによる私的領域の確保は処方箋となるか﹂というテーマで議論となる。﹁ネットで私的領域を確保するためにはアクセス・コントロールではだめだ﹂﹁﹁繋がりの社会性﹂を欲望しているユーザーにとっては、アクセス・コントロールは実はなんの意味もない﹂という議論だ。しばしば、﹁書いた限りは不特定多数が読むのだから、どのような批判も受け入れるべきだ﹂という主張が出てくるが、じゃあ、リアル世界での立ち話のようなことがネットでは不可能なのか、ということになる。しばしば、個人サイトが﹁紹介禁止﹂︵無断リンク禁止︶を掲げているところへ、﹁見られたくないならアクセス制限かけろよ﹂と言うような人が出てくるが、知り合いにだけしか見せないつもりでやっているわけじゃないのだから、そのような要求は受け入れられないこととなる。彼らのしたいことは、不特定多数には見られたくないが、まだ出会ってない友人とは出会いたいという願望を達成することだ。これを技術的工夫によってそのような場を提供できないかという話は、過去にも話題になったことがあり、何人かの人がアイデアを書いていたのを見た。今日も、﹁雑想日記﹂の﹁イソターネットもあっていいかも。﹂にその種のことが書かれている。 mixiなどの現状のSNSのアーキテクチャではその要求を実現できていない。だから、﹁友達まで﹂に制限する設定をしないまま、公共の場に相応しくない発言をする輩が後を絶たないわけだ。何か作りようがあるのではないか、やってみてはどうか、という話は、去年だったか、はてなの近藤さんに話したことがある。もしそれがうまく実現でき、ネットでの私的空間と公的空間を気持ちよく分けることができたなら、﹁公共空間ではどのような批判も受け入れるべき﹂ということは正当な主張となるだろう。そこでは﹁無断紹介禁止﹂などあり得ない。最後に別の話題を。上で紹介した﹁rikuoの日記﹂の﹁昔はリンクするのも大変だった、という話﹂で、画像ファイルへのリンクはどうなのかという話題がある。これについては、経済産業省の電子商取引等に関する準則平成18年2月版で用語が整理されているので、議論を混乱させないために、この用語を活用していったらいいと思う。︵7︶他人のホームページにリンクを張る場合の法律上の問題点 2．説明︵2︶リンクの態様についてリンクの態様にも様々な方式があり、本論点中の各用語は、以下の意味を有するものとする。﹁サーフェスリンク﹂とは、他のウェブサイトのトップページに通常の方式で設定されたリンクをいうものとする。なお、本論点において、﹁通常の方式で設定されたリンク﹂とは、ユーザーがリンク元に表示されたURLをクリックする等の行為を行うことによってリンク先と接続し、リンク先と接続することによってリンク元との接続が切断される場合のリンクをいうものとする。﹁ディープリンク﹂とは、他のウェブサイトのウェブページのトップページではなく、下の階層のウェブページに通常の方式で設定されたリンクをいうものとする。﹁イメージリンク﹂とは、他のウェブサイト中の特定の画像についてのみ設定されたリンクをいうものとする。﹁インラインリンク﹂とは、ユーザーの操作を介することなく、リンク元のウェブページが立ち上がった時に、自動的にリンク先のウェブサイトの画面又はこれを構成するファイルが当該ユーザーの端末に送信されて、リンク先のウェブサイトがユーザーの端末上に自動表示されるように設定されたリンクをいうものとする。電子商取引等に関する準則平成18年2月版 p.180 ﹁接続が切断される﹂など、表現にいまいちなところがあるが、﹁インラインリンク﹂は積極的に使っていくのに相応しい用語ではないか。

*1 あれ？そういえば、誰かこれと同じようなものを何年か前に書いてなかった？

本日のリンク元 TrackBacks(100)

2006年10月21日

■ ワンタイムパスワードは何のためにあるのか

先月、ジャパンネット銀行から「SecurID」が送られてきた。RSAセキュリティのワンタイムパスワード生成器（以下「トークン」）だ。ジャパンネット銀行は全口座の利用者に対してこれを配布している。

届いた郵便物には図1の案内状が入っていた。

図1: ジャパンネット銀行から送られてきたSecurIDに同梱の案内状

ここに書かれていることは事実でないので、信じてはいけない。 2. トークンはスパイウェアに監視されないので安全です。 トークンはパソコン、携帯電話などと一切の通信を行いません。万が一パソコンや携帯電話がスパイウェア︵不正プログラム︶に感染しても、トークンに表示されたワンタイムパスワードが監視されることがなく安心です。これを読んだユーザは、﹁今後はダウンロードした .exe ファイルを安心して実行できる﹂と思ってしまうかもしれないが、トロイの木馬︵不正プログラム︶を実行してしまっては、たとえこのワンタイムパスワード生成器を使っていようとも、不正送金されるという事態は起こり得るのであり、﹁パスワードが監視されることがなく安心です﹂という宣伝文句を信じてはいけない。スパイウェア︵不正プログラム︶はキーロガーだけではない。不正プログラムがユーザのコンピュータに入り込む余地があるということは、任意のプログラムが入り込み得るわけだから、ユーザがログインしたのを見はからってログインセッションを乗っ取ることができてしまう。こうした攻撃が英語圏では既に発生しているらしいという話は、2月22日の日記にも書いたとおりだ。 ●口座預金を略奪するトロイの木馬がまん延--セキュリティ研究者が注意を呼びかけ, CNET News, 2006年2月20日ジャパンネット銀行のWebサイトでの説明ページでは、少し違う言い回しがされている。 トークン方式のワンタイムパスワードの安全性 (2) トークンはスパイウェアに感染しませんトークンはお取引にご利用されるパソコン、携帯電話などと接続して使用するものではなく、また、一切の通信を行いませんので、万が一パソコンや携帯電話がスパイウェアなどの不正プログラムに感染し、パソコンや携帯電話内の情報がすべて監視されていた場合でも、トークンに表示されているワンタイムパスワードを監視されることはありません。ワンタイムパスワードのご案内, ジャパンネット銀行トークン自体がスパイウェアに感染しないのは事実だろうし、トークンに表示されているものが監視されるわけではないのは事実だろうけども、パスワードを送信しようとして、ユーザがトークンから目でコピーしてブラウザに入力しているそのワンタイムパスワードは、不正プログラムならば監視できてしまう。﹁ワンタイムパスワードは再利用できないので安全です﹂というが、たしかに、ワンタイムパスワードは再利用ができないが、再利用ができなければ安全だなどと、誰が言い出したのだろうか？ トークン方式のワンタイムパスワードの安全性 (1) ワンタイムパスワードは再利用できませんワンタイムパスワードは、60秒ごとに使い捨てパスワードが自動発行され、一度使用したワンタイムパスワードは無効となりますので、万が一フィッシングなどでワンタイムパスワードが盗まれた場合でも、それを再利用し、不正に取引されることはありません。ワンタイムパスワードのご案内, ジャパンネット銀行微妙な言い回しだ。たしかに、再利用はできないのだから、﹁再利用によって不正取引される﹂ことがないのは事実だが、一回目の利用としてその瞬間︵30秒以内︶に不正取引される可能性があるのだから、﹁万が一フィッシングなどで……ありません﹂などと、フィッシングされても大丈夫であるかのような誤解を与える表現は危険だ。昨年10月17日の日記﹁銀行やマスコミは対策の有効性の範囲で嘘を書いてはいけない﹂でも書いたように、誇大な安全宣伝は無責任であり、自分の首を絞めることになる。これらはたぶん、わざと誇大に書いているのではなく、危険性に気づかなかったか、単に業者の宣伝文句を真に受けただけか、あるいは業者自身が無知で誤った宣伝をしているのだろう。どうも、セキュリティベンダーは︵さらには学術研究の場でさえしばしば︶、ワンタイムパスワードがフィッシング対策や、スパイウェア対策になるという誤解をしているようで、困ったことだ。たとえば、﹁SecuSURF SA﹂という製品の説明にも次のようなことが書かれている。︵略︶は、フィッシング詐欺や﹁キーロガー﹂︵キーボードからの入力を監視して記録するスパイウェアの代表格︶などで不正に取得された本人確認情報の第三者による﹁なりすまし﹂利用を防ぐ高度認証ソリューション﹁SecuSURF SA﹂の販売を本日から開始します。インターネット環境においてフィッシング詐欺やキーロガーにより不正に入手されたログイン情報を使った﹁なりすまし﹂を防ぐために、従来の単純なパスワードによる知識認証方式に替わり、より強固な認証機能が求められています。認証のセキュリティ強度を上げる方策としては、ICカード等の媒体認証、生体認証、ワンタイムパスワード認証などがありますが、いずれにおいても専用の装置が必要となり普及は難しい状況にありました。︵以下略︶携帯電話を利用したワンタイムパスワード方式の高度認証ソリューション﹁SecuSURF SA﹂を販売開始, 野村総合研究所, 2005年11月7日なぜこのような誤解が生じているのか考えてみた。 SecurIDは、消費者に使われるようになったのはごく最近のことだが、企業や団体では、従業員が社内システムに社外からアクセスする際に使用するなどの目的で、20世紀末から普及していた。この実績から、﹁SecurIDは安全性が高い﹂﹁コストが高いので普及しないだけ﹂という理解が広く浸透していたのだと考えられる。コストが高い︵配布の手間も含めて︶ために、不特定多数の消費者向けの用途としては普及しなかったわけだが、そうも言っていられないほどの状況がここ数年で出てきたため、三井住友銀行をはじめ、ジャパンネット銀行もSecurIDを採用したのだろう。そして、ここ数年で被害の原因として目立っているのは何かというと、フィッシングとスパイウェアである。だから、﹁SecureIDでフィッシングとスパイウェアから守れる﹂という短絡思考が生じているのではないか。たしかに、ビンゴカードのような乱数表を使うくらいなら、ワンタイムパスワード生成器にした方が安全性が格段に違うというのは、その通りであり、三井住友銀行がSecurIDを採用したときは、セキュリティを理解しているはずの技術者達も絶賛したようだった。 ●三井住友銀行がワンタイムパスワード採用, スラッシュドットジャパン, 2006年1月13日フィッシングやスパイウェアによる被害を防げるわけではない。では、SecurIDが安全であるという皆の理解はいったい何だったのだ？ということになる。ワンタイムパスワードが安全であると言われた時代は、フィッシングなどという手法でユーザがこうも騙されて偽サイトに入れてしまうとは、想定していなかったのだろう。スパイウェアも然りで、それを想定するともはやどうにもならないので、想定しない前提で安全であると言われてきただけだ。じゃあ、フィッシングもスパイウェアも想定外との前提を置いた場合に、ワンタイムパスワードの効用は何なんだということになるが、たとえば、﹁盗聴されても再利用できないので安全﹂という主張を検討してみると、盗聴されればセッションハイジャックされてしまうので、安全ではない。﹁後ろからパスワードを覗かれても再利用されない﹂というのは概ね正しいだろう。他にはないのか……。改めて考えてみるに、ワンタイムパスワードの効用とは、パスワードの安全レベルの管理が、ユーザではなく、アクセス管理者にコントロールされているところが肝ではなかろうか。つまり、普通のパスワードだと、パスワードの安全レベルが、ユーザの力量に依存してしまう。パスワードの変更を許せば、安易なパスワードを付けるユーザが出てくるし、変更を許さず複雑なものを与えると、パスワードをメモしてモニタに貼り付けるユーザが出てくる。ここで、ワンタイムパスワード生成器を配布すれば、安易な内容のパスワードになってしまうことは避けられるし、メモさせず、物として管理もさせやすい。一般のWebサイトなどでは、ユーザのパスワードの安全レベルは、ユーザの自己責任で決められている。パスワードが弱くて被害が出てもユーザの責任と主張することができるだろう。それに対し、企業が社内システムへのリモートアクセス用にアクセス制御機能をインターネットに開くときは、一人でも弱いパスワードを付けるユーザがいるだけで、社内システムが危険に晒されるわけだから、ユーザの責任でというわけにいかない。これが、SecurIDが企業等に先に普及していった本当の理由ではないか。さて、そうすると、銀行がワンタイムパスワード生成器を導入したのは勇み足だったのか？ということになるが、そうではない。今年の2月から預金者保護法が施行された。預金者保護法は、偽造カードと盗難カードによる被害を対象としており、インターネットバンキングでの被害は対象としていないが、考え方としては共通しており、将来、インターネットバンキングにも対象が広げられるかもしれない。この法律により、一定の基準のケースにおいて、銀行側が被害を補償しなくてはならないようになった。つまり、﹁パスワードが弱いのはユーザの責任﹂とは言っていられない状況が強まった。だから、今こそ銀行がワンタイムパスワードを導入するというのは正しい。ただ、その理由が間違って宣伝されている。

