タグ「証明書」が付けられているエントリー

はじめての国勢調査

| はじめての国勢調査

2010年10月1日は全国的に国勢調査らしいです.5年とか10年に1回行われているらしいです.というわけで,ぼっちのボクにとっての初国勢調査です.じゃんぱら個人情報出しまくっていきましょう!プライバシとか気にしちゃダメです!

んで.東京都にふだん住んでいる人はオンライン回答のモデル地域に設定されているらしいので,権利は最大限に活かして,ブログネタにしようかと思います.結論からいえば,あんまり無茶なことをしてないってのもありますが,結構ちゃんとした作りになっていました.

オンライン回答は国勢調査オンラインで行います.右下に「SECURED BY RSA」という表示がありますが,別にRSAのSSL証明書を使ってるわけではなく,フィッシング対策サービスを使っているそうです.ちなみに,SSL証明書はGPKIのアプリケーションCA発行のものです.

100925_e-kokusei01.jpg

サーバ証明書の確認方法が説明されたページがあり,国勢調査に同封されていたインターネット回答の利用案内にも説明されていましたが,発行先と発行者を確認するだけでは不十分です.フィンガープリントまで確認しましょう.CRYPTO 2010 rump sessionでも,そのように説明されていました.

それはそれとして,国勢調査オンラインを使ってみましょう.

100925_e-kokusei02.jpg

ステップ1で,調査対象者IDと確認コードを入力します.両方とも,同封のはがき大の用紙に書かれていました.変な見てくれですが,要するにはIDとパスワードです.しかし,なんだか説明が変です.

Q4 確認コードとは何ですか。
A 確認コードとは、調査対象者IDと組み合わせて、回答される方ご本人であることを確認させていただくための情報です。他の人があなたになりすまして不正に回答するなどの行為を防ぐために大切なコードですので、他の人に見られないように大切に保管してください。最初にお配りする確認コードは仮のコードですので、初めてログインした時に、ご自身でお決めになった新しいコードに変更してください。

Q5 確認コードは何のためにあるのですか。
A 確認コードは、調査対象者IDと組み合わせて、回答される方ご本人であることを確認させていただくための情報です。初めてログインする際に、ご自身で新しい確認コードに変更していただきます。確認コードをご自身であなた独自のものに変更していただくことにより、以降はあなた以外の方が調査対象者IDを使用することはできなくなります。万が一、何らかの理由でお使いの調査対象者IDを第三者に知られたとしても、回答データの改ざん等を防ぐために、確認コードが必要とご理解ください。

国勢調査

調査対象者IDと確認コードは同じ所に書かれているので,調査対象者IDだけが第三者に漏れるのは考えづらいです.本人がこのIDと確認コードを確認するよりも前に第三者に漏れた場合,初回ログインで確認コードを変更されてしまうので,かなりまずいことが起きそうな気がします.ちなみに,回答後でも再回答ができるようになっていますので,確認コードを安全に保管することは必要です.もしくは回答後に確認コードを無茶苦茶なものに変更しておいても良いかもしれません.

100925_e-kokusei03.jpg

回答は上記のような画面で進んでいきます.これがなかなかに使いやすいです.Javascriptが駆使されていました.ただし,jQuetyではなくprototype.jsでした.

で.Twitterでちょっとつぶやきましたが,教育の項目が正確に調査できないようになっています.別に,オンライン調査に限った話ではないですが.「現在,在学」しているかどうかを尋ねられているので,在学中にしておきました.30歳で大学または大学院に在学していながら,主に仕事をしていて,正規の職員・従業員で大学に勤務しているという,一見すると間違えてるんじゃないかと思われかねない回答になりました.

まとめ:
オンライン調査で国勢調査はさっくさく!ちなみに,www.e-kokusei.go.jpはnslookupすると211.0.129.8と113.157.238.168でwhoisすると"Oki"って文字が見えました.

2月頃に国際会議で(久しぶりに)海外に行くので,国際学生証を手に入れてみた.折角なので,取得可能な国際教員証も手に入れてみた.たぶん,意味はない.

ISIC_01.jpg

これが国際学生証です.通称ISICです.手続きは簡単で,申請書に記入して,イケメン写真を1枚付けて,学生証のコピー(原寸大に切り取ること)を付けて,1430円を学生生協に支払うだけ.郵送でも手続きは可能のようです.なお,有効期限は12月1日からと設定されているので,その頃に申請するのがいいと思います.今回は12月1日付けで生協に受理していただきました.実際には11月30日に提出したのですが.届いたのは12月4日でした.うーん,早いぞー.

ITIC_01.jpg

こっちはITICこと国際教員証.所属校が略称で表記されるのですが,これ・・・海外で理解されるんですかね??理解される必要ないのかな?なお,役職の表記はないです.なんちゃってProfessorの誕生です♪

まとめ:
ISICなら国内でもいろいろな施設等で学割を享受できます.普通の学生証よりも割引率が良かったりします.他にもMicrosoft DreamSparkが利用できたり,海外で様々なサービスを利用できます.話の種に持っていてもいいかなって思ってます.

090723_report.jpg

如何に電磁気が苦手であるかということが,明らかに示されている成績証明書.ちなみに,大学院前期は34単位修得したらしい.そうか.総修得単位数は210単位だったのか・・・.後期は何単位取得したのか不明.成績表をもらった記憶がないのだが・・・.あるよね?

引越の記録,第2弾.今度は転入転出編.まず,前提.神奈川県から転出して東京都への転入です.

まずは転出届.これは転出元の市役所に行って,手続きをします.しかしながら,最近は便利になっていて,市役所に行かなくても,郵送で取り寄せることができます.これを活用してみました.返信用封筒を同封して,その封筒には新住所を書く仕組みです.えーつまり,新しいところに引っ越す寸前に手続きをする必要がありますね.転出転入は2週間以内に行えばよいので,まぁ,この方式で大丈夫でしょう.実際には,投函してから6営業日くらいで届いたと思います.便利です.

続いて転入届.転入届は区役所に行かないとできません.委任状という方法もあるようですが,独り身なので・・・.というわけで,区役所に出向いて手続きしてきました.時期的にも時間的にも混まない時間なので,全く並ぶことなく,窓口で対応してもらいました.ここで,転出届を出して,転入届を書くわけですが,あっちこっち直されました.住所の書き方が難しいです・・・.合わせて,印鑑証明も作ります.印鑑証明は転出してしまうと失効するので,必要であれば転入先で作り直さないといけません.この手続きは簡単で,印鑑証明に登録する判子を押すだけです.知っていると思いますが,実印というのは印鑑証明されている判子のことで,あのへんてこりんな字が彫られた判子のことを実印と呼ぶわけではありません.捨て印でも実印になれますので,その辺,要注意.だから,実印って,売ってないですからね?

CA391722.jpg

で,転入手続きと印鑑証明が終わるまで,暫し待ちます.番号札440でした.3が足りないですね.見られているんでしょうか?照れます.で,これが結構待たされました.空いてるはずなのに・・・.30分程度待たされて,手続き完了です.こうして,引越の手続きは完了したのでした.

SSLの話がさっぱりわからない.以下,引用.

ショップは暗号化の鍵を認証局に預ける.認証局は預かった鍵を認証局の鍵で暗号化して返却.ショップは認証局で暗号化された鍵を客に渡す.客は認証局の鍵を入手暗号を解読しショップの鍵を入手.客はショップの鍵でクレジット番号を暗号化,買い物を始める.

