「非匿名化」されてしまった携帯電話からのWebアクセス

あるAnonymous Coward 曰く、

セキュリティ研究者である高木浩光氏が、ブログで「日本のインターネットが終了する日」という記事を公開している。

この記事によると、現在では携帯電話からのWebサイトへのアクセス時に、契約者ごとの固有IDをサーバに送信することが標準仕様となっているそうだ。常にユーザーごとの固有情報を送信するということは、ユーザーのアクセス履歴を比較的容易にトラッキングできるようになるほか、アクセス者の個人情報を収集しやすくなってしまう、という問題がある。

「PCに固有のユーザーIDを付けてアクセス者を一意に特定できるようにするべきだ」という議論は昔からあったが、携帯電話の世界では一足先にこれが実現してしまった格好だ。とりあえずはこれがPCからのインターネット接続になんらかの影響を与えることはないとは思うが、「非匿名のネットワークアクセス」によりどのような問題が発生するのか、興味深く見守っていきたい。

とめてます

[Anonymous Coward]

この仕様変更自体結構前の話ですが、この機能のアナウンスがあったときに
docomoのWebサイトでとめる手順も出ていたので即効で無効にしました。
私はニュース見たり銀行使ったりする程度なのでいままで困ったことはありません

『iモードID』の提供開始について [nttdocomo.co.jp]

Re:とめてます

[hirai (10484)]

私も速攻無効にしましたが, おかげで mixi モバイルにログインできなくなりました.
製造番号情報を要求されるなら都度判断して送ってあげてもいいのですが,
無差別に送出されるiモードIDを必須にされるとちょっと辛いですね.

--
life is game. play it cool.

Re:とめてます

[hirai (10484)]

無差別にって書き方が悪かったですね. ユーザ側からサイト毎など個別に選択できずに,
サイト側から要求されれば自動的に送出されるのが嫌だという意味でした.
# Cookie 拒否できない PC 用ブラウザがあったら, 広告屋以外には見向きもされないっしょｗ

＞「ただし、SSL通信時にiモードIDは付与できない。」
http://neta.ywcafe.net/000840.html [ywcafe.net]
ここをみて, …なるほど, な感じです. たしかに中途半端だ.
どうせユーザの個別許諾なしに送出するなら, サイト側からのリクエストも不要にすればいいのに.

公式サイトは UID 拾えるってのは聞いたことがありました. 公式資料は見たことないです.
My Menu 登録周りで UID 拾ってるっぽい挙動をしますから, 推測することもできました.
ただそれが GUID なのかは判りませんし, 非技術系ユーザ一般に認識されているかは疑問です.

--
life is game. play it cool.

Re:とめてます

[tietew (6130)]

uid != guid です。

uid=NULLGWDOCOMO ていうURLを見たことがありませんか？　これが「uidを送れ」指令です。
uidは、公式として登録したサイト以外では取得できません。

Re:とめてます

[hirai (10484)]

なるほど, ありがとうございます.
guid ではなく, また(敷居が高い)公式サイトだけなら個人的には許容できる範囲内だと思っています.
ですが iモードID の導入によって, 高木さんの言うとおり「非匿名のネットワークアクセス」が前提と
なってしまった環境では, 根本から過ごし方を考えようと思います…

--
life is game. play it cool.

Re:とめてます

[niratama (2175)]

「ただし、SSL通信時にiモードIDは付与できない。」てのは、逆なんじゃないのかと思うんですが。

SSL通信時にデータの書き換えができるのは問題かと。

# 昔の端末だとGWまでSSLだったからできるかもしれないけど。

Re:とめてます

[murasakimania (36070)]

早速無効に設定しました。
ユニークな情報がユーザに確認されずに送出される設定がデフォルトになっていることに正直驚いた。
セキュリティが重視される昨今、このデフォルト設定はいかがなものか。

固定IDだったらまだマシだよ

[Anonymous Coward]

昔、某キャリア携帯電話からのアクセスの際、ヘッダー情報としてアクセスした人の携帯電話の電話番号がそのまま送られてた事もあった。

#流石にAC

昔のIDOですね

[Anonymous Coward]

