スラド
Brave、言語設定によるフィンガープリンティングをブロックする計画 2022年4月7日 17:08

Brave、言語設定によるフィンガープリンティングをブロックする計画

2022年4月7日 17:08

headless 曰く、

Brave が今後リリースするバージョン 1.39 (現在の安定版は 1.37) で言語設定によるフィンガープリンティングをブロックする計画を示している (Brave — Privacy Updates の記事、 Ghacks の記事)。

フィンガープリンティングに利用可能な言語設定としては、設定されている優先言語の情報のように明示的なものと、インストール済みフォントの情報のように暗黙的なものがあり、Brave 1.39 ではこれらの両方をブロック可能にする計画だ。Brave Nightly では既に追加されており、デフォルトで有効になっている。Shields の設定 (brave://settings/shields) で無効化することも可能だ。

優先言語の情報はユーザーが Web サイトで利用したい言語の優先順位と優先度を組み合わせたものだ。Web サイト側では Accept-Language ヘッダーや Web API「navigator.language」「navigator.languages」を利用して優先言語を知り、それに合わせてコンテンツを提供する仕組みだが、トラッカーは優先言語の組み合わせをフィンガープリンティングに利用する。これを防ぐため、Brave 1.39 ではデフォルトで優先順位の最も高い言語のみを Web サイトに通知する。言語の優先度も特定の範囲でランダム化するという。さらにブロッキング設定を「厳格」にした場合は優先言語が常に「English」として通知されるようになるとのこと。

フォントによるフィンガープリンティングは、特殊なフォントがインストールされているかどうかをチェックすることで実現される。たとえば、特定の言語版の OS でインストールされるフォントなどが使われるという。Brave のフィンガープリンティングブロックは OS 標準以外のインストール済みフォントのリストを読み取れなくするもので、Android と macOS、Windows で利用可能になる。iOS はプラットフォームの制限により実現できないほか、WKWebView に同様の機能が搭載されており、Linux ではディストロごとに OS 標準フォントを識別するのが困難なため、ブロッキング機能を提供しないとのこと。

Brave の言語設定によるフィンガープリンティングのブロック機能は Safari が提供する機能と似ているが、Brave はランダム化によりトラッカーを混乱させる機能を備える点や、ブロッキング機能を無効化するオプションが用意される点が異なるとのことだ。

スラド
パッチを当てずにランサムウェア被害にあった英法律事務所、情報保護当局から罰金を命じられる 2022年3月18日 07:09

パッチを当てずにランサムウェア被害にあった英法律事務所、情報保護当局から罰金を命じられる

スラド

著者: nagazou

2022年3月18日 07:09

headless 曰く、

英国の刑事事件弁護士事務所 Tuckers Solicitors LLP が不適切なセキュリティ状態のコンピューターで 5 か月にわたって個人情報を処理していたとして、英情報コミッショナー事務局 (ICO) から罰金 98,000 ポンドを命じられている (ICO の通知: PDF、 The Register の記事)。

同社は 2020 年 8 月 24 日にランサムウェア攻撃を受けていたことに気付き、翌 25 日には個人情報が侵害されていたとの判断に至る。攻撃者は 972,191 件の個人情報ファイルを暗号化し、裁判所文書に関連する 60 件を抽出してダーク Web で公開したという。ICO はランサムウェア被害の原因となったソフトウェアの脆弱性に対するセキュリティパッチが 2020 年 1 月に提供開始されていたにもかかわらず、同社が適用したのは 2020 年 6 月であり、その間に攻撃を受けたと判断。EU の一般データ保護規則 (GDPR) および英国の個人情報保護法 (DPA) で個人情報の管理者 (controller) に義務付けられた適切な保護措置をとっていなかったとして、3 月 29 日までの罰金支払いを命じた。

