ちょっとしたスパイス、かしら？
ちょっと追記よ。
上に書いたOpenPNEって、株式会社手嶋屋 ( http://www.tejimaya.com/ ) って会社さんがおつくりになってらっしゃるらしいの。
実績 ( http://www.tejimaya.com/clients.html ) のPageを拝見しても
http://www.tejimaya.com/clients.html より
OpenPNE
内容：オープンソース開発SNS
【OpenPNE】は手嶋屋がオープンソース方式で
開発を行っているオリジナルSNSです。
って書いてあるから事実なんだと思うわ？
で…こちらをご覧になってみていただきたいの。
http://d.hatena.ne.jp/openpne/20060913/1158168592 より
http://trac.openpne.jp/wiki/%E8%A8%AD%E8%A8%88%E3%83%BB%E3%82%B3%E3%83%BC%E3%83%87%E3%82%A3%E3%83%B3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%AB
なわけでっす〜www
OpenPNEを開発する際の基本理念として、
「エンドユーザが最も喜ぶように」
というのがあるので、技術的な先進性はプライオリティが下がってしまうというわけでっす〜www
ただ技術的に遅れていくと、
「エンドユーザが最も喜ぶ」
ものが作れなくなっちゃいそうなのでバランスとって追いかけていきまっす〜www
「エンドユーザが最も喜ぶ」
って良いよね。
どすか？
えらいわぁ。「常にユーザの事を考える」事って、なかなかそうは出来ないことですもの。
つい「先進性のある技術」にのみ目がいってしまって「ユーザを軽視する」技術者の集団にあって、なかなかいえることじゃぁないわね。
せっかくですから。上述のURLにも伺ってみましょ？
http://trac.openpne.jp/wiki/%E8%A8%AD%E8%A8%88%E3%83%BB%E3%82%B3%E3%83%BC%E3%83%87%E3%82%A3%E3%83%B3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%AB より
設計ルール
新規・高度なプログラミング手法は極力利用しない
えらいわぁ。ここでもちゃんとこのあたりの理念を間違えずに踏んでいてよ？
http://trac.openpne.jp/wiki/%E8%A8%AD%E8%A8%88%E3%83%BB%E3%82%B3%E3%83%BC%E3%83%87%E3%82%A3%E3%83%B3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%AB より
オブジェクト指向は、* PHP4 PHP5間での違いが激しすぎる
* PHP5でのオブジェクト指向が中途半端
* コミッター全員が使いこなせない
* PHP用のエディタでうまく管理出来るものが見つからなかったという理由で極力利用していません。
あらあらまぁまぁあらまぁまぁ………そうなのねぇ「オブジェクト指向って新規で高度なプログラミング手法」なのねぇおねぇさん知らなかったわぁ。
でも。確かにPHP4とPHP5では差異が結構ありますし、PHP5ですら、中途半端なのは事実ですわ？*1
コミッター全員*2が使いこなせないってのも問題でしょうし、よいエディタが見つからないってのもやっぱり重要なポイントだと思いますの*3。
http://trac.openpne.jp/wiki/%E8%A8%AD%E8%A8%88%E3%83%BB%E3%82%B3%E3%83%BC%E3%83%87%E3%82%A3%E3%83%B3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%AB より
現状のプログラムレベルでは* 命名規則を徹底すれば何とかなる
* コミッターががんばってたくさんコードを読む
* プログラムの習熟度がある程度低くても、とりあえずコードが書ける
* オブジェクト指向ではある程度の、モデル化が必要だが 変化の激しいSNSのモデル化は、現時点で出来そうもない
これも素敵だわぁ。
あたくしの不慣れなスキルでは「命名規則を徹底したら何が何とかなるのか」が全然わからないですし*4。まぁ「沢山のソースコード」を読むことが不必要だとは思わないんですけれども…それも読み方次第よねぇ？ としか思えないわ。