4年前のIDO社員は今の詐欺蔓延の状況をどう思っているだろうか [hatena.ne.jp]

2000年3月30日のケータイWatch（旧モバイルセントラル）の報道によると、当時IDOの広報は次のように答えていた。

IDOのEZaccessサービスで、利用者の電話番号がWebサーバー側に分かってしまうという問題があることが明らかになった。 （略）

同社広報では、「サービス開始当初からこうした仕様になっていることは分かっていたが、電話番号をもって個人を特定することはできないので、特に対処はしていなかった。４月中旬から６月を目処にDDI-セルラーやツーカーと同様の方式にシステムを変更する。利用者からの問い合わせ件数については把握していないが、何らかの形で利用者への告知を行なうことも検討しているところ」としている。

ケータイWatch, IDOのEZaccessにプライバシー問題, 2000年3月30日 [impress.co.jp]

「サービス開始当初から分かっていた」にもかかわらず、「電話番号をもって個人を特定することはできないので、特に対処はしていなかった」というIDOの認識に呆れるのだが、わずか数年後に訪れることとなった、架空請求詐欺やら、おかしな請求が続発する社会の情勢というものに、IDO社員達は想像が及ばなかったのだろう。

「電話番号をもって個人を特定することはできない」ってすごいですね。今も言っていることは同じかと。

Re:

[Anonymous Coward]

懐かしい。サブスクライバIDが電話番号だった時代の話。

Re:固定IDだったらまだマシだよ

[nitevision (35046)]

i-mode出始めのドコモでしたっけ。

Re:固定IDだったらまだマシだよ

[nitevision (35046)]

あああ、IPアドレスと勘違いしてました。

Re:固定IDだったらまだマシだよ

[Anonymous Coward]

auだよ。
今は「EZ番号」だけど。

昔は荒らし対策にはサブスクライバIDは十分効果的だったこともある

[shion_91 (34448)]

auとj-phoneは環境変数にHTTP_X_UP_SUBNOという変数があるのでこいつで掲示板に入れる/入れないを指示してやったほうがIPベースより楽という話はあります。
docomoはサブスクライバIDは環境変数としてデフォルトでは投げない仕組みになっていたので対策が大変なんすよ。
まさかdocomoごと拒否するのもかわいそうだし。

Re:昔は荒らし対策にはサブスクライバIDは十分効果的だったこともある

[sasasa (5925)]

>auとj-phoneは環境変数にHTTP_X_UP_SUBNOという変数があるのでこいつで掲示板に入れる/入れないを指示してやったほうがIPベースより楽という話はあります。

HTTP_X_UP_SUBNOがあるのはauだけだと思いますが。。。
J-Phone(というか後期のVodafone以降)は、普通にUserAgentの中に付加情報として入ります。
DoCoMoの場合はguid=ONまたはUTNを付加すればよろしいかと。

ちなみに環境変数なんて簡単に偽造できるので、本来であればIPベースでやるべきですね。

＃信頼度で言えば、IPベース＞＞逆引きDNSベース＞環境変数ベース＞UserAgentベース＞JavaScriptベース＞URLベース ってとこかな？

Re:昔は荒らし対策にはサブスクライバIDは十分効果的だったこともある

[Anonymous Coward]

HTTP の要求ヘッダを指して「環境変数」と言うのやめてもらえませんか?
「環境変数を偽造」ってどこのスーパーハッカーですかと。

proxyサーバ

[greentea (17971)]

uidを出鱈目に書き換えてリクエストするproxyがあれば……
とか思ったけど、ドメインでバレバレですなorz

--
1を聞いて0を知れ!

