マイナンバー危ない？使える？ 天才プログラマー登大遊さんに聞く：朝日新聞国が全国民への普及をめざすマイナンバーカード。普及率は4割を超えましたが、情報漏洩（ろうえい）への懸念は根強いようです。筑波大学で産学連携教授を務め、独立行政法人・情報処理推進機構（IPA）にも所属…
高木浩光＠自宅の日記 - 緊急速報：マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか
■ 緊急速報：マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか まえがき 個人番号（マイナンバー）を、法定された目的（税とか社会保障とか）以外で他人に対して提供を求めることが禁止されていることは、わりと広く知られており、みんな遵守してきたところだろう。だが、今、どう見ても目的外で提供を求めている（自社サービスの利用者登録の目的とされている）スマホアプリがあるということで、個人情報保護委員会の出方が問われているところ、宇賀説（宇賀克也『番号法の逐条解説』有斐閣）によれば合法ということになるのではないか？（おそらく弁護士らもそれを参考にしていたのでは？）という話が出ているのだが、これについて、番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律、平成25年法律第27号）の立案過程で、内閣法制局で二転三転していたことが判明したので、至急、速報的に、こ
eKYCは当人認証ではなく身元確認 渋谷区の電子申請で乱用 他へ拡大のおそれ
Yahoo!ニュース @YahooNewsTopics 【総務相 住民票LINE請求は問題】 yahoo.jp/7Uh7LT 高市総務相は、東京都渋谷区が始めた無料通信アプリ「LINE」で住民票の写しの交付請求ができるサービスについて、区に改善を促す考えを示した。高市総務相は「セキュリティーなどの観点から問題がある」。 Masanori Kusunoki / 楠 正憲 @masanork 不思議な主張。そんなこと法律に書かれてたっけ→“オンライン請求に必要な電子署名を用いていないため、「画像の改ざんやなりすましの防止といったセキュリティーの観点や、法律上の観点から問題がある」と指摘” / “ＬＩＮＥで住民票「問題ある」 高市総務相、渋谷区に改…” htn.to/3UQJWxK6wn 弁護士 吉峯耕平 @kyoshimine @masanork 住民基本台帳法12条って、書面での請求とは書い
Smoozサービス終了に寄せて
202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す
IPA のけしからん技術が再び壁を乗り越え、セキュアな LGWAN 地方自治体テレワークを迅速に実現
IPA のけしからん技術が再び壁を乗り越え、セキュアな LGWAN 地方自治体テレワークを迅速に実現 2020 年 11 月 3 日 (火) 独立行政法人情報処理推進機構 (IPA) 産業サイバーセキュリティセンター サイバー技術研究室 登 大遊 独立行政法人 情報処理推進機構 (IPA) 産業サイバーセキュリティセンター サイバー技術研究室は、このたび、できるだけ多くの日本全国の地方自治体 (市町村・県等) の方々が、LGWAN を通じて、迅速に画面転送型テレワークを利用できるようにすることを目的に、J-LIS (地方公共団体情報システム機構) と共同で、新たに「自治体テレワークシステム for LGWAN」を開発・構築いたしました。 本システムは、すでに 8 万ユーザー以上の実績と極めて高い安定性 を有する NTT 東日本 - IPA 「シン・テレワークシステム」をもとに、LGWAN
高木浩光＠自宅の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む
■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 1.4 セッション管理の不備 1.5 クロスサイト・スクリプティング 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 1.7 HTTPヘッダ・インジェクション 1.8 メールヘッダ・インジェクション 1.9 クリックジャッキング 1.10 バッファオーバーフロー 1.11 アクセス制御や認可制御の欠落 というのも、4年前にWELQ問題が火を噴いたのと同様に、キーワードWeb検索からの流入を当て込む「いかがでしたか系」の乱造記事のSEO汚染の
Web会議サービスを使用する際のセキュリティ上の注意事項：IPA 独立行政法人 情報処理推進機構