「習熟度の低い」人間が「とりあえず書いたコード」なんて、あたしなら真っ平ゴメンなんですけれども…きっと何か色々と手法をお持ちでいらっしゃるのね？
変化が激しいために「OOに不向き」とか「モデル化が出来ない」ってのは…あたしが実践し、耳にしているオブジェクト指向とは、もしかしたら随分とかけ離れているものなのかもしれないわ？
理念がしっかりしていることっていうのは、とても素晴らしいことだと思いますの。オールドスタイルや周囲の平均を基準に考えることも悪いとは申しませんわ？
でも。結局のところこれって「エンドユーザの名の下に自分たちが努力を怠る理由をこねくり回している」ようにしか見えないのは気のせいかしら？ 或いは「手を動かす努力はしても進歩する努力はしない」主義なのかしら？
「長くていいから、変数をしっかり書く」とか「全コードをもう一度書き直すモチベーションを維持する 」ってあたりにも、なんか色々と青いものが見え隠れしてしまいましてよ？
そうねぇ…どうかしら？ いっそ、水色をベースに、襟をネイビーブルーにしたシャツでも制服としてお召しになってみては如何かしら？
きっと色々な意味でお似合いになるんじゃなくってかしら？
あたしは、もうちょっと知的な白か、いっそ恥的な赤いお召し物のほうが好きではあるんですけれども。
韃靼とハンブルグと合成って似てるようで色々と違うものなのよね？
今日は、ちょっと小ネタチックなものをたっぷりの接着剤でつなげてお送りしていくわ。よろしくってかしら？
一片目のくず肉。まずはこちらからよ？
株式会社ディノ ( http://www.dino.co.jp/ ) さまっていう会社さんがあるの。こちらのTop Pageにもあるんですけれども、PHPコード監査サービスっていうとっても素敵なサービスをやってらっしゃるらしいの。
http://www.dino.co.jp/business/solution/inspection.php より
PHPコード監査サービス
インターネットの普及により日々たくさんのウェブシステムが構築されています。中でもPHP言語はその習得の簡単さや生産性の高さから、ウェブシステム開発で広く利用されております。しかし、PHPは習得が簡単である反面、プログラマの技術力がまちまちになり、ウェブブラウザからのチェックでは発見が困難な様々な脅威を含んだままシステムが利用されるケースが多く見られます。
株式会社ディノではPHPソースコード監査を個別見積りにより受注しておりましたが、このたび監査サービスをパッケージ化し、ソースコードの抜き取り監査を固定価格「1回98000円（税込）」という今までにない価格にて提供させていただくことになりました。
ですって。これってとっても素敵に画期的なことじゃなくってかしら？
あたくしとしても、やっぱり色々と気になることは少なからずあるの…っていうか、これチクってきた子が散々っぱら気にしてるのよ*1。
というわけで早速に伺ってみたの。そのサイト ( https://inspection.dino.co.jp/ ) に。
https://inspection.dino.co.jp/ より
「dinspection」9つの特長
* 業界トップクラスの技術者が監査
* 短納期：5営業日で監査完了
* 低価格：\98,000 固定
* テストではなく、コードを監査
* 「安全性」「保守性」「性能」「バグ」
* 公平・中立な監査結果
* プロジェクトの進捗を邪魔しません
* 早期発見：未完成でも監査できます
* PHPに特化
あらあらまぁまぁあらまぁまぁ。なんて素敵な取り揃えなんでしょ？ 業界トップクラス*2の技術者が安全性などについてしっかりと監査してくださるのね？
なんとも心表れるお話じゃなくってかしら？ お値段は…ソースの量にも拠るんでしょうけれども、基本的には「リーズナブル」な感じだと思いますわ？
で…ちょっと「ログイン」ってPageを見つけたの。何かしら何かしらって思って伺って、もちろんそのまま何の気なしにHTMLを拝見いたしましたの。
…あらあら。あたくしの目の錯覚かしら？
＜input type="hidden" name="referer" id="referer" value="https://inspection.dino.co.jp/" /＞
ってなにかしら？
あたくしには…
- ログイン後の遷移画面
- ログイン失敗時の遷移画面
のいずれかに見えて仕方がないのよね？
不思議だわぁ「業界トップクラスの技術者が監査」している「「安全性」「保守性」「性能」「バグ」を見つけてくださる」「PHPに特化」した会社さんの、これがHTMLなのかしら？ 設計なのかしら？ 実装なのかしら？