おかしいと思う部分を強調してみた.何週間か前に公開鍵暗号の話をやったばっかりなのに,もう忘れてしまったのか・・・.参考サイトに挙げられている総務省の説明と違うのが気になるなぁ.どっちが間違っているんだろう.わからない.

もしショップが偽物だとしたら,認証局の鍵が使えないことで見破れます.

そうなのかぁ・・・.それって,ショップが偽物というか,認証局が偽物なのでは?

その後は,SSLの認証手続きの話をしてまして,実在証明の話をしていましたが,世の中には実在証明なしのSSL証明書が山ほどあるので,SSL証明書があれば必ず実在証明がついているかのような説明では,警告が出ない正規のSSL証明書を使った悪意あるサーバに,フィッシングやらなにやらされてしまいそうで怖いです.

証明書に期限がある理由は定期的に証明書(秘密鍵)を変更することによって、悪意を持った攻撃者からの総当たり攻撃を防ぐためです。

NHK: IT whitebox

そうだったのか!証明書の中身は秘密鍵だったのか!!

まとめ:
嘘を嘘と見抜けない人がネットショップで買い物するのは難しい.もうちょっと真面目に調べて番組にするか,もっと抽象的にして誤魔化すかをした方がいいと思います.ITのブラックボックスがホワイトボックスではなく,NHKカラーボックスになってしまいますので.ちなみに,森下千里写真集は今現在で残り3冊なので,買う人は早めに.

関連:
ITホワイトボックス第3回「メールは盗み見られないのか?」 - 4403 is written
[IT whitebox]ブログ特集 - 4403 is written
SSLサーバ証明書購入奮闘記 - 4403 is written
SSL証明書の件いろいろ - 4403 is written
用途別SSLサーバ証明書を勝手にまとめ - 4403 is written

最早,かれこれ1ヶ月以上も前の話ですが,引っ越しました.その記録をブログに書くことは必然なのですが,何で今頃なのかって言いますと,単純に仕事が一段落したからってことと,手続きが全て終了したからという2点.別に,それ以外の理由は見当たらない.まぁ,引っ越し自体がフィクションだとすれば,いつ書いても同じですよね.

というわけで,何回かに分けて書く予定ですが,今回は1番分量が少なくて済みそうな,免許証の記載事項変更,つまりは住所変更手続きの話です.前提,東京都に他道府県から転入です.

免許証の記載事項変更をする方法は3つあります.1つ目は転入先都道府県の免許センターで手続きをする方法,2つ目は転入先都道府県の最寄りにある警察署で手続きをする方法,そして最後は免許更新手続きの際にやる方法です.ここで,3番目の方法が良く理解できませんでした.手順としては免許更新手続きで免許センターや警察署に出向いた際に,合わせて記載事項変更を行うのですが,この場合,免許更新は転入前に都道府県でやることになるのではないかと思います.それは非常に面倒です.もしくは,他都道府県からの経由申請という方法もあるっぽいですが,余計にお金がかかるので,バカらしいです.そもそも,免許証は個人情報が満載の身分証明書として大活躍ですので,現住所が異なっていると,なにかと不便なことがあるので,速やかに変更したいものです.ていうか,速やかに記載事項変更を行わないと罰則規定があります.

(免許証の記載事項の変更届出等)
第九十四条 免許を受けた者は、第九十三条第一項各号に掲げる事項に変更を生じたときは、速やかに住所地を管轄する公安委員会(公安委員会の管轄区域を異にして住所を変更したときは、変更した後の住所地を管轄する公安委員会)に届け出て、免許証に変更に係る事項の記載(前条の規定による記録が行われる場合にあつては、同条の規定による記録)を受けなければならない。

第百二十一条 次の各号のいずれかに該当する者は、二万円以下の罰金又は科料に処する。
 第五十一条の二(違法駐車に対する措置)第十項、第五十一条の四(放置違反金)第二項、第六十三条(車両の検査等)第七項、第七十五条(自動車の使用者の義務等)第十一項(第七十五条の二(自動車の使用者の義務等)第三項において準用する場合を含む。)、第七十八条(許可の手続)第四項、第九十四条(免許証の記載事項の変更届出等)第一項、第百三条の二(免許の効力の仮停止)第三項(第百七条の五(自動車等の運転禁止等)第九項において準用する場合を含む。)、第百七条(免許証の返納等)第一項若しくは第三項、第百七条の五(自動車等の運転禁止等)第四項若しくは第六項又は第百七条の十(国外運転免許証の返納等)第一項若しくは第二項の規定に違反した者(第百十七条の五第二号に該当する者を除く。)

道路交通法

んー.なんか最近は法律を引用しまくりですね.罰金を取られるなんてバカらしいので,速やかに住所変更を行うべく,警察署に出頭してきました.

P1020410.JPG

警察署で手続きに当たって,準備するものは以下の通りです.

  1. 免許証
  2. 住民票、新住所の健康保険証、消印付はがき、住所が確認できる公共料金の領収証、外国人登録証明書等(外国人の方)のいずれか1つ。ただし、消印のないダイレクトメールや年賀状は除きます。

記載事項変更(住所・本籍又は氏名の変更の方) :警視庁

これがネックでした.引っ越しから記載事項変更手続きまで,実に1ヶ月近くかかっている理由は単純にこれです.何かって,住民票は100円くらいかかります.100円あれば,1食分です.有り得ません.新住所の健康保険証は持っていません.私の健康保険証は住所欄が空欄で,自分で書くことになっていました.そこに住所を書いたはいいんですが,書き換えるスペースが残っていないので,書き換えられません.人事課に「新しいのってもらえませんかね?」って聞いたところ,紛失等の理由でなければ再発行はできないとのこと.対応が固いですね.というわけで,保険証は未だに住所を変更していません.これはまずくないのかと思われるでしょうが,まずくないみたいです.よく分かりません.次に,消印付はがきですが,そんなものありません.ほとんどの郵便が料金後納で送られてくるので,消印がありません.例外的に消印付もないことはないんですが,大きな封書だったりするので,持って行くのが面倒です.となれば,最後は住所が確認できる公共料金の領収証です.これは1ヶ月待てば手に入るものなので,大人しく1ヶ月待ったというわけです.わかりやすいですね.貧しいですね.なお,東京都に他道府県から転入する場合,写真が必要らしい情報がありますが,平成21年1月4日から不要になっています.準備していったのに,必要なかった時のショックったらないわー.

P1020411.JPG

警察署では変更手続きの書類を書きます.署内に入ってキョロキョロと挙動不審な動きをしていると,「住所変更ですか?」と強面のマル暴っぽそうな人(偏見)が声をかけてきてくれて,書類と書き方のラミネをくれました.ここで「面会ですか?」とか「自白ですか?」って声を掛けられなかったのは,ボクの人徳の成せる業だと信じています.閑話休題.書類の書き方は簡単で,旧住所と新住所を書いて,免許証に書かれている諸情報を書くだけ.3分もあれば書き上がります.そんで,この書類と免許証(ゴールド)と住所が確認できるものとしてガス料金の領収書を強面の警察官に渡します.後は,手続きが終わるまで,お掛けになってお待ち致します.

