V.S.A. III

こんにちわ，五十嵐です．本日(2006/07/27)の日経新聞の記事の中で一番驚いたのは 「『ひげ抜いて』セクハラ認定」 という見出しのついた記事でした．次に驚いたのが 「ネットに被害先公開」 という見出し．

一つ目の日経新聞の 「セクハラ認定」 の記事にはこう書かれていました．

「ひげ抜いて」セクハラ認定 - 厚生労働省と国に賠償命令 -
厚生労働省の出先機関で臨時職員として働いていた神奈川県相模原市の三十代の女性が、職場で男性職員にひげを抜くように強いられるセクハラを受けたなどとして、男性職員と国に計五百万円の損害賠償を求めた訴訟の判決で、東京地裁は二十六日、セクハラ行為があったと認定し計五十五万円の支払いを命じた。

(日本経済新聞 2006年7月27日版 より引用，下線は筆者が加えたもの)

産毛の濃い女性は確かにいるけれども，女性のひげを抜けというのはいくらなんでも失礼な言い草だろう，と驚いた次第．
そうか， 「女性のひげを抜け」 がセクハラに認定されたのなら，口ひげを生やしている私が上司から 「ひげを剃れ」 と言われたらパワハラに認定されるに違いない，などと思ったり．．．

でも，セクハラは受け手の情感の問題なので，好きな人に 「ひげが伸びているので抜いた方がよいのでは？」なーんて言われちゃったら，顔を赤らめながら，速攻で抜いてきちゃったりするんでしょうが，と思っていた (同様に，好みのタイプの女性上司に「五十嵐さん，ひげが無い方が素敵だと思うわよ．」なんていわれたらホイホイと剃ってしまうかも知れない．現実の上司は好みのタイプである前に女性ですらない)．

ところが．．．

• 「ひげ抜いて」女性職員にセクハラ　厚労省職員と国に賠償命令 (2006/07/26 Sankei Web)
• 「ヒゲ抜いて」とセクハラ...厚労省職員らに賠償命令 (2006/07/27 読売新聞)
• 厚労省男性職員が女性職員に「ひげ抜いて」とセクハラ (2006/07/27 SANSPO.COM)

などの記事を読んで，男性が女性に 「オレのひげを抜け」 と言ったのだと，やっとわかった．そりゃどうみてもセクハラだな．

次の記事の見出し．同じ日経新聞から．

この住所、現金送らないで - 振り込め詐欺で警察庁 - ネットに被害先公開

(日本経済新聞 2006年7月27日版 より見出し部分のみ引用，下線は筆者が加えたもの)

• 警察庁、ＨＰで振り込め詐欺の「送金先」５９か所公開 (2006/07/26 YOMIURI ONLINE/読売新聞)
• 振り込め詐欺、現金送付先住所を公開・警察庁 (2006/07/26 NIKKEI NET)
• 定形小包郵便で現金詐取　振り込め詐欺に新手口 (2006/07/26 asahi.com)
• 警察庁、振り込め詐欺の送金先住所をWebサイトで公開 (2006/07/27 INTERNET Watch)
• 警察庁、振り込め詐欺の送付先住所をネット公開 (2006/07/27 ITmedia News)

こんにちわ，五十嵐です．風邪をひいたようです．現在は少し下がりましたが，一時は 38度8分くらいまであがって．．．一日寝てました．
というわけで，このブログは後日更新します．

と書いたのはいいのですが，更新を忘れていました．
咳で喉がはれ上がり，呼吸困難．冗談抜きで涎までたらしていたかもしれません．でもタバコはやめられない．．．

さて，最近思うこと(考えたいと思うこと)：
・社内ソーシャルブックマークをなんとか実現したい．
・子供が大きくなったときの情報の世界はどうなっているのか．
・ログ監査と J-SOx法．
・セキュリティ･マネジメントと情報セキュリティ．
・IT を使っているのか，IT に使われているのか．
・顔の認識を使った画像ファイル流出の防止．
・tPod のセキュリティ．
・管理者権限二重認証の仕組み．
・複数の人格と SNS．
・セキュアOSの普及のために必要なこと．
・CD 普及の要因．
・DVD 規格と VHS 規格の普及要素の原因追求．
・・・
などなど．

どれから手をつけましょうか．

• Whats' New
• [PDF] 研究室　講演及び公開ご案内

安田先生が 2007年3月に退官されるのでこれが先生の最後の研究室公開になります．

(7月14日(金)も同じ内容の講演および研究室公開があります．)