ほら、こちらを是非ご覧になって頂戴？
https://inspection.dino.co.jp/necessity より
第三者によるコード監査の必要性
情報セキュリティにまつわる事件・事故が増加していますここ数年、情報セキュリティにまつわる事件・事故が、ニュースや誌面をにぎわせています。ある大手通信会社は、400万件を超える個人情報を漏洩したとされ、お詫びの金券で総額数十億円の費用を支払ったと報じられています。
代償は金銭的な損失だけではありません。長期間かけて築いてきた、企業ブランドやサービスの信頼性を失うことも考えられます。
従来の個人情報漏洩は、名簿の紛失・盗難によるものが中心でした。近年は、個人情報の電子化に伴いPCや記録媒体の紛失・盗難による漏洩が増え、そしてインターネット上で個人情報を扱うウェブアプリケーションの増加に伴いウェブアプリケーションへの不正アクセス等による漏洩が増えています。ウェブアプリケーションを提供する運営者や開発者にとって、その安全性の確保は必須となっています。
ウェブアプリケーションの安全性はまちまちところが現実には、実運用されているウェブアプリケーションの安全性はまちまちです。ひとつには開発言語の問題があります。PHPは習得しやすく生産性が高いためウェブアプリケーション開発言語のスタンダードの一つとなっていますが、他方でプログラマーの力量に個人差がでやすい傾向があります。結果として様々な「脅威」を含んだままの低品質なPHPアプリケーションが実運用されてしまうことがあります。
そうした低品質なPHPアプリケーションは、次のようなセキュリティリスクを内在している可能性があります。
https://inspection.dino.co.jp/necessity より
PHPコード監査サービス「dinspection」の登場です
株式会社ディノは、PHPアプリケーション開発のプロフェッショナル集団です。株式会社ディノは、これまでの実績と技術的蓄積を生かし、第三者機関としてプログラムの品質を定額で監査するサービス「dinspection」をスタートいたしました。お客様からソースコードをお預かりし、オリジナルのチェックツールを併用しながら、技術者が「安全性」「保守性」「性能」「バグ」の4つの視点でソースコードの抜き取り監査を行います。
https://inspection.dino.co.jp/features より
1.業界トップクラスの技術者が監査
株式会社ディノはPHPウェブアプリケーション開発に特化した技術会社です。大型案件を開発してきた実績と、スタッフのハイレベルな技術の蓄積が自慢です。
- 中略 -
4.テストではなく、コードを監査
要求通りに動くことを確かめるのにテストは向いていますが、セキュリティホールが無いことを確認するテストは容易ではありません。「dinspection」では、高い技術レベルの技術者がソースコードの監査を人手で行います。
きっと、それはそれは素晴らしく技術力の高い方々がなさっているものだと思いますの。思わずにはいられませんわ？ きっとこれをお読みの皆様もそうお感じになられるはずよね？
だのに…いったいこれはどういうことかしら？
あたくしはそう思って。2006年09月08日の夕刻に、ご連絡を差し上げましたの。hiddenは如何なものなのかしら？って。
そうして…翌日。「サイトのHTMLからhiddenが削除され」「あたくしには連絡がない」という、素敵なダブルパンチを頂戴いたしましたの。
これってちょっとどうなのかしら…って思ってご連絡を差し上げたあたりから…素敵な返信が舞い込んできておりますわ。
あたくしが二通目を書いたのは2006年09月11日 18:42:22 頃ですの。そうしたら、いきなり2006年09月11日 20:20:11にお返事がもどってきましたの。
端的に書くと、要点はこんな感じかしら？
- 実際の攻撃可能性の調査後に行うつもりだった
- 予想以上に調査に時間がかかって、結果として連絡が遅れた(謝罪)
- 指摘は「ヘッダインジェクションの危険性があるのではないか」という内容だと認識した
- ヘッダインジェクションの危険性に関しては「PHP5.1.2以降のPHP自体の仕様によるもの」のために、テストした範囲では攻撃は不可能であるように考えている
- 万全を期すためPHPのCソースコードを追っている
こんな感じかしら？
一見誠実なようでいて…かなりピントとか的とかをはずしまくってるのよね？
で、あたくしはこんな風にお返事を返しましたの。
- とりあえず連絡は出来なかったのかしら？