いやー.待っている間,色んな人が来るんですよ.車庫証明とか,道路工事の許可とか,留置場の面会とか差し入れとか,接触事故の処理とか・・・.まぁ,なんつーか,みんな手慣れてますよね.面会に来た人の手慣れさ加減はどうかと思ったが・・・.世の中には色んな人がいるんだなぁ,って思った.

P1020412.JPG

待つこと10分程度でできてきました.住所を書いてハンコを押すくらいなのかと思っていたら,印刷されて出てきました.ふむ.免許証の裏面が壮絶に汚いのは気にしないで欲しい.もうすぐ更新だから汚いの!ゴールドだから,5年分の汚れなの!こうして,免許証の記載事項変更は完了したのでした.

まとめ:
免許証の記載事項変更は簡単.罰則規定があるので,やらないと不味そう.東京都内への転入には写真が不要になった.

SSLサーバ証明書の期限切れに伴い,更新先を探していたのだが,思いの外,簡単ではなかったので,備忘録として世に公開してみる.いろいろなサイトでSSL証明書を比較していますが,多くはスペックで比べておりますが,こっちは手続き上の問題ベースで比較します.単なる比較はいらない.実体験に基づくレポートが重要.

前提

  • SSL通信を行いたい
  • 保証はいらない(暗号化通信がしたいだけ)
  • KY(価格安く)

FlySSL
安いけど,発行手続きが進まないので,使えません.わけわかめ.

RapidSSL
安いSSLサーバ証明書の代名詞的存在です.リセラが多数存在しているので,日本語でもバリバリ買えちゃいます.証明書はジオトラストから発行され,シングルルート証明書なので,大変に使い勝手がいいです.再発行オプションや保証もあるので,まぁまぁ,いいんじゃないでしょうか.証明書発行時のドメイン所有確認はメールで行われます.すなわち,「指定のアカウント名@CSRドメイン名」宛に確認メールが飛んできて,それを承認するという形です.ほかのSSLサーバ証明書で,「発行最短××分」と謳っているところは,まず間違いなく,この認証方式です.

って,真面目に説明していますが,ここも発行されませんでした.理由は確認メールが受け取れないからです.「指定のアカウント名@CSRドメイン名」なのですが,このCSRドメイン名がやっかりで,説明と全然違うじゃないかよ!って突っ込みを入れたくなります.例を挙げましょう.コモンネームが"www.hogehoge.example.com"だった場合,CSRドメイン名はホスト名を除いた部分になるので,"hogehoge.example.com"になります.だから,確認メールは概ね"admin@hogehoge.example.com"あたりになるわけです.これはよく分かります.ただし,CSRドメインが5レベル以内じゃないとダメなんだそうです.つまりは,"admin@1.2.3.4.5"まではokらしいのだ.そんな説明はどこにも書いていないわけだが・・・.発行を受けるドメインはこれで言うと6レベルに相当するので,確認メールとして指定できないわけです.代替手段として,Whoisに登録されている情報が使えるとか言われるんだけど,そんなのオレの管轄外なわけで,受信できるわけなかろうにってわけですよ.というわけで,RapidSSLはダメでした.

QuickSSL
RaipdSSLがダメなだけで,QuickSSLならいけるだろうと思いましたが,やっぱりダメでした.ジオトラスト発行で,ドメイン所有をメールで確認するタイプは全部ダメそうなことが分かりました.残念.

Thawte
ベリサイン傘下でMD5な証明書を発行していたので,先の問題が直撃したところです.ベリサインなのに,妙に安いので試してみるかと思ったんですが,結論からいえば,ここもダメでした.CSRドメインを指定できなくて,3レベルのWhoisに登録されているメールアドレスしか,ドメイン所有確認のメールアドレスに使えませんでした.手続きの仕方がまずかったのかもしれませんが,深く追求する気もなかったので,そこで諦めました.残念.

AlphaSSL
トリトン発行のAlphaSSLです.これは6レベルでも余裕です.CSRドメインでメールアドレスを指定できます.こうして,AlphaSSLを買うことで,今回のSSLサーバ証明書購入は終了したのでした.

まとめ
格安のSSLサーバ証明書はドメイン所有確認をメールで行うため,そのメールを受信しなくてはならないが,そのメールアドレスには自由度の制限があることが判明した.特に,ジオトラストでは5レベル以内という内規を用意しているらしく,6レベル以上のドメインでSSLを使う場合には注意が必要である.

なお,ベリサインやジオトラストでもTrue BusinessIDあたりの実在証明付きのSSLサーバ証明書の場合,ドメイン所有確認はメール如きでは行われないので,恐らく問題ないかと思います.が,高いということだけは述べられます.

こうして,また通信路は暗号化されるのでした.

関連:
用途別SSLサーバ証明書を勝手にまとめ - 4403 is written
SSL証明書の件いろいろ - 4403 is written
MD5なSSL証明書のおはなし - 4403 is written

2009年2月23日に,NIIの一橋記念講堂で開催されたUPKIシンポジウム2009に参加してきた.シンポジウムは10:40からやっていたのだが,午前中は学校に行く用事があったので,午後の第2部から出席しました.配布された講演資料集がちゃんとした簡易製本になっていて,しかも印刷がテカテカインクで,テラカッコヨス.参加費無料とか,太っ腹すぎます!お土産のUPKIポストイットも活用させていただきます!

さて,参加したからには参加報告をするわけですが,話の内容的にオフレコっぽいのがあったわけですが・・・.資料が公開されるかどうかもよくわからないので,資料を引用しない形で,雑感を述べていきます.資料が公開されたら,詳細なレポートを追記します.たぶん.

特別講演:「インターネット事業を取り巻く環境と展望」
当然ながら,ビッグローブの宣伝からスタート.「残念ながら」苦労をされているようです.話の内容はUPKIではなく,ISPからみたインターネットとその先いろいろという感じ.y or nの広告について述べていて,「ちょwそのnは違うn」って突っ込みたかった.いや,わかってたけど.

飯塚社長のご講演を聴講するのは,これで2回目(初めては去年のNICTシンポ)なわけだが,特段真新しい話はないのに,とても面白い.ISPならではの視点に基づく発言がワクワクする.過激すぎて,書くとまずそうな気がするので,資料が公開されたら・・・.個人的には同意します.

認証を用いた情報セキュリティ対策
情報セキュリティポリシを策定する際のサンプル規定集について.プロジェクトはこれでいいのかな?

電子証明書の意義とサーバ証明書新プロジェクトの計画
ざっくばらんに誤解を恐れずに言えば,オレオレ証明書はダメだっていう話.概要を直感で伝えるとすれば,概ね間違っていないと思う.オレオレ証明書はダメだから,オープンドメイン認証局から発行された,要はUPKIの証明書を使っていこうという内容.それから,今後の展望も.UPKIの証明書を使ったとしても,運用次第では第五種や第六種のオレオレ証明書になり得る.その際たる例が携帯電話で,古い携帯の対応に問題があることは,WASFでも語られていた

Shibbolethを用いたフェデレーション構築計画
Shibboleth(シボレスって読むらしいよ!)のフェデレーションとUPKI-Fedについて.外国人の方で通訳付きでしたが,非常に聞き取りやすい英語で日本人に優しい!Libertyの資料はよく見かけるけど,Shibbolethの資料は見たことがないなぁ・・・.集めてみようかなっと.プロジェクトはこちら

認証基盤を活用したコンテンツサービスの展開
SSOってこんなにすごいんだ!ってのを,UPKI方面ではない人向け(むしろSSOを知らない人向け?)に実演を交えて啓蒙.インパクトがあって面白かった.個人的には,実演を見る限り,あのSSOは使いにくいと思った.機会があれば,書きます.