• 「はやぶさ」自由部門　星雲賞受賞 (2006/07/12 livedoorニュース)

プログラム
10:30 開会
10:30-10:40 開会挨拶 上田 正文 (財)社会安全研究財団専務理事
10:40-11:30 基調講演 アンディ・パーディ氏
            米国国土安全保障省国家サイバーセキュリティ課課長代行
            兼 米国コンピュータ緊急事態準備チーム長
11:30-12:20 基調講演 アンドリュー・リブスレー氏
            英国重大組織犯罪対策庁電子犯罪部次世代技術・事業部門長
13:30-13:50 基調講演内容紹介
13:50-17:30 パネルディスカッション
            田中 芳夫 マイクロソフト(株) 業務執行役員 CTO
            中尾 康二 KDDI(株) 技術統括本部技術開発本部情報セキュリティ技術部 部長
            安冨 潔   慶應義塾大学大学院法務研究科教授 弁護士
            青山 研一 警察庁情報通信局情報技術解析課長
            坂   明   警察庁生活安全局情報技術犯罪対策課長
            コーディネータ：小野 正博 警察政策研究センター長

• 【CRYPTO-GRAM日本語版】USBでパソコンを乗っ取る (2006/07/11 ITpro Security)

そうですか，AutoRun を使うわけですか．こういう記事を見ると，全面禁止という方向もあながち間違っていなかもなぁとは思います．しかし，特定の USB メモリデバイスだけを使用できるようにするような解決方法もあります．落としても他の人が見れないようにする技術もあります．

そういう選択肢を考慮せずに USB メモリの全面禁止というのはどうだろう，と個人的には思っています．もっとも，私は実施部隊ではないので，どこまで検討されたのかわからずに書いています．もしかすると，解決策は別途検討されていて，それに時間が掛かりそうなので一旦全面使用禁止にしておいて後で対策を講じてから緩める，ということなのかもしれません．対策には予算が必要ですからね．何千台もある PC にすべての対策を施すにしても時間とお金が必要なわけです．そういう風に，よい方向で考えることにしました．

この記事を読んで思うことはもう一つ．拾った USB メモリは安易に中身を見ようとしないことですね．「何が入っているんだろう？」とか「誰のだろう？」とか，好奇心なら自業自得ですが，親切が仇になるということもありえます．

USB メモリを拾ったら，そのまま何もせずに落し物として届けるのが一番です．

こんにちわ，五十嵐です．明日 7 月 8 日から一泊二日で現実逃避をして SF の世界にどっぷり浸ってきます．
松島で開催される「第45回日本SF大会 みちのくSF祭 ずんこん」に参加 心はすでに松島へ翔んでます．「SF 大会」などというモノは一体何をするところかといえば，SF 好きが集まって宴会をするところ，だと思っていただければよろしいかと．SF ファンだけじゃなくて，SF 作家や SF アーティストの皆様と一緒になって騒ぐ，というイベントです．この歳になってくると，だんだん年に一回の同窓会の様相を呈してきますけど．45回も続いていると，傘寿を迎えた方から生まれたばかりの赤ちゃんまで，家族全員で参加したり，様々な方がいらっしゃいます．

さて，SF と言えば，映画などでコンピュータのクラッキングのシーンがよく出てきます．スターウォーズでは R2-D2 がドアのロックを解除するシーンがよく出てきますし，T2: ターミネーター2 ではジョン少年が不正カードでお金を引き出したり，WG: ウォー・ゲームではコンピュータの暴走を止めるのにパスワードを必死に探します．

T2 のジョンはカード偽造というよりも， PC につながれたカードを挿入し，PC で操作して不正に現金を手に入れます．この手のシーンはよく見かけますが，現場でパスワードを解析して不正アクセスを行うというのは，今のところ現実的ではなさそうです．

むしろ，WG の中でのパスワードの類推の方が現実的ですね．(古い映画なのでネタバレで書きますけど)博士の息子の名前がパスワードになっていました．暗証番号が生年月日だったというのと同じくらい安易なパスワードです．

「英国の安易なパスワードトップ10...の裏には...」(2006/07/03)で紹介した人気パスワード は，あくまでも個人とは無関係にパスワードを調べたもののようです．これが個人の関連情報と組み合わせたらどのようになるのか，非常に興味があります．