- 「PHPのバージョン依存の仕様による」安全性を基準にお話をされているのって如何なものなのかしら？
これに関しては、こんな御丁寧なお返事を頂戴いたしましたわ。
- マニュアルに明記されている実装によって「ヘッダインジェクション」が不可能なようになっていることを確認した
という趣旨かしら？
そうねぇ。あたくしも、必ずしも異論だらけ、ってわけじゃないの。でも、ちょっとこのあたりをご覧になってみていただきたいの。
http://jp2.php.net/manual/ja/function.header.php より
header() 関数は、HTML ファイルの 送信に先立って、生の HTTP ヘッダ文字列を送信するために 使用します。HTTP ヘッダの詳細は、 HTTP 1.1 Specification を 参照してください。
注意: PHP 4.4.2 および PHP 5.1.2 以降、この関数は一度に複数のヘッダを 送信できないようになりました。これは、 ヘッダインジェクション攻撃への対策です。
この仕様に「拠る」セキュリティ対策をなさっていてそれがコレクトだと主張するその手法って、本当にそれは「万全なもの」なのかしら？
というかそも「なんでhiddenにモノ書かなきゃいけないのかしら？」＆「じゃぁなんであわててhiddenを出力しないように修正なさったのかしら？」
それとも「ヘッダインジェクション以外にも色々とこの脆弱性って使えたわよねぇ」って突っ込みを入れて差し上げたほうがよろしいのかしら？*3
そうしてこの先を考えると「本当にほかの部分は大丈夫なのかしら？」とか「サービスしているソースコードチェックの品質って如何なものなのかしら？」とか色々な延長線上のあんなこんなそんなな幻影が見え隠れしてしまいますわ？
ええきっと「業界トップクラスの技術者」ですもの、なにかきっと深謀遠慮があるんだと思って差し上げてもよろしくってよ、とっても好意的な見方をするとして。
でも、そんな深いところを考える前に、もうちょっと手前の浅瀬で、真摯に考えたほうがいいところがたっぷりとあるんじゃなくってかしら？
二片目のくず肉はこちら。
テクノブレーン株式会社 ( http://www.techno-brain.co.jp/ )っていう会社さんが運営なさっている、JYOTATSU ( http://jyotatsu.jp/ )っていうSNSがありますの。
「情報処理 SNS」「ITエンジニアのためのコミュニティ」っていううたい文句がとても素敵よね？
で。あたくしの知り合いが早速入会して *4 …びっくりしたらしいの。そのびっくりしたブツを、まずはご覧遊ばせ？
＜form action="./" method="post"＞
＜input type="hidden" name="m" value="pc"＞
＜input type="hidden" name="a" value="do_o_regist_prof"＞
＜input type="hidden" name="mode" value="register"＞
＜input type="hidden" name="sid" value="42c8040208e6d----------94f9f1e6f"＞
＜input type="hidden" name="nickname" value="はんどるめい"＞
＜input type="hidden" name="birth_year" value="生年(ちゃんと数字よ)"＞
＜input type="hidden" name="birth_month" value="生月(ちゃんと数字よ)"＞
＜input type="hidden" name="birth_day" value="生日(ちゃんと数字よ)"＞
＜input type="hidden" name="public_flag_birth_year" value="public"＞
＜input type="hidden" name="password" value="*****"＞
＜input type="hidden" name="password2" value="*****"＞
＜input type="hidden" name="c_password_query_id" value="1"＞
＜input type="hidden" name="c_password_query_answer" value="リマインダ使うな"＞