パネルディスカッション
資料が出ないと書き辛いので,今は書きません.

まとめ:
事前の予想を上回る面白さでした.特段に真新しい情報はなかったけど,情報を整理できたから収穫はあったかと.UPKI使いたいなぁ・・・とSINET外から言ってみるテスト.

200902240104追記:
昼飯に食べた小学館地下にある七條のミックスフライ,1300円です.

CA391616.JPG

開店直後の11:30ちょい過ぎに行ったのに,ほぼ満席で,店から出たら大行列でした.凄い店だ.

200903022314追記:
資料が公開されていました.資料を確認した後,追記します.

ホッテントリメーカで77usersです.ちょっとメールのセキュリティについて,軽く説明してみようかと思います.ちなみに,spamメールについては一切触れる予定はありませんので,あしからず.

パスワードを守るAPOP
メールを受信するためのプロトコルとして,POP3があります.POP3とはPost Office Protocol version 3の略でして,メールサーバからメールを取り出すためのプロトコルです.メールを取り出すプロトコルですので,誰でも彼でも使えてしまっては,自分宛のメールを他人に読まれてしまいます.そのため,メールを取り出す際の認証が必要になる.しかしながら,POP3は認証時のパスワード暗号化を提供しません.これはつまり,パスワードが平文で流れることを意味します.HTTPでいうところの,Basic認証に相当します.そのため,通信路上で盗聴が行われるとパスワードはばれてしまいます.これは結構イヤな感じです.イヤな感じですが,HTTPではBasic認証が未だに用いられていることを考えれば,大した差はないといえば無いような気がしますが・・・.

さて,そんなパスワードが平文で流れてしますPOP3の認証を安全にするプロトコルがAPOPです.APOPについては杜撰な研究者さんが書かれているので,まま引用.

APOP とはAuthenticated POP のことで、POP のようにパスワードを生でやりとりするのではなく、APOPサーバから送られたチャレンジ(乱数)に対し、ユーザはチャレンジとパスワードの連接のハッ シュ値をサーバに送り返すことで、安全なパスワード認証を実現しています(ただしメイル本文は平文のままです)。

杜撰な研究者の日記: APOP

ここで説明されているとおりです.つまり,HTTPでいうところのDigest認証に相当します. APOPによって,パスワードが平文で流れることがなくなることはお分かり頂けると思います.これで安心!ではないんです.昔はこれで安全だったんですが,APOPに用いられているハッシュ関数であるMD5の危殆化によってパスワードが復元されるという攻撃を受けてしまいます.このAPOP上におけるMD5コリジョン攻撃はLeurentやSasakiらによって,ほぼ同時期に行われているという話も,杜撰な研究者さんが詳しくされているので,繰り返しません.この問題に対して,2007年の話になりますが,IPAは以下のような注意喚起を行っています.

独立行政法人 情報処理推進機構(略称:IPA、理事長:藤原武平太)は、メールの受信に利用される認証方式の一つであるAPOP(エーポップ)方式におけるセキュリティ上の弱点(脆弱性)に関する注意喚起を2007年4月19日に公表しました。

(中略)

プロトコル(通信手順)上の問題であり、現時点で根本的な対策方法はありません。

回避方法は「『POP over SSL』や『ウェブメール』など、SSLによる暗号化通信を利用する」ことです。回避方法が取れない場合「メールのパスワードを他のシステムのパスワードと同一にしない」ことで悪用された際の被害を軽減できます。

情報処理推進機構:情報セキュリティ:脆弱性関連情報取扱い:APOP方式におけるセキュリティ上の弱点(脆弱性)の注意喚起について

ということで,APOPはパスワードを通信路上に平文で流すことなく認証が可能なプロトコルですが,ハッシュ関数の危殆化によって,その安全性に問題が発生したのでした.

通信路ごと暗号化してしまえPOP over SSL
そこで,次の話です.IPAでも回避方法としてあげている,over SSLです.これは簡単で,POPをSSL化してしまえ,えいや!というものです.これをPOP over SSLといいます.POPSと呼ばれることもありますが,一般的かどうか・・・.これはHTTPでいうところのHTTPSに相当します.これは最早,SSLで通信路が暗号化されますので,パスワードが平文で流れる云々もなにも,メール本文すらも暗号化されて通信路を流れます.当然,SSLの安全性に依存します.POP3やAPOPに比べて,POP over SSLが如何に安全になるかは,@ITの表がわかりやすいと思います.これで,通信路上での盗聴の問題は解決しました.

とは問屋が卸さない.やはり同様にして,MD5コリジョン攻撃の問題がやってきました.先日書いた,MD5なSSL証明書の問題です.SSL証明書の問題は残りますが,これは別に,POP over SSLに特化した話ではなく,SSL全般の話なので,詳しくは触れません.そういうことがあるという話だけ.

ちなみに,IPAの回避方法でも述べられていますが,案外Webメールは安全です.通信路がSSLで暗号化されている的な意味で.GmailならHTTPSで接続されると思います.注意しないとHTTPで通信してたりするけど.素のPOP3やAPOPを使うくらいなら,HTTPSなWebメールの方がいいかもしれません.HotmailとYahooメールはSSLにならないなぁ・・・.優しくないなぁ・・・.

こうしてメールのセキュリティは確保されました?
これで,クライアント-サーバ間の通信路の安全性は守れられました.パスワードも安全そうです.良かった良かった.で終わらないから,このエントリを書いているんです.では,どこがダメなのでしょうか?クライアント-サーバ間が安全になったにも関わらず・・・.

そうです.サーバ-サーバ間の通信が安全ではありません.もっと言えば,サーバが安全ではないかもしれません.そうです.APOPでパスワードの安全性は確保されますが,メール本文の暗号化はされません.POP over SSLは通信路上において,メール本文も暗号化されていますが,メールサーバ上では暗号化されていません.これは何を意味するかと言えば,サーバ-サーバ間の通信においては,メール本文が平文で流れていること,そして中継に利用されたメールサーバはメール本文を平文で見ているという点です.厳密には,普通のテキストが流れているわけではなく,BASE64などのエンコードがかかった状態で流れていますが,符号化は暗号化ではないので,平文と考えて問題がありません.

つまり,メール本文は暗号化しない限り,平文で流れます.メール本文は暗号化しない限り,平文で流れます.重要なことなので,2回書きました.

メールを暗号化するPGPとS/MIME
メール本文を暗号化しない限り,安全にならないのであれば,暗号化すれば良いんだ.簡単なことです.そのソリューションを提供するのが,PGPS/MIMEです.PGPはPretty Good Privacyの略で,公開鍵暗号方式を用いていますが,Web of Trustと呼ばれる仕組みによって,信頼を得る方式になっています.対して,S/MIMEはSecure/MIMEの略で,公開鍵基盤(PKI)アプリケーションです.この2つの方式の大きな差は,公開鍵の信頼性をどのように保証(確認)するかという違いです.この2方式の差も,今回書きたいこととは直接関係がないので,詳解は避けます.

