スレッド

会話

Hiromitsu Takagi
@HiromitsuTakagi
もっとも、閲覧されても問題ないレベルとも言い得る。ただし、本人が接種券番号を公開したりすると、生年月日を特定される（とともに、接種予約の状況を知られる）ことにはなり得る。
引用ツイート
大濱﨑 卓真
@oohamazaki
·
あ、もちろん上記は大規模接種センター(東京)で接種した場合に限ります。自治体コードと接種券番号の都合16桁の組み合わせで見てるけれど、SNSにアップしたら居住自治体分かれば結局接種履歴が明らかになるから、やっぱりやべえ。総当たり...とか...考えたくもない...やっぱり、かなりやばい。
このスレッドを表示
1
172
171
Hiromitsu Takagi
@HiromitsuTakagi
漏えいの観点では、最悪ケースの想定として、攻撃者により、全ての接種券番号についてのこの画面の情報と生年月日の組みがリスト化され、暴露されたとして、それがどうなんだ？ということになる。
引用ツイート
大濱﨑 卓真
@oohamazaki
·
なお、自治体コード「123456」接種券番号「1234567890」でマイページ見るとこんな感じ。キャンセルになってるのは、報道記者など実際に予約できるか最後まで試した人たち。これは実在しないダミー文字列だけど、SNSに「ワクチンきたこれ」とか言って接種券アップしたら、これらの情報は漏洩する。
このスレッドを表示
画像
2
211
182
Hiromitsu Takagi
@HiromitsuTakagi
入力させないというのは生年月日をという話？究極的にはそうだけど、さすがに接種券番号（スパースでないシリアル番号）だけで登録・閲覧・キャンセルというのは、アレすぎる。生年月日がなんちゃって「認証」っぽく振舞っているのが誤解を与えてよくないというのはそうだが。
引用ツイート
Sheetcalc 公式アカウント
@Sheetcalc
·
返信先: @HiromitsuTakagiさん
そもそもチェックしない項目に入力させるのがおかしいと思います。 接種券を持っているかチェックボックスにチェックさせて、「当日忘れずにお持ちください」でよかったのではないかと思う。
2
76
94
Hiromitsu Takagi
@HiromitsuTakagi
最初の記事が「予約枠だけ占拠して、当日誰も行かなければ、大量のワクチンがムダに…まさにワクチンテロが出来てしまいます」と言うように、業務妨害の観点では、①予約枠の占拠の他に②接種券番号の先取り占拠の妨害があり得る。いずれも電磁的記録不正作出・供用罪および偽計業務妨害で取り締まる。
1
228
204
Hiromitsu Takagi
@HiromitsuTakagi
「善意に頼った」もなにもごく普通。不正申請を刑罰により抑制することで成立しているシステムはいくらでもある。（ただし漏えいが起きる場合はそれでは済まされない。） 特にパンデミックという緊急時においてならなおさら。
引用ツイート
Cheena
@cheenanet
·
「善意に頼ったシンプルな予約システム」っていうのめっちゃいいな。善意に頼った持続化給付金ってやつもありましたね… twitter.com/mainichi/statu
1
579
572
Hiromitsu Takagi
@HiromitsuTakagi
妨害発生時の運用は準備しておかねばならない。①の妨害については、状況を見て予約枠を増やす調整をすればいい。完全に規定通りの人数にワクチン投与する必要性はなく、1日に可能な範囲で投与すればいいし、あぶれた人に後日お願いすることもやむを得ない。
引用ツイート
Hiromitsu Takagi
@HiromitsuTakagi
·
最初の記事が「予約枠だけ占拠して、当日誰も行かなければ、大量のワクチンがムダに…まさにワクチンテロが出来てしまいます」と言うように、業務妨害の観点では、①予約枠の占拠の他に②接種券番号の先取り占拠の妨害があり得る。いずれも電磁的記録不正作出・供用罪および偽計業務妨害で取り締まる。
このスレッドを表示
1
156
134
Hiromitsu Takagi
@HiromitsuTakagi
妨害の分類を修正（3つ目を追加） ①予約枠の占拠 ②接種券番号の先取り占拠 ③正規予約の不正キャンセル ③の妨害については、そいうことが起き得る旨を会場の受付が理解し、キャンセルされた（又は（接種券番号入力を間違えたか）登録のない）来場者について、そのままワクチン投与すればよい。
1
195
178
Hiromitsu Takagi
@HiromitsuTakagi