＜input type="hidden" name="profile[namae]" value=""＞＜input type="hidden" name="public_flag[namae]" value="public"＞＜input type="hidden" name="profile[shokugyo]" value="エンジニア"＞＜input type="hidden" name="public_flag[shokugyo]" value="public"＞＜input type="hidden" name="profile[shoyusikaku][]" value="128"＞＜input type="hidden" name="public_flag[shoyusikaku]" value="public"＞
＜td＞＜input type="submit" value=" 登 録 "＞＜/td＞
＜/form＞
すごいわねぇ素敵だわねぇ。なんていうか…正気かしら？
ついでに。当然のごとく新規登録で登録した後にもう一度同一のメールアドレスを入力すると
そのアドレスは既に登録されています
ってかえってきたらしいわ？
これもまたベーシックなミスよねぇ。
で、管理人にメールしたらしいの。始めは
- 開発側の会社に知らせるから詳細を教えれくれ
って事で、詳細を知らせたらしいの。で…それはそれは素晴らしく感動的な返答がかえってきたらしいわ？
- このSNSはオープンソースであるOpenPNEを使っている
- アドレスの総当り攻撃に関しては「文言を変更する」「招待メール内に登録済みと書く」「メールアドレスに加えて歪んだ数字を手動で打たせる」が対応策候補として上がっているがどのように対応すればいいか悩ましい
- パスワードについてはhiddenに書かないようにする
- パスワード以外の項目については脆弱性と言うには疑問
- セッションを使っているから安全、使っていないから危険、というのは議論の分かれるところ
- サニタイズ周りに関しては問題ないはず
ですって。
なんていうか…すごいわねぇ。大体「開発側の会社」って話から「手直しすらもせずにそのままオープンソース使いっぱなし」ってどうなのかしら？
どうみても修正する気配もなければ必要性も感じてらっしゃらないみたいですし。
「エンジニアのキャリア形成について一緒に考え」てくれる「幸せなエンジニアの転職を実現させるため、あなたのキャリアを分析し」てくれる「企業様が必要とされる優秀な即戦力の人材をご紹介」してくれる「エンジニアスカウト会社のディファクトスタンダードを自負して」いるテクノブレーン株式会社様が運営なさっている「ITエンジニアのためのコミュニティ」だけのことはありましてよ？
よろしかったら、皆様も是非このSNSにご参加なさってみては如何かしら？ きっと何かしら学べることも多いと思うわ？*5 *6
三片目のくず肉は…こんな素晴らしいお話を頂戴いたしましたの。
まず、ココログ ( http://www.cocolog-nifty.com/ ) てぇものがございますの。それはこんな風なものですわ。
http://www.cocolog-nifty.com/about/index.htm より
無料で楽しめる「ココログ」は
「安心・簡単・魅力的」な
ブログサービス！！
まぁなんとも陳腐でひねりの欠片もない、心笑われる素敵な売り文句ですわ？
運営会社さまは、かの有名なるNiftyさま ( http://www.nifty.com/ ) よ？
このウリ文句と運営会社さまの事を考えるだけで…なにか心が躍るようだわ。ところが、これに関して、ちょっと気になるお話が出ているらしいの。
ネタ元は水無月ばけら様の「水無月ばけらのえび日記 ( http://bakera.jp/hatomaru.aspx/ebi ) 」からですわ？
http://bakera.jp/hatomaru.aspx/ebi/topic/2148 より
「[connect24h:8297] Re: 銀行のサーバが攻撃されていました。 (www.st.ryukoku.ac.jp) ( http://www.st.ryukoku.ac.jp/%7Ekjm/security/ml-archive/connect24h/2005.01/msg00112.html )」を読んで知ったのですが、ココログをビジネスで使用している企業というのがあるそうですね。
ココログに関しては、所詮個人の趣味の blog だろうし、セキュリティに関しては多少のことは気にしなくて良いだろうという判断をしていました。しかしビジネスユースがあるとなると……。