結論だけ言いますと,PGPやS/MIMEを利用することで,メールを暗号化することができます.それだけではなく,ディジタル署名を付けることもできます.これによって,盗聴の脅威を防ぐだけではなく,メール本文の改ざんを防ぐこともできますし,送信者の否認を防止することができます.こうして,メールは安全になりました.

はて?あなたは今までに1度でも,PGPやS/MIMEによって暗号化されたメールを受け取ったことがありますか?無いのではないでしょうか.ボクは学生時代に「試して見たがり衝動」で,PGP暗号化/署名を試しています.S/MIMEも第四種オレオレで良ければ,院生時代に試しています.でも,それだけです.「試してみた」レベルです.何故,このようなセキュリティソリューションが利用されないのでしょうか?300字以内で答えなさい(配点:70).

ちなみに,電子メールに署名を付ける人は少なからずいます.これはメール送信者のセキュリティ意識の高さを示していると言えるでしょう.しかしながら,何故かそのような人においても,暗号化されたメールは送ってきません.何故なのでしょうか?200字以内で答えなさい(配点:30).

ちなみに,MUFGのメールにはS/MIMEの署名がついていますGmail S/MIMEというFx用のアドオンを導入すると,簡易的ながらGmail上で署名を検証できます.

090222_smime01.png

まとめ:
POP3ではパスワードが平文で流れます.APOPはそれを防ぎますが,安全ではなくなりました.POP over SSLはクライアント-サーバ間の通信をSSLによって暗号化するので,安全です.しかしながら,クライアント-サーバ間以外の通信に保証がないので,暗号化されていないメールは中継中に盗聴可能です.そのため,PGPやS/MIMEでメールを暗号化すると良いです.

何が書きたかったかっていうと,2点です.内部ではPOP3でメールが運用されています.外部からはVPN接続しないとダメなので,このネットワーク構成は安全です.っていうのは,安全ではありません.敵は外からのみ来るのではなく,内部にも存在し得ます.逆内弁慶はセキュリティ上,安全ではありません.

もう1点はGmailを否応なしに毛嫌いする人です.Googleは個人情報を集めまくっている.きっとメールも覗かれているに違いない.その証拠にメールの内容に合った広告が出るじゃないか!という主張.これ自体はその通りでしょうが,だったら平文でメールを流さないで下さいといいたい.Gmailを使わないとしても,中継サーバがメールの中身を見ていないとは限らない.Gmailだからというのはリスクの差を生みません.

現実逃避を兼ねて,4403さんのところを荒らしてきた.

(中略)

受理された模様.完全スルーされてた (゚д゚)

DV SSL 証明書 - Doblog - exploit -

スルーする.ブログはdomesticなのかどうか・・・.というわけで,exploitさんに現実逃避を兼ねて荒らされたので,むしゃくしゃしてSSL証明書を買った.今は反省している.記事が中途半端な内容だった責任を取って,RapidSSLを買ってみた.身を以て償いたい.などと述べている.

今回RapidSSLを購入するにあたり,利用したリセラはOnlineSSL.jpである.ぶっちゃけ,どこでも良かったんだ.海外のサイトでも良かったんだが,むしゃくしゃして買うのに,領収書は必要という現実を見た対応が日本のリセラを選ばせた.現金なもんだ.

で,申し込んでみるわけだが,早速Fxが警告を発しまくり.

090116_ssl_01.png

naoeの日記で紹介されていたSSL Blacklistが吠えまくり.

090116_ssl_02.png

これが今流行のMD5なSSL証明書ですねっ!ここは責任を取って,身を以て危険を体感してこなくては!申し込むしかねぇ!職場名義で(ぇ.

で.この手の安い証明書にありがちなドメインの所有確認ですが,メールで行われます.

090116_ssl_03.png

ドメイン名を使ったメアドを所有しているかというやつですね.これがなかなかに厳しくて,「admin@ドメイン名」を指定してきます.adminとかrootとかwebmasterとか,そんなメアドは都市伝説ですよ.作らないと思うのだが・・・.しかしながら,文句を言っても仕方がないので,admin@ドメイン名のメールアドレスを作成して,申込を行いました.

まず最初に届いたメールは,購入申込を受け付けた旨のメール.続いて届いたのは,決済完了のメール.後で述べますが,この手の商品(SSL証明書)は商品をよこすよりも先に決済をしたがります.なんででしょうか.MD5だからでしょうか.わかりません.

続いて届いたメールは,以下の内容のメール.

サイト承認メールアドレスは、レベル5までのメールドメインに対応しています。よって、サイト承認メールアドレスは、以下となります。上記メールアドレスにてメールを受信できる様に準備してください。準備ができましたら、そのメールアドレスをお知らせください。

何かと.レベル5のドメインってのは,A.B.C.D.jpって感じのこと.買おうとしたドメインは6レベルだったので,ダメだと.ダメだと言いたいらしい.そんで,どうしろっていう指示かといえば,レベル5以下のドメインで受信可能なメアドを提示しなさいと.それはどう考えても無理だろう.自分が管理するドメインよりも上位のドメイン,しかもadminやらrootやらwebmasterやら,使えるわけが無かろうに・・・.「準備ができたら」と書いてあるので,準備不能だから,黙殺しようかと思ったのだけど,それだと面白くないので,「準備できません」という旨の内容を送ってみた.この時点で解約したいとは言わない.そうすると,爆即レスが返ってくる.

サイト承認メールアドレスとして、以下のWHOIS登録のメールアドレスを指定する事ができます。

(中略)

これらのメールアドレスにてメールを受信できない場合、RapidSSL証明書の発行手続きを進める事はできません。以上です。

ご丁寧にWHOISを調べて頂いたようですが,そのメアドは情報センターの誰かのアドレスで,当然オレが使えるわけもなく・・・.「発行手続きを進める事はできません。以上です。」と強く言い切られたので,ああそうですか,という感じですね.前のメールが来た時点で,こうなるんではないかと思ったんですけどね.仕方がないので,爆即返信で,

証明書の発行手続きを進めることはできないようなので,速やかにキャンセルとしてください.

と送った.これ,15時半の話.手続きから30分くらいの話.実に迅速な対応です.さて,このキャンセルを申し出た後,どうなったか.パタリとメールが止みました.その後,就業時間ギリギリの18時に解約手続きのメールが届いたので,如何にもPCの前でへばりついて待ってたぞ!というアピールをするべく,爆即返信しました.解約できたようです.決済取消や返金のメールは届いていませんが・・・.

で.SSL証明書が必要だったのは事実なので,これでは困ります.途方に暮れていたところ,ComodoのTrialが90日使えるようなので,場つなぎには十分なので,入手してみた.こっちは難なく手に入った.ただし,シングルルート証明書ではないので,中間CA証明書を入れなくてはならない.もちろん,ルートCA証明書も中間CA証明書も発行された証明書もSHA1だったので,安心である.

で.なんでこんな話を書いているのかっていうと,むしゃくしゃしていたわけではなく,別の理由があるのです.安いからいいんじゃね?とオススメをしてしまっているFlySSLも身を以て試したので,報告したい.まず結論からいくと,ダメだここ.早く何とかしないと.何がどうだめかって?SSL証明書が手に入っていない上に,オレのクレカが失効するくらいです.ちなみに,ここもMD5なSSL証明書.

