SELECTED ENTRIES
RECENT COMMENTS
RECENT TRACKBACK
CATEGORIES
ARCHIVES
MOBILE
qrcode
LINKS
PROFILE
OTHERS

06
--
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
--
>>
<<
--

戯れたい

I LOVE GEOGRAPHY
<< 掃除したい | main | おもしろくなるだろうこと >>
ウェブサービスのセキュリティなんてこんなものか、という話
気付いたのは10月25日の夜だったか。
登録してる某大手求人サービスから一斉配信でメールが送られてきてて、
その書き出しがこんな感じだった。

>***** さんへ
>
> 会員ID:********
> PASSWORD:*******

1行目は、自分の名前、あってる。
3行目、会員ID、覚えてないけどそんな数字だったような。
4行目、パスワード。

パスワードって、普段入力するときは伏字になってるから、
本来の文字にして見せられても“この記号の並びは何?”って感じで。
まぁその見慣れない記号の並びにひっかかって、少し考えたら、確かにこれ、自分が使ってるパスワードと一致してる。

つまり、IDとパスワードと、メールの頭に書かれてる。
ダメじゃん。
なにやっちゃてんの。
これ読んだら誰でもこのIDだと偽ってログインできちゃうじゃん。
メールがネット上で配信される過程で、第三者に盗み見られる可能性あるんでしょ?暗号化なんてしてないわけだし。
個人情報だだ漏れ。

…てなことになる訳ですよ。
少なくとも重大な危険性が発現してる。
大手サービスがこれをやらかしたってことは
相当数の会員が個人情報漏洩やら何か悪戯されたりなリスクを、勝手に背負わされた可能性がある。

そんなこんなで少し調査してみた。
リスクが含まれるようになったのは10月23日配信のメールから。
で、26日時点で、サービス提供者が問題を認識してるような記述はない。
26日時点で、状況は改善されてない。

もしかすると動かないとやばいのかもと思った。
動いたら面白いこと、わかるかもとも思った。

● 10/27(Fri) 深夜 質問メール送信。
自分が認識してる状況をまとめて、できるだけへりくだった丁寧な文章で。
なりすましログインできるようになってるよね、ってことと
それってそっちの個人情報保護方針に違反してるよね、ってことを。
どんな反応が返ってくるんだろうとワクワクしながら。

反応は、その日のうちにはなかった。
これにはちょっと拍子抜けしたかもしれない。
先方がメールを読んでるのかもわからずに、
でももし事を重大に捉えたら週末使って対応をするかもしれないし、
続く土日にも返信を待ち焦がれた。
でも来ない。
月曜も火曜も来ない。

● 11/1(Wed) 深夜 別アドレスへ質問メール送信。
この間のメールがどこかで破棄されてたり、届いても読まれてなかったりしてたら困るから、質問をもう一度、
一通目は一斉配信メールに書かれてたアドレス向けだったけど
今度はサービス提供者のウェブページに記載されてるアドレスへ。
早く反応を見せてくれと願いながら。

● 11/1(Wed) 午後 質問に対する答え。
最初に質問を送ったアドレスから、問い合わせた件についてメールが届く。
内容としては、先方でミスがあったと。
なんかサービスのメンテナンスで
結構大きくシステムをいじったら、登録情報に影響が出た、と。
もともと、登録者情報のオプションで“サービスから送るメールにパスワードを記載する”項目が用意されていて、それにチェックを入れていなかったのが
何故か勝手にチェックしたことになってたらしい。

それが明らかになったから、1日付で元に戻したとのこと。
迷惑と不安を与えたことに対するお詫びがされてた。

土日を挟んで、都合4営業日かかって返ってきたのは、
つまりこれが重大な事態だという認識がされてなかったのか。
二通目の質問メールへの返信ではなかったし、二通目送った意味あったのかな?