■ Session Fixation脆弱性の責任主体はWebアプリかWebブラウザか

CSRF対策の話題で、Internet ExplorerのCSSXSS脆弱性に配慮するべきだという主張が出た際に私は、それはWebブラウザの脆弱性でありWebアプリ側の責任ではないとした。その理由は、hiddenが漏れるならどのみち別の方法で同等の被害が出るのだからというものだった。︵4月9日の日記﹁hiddenパラメタは漏れやすいのか？﹂︶それに比べると、Session Fixationの脆弱性を考えるときに、Webブラウザの責任と言えるかどうかは微妙なところにある。ところで、Session Fixationが、Webアプリサーバ製品の脆弱性を指すものと、誤解している人が少なくないような気がする。Session Fixationという名前を付けたACROS Securityの論文﹁Session Fixation Vulnerability in Web-based Applications﹂*1では、﹁Session Adoption﹂という用語を定義している。 Session adoption Some servers (e.g., JRun) accept any session ID in a URL and issue it back as a cookie to the browser. For example, requesting: http://online.worldbank.dom/?jsessionid=1234 sets the session cookie JSESSIONID to 1234 and creates a new session with that ID on the server. We'll call such behavior "session adoption", due to the fact that the server effectively "adopts" a session ID that was generated by someone else. Session Fixation Vulnerability in Web-based Applications PHPにはこの脆弱性があり、設定で回避できるのだが、PHPプログラマ界隈では、このことばかりが注目され、﹁Sesssion FixationといえばこのSession Adoptionのことを指す﹂という誤解があるように思われる。実際には、論文にあるように、攻撃者がサーバから取得した有効なセッションIDを使う方法が、Session Fixationとして一般的であり、それをユーザのブラウザにセットする別の方法が存在すれば、︵Session Adoptionができなくても︶Session Fixationの脆弱性があることになる。 cookieでセッション追跡されているWebアプリにおいては、その方法は、XSS脆弱性を突く方法と︵これは上の論文に書いてある︶、ブラウザの﹁Cookie Monster﹂バグを使う方法︵これは上の論文には書かれていない︶がある。このあたりの話については、2月のIPAでの講演スライドにも書いた。で、ブラウザの﹁Cookie Monster﹂バグが現状でどのように考えられているか。スライドを作成した時点では、Mozillaプロジェクトは直す気がないようだと書いた。1998年から知られている件であり脆弱性ではないとする主張、Session FixationはWebアプリ側で直せるからいいじゃないかという主張などがあった。それが、久しぶりに再び当該のBugzilla Bug﹁252342: fix cookie domain checks to not allow .co.uk﹂を見に行ったところ、進展していたことに気づいた。ドメイン名の構造を表すファイルを作成して、それに従って Set-Cookie: での domain指定の範囲を決定するという方向性が選ばれたようで、Bugzilla Bug﹁331510: Add knowledge of subdomains to necko (create nsEffectiveTLDService)﹂でファイルフォーマット案が示され、パッチが作成されているようだ。ファイルの内容は﹁342314: Need effective-TLD file﹂で検討されているもよう。しかし、まだ完成には至っていないようで、Mozilla 1.8 にも組み込まれないようだ。ちなみに、OperaがDNSを使ってやっているらしいという件は、Internet Draftが書かれていたことにいまごろ気づいた。しかし、このドラフトはexpireしている。 ●I-D ACTION:draft-pettersen-dns-cookie-validate-00.txt ●I-D ACTION:draft-pettersen-subtld-structure-00.txt そして Internet Explorerがどうなっているかというと、ドメイン名の第2レベルが2文字の場合は第3レベルで分けるというアドホックな対策を︵昔から︶とっているが、これは .jp においても地域ドメインなどで問題になるわけで、IEにはCookie Monsterバグがないというわけではない。このような状況では、Session Fixation脆弱性の原因をWebブラウザ側に責任がある︵Webアプリ側に責任なし︶と位置付けるのには難があるというわけだが、はてさて、今後どうなっていくのだろうか。

*1 ちなみに、この論文は微妙に間違った内容も含まれているので注意。

本日のリンク元 TrackBack(0)

2006年10月22日

■ 不正指令電磁的記録作成罪私はこう考える

3月から5月にかけて書いた﹁不正指令電磁的記録に関する罪に作成罪はいらない﹂シリーズ ●﹁不正指令電磁的記録に関する罪﹂に﹁作成罪﹂はいらないのではないか, 2006年3月14日の日記 ●続・﹁作成罪﹂はいらない, 2006年3月15日の日記 ●続・作成罪はいらないその2, 2006年3月17日の日記 ●Greasemonkey利用者の感覚と不正指令電磁的記録作成罪立法者の感覚, 2006年5月7日の日記 ●﹁実行の用に供する目的で﹂の﹁実行﹂とは？その2, 2006年5月12日の日記の続きを以下に書く。

●法制審議会は議事録を.exeファイルで公開 ●最初に確認しておきたい点 ●法制審議会での論点 ●1. 社会的法益か個人的法益か ●2. 社会的法益による立法を選択しなければならない理由 ●3. 作成は罪に問わないという案を採用できない理由 ●4. ﹁不正な指令﹂の部分の﹁不正な﹂が付け加えられている理由 ●5. ﹁目的﹂の部分を﹁不正な目的で﹂とすべきではないかという提案が却下された理由 ●私の修正案 ●法制審議会で懸念として挙げられた議論はピントハズレ ●法制審議会の議論はプログラムには多態性があるという視点を欠いている ●法案どおりでは駄目なのか

法制審議会は議事録を.exeファイルで公開

上のシリーズを書いたときは、実はまだ法制審議会の議事録を読んでおらず、独自に考えを巡らせていた。こうした議論は議事録を読んだ上で考えるべきところだが、議事録は公開されていないものとばかり思っていた。けったいな法学者様が、法制審議会の議事録を基に話をされているようだったので、もしかして公開されているのだろうかと、その後ちゃんと探してみたところ見つかった︵5月の話︶。Googleで検索しても議事録中の文ではヒットしないようになっているため、それまで議事録に辿り着かなかったようだ。 ●法制審議会刑事法︵ハイテク犯罪関係︶部会第1回会議︵平成15年4月14日開催︶議事録 ●法制審議会刑事法︵ハイテク犯罪関係︶部会第3回会議︵平成15年5月15日開催︶議事録 ●法制審議会刑事法︵ハイテク犯罪関係︶部会第6回会議︵平成15年7月4日開催︶議事録この議事録がWeb検索でヒットしないのは、﹁.exe﹂形式と﹁.lzh﹂形式で公開されているためだ︵図1︶。