090116_ssl_04.png

FlySSLはSSL証明書を買うのではなく,SSL証明書を発行してもらうための権利を買うんです.そんで,その権利を行使してSSL証明書を手に入れるんです.まぁ,手続きの方法なんて,上手くいけば問題がないんです.だが,上手くいかなかった.表示されるエラーは以下.

090116_ssl_05.png

creditがnot enoughだと言われる.そげなこと言われても・・・.これに関する情報はここで述べられているんだが,何日待っても使えない.だって,このSSは今日現在のものだし.というわけで,サポートに対して,このエラーはどういう意味だい?っていうメールを送った.しかし返事は返ってこない.何日待っても返ってこない.何度送っても,返ってこない.

090116_ssl_06.png

24時間以内に返信するとは,片腹痛いわ!というわけで,どうしようもないので,クレカの国際決済部に応援要請を出しました.実は慣れてます.この手の海外オンライン決済で,処理を止めるとか,取り返すとか,実は2回目です.ちゃんと証拠や資料を残しておけば,比較的簡単に返金手続き等ができます.海外やオンラインで臆することなくカードを使うのは,こういう状況を知っているからです.

さて,そんなこんなで,国際決済部に「これこれこういう状況で商品を手に入れることができない.サポートに問い合わせているが一切の反応がない.Contact Usにはこのフォーム以外の連絡手段がない.このまま決済されると困る.そちらからもアクションを起こして欲しい」と申し立てました.サポートに送った内容は残しておくと,ここで役立ちます.いつ送ったかとかも大事.そんで,「それらの証拠等を全て送って下さい」と言われるので,指定されたメールアドレスにお送りしますと,内部で処理が進みます.

まず,決済の証拠を取り寄せます.この請求はどういうものなのかという証拠を取り寄せます.これに1ヶ月かかるので,1ヶ月くらい待ちます.その間,疑惑の決済は凍結され,引き落とされないようになります.安心です.で.今回の件では,証拠書類を取り寄せたが,根拠が曖昧で信用不十分と判断されました.よって,返金というか決済されないことになりました.なお,どうもこの証拠書類が相当杜撰だったようで,クレカ屋さんが気にしまくって,「カード番号を変えた方がいい」とのことで,新しいカードを送ってくるそうです.というわけで,今現在,オレのクレカは失効中です.たった$9.99なのに,なんだか大事になってるぜ.

まとめ:
疑わしいサイトはやはりMD5なSSL証明書を使っていた.安いのにはそれなりの理由がある.ある程度の安全は金で買える.クレカのサポートは皆さんが思っているよりも強力.

関連:
MD5なSSL証明書のおはなし - 4403 is written
Comodo CAがサーバ証明書を関係のない第三者に発行したらしい - 4403 is written
用途別SSLサーバ証明書を勝手にまとめ - 4403 is written
Firefox3のロケーションバーをSSL接続時にわかりやすく - 4403 is written

2008年の段階でCAにMD5を利用しているところは以下の通りとのこと.

  • RapidSSL
  • FreeSSL
  • TrustCenter
  • RSA Data Security
  • Thawte
  • verisign.co.jp

なので,この辺の証明書を使っている人はとりあえず注意したらどう?という感じですね.

今日時点での偽SSL証明書の話関連をピックアップ - naoeの日記

RapidSSLをオススメする記事を書いてしまっているので,こっそり訂正.ルート証明書がMD5な話はexploitさんのところで扱われていて,その時点で追記しておくべきだったかなぁと今更ながら後悔.

で.そのときにThawteって名前は見かけたなぁ・・・って.どこだったっけかなぁ・・・.あっ!ここだ!次の更新では是非ともSHA-1なSSL証明書を・・・.復帰祝いもかねて,高めの証明書で☆

本家のストーリにもなっているが、認証局として知られる「Comodo」のアウトソース先の証明書販売業者が、mozilla.com用のサーバ証明書を関係のない第三者に発行してしまう事件が発生したようだ(eWeekの記事「SSL Certificate Vendor Sells Mozilla.com Cert to Some Guy」、mozilla.dev.tech.cryptoグループに掲載されている事件の経緯)。

スラッシュドット・ジャパン | Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に

ボソッとつぶやく.

PKIの信頼って,いうところのTTPって,何を誰がどうやって信頼しているのだろうか.一般人はわかっているのだろうか.ブラウザがSSL証明書に警告を出さなければ信頼できる?それはTTPを信頼しているの?あなたはverisignを知っていますか?comodoを知っていますか?

もしかして,一般人にとってのPKIって,トラストアンカーはTTPである認証局になんか向いてなくて,ブラウザなんじゃ・・・.ブラウザが「うん」といえば「うん」なのか.PKIが一般的に普及しないのはこういう理由からなのだろうか.

今日も適度にチューニング.残る調整は,上位管轄DNSの設定とGoogle Appsへの丸投げとSquidの確認かな.最大の難関はサイトのデザインがテンプレそのままなのをなんかすることか.デザインセンスがないから,どうにもできないが.

BINDがエラー吐きまくり
BINDが以下のようなエラーを吐きまくっている.以下,ログ.長すぎるので,適宜改行.

Nov 19 11:20:49 neodymium named[5139]: too many timeouts resolving
'195.206.188.210.in-addr.arpa/PTR' (in '206.188.210.in-addr.arpa'?): disabling EDNS
Nov 19 11:20:50 neodymium named[5139]: too many timeouts resolving
'178.68.125.75.in-addr.arpa/PTR' (in '125.75.in-addr.arpa'?): disabling EDNS

そうそう.前にサーバ名はhydrogenとか言いましたけど,hydrogenは無線LANルータが陣取っているので,無難なneodymiumを割り当てました.IPアドレスを推測しないでね><.

閑話休題.エラーが起きた時は,too many timeouts resolving disabling EDNSって,そのままググればいいと思うよ.だって,そのためにエラーをそのまま貼り付けているわけだし.で,色々な情報に出会うわけだが,serverでedns noするのも,optionsでempty-zones-enable noするのも,両方ともに効果がなかったので,仕方がないので,以下の方法で対処した.根本的な解決ではないなぁ・・・.

とりあえずnamed.confに、

logging {
  category edns-disabled { null;};
};

と書いておけば、以降は記録されなくなるらしい。

BIND9.5で謎のログ: さかなでブログ

対処療法的だなぁ.ついでだから,category lame-servers { null; };も合わせて書いておく.

SSLサーバ証明書をゲットしよう!
安さ爆発はどの程度なのかを確認するため,以前にまとめたように,最安と思われるFlySSLを買ってみる.$9.99/年なので,$38/年でルートがmd5RSA-1024のヤツよりはいいと思います.値段的な意味で.