すべて読む | セキュリティセクション | セキュリティ | EU | 英国 | 法廷 | ソフトウェア | YRO | バグ | プライバシ |

スラド
千葉県のおいしい水検定、住所氏名の組み合わせが合わず別人へ認定証を送る 2022年3月9日 14:03

千葉県のおいしい水検定、住所氏名の組み合わせが合わず別人へ認定証を送る

スラド

著者: nagazou

2022年3月9日 14:03

読売新聞の記事によると、千葉県企業局が行った「おいしい水検定」の認定証が誤って別の宛先に送付されていたことが分かったという。同局によると、検定はインターネット上で水に関する問題を解いてもらうというものだった。正解者116人に認定証を送ったという。ところが受験者から「郵便物の宛名が違う」と連絡が入り、確認したところ誤った宛名で4人にだけ届き、そのほかは届いていなかったそうだ。すでに100通以上が同局に戻ってきているという。住所と氏名の組み合わせを誤ったことが原因だとしている（読売新聞）。

スラド
Apple によるストーキング防止策をバイパス可能な AirTag クローン 2022年2月24日 18:09

Apple によるストーキング防止策をバイパス可能な AirTag クローン

スラド

著者: nagazou

2022年2月24日 18:09

headless 曰く、

Apple によるストーキング防止策のバイパスが可能な AirTag クローンをセキュリティ企業 Positive Security が開発し、AirTag クローン / 改造 AirTag を今後の「探す」ネットワークの更新で脅威のモデルへ組み込むよう Apple に呼び掛けている (Positive Security のブログ記事、 The Register の記事)。

Positive Security の AirTag クローン「Find You」は Apple の「探す」ネットワークを通じて Bluetooth デバイスを追跡可能にするフレームワーク「OpenHaystack」をベースに、マイクロコントローラー ESP32 を組み合わせて作られている。Positive Security は昨年、AirTag のネットワークを用いてデータを送受信する方法を公開して話題になった。

Apple は「すべてのAirTagには固有のシリアル番号があり、ペアリングされたAirTagはApple IDと関連付けられています」と説明するが、ESP32にAirTagのシリアル番号はなく、OpenHaystackベースのクローンはApple IDと関連付けられていない。

また、クローンにはスピーカーが接続されていないだけでなく、OpenHayStack のファームウェアにリモートから音を鳴らす機能は実装されていないとのこと。このクローンに限らず、スピーカーを無効化した改造 AirTag はオンラインマーケットプレースに多数出品されている。

持ち主の手元を離れた AirTag などをしばらく持ち歩いていることがわかると通知が届く機能に関しては、AirTag クローンが新しい公開鍵を送り続けることで、すれ違った人の持っている AirTag だと認識させて検出を防ぐことが可能だという。

スラド
フランスのデータ保護当局、Google Analytics が GDPR に違反すると判断 2022年2月13日 17:58

フランスのデータ保護当局、Google Analytics が GDPR に違反すると判断

スラド

著者: headless

2022年2月13日 17:58

フランスのデータ保護当局 CNIL (情報処理および自由に関する国家委員会) は 10 日、Google Analytics による米国へのデータ転送が EU の一般データ保護規則 (GDPR) に違反するとの判断を示し、フランス国内の Web サイトに対して GDPR を順守するよう命じた (ニュースリリース、 NOYB のブログ記事、 The Register の記事)。

Google Analytics では Web サイトのビジター数を測定するため、各ビジターに (個人情報とみなされる) ユニークな識別子を割り当て、関連付けられたデータとともに米国へ送信する。CNIL では米国へのデータ送信を懸念する EU およびその他の欧州経済域計 30 か国における苦情計 101 件を非営利組織 NOYB から受け取っており、各国のデータ保護当局と協力して Google Analytics が収集するデータと米国に送信する条件を調査したという。

