Smoozサービス終了に寄せて
202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す
mala on Twitter: "マンガワンのチートの件、書いといたほうが良いと思うので書くけど、違法か適法かと言ったら自分も違法だろうと答えるだろうし、それはわかった上で犯罪(有罪)とされるべきではないという立場で、何がダメって言うと技術で防ぐことと法で防ぐことのバランスが決壊していることを嘆いているわけ。"
マンガワンのチートの件、書いといたほうが良いと思うので書くけど、違法か適法かと言ったら自分も違法だろうと答えるだろうし、それはわかった上で犯罪(有罪)とされるべきではないという立場で、何がダメって言うと技術で防ぐことと法で防ぐことのバランスが決壊していることを嘆いているわけ。
Firefox 22のCookieに関するポリシー変更(予定)についての意見書
http://security.slashdot.jp/story/13/02/24/0858210/ Firefox 22のCookieに関するポリシー変更(予定)で具体的にどういう悪影響が懸念されるのかについて書きます。 この変更は「サードパーティCookieをデフォルトでブロック」と言われて想像するものと少し違います。 正確には既にCookieが保存されているドメインであれば3rd party cookieの読み書きを緩和して、新規での3rd party cookieの保存をブロックするというものです。Safariの現行のポリシーとほぼ同じものです。 自分は直接的な不利益を受ける立場ではない。 自分の所属している企業のWebサイトの多くは広告収益に依存しているが、この変更があっても「巨大な」インパクトは恐らくない。 常用している全てのブラウザで3rd party cookieをブロッ
高木VSmala
http://takagi-hiromitsu.jp/diary/20120830.htmlhttp://d.hatena.ne.jp/mala/20120830/1346309790永久不滅ドットコムツールバーの情報収集に関する告知と、ウェブページのタイトルを送信する挙動が限りなくアウトに近い。malaはその火消しを図ったという主張も分からなくはない。ただ、そもそも企業秘密を扱う会社のPCにポイント貯めるツールバー入れるとかどうなの？それこそセキュリティ専門家としてダメだしするところじゃねーの？title要素は秘匿すべきクライアントサイドの情報なの？組織内webサービスの設計としてtitle要素に漏洩したら困る情報を入れるのってどうなの？ 企業秘密の詰まったPCにツールバーが入れる人間がいるなら、組織内webサービスをお気に入りに入れたPCを持ち出して外部で閲覧してショルダーハッキング受
輝ける高木浩光氏とスーパー武雄市長・樋渡啓祐氏の戦い - やまもといちろうBLOG（ブログ）
武雄市長の樋渡せんせのFACEBOOKが大炎上していたというので見物に逝ったわけですが、FACEBOOKのコメントとしては結構画期的な数の罵倒＆応援コメントが交錯しており、興味深いのです。 樋渡 啓祐 https://www.facebook.com/keisuke.hiwatashi.9/posts/482159161803955 元はと言えば、樋渡せんせと高木せんせのネットセキュリティを巡る論争からスタートしていたはずが、途中で樋渡せんせが個人の住所録をヤフーブリーフケースで公開してたり、支援者の方々の顔写真を含む個人的な画像群を写真共有サービスでこれまた公開してたり、微笑ましい失敗をしていたことで延焼したあたりがネットユーザーの心を鷲掴みにしたんですよねえ。 あらすじを知りたい方は、こちらの戦場跡をご覧いただきたいところですが、関心深めるべきはこの抗争、まだ現在進行形で戦火が広がり続
高木浩光さんへ、しっかりしてください - 最速転職研究会
技術者としての良心に従ってこの記事を書きます。俺はセキュリティとプライバシーの人ではなく、JavaScriptとUIの人である。法律の勉強だって自分の生活と業務に関わりのある範囲でしかしないだろう。しかし少なくともJavaScriptやブラウザが絡むような部分については、確実に自分のほうが理解していると思っている。高木浩光さんが、あからさまに間違ったことを書いたり、おかしなことを書いていたりしても、徐々に誰も指摘しなくなってきたと思う。おかしなこと書いていたとしても、非技術者から見たときに「多少過激な物言いだけど、あの人は専門家だから言っていることは正論なのだろう」とか、あるいは技術者から見た時でも、専門分野が違えば間違ったことが書かれていても気付けないということもあるだろう。 もう自分には分からなくなっている。誰にでも検証できるような事実関係の間違い、あるいは、技術的な間違いが含まれてい
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について(2) - 最速転職研究会
http://d.hatena.ne.jp/mala/20120220/1329751480 の続き。書くべきことは大体既に書いてあったので、補足だけ書く。 Googleは制裁金2250万ドルを支払うことでFTCと和解した http://jp.techcrunch.com/archives/20120809google-settles-with-ftc-agrees-to-pay-22-5m-penalty-for-bypassing-safari-privacy-settings/ まさか(まともに調査されれば)こんなことになるとは思わなかったので驚いた。異常な事態である。そしてGoogle側の主張を掲載しているメディアが殆ど無いのも異常な事態である。 2250万ドルもの制裁金(和解金)が課せられるのは、2009年に書かれたヘルプの記述が原因だという。 問題の記述 http://obam
ライブドア社員malaが高木浩光の定置網に引っかかりtwitter民にフルボッコにされるの図 - Togetter