図1: 法務省が法制審議会議事録をウイルスと区別のつかない未署名の.exeファイルで公開している様子

図2: 中身が.txtファイル一個だけである様子

展開してみると単なる﹁.txt﹂ファイルが一個あるだけであり、何のためにこんなことをしているのか理解しかねる。これもデジタルデバイドの一つだろう。けったいな法学者様との議論の後この議事録を読んだところ、何が問題でなく、どこに問題があるのかがはっきりとわかった。

最初に確認しておきたい点

簡単な点から先に確認しておく。これらは部会でも議論の余地がなく説明で終わっている確認事項である。まず、そのままでは﹁ウイルス﹂として動作しない一歩手前の状態として作られたコードが、不正指令電磁的記録に該当するかどうかについて、第1回部会で事務局らしき人*1から次の通り説明されている。 ●　そうすると，簡単に言うと，要綱︵骨子︶第一の方でいえば，まだ電磁的記録になる一歩前の段階で，例えば，計算式みたいな形で紙に書かれているというものも含めて捉えるという御趣旨で考えてよろしいということですか。 ●　内容的に，コンピュータ・プログラム，ウイルスのプログラムとして機能する実体を備えているものである必要はございますので，プログラムの断片部分のようなものは，ここで言う﹁不正な指令に係る記録﹂には当たらないと考えております。 ●　電磁的記録になっていても，今一歩何か欠けている部分があって，使ってもそれだとウイルスとしてうまく動かないという場合であっても，場合によっては，こうなり得る余地はあるということにつながってきますか。 ●　ほんの少し手を加えただけで不正な指令として完成するような実体であるものは，ここでいう完成している電磁的記録，完成しているウイルス・プログラムとしてとらえるべきだと考えております。 第1回議事録この点は、後に述べる﹁プログラムの多態性﹂において重要となる。次に、﹁実行の用に供する﹂の﹁実行﹂という文言が指すのが、現行刑法に出てくる﹁実行﹂とは何の関係もなく、コンピュータについて普通に言うところのプログラムの実行のことだけを指していることについて、第6回部会で次の通り確認されている。 ●　︵略︶﹁実行の用に供する﹂と，﹁実行﹂という言葉が使ってありますよね。刑法典で﹁実行﹂という言葉が出てきているのは初めてですか。︵略︶ ●　御指摘のように，これは，未遂かどうかということを区別いたしますときの﹁実行﹂ではございませんで，いわゆるコンピュータ用語としてごく普通に使われている，あるいはキーボードにも書いてあるような用語としての﹁実行﹂なのでありますが，これを端的にどう表すか，プログラムについてどういうふうに書くかというとなかなか用語がなく，ほかに適切な用語があれば教えていただければと思います。 ●　○○委員は，これにこだわられる理由は何なのですか。 ●　こだわっていないのだけど，もっと適切な言葉があれば。 ●　原案の言葉がどうして不適切なのですか。不適切と感ずるのは，これを使うと何か不都合があるというふうに感じておられるからでしょう。 ●　いや，私どもは……。 ●　そうでないといわれるなら，言葉の適切性について延々と議論するのはどうかと思いますね。みんなそれぞれ美意識が違いますので，いろいろなところでそういう話になってしまうと思うのですよ。何か実害があるということなら，そういう議論をしても意味があると思いますけれども。 ●　犯罪行為の実行の方の概念に引きつけられる可能性があるもので。 ●　余り意味のある議論とは思えませんが。 ●　もう少し適切な文言がありませんかということです。 ●　今の点ですが，この﹁実行﹂というのが犯罪実行行為の意味にとられるという懸念を示されておりますが，条文上は43条と60条に，﹁犯罪の実行﹂というふうに，﹁犯罪﹂という言葉が入っておりますので，こういう形で使われたとしても，懸念はないだろうと，このように思います。第6回議事録この点は、後に述べる﹁実行の用に供する目的で﹂の﹁実行﹂がどのような実行のことを指すかの解釈についての偽造罪との対比の議論において重要となる。

法制審議会での論点

次に、法制審議会で議論となった論点を整理する。立案者の考え方がよくわかる。この考え方を踏まえない議論をしても始まらないので確認しておきたい。

1. 社会的法益か個人的法益か

議事録の以下の部分から、一般にウイルスを規制するには、個人的法益を保護する目的による立法と、社会的法益を保護する目的による立法の両方が可能であるということ、そして、今回の法案では社会的法益を目的としているということがわかる。何故，社会的法益に対する罪として構成したのかということでございますが，もちろん，コンピュータウイルスが，個々の人が使っている個々のコンピュータの機能を害するという個人的法益の侵害をしている，そういうウイルスが多数あることはそのとおりでございます。しかしながら，既に御説明をさせていただいておりますように，それとともに，コンピュータやプログラムの機能を考えますと，プログラムに対する社会の信頼というものを保護することが，電子計算機の社会的機能，電子計算機による情報処理の円滑な機能を維持するために必要であり，また，現実にウイルスが社会に広く蔓延して被害を与えているという実態がありますから，社会的法益に対する罪という構成も十分に考えられ，そういう形で保護する必要があるというように考えているということでございます。個人的法益を保護する必要がないということではありません。 第3回議事録まず，保護法益の関係でございますが，コンピュータ・ウイルスは，他人が使用しているコンピュータで実行されて，データの破壊などの実害を与えるものでありまして，その意味でコンピュータ・ウイルスは個々のコンピュータ利用者の利益を害するという側面があって，それについても刑法的な保護が必要であると考えておりますが，それとともに，コンピュータのプログラムというのは容易に広範囲の電子計算機に拡散するという性格がある上に，コンピュータの使用者は，プログラムがどのように機能するかというのを容易には把握できないので，プログラムが変な動作をしないと信頼して利用できないと，コンピュータの社会的機能が保護できないということになります。また，現実にコンピュータ・ウイルスが広範囲に社会に害を与えているという実態がございますので，そういうことを考えますと，電子計算機のプログラムに対する信頼という社会的法益を害する罪として構成するのが相当だと考えているところでございます。第1回議事録これに対して委員から、﹁サイバー犯罪条約では個人的法益による構成を要請しているのではないか？﹂というような趣旨の疑問が次のように呈された。条約と今回の要綱案との関連についての質問になるのですが，この条約の方をよく見ますと，6条というのは，2条から5条までを受けて，2条から前条までの規定に従って定められる犯罪を行うために使用する意図というのが要件になっているように読めるのです。例えば，前の条文の5条のところを見ますと，ほかの条文，不正アクセスや不正な傍受の部分については，それ自体が重大な害悪だというふうに考えているのだと思うので，﹁重大な妨害﹂というような言葉は入っていないのですが，システムの妨害については，実際のコンピュータシステムの機能に重大な妨害が行われることが犯罪になる，それを行うための意図を持ってウイルスを作ったという形になっておりまして，それが，示されている要綱案では，限りなく，コンピュータが意図に反して動いてしまった場合というような形に拡散してしまっているのですけれども，どうして，この2条から5条までのような犯罪類型を統一的にまとめて，それらの，ある意味予備的行為になると思うのですけれども，それらの予備的段階としてのウイルスの製造や販売，調達という形にされないのか。その方がずっと構成要件も明確化するし，処罰範囲も明確になるというふうに思うのです。条約そのものが求めているのはそういう立法なのではないかなというふうに思うのですけれども，そういう立法にされない理由を説明していただけないでしょうか。第3回議事録これに対して次のやりとりがあり、この疑問は払拭されている。 ● 委員が御指摘のように，この要綱で考えておりますのは，条約の2条から5条までの規定に従って定められる犯罪の予備的な犯罪として構成したものではなく，先ほどから申し上げていますように，プログラムに対する社会の信頼を保護法益とする罪として構成したものであります。なぜそういう構成にしたのかというのは，先ほど申し上げた理由のとおりでございますが，他方で，仮に2条から5条までの規定に従って定められる犯罪を主として行うために設計又は調整されたものに限定するということになりますと，例えば，使用者の意図に反して電子メールを送信してしまうようなウイルスがよくございますが，そういうプログラムが入らないことになるなど，相当性を欠く場面も多いというように考えているところでございます。 ● しかし，条約そのものが﹁など﹂というような言葉は入っていなくて，﹁二条から前条までの規定に従って定められる犯罪を行うために使用する意図﹂というふうに限定……。 ● 条約より広いということは申し上げているとおりで，なぜそうしたのかという理由を今申し上げたところでございます。 ● 条約の範囲を超えて立法されているわけですね。よく分かりました。 第3回議事録