EU 司法裁判所 (CJEU) は EU 域から米国へ個人情報を転送する根拠となっていた Privacy Shield を無効と判断した Schrems II 判決にあたり、データの転送が適切に制限されなければ米諜報機関が個人情報にアクセスする可能性を強調している。CNIL では現在のところ米国へのデータ転送が十分に制限されていないとの結論に達し、Google はデータ転送を制限するための追加の基準を導入しているものの、米諜報機関によるアクセス可能性を排除するには十分ではないと判断したとのこと。

そのため、CNIL ではフランスの Web サイト管理者に対し、必要に応じて現在の条件での Google Analytics 機能の使用をとりやめることや、EU 外にデータを転送しないツールに変更することを含め、1 か月以内に GDPR を順守するよう命じた。CNIL は Web サイトのビジター数測定には匿名の統計データのみを生成するツールの使用を推奨しており、ユーザーの合意を得なくても合法的に使用できるツールの判定プログラムも開始しているとのことだ。

Google Analytics に関してはオーストリアのデータ保護機関 (DSB) が GDPR 違反との判断を 1 月に示しており、オランダのデータ保護機関 (AP) も近く国内での使用が禁じられる可能性があると述べている。

すべて読む | YROセクション | YRO | EU | 政治 | アメリカ合衆国 | プライバシ |

スラド
スピーカーを無効化した AirTag、オンラインマーケットプレース出品で注目される 2022年2月6日 12:25

スピーカーを無効化した AirTag、オンラインマーケットプレース出品で注目される

スラド

著者: headless

2022年2月6日 12:25

Apple は持ち物追跡デバイス AirTag の悪用防止策の一つとして持ち主から離れた時に音を鳴らす機能があると説明しているが、そのスピーカーを無効化した AirTag がオンラインマーケットプレースに出品されて注目を集めた (The Next Web の記事、 PCMag の記事、 9to5Mac の記事、 Mac Rumors の記事)。

最初に注目されたのは Etsy に「Silent AirTag」として出品されたもので、同様の製品は eBay でも見つかっている。Etsy の出品者はストーキング目的で使われることは考慮していなかったとして出品を取り消しており、eBay の出品も取り消されているが、両サイトともに「Silent AirTag」で検索すれば同様の製品がいくつか見つかる。

今回はマーケットプレース出品で注目されたが、AirTag のスピーカー (コイル) 取り外しは特に難しい作業ではなく、かなり前から知られていたようだ。取り外し手順を紹介する動画などはインターネット上でいくつも公開されている。

The Next Web では Apple がスピーカー取り外しを検知して無効化する機能を追加することも理屈の上では可能だとしつつ、いずれにしてもスピーカーをカバーしてミュートすることは防げないと指摘している。そもそも AirTag で音を鳴らす機能は持ち物を見つけやすくするのが主目的であり、悪用防止には音が小さすぎるとみられる。

スラド
米軍関係者、雑な引っ越し業者対策にAirTagを活用 2022年2月1日 15:03

米軍関係者、雑な引っ越し業者対策にAirTagを活用

スラド

著者: nagazou

2022年2月1日 15:03

nemui4 曰く、

流石に色々「便利な利用方法」が出てきますね。
軍関係者の転属に伴う引っ越しでは、州や国境や大陸をまたいでの大掛かりで大雑把な運送が多くて荷物をロストすることもよくあるそうなのでAirTagで追跡するのが流行ってるらしい。

Appleの落とし物トラッカー「AirTag」を、引っ越し業者の追跡に利用する手法が米国で広がっているという。この方法が紹介されたのは米軍関係の専門誌Military Times。米軍人では国境だけでなく大陸をまたがる形で引っ越しすることもあるが、その際に雑な引っ越しを経験することがよくあるのだという。そうした被害を4度ほど経験したことのあるヴァレリー・マクナルティ氏が考案したのが「AirTagを活用する」という手法。同氏はAirTagを引っ越し荷物の中に入れて引っ越し業者に依託。案の定一部の荷物が遅延したのでAirTagを利用して追跡したところ、荷物の一部が別の州のとんでもないところに移動していたことが分かったそうだ（MilitaryTimes、GIGAZINE）。