厄介なのは②の妨害。それが起きるシステムである旨を広く周知し苦情を受け付けて対処するしかない。大量に発生している場合は可能な範囲で検知してリセットするが、分散緩行型で来ると判別できない（がreCAPTCHAは設置されている）が、その時はその時。その事態の発生自体は苦情等から把握する必要。
3
116
118
Hiromitsu Takagi
@HiromitsuTakagi
外国からの妨害型サイバー攻撃に対しては、知らんふりする（何ら堪えていないようにみせる）ことも防衛として重要。
引用ツイート
ライナス⚡( ´ᾥ` )🍆米株仮面🇺🇸
@guillemet0u0
·
他国の脅威も取り締まれるんだろうか。悪意に塗れた現代において「人の善意」に頼るのは無理があるかと。もちろん法と罰で脅しをかけて善意っぽいものを引き出すことはできるけど、法も罰も通用しない連中は悪意のままに好き放題できちゃうしなぁ。 twitter.com/HiromitsuTakag…
このスレッドを表示
1
99
113
Hiromitsu Takagi
@HiromitsuTakagi
こんな仕様、誰にでもすぐわかるのに、隠す意味などない。この人でもそんなことがわからないの？
引用ツイート
ǝunsʇo ıɯnɟɐsɐɯ
@otsune
·
あのラジオライフですら、どこまで書いたらまずいのかを判断する技術的知識はあって、テレホンカード偽造とか無賃乗車の裏技記事はワザと再現できないように細部はボカしてたんだよね。 ワクチン予約不具合記事はそのへんの技術的知識が無かったか（そもそも隠すつもりが無かったのかもしれないけど）
1
90
79
Hiromitsu Takagi
@HiromitsuTakagi
出鱈目。基本的にIPAの脆弱性届出制度は、DoSを問題にしていない（迷いつつ受け付けてはいる）。なぜなら、サービスが機能しなくなることは当該サービス提供者の自業自得であって、情報漏えいの脆弱性など国民に被害が及ぶものについて届出を受け付けるとしているものだから。
引用ツイート
あゆゆん♪
@ayu_littlewing
·
自称ネットワークエンジニアの方にこのレベルの説明をするのもアホらしいのでこれで終わりにしますが、今回の件に限らず一般的に推奨されている脆弱性報告の手順としてはIPAの届出窓口があるのでそちらを利用しましょうね。 ネットやTwitterに晒すのは被害拡大の元です。 ipa.go.jp/security/vuln/
1
171
156
Hiromitsu Takagi
@HiromitsuTakagi
見つけたら報告が義務なわけではない。自身で運営元に通報するだけでも構わない（この制度は発見者が運営者より一般に弱者であることに鑑みて仲介するもの）（製品でなくWebの方の場合）し、直ちに事実を周知することの方が有益と考える場合には自己の責任でやってよいもの。
引用ツイート
Haruhiko Okumura
@h_okumura
·
脆弱性を見つけたら晒す前にこちらに報告→ ipa.go.jp/security/vuln/
1
157
129
Hiromitsu Takagi
@HiromitsuTakagi
今回の報道が行なった検証行為は、「本来のワクチン接種を希望する65歳以上の方の接種機会を奪」うものには至っておらず、用いられた手段も適法なもの。上記のように、本件システムがこのような仕様となっている事実が、運営の現場と利用する国民に広く周知されることが必要。
引用ツイート
岸信夫
@KishiNobuo
·
自衛隊大規模接種センター予約の報道について。 今回、朝日新聞出版AERAドット及び毎日新聞の記者が不正な手段により予約を実施した行為は、本来のワクチン接種を希望する65歳以上の方の接種機会を奪い、貴重なワクチンそのものが無駄になりかねない極めて悪質な行為です。
このスレッドを表示
1
372
364
Hiromitsu Takagi
@HiromitsuTakagi
現場の士気をいう点では、元記事の「防衛省関係者」の行動をどうにかされたた方がよろしいでしょう。 dot.asahi.com/dot/2021051700 「…直後、「ワクチン予約に大変な欠陥が見つかった。システムのセキュリティが機能していない」（防衛省関係者）という情報が飛び込んできた」
引用ツイート
岸信夫
@KishiNobuo
·
両社には防衛省から厳重に抗議いたします。 不正な手段でのワクチン接種の予約は、本当に希望する方の機会を喪失し、ワクチンが無駄になりかねないと同時に、この国難ともいうべき状況で懸命に対応にあたる部隊の士気を下げ、現場の混乱を招くことにも繋がります。
このスレッドを表示