※2005-02-23 追記: ココログの脆弱性として 2件ほど届け出ましたが、1件は修正、1件は脆弱性ではないとして取扱い終了となりました。ココログの SSI インジェクション ( http://bakera.jp/hatomaru.aspx/ebi/topic/2181 ) 参照。
…あらあらなにやら香ばしくもきな臭い香りがしてきますわ？ 大体「SSIインジェクション可能」ってどういうことかしら？
http://bakera.jp/hatomaru.aspx/ebi/topic/2181 より
ココログは SSI インジェクション可能
ココログにはビジネスユースもあるということで 2件の脆弱性を届け出ていたのですが、2件とも取扱い終了となりました。
そのうちの 1件は SSI インジェクションの事例なのですが、ウェブサイト運営者はこれを脆弱性ではないと主張したようで、修正されないまま取扱い終了となっています。exec cmd は使えないようですので、大きな問題は無いといえば無いのかもしれませんが……ちょっとひっかかる感じがしますね。
まあ、ウェブサイト運営者が脆弱性でないと言うからにはテストしても問題ないでしょうし、情報を公開しても問題ないでしょう。近いうちに、どのようにしてココログに SSI がインジェクションできるのか、それで何ができるのかをまとめて書こうかなと思っています。
※なお、もう 1件の方は確かに修正されていることを確認しました。今のところニフティからのアナウンスはないみたいですが……まあ、一生アナウンスされない可能性が高いですね。
※2005-03-12 追記: 「近いうちに」と書きましたが、しばらく情報の公開を見送ります。先送りの理由は述べられませんが、お察しください。
※2005-04-07 追記: ココログには任意のファイルが置けるようになりました。SSI を含む HTML をそのまんま置けますので、もはや技も何も必要なくなっています。
メインの本文もさることながら…追記が豪勢ですわね。特に4/7の追記に関しては何をかいわんや、といったところかしら？
それに関しては、その日のブログで詳しくお書きになられてますわ？
http://bakera.jp/hatomaru.aspx/ebi/topic/2247 より
ココログに任意ファイルを置けるように
ココログが大幅にバージョンアップしたようですね。詳細は「ココログバージョンアップ(2005/4/7)での主要変更箇所について (help.cocolog-nifty.com) 」で公開されていますが、正直凄いです。何が凄いって、任意のファイルが置けるようになったということです。
昔 (というほど昔でもありませんが) ココログに SSI をインジェクションする技というのがありましたが、こうなるともう技も何も必要ありません。SSI の記述を含む HTML ファイルを置けば、それだけで見事に動作します。#exec cmd は使えないようですので直接的な脅威は無いと思いますが、#include file や #echo var などは使えますので、いろいろ面白いことはできそうです。ただ、負荷の高い SSI を使いすぎるとココログのサーバがピンチかもしれませんが……。
素敵ですわねぇ。そういえば昔もNiftyの一角って黒々とした闇が広がっていた…なんて闇歴史、あたくしはとんと存じ上げませんわ？ ええ本当よ？
まぁ、水無月ばけら様のところでほかにも色々と、黒々とした闇々とした鬱々とした事が色々かかれておりますの。
さて…本日のステーキメニューには全てに共通点があるのがお分かりになるかしら？
そうねぇ…ヒントとして、もう一つ二つ、こちらのURLを参考として載せてみるわ？
サイボウズが再び「闇改修」をしたので電話で抗議したが無駄骨だった ( http://takagi-hiromitsu.jp/diary/20060830.html#p01 )
サイボウズ「闇改修」の件のその後 ( http://takagi-hiromitsu.jp/diary/20060901.html#p01 )
人間はある程度ミスをしてしまう生き物ですの。だからこそ「ミスをした時点でNG」ってのは、よっぽど厳しい競争じゃないかぎり、まずありえないわ？*7
だからこそ、セキュリティホールとかそれに類するものを見つけたときに「どんな風に対応するか」ってのが、とても重要になるものなの。
実際、あたしが指摘して「速やかに直した」会社さんも数多くあるわ？ あたくしは、そんな会社さんに一定の敬意を払うことはあっても、侮蔑的な感情を持つことなんてのはありえないことなの。
でも、今日ご紹介した方々はいったいどんな対応をなさっているのかしら？