スラド
Apple、AirTag を悪用したストーキングへの対策などを含む安全ガイドを公開 2022年1月29日 15:25

Apple、AirTag を悪用したストーキングへの対策などを含む安全ガイドを公開

スラド

著者: headless

2022年1月29日 15:25

Apple が同社製品に関連する個人向けの安全対策をまとめたガイドブック「Personal Safety User Guide」を公開している (Apple のサポート記事、 The Verge の記事、 Mac Rumors の記事、 9to5Mac の記事)。

ガイドブックは現在のところ日本語化されていないが、安全に関する設定の見直しや対策と、Apple 製品に組み込まれた安全やプライバシーを守る機能の使用方法、自分の情報にアクセス可能な人の制御に関する 3 つのチェックリストに大きく分けられており、英語版の PDF で 56 ページにおよぶ盛り沢山の内容だ。

設定の見直しや対策には共有やアカウントの管理、スクリーンショット撮影による不審な活動の記録、不審なコンテンツの削除、他人による AirTag や Find My アクセサリーを使用した追跡の防止などが含まれる。Android アプリを使用した AirTag / Find My アクセサリーの検出方法も紹介されている。

スラド
英国政府の資金によるソーシャルメディアのエンドツーエンド暗号化反対キャンペーン 2022年1月20日 08:04

英国政府の資金によるソーシャルメディアのエンドツーエンド暗号化反対キャンペーン

スラド

著者: nagazou

2022年1月20日 08:04

headless 曰く、

英国政府の資金による No Place to Hide がソーシャルメディアメッセージのエンドツーエンド暗号化に反対するキャンペーンを開始した (キャンペーンサイト、 BetaNews の記事、 The Guardian の記事、動画)。

キャンペーンではエンドツーエンド暗号化に反対するわけではなく、ユーザーのプライバシー保護には賛成だとする一方で、エンドツーエンド暗号化が児童性的捕食者に隠れ場所を与えることを防ぐテクノロジーを開発する必要があると主張する。

そのため、児童性的捕食者が性的な目的で子供に近寄ることや、子供の性的画像の共有や閲覧、捜査当局による検出の回避、といったことを容易にしないテクノロジーが利用可能であることを示さない限り、エンドツーエンド暗号化を実装しないようソーシャルメディア企業に要請している。

すべて読む | セキュリティセクション | 英国 | セキュリティ | 暗号 | 政府 | プライバシ |

スラド
iCloud プライベートリレーを米キャリアがブロックしたとの見方、キャリアと Apple が否定 2022年1月15日 07:02

iCloud プライベートリレーを米キャリアがブロックしたとの見方、キャリアと Apple が否定

スラド

著者: nagazou

2022年1月15日 07:02

headless 曰く、

米国で一部の iPhone ユーザーから iCloud プライベートリレーが機能しなくなったと報告され、キャリアがブロックしたのではないかとの見方が出ていたが、キャリア・Apple ともにこの見方を否定したそうだ (The Verge の記事、 Ars Technica の記事、 Mac Rumors の記事、 9to5Mac の記事)。

iCloud プライベートリレーは本人またはファミリー共有グループの誰かが iCloud+ サブスクリプションに登録している場合に利用可能なプライバシー強化機能で、現在は iOS 15 / iPadOS 15 でベータ版の機能として利用できる。欧州では大手キャリアが連名でプライベートリレーを制限するよう欧州委員会に要請していたことが報じられた直後ということもあり、キャリア側でブロックしたと疑われることになった。

しかし、米 Verizonと米 AT&T はプライベートリレーのブロックを否定。米 T-Mobile はキャリアのフィルタリングサービスを利用している場合はプライベートリレーを有効にできないと説明した。また、iOS 15.2 のバグでアップグレード時に設定がリセットされてオフになったとも説明していたが、その後バグの存在を取り消している。

