Twitterサークルのツイートがサークル外から見える問題、セキュリティインシデントとして修正される

2023年5月9日 17:04

headless 曰く、

Twitter サークルで共有したツイートがサークル外のユーザーにも見えてしまう問題について、Twitter がセキュリティインシデント発生を認めたそうだ (The Guardian の記事、 Neowin の記事、 BetaNews の記事、 Ghacks の記事)。

Twitter サークルはユーザーが指定したメンバーに限ってツイートを送信し、返信や反応を示すことを可能にする機能だが、4 月にサークル外のユーザーのタイムラインに表示されるといった問題が報告されていた。

Twitter は影響を受けたユーザーに電子メールで連絡を開始しており、サークルを指定して送信したツイートがサークル外ユーザーにも見えてしまう問題をセキュリティチームが確認し、すぐに修正を行ったと説明しているそうだ。これにより、サークルを指定したツイートがサークル外から見えてしまう問題は解消したという。

Twitter ではサービス利用者のプライバシー保護に努めていると述べ、このような問題が発生することによるリスクを理解しているとして遺憾の意を示したとのことだ。

関連ストーリー：
Twitter、今度は非公開ツイートをおすすめツイートとして公開 2023年04月13日

スラド
Microsoft Edge、デフォルトでほぼすべてのアクセス先URLをBing APIに送信 2023年4月29日 11:39

Microsoft Edge、デフォルトでほぼすべてのアクセス先URLをBing APIに送信

スラド

著者: headless

2023年4月29日 11:39

Microsoft Edge ではコンテンツ作成者のフォロー機能を利用できるが、この機能がアクセス先ほぼすべてのフル URL をデフォルトで Bing API に送信しているようだ (The Verge の記事、 Neowin の記事、 On MSFT の記事)。

問題が発生しているのはフォロー可能なコンテンツ作成者を特定するため、ウェブページへのアクセスを bingapis.com に送信する機能だ。Reddit ユーザーが発見したところによれば、以前のバージョンでは特定ドメインまたはページに限って送信されていたが、バージョン 112.0.1722.34 以降ではほぼすべてのページが送信されるようになったという。

The Verge によれば Bing API にはドメインや URL パターン別にデータ収集の有無を指定する数十件のフィルターリストが用意されているが、実際にはアクセス先 URL で未チェックのものがすべて送信されてしまうようだ。The Verge の依頼で調査を行ったソフトウェアエンジニアの Rafael Rivera 氏は意図したとおりに動作していない可能性を指摘している。

Bing API への送信はデフォルトで有効になっているが、Microsoft Edge の設定画面で「プライバシー、検索、サービス」の「Microsoft Edge で作成者をフォローできる修正候補を表示する」をオフにすれば一切送信されなくなる。Microsoft は問題を認識して調査を行っているとのことだが、修正完了までこのオプションをオフにしておくといいだろう。

VPN企業が保存しないと約束している顧客情報を押収しようとしたスウェーデン警察、何も押収できずに帰る

スラド

著者: headless

2023年4月22日 15:39

スウェーデン警察の National Operations Department (NOA) が 18 日、顧客情報を保存したコンピューターを押収するため、ヨーテボリにある Mullvad VPN のオフィスに令状を持ってきたそうだ (Mullvad のブログ記事、 The Verge の記事、 Ghacks の記事)。

Mullvad では警察が探している情報が保存されていると考える理由はなく、一切の押収はスウェーデンの法律で違法だと主張。同社は No-logging ポリシーによりユーザーアクティビティを保存しておらず、支払いやサポートに関するデータを限定的に保存するのみだという。サービス提供の仕組みを説明した結果、警察は検事とも相談して何も押収せずに撤収。Mullvad は 14 年にわたって VPN サービスを提供しているが、令状を持った捜査機関が訪れるのは初めてとのことだ。

スラド
Tesla、顧客の車載カメラ映像を従業員が社内チャットシステムで共有していたとの報道 2023年4月9日 17:45

Tesla、顧客の車載カメラ映像を従業員が社内チャットシステムで共有していたとの報道

スラド

著者: headless

2023年4月9日 17:45

Tesla 従業員のグループが 2019 年から 2022 年にかけて、顧客の車載カメラ映像を社内チャットシステムで共有していたと Reuters が報じている (Reuters の記事、 The Verge の記事、 Ars Technica の記事、 The Register の記事)。