あたくしは「口先だけの安全」とか「幻想の上に成り立つセキュリティ」とかにはとんと興味がございませんの。そんなもの「ルーシーが空の中でダイヤモンドと一緒に」戯れていればいいことですわ？
どこぞのニュースで言ってたわねぇ「フォルクスのようなまねはせず、ちゃんと明示した上で売って欲しい。それなりの品質は確保しているつもりなのだから」って。お肉をあつかってらっしゃる社長様が。
あなたはそのあたりのけじめがちゃんとつけられる、素敵な殿方になるのかしら？
それとも欲と虚飾と堕落にまみれた見るに耐えない下衆に成り下がるのかしら？
*1:あんた最近PHP多いみたいですしねぇ。…ほんっとＭよねぇ、あんた。
*2:どの業界で「どんな視点から」Topなのか銘記されてないあたりが最高よね？
*3:これだと「ヘッダインジェクションの話で濁そうとしてたのかしら？ それともそれ以外考え付かないほどに無能に過ぎるのかしら？」っていうコンボが発生するのよねぇ。
*4:…それにしてもあんたも地雷踏むの好きよねぇ。
*5:反面教師って大切よねぇ
*6:そういえば。コミュニティの一つで「教える人のためのコミュニティ」ってのがあったらしくて。知り合いが「教えること"も"やってるから入りたい」って要請したら「教えていること"を"仕事にしてからきてください」って突っぱねられたらしいのよねぇ。色々と、教師って呼ばれてる連中の発想とかなんとかってのが垣間見えて面白い小ネタだったわ。
*7:あたしの獲得競争なら無論「ミスは厳禁」よ？ それくらいは当然よね？
百回叫んでも石は石なのよ？
http://internet.watch.impress.co.jp/cda/news/2006/09/04/13188.html
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html
素敵な著作権侵害ソフトウェアの裁判に関するお話よ？
まずはこちらから、よ。
http://internet.watch.impress.co.jp/cda/news/2006/09/04/13188.html より
ファイル交換ソフト「Winny」を開発し、著作権法違反幇助の罪に問われた金子勇氏の公判が4日、京都地方裁判所で行なわれた。弁護側は最終弁論で「Winnyは新しい技術の開発を目的としたもので、著作権法違反を蔓延させる目的で開発したとする検察側の主張は誤り」と改めて無罪を訴え、結審した。
まぁ素敵。相変わらず「頑張って」弁護してらっしゃるのね？
http://internet.watch.impress.co.jp/cda/news/2006/09/04/13188.html より
弁護側は、「金子氏が今回の事件で行なったことは、新しいファイル共有ソフトを開発したことだけ」であるとして、「優れた技術を生み出した者が、技術を悪用した者の幇助とされなければならないのか」と起訴されたこと自体が問題であると主張。「金子氏が著作権法違反を蔓延させる目的でWinnyを開発した」とする検察側の主張は、技術的な無知や誤解に基づくもので事実と異なるとして、無罪を訴えた。
事実、ねぇ。47氏*1が2chでどんな発言をしたかを踏まえてのお話なのかしら？
http://internet.watch.impress.co.jp/cda/news/2006/09/04/13188.html より
金子氏は最終意見陳述で「科学技術は素晴らしいものであるという信念に基づき、プログラムを作り、公開してきた。Winnyによる情報漏洩が問題になっているが、これは技術的に解決が可能。こうした問題を解消するバージョンのWinnyも作ってみたが、現状ではそれを公開することもできず、残念でならない」などと述べた。
これもまぁ…大抵ガキな発言がならんだわよねぇ。「科学技術は素晴らしいものであるという信念」って発言で学者バカっぷりを存分に発揮しつつ「Winnyによる情報漏洩が問題になっているが、これは技術的に解決が可能」で話をそらすって小技でスパイスをふりかけて「現状ではそれを公開することもできず」で責任転換の一本背負いって感じかしら？
まぁ大概だわねぇ。
とりあえず、もうちょっと詳細な記事で細かく突っ込んでみるわ。よろしくってかしら？
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
「警察に協力的すぎたのが問題だった」Winny裁判の結審で金子氏がコメント
ソフトウェア技術者連盟が裁判報告会を開催
…素敵だわぁ。ここまで問題を履き違えることが出来るってのも、これはこれである種才能なのかしら？