Apple もアップグレード時の設定リセットを否定したほか、キャリア側でブロックすることもないと明言したとのこと。ただし、米国向け (英語) のサポートドキュメントには、特定のネットワークでプライベートリレーが無効になっている場合の対処方法が追加されている。

フランスのデータ保護当局、cookie 拒否の操作が許可の操作よりも複雑だとして Google と Facebook に制裁金

スラド

著者: headless

2022年1月9日 19:31

フランスのデータ保護当局 CNIL (情報処理および自由に関する国家委員会) は 6 日、Google と YouTube、Facebook の cookie 保存に関するユーザーインターフェイスがフランスのデータ保護法に違反しているとして 12 月 31 日に制裁金を科したことを発表した (ニュースリリース [1]、 [2]、 [3])。

いずれの場合も cookie を一括して許可するボタンが用意されているのに対し、一括して拒否するボタンが用意されていない点が問題視された。これにより、1 クリックですべての cookie を許可できるのに対し、すべての cookie を拒否するには数クリックが必要となる。そのため、拒否する方の操作を故意に複雑にし、許可する方を選ばせようとしていると判断したとのこと。

制裁金額は Google LLC に 9,000 万ユーロ、Google Ireland Limited に 6,000 万ユーロ、Facebook Ireland Limited に 6,000 万ユーロ。各社が cookie により収集したデータから広告で間接的に得る利益に対して適切な金額だという。各社には修正のための猶予が 3 か月間与えられ、それまでに修正を行わない場合は 1 日遅れるごとに 10 万ユーロの制裁金を科すとのことだ。

イタリア当局、アカウントに結び付けて取得した個人情報の利用に関してGoogleとAppleに各1千万ユーロの制裁金

スラド

著者: headless

2021年11月27日 17:28

イタリアの競争・市場保護委員会 (AGCM) は 11 月 26 日、Google と Apple によるユーザーデータの取得と利用が消費者保護法に違反するとして、それぞれ 1 千万ユーロの制裁金を科すと発表した (プレスリリース)。

違反内容は収集するユーザーデータの商用利用に関する十分な情報を提供していないことと、強引なユーザーデータ取得を行っていることだ。制裁金 1 千万ユーロはこれらの違反に対する上限額だという。

Googleはアカウント作成時とサービス利用時に収集したユーザーデータを商用利用することについて、ユーザーが意識して許可するのに必要な情報を提供しておらず、アカウント作成時にはユーザーデータの商用利用を許可するオプションがデフォルトで選択されているとのこと。

一方、Apple は Apple ID 作成時やオンラインストア利用時に収集したユーザーデータがエクスペリエンスとサービス改善に必要だと述べるのみで商用利用に関する情報を提示せず、ユーザーデータの商用利用時にはユーザーの承認を求めるものの、選択肢はサービスを利用するかデータの商用利用を許可するかのいずれかに限られるとのことだ。

スラド
DuckDuckGo、Android アプリのユーザートラッキングをブロックする機能を発表 2021年11月21日 13:58

DuckDuckGo、Android アプリのユーザートラッキングをブロックする機能を発表

スラド

著者: headless

2021年11月21日 13:58

DuckDuckGo は 18 日、Android アプリに組み込まれたユーザートラッキング用のトラッカーをブロックする「App Tracking Protection」機能を発表した (DuckDuckGo News の記事、 Neowin の記事、 Ars Technica の記事、 Ghacks の記事)。

App Tracking Protection は DuckDuckGo Private Browser アプリに新機能として追加されるもので、現在は招待制でベータテストが行われている。機能としてはローカル VPN として動作し、他のアプリのトラフィックを処理する形になる。

ベータテストに参加するには、DuckDuckGo アプリの設定画面で「App Tracking Protection」を開き、ベータ版のウェイトリストに登録すればいい。あとは参加準備が整い次第通知が送られてくる。