元従業員 9 人の証言によると、誰かが車載カメラの映像から興味深いものを見つけると社内チャットシステムで共有していたようだ。共有された映像は動物や面白い道路標識といった当たり障りのないもののほか、中には全裸の男性が車に向かって歩いてくる映像や、自転車に乗った子供をはねる映像、イーロン・マスク氏が所有するボンドカー「Wet Nellie」が写った映像もあったという。

Tesla は自動運転技術を開発するため車載カメラの映像にラベル付けを行っており、上述の子供の映像を共有していたカリフォルニア州サンマテオのオフィスには昨年までラベル付けの拠点が置かれていた。映像について Tesla は匿名化された状態で使用し、オーナーや車両に結び付けられることはないと説明するが、作業に用いるプログラムでは撮影場所を表示可能だったと 7 人が証言している。

興味本位での映像共有の是非については証言者の間で意見が分かれ、全く問題ないと考える人がいる一方でプライバシーの侵害だと考える人もいるという。その一人は Tesla 車を決して買わないと普段から冗談を言っているとのことだ。

すべて読む | YROセクション | YRO | プライバシ |

スラド
米捜査当局も犯罪者追跡に AirTag を活用か 2023年3月27日 16:05

米捜査当局も犯罪者追跡に AirTag を活用か

スラド

著者: nagazou

2023年3月27日 16:05

headless 曰く、

Forbes が入手した捜査令状によれば、昨年米麻薬取締局 (DEA) が麻薬密造業者あてとみられる荷物の追跡に AirTag を使用していたそうだ (Forbes の記事、 9to5Mac の記事、 Mac Rumors の記事)。

問題の荷物は中国・上海から送られた錠剤成型機と錠剤用の着色料だという。昨年 5 月、受取人を麻薬密造業者ではないかと疑った税関・国境警備局 (CBP) が通関を止め、DEA に連絡したようだ。連絡を受けた DEA では輸入を差し止めず、AirTag で追跡することにしたとのこと。捜査機関が通常使用する GPS 追跡装置ではなく AirTag を選んだ理由は不明だが、密造業者が薬物やその売り上げを保管する場所や取引する場所を正確に知ることができるなどと説明されているそうだ。最近退職した元刑事は Forbes に対し、捜査機関が使用する GPS デバイスは必ず動作するとは限らず、追跡装置の回避に優れた容疑者はかさばるデバイスを容易に発見するなどと述べ、AirTagは見つかりにくく接続の信頼性も高いように見えるとの見解を示している。

ただし、昨年 5 月といえば相次ぐ悪用を受けてAppleがAirTagを見つけやすくする対策を開始して数か月経過した時期であり、追跡に敏感な犯罪者に見つからない可能性は低いとみられる。この点を Forbes も認識しており、DEA が何らかの改造を AirTag に施して使用した可能性を示唆する弁護士のコメントを紹介している。AirTag による追跡が実際の役に立ったのかどうかは明らかでなく、錠剤成型機の受取人は連邦裁判所で起訴されていないが、法務省によれば州で起訴されているとのことだ。

スラド
中国国内で販売されているAndroidスマホ、常時データ収集を確認したとの研究 2023年3月9日 17:04

中国国内で販売されているAndroidスマホ、常時データ収集を確認したとの研究

スラド

著者: nagazou

2023年3月9日 17:04

中国は現在、Android OSのスマートフォンユーザー数が最も多い国となっている。複数の大学のコンピューター科学者が、静的および動的なコード解析技術を組み合わせて実施したプリインストールされたシステムアプリによって送信されたデータを調査したところ、XiaomiやOnePlus、Oppo Realmeなど中国で人気の高いスマホのメーカーすべてで、ユーザーデータが大量に収集されていることが判明したという（Android OS Privacy Under the Loupe、GIZMODO）。