2. 社会的法益による立法を選択しなければならない理由

そうすると、個人的法益の刑法的な保護も必要であるとされつつも、今回は社会的法益の保護を目的としたという、その理由は何かということになり、委員から何度も繰り返し問われている。それらに対する回答を集めると次のようになる。 ●個人的法益で立法すると法定刑が軽すぎるものにならざるを得ず、条約の趣旨に合わない個人的法益か社会的法益かという問題ですけれども，確かにこれを個人的法益を害する罪という形で把握することは可能だと思います。ただ，現在でも，個人的法益を害する罪には，例えば業務妨害とか器物損壊とか，既にいろいろあるわけでして，その一種ではないかというふうに考えますと，それは，器物損壊そのものに対しては予備段階のものであるということになりますので，そうしますと，これまでの立法の原則からしまして，予備罪の法定刑というのは，いわば非常に軽い，例えば，業務妨害が3年であれば，恐らく1年程度にとどまるというようなことになるのではないかと思われますけれども，この条約が想定しております犯罪というものは，具体的に何年の刑にせよということを条約が明言しているわけでは全くありませんけれども，やはりそれほど軽いものとして扱うということは条約の全体の趣旨に合わないのではないか。どうしてある程度の重さの法定刑が要求されるかという，その背景は何かということになりますと，先ほどから御説明を繰り返されておりますように，いわば社会全体の持つコンピュータシステムに対する信頼を破壊するという点で，単なる個人的法益にとどまらないということが理由なのではないかと考えられますが。第3回議事録 ●社会的法益の保護として構成しないと、使用者の意図に反して電子メールを送信してしまうようなウイルスについて処罰できない他方で，仮に2条から5条までの規定に従って定められる犯罪を主として行うために設計又は調整されたものに限定するということになりますと，例えば，使用者の意図に反して電子メールを送信してしまうようなウイルスがよくございますが，そういうプログラムが入らないことになるなど，相当性を欠く場面も多いというように考えているところでございます。第3回議事録 ●ネットワークが高度に発展している現在、プログラムは容易に広範囲に拡散する性格があり、現実にウイルスが広範囲に社会に害を与えているという実態がある個々の者が使用する電子計算機の適正な機能という個人的な法益を保護法益とすべきだという御意見も出ましたが，電子計算機のプログラムは，容易に広範囲の電子計算機に拡散させることが可能であり，かつ，その機能を電子計算機の使用者が把握することは困難であることにかんがみますと，プログラムの実行によってなされる電子計算機の情報処理の円滑な機能を確保するためには，電子計算機のプログラムに対する社会の信頼を保護する必要性は極めて大きいと考えられますとともに，現に不正なプログラムが広範囲の電子計算機でその使用者の意図に反して実行され，広く社会に損害を与えているという実態があるのですから，電子計算機のプログラムに対する信頼という社会的法益を保護する罪として構成するのが相当であると考えております。要するに，ネットワークが高度に発展していることも踏まえますと，不正なプログラムが与える害悪は，個々の電子計算機の機能の阻害を超えたものがあると考えられるということでございます。第6回議事録このような判断は、日本の法体系上致し方ないということだろうか。

3. 作成は罪に問わないという案を採用できない理由

●　作成まで処罰するかという議論がありまして，私は今回は作成を外して，提供した者の提供罪の方は処罰して，こういう意見も業界筋にもあるようですけれども，先ほどから実際の業界のいろいろな正統的な業務として行っている人たちからすると心配が幾つかあるというときに，作成そのものというよりも，やはり現段階では提供罪から処罰をしていって，その後その事態の推移を見て作成罪を処罰したらいかがかという議論もあるようですね。そういう議論もこういう業界ではかなり強く主張されているというふうに思いますので，その辺のことも配慮して，今回一気に作成・提供という形で作成から処罰するということをしないで，具体的な行為があった，あるいはその未遂という段階から処罰するというような形でしたらどうかという意見もあるのですが，その辺はいかがですかね。 ●　これも前回議論のあったところでございますが，いかがですか。 ●　保護法益の理解が重要だと思うのですが，それを先ほど来お話しされているような趣旨で理解することを前提として申し上げれば，ここでも現行の偽造罪の諸規定とパラレルに考えることが可能です。もし先行する作成を処罰しないとしますと，それは，先行するおおもとの偽造を処罰しないで交付と行使だけを処罰する立法ということになります。それは保護法益の理解を前提に考えてもおかしいと思われます。悪いものを世の中に生み出すところのおおもとの行為はやはり処罰しなければいけないということです。第6回議事録個人的法益ではなく社会的法益を選択したからには、作成を除くのはあり得ないということになるようだ。

4. ﹁不正な指令﹂の部分の﹁不正な﹂が付け加えられている理由

●　︵略︶害を与える機能である必要があるかどうかという点につきましては，コンピュータの使用者の意図に反する動作あるいは意図する動作をさせないこととなる指令を与えるものである以上，それで，基本的に当罰性はあると考えておりまして，その意味で，必ずしも，有害といいますか，害を与えるものに限るというようには考えておりません。 ●　多少なりともその機能の意味では限定がありそうだという感じは今の御回答でいたしましたけれども，ただ，害という形で限定されているわけではないというのは理解いたしました。 ●　その﹁害﹂というのをどういうふうにとらえるかでございましょうけれども，いずれにいたしましても，プログラムに対する信頼と申しますか，それによって，コンピュータによる情報処理が営まれるわけでございますので，保護法益との関係からまいりましても，そういう信頼というものをその意味で害することになるようなものに限られているということではございます。 ●　いかかでしょうか。ただいまの点に関連して何かございましたら。 ●　○○委員が今おっしゃった，後で議論するおつもりだったのかもしれないのですが，今のことを聞いていると，不正な指令の﹁不正﹂というのは余り意味がないということになるのですか。ちょっと言い方はおかしいのですけれども。意図に沿うべき動作をさせずということと，意図に反する動作をさせるということがあれば，そういう指令なら，不正な指令であると。だから，不正という概念が，これまた何が不正かという議論になるのでしょうけれども，正，悪というのが何か基準があって，社会的に是とされるもの，社会的に非とされるもので正，不正というのが分かれているという意味よりも，人の使用する電子計算機について，その意図に沿うか沿わないかという，そこで全部分けているというふうになると。正，不正というのは，ただ，飾り文句と言うと言葉はおかしいのですけれども，そうなるんじゃないかというふうな気がして今聞いていたのですが，そういうことでよろしいのですか。 ●　先ほどの○○委員の御発言もそういう趣旨ではなかったかと思うのですけれども，要するに，﹁意図﹂と﹁不正﹂とは一連のものではないかという御発言でございましたが，その辺いかがでしょうか。 ●　基本的に，コンピュータの使用者の意図に沿わない動作をさせる，あるいは意図している動作をさせないような指令を与えるプログラムは，その指令内容を問わずに，それ自体，人のプログラムに対する信頼を害するものとして，その作成，供用等の行為には当罰性があると考えておりますが，そういうものに形式的には当たるけれども社会的に許容できるようなものが例外的にあり得ると考えられますので，これを除外することを明らかにするために，﹁不正な﹂という要件を更につけ加えているということでございます。第3回議事録その﹁例外的にあり得る、社会的に許容できるようなもの﹂にはどのようなものが考えられるかについては、次のように答えられていた。 ●　不正な指令という場合には，不正というのは，内容虚偽とか，そういった実質にかかわる問題という意味なのでしょうか。 ●　意図に反する動作をするような指令を与える電磁的記録に形式的には当たるものであっても，例えば，アプリケーション会社が，そのユーザーのところに入っているコンピュータのプログラムをいわば勝手に変えてしまうような場合で，それが普通許されるであろうというような例外的な場合もあり得るのでないかと。それを外すということを明確にするため，﹁不正な﹂というのを入れている，そういう趣旨でございます。第3回議事録同じことは既に第1回で説明されていた。 ●　︵略︶﹁その意図に沿うべき動作﹂というのをどう把握するのか，︵略︶例えば，ウィンドウズのＸＰなどを購入しますと，デフォルト状態でマイクロソフトに接続されるような形になっている。それは買ったときにはほとんど分からない。普通の人はね。普通の人というか，特にマニュアルを詳細に読んでやらないと分からない。それから，オフィスというソフトウェアがありますけれども，あれも買って使うといろいろ便利な表とかワープロとか出てきますけれども，何もしないとイルカが出てくる。邪魔だということで消さなければいけない。こういう機能面というのですか，おまえが買ったのだからということでこれを処罰するというふうには考えていないとは思うので，例として出したわけですけれども，この辺をどういうふうに切っていくのだろうと。つまり，その意図というのはどういうふうに解釈するのか，つまり，購入した，あるいはプログラムを作成したその作成されたプログラムそれ自体というふうに考えるのか，それから，いつの時点で把握するのか。つまり，ワードのイルカを出すプログラムをかいた人は，当然それが買った人のもとでもそのように動くということは分かっている，買った人は，そんなものが動くとは思っていない。そうすると，プログラム作成者ということで限定していいのかどうかということが一つ出てくるのですけれども，これはコンピュータの使用者ですから，プログラムを作成した人ではなくて，使用する人の意図したとおりに動くかどうかということになってくるのじゃないか。しかし，使用する人のプログラムに対する認識というのは，個々具体的で，具体的に把握するというのは余りに細か過ぎて，これも適当ではない。その辺で，﹁その意図に沿うべき﹂というのをどういうふうに考えていて，これでコントロールできる範囲，あるいはここから除外しなければいけない範囲について，どんな議論がなされたか，教えていただきたい。 ● ︵略︶意図に反するものであっても，正当なものがあるのではないかというような御質問もあったかと思いますが，その観点からは，この要綱の案におきましては，対象とする電磁的記録を﹁不正な指令に係る電磁的記録﹂に限定しておりまして，例えば，アプリケーション・プログラムの作成会社が修正プログラムをユーザーの意図に基づかないでユーザーのコンピュータにインストールするような場合，これは，形式的には﹁意図に反する動作をさせる指令﹂に当たることがあっても，そういう社会的に許容されるような動作をするプログラムにつきましては，不正な指令に当たらないということで，構成要件的に該当しないと考えております。第1回議事録