1
137
153
Hiromitsu Takagi
@HiromitsuTakagi
この仕様を現場に周知しなければ、実際に不正キャンセルや誤入力での誤登録が起きているときに、「あなたは予約されていません。コンピュータは正確です。間違いありません。」と追い返すことになってしまうし、国民に周知されていなければ、それに反論することもできない。
引用ツイート
Hiromitsu Takagi
@HiromitsuTakagi
·
今回の報道が行なった検証行為は、「本来のワクチン接種を希望する65歳以上の方の接種機会を奪」うものには至っておらず、用いられた手段も適法なもの。上記のように、本件システムがこのような仕様となっている事実が、運営の現場と利用する国民に広く周知されることが必要。 twitter.com/KishiNobuo/sta
このスレッドを表示
2
180
159
Hiromitsu Takagi
@HiromitsuTakagi
この主張は矛盾している。現にシステムがmrso.jpにある（.go.jpでなく）通り、data controllerは防衛省でなく当該民間業者となっており、それで良いのであれば、「全市長区町村が管理する接種券番号…を把握し…照合」は民間がすること。
引用ツイート
岸信夫
@KishiNobuo
·
本センターの予約システムで、不正な手段による虚偽予約を完全に防止する為には、全市長区町村が管理する接種券番号を含む個人情報を予め防衛省が把握し、予約番号と照合する必要があり、実施まで短期間等の観点から困難かつ、全国民の個人情報を防衛省が把握する事は適切でないと判断いたしました。
このスレッドを表示
1
92
78
Hiromitsu Takagi
@HiromitsuTakagi
逆に「全国民の個人情報を防衛省が把握する事は適切でない」を言うのであれば、防衛省が運営者だということであり、防衛省がdata controllerとなって、.go.jp下で運用しなければならない。
引用ツイート
Hiromitsu Takagi
@HiromitsuTakagi
·
この主張は矛盾している。現にシステムがmrso.jpにある（.go.jpでなく）通り、data controllerは防衛省でなく当該民間業者となっており、それで良いのであれば、「全市長区町村が管理する接種券番号…を把握し…照合」は民間がすること。 twitter.com/KishiNobuo/sta
このスレッドを表示
1
68
64
Hiromitsu Takagi
@HiromitsuTakagi
また、「全市長区町村が管理する接種券番号を含む個人情報（引用時注：生年月日）を予め防衛省が把握し、予約番号と照合する」することも（目的内の利用である限り）問題がないと言うべきである。（政治的にそう言えないというのはあり得るが、乗り越えなければならない、）
引用ツイート
Hiromitsu Takagi
@HiromitsuTakagi
·
逆に「全国民の個人情報を防衛省が把握する事は適切でない」を言うのであれば、防衛省が運営者だということであり、防衛省がdata controllerとなって、.go.jp下で運用しなければならない。 twitter.com/HiromitsuTakag
このスレッドを表示
1
15
10
Hiromitsu Takagi
@HiromitsuTakagi
もっとも、前記のとおり、生年月日を把握しても、安全にはならない。接種券番号の生成方法からしてやり直さないと無理。
1
13
10
Hiromitsu Takagi
@HiromitsuTakagi
ばかをいえ。いつもの平時からの啓蒙の段階ではない。これは有事だ。平時の啓蒙では、将来に良くない設計・実装が広がらないよう防止していくことが求められるが、パンデミック有事の今必要とされていることは、とにかくワクチンを投与するというゴールを実現する運用だろう。
引用ツイート
flurry
@flurry
·
まあ元からそういう感じではあったけど、高木浩光氏、「緊急時」という言葉に弱いのだなあ。やれやれ。
1
14
38

Twitterを使ってみよう

今すぐ登録して、タイムラインをカスタマイズしましょう。
アカウント作成

トレンド

いまどうしてる？

ニュース
昨日
建設アスベスト訴訟で最高裁 国の対応「違法」と初判断
日本のトレンド
人身事故
5,520件のツイート
日本のトレンド
詫び石150
朝日新聞デジタル
3 時間前
「動物園、におい何とかして」　届いた意見、園長の答え
FRaU（フラウ）
昨夜
「子育ての癖」が抜けない…「ひとり時間」で起きた悲劇
さらに表示