まず,ご存じのように,CSR(Corporate Social Responsibility; 企業の社会的責任)を作成します.っておい!違う違う.意味的にはあってるような,あってないような・・・.正しくはCSR(Certificate Signing Request; 証明書署名要求)です.作り方は,この辺この辺を参考にするといいと思います.一応,手順としては,

/etc/ssl/private# openssl genrsa -des3 -out FQDN.key 1024
Generating RSA private key, 1024 bit long modulus
.....++++++
................................................++++++
e is 65537 (0x10001)
Enter pass phrase for FQDN.key:
Verifying - Enter pass phrase for FQDN.key:

/etc/ssl/private# openssl req -new -key FQDN.key -out FQDN.csr
Enter pass phrase for FQDN.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:fuga
Locality Name (eg, city) []:hoge
Organization Name (eg, company) [Internet Widgits Pty Ltd]:fuga
Organizational Unit Name (eg, section) []:hoge
Common Name (eg, YOUR name) []:FQDN
Email Address []:webmaster@FQDN

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

/etc/ssl/private# openssl rsa -in FQDN.key -out nopass_FQDN.key
Enter pass phrase for FQDN.key:
writing RSA key

/etc/ssl/private# cat FQDN.csr
-----BEGIN CERTIFICATE REQUEST-----
なんやかんや
-----END CERTIFICATE REQUEST-----

rootで作業するなとかいうツッコミは華麗にスルーします.一応,鍵のパスフレーズを外しておきましたけど,外さない方がセキュリティ的にはいいと思います.

あとはFlySSLの方にCSRを投げつければ良いのだが,ドメイン所有者を確認するために,指定のメールアドレスに確認メールを送るから,どこに送ればいいか,選べと言われる.選択肢が,admin@とかroot@とかwebmaster@とかなっている.つまり,なんだ.メルサバを建てないと申請が進まない・・・.今日もsnakeoilで頑張る!

知っておきたいSSLサーバ証明書の取得までがホッテントリなので,触発されて書いてみる.前研究室の証明書も切れていることだし,ちょうどいいので,まとめ.

ワイルドカード証明書

また、負荷分散などでサーバが複数台ある場合は、SSLサーバ証明書も複数個必要でしたが、最近では1つのSSLサーバ証明書で済むサービスもできたようです。

知っておきたいSSLサーバ証明書の取得まで - livedoor ディレクター Blog(ブログ)

それがワイルドカード証明書です.つまりは,*.exmaple.comっていう証明書が作れます.ということは,hoge.example.comでも,www.example.comでもokということです.分かりやすいねっ!

さて,ワイルドカード証明書はどこで手に入るのか.

などなど,いろいろあります.値段も様々です.True Business IDは実在証明がついているはずです.必要な場合にはどうぞ.手軽に導入するのならば,FlySSLが安くていいんじゃないかと思います.

携帯電話対応のSSL証明書

近年,需要が爆発的に増加中のはずです.しかしながら,携帯電話対応は難しいです.普通のPC用ブラウザと違って,「携帯電話対応」と明示されていないものは,使えないと思ってほぼ間違いないです.それは何故かと言いますと,ルート証明書の問題があるからです.

携帯電話に内蔵されているルート証明書は以下のサイトで参照できます.

知っておきたいSSLサーバ証明書の取得まで - livedoor ディレクター Blog(ブログ)

つまりは,ここに示されているルート証明書の下に繋がっているSSL証明書でなくては使えないことを意味しています.では,ここに挙げられている3キャリア全てに搭載されているルート証明書はなんでしょうか?3キャリアの情報を比較してみると,こうなります.

  • VeriSign Class 3 Primary CA
  • VeriSign Class 3 Primary CA-G2
  • RSA Secure Server Certification Authority
  • Equifax Secure Certificate Authority
  • GeoTrust Global CA
  • GTE CyberTrust Global Root
  • Baltimore CyberTrust Root
  • GlobalSign Root CA
  • ValiCert Class 3 Policy Validation Authority
  • RSA Security 2048 V3
  • Security Communication RootCA1

以上に挙げたルート証明書にぶら下がっているSSL証明書なら,一応3キャリアで使えそうです.ただし,注意したいのは,古い機種は古い機種で,また別のルート証明書を持っているという点です.面倒だぜ.

さて,では携帯電話対応のSSL証明書はどこで手に入るか.

この辺りでしょうか.グローバル・サーバIDがぶち抜けて高いですが,これはアドレスバーが緑になることで有名なEV SSL証明書で,携帯電話対応という珍しいやつです.QuickSSLはクイックSSLのような名称で,色々な代理店経由で買えますし,値段も色々です.中身は一緒のはずなんですけどねぇ・・・.オレが前に買った携帯電話対応のSSL証明書はEquifax Secure Certificate Authorityをルート証明書とするGeoTrustのです.値段は忘れた.それにしても,AlphaSSLは安いなぁ・・・.

格安SSL証明書

とにかく安い証明書が欲しい!そんなあなたにオレオレ証明書えー.

うーん.安い.ちなみに,30日間の無料お試しができるFreeSSLってのもあります.

まとめ
主にはこのような用途でしょうか.抜けがいっぱいありそうな気がしますが,皆さんのお役に立てばと思います.正しい証明書を正しい運用で,セキュアなインターネットを!enjoy!

関連:
知っておきたいSSLサーバ証明書の取得まで - livedoor ディレクター Blog(ブログ)
携帯電話とSSLルート証明書

200901091821追記:

2008年の段階でCAにMD5を利用しているところは以下の通りとのこと.

  • RapidSSL
  • FreeSSL
  • TrustCenter
  • RSA Data Security
  • Thawte
  • verisign.co.jp

なので,この辺の証明書を使っている人はとりあえず注意したらどう?という感じですね.

今日時点での偽SSL証明書の話関連をピックアップ - naoeの日記

ということで,上のリストにはMD5を使っているところも含まれています.ちゃんと調べてなくて,すいません.今後はSHA-1に移行するということなので,この記事をあなたが見ている頃には大丈夫になっていると思います.

財務省は4月10日、ありがたくも運転免許証による識別も認めた。実は、この運転免許証による識別装置は、わたしの会社、松村エンジニアリングで作っている。

「タスポがないと買えない」という宣伝のウソ / SAFETY JAPAN [松村 喜秀氏] / 日経BP社

ほほう.これか.結構まともそうだぞ.最初からこれで良かったんじゃ?

東京新聞:たばこ自販機は免許証でOK 「タスポ」普及進まず、財務省が認める:社会(TOKYO Web)

taspoが終わりそうです.taspo開発(談合)陣涙目.そして,専用電子マネーで汎用性ゼロのピデルも涙目.

免許証による成人識別装置は自販機に後付けし、免許証を差し込むと生年月日を読み取る仕組み。5月には設置される。

あはは!たばこの自販機がどんどん重装備になっていくよ!フジタカの顔認証たばこ自販機を採用すればいいんじゃないですかね?ダメなんですか?ダメなんですよね.お金が絡んでるから.

タスポ識別自販機は7月までに全都道府県で稼働する予定。全国約52万台のたばこ自販機のうち、タスポ識別自販機は83%(3月末現在)に達している。

激しく2重投資だ.最初からフジタカに(以下ry.まだ設置率9割なかったのか.賢いオーナーだな.

カード取得に個人情報の提供が必要で、その抵抗感からカードの普及率は喫煙者約2600万人の8%(4月13日現在)。

この論理は全く受け入れがたい.個人情報(保護法的な意味で)を提供せずに,どうやって年齢確認を実現するんだ.まぁ,個人情報がtaspoに含まれていても,どのみち年齢確認ができないことは既に示した通りだが.喫煙者の実に92%は賢い判断をしたということですね.そのままタバコ止めちゃえばいいのに.

まとめ:
おそらく,免許証が使えるようになったら,なおさら自販機の利用は敬遠されると思う.ATMの盗撮よろしくに,免許証の情報が取られまくりそうな気がする.まぁ,取られて困るような情報はないか.免許証が盗られるわけじゃないしね.

