DPI式行動ターゲティング広告について その2

Hiromitsu Takagi @HiromitsuTakagi

明日から白浜だけど、DPIについて日記書いた方がいいかな。徹夜になっちゃうなあ。うーん。

Hiromitsu Takagi @HiromitsuTakagi

図を書かないといけない。けっこう時間かかるなあ……。

Mitsuhiko Maruyama @maruchan_MM

@HiromitsuTakagi 明日にしはったら。。。

Hiromitsu Takagi @HiromitsuTakagi

@maruchan_MM 白浜に行ったらもう帰ってくるまで書けないです。

Hiromitsu Takagi @HiromitsuTakagi

日記で http://en.wikipedia.org/wiki/File:Phorm_diagram.svg のあたりを解説しようと思ったが、間に合わなかった。もう出かけないと。

Ikuo Takahashi @ikuotaka

@HiromitsuTakagi だから、具体的なリスクッて何というのをはっきりさせましょう。それとその確率と。その上で考えるからセキュリティで。トレードオフを考えない方こそセキュリティではないと。

Hiromitsu Takagi @HiromitsuTakagi

白浜なう #sccs2010

Hiromitsu Takagi @HiromitsuTakagi

DPI広告についての質問が続出。#sccs2010

Hiromitsu Takagi @HiromitsuTakagi

DPI広告はプライバシーの問題だけでなくインターネット破壊であるという視点が足りてないようだな。単に傍受するだけと思ってる人がいるのではないか。 #sccs2010

Hiromitsu Takagi @HiromitsuTakagi

Phormの場合、すべてのWebサイトについて、初めてアクセスする際に一旦Phorm用サイトにリダイレクトされ、個人識別番号をURLに載せて元のサイトに再リダイレクトされ、当該サイトのdomainで個人識別番号がcookieにセットされる。これはもはや生のインターネットではない。

Hiromitsu Takagi @HiromitsuTakagi

DPI広告を仕込んだISPは、提供するサービスはInternetではない何か。Phormを使っているならPhorm Service ProviderであってもはやInternet Service Providerじゃない。

RA @betch824

ようやくDPI批判が何なのか判ってきた気がする @HiromitsuTakagi　Phorm。Webサイトで初アクセス時に一旦Phorm用サイトにリダイレクト、個人識別番号をURLに載せて元サイトに再リダイレクト、当該サイトのdomainで個人識別番号がcookieにセット。

Kazuhiro Kazama @kazuhiro_kazama

@HiromitsuTakagi Phormの本質はなりすましと盗聴だと思う．運用で安全性を保証すると言っても，それは不可能じゃないかな．

Hiromitsu Takagi @HiromitsuTakagi

インフラ屋は土管提供に徹するべきという意見がある一方で、垂直統合でないとこの先生き残れないといった話がある。垂直統合が「土管の上に花壇が設けられている」イメージとすれば、DPI広告を仕込むのは「土管の途中に穴を明けて花が流し込まれている」イメージ。これはもはやISPじゃない。

Hiromitsu Takagi @HiromitsuTakagi

Phormのcookieは任意のアクセス先Webサイトのドメイン上に発行され、ブラウザがそのcookieを送出するときISPのDPI装置がそのcookieを取り除くのだが、SSLで同じサイトにアクセスしたときには削除されずにそのcookieはサイトに到達してしまう。そして、その…

Hiromitsu Takagi @HiromitsuTakagi

そのcookieの値は全てのサイトで共通の個人識別番号であるため、日本のケータイIDと同様の問題が生ずる。SSLのときだけでなくJavaScriptでcookieを読むサイトでは常に取得できてしまう。UKではこの点も問題の一つとして指摘された。

@tejima068

本質キター RT @rocaz RT @HiromitsuTakagi: そのcookieの値は全てのサイトで共通の個人識別番号であるため、日本のケータイIDと同様の問題が生ずる。SSLのときだけでなくJavaScriptでcookieを読むサイトでは常に取得できてしまう。

Hiromitsu Takagi @HiromitsuTakagi

しかし、そのcookieの有効期限は3日にセットされているという。3日以上が経過すると新たな番号が振られ、個人追跡がそこで切られる。これは、住所氏名等が特定されていない匿名IDとはいえ1人の人として追跡される長さの限度として、EUで必要とされる配慮だったと思われる。これが…

Hiromitsu Takagi @HiromitsuTakagi

これが日本だとどうなるか。「同意があればよい」という点以外なんら法理の働かない日本法の下では、無期限に設定して運用が始まるおそれがある。

Hiromitsu Takagi @HiromitsuTakagi

また逆に、日本のケータイID問題の解決を考えるときに、行動ターゲティング広告用途なら3日の連続性で十分ということも示唆している。

Hazel @hazel_nuts

同意。RT @HiromitsuTakagi: DPI広告はプライバシーの問題だけでなくインターネット破壊であるという視点が足りてないようだな。単に傍受するだけと思ってる人がいるのではないか。 #sccs2010

t_yamo @t_yamo

「ユーザの同意を得てきちんと管理すれば問題ないじゃない」って言う人にきちんと説明できなかった。むぅ。 QT @HiromitsuTakagi: これが日本だとどうなるか。「同意があればよい」という点以外なんら法理の働かない日本法の下では、無期限に設定して運用が始まるおそれがある。