いまや自分の生年月日を 4 桁の暗証番号に使っている人はほとんどいないとは思いますが，子供の誕生日，親類縁者の誕生日，住所の番地などなどまで広げて関連性を見た場合にはどうでしょうか．私の名前は「サトシ」ですが，これをもじって "3104" (IQ サプリみたいですが，サ＝ 3，ト＝ 10，シ＝ 4) などという具合にしている人もいるでしょう．このような類推可能なパスワード(暗証番号)はまだまだ撲滅できていないと想像しています．

私はここのところ「なぜ個人情報が漏れてはいけないのか」という情報セキュリティ禅問答の答えを探しているのですが，明確なものが見つけられないでいます．少なくとも基本 4 情報といわれる，氏名，生年月日，性別，住所が漏れただけでは何も問題はないのでは，と思っていました．

基本情報から類推されるようなパスワードを使用可能であるというところにそもそもの問題があるのではないかということです．例えば，暗証番号の登録時には，基本情報＋電話番号などから類推可能な暗証番号が使用されたらはじくなどの仕組みも可能なはずです．

ただ，その基本情報とさらに別な情報とを組み合わせてマッチングさせたりすることによって，間接的な被害が予想されるかもしれません．それを防ぐには基本情報すらも守らなければならないのか．．．そこが私にはよくわかりません．情報が漏れることを一生懸命防ぐよりも，基本情報などは公開される可能性があることを前提にして，そこからの被害を防ぐような仕組みづくりの方に力を注ぐべきなのではないかと思うのですが，情報セキュリティ分野に携わるみなさんはどうお考えでしょうか．

「そもさん！」「せっぱ！」
「個人情報が漏れてはなぜいけないのか？」

ありゃ，SF のつもりが一休さんになってしまいました

"TGIF" とは，"Thank God, It's Friday!" の略．日本語で「花の金曜日」略して「花金」という感じでしょうか(笑) お遊び/オタクモードです．

• 高３男子が不正アクセス ウイルスでＩＤなど盗む (2006/07/06 東京新聞)
• 高３男子、不正アクセスで書類送検　ウイルスでＩＤ盗む (2006/07/06 Sankei Web)
• 他人のＩＤでゲームサイトに不正アクセス　高３書類送検 (2006/07/06 asahi.com)

これらの記事の中で少年の 「自分のキャラクターを強くしたかった。不正にやっている人がほかにいるのに、ゲーム会社がやめさせられないのにも腹が立った」 という動機について気になりました．

紙面からは全くわかりませんが，ゲーム会社の対応は適切だったのでしょうか．私はゲームをやらないので「不正にやっている」という行為がどのようなものか想像がつきません．この少年の行為は正当化されるべきではありませんし，ここに書かれたことだけが動機かどうかもわかりません．しかし，少年が不満に思う何かがそこにあったのでしょう．

以前読んだ小野さんのブログ「形成過程の体験装置としてのオンラインゲーム」では，ただただ，そういうものかと驚き，感心していましたが，私なら何度か嫌がらせを受けた段階で，途中でゲームを投げ出していただろうと思います．

不満は人それぞれ感じ方が違うだろうし，一方で満足感を味わっているユーザもいるのだと思います．そういう場を提供している事業者の対応は非常に難しいものだと想像できますが，今回の事件に至るまでにはどのようなことがあったのかが気になって眠れそうもありません

少年の能力は情報セキュリティ世界にもっと貢献できたのではないかと考えると残念です．不正にアクセスしようと考える前に，周囲が何かできなかったのでしょうか．この少年がホワイトハッカーとして更生することを祈ります．

<?php phpinfo(); ?>

動いた．とても久しぶりの Apache の感触．

• 経産省、オークションで個人装う事業者のID公表へ (2006/07/04 ITmedia エンタープライズ)
• インターネット・オークションにおける特定商取引法第１１条違反者のID公表について (2006/07/03 経済産業省報道発表)
• [PDF] インターネット・オークションにおける特定商取引法第１１条違反者のＩＤ公表について (2006/07/03 経済産業省)
• インターネット・オークションにおける特定商取引法第１１条違反者のＩＤ公表について (2006/07/03 経済産業省)
• 違反と考えられる出品者ＩＤ一覧 (順次更新 経済産業省)
• [PDF] 特定商取引法の通達の改正について (2006/01/31 経済産業省)

• OpenOfficeに危険度「高」の脆弱性 (2006/06/30 ITmedia エンタープライズ)

• 安易なパスワードのトップ10発表 (2006/06/30 ITmedia エンタープライズ)