まぁそれはいいや。
普通、そんな誤りがおこるものなのかね、って方がよっぽど重要。
これもそれほどに本質的じゃないけど。

そしてとにかく、反応は得られた。
でも、これが満足のいく回答だとは到底思えなかった。
だってそうでしょ?
例えばエボラウイルス培養してる研究所があって
そこのウイルス管理設備がちょっと故障してましたってときに、
でももう復旧しましたから安心してください、なんて誰が納得する?
ウイルスが外に漏れてないとか、
漏れててもちゃんと殲滅させたとかを明らかにしないと不十分でしょ。

パスワードが漏れる危険のある状態でした、
でももう対策しましたから安心してください、なんてありえない。
パスワードが外に漏れてないとか、
漏れててもちゃんと殲滅させたとか明らかにしてよ。

● 11/3(Fri) 深夜 ログイン履歴の情報を要求。
この時点で、これまでの対応に相当落胆してたけど、
感情的にならないように、低姿勢を心がけてメールを作成。

回答に記された対応がされたことは確認しました。
確かにこの先パスワードが第三者の手に渡る可能性は低くなった。
でも、既にパスワードが第三者の手に渡った可能性はぬぐえないよね、と。
悪意ある第三者がもう悪さしちゃってるかもしれないよね、と。
だからチェックするために自分のIDでのログイン履歴を見せてと。

裏に秘めた思いとしては、
受け取った回答は回答として成立してないから、もっとしっかり
みたいなことを、薄盛りにしたつもりだった。

● 11/7(Tue) 午後 ログイン履歴の情報の回答。
前回よりは待たされずに済んだし、要求したとおりには返ってきた。
最低限の対応でしかないけど。

これで得られたのはトラブルが発生して以来の自分のアカウントについての情報で、
アクセスしたURIと、その日時との組。
なりすまされてログインされてはなかったと確認できなくはない。
まぁこの程度で仕方なかったかも。
こっちの文章もあまりしっかり書けてなかったし。

実は10月の末ごろに少し国内をぶらっとしていて、
その間に問題にしてるサービスを何回か使ってた。
それで、回答にログイン履歴でIPアドレスまで示されてたら面白いかもと、こっちで思ったふしもある。

これだけ地理的に離れた複数の場所からログインされてるのに安全性が保たれていたと主張するつもりなの?、って
突っ込めるかなと期待してた。
トラブルに巻き込まれた会員の数は知らないけど、
その全てに対してセキュリティを確保する対応をとったの?
自分の例だけとっても、かなり灰色のままで放置されてたわけだし、こんなので大丈夫だとでも?
てな具合で。

こんなの、きれいな対応でふいにされれば、そっちの方がいい期待。
実際きれいな対応をより強く期待してた、んだけど。
もっとしっかりと願った部分は、空振りだった。

堅牢なセキュリティを謳うサービスなら、
パスワードが第三者に漏れた可能性があるとわかった時点で
アカウントを凍結するでしょ。
んで、なりすましが起きてないか精査するでしょ。
そこまででなくても、巻き込まれた会員に対して事実を公表して
パスワードの変更を促すくらいのことはしないのかと。
もう完全にがっくりきてるわけです。

未だにパスワード変えたほうがいいよ、との回答もなかったし。
ねぇ。

● 11/8(Wed) 昼 抗議するようなメール送信。
ウェブサービスのセキュリティなんてこんなものかと、
最終的になにか悲しい認識を持つようになってたけど兎に角、
志のようなのもあったから一応ちゃんと締めとこうと思って
抗議のような不満のような要望のようなものを。

これはかなり一方的に。
2週間も関わったんだから怒ってもいいかな、って。
こんなのが求人サービスの大手で展開してるんだもんなぁ。

一連のやり取りで、なにがどうだったかって、
結局ただ疲れただけのような。
結局、軽い話のタネにしかならないんじゃないの、これ?

先方がこれをどう捉えていて、
前後でセキュリティに関する認識をどう変化させて、
この先どうやっていくのかとか、全然わかんないし。
トラブルについての告知みたいなのも見ないし。
個人情報の取り扱いの方針作っておいて、それを自分で破って、
開けた穴を塞がないままやってるんでしょ?
プライバシーマークの認定事業者とかいいながら。

なんか、迷惑と不安を与えたことに対するお詫びの言葉だけで
セキュリティ上問題だったとも認めてないし。
指摘したことに対して感謝もないし。
いや、感謝くらいはされてもいいだろ。少なくとも。

感謝しろ。
文章苦手なのに相当な労力割いたんだから、こっちは。

…以上、全部グチ。

*2006年12月13日 文章を一部で変更
| その他 | 02:22 | comments(0) | trackbacks(1) | - | - |









http://blog.tawamure.com/trackback/477380
フレッシュミーティングについて
最近よく耳にするフレッシュミーティングって何?フレッシュミーティングの解説です。
| フレッシュミーティング | 2006/12/11 1:06 AM |