5. ﹁目的﹂の部分を﹁不正な目的で﹂とすべきではないかという提案が却下された理由

委員からは、正当な目的の作成行為が処罰対象となりかねないという懸念が繰り返し示されているが、委員から示された具体的懸念については完全に論破されている。正当な目的で不正指令電磁的記録等を作成・供用等した場合の規定の要否につきましては，条約の6条2項のような規定を設けるべきではないか，あるいは﹁実行の用に供する不正な目的で﹂とすべきではないかという御意見がございました。しかしながら，例えば，ソフトウェアの開発会社等がセキュリティのチェックを行うためにウイルスプログラムを人の電子計算機に記録する場合には，その者の同意を得ている以上，﹁人の電子計算機において実行の用に供した﹂ということは言えず，同様に，そのような目的でウイルスプログラムを作成したり，保管しても，自己の電子計算機あるいは同意を得ている者の電子計算機でのみ実行させる目的である以上，﹁人の電子計算機における実行の用に供する目的﹂に欠けることから，いずれの場合においても，犯罪が成立しないことは明らかであると考えております。したがいまして，御意見にありましたような規定を設ける必要性はないものと考えております。 第6回議事録ここで重要なのは、同意を得ているとなぜ、﹁人の電子計算機における実行の用に供する目的﹂に当たらないことになるのかであるが、それは次のように説明されている。 ●　今，○○委員がおっしゃっておられましたような，セキュリティ・チェックのために，機能的にはウイルスと同じようなものを作って，それを自分の支配内のコンピュータシステムとか，そういうところで使用して実験をする，そういう場合には，指令としては，この要綱の不正指令には当たり得るものではありますが，﹁人の電子計算機における実行の用に供する目的﹂，これがないと。同意を得ている人，あるいは自分のシステム内でやる分には，その目的がないので，犯罪は成立しない，こういう理解でございます。 ●　今の点，細かい点ですけれども，ちょっと確認させていただきます。要するに，目的が落ちる，目的に当たらないということですが，要綱の﹁人﹂というのは他人を指していて，同意がある人はここでいう﹁人﹂には当たらない，ですから﹁人の電子計算機における実行の用に供する目的﹂に当たらないということになって落ちると，そういうふうに理解してよろしいのでしょうか。 ●　ここで﹁人﹂は他人という意味で考えております。 それで，同じ理解になるのかもしれませんが，あくまでも，この罪というのは，プログラムに対する社会の信頼を害する罪でございますので，同意をしている人について信頼を害するということはない。偽造の場合，偽造だと分かっている人に行使と外形的に同じ行為をするのは行使に当たらないのと同じように，ここでは，同意を得ている人，分かっている人に対して使うというのは，ここでいう﹁人の電子計算機の実行の用に供する目的﹂には当たらない，そういうふうに考えております。 ●　実質的な御説明は理解可能なんですけれども，法文解釈として，明確に不可罰になるという趣旨からしますと，やはり﹁人﹂は他人であって，同意をしている者は﹁人﹂には当たらないと。したがって，この目的の要件は，同意をしている人に対して使うためにこれこれする場合は当たらないと理解しておいた方が，非常に明確であって，疑義を感ずる余地がないのではないかと私は思います。第6回議事録この理屈は筋が通っているだろう。それでもなお委員からは続けて何度も懸念が示される。その都度、繰り返し同じ理屈で問題ないと説明されている。 ●　今の点に関してというか，ちょっとずれるのですけれども。この問題というのは，○○幹事がおっしゃるように，幾らワクチン開発の目的であっても他人のコンピュータに侵入して，そんな開発の仕方が許されるはずはないじゃないかと，ここはもうコンセンサスがとれていると思うのですね。つまり，デュアルユースが問題になる理由は，萎縮的な効果というか，そこが心配される，そういう問題だと思うのです。そうすると，何を処罰するかという問題についてはコンセンサスがとれていて，それを可及的にどういうふうに範囲を明確にする規定形式にするかという，規定形式の問題じゃないかというふうな気がするのです。そういう意味で，私どもは，例えばいろいろ工夫はして限界はありますけれども﹁不正の目的﹂という言葉を入れたらどうだという提案はしましたけれども，……︵略︶ ●　今の御発言の冒頭に言われた，構成要件なのか違法性なのかという問題について言えば，先ほど来申し上げているように，この﹁人の電子計算機における実行の用に供する目的﹂に当たらない以上，当然構成要件に当たらないというふうに理解しているわけであります。第6回議事録 ●　それは，お考えの構造は分かるのですが，果たしてそれがいいのかというのが私どもの問題意識で，例えば文書偽造とパラレルに考える場合には，︵略︶ところが，コンピュータの世界の場合には，そういう特殊な領域があるということ，だから論点になるのだと思うのです。実体法的に，最終的に裁判官の判断で何が犯罪か，︵略︶︵略︶そういう特殊な考慮がこの規定形式を作る際にどのように考慮されているのかということをお伺いできれば，私どもは有り難いというか，いい法律ができるというふうに思っているものですから，こういう質問をさせていただいております。 ●　繰り返し申し上げることになりますけれども，要するに人の使用する電子計算機について，……︵略︶第6回議事録 ●　今の議論は，第一の罪の新設そのもの全体に反対するとかいうことを言っているわけではなくて，先ほど来議論になったような正当なものを排除していこうということで，そういう正確な文言が作れないかという議論をしているのですが，今のお話ですと，その意図に沿うべき動作をさせず，その意図に反する動作をさせる電磁的記録だということが分かれば，それだけでこれは発動されるのではありませんか。後に，それが実行の用に供する目的だったかどうかとか議論があるにしても，先に発動されてしまうのではないかと，そうすると業界筋等は非常に萎縮効果が出てという議論になっているのですよ，組立てが，○○幹事の言われたのは。だから，そういう意味でこの第一の一というものが，そういう正当な業務として行うものにはかかっていかないのだという，条文を見て安心できるような条文にしてもらった方がいいのではないかということを言っているのだと。だから，犯罪目的というのが書いてあれば，例えば条約のように﹁犯罪の目的に﹂，あるいは﹁犯罪の意図で﹂というふうになっていれば，それはもう業界筋は犯罪ではないという確信を持ってやれるから問題はないだろうと。だから，そういうものとしてこの第一の一が読めますかという議論がさっきから出ているのですね。 ●　先ほども申しましたように，要するにこの条文で少なくとも正当な目的の場合については構成要件阻却か違法性阻却か，どちらかでは落ちるのだということは皆さん御了解されていると思うのです。ですから，まずそこから始まって，あと手続上の問題ですけれども，それが果たしてそれほど重要な問題なのかどうか。先ほども説明がありましたけれども，実際上，特に﹁人の使用する﹂の﹁人﹂に同意があるような場合について，それが実際に事件の対象になってくるのかどうか，その辺，私としては十分理解できないのですけれども。 第6回議事録セキュリティのチェックを行うためにウイルスプログラムを作成する場合を懸念の具体例として議論しているかぎり、﹁﹃人の電子計算機における実行の用に供する目的﹄に当たらない以上，当然構成要件に当たらない﹂というのは正論だろう。そして、合意が形成される。 ●　私，先ほど意見を申し上げましたけれども，基本的には構成要件に該当しないという形で正当なものは落ちているのではないかというふうに思います。 ●　ほかの皆さんはいかがでしょうか。この条文の作り方で十分それは可能であるということですね，○○委員の御意見も。 ●　これで，正当な目的で，セキュリティをチェックするために一定のプログラムを作成するというようなものが処罰の対象になることはないと。 ●　この条文で，心配はないということでございますが。第6回議事録それでもなお食い下がる委員に対し、﹁実行の用に供する﹂というところに﹁不正の目的﹂と入れるかどうかということにこだわっておられると思うのですけれども，おそれておられるのは，目的のところが飛んでしまって，後ろの部分の動作をさせるような働きをする，そういうものを作ったら，それで令状が出て，捜索等がなされてしまうのではないか，あるいは逮捕状が出てしまうのではないか，そういうことのように思うのですけれども，この原案でも，そういう﹁人の電子計算機における実行の用に供する目的﹂があるということも疎明しなければならないわけです。そこを﹁不正の目的﹂と書こうと原案のように書こうと，疎明をしないといけないわけで，そこのところで，恐らくおそれられているようなことははねられていくと思います。﹁不正の目的﹂と書いても，おっしゃっているような事態をもし裁判官がチェックできないとすると，それは入ってくるので，そういう話ではないというふうに思うのです。 何を懸念されているのか，ちょっと私どもにはいま一つつかめないところがあるので，もっとはっきり，こういう場合が落ちてくるじゃないかということがあれば言っていただきたいと思います。 第6回議事録ほとんどキレかかっている。結局、﹁何を懸念されているのかあれば言っていただきたい﹂に対して、食い下がった委員は答えることができず会議は終わり、最終回で票決にかけられ、懸念を示していた委員らによる修正案は、賛成2名、反対15名で否決されている。

私の結論: 修正案

ここで先に私の結論を書く。私の考えでは、この法案は次のように修正するべきだと考える。

修正前: 第十九章の二　不正指令電磁的記録に関する罪︵不正指令電磁的記録作成等︶第百六十八条の二　人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。一　人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録二　前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録 2　前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。 3　前項の罪の未遂は、罰する。︵不正指令電磁的記録取得等︶第百六十八条の三　前条第一項の目的で、同項各号に掲げる電磁的記録その他の記録を取得し、又は保管した者は、二年以下の懲役又は三十万円以下の罰金に処する。 修正後: 第十九章の二　不正指令電磁的記録に関する罪︵不正指令電磁的記録作成等︶第百六十八条の二　人の電子計算機における実行の用に供し、人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせる目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。一　人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録二　前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録 2　前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供し、人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせた者も、同項と同様とする。 3　前項の罪の未遂は、罰する。︵不正指令電磁的記録取得等︶第百六十八条の三　前条第一項の目的で、同項各号に掲げる電磁的記録その他の記録を取得し、又は保管した者は、二年以下の懲役又は三十万円以下の罰金に処する。

修正すべき点の意図を説明するために書いたものなので、同じ文言が繰り返し現れていて、文章の格好はよくない。同じ趣旨で全体をうまく書き換えることはできるかもしれない。この修正の意図を以下に説明する。