DuckDuckGo がテストした人気の無料 Android アプリの 96 % がサードパーティーのトラッカーを含んでおり、87 % が Google に、68 % が Facebook にデータを送信しているという。Apple は iOS 14 でアプリによるユーザートラッキングを許可制にし、多くのユーザーがトラッキングをオプトアウトしているが、大多数のモバイルユーザーが使用する Android には同様の機能がないためApp Tracking Protection の提供を決めたとのことだ。

スイス連邦行政裁判所、電子メールプロバイダーは電気通信法のデータ保持義務付け対象にならないと判断

スラド

著者: headless

2021年10月30日 11:39

ProtonMail によるとスイス連邦行政裁判所が今週、電子メールプロバイダーを電気通信プロバイダーとみなすことはできないとの判断を示したそうだ (ProtonMail のブログ記事、 The Register の記事)。

この裁判はスイス政府が電気通信法を不適切に用いてプライバシーを低下させていると ProtonMail が主張し、昨年 5 月に提起していたものだ。連邦行政裁判所では電子メールプロバイダーを電気通信プロバイダーとはみなせず、結果として電気通信法が義務付けるデータ保存の対象にもならないとの判断を示したとのこと。

スイス連邦最高裁は 4 月に Threema の訴えを認め、インスタントメッセージングサービスが電気通信プロバイダーではないとの判断を示しており、本件と合わせてスイスにおけるプライバシーの勝利であるという。その結果、多くのスイス企業は当局の情報提出命令に対し、特定のユーザー情報提出が免除されるとのこと。

ProtonMail は 9 月、フランスで逮捕された環境活動家の IP アドレスなどの情報を警察に渡していたとして批判を浴び、IP アドレスのログを保存しないとの記述を公式サイトトップページから削除している。今回の判決が確定すれば、IP アドレスの記録を当局が命じることもできなくなるとみられる。

すべて読む | YROセクション | 通信 | YRO | 法廷 | プライバシ |

スラド
国土交通省、小田急線車内傷害事件を受け対策方針。AI活用で不審者検知へ 2021年9月29日 18:05

国土交通省、小田急線車内傷害事件を受け対策方針。AI活用で不審者検知へ

スラド

著者: nagazou

2021年9月29日 18:05

国土交通省は24日、8月に発生した小田急線車内で発生した傷害事件を受けて鉄道事業者と意見交換を行い、今後の対策方針を発表した。それによると、係員や警備員による監視の強化のほか、車内や駅構内の防犯カメラの増設などの対応を行うとしている。防犯カメラの画像運用に関しては、不審者や不審物の検知機能の高度化を謳っており、AIを含む最新技術を活用する方針を示した（国土交通省[PDF]、共同通信）。

先日、JR東日本は重要犯罪の容疑者や挙動不審な人物などの顔を登録し照合していることが話題となった。しかし、その後の専門家などの指摘などにより、9月21日から重大犯罪で服役した出所者を顔認証機能の検知対象とすることを撤回すると発表していた（読売新聞、NHK）。

すべて読む | YROセクション | YRO | 政府 | 交通 | プライバシ |

スラド
日本郵便のインターネット転居届『e転居』、オンラインによる本人確認を導入 2021年9月23日 06:03

日本郵便のインターネット転居届『e転居』、オンラインによる本人確認を導入

スラド

著者: nagazou

2021年9月23日 06:03

日本郵便は17日、同社のインターネット上で転居届を受け付けるサービス「e転居」で、本人確認を導入すると発表した。この本人確認は9月24日より導入される。本人確認に利用される書類は運転免許証、運転経歴証明書、マイナンバーカード、在留カードとなっている（日本郵便リリース[PDF]）。

この本人確認には、スマートフォンなどの各端末の写真撮影機能が必要で、転居申請者の顔写真と本人確認書類を撮影する必要があるようだ。こうした機能がない場合はオンラインでの手続きはできない。これに合わせて、従来の自動音声応答による電話番号認証は廃止されるとしている。こうした本人確認が必要となった背景には、e転居サービスをストーカーに悪用した事例があったためと思われる。