関連:
ヘタレ系DのBlog(終了しました): taspoはツッコミどころが満載でどうしような件
ヘタレ系DのBlog(終了しました): 顔認証たばこ自販機
続々・工学的不安に抗して~taspo普及せず - 【海難記】 Wrecked on the Sea
ネットオークションに出回るtaspo 未成年の喫煙防げず、ボロ儲けの出品者も:アルファルファモザイク
ニュース超速報! タスポ崩壊www運転免許でおk タスポの普及進まず財務省認める

以前のエントリで「参加してきましたよ」ということと「配布資料が出たら詳しく感想を述べる」旨を書いた.そんなこと,サッパリスッパリ忘れていた今日この頃,ざとぅ氏から「資料が出てるよ」旨の連絡を頂きました.

NICT情報通信セキュリティシンポジウム 「ネットワーク時代のプライバシとセキュリティ」

松本先生の資料だけありませんが,きっとあれはゴニョゴニョだから,出せないんだと思います.というわけで,だいぶん記憶の彼方に飛んでいますが,「まとめなくちゃいけない」と自分でも実感していたので,記憶を引きずり出しつつ,まとめたいと思います.

基調講演 ``Internet Privacy: Big Brother and Little Brother'' Prof. Steven Bellovin, Columbia Univ.
Big Brother(政府)とLittle Brother(企業)という話が面白かった.それぞれに役割(立場)が違うのだから,一括りで扱ってはいけないわけです.参考になったと思った部分は,3ページと31ページ.3ページはプライバシについての様々な定義.31ページはプライバシをどのようにして守るかという話.特に,Discarding Cookiesの話は興味深い.FlashのCookieはブラウザのそれとは別で,しかも消しにくい(消し方が難しい?)らしい.だから,要するに,Cookieによるトラッキングをするなら,Flashが便利!ってことですね.

会場からの質疑応答で,メモされているものを転載.

Q: OpenIDの発展によって,プライバシ保護は難しくなるだろう.どうしたらよいか.

A: 得られる情報をプライバシとのバランスにかけて,自らが意思決定するしかない.

技術でどうにもできなくなると,工学的にはしょんぼり><

講演 「サイバー空間で子供を守るために」
講演資料が出てないので,割愛.きっと,大人の事情があるに違いない.

講演 「セキュリティとプライバシを両立させる暗号プロトコル技術について~電子投票と匿名認証~」
前回のエントリで,

あ.オレって,セキュリティの研究をやっててもいいんだ!

という感想を持ったのは,この講演を聴いてのもの.「暗号プロトコルとか,セキュリティの話をし始めると,難しくって,一般の人に伝わらない.だから,今日はなるべくわかりやすく説明します」という趣旨で始まった.だから,オレはセキュリティの研究をやっていてもいいんだ!だって,オレは「意味わからん」って言えばいいんだ.ひよっこのセキュリティ研究者に話が伝わらないなら,一般人には到底伝わらない.一般向けの発表に際しては,オレのような知識でも理解できる説明が必要なんだ.っていうこと.

だから,佐古さんの講演は非常にわかりやすかった.「?」って思う点もあったけど,それはこの発表よりもさらに深い内容となる.まずは,伝わるってことが大事.しかも,こんなに楽しく研究やってます!ってのが伝わってきて,聞いてる方も楽しかった.ただ,匿名認証の方の話をもっと聞きたかった><

講演 「情報通信研究機構におけるセキュリティ研究開発」
NICTの紹介だったので,割愛.

特別講演 ``The Recent Issues of Privacy in Korea''
参考になったのは6ページ.韓国での個人情報は,

  • 生存する個人の姓名,主民登録番号及び像などの当該個人を識別できる情報
  • 当該情報だけでは特定個人を識別できないが,他の情報と容易に結合して識別できるものを含む
  • 公共機関のコンピュータ,CCTVなどの情報処理または送受信機能を有する装置によって処理される画像情報

となっているようだ.では,日本はどうだ.

第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)をいう。

個人情報の保護に関する法律 第一章 第二条

というわけで,条件が1つ多い分,韓国の方が個人情報の範囲が広い. で,その1つ多い条件のCCTVは何なのかといえば,恐らくはClosed-Circuit TeleVisionの略称で,要するには監視カメラのことだと思う.だとすると,日本においては,監視カメラの映像は個人情報の範疇にはないようだ.プライバシ情報のような気もするし,公知だとすれば公知のような気もするし・・・.たぶん,法では決まってないんじゃ?よくわかりません><

パネルディスカッション 「本当にネットでプライバシを守れるのか?」
飯塚社長の話で印象的だったのは,何回かは情報開示を行っているということ.そうか・・・.開示するのかぁ・・・.

小松さんの話はメモがいろいろとあって,そのメモによりますと,キム先生の発表を受けて,コンテキストアウェアネスに対するプライバシ保護が必要(資料3ページ参照)であると述べていました.また,冒頭のOpenIDの話にものっかって,OpenID Provider (OP)の信頼度が安全性を決めると述べ,同様にLibertyではIdPがその役割であると述べていました.

菊池先生のe-Taxの話はワロタw.やはり,住基カードと電子証明書をゲットしておくべきだった.果てしなく,ブログネタなのに!補足すると,Edy用がダメ(資料14ページ参照)なんではなく,FeliCa専用がダメなのである.住基カードはType Bなので,使えないって話です.

門林先生の話に関するメモとしては,

透明性がないものを信頼するのは無理!

とだけ書いてあります.たぶん,セキュリティというのは理解しづらいもので,「これこれこうで,こんなに安全なんだから,大丈夫です」のような説明でまくし立てられても,利用者は安心して使えないよね,って話だったと思います.たぶん.

新保先生の話はNICTまとめを書かなくちゃと思わせたきっかけを含んでいる.それは個人情報とプライバシ情報では,範囲が異なるという話.資料の5ページを参照してもらえばわかると思うが,とてもわかりやすい.個人情報とプライバシ情報が異なるものであることはわかっていたし,区別して使っていたつもりだったけど,このように示されると,なるほどなぁと思う.プライバシの権利として,3つが挙げられている(資料4ページ参照).このうちの「個人の自立の保護」は自己決定が難しいという話だった.関連情報としては,プライバシ影響評価PIAというものがあるらしい.

滝澤さんはRFIDについて,RFID情報は個人情報になるのかという問題提起をしてた.仮に個人情報だとするならば,個人情報を保護する上で,リンク不能性の実現が難しいという話をしていた.

200804102222追記:
MS-IMEの馬鹿さ加減に絶望しつつ,誤字を修正しました.

信じられない.日本PKIフォーラムが平然とオレオレ証明書を使っていた.該当ページはこちら

080201_pki.png

第六種オレオレ証明書である.ワイルドカードを使えばよい例.

200802041303追記:
/.にストーリーができた.オレブログを引用してくれても良かったのに!今現在は,上に掲載したスクリーンショットと微妙に異なっている.異なっていても,問題の解決にはなっていない.

さらに述べるならば,どうやら"www.japanpkiforum.jp"と"webltw23.alpha-lt.net"と"sec23.alpha-lt.net"は同一のIP(216.230.250.153)のようだ.ちゃんと設定をできないらしい.PKIの素人?

プロフィール

e-m@il @ddress