Re:proxyサーバ

[kcg (26566)]

せめてuidとIPアドレスの加算値からのハッシュを送るとかすれば、ドメインをまたがって悪用されることはないでしょうに、PIIIの件でもMSのメディアプレイヤーの件でも、固有識別IDを送信することへの攻防の歴史があるのに、こんな決定をしてしまうという事におどろきます。

Re:proxyサーバ

[harisen (27285)]

携帯からだとワンアクセスごとにIPが変わるのはざらなので
そういうアクセスは難しいと思われます。
# htmlにアクセスしてきたIPと、そこのimg srcですらIPが違うこともある。

アクセス先のurlとIDでハッシュするならいけると思いますが。
# その場合、既に稼動済みのコンテンツがurl移転するとき大騒ぎでしょうけど。

携帯向け通販サイトの運営がつらくなるかも

[witch (3127)]

携帯向けの通販サイトに住所氏名を入れてもらいにくくなるので
商売が成り立たなくなったりしないでしょうか。

そして、キャリア側が「うちで配送請け負いますよ」とか提案して
おいしいとこ持っていかれちゃったり。

Re:携帯向け通販サイトの運営がつらくなるかも

[Kazsa (25846)]

むしろ、毎回住所氏名を入力しなくて良いように設計したほうが、一般の利用者からは受けが良いかもしれませんよ。
個人情報保護法の問題はありますが。

95年からインターネット導入していますが

[t_a_b_a (32874)]

インターネットが匿名になった事なんか一度も無いと思います。
クレジットカード番号をびくびくしながら入力したあの感覚を今も忘れません。

#本当は今もびくびくしています、月一のカード決済のチェックは欠かせません。

タレコミは元記事ほんとに読んだの？

[Anonymous Coward]

ストーリーのタイトルがおかしいです。元記事の趣旨は、携帯が非匿名化されたことではないでしょう。携帯の秘匿名化が既成事実となって、将来インターネットにも波及するかもという話ですよね。

「PCに固有のユーザーIDを付けてアクセス者を一意に特定できるようにするべきだ」という議論は昔からあったが、

するべきだ？そんな議論ありませんでしたよ。逆でしょ。「PCに固有IDを付けてアクセス者を特定できるようにしてはいけない」という議論が昔からあったわけで。

タレコミ人は元記事を読んでないとしか思えない。

ここでいう個人情報って何？

[Anonymous Coward]

Ａ)ユーザーのアクセス履歴を比較的容易にトラッキングできるようになるほか、
Ｂ)アクセス者の個人情報を収集しやすくなってしまう

Ａに関しては識別ＩＤが来るので当然の話ですが、Ｂはどういう意味なのでしょうか？
識別ＩＤがあることで収集できる個人情報って何のことでしょう？

個人情報保護法の個人情報は、特別な状況でない限り、問い合わせしてもキャリアから
頂くことはできませんし、識別ＩＤを入手可能な対応データと紐付けをしたり、
他の事業者と協力するか何かで手に入れられるものなのでしょうか。

今回の話題における個人情報の内容と、その根拠が知りたいところです＞タレコミ氏＆編者

＃元記事のまんま引用なのかな？（リンク先はなぜか５０３エラーで読めない）

Re:ここでいう個人情報って何？

[C0FFEE (36377)]

>＃元記事のまんま引用なのかな？（リンク先はなぜか５０３エラーで読めない）
つ googleキャッシュ [72.14.235.104]

論拠の記述に時間がかかっているのが解る(補足だけでも本文と同じ位の長さ)ので、主張の要点を掴むのが大変かもしれません。
全部目を通す時間が無い人もいると思いますから、AとBについての解答になると思える所を抜粋しておきます。

ここで重要なのは、これらのケータイWeb向けのバナー広告会社は、サイト横断的に閲覧者の行動履歴を取得できてしまうという点である。

バナー広告の貼られたWebページを閲覧すると、同時に、広告会社のサーバにもアクセスすることになる。これは、埋め込まれている広告画像をダウンロードするために発生する。そして、その広告会社のサーバへのアクセスには、契約者固有ID（個体識別番号）が送信されることになる。したがって、あちこちの Webサイトに同じ広告会社のバナー広告が貼られている状況になると、同じ人物がどのWebサイトを何時何分に訪れたかを広告会社が把握できるようになってしまう。「行動ターゲティング広告」とは、消費者がどんなWebサイトを閲覧しているかの行動を分析することで、それに合った広告を表示しようとするものである。

