自分用：5/3以降のひろみちゅせんせい周り（武雄市図書館の件中心）

Hiromitsu Takagi @HiromitsuTakagi

故意じゃん。日本だとアウト（電波法59条、109条の窃用）じゃないの？ http://t.co/ysfdx0kQ 「問題のエンジニアは、Googleの検索チームの役に立つかもしれないと考え、頻繁に訪問されるウェブサイトの情報を得ようと、データの点検を少なくとも1回行った。」

Hiromitsu Takagi @HiromitsuTakagi

これは黒い。http://t.co/5FtE5k6M 「このエンジニアはFCCの調査に対して「黙秘権」を行使して説明を拒否。またグーグルは、関連するメールのやり取りの提出を求めたFCCに対し、「時間と労力がかかりすぎる」と回答…個人名の提出も「役に立たない情報」として拒んだ」

Hiromitsu Takagi @HiromitsuTakagi

Unanswered Questions in F.C.C.’s Google Case http://t.co/LZIR212X

Hiromitsu Takagi @HiromitsuTakagi

"FCC is hoping that Congress will see that the law has not kept up with advances in digital communications and will rewrite the statutes."

Hiromitsu Takagi @HiromitsuTakagi

大事な部分を訳してみる。 http://t.co/9k1LelYB 「FCCの法執行部局は、Wi-Fi通信に米国通信法を適用した前例がないことを裁決した後、最終的にグーグルに対して同法違反の嫌疑を取り下げた。しかし、Googleのこの行為を公然と非難することによって、FCCは…」

Hiromitsu Takagi @HiromitsuTakagi

「…FCCは、議会が、この法律がデジタル通信の進歩に追いついていないことを知って、この法を改正してくれることを期待している。Wi-Fi暗号化技術は通信法が書かれた時点では存在しなかったのだ。」

Hiromitsu Takagi @HiromitsuTakagi

「Googleは、少数の前例が、2つの法律の下で何が許されるかについて寛大な解釈を支持していると論じた。この議論の関係者曰く、2つの法律の間の矛盾する用語が決定に影響したという。米国通信法は無線通信の傍受を米国通信傍受法に基づく場合を除いて禁止しているが、米国通信傍受法は、…」

Hiromitsu Takagi @HiromitsuTakagi

「米国通信法は無線通信の傍受を米国通信傍受法に基づく場合を除いて禁止しているが、米国通信傍受法は、暗号化されていない通信を傍受することは不法でないとしており、しかし、暗号化されていない通信の傍受に特別に許可を与えるものでもない。」

ゆなす @juners

@HiromitsuTakagi @itmedia でも、バーミッションには電話/通話 携帯ステータスIDの読み取りが付いている……。

Hiromitsu Takagi @HiromitsuTakagi

RT @VentureBeat: InMobi launches free mobile ad tracker with real-time analytics, no UDID http://t.co/NhMrYWvN by @seanludwig

Hiromitsu Takagi @HiromitsuTakagi

しかし、ググっても改正後の条文がぜんぜん出てこないな。

Hiromitsu Takagi @HiromitsuTakagi

不正アクセス禁止法5条（旧4条） （不正アクセス行為を助長する行為の禁止） 第5条 何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。

Hiromitsu Takagi @HiromitsuTakagi

5条のこの禁止規定は、旧4条にはあった但し書き「ただし、当該アクセス管理者がする場合又は当該アクセス管理者若しくは当該利用権者の承諾を得てする場合は、この限りでない」が削除されている。つまり、アクセス管理者がする場合も該当し得る。

ぬか漬けさん @nukanuka3

@HiromitsuTakagi SkyDriveなんかがそうなんですが、ファイルの共有をメールアドレス宛に行った際に、送信されるメールのFrom欄に、ログイン用のメールアドレスが埋め込まれる事があるのですが、このケースに該当しますか？

Hiromitsu Takagi @HiromitsuTakagi

なぜその但し書きが削除されたかというと、旧4条では「その識別符号がどの特定電子計算機の特定利用に係るものであるかを明らかにして、又はこれを知っている者の求めに応じて」と限定されていたように、改正前では識別符号は常にどのアクセス制御機能に係るものかとセットで扱われていたのが、今回…

Hiromitsu Takagi @HiromitsuTakagi

…今回の改正で、どこかのアクセス制御機能で使える識別符号という形で扱われるようになったため、アクセス管理者の承諾を得てする（あるいはアクセス管理者自身がする）といっても、どのアクセス管理者の承諾があればいいの？（全部の管理者の承諾？）という矛盾が生じてしまうため。

Hiromitsu Takagi @HiromitsuTakagi

これは今回の改正趣旨がそういうものだから。1999年の制定当時と違って今日では、利用権者は一人で多数のアクセス制御機能を使うようになり、複数のアクセス制御機能で同一の識別符号を使わざるを得なくなったことから、どのアクセス制御機能に係るものかが特定されていない識別符号を対象に、…

Hiromitsu Takagi @HiromitsuTakagi

…対象に、取得、提供、保管を規制するもの。アクセス管理者とて例外ではなく、自分のところで使われているパスワードだからといって不用意に扱ってよいはずがなく、他所様で使われている可能性に鑑みれば、当然に安全管理の義務を負うわけであり、これは法改正を待つまでもなく業界では常識であった。

Hiromitsu Takagi @HiromitsuTakagi

しかし、業界の中にはそういう常識を共有していない愚事業者もいるわけで、パスワードをハッシュ化せずに保管したり、利用権者にメールで生パスワードを送ってきたり、パスワードを忘れた利用権者に（パスワードのリセットではなく）パスワードを表示する機能を提供したりするアホが未だ絶えない。

Hiromitsu Takagi @HiromitsuTakagi

注意したいのは、4条（識別符号の取得）と6条（識別符号の保管）は目的犯であるから、不正アクセス行為を犯すつもりのない者には無縁の話だが、5条は目的犯ではない。単純に識別符号の提供が禁止されているわけで、全ての人が当事者となりかねない禁止規定である。罰則もある。

Hiromitsu Takagi @HiromitsuTakagi

つまり、パスワードを忘れた利用権者にパスワードを表示する（又はメールで送る）機能を提供するサイトが、その際の本人確認が杜撰で他人に利用されてしまう実態があり、それを認識しながら管理者が放置しているというケースがあったなら、その管理者は、5条違反で処罰対象になるんじゃないかな。

Hiromitsu Takagi @HiromitsuTakagi

もっとも、第5条には「業務その他正当な理由による場合を除いては」との除外規定がある。先の例がはたしてこれに当たるのかどうか。 「本人確認が杜撰」の例としては、ユーザ名と誕生日と電話番号とか、ユーザ名と母親の旧姓とかでパスワードを提供しちゃうようなケースね。

Hiromitsu Takagi @HiromitsuTakagi

RT @marinecave: サポートやってると、要らないって言ってるのに識別符号を送ってくる管理者とかいるんだよな。時には全員分。なんか新しい不正アクセス禁止法だと抵触するケースが多々ありそうな予感。

Hiromitsu Takagi @HiromitsuTakagi

逐条解説p.61「ID・パスワードが広く知られてしまっている状態をアクセス管理者があえて放置していて、誰でもそのID・パスワードを用いて（略）場合には、当該特定利用については、アクセス制御機能による制限がないと言わざるを得ないと解されよう」RT @akof デフォルトパスワード…

Hiromitsu Takagi @HiromitsuTakagi

…とあるので、そのセンでいくしかないですかね。 RT @akof デフォルトパスワード…