暗号メールサービス ProtonMail、IP アドレスのログを保存しないとの記述を公式サイトトップページから削除

スラド

著者: headless

2021年9月11日 11:39

暗号メールサービス ProtonMail では匿名性の高さをセールスポイントの一つにしており、IP アドレスのログを保存しないと説明していたが、これらの記述が公式サイトトップページから最近削除された (ProtonMail のブログ記事、 6日時点のInternet Archive スナップショット、 The Register の記事、 HackRead の記事)。

ProtonMailは先日、フランスで逮捕されたYouth for Climateの環境活動家のIPアドレスなどの情報を警察に渡していたとして批判を浴びた。

スイスにサーバーを置き、スイスの厳しい個人情報保護法でプライバシーが守られるとする ProtonMail だが、スイス当局が犯罪捜査のために情報提出を命じた場合は異議を申し立てる余地がなく、従うしかないのだという。ProtonMail は外国政府に情報を渡すことはないと説明しているが、この件ではフランス警察がユーロポールを通じてスイス当局に依頼したものだそうだ。

ProtonMail はユーザーの IP アドレスをデフォルトで記録しないが、当局から命じられれば記録して提出する必要がある。そのため ProtonMail は IP アドレスのログを記録しないことを含め、サービス自体の匿名性が高いという記述を削除する一方で、匿名性を重視する場合は ProtonMail と Tor を組み合わせて使用するべきだと述べている。

なお、現在のスイスの法律では電子メールと VPN は異なる扱いになるため、ProtonVPN がユーザーデータの記録を強制されることはないという。また、ProtonMail はその厳しいプライバシーにより、捜査対象が環境活動家であることも知らなかったとのことだ。

スラド
ノルウェー、ロシアとの国境に「ロシア側への放尿禁止」との掲示が出現 2021年8月28日 17:18

ノルウェー、ロシアとの国境に「ロシア側への放尿禁止」との掲示が出現

スラド

著者: headless

2021年8月28日 17:18

ノルウェーでロシアとの国境にロシア側への放尿を禁ずる旨の掲示が出現したそうだ (The Barents Observer の記事、 The Register の記事、 RTÉ の記事、 Euronews の記事)。

ノルウェーの法律では国境で隣接する国やその当局を侮辱するような行為が禁じられており、違法行為が起こらないよう国境警備隊や警察、国境庁が監視している。数年前にはロシアに向けて石を投げた 4 人が拘束されているほか、昨冬は国境を越えてロシア側に手を突き出した女性が 8,000 クローネ (約 10 万円) の罰金を命じられているが、放尿に関してロシア側からの苦情はないそうだ。

掲示が行われたのはグレンセヤコブセルフの東側を流れ、ロシアとの国境を形成するヤコブセルバ川の川岸だ。掲示には英語で「No Peeing Towards Russia」と書かれているが、警察や国境庁では掲示を指示していないといい、実際に誰が掲示をしたのかは不明だ。ただし、国境庁長官は善意の人物が通行人に注意を喚起したものだとして問題視はしていないようだ。

長官は現地が観光客が長いドライブの後で最初に車を止める場所になることが多く、排尿の誘惑にかられる可能性が高いと述べ、監視カメラで撮影されていると注意喚起した。国境でのロシア側での放尿行為が見つかった場合は 3,000 クローネ (約 37,000 円) 以上の罰金が命じられる可能性があるとのことだ。

スラド
Microsoft Power Apps で個人情報を含む計 3,800 万件のレコードが流出、その原因は仕様？ 2021年8月27日 17:05

Microsoft Power Apps で個人情報を含む計 3,800 万件のレコードが流出、その原因は仕様？

スラド

著者: nagazou

2021年8月27日 17:05

headless 曰く、

Microsoft Power Apps ポータルから個人情報を含む計 3,800 万件のレコードが流出した問題について、発見者の UpGuard がそのなりゆきを解説している(UpGuard のブログ記事、 The Verge の記事、 The Register の記事)。