しかも、契約者固有IDは全てのWebサイトに同じ番号が送信されているのだから、通販サイトや、懸賞サイト、アンケートサイトなど、どこかのサイトで住所や氏名を入力すると、そのIDの人がどこの誰であるかが紐付けられることになる。

もし、広告会社が、各IDの人のWeb閲覧履歴情報を他社に販売するような事態になると、その情報を購入したWebサイト運営者は、自分のサイトに来た人がどんな行動をしている人か把握できるようになる。また、自分のサイトに入力される住所氏名によって、どこの誰がどんな行動をしているかを把握できるようになる。

日本の法律ではこういった行為が明確に禁止されていない。日経新聞の記事でNTTドコモが言っているように、契約者固有IDが個人情報保護法の言う個人情報に該当しないのであれば、広告会社が「各IDの人のWeb閲覧履歴情報を他社に販売する」行為は合法ということになってしまう。

NTTドコモのサポートセンターが言うように、iモードIDが「基本的にお客様にずっと通して使って頂くもの」であるなら、何年、何十年にも渡って行動履歴が蓄積される。しばらくの間は匿名のままでいられるかもしれないが、いずれ、それが誰であったか紐付けられる日が来ると、過去に遡って何年、何十年もの行動が自分のものだと特定されてしまう。

「自分の趣味に合ったダイレクトメールが郵送されてくることくらい気にならない」という人もいるだろうけれども、こうした「行動ターゲティング」は、必ずしも真っ当な事業者だけが行うとは限らない。たとえば、ヤミ金融業者や、悪質リフォーム業者、架空請求詐欺団などは、弱者を求めてカモリストを欲しがっており、ケータイWebの閲覧行動履歴は、そうした業者にも活用されてしまうだろう。

本当は文書の意図であるこの部分を一番最初にもって来ておくと良かったと思います。

すべての関係者にこの固有IDの問題を正しく理解してもらいたい。私はなにも、ケータイWebでID送信を開始したことに反対しているわけではない。冒頭に書いたように、青少年ネット規制対応のためには避けられないことだったと理解するし、限られた使われ方しかしないケータイWebでなら概ねあり得る選択かなと理解する。それなのに、この問題について語っただけで、反発する人がいる。そういう人は、反発するが故に、問題自体が存在しないと主張する。それが危険だ。

問題の存在を理解した上で最終設計を選択するならよいが、設計が先にあってそれに不都合な問題には目を瞑るという態度は危険だ。より良い（問題の小さい）設計が存在しても、それに気付かなくなってしまう

ただ、実際のデータから論拠を積み重ねないと理解しないうちに反発する人がいる（いた）からでしょうかね。実際、AC氏も読む前に質問を発していますし（笑）

ID送信が横並びになった今後の安全な利用原則を、次の「契約者固有ID送信時代の安全なケータイWeb利用リテラシ」として挙げています。

ケータイWebにおいては、絶対に住所氏名を入力しない。

• 商品配送先として住所氏名の入力が必要となるネットショップは利用しない。（着メロ等のダウンロード購入のように、住所氏名を送信する必要のないショッピングしかしないようにする。）
• どうしても物を買いたいときは、携帯電話会社が運営するショップを使う。（携帯電話会社は、ユーザIDを流用することはないので。）

ケータイWebにおいては、完全に匿名で使うことを覚悟するか、又は、常に非匿名であることを前提に行動する。

• 匿名を選択する場合は、自分が誰であるかわかるようなことを、どのサイトでも明らかにしないようにする。
• 非匿名を選択する場合は、自分が誰であるかはどのサイトでも知られ得ると覚悟して、それでもかまわない行動しかとらないようにする。

Re:ここでいう個人情報って何？

[Anonymous Coward]

何と特定するわけでなく個人情報全般でしょうな。

キモは、収集できるようになるというのでなく収集しやすくなるということ。

どこぞのサイトが何らかの個人情報を携帯電話から入力させIDと紐付けて記録しておくことができるようになると、その個人情報とIDの紐付けが漏洩したら最後そのIDでのアクセスはすべて個人情報と紐づいてしまう可能性がある。
限定された公式サイトだけならまだしも勝手サイトにまでIDを送信するのなら、なかには情報管理が甘くて漏洩させてしまうサイトもあれば積極的に売却目的で個人情報を集めるサイトもあるでしょう。