これらのパッケージが多くが、ユーザーのデバイス (永続的な識別子)、位置情報 (GPS座標、ネットワーク関連の識別子)、ユーザープロファイル (電話番号、アプリの使用状況)、および通話履歴などのプライバシーに関わる情報を、同意や通知なしに多数の第三者ドメインに送信していたとされる。

政府支給端末での TikTok 禁止が進むオーストラリア、米国製アプリにも対象を拡大すべきとの意見も

スラド

著者: nagazou

2023年3月9日 16:03

headless 曰く、

オーストラリアでは政府支給スマートフォンでのTikTok使用禁止措置が省庁ごとに進められているが、専門家からは米国製アプリを含む他のソーシャルメディアアプリにも対象を拡大すべきとの意見が出ているそうだ (The Guardian の記事)。

The Canberra Times の記事によれば 140 近くある連邦政府機関のほぼ半数が政府所有デバイスでの TikTok 使用を禁じているという。アプリを禁止すべきという意見は TikTok に集中しているが、内務省ではサイバーセキュリティ大臣を兼任するクレア・オニール内務大臣の指示を受け、すべてのソーシャルメディアプラットフォームについてセキュリティリスクと政府における正しい利用法を評価しているそうだ。

政府支給端末でのソーシャルメディアアプリ利用について、専門家は TikTok が「悪」で米企業が「善」というような単純な分け方はできないと指摘する。Apple や Google ではアプリの取得できる個人情報を徐々に制限し、ユーザーによるコントロールを強めているが、位置情報を無効にしてもアップロードした写真から GPS データを取得できる。そのため、以前よりは改善されたとはいえ、問題が完全に解決したわけではないとのこと。また、別の専門家は私物デバイスから外部に送られる情報にも注意すべきだと述べている。

問題を根本的に解決するには1本のアプリを禁止するかどうかではなく、オーストラリア人のプライバシーとセキュリティを強化する必要がある。それにはより強力な個人情報保護法やプライバシー教育、エンドツーエンド暗号化の推奨、そして暗号化が小児性愛者だけのものだなどという馬鹿げた考えを終わらせる必要があるとのことだ。

スラド
Signal、プライバシーを弱めるぐらいなら英国から撤退 2023年2月26日 12:59

Signal、プライバシーを弱めるぐらいなら英国から撤退

スラド

著者: headless

2023年2月26日 12:59

英国政府が検討中の法案 Online Safety Bill について、通信の暗号化を損なうようなことになるなら英国から撤退すると Signal のメレディス・ウィテカー氏が BBC に語ったそうだ (BBC News の記事、 The Guardian の記事、 Ars Technica の記事)。

英政府は法案がエンドツーエンド暗号化を禁ずるものではないと説明するが、ウィテカー氏は「プライバシーが善人のものだけ」と信じるのは「魔法的な考え方」だと指摘。暗号は全員を保護するか、全員にとって壊れているかのいずれかだと付け加えたという。

ウィテカー氏はプライベートなメッセージをスキャンするためのバックドアが悪意ある国家の手先に悪用され、犯罪者がシステムにアクセスする道を開くとし、Signal が真にプライベートなコミュニケーション手段を提供するという人々の信頼を損なうよりも撤退する方がいいとのこと。

暗号化が児童虐待者を守るという主張に対しては、ロス・アンダーソン氏の論文(PDF)から「複雑な社会的問題を安価な技術的手段で解決できるという考えはソフトウェアセールスマンが使うセイレーンの誘惑だ」という一節を引用し、虐待の多くが行われる家庭やコミュニティでの抑止に注力すべきだと述べたとのことだ。

すべて読む | セキュリティセクション | 英国 | YRO | ソフトウェア | 政治 | 暗号 | 政府 | プライバシ |

スラド
Microsoft曰く、古いOfficeのユーザー数を特定する更新プログラムでプライバシーを尊重する 2023年2月4日 15:58

Microsoft曰く、古いOfficeのユーザー数を特定する更新プログラムでプライバシーを尊重する

スラド

著者: headless

2023年2月4日 15:58

Microsoft が 1 月にリリースした旧バージョン Office のユーザー数を特定する更新プログラムについて、ユーザーのプライバシーを尊重するとの記述をサポート記事に追記している (KB5021751、 BetaNews の記事、 The Register の記事)。