法制審議会で懸念として挙げられた議論はピントハズレ

上で議事録を確認したように、法制審議会の議論では、構成要件で示される対象が広すぎるのではないかという疑問に対し、﹁人の電子計算機における実行の用に供する目的﹂で限定されているから、懸念されているようなことは﹁構成要件に該当しないという形で正当なものは落ちている﹂という結論になっている。この疑問に対してその結論となるのは当然で、なぜなら審議会で懸念として出たのが、﹁セキュリティのチェックを行うために使うウイルスプログラム﹂のことだけだったからだ。以下の部分のようにその話ばかりで白熱していている。 ●　︵略︶なぜこんなことを伺うかというと，私自身はコンピュータのプログラミングのことは全然分かりませんが，法制審にかかわるということになったので，コンピュータのプログラミングに詳しい方などからいろいろ意見を聞いたのですけれども，現実にウイルスを作ってコンピュータを破壊しようとする行為と，コンピュータのセキュリティを改善してウイルスから守っていこうというふうにやる行為は，現実にコンピュータの中でやっている行為としては非常に似てくると。確かに，コンピュータウイルスを使ってやる人の方はいかにも犯罪者みたいで，セキュリティの作業をやっている人はちゃんとした企業の中でやっていれば，それは見分けがつきやすいかもしれません。しかし，インターネットのユーザーというのは非常に多様でして，全く草の根で，マイクロソフトのＯＳにこんな欠陥があるというようなことを指摘することを非常に楽しみにしているような，そういうユーザーだっているわけですね。そういう人たちがやっている行為自身が犯罪と間違われてしまわないようにするためには，やはり，こういう，コンピュータシステムの正当な試験又は保護，そして2条から5条までの犯罪を行うことを目的としない場合というのは，これは該当しないのだということを書いておかないと，現実にコンピュータを非常によく使っている人などから言わせると，こういう行為自体が非常に前広に規制の対象にされることになったら，民間の人たちが自分たちの創意工夫でセキュリティを高めていこうとする行為自身にチリング・エフェクトというのですか，そういうものを与えてしまう。要するに，セキュリティはセキュリティ企業だけが独占する，ＯＳを持っている企業やセキュリティ企業だけが独占して，草の根のユーザーがセキュリティを高めていくような努力とハッカーがやっているようなことというのはなかなか見分けがつきにくいものなのだということをいろいろな人から聞いたものですから，そこがはっきり仕分けできるような文言を入れていただかないと困るのではないか。そして，その手掛かりになるのが，条約そのものの，6条2項にある条項だと思いますので。︵略︶︵中略︶ ●　委員にお答えを先取りされてしまいましたが，﹁実行の用に供する目的﹂で切れると考えておりますし，法律を作るということで言えば，それで十分だと考えています。 なお，例えば，ウィンドウズのセキュリティ・ホールを警告するために，人の使っているコンピュータでウイルスを動かすという行為は，それは，いくら，その人がそんな目的だといってみたって，動かされる方にしてみれば非常な迷惑であって，いくらセキュリティ・テストだとか，セキュリティー問題があることを宣伝するためだとかいってみたところで，それは，十分処罰をすべき行為だと考えております。 ●　私もそういうお答えを期待していたのですけれども，だとすると，正しく他人のコンピュータで現実にウイルスを動かす，ないしは動かせる状態，利用可能な状態にする，そこから犯罪にすればいいので，自分のスタンドアローンのコンピュータの中でその問題を調査したり研究している段階，それを他人のコンピュータに入れるという行為をしなければ，取りあえず害はまだ発生しないわけで，なぜ単純にウイルスを製造している行為から犯罪化しなければいけないのか。︵略︶ ●　同じことの繰り返しになってしまうかもしれませんが，自分のコンピュータでウイルスをテストする分には，この要綱の案で申し上げますと，﹁人の電子計算機における実行の用に供する目的﹂がありませんので，当然当たらないというように考えております。︵略︶︵中略︶ ●　︵略︶しかし，その前の段階で，システムセキュリティのための会社がやっている作業，そして現実にそういうことを依頼されたコンピュータプログラマーが，この会社のシステムは大丈夫かどうかといったことをチェックしている作業というのと，ハッカーがコンピュータに対して不正アクセスをしようとしているような行為とは，規範的な点は除外すれば全く同じ行為なわけですよね。そういう行為がかなり広範に行われているという前提に立って考えないと，先ほどの事務当局の説明で，あたかもコンピュータウイルス自身が禁制品みたいな言い方をされましたけれども，それは私は間違った考え方で，むしろコンピュータの，例えばウィンドウズのＯＳの中にこれだけのセキュリティ・ホールがある，そういうことを指摘してきたのは，いわゆる，俗に言うハッカーグループみたいな人が，こんなに穴があるじゃないかということを指摘して，そしてセキュリティを高めてきているという場面もあるので，そういう意見自身が，今回の要綱案には全く反映されていない。現実にこういうものができてしまったら，恐ろしくて，ＯＳの穴があるじゃないかなんて指摘する人もいなくなるんじゃないか，そうすると，むしろコンピュータ事業全体に大変悪影響も及ぼすんじゃないかというような意見も専門家の方から聞いたものですから，そういう観点も是非検討していただきたいなと思います。 ●　︵略︶いずれにしましても，ハッカーのグループというのが，そういう意味で，反面，社会的な効用があると。確かに，ピッキング被害等いろいろあったことによりまして，一般家庭のセキュリティであるとか，あるいはかぎの性能が向上したわけではございますけれども，しかし，ハッカーグループのやっている行為自体は社会的に容認されない行為でございまして，その意味で，試験目的でありましたり，正当な目的でなさる行為が今回の要綱で含まれているはずもないわけでございまして，その辺は，先ほど，﹁実行の用に供する﹂とか﹁不正な指令﹂とかいうあたりで説明があったわけでありますけれども，企業が研究目的なり，あるいは個人的にベンチャーを目指していろいろと研究をなさっておられるということであれば，これは当たらないのは当たり前のことでありまして，その意味で，実体法の要件でございますので，その要件があるのかないのかというのはいろいろな証拠から厳格に，総合的に判断して認定されていくということになります。︵略︶︵中略︶ ●　私も，正当なものは処罰されてはならない，結果として明確に処罰範囲から落ちる必要はあるというように思います。しかしながら，処罰されるべきものはきちっと処罰されるべきであって，しかも，先ほどからお話が出ておりますけれども，たとえセキュリティ・ホールをチェックするためのものであっても，自分のシステムでやるのならそれは結構でございますが，他人様のシステムを勝手に使わせていただいてセキュリティ・ホールのチェックなどというのをやられては，○○幹事もおっしゃったように，やはり困るわけでございます。そのようなものを作り出すということ自体が，私は，現代社会においては放置できないのではないかというように考えております。もちろん，個別の被害が発生した場合には，その個別の被害について犯罪は成立する，例えば業務妨害罪等々あるいは器物損壊罪等々が成立するということはあり得るところだというふうには思いますけれども，その前の段階で抑えておく必要が十分に認められるのではないか。︵略︶第3回議事録この議論を見ると、脆弱性を突くコードが﹁ウイルス﹂であるかのように語られているが、この法案で作成を処罰しようとしているのは、脆弱性を突くものに限られるわけではなく、ごく普通の方法でファイルを削除するプログラムでも、ファイルのコピーをするプログラムでも、﹁意図に反する動作をさせるべき指令﹂となり得るわけで、この議論はピントが外れている。﹁﹃実行の用に供する目的﹄で切れる﹂として最初に論破されているのに、同じ話題を繰り返すものだから、﹁ハッカーグループ﹂が云々と関係のない話で白熱してしまっている。﹁﹃実行の用に供する目的﹄で切れる﹂が本当にそうかという点については、次のように説明されている。 ●　お言葉を返すようなのですけれども，現実に人のコンピュータの実行に供する目的かどうかということは，第三者の利用可能な状態に置けば，もうはっきりしますよね。その時点では，その行為によってもその目的は証明されているようなものだと思うのですよね。だけれども，自分のコンピュータの中でやっているだけのときには，それはその人に聞いてみなければ分からないですよね。これはあなた個人で遊んでいるんですか，それとも第三者のために使う目的ですかということを，逮捕でもして追及してみない限り分からないじゃないですか。そこを申し上げているのです。 ●　それはほかの犯罪類型についても言えることかと思いますが，ウイルスを作っているという行為だけではなくて，そのほかのいろいろな諸事情から目的があったと認定できる場合もありますし，その意味で，作成罪も意味があるといいますか，聞いてみないと分からないということではないと考えております。第3回議事録 ●　実体法の観点から意見を述べさせていただきます。︵略︶先ほど来，構成要件の問題と証拠疎明の問題が出ておりますが，この行使の目的で限定するという場合には，外形上の問題と，それから主観的な目的としての行使の目的で限定が十分に働いておりますので，先ほど来心配されているような事態は，ここでは全部排除されるのではないか，このように考えます。したがいまして，こういう形で条文化した場合に，私は不当な要素が介入する余地はないのではないか，このように考えております。第6回議事録