Power Apps は開発者としてのスキルがなくてもビジネスアプリケーションを開発できるローコードアプリ開発ツール。OData (Open Data Protocol) API を使用することでポータルでのレコード公開が可能になるのだが、デフォルト無効の「テーブルのアクセス許可を有効にする」オプションを有効にしなければ匿名かつ認証なしでデータへのアクセスが可能になる。このことは Power Apps のドキュメントにも明記されているが、見過ごされることが多かったようだ。

個人情報が公開状態になっているとして UpGuard が通知したのは (Microsoftを含む) 企業や州政府など合計 47 エンティティにのぼる。UpGuard のアナリストは 5 月 24 日に最初の個人情報が公開状態になっている OData API を発見してオーナーに通知。通知を受けたオーナーは問題を修正した。UpGuard が調査を進めたところ、複数のポータルで OData API を通じた個人情報への匿名アクセスが可能になっていることが判明する。

UpGuard は Microsoft による顧客への通知に期待して MSRC (Microsoft Security Response Center) に脆弱性リポートを送るが、(設定を変更しなければデータが一般公開状態になるのは) 仕様であるとして、問題は解決済みとされてしまう。そのため、UpGuard 自ら各エンティティに通知を送ることになった。Microsoft のポータルで見つかった問題については脆弱性リポートへの返信という形で報告したものの回答はなく、新たな脆弱性リポートを送ったところ、不正利用リポートを送れと言われたそうだ。

Microsoft に脆弱性リポートを送り、あとは任せるという UpGuard の試みは失敗したが、UpGuard が複数のエンティティに最も深刻な複数の問題を報告したのち、Microsoft 側でも顧客の通知を開始したとみられる。また、Microsoft は匿名アクセスが許可されたリストを検出するポータルチェッカーの提供を開始し、新規作成された Power Apps ポータルではテーブルのアクセス許可がデフォルト有効になっている。なお、現在は英語版のドキュメントに OData フィードを有効化した場合はテーブルのアクセス許可を無効にできないとの説明が追加されている。

米国土安全保障省、ランサムウェア攻撃からセンシティブ情報と個人情報を守るためのファクトシートを公開

スラド

著者: nagazou

2021年8月23日 13:02

headless 曰く、

米国土安全保障省 (DHS) の Cybersecurity & Infrastructure Security Agency (CISA) は 19 日、ランサムウェア攻撃からセンシティブ情報と個人情報を守るための対策に関するファクトシートを公開した(CISA のツイート、ファクトシート: PDF、 Softpedia の記事)。

対策は「ランサムウェア攻撃に対する防御」「センシティブ情報と個人情報の保護」「ランサムウェア被害発生時の対応」に大きく分けられている。防御としてはバックアップ作成と維持、サイバー攻撃対応計画の確立、インターネット側からの攻撃の入り口となる脆弱性や誤設定への対策、フィッシングメールのブロックとトレーニング、サイバー衛生の実践といったものが挙げられている。

情報保護としては、どのような情報が保存され、誰がアクセスできるかの把握と物理的セキュリティ・サイバーセキュリティのベストプラクティス適用、サイバー攻撃対応計画にデータ侵害対策を含めることといったものだ。

ランサムウェア被害が発生した場合の対応としては、影響を受けたシステムの特定と隔離、隔離できない場合に限って影響を受けたデバイスの電源を切るなどの被害拡大を防ぐ対策や、情報の収集、影響を受けた人・団体への通知、CISA を含む当局への報告などが挙げられている。なお、CISA ではランサムウェア被害発生時にデータ復元のための身代金を支払うことは推奨していない。

ノーマルビュー