この更新プログラムはサポートが終了した Office 2007 / 2010 および、4 月にサポートが終了する Office 2013 を実行しているユーザーの数を Microsoft が特定するためのプログラムだ。実際にアプリケーションを更新する機能はなく、サイレントモードで 1 回実行するだけで何もインストールされない。

追記された説明によると、Microsoft はこの更新プログラムで診断データとパフォーマンスデータを収集して Office の使用状況を見積もり、該当システムに対するサポートとサービスの最適な方法を決定するという。ライセンスの詳細や顧客のコンテンツ、Microsoft 以外の製品に関するデータは収集しないとのこと。どのように最適な方法を決定してくれるだろうか。

スラド
インド政府、国産モバイル OS「BharOS」をデモ 2023年1月27日 18:43

インド政府、国産モバイル OS「BharOS」をデモ

スラド

著者: nagazou

2023年1月27日 18:43

headless 曰く、

インド政府は国産モバイル OS の開発計画を明らかにしているが、24 日に教育相および技術開発・起業促進相を務めるダルメンドラ・プラダン氏がデモを行ったそうだ (The Register の記事、プラダン氏のツイート)。

インドの国産モバイル OS「BharOS (Bharat OS)」は JandK Operations Private Limited (JandKops) が開発したもので、プライバシーに配慮して作られており、市販のスマートフォンにインストールして使用できるという。「Bharat」はヒンディー語で「インド」を意味し、BharOS が提供するセキュアな環境はインド政府の「自立したインド (Atmanirbhar Bharat)」キャンペーンに大きく貢献するとのこと。

Linux カーネルがベースになっていると伝えられる以外、OS そのものに関する情報は少ないが、JandKops が公開しているスクリーンショットは Android に似ている。スクリーンショットではプライベートなアプリストアサービス (PASS) でインストールされたアプリとして、AOSP の Android Keyboard のほか、DuckDuckGo や Signal、Twitter などのアプリがリストアップされている。

スマートフォンのモーションセンサーでイヤースピーカーの音声の振動を読み取る攻撃手法「EarSpy」

スラド

著者: nagazou

2023年1月5日 17:03

headless 曰く、

複数の米大学のメンバーによる研究グループがスマートフォンのモーションセンサーを用い、通話中のイヤースピーカーの振動から通話相手や内容を読み取る手法「EarSpy」の研究成果を発表している (論文アブストラクト、 HackRead の記事、 Android Police の記事)。

モーションセンサーは権限の明示的な許可を得ることなく利用できるため、さまざまなサイドチャネル攻撃手法の研究が行われている。出力の小さいイヤースピーカーの振動をモーションセンサーで読み取ることは難しいと考えられていたが、最近のステレオスピーカー搭載モデルではイヤースピーカーを 2 つ目のラウドスピーカーと兼用できるようにしているものもある。実際にイヤースピーカーとして使用する時には出力を抑えることになるが、それでもステレオスピーカーを搭載しないモデルと比べて加速度計で読み取れる情報が多くなっているという。

研究グループでは一般公開されている発話データセットを用い、古典的な機械学習アルゴリズム、新たに開発した畳み込みニューラルネットワークに学習させて性別や話者、発話内容の検出を実行している。使用スマートフォンはいずれもステレオスピーカーを搭載する OnePlus 7T と OnePlus 9 の 2 機種だ。その結果、性別は最高 98.66 %、話者は最高 92.6 % の正確さで認識可能であり、発話内容 (0 ～ 9 の数字を英語で発音したもの) も最高 56.42 % の正確さで認識できたそうだ。Android 12 以降ではモーションセンサーのデータのリフレッシュレートがデフォルトで 200 Hz に制限されており、より高いリフレッシュレートでの読み取りには権限の許可を得る必要がある。しかし、制限された状態でも性別の検出は 90.97 % の正確さが得られたとのことだ。

スラド
米ルイジアナ州、ポルノサイトにユーザーの年齢確認を義務付ける州法が発効 2023年1月4日 19:13

米ルイジアナ州、ポルノサイトにユーザーの年齢確認を義務付ける州法が発効

スラド

著者: headless

2023年1月4日 19:13

米ルイジアナ州で 1 日、ポルノサイトにユーザーの年齢確認を義務付ける州法が発効した (HB142、 Motherboard の記事、 Ars Techincia の記事、 The Verge の記事)。