法制審議会の議論はプログラムには多態性があるという視点を欠いている

上のように、懸念は﹁目的で外れる﹂とされているわけだが、問題なのは、審議会の議論では一貫して、プログラムの動作は作成した時点で確定しているという前提を置いているところにある。プログラムというものは、文書と違って、供用時にどのような効果をもたらすかが作成した時点で確定するとは限らないものなのにだ。この観点についての疑問ともとれる発言が審議会では一回だけ出てくるが、スルーされてしまっている。 ●　同じようなことでちょっと違うのですが，今の問題の議論で，作成まで処罰する，それも3年以下の懲役というかなり重いもので処罰する，こういうふうになっているわけですね。︵略︶作成というものまで3年以下ということで重い刑罰を科していくということが果たして妥当なのか。刑法の謙抑性という言葉もよく使われますが，そういうことを含めると−−それを乗り越えてでも3年にしないと社会の不安がいや増しに増して大変なんだというのなら，またそれはそれで一つの議論になるかと思うですが，その辺を乗り越えておかないで，作成までとにかくやるんだという議論というのは，そうたやすくいかないのではないかというのが私どもの考え方で，作成者が，その意図が，コンピュータの誤作動をさせる目的があったかどうかということを抜きにして，作成する行為そのものをここまで取り上げるのはどうかというのが私の考えなのです。 ●　私は，むしろ逆に，ちょっと法定刑が軽過ぎるのではないかという気がしないでもないのです。つまり，︵略︶第3回議事録この法案では、作成の目的が供用である場合として限定されているわけだが、その供用がどのような結果を招く供用なのかということについての限定がない。このことについて、文書偽造罪と対比させながら︵おそらく刑法の専門家から︶次のように説明されており、ここが肝だと思われる。 ●　この問題は，現行法上の目的犯，例えば文書偽造罪などとパラレルに考えてよいと思うのです。単に文書を偽造しても，犯罪にはならず，行使の目的がなければなりません。﹁行使﹂というのは，それ自体はニュートラルな言葉なんですけれども，他方で，行使罪というのがあり，それは犯罪として要件が定められているのですね。その意味で，目的の内容は，別途定められており，行使罪を実行することを目的の内容として偽造罪という犯罪の内容が確定するという構造になっているのです。今回の原案もそれとパラレルに考えることができるはずであり，﹁実行の用に供する目的﹂というのは，それ自体はニュートラルな言葉なんですが，当然に，供用罪に当たる行為を行う目的というように理解されるべきものです。したがって，あえてそこのところに拘泥する理由はないと思うのです。現行法の規定について﹁行使﹂という言葉はそれ自体﹁およそ使う﹂というだけのことを意味するから，偽造罪の処罰範囲の限定には役立たない，なんて議論は誰もしないではないですか。ただいまの議論は，それと全く同じような議論ではないかと感じます。以上のことが前提なんですが，他方で，電磁的記録不正作出罪の場合，﹁人の事務処理を誤らせる目的﹂というニュートラルでない表現が使われています。ここでも，そういうはっきりした文言が考案できれば疑義も生じないのかもしれないとも感じるのですが，ただ，私は原案で，解釈上，ご指摘のような問題が生じる余地はないと考えております。第回6議事録まず2番目の強調部に着目すると、文書偽造罪において﹁行使﹂といえば、それ自体が罪を意味していることに議論の余地はないという。たしかに、刑法の17章を見ると、行使とは何かとか、偽造とは何かということについて何も定義されていない。常識だということだろうか。それに対して、電磁的記録不正作出及び供用の場合は、供用罪に﹁人の事務処理を誤らせる目的で﹂という限定が付いている。これは、﹁偽造データ﹂というものが何なのかということが、偽造文書ほど常識として定着していないからこそ付いた限定なのだろう。そして、不正指令電磁的記録に関する罪における供用罪はどうかというと、 2　前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。とあり、目的による限定がかかっていない。電磁的記録不正作出及び供用の供用罪と、不正指令電磁的記録に関する罪の供用罪を並べてみる。

電磁的記録不正作出及び供用の供用罪現行刑法第161条の2第3項不正に作られた権利、義務又は事実証明に関する電磁的記録を、第1項の目的で、人の事務処理の用に供した者は、その電磁的記録を不正に作った者と同一の刑に処する。不正指令電磁的記録に関する罪の供用罪刑法改正案第168条の2第2項前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。

不正指令電磁的記録の罪は文書偽造罪と﹁パラレル﹂なのだと説明されるのだけども、このように、電磁的記録不正作出及び供用とはパラレルになっていない。また、文書偽造罪と比べてみてもパラレルになっていない。文書偽造罪では﹁行使の目的で﹂とあり、行使それ自体が罪であってそれを目的とした偽造に限定しているのに対し、不正指令電磁的記録の罪では、﹁……実行の用に供する目的で﹂とあるものの、その﹁実行﹂とは、最初に確認したように、単にプログラムの実行のことを指しているのであって、次項の供用罪を実行する目的でという意味ではない。この目的による限定は、単に﹁自分だけで使う場合﹂を除外しているだけにすぎない。このことについて上の委員の発言でも、電磁的記録不正作出罪のように目的を限定するのでもよいかもしれないということが言われている点に注目したい︵上の議事録引用部の3番目の強調部︶。しかしその委員は続けて、必要性を感じる懸念がないので原案のままでよいということを言っている︵4番目の強調部︶。必要性を感じなかったのは、プログラムというものが、偽造文書同様に、作成された時点で実行時の動作が確定するものだという無理解からではないだろうか。電磁的記録不正作出罪のように目的を限定するのでもよいというのであれば、そうすればよかったのではないか。そこで書いてみたのが先に示した私の修正案であり、

2　前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供し、人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせた者も、同項と同様とする。

というものである。もう少し文を工夫して、電磁的記録不正作出及び供用に真似て書き直してみると、次のようにもできるかもしれない。

2　前項第一号に掲げる電磁的記録を、人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせる目的で、人の電子計算機における実行の用に供した者も、同項と同様とする。

この案に対する反論として考えられるのは、﹁前項第一号に掲げる電磁的記録を﹂とした時点で、﹁人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせる目的で﹂と限定しているのと同じだということがある。たしかに、﹁前項第一号﹂に﹁人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録﹂と書かれているのだから、同じことを繰り返す必要がないかもしれない。たしかに供用罪についてはそうかもしれない。だが、作成罪はどうか。作成の時点でどのような供用を意図して作成したものかという限定が付いていない。ここが問題だと思う。このような考えから、私の案では作成罪を前記の通り書いてみた。しかし、やはり同じ文が繰り返し現れるのは変なので、別の案も考えてみた。先に供用罪を定義してその後に作成罪を書くのはどうか。

第○○○条の○　人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録を、人の電子計算機における実行の用に供した者は、三年以下の懲役又は五十万円以下の罰金に処する。 2　前項の電磁的記録及びその不正な指令を記述した電磁的記録その他の記録を、前項の供用をさせる目的で、作成し又は提供した者も、同項と同様とする。