自分で収集しなくても買ってこれる機会が増えるんだから収集しやすくなるといっていいでしょうね。

Re:ここでいう個人情報って何？

[yuno (5162)]

就職するときとか、結婚する時にIDでマッチされて

---------------------------------------
○月○日　××をサイト△で購入
○月○日　掲示板サイト■に□と記述
○月○日　アダルトサイト××を閲覧
　　　　：
---------------------------------------

とか、ずらずら書き出されたらショックが大きいだろうね。

ある意味、ビジネスチャンスかもしれないけど。

--
-- yuno

Re:ここでいう個人情報って何？

[IZUMI162i6 (27633)]

縦断的に情報をトレースされるという話よりも、むしろアダルトサイト××の中の人がリスト(どこかそのIDを使って情報を入力しただけでそれを入手されるリスクは発生する)から一意に個人情報を抜き出せるというのが問題で、そこから1クリック詐欺や、クリック以前に閲覧しただけで請求とかって方向にもならんかっつー話で・・。
ビジネスチャンスはチャンスだろうけれども、いろんな意味でチャンスになりすぎるだろうというお話。

--
◆IZUMI162i6 [mailto]

Re:ここでいう個人情報って何？

[IZUMI162i6 (27633)]

収集しやすくなるよりも収集したものを確実に利用できるというのがキモじゃないかな？

--
◆IZUMI162i6 [mailto]

Re:ここでいう個人情報って何？

[Anonymous Coward]

ネット上で買い物したときに入れた住所が識別ＩＤと一緒に洩れたら
いろいろまずいという感じだった気がする。

Re:ここでいう個人情報って何？

[skapontan (35455)]

どうもそういう感じ。
元ネタによると
> しかし、ネットショップYは、顧客が5000人以下で個人情報保護法の個人情報取扱事業者に該当しないとの認識から、顧客リストを売却してしまう。
が成り立つらしいので、その辺の小規模ショップには住所を入力するな、とある。
じゃあ楽天とかならいいかといえば・・・何度も情報流出やらかしてるよねえ・・・
IDあってもなくても一緒じゃないの？

Re:ここでいう個人情報って何？

[C0FFEE (36377)]

>じゃあ楽天とかならいいかといえば・・・何度も情報流出やらかしてるよねえ・・・
>IDあってもなくても一緒じゃないの？

IDがあれば、「情報流出があった店を利用した以外」で、いつどこで何のサイトを見たか、
追跡が出来てしまうと、IDをバナー会社で調べれば他の利用履歴が把握されちゃうよと。
そういうリスクを受容して使わなければならないよ、というのが文中のガイドラインかと。

Re:ここでいう個人情報って何？

[hirai (10484)]

GUID ばらまいてれば名寄せがやりやすくなるって話じゃないかな.

--
life is game. play it cool.

つながらない人用に

[Anonymous Coward]

キャッシュ [google.co.jp]を張っておきますね

IPv6

[sayuporn (33927)]

つまり高木先生はIPv6も危惧しておられると言うことですね。わかります。

Re:IPv6

[goji (949)]

高木さんの記事を読んでから書いてよ。

Re:IPv6

[tiatia (22244)]

過去の高木さんの日記 [hatena.ne.jp]には、その匿名アドレスに対しての懸念がいくつか書かれていますね。

>将来こんなセキュリティ脆弱性情報が流れるかもしれない。「○○が誤ってpublicアドレスを使用する脆弱性」などと。
>必要に応じて匿名アドレスを使い分けるのだとしても、まだ疑問がある。IPv6アドレスのプレフィクス部（上位64ビット）はどうなるのかだ。
>常時接続提供業者は、アドレスを変更する機能を提供するべきだと思うが、どうか。これは消費者が望まなければサポートされることはないだろう。
>IPv6の意義が語られるとき、匿名アドレスを使わないことを前提としたものが目立つことに注意してほしい。

匿名アドレスという仕組みあるので、携帯の固有IDと同列には語るべきではないが、高木さんが危惧してると言えなくも無いかもしれない。

Re:IPv6

[sayuporn (33927)]

だってService Temporarily Unavailableだったんですもの。いま読みました。

何故サブスクライバIDは許容できなくて、IPv6は許容できるのかわかりません。
後半64bが匿名されても、前半64bはばればれなので、一人暮らしの人は特定されちゃうと思うのですが。

Re:IPv6

[Stealth (5277)]

IPv4 では一人暮らしの人がルータ NAT で出て行っても特定されないとでも思ってますか?