この州法は未成年者に有害なポルノコンテンツが全体の 3 分の 1 以上を占める商用サイトを対象に、公的な身分証明書などを使用した適切な年齢確認プロセスの提供を義務付けるものだ。対象サイトへのアクセスにはユーザーが 18 歳以上であることを証明する必要がある。年齢確認後、対象サイトは個人を特定可能な情報を保持してはならないとの文言も含まれるが、プライバシーやセキュリティの懸念も強い。それでも議会では 3 回の採決で反対票は 1 票のみという、ほぼ全会一致で可決してきた。

年齢確認の実施状況を Motherboard や Ars Technica がルイジアナの VPN サーバーを通じて調べたところ、Pornhub はサードパーティの年齢確認サービス Allpasstrust で認証を開始していることが確認できたという。一方、まだ対応していないポルノサイトもあるようだ。

スラド
TikTok運営会社の従業員、記者らの個人データに不正にアクセス 2022年12月27日 13:04

TikTok運営会社の従業員、記者らの個人データに不正にアクセス

スラド

著者: nagazou

2022年12月27日 13:04

米フォーブス誌によれば、「TikTok」の運営企業である中国のIT大手「バイトダンス」の従業員が、同誌の複数の記者のデータにアクセスしていたと報じている。フォーブスでは、バイトダンス幹部による社内向けメールなどの資料を入手。これを元にTikTokと中国政府とのつながりに関連した報道をおこなっており、この記事の情報がどこから漏れたかを把握するため、記者の位置情報などにアクセスしていたという。同社は内部調査を実施したところ、23日に複数の従業員がメディアへの情報流出源を特定目的で記者の個人情報に不正にアクセスしていたことを認めた。関係者を解雇するなどの処分をしたとしているが、具体的な人数などに関しては公開されていないという（東京新聞、朝日新聞、AFPBB News）。

スラド
犯罪報道記事で自宅住所の地番を掲載してもプライバシーの侵害にはあたらない。最高裁判決 2022年11月29日 14:30

犯罪報道記事で自宅住所の地番を掲載してもプライバシーの侵害にはあたらない。最高裁判決

スラド

著者: nagazou

2022年11月29日 14:30

覚醒剤取締法違反で逮捕された夫婦が、静岡新聞の記事に自宅の住所を地番まで掲載されたことにより、プライバシーを侵害されたと訴えた裁判で、最高裁判所は原告の上告を退けた。原告となったのは静岡県に住むブラジル国籍の夫婦。2018年に覚醒剤取締法違反などの疑いで逮捕されたが、夫婦はその後不起訴となっていた（NHK）。

1審では「地番まで掲載する必要性が高いとは言い難い」としてプライバシーの侵害を認めたが、2審は「報道される必要性が高く、表現の自由の保障が及ぶ」として1審とは逆に訴えを退けた。最高裁判所はプライバシーの侵害にはあたらないとする2審の判決を確定させたとしている。

すべて読む | YROセクション | YRO | 法廷 | 論説 | プライバシ |

スラド
WhatsApp ユーザーのものとされる5億件近い電話番号データが売りに出される 2022年11月27日 13:30

WhatsApp ユーザーのものとされる5億件近い電話番号データが売りに出される

スラド

著者: headless

2022年11月27日 13:30

WhatsApp ユーザーのものとされる世界 84 か国、計 4 億 8,700 万件の電話番号データが売りに出されているそうだ (Cybernews の記事、 Neowin の記事)。

電話番号データの販売情報は、ある人物が 11 月 16 日によく知られたハッキングコミュニティに投稿したものだという。件数の最も多いのはエジプト (約 4,482 万件) で、イタリア (約 3,568 万件) と米国 (約 3,232 万件) が続く。数は少ないものの日本の電話番号も約 43 万件含まれている。