新型コロナウイルス感染症の影響により在宅勤務が広く行われ、Web会議サービスの利用が急速に拡大しています。Web会議サービスの活用は大変有益である一方、盗聴、情報漏えい、サイバー攻撃等のセキュリティリスクに十分注意する必要があります。IPAではWeb会議サービスを使用する場合に注意すべきセキュリティ上のポイントを「Web会議サービスを使用する際のセキュリティ上の注意事項」としてまとめました。資料をダウンロード頂き、ご活用いただければ幸いです。 対象読者：法人組織のWeb会議主催者、および、情報システム管理部門 「会議データの所在」、「暗号化」、「会議参加者の確認・認証方式」等をWeb会議サービス選定時に考慮すべきポイントとしてあげてます。 Web会議サービスを安全に使用する際の注意事項として、会議準備、会議実施のタイミングでの注意すべきポイントをまとめています。 資料は以下からダウンロード
本棚アプリについて｜コミックシーモア
ご利用ガイド ブラウザビューア 本棚アプリ 本棚アプリは、購入した作品を読書する電子書籍アプリです。作品をダウンロードして、あなただけの本棚を持ち歩こう！ プッシュ通知が届かない場合 （以下をご確認ください） ①基本設定について ※端末の設定や電波環境等によってプッシュ通知が受信できない場合がございます。 ※推奨外のブラウザではプッシュ通知をクリックしても表示できない可能性がございます。推奨環境はこちら ②プッシュ通知をOFFからONに変更される場合について ※端末の設定でプッシュ通知をOFFからONに変更された場合、ONにした後に一度本棚アプリの起動が必要となります。 ※ONに変更されても、本棚アプリを起動されていなければプッシュ通知は届きませんのでご注意ください。 端末での設定方法はこちらアプリ起動 プッシュ通知の再配信は行っておりませんのでご了承ください
高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）
■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2
日本外務省がCSCA証明書(公開鍵)の公開に応じない件に関するまとめ｜Guest
OSSTech濱野氏によるブログエントリが話題になっている。曰く、パスポート真正性確認アプリ開発のため、日本の外務省にCSCA証明書(公開鍵)の情報公開請求を行ったところ不開示の決定を受けたという。 外務省の不開示決定旅券冊子の情報暗号化に関する情報であり，公にすることにより，旅券偽造のリスクが上がる等，犯罪の予防及び公共の安全と秩序の維持に支障を及ぼすおそれ並びに日本国旅券の安全性が損なわれ，法人の円滑な海外渡航に支障を来すことにつながる可能性がある等，旅券事務の適正な遂行に支障を及ぼすおそれがある。 また、当該情報は，国際的に外交手段でのみ交換する慣行があり一般への公開をしない共通認識があるため，公にすることにより，他国，国際機関等との信頼関係が損なわれるおそれがあるため，不開示としました。不開示の理由は「セキュリティ」「国際慣行」の二つに分解することができる。この決定について濱野氏は
Coinhive事件裁判費用の寄付のお願い - 一般社団法人日本ハッカー協会
本目的での寄付の受付終了 2022年1月20日、最高裁判所において、Coinhive事件は逆転無罪判決となりました。これまでの皆様のご支援に深く感謝申し上げます。2022/1/20 2021年12月9日に最終弁論が開かれることになりました。2021/10/18 残念ですが、本件の高裁判決は有罪となりました。当協会は最高裁まで支援致します。2020/2/7 本目的の寄付を締め切りました。寄付者数はのべ1044名 合計金額 11,405,944円になりました。 2019/4/19 12:45 現時点までのべ825名の方から合計9,722,169円(仮想通貨、PayPay、協会への寄付を含む)のご寄付をいただきました。そのため、本日受付分(※)をもって、本目的の寄付の受付を一旦終了させていただきます。収支の詳細状況などに関しましては本ページにて発信していきます。 #JHA_Coinhive 返礼
mala on Twitter: "マンガワンのチートの件、書いといたほうが良いと思うので書くけど、違法か適法かと言ったら自分も違法だろうと答えるだろうし、それはわかった上で犯罪(有罪)とされるべきではないという立場で、何がダメって言うと技術で防ぐことと法で防ぐことのバランスが決壊していることを嘆いているわけ。"
マンガワンのチートの件、書いといたほうが良いと思うので書くけど、違法か適法かと言ったら自分も違法だろうと答えるだろうし、それはわかった上で犯罪(有罪)とされるべきではないという立場で、何がダメって言うと技術で防ぐことと法で防ぐことのバランスが決壊していることを嘆いているわけ。
アラートループ家宅捜索（いわゆる「兵庫県警ブラクラ摘発」）事件に関する寄付の呼びかけ - 一般社団法人日本ハッカー協会
～IT技術の開発者と利用者の権利を守るために～ 下記発起人による寄稿 本件不起訴処分となりました アラートループ事件２件は2019年5月22日に兵庫地検により不起訴となりましたことをご報告いたします。不起訴理由は起訴猶予であり、検察は不正指令電磁的記録の容疑はあるとされたため、完全な勝利とは言えませんでしたが、支援をした2名が、これ以上不安な日々をおくらなくてよくなったことは喜ばしくあります。不起訴となりましたのは、支援していただいた方々、弁護士らの力によるところが大きく、支援した2名に代わり感謝を申し上げます。 詳細に関しては、今回担当した弁護士らの「起訴猶予処分を受けての声明」をご覧ください。 募集の終了 2019/3/26 12:15 現在までに553名の方々から合計6,934,471円（仮想通貨を含む）寄付を頂きました。本件では十分な金額となりましたので、開始から24時間を一区切り