IPv6 の上位 64bit がバレバレで匿名 IPv6 アドレスじゃ話にならないと思うなら、それすら変わらない IPv4 なんて使えなくなりますよ。

# ISP が DHCPv6 でアドレスを配る、という発想もないのでしょうか。もしかして。

Re:

[Anonymous Coward]

変える方法が用意されていないからでは？

Re:IPv6

[Anonymous Coward]

「名義変更、改番、iモード契約の解約によりiモードIDは変更されます」って云う事なんで、一旦iモード契約を解約して再契約すれば変更されるのでは？　面倒臭いけど。

Re:IPv6

[C0FFEE (36377)]

名義変更、改番手続ともに2000円、契約の解約＆新規手続きには諸費用がかかってしまいます。
そこまでしても、アクセス毎に変わらない端末IDでは、一箇所で新しいIDの情報取得に成功すれば、
元々のIDの情報と再び紐づいてしまうと言う事になりかねませんよね。

Re:IPv6

[Anonymous Coward]

タレコミのリンク先には
>「IPv6になればどのみちIPアドレスで個人が特定されるようになる。
>それは世界の技術者が許しているのだから、問題ないはずだ」という考えは、
>半可通の技術者が陥りやすい誤った考えである。
ってありますね。
当然その理由も書いてあります。

#読んだのはGoogleのキャッシュです。

Re:

[Anonymous Coward]

キャッシュもはってくれてるんだから本文読んだら?

Re:個人情報

[lunatic_sparc (15416)]

>たまたま踏んだエロサイトにIDを持っていかれて、住所DBでマッチされて

普通のエロならまだしも、児童ポルノだった日には今後の国会の如何によってはお縄になってしまう可能性すらあります。

Re:個人情報

[C0FFEE (36377)]

>児童ポルノだった日には今後の国会の如何によってはお縄になってしまう可能性

そこで、脅迫や情報削除料を要求する詐欺犯罪が横行する訳ですね、わかります。

Re:個人情報

[Anonymous Coward]

社会的に抹殺する目的で踏ませるための罠サイトも横行するんですね。
ひも付けされたメールアドレスへの一方的送り付けとセットで。
詐欺に応じないで無視し続けると通報されるという...

素晴らしい世界がすぐそこに

[lunatic_sparc (15416)]

児ポ法がらみも十分怖いですが、もっとガクブルなリスクに思い至ってしました。

個人の発言をトラックできる仕組みと人権擁護法が合わさったら、あら素敵。
「在日特権が云々」とか、「大阪のドーンセンターへの補助金は（ry」とか、先日 /.-j でもホットに盛り上がってた「顕微受精での胚の選別や羊水検査ってどうよ」なんって話も『差別だと思った人が差別だと言えば差別』なんて理論で個人をトラックされたら、、、、なんて素敵な1984な世界。

悪意を持ったユーザを排除する仕組みとしては悪くないかもしれないけど、ツールとして見たときには、乱暴な使い方への配慮にあまりに欠けるような気がしてきた。（「バール」が犯罪を引き起こすわけではないけれど、「銃刀」の規制はやっぱり必要だよね。）

Re:今更？

[uso800server (33535)]

いや、この話自体は本人が3月にここでタレこんでる。
http://srad.jp/security/article.pl?sid=08/03/29/1859215 [srad.jp]
最近になって青少年保護の話と連動してたことに気が付いて
日記のエントリをおこしたんじゃないかな？

Re:固有IDとGPS

[love-m4 (10412)]

「名は体を表す」って、そのまんまやな。