この人物は Cybernews に対し、米国のデータセットが 7,000 ドル、英国 (約 1,152 万件) が 2,500 ドル、ドイツ (約 605 万件) が 2,000 ドルだと説明したそうだ。Cybernews は英国 1,097 件分、米国 817 件分のサンプル提供を受け、確かに WhatsApp ユーザーのものであることを確認したとのこと。販売者は入手法について説明しなかったが、Cybernews はスクレイピングによるものだと考えているようだ。

作業に必要ないファイルにアクセスする電子機器修理サービスの担当者、依頼者が女性の場合に特に多いという調査結果

スラド

著者: headless

2022年11月26日 11:39

カナダ・グェルフ大学の研究グループが電子機器修理サービスプロバイダーによる個人ファイルの扱いを調べたところ、修理担当者が作業に必要ない個人ファイルにしばしばアクセスしており、修理依頼者が女性の場合は特に多いことが判明したそうだ (U of G News の記事、 Ars Technia の記事、 PCMag の記事、論文アブストラクト)。

研究グループの調べによると、カナダで利用可能な電子機器修理サービスプロバイダーでは規模の大小にかかわらず、デバイスに顧客が保存した個人データを保護するプライバシーポリシーが用意されていないという。また、Windows 10 のプリインストールされた新品のノート PC を 6 台を購入し、オーディオドライバーを無効化して実際に修理を依頼する実験も行っている

実験では 3 台ずつ男性と女性の所有者という設定で個人ファイルやインターネットサービスのアカウント、ブラウザーの閲覧履歴などのほか、男女にかかわらず露出度の高い女性の写真 (非ヌード) を格納し、これに合わせた性別の実験者が合計 16 の修理サービスプロバイダー (全国規模 4、地域規模 4、地元業者 8) に修理を依頼。Windows のステップ記録ツールと監査ポリシーを用いて修理担当者の操作内容を記録している。なお、実験にあたっては修理担当者のプライバシーにも配慮したとのこと。

このうち 2 件のサービスプロバイダー (地域 1、地元 1) では実験者の目の前で修理を終わらせており、別の地元修理業者 2 件では記録したデータが取り出せなかったという。残り 12 件のうち、4 件で修理担当者が「ドキュメント」フォルダーにアクセスしており、5 件で「ピクチャ」フォルダと露出度の高い女性の写真にアクセスしたそうだ。

こういった個人ファイルへのアクセスは修理依頼者が女性の場合に多く、男性の場合はそれぞれ 1 件にとどまる。一方、ブラウザーの閲覧履歴に修理担当者がアクセスしたのは 2 件で、修理依頼者はいずれも男性だった。このほか、2 件では修理担当者が顧客のデータをコピーしており、5 件ではアクセスしたファイルの履歴などを消去したという。

このような状況を消費者も不安に感じているようだ。112 名を対象に実施したアンケート調査では、故障したデバイスを修理しなかった人の 33 % (スマートフォン/タブレット: 79 人中 26 人、PC: 70 人中 23 人)がプライバシーを理由に挙げているとのことだ。

スラド
AppleがiOSデバイスから収集する解析データ、iCloudアカウントを特定可能な識別子が見つかる 2022年11月23日 15:26

AppleがiOSデバイスから収集する解析データ、iCloudアカウントを特定可能な識別子が見つかる

スラド

著者: headless

2022年11月23日 15:26

Apple が iOS デバイスから収集する解析データに「dsId」という識別子が含まれると Mysk が報告している (9to5Mac の記事、 The Verge の記事、 Mac Rumors の記事、 Mysk のツイート)。

Mysk は iOS の App Store アプリが個人を特定可能な情報を含めてアプリ内のユーザーアクティビティを Apple に送信していると報告しており、米国ではこれを受けたクラスアクション訴訟も提起されている。

Apple は iOS デバイス解析のサポート記事で収集された情報によって個人が特定されることはないと説明し、同じ iCloud アカウントを使用する複数のデバイスで解析情報の送信に同意するとデバイス間で一部の使用データを関連付けることもあるが、個人を特定しない形式で行われるとも説明している。

しかし、Mysk によれば dsId は「Directory Services Identifier」を意味し、iCloud アカウントを識別可能なユニーク ID だという。実際に iCloud の設定データに「dsPrsID」として同じ値が含まれるとのこと。Mysk はユーザーの設定にかかわらず送信される解析データの量が変わらないことも確認しており、App Store とプライバシーに関するサポート記事にも収集自体の無効化ができるとは書かれていない。そのため、Apple はユーザーに直接結びつけられた詳細な解析データを App Store から常に収集することになる。