Hiromitsu Takagi @HiromitsuTakagi WBSの放送 http://t.co/JSaAhR9g は、経済系番組なのに問題点を示しており良い番組だった。「元カレが出て嫌」「知らない人が出て怖い」件を声をとって伝えている。（おそらく本題は元々そっちを予定していたのではないか。） 2012-06-24 00:39:38 Hiromitsu Takagi @HiromitsuTakagi 生貝氏のコメントは「企業が自ら情報の扱い方を明らかにしたうえで「信頼して欲しい」というメッセージを積極的に発信することが必要」というもの。 しかし今の実態はというと、「情報の扱い方」が抽象的にしか示されず、「信頼して欲しい」というのが精神論になってしまっている。LINEはどうか。 2012-06-24 00:43:20
「Facebookで自分の名前と写真を広告に使えないようにする方法」について - 最速転職研究会
表題の件について、ソース不明の噂話や、意味を理解しないままリスクを誇張して拡散される様子を数日前から見ることができる。放っといて収まるかと思っていたらnanapiが大拡散していた。記事を書いているのはnanapiの社長であるkensuuである。時給800円のバイトかと思ったらkensuuである。 http://nanapi.jp/37983/ この件についての見解をいくつかTwitterに書いた。 まあ、全くのノーリスクというわけでも無いだろう。 正確に言えば「この設定が意味を持つような不適切な実装をしてはならない」 「表示」するだけならば、広告主や、他の広告ネットワークに対して、あなたのプロフィール画像や表示名に対してアクセスを許可する必要がない。facebook.comのiframeを使って直接Facebookから表示するだけだ。この意味がわからなかったらウェブ系の仕事に関わっているプ
マシなインターネットを作る：malaさんインタビュー
こんにちは。今回はmalaさんのインタビューをお届けします。 malaさんはNHN Japanのエンジニアとして多くのウェブサービスの設計に関わるだけでなく、セキュリティやプライバシの観点から見たアーキテクチャについて、ブログでさまざまな情報や問題提起を発信されています。 特に昨年末に公開されたブログ記事「はてな使ったら負けかなと思っている2011」は、インターネットはどこへ行くかという私のもやっとした問題意識にピッタリとハマる素晴らしい文章でした。あの記事を読んで、これはぜひ一度お会いして、インターネットの現状やエンジニアの役割について、お話を聞いてみたい、と思ったのが今回の企画の発端です。未読の方は、まずそちらからどうぞ。 なお、インタビューは三月末に行われました。無職期間中に公開する予定で、ずいぶん時間がかかってしまいました。文中、私の所属する企業の話も出てきますが、例によってここは
ブログパーツやソーシャルボタンの類でアクセスログが残るのは当然だけどトラッキングされるのは当たり前にはなっていない - 最速転職研究会
わたくしは立場上、実装がダメなことにはとやかく言いますがポリシーについてはとやかく言わないことをポリシーとしており、また個人的にも所属組織的にも付き合いがある企業様を痛烈に批判するというのはブーメランとか槍とか鉄砲玉とかソーシャルメディアガイドラインとか飛んできたりしてリスキーではあるのですが、どう見てもアウトだろこれ、と考えるに至りまして筆を取らせていただく次第です。 これ http://d.hatena.ne.jp/kanose/20120306/hbmbutton http://blog.dtpwiki.jp/dtp/2011/09/post-9367.html どう見てもアウトだろ。理由は単純で、そういう目的で設置されたボタンではないし、はてなブックマークボタンが設置されているサイトは、はてなの管理してないサイトなのではてなの裁量でやってはいけないからです。いつから「はてな」は「は
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会
※この記事の完成度は85%ぐらいなので後で追記します。 http://webpolicy.org/2012/02/17/safari-trackers/ http://online.wsj.com/article/SB10001424052970204880404577225380456599176.html http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/ 合わせて読みたい。 http://trac.webkit.org/changeset/92142 https://bugs.webkit.org/show_bug.cgi?id=35824 一番上のJonathan Mayer氏の記事については純粋に技術的なレポートなので、特におかしなことは書かれていない。元はといえばSafariのCooki
はてな使ったら負けかなと思っている2011 - mala's blog
Hatena::Staff Advent Calendar 2011の14日目の記事です。 こんにちは、この度ははてなブログ開設おめでとうございます。はてなとは何の関係もないmalaです。みなさん色々ありましたね、色々ありました。何を書くのか全く考えなしにネタでこの企画に応募してしまったわけですが、せっかくなのではてなのことや、インターネットのことなんかについて軽く書いてみたいと思います。 自分が初めてインターネットに繋いだのは14歳の頃でした、それ以前もパソコン通信的なものに多少触れたりすることはあったと思います。15歳の頃からPerlを書き始め、一番最初に作ったホームページはgeocitiesではなくprohostingでした。それは所謂一般的なホームページですら無く、誰でも書き換えることが可能なものでした。今で言うとwikiなのでしょうか、wikiでしょうけど当時はwikiという言葉
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
mala on Twitter: "Smoozというブラウザが話題になっていたけれど、作者が元楽天でポイントビジネスで検索5回でポイント付与なんて、まんま楽天を参考にしてるとしか思えないのに、kンな分かりやすいの放ったらかしで小物に食いついて山本一郎の目は節穴か、も… https://t.co/pucWDZjRQ7"
体系的に学ぶ安全な利用規約の作り方
NICOSパスワード8文字切り詰め制限祭りまとめ
Twitter / bulkneets
problem with not english letters in url