法案どおりでは駄目なのか

法案のままの場合、﹁人の電子計算機における実行の用に供する目的で﹂プログラムを作成する際には、そのプログラムが168条の2第1項1号で既定されたプログラムとならないように気をつけねばならないことになる。この﹁人の電子計算機における実行の用に供する目的で﹂というのは、︵どのような実行かは限定していないので︶単にプログラムを不特定多数に使ってもらうよう公開するだけで該当してしまう。つまり、不特定多数の誰かがプログラムを実行したときに、その意図に反する動作をさせることにならないようにしておかないといけない。このことは、法制審議会の委員︵事務局？︶からも繰り返し次のように主張されており、そういう趣旨なんだということがわかる。 ●　私は，むしろ逆に，ちょっと法定刑が軽過ぎるのではないかという気がしないでもないのです。つまり，社会的法益に対する罪として，プログラムに対する社会的信頼を害する行為を犯罪にするという考え方，すなわち，ウイルスが持っている危険性というのはネットワークを通じて社会に広がっていく可能性があるところにあり，それが処罰の根拠なのだという見方自体，正しいと思っているのです。これを前提にしますと，ここで問題となっているのは，社会の中に危険な薬物を生み出すとか，危険な凶器を作り出すとか，そういうのと非常に近い反社会的行為なのです。あえて刑法典の中に，これと近い犯罪を求めるとすれば，公文書偽造とか電磁的記録不正作出が挙げられます。確かにそれは個人的法益を害する形で使うことも可能ですけれども，今申し上げたような見方をすれば，そういう潜在的危険性を持っているからこそ処罰されなければいけないのだと考えられます。電磁的記録不正作出でも，普通の場合であれば5年の懲役まで行きますし，公文書偽造であれば10年までの懲役が法定刑として予定されています。それとの比較で考えても，3年以下というのはむしろ軽過ぎるのではないかという気がするのですね。これは，刑法典のどこに入れるのかということとも関係すると思うのですけれども，私はむしろもう少し重く評価してもよい，そういう実体を持っているのではないかと考えるのです。︵中略︶ ●　先ほどの文書偽造にあります﹁行使の目的﹂にある意味相当します﹁実行の用に供する目的﹂という目的要件を付した上でこのような骨子が示されているわけでありますけれども，ここで﹁作成﹂というのは，複写・複製ではなしに，新たに生み出すということでございまして，そうなりますと，この世に新たに生み出す，あるいはそれまでなかった人の手元にこういった社会に害悪を及ぼすようなものを出現せしめるということですから，それと，それを使うというのは，偽造罪等の一般の考えからすれば，同等の評価と申しますか，むしろ，作り出した人が一番悪い−−薬物のような考え方をしてまいりますと，むしろ作り出した人が一番悪い，あるいはそれを売った人が悪いという考え方も，禁制品的にとらえればあろうことかとは思われます。ここでは，電磁的記録であって，権利義務等に関するものでない，正にプログラムという，そういう性質の電磁的的記録でありますが，それを文書偽造なり電磁的記録などと同様の，偽造罪と同じような規制の仕方というものは，当然考え得る話ではなかろうかと思われるわけでございます。むしろ，私文書偽造は5年ということにはなってございますけれども，実はウイルスの方が社会全体に影響を及ぼしていくという……。私文書の偽造罪は，社会的法益とは言われながら，法律的な話ではございませんが，社会的な実態とすれば，むしろ，名前を使われた人の個人法益的な，その文書限りの話になってくるわけでございますけれども，ウイルスは，禁止薬物等の禁制品あるいはそれ以外の危険なものと申しますか，世の中にとって，コンピュータ社会全体に害悪を及ぼしかねないものですから，それを作る，他人の手元に生じさせる，現に使う，この辺は3年ではむしろ軽いのではないかというのもそれなりに理由があるお考えかなとも思われますが。第3回議事録コンピュータの使用者は，プログラムがどのように機能するかというのを容易には把握できないので，プログラムが変な動作をしないと信頼して利用できないと，コンピュータの社会的機能が保護できないということになります。また，現実にコンピュータ・ウイルスが広範囲に社会に害を与えているという実態がございますので，そういうことを考えますと，電子計算機のプログラムに対する信頼という社会的法益を害する罪として構成するのが相当だと考えているところでございます。第1回議事録使うとどうなるかわからないようなプログラムは社会にとって危険なものということが言われている。つまり、まさに法制審議会議事録テキストが﹁.exe﹂ファイルで公開されるような世の中であっても、安心して﹁.exe﹂をダブルクリックできる社会であらねばならないということだ。もちろん、善良なプログラマであれば、﹁.exe﹂のプログラムを配布するときには、それをダブルクリックすると何が起きるかについて嘘偽りなく説明するものであるから、たとえハードディスクをフォーマットするプログラムであっても、そういうプログラムだということの説明付きでプログラムを公開していれば、﹁意図に反する動作をさせる指令﹂ということにはならないのだろう。だが、本当にそれを常に実施することが可能なのだろうかという疑問がある。たとえばライブラリを公開する場合はどうか。ダブルクリックして使うものではないのだから、どのような動作をするかについて全部を常に説明するなんてことができるのか。﹁ライブラリは対象外では？﹂と安心できるかというとそうでもない。最初に確認したように、 ●　ほんの少し手を加えただけで不正な指令として完成するような実体であるものは，ここでいう完成している電磁的記録，完成しているウイルス・プログラムとしてとらえるべきだと考えております。第1回議事録とされている。プログラムや﹁ほんの少し手を加えただけで﹂プログラムとなるものを公開するときは、その挙動を説明する義務が生じてきそうだが、そのことについて議事録にも、第3回の冒頭で次の通り説明されている。本罪は，ただいま御説明いたしましたとおり，電子計算機のプログラムに対する社会一般の信頼を保護法益とする罪でございますので，電子計算機を使用する者の意図に反する動作であるか否かは，そのような信頼を害するものであるかどうかという観点から規範的に判断されるべきものでございます。すなわち，かかる判断は，電子計算機の使用者におけるプログラムの具体的な機能に対する現実の認識を基準とするのではなくて，使用者として認識すべきと考えられるところを基準とすべきであると考えております。したがいまして，例えば，通常市販されているアプリケーションソフトの場合，電子計算機の使用者は，プログラムの指令により電子計算機が行う基本的な動作については当然認識しているものと考えられます上，それ以外のプログラムの詳細な機能につきましても，プログラムソフトの使用説明書等に記載されるなどして，通常，使用者が認識し得るようになっているのですから，そのような場合，仮に使用者がかかる機能を現実に認識していなくても，それに基づく電子計算機の動作は，﹁使用者の意図に反する動作﹂には当たらないことになると考えております。第3回議事録また、2004年5月15日の日記に書いたように、情報ネットワーク法学会の﹁サイバー犯罪条約関連の刑事法等改正に関する公開セミナー﹂のパネル討論の席でも、プログラムの説明書が重要になってくるというお話があった。︵議事録はどこかにないのだろうか。︶そのとき私は、東大の山口厚教授に対して︵だったと思うが︶、﹁日本語で警告を書いても、日本語を理解できない人が起動してしまったら実行してしまうが、それでも罪になるのか﹂という質問をした記憶がある。そのときの回答はたしか、﹁英語で書くとか、あらゆる国の言語で書いておく必要があるかもしれない﹂というような答えだったような気がする。また、﹁害のあるプログラムでなければ対象外だよね？﹂と安心しているプログラマもいるかもしれないが、法制審議会の議事録によると、次のように、﹁害を与えるものに限るというようには考えておりません﹂とされている。 ●　先ほどの御説明に関連いたしまして，その内容について確認させていただくという意味も含めて，幾つかあるのですけれども，とりあえず1点伺わせていただきます。先ほどの御説明は，この要綱︵骨子︶第一の罪の保護法益は社会的な法益であって，プログラムの機能に対する信頼であるというように言われましたけれども，問題は，どういう機能かということではないかと思われます。つまり，︵略︶端的に言いますと，単なる機能ということではなくて，平たい言葉で言うと，何か害を及ぼすような，そういうような機能を持っていないという点についての信頼なのではないかと思うのですが，その点はいかがなものなのでしょうか。それとも，信頼の中身というのはもうちょっと広いものなのでございましょうか。いかがでしょうか。その点ちょっとお聞きしたいと思います。︵中略︶ ●　︵略︶害を与える機能である必要があるかどうかという点につきましては，コンピュータの使用者の意図に反する動作あるいは意図する動作をさせないこととなる指令を与えるものである以上，それで，基本的に当罰性はあると考えておりまして，その意味で，必ずしも，有害といいますか，害を与えるものに限るというようには考えておりません。 ●　多少なりともその機能の意味では限定がありそうだという感じは今の御回答でいたしましたけれども，ただ，害という形で限定されているわけではないというのは理解いたしました。 ●　その﹁害﹂というのをどういうふうにとらえるかでございましょうけれども，いずれにいたしましても，プログラムに対する信頼と申しますか，それによって，コンピュータによる情報処理が営まれるわけでございますので，保護法益との関係からまいりましても，そういう信頼というものをその意味で害することになるようなものに限られているということではございます。第3回議事録このまま成立して施行されると、パブリックドメインソフトウェアや、フリーソフトウェア、オープンソースソフトウェアなど、as isベースでコードを気軽に公開するという文化が日本では抹殺されてしまうかもしれない。そうはならないという確証が欲しい。どこをどう解釈すればよいのか。その観点からの議論が法制審議会の議論にはなかった。プログラマは一人もいなかったのだろうか。もしこのまま成立し施行されるのなら、運用でそこをカバーできるのかどうかの議論と、何らかの約束が欲しいと思う。

*1 この議事録では発言者が匿名化されており、どれとどれが同一人物の発言かさえ不明になっていて読み取りにくい。

本日のリンク元 TrackBacks(2)

高木浩光＠自宅の日記

2006年10月01日

■ 野村総研がリンクする際には文書で申し出よというので文書で申し出た

2006年10月07日

■ 「無断リンクは禁止とします」について栃木県警に聞いた

■ 無思慮なサイト運営者が本来言わんとすることを利用規約の形式で書いてみた

■ 追記（9日）利用規約改定

2006年10月18日

■ IPAセキュリティセンターさえディープリンク禁止などとしているわけだが

■ 追記（19日）

2006年10月19日

■ 全盲読者に配慮したWebページ作りを妨げる文部科学省と環境省と地方自治情報センター

■ 第1回「リンクポリシー」大賞受賞者決定

2006年10月20日

■ リンクの話まとめ

2006年10月21日

■ ワンタイムパスワードは何のためにあるのか

■ Session Fixation脆弱性の責任主体はWebアプリかWebブラウザか

2006年10月22日

■ 不正指令電磁的記録作成罪私はこう考える

目次

法制審議会は議事録を.exeファイルで公開

最初に確認しておきたい点

法制審議会での論点

1. 社会的法益か個人的法益か

2. 社会的法益による立法を選択しなければならない理由

3. 作成は罪に問わないという案を採用できない理由

4. ﹁不正な指令﹂の部分の﹁不正な﹂が付け加えられている理由

5. ﹁目的﹂の部分を﹁不正な目的で﹂とすべきではないかという提案が却下された理由

私の結論: 修正案

法制審議会で懸念として挙げられた議論はピントハズレ

法制審議会の議論はプログラムには多態性があるという視点を欠いている

法案どおりでは駄目なのか

2006年10月24日

■ 米国の複数のRFIDクレジットカードに欠陥：暗号処理なしにカード情報が読み取られ、傍受されるほか、リプレイ攻撃も可能

2006年10月29日

■ ログイン前Session Fixationをどうするか

最近のタイトル

高木浩光＠自宅の日記

■ 野村総研がリンクする際には文書で申し出よというので文書で申し出た

■ 「無断リンクは禁止とします」について栃木県警に聞いた

■ 無思慮なサイト運営者が本来言わんとすることを利用規約の形式で書いてみた

■ 追記（9日） 利用規約改定

■ IPAセキュリティセンターさえディープリンク禁止などとしているわけだが

■ 追記（19日）

■ 全盲読者に配慮したWebページ作りを妨げる文部科学省と環境省と地方自治情報センター

■ 第1回「リンクポリシー」大賞 受賞者決定

■ リンクの話 まとめ

■ ワンタイムパスワードは何のためにあるのか

■ Session Fixation脆弱性の責任主体はWebアプリかWebブラウザか

■ 不正指令電磁的記録作成罪 私はこう考える

目次

法制審議会は議事録を.exeファイルで公開

最初に確認しておきたい点

法制審議会での論点

1. 社会的法益か個人的法益か

2. 社会的法益による立法を選択しなければならない理由

3. 作成は罪に問わないという案を採用できない理由

4. ﹁不正な指令﹂の部分の﹁不正な﹂が付け加えられている理由

5. ﹁目的﹂の部分を ﹁不正な目的で﹂とすべきではないかという提案が却下された理由

私の結論: 修正案

法制審議会で懸念として挙げられた議論はピントハズレ

法制審議会の議論はプログラムには多態性があるという視点を欠いている

法案どおりでは駄目なのか

■ 米国の複数のRFIDクレジットカードに欠陥：暗号処理なしにカード情報が読み取られ、傍受されるほか、リプレイ攻撃も可能

■ ログイン前Session Fixationをどうするか

最近のタイトル

■ 追記（9日）利用規約改定

■ 第1回「リンクポリシー」大賞受賞者決定

■ リンクの話まとめ

■ 不正指令電磁的記録作成罪私はこう考える

5. ﹁目的﹂の部分を﹁不正な目的で﹂とすべきではないかという提案が却下された理由