スラド
インボイス制度の事業者の実名公表、国税庁が見直しへ 2022年9月27日 14:02

インボイス制度の事業者の実名公表、国税庁が見直しへ

スラド

著者: nagazou

2022年9月27日 14:02

以前、消費税の「インボイス制度」に登録するとペンネームなどを利用する個人事業者の本名が流出する可能性が指摘された話題を取り上げたが、朝日新聞によると国税庁が公表方法を見直す方針を決めたという。これまでは国税庁のウェブサイトから名前の一覧約20万件を誰でもダウンロードできる状況になっていた。これが22日夜に一時的に停止されたそうだ。国税庁によると、ダウンロードを一時的に停止し、このファイルの中で公表する情報の中身を見直すという（朝日新聞、INTERNET Watch）。

スラド
Brave、プライバシーに配慮した翻訳機能が利用可能になっていた 2022年9月25日 17:58

Brave、プライバシーに配慮した翻訳機能が利用可能になっていた

スラド

著者: headless

2022年9月25日 17:58

何も表示されないので気付かなかったが、Brave では 9 月初めにリリースされたバージョン 1.43.88 で翻訳機能「Brave Translate」が利用可能になっていた (Ghacks の記事、リリースノート)。

これまで Brave で外国語のページを表示すると、Google 翻訳拡張機能のインストールが提案されていた。Brave Translate では Vivaldiと同様に自前でホストする Lingvanex のサーバーを用いて翻訳を実行するため、プライバシーに配慮した翻訳が可能になるという。

ただし、Vivaldi と比較してプロンプトはシンプルで、言語変更などにはメニューからの操作が必要になる。対応言語も 15 程度と少なく、選択部分の翻訳にも対応しない。Lingvanex の使用については特に表示されないが、日本語への翻訳で Vivaldi と同じ文字が文字化けする。

機能的にはまだまだ不十分で Google 翻訳拡張機能と併用したいところだが、拡張機能が有効になっていると Brave Translate は使用できなくなるようだ。翻訳ツールの表示が指定された言語のページでプロンプトが表示されなくなるだけでなく、ページのコンテキストメニューにも翻訳のオプションが表示されなくなる。機能が有効になってから 3 週間も気付かずにいたのはこれが原因のようだ。

スラド
Chrome / Edge の高度なスペルチェック機能、パスワードをサーバーに送信する可能性 2022年9月22日 08:02

Chrome / Edge の高度なスペルチェック機能、パスワードをサーバーに送信する可能性

スラド

著者: nagazou

2022年9月22日 08:02

headless 曰く、

Google Chrome や Microsoft Edge の高度なスペルチェック機能を利用すると、ウェブサイトによっては個人を特定可能な情報 (PII) が Google や Microsoft に送られるほか、パスワードが送られてしまうこともあると報告されている (otto のブログ記事、 BleepingComputer の記事、 BetaNews の記事、 Ghacks の記事)。

Chromeの高度なスペルチェック機能は設定画面の「言語」でスペルチェックを有効にし、「拡張スペルチェック」を選択すれば利用できる。Edgeの方は拡張機能「Microsoft エディター」をインストールし、設定画面の「言語」に追加される文書作成支援機能の使用を有効にして「Microsoft エディター」を選択すればいい。ただし、環境によっては拡張機能をインストールしていなくても設定画面に表示されることがあるようだ。

Chrome ヘルプでは拡張スペルチェック有効時に入力したテキストが Google に送信されると明記されており、意図したとおりの動作ではある。ただし、ウェブページ側で制限しなければログイン画面やサインアップ画面に入力した PII なども送信されてしまう。また、パスワード入力フィールドで入力済みパスワードを表示する機能を使用すると、パスワードが送信されるという。

高度なスペルチェック機能を利用しつつ問題を避けるには、送信されたくない情報を含むフィールドに「spellcheck = "false"」属性を付加すればいいとのことだ。

ノーマルビュー