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け いたずらURLを掲示板に書き込んだ3人がウイルス供用未遂の疑いで摘発。エンジニアの間で「何がアウトかセーフか分からない」と不安が広がる中、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニアが現れた。 JavaScriptを使った無限ループプログラムのURLを掲示板に書き込んだ3人が不正指令電磁的記録（ウイルス）供用未遂の疑いで摘発されたり、Coinhiveをサイトに設置した複数のユーザーがウイルス取得・保管の疑いで摘発されるといった事態を受け、「何をすればウイルス罪に当たるのか、セーフとアウトのラインが分からない」とエンジニアの間で不安が広がっている。 そんな中、全都道府県警に対して、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニア
高木浩光＠自宅の日記 - しそうけいさつ化する田舎サイバー警察の驕りを誰が諌めるのか
■ しそうけいさつ化する田舎サイバー警察の驕りを誰が諌めるのか 兵庫県警が単なる「無限アラート」を「不正プログラム」と称して不正指令電磁的記録の罪を適用した捜査（家宅捜索）を行ったことが明らかになり、法解釈・適用の誤りである上に法制定時の参議院法務委員会附帯決議の要請をも無視しているとして批判の声が渦巻いているところだが、ここに来て、「すみだセキュリティ勉強会」が活動を休止するとして抗議行動に出たようだ。 「IT業界の萎縮を招きかねない」 “ブラクラURL書き込みで中学生補導”、弁護士に問題点を聞いた, ねとらぼ, 2019年3月5日 Japanese police charge 13-year-old for sharing 'unclosable popup' prank online, ZDNet, 2019年3月5日 「いたずらURL貼って補導」がIT業界の萎縮をまねく理由, IT
高木浩光＠自宅の日記 - 警察庁の汚い広報又は毎日新聞の大誤報を許すな
■ 警察庁の汚い広報又は毎日新聞の大誤報を許すな 今日、警察庁がサイバー犯罪年度統計か何かをマスコミ向けに発表したようで、今日の夕刊各紙は1面で「仮想通貨被害677億円」（読売）、「標的型メール最多6740件」（日経）、「不審アクセス45%増 マイニング21人摘発」（毎日）の見出しが躍っている。 このうち毎日新聞が、コインマイナー事案を報じているのだが、「2018年に全国で21人が不正指令電磁的記録供用容疑などで摘発（逮捕・書類送検）された。」とあり、昨年6月の時点で16人と発表されていたところから、5人増えていることがわかる。当時「16人で打ち止め」とも聞いていたが、確かにその後、私のところへ新たに家宅捜索があったとの情報提供が数人あった。 問題は記事のそれに続く部分である。「サイト閲覧者 加担気づかず」の「加担」というのも意味不明だが、なんと、「摘発された人は「ネットの広告と同じ仕組み
3Dセキュア（本人認証サービス）の対応と、クレジットカード不正利用への補償について - PayPayからのお知らせ
PayPayをご利用の皆さまに3Dセキュア（本人認証サービス）への対応に関して、また、PayPayでクレジットカードの不正利用の被害にあわれた方への補償に関してお知らせいたします。 ■3Dセキュアの対応に関して PayPayでは、クレジットカード不正利用の対策として、2019年1月に3Dセキュアに対応いたします。クレジットカードを登録いただいたお客様に3Dセキュアのパスワードを入力いただきます。決済のたびに入力いただく必要はございません。 3Dセキュアとは、事前にカード発行会社に登録したパスワードを入力いただくことで本人認証を行い、不正利用を防ぐ仕組みです。3Dセキュアを利用するには、事前にカード発行会社でパスワードの登録を行う必要がございますので、予めご登録いただけますようお願い申し上げます。 ・本人認証サービス（3Dセキュア） PayPayでは、クレジットカード不正利用の対策の一つとし
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
xID（クロスID）│ ソーシャルメディア等で頂いているxIDアプリに関するご意見について
ワクチン予約サイト、プロが示す「最悪シナリオ」対処法：朝日新聞デジタル
Hiromitsu Takagi on Twitter: "（……きこえますか…きこえますか…全国の田舎＆都会警察サイバー課の…みなさん… サイバーセキュリティ月間です… 今… あなたの…心に…直接… 呼びかけています… 虚偽DMCA通報犯…これこそがここ数年最悪の新しいサイバー犯罪…社会… https://t.co/LJYigU13a2"