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
主任弁護人の秋田真志弁護士は、2003年11月27日に正犯とされる2人の逮捕と同時に、金子氏の自宅に京都府警の捜査員が訪れたことから今回の事件が始まったとして、金子氏が逮捕されるに至った経緯を紹介。「著作権侵害を蔓延させる目的でWinnyを開発した」とする検察側の主張は創作であると訴えた
あらあらまぁまぁあらまぁまぁ。そうねぇ…あたくしが以前書いた「どんな立場と利益を守りたいのかしら？ ( http://d.hatena.ne.jp/Lucrezia/20060721#p1 ) 」の引用を、もう一度読んでみては如何かしら？
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
こうした経緯から、裁判については「Winnyがどういうものであったかが裁判の中で争われてきたが、一番の争点は、著作権侵害目的でWinnyが開発されたのかということ。検察側は、Winnyは著作権侵害を蔓延させるために開発したと主張するが、そんなことを考えて作るはずがない」として、著作権侵害が目的であるというのは検察側の作文であると訴えた。
素敵だわぁ常套句ね「はずがない」。これほどまでに醜くも愚かでしかも脆い発言ってそうはなくってよ？
せめてこれがガラス細工なら、その月光にも似た繊細さや蜻蛉のごとき儚さに感動を覚えてもよろしいんですけれども。
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
金子氏も今回の事件については同様に「当初、警察に協力的すぎたのが問題だったと思う」と感想を述べた。金子氏は「警察は正しいと思っていたので、警察がそこまで言うならまあいいだろうといった気持ちで応じていた。弁護団の方々に会い、これはプログラマー全体に対する幇助の問題にもなってしまうので、安易に警察の言い分に従うのは誤りだと思った」と説明。警察や検察は信用できず、何を言っても悪いようにしか取られないので、途中からは黙秘したと語った。
…なんかイヤな裏を連想してしまったわ？ 具体的には「弁護団の方々に会い、これはプログラマー全体に対する幇助の問題にもなってしまうので、安易に警察の言い分に従うのは誤りだと思った」ってあたり。さらに絞るんなら「プログラマー全体に対する幇助の問題」あたりね。
Lucrezia様 僕たちの新しい即興劇をどうかご覧ください
あら道化たち久しぶりね？ いいわ、やってごらんなさい？
道化１：王様だけが食べ物を食べられるなんておかしいや。僕も食べたいから…そうだ。倉庫にこっそり入れる鍵をつくっちゃえ〜。ほらみんな。これで倉庫をあけて食べ物を食べようよ。王様のつくったルールがおかしいんだから、破っちゃえばいいんだ〜
道化２：こら。ここは王様が入るなっていっている倉庫なんだ。お前を捕まえてやる〜
道化１：ひぃ…つかまっちゃったぁ。でも…やっぱり王様のつくったルールがおかしかったんだもん。だから、倉庫に入れる鍵を作ってみんなにくばったんだよ？ 僕は悪いことなんかしてないよ？ …でも…やっぱり駄目だったのかなぁ？
道化３：私は魔法使い。お前を助けてあげましょう
道化１：え〜…でも、僕、悪いことしちゃったし…
道化３：なにをいう。お前を助けてお前から報酬をもらいたいからあたしはあんたを助けるんだよ？ いいかい？ お前がいま捕まったら。国中の鍵職人がみ〜んな「ルールを破るかもしれない」といって王様に捕まってしまうんだよ？ そうしたら、沢山の職人達が迷惑を被ってしまうんだよ？ お前はそれでも鍵職人の端くれなのかい？ お前は鍵職人を代表して戦わなきゃいけないんだよ！！
道化１：そうか…わかった！！。僕は戦うよ！！ …でも…どうすればいいの？
道化３：なぁに簡単さね。みんなに配った鍵は鍵の研究で作っただけで、倉庫をあけるつもりなんてこれっぽっちもなかった、って言えばいいだけなんだよ？ あとは余計なことを言わずに口をつぐんでいればいいのさ。
道化１：わかった。僕がんばるよ！！
−舞台転換 ざわつく広場−
道化１：王様王様。僕はただ、鍵の研究がしたくていろいろな鍵を作ってただけなんです。「倉庫にこっそり入れる鍵をつくっちゃえ〜」なんて、言ったけど絶対に言ってません！！
道化２：なんだとこいつ。言ったけど言ってないんなら言ったんじゃないか！！
道化１：違うもん。言ったけど言ってないから言ってないんだもん！！
ほーっほっほ。泥仕合な掛け合いがいい感じだわねぇ…って、あたしったら何を話ししていたのかしら？
ま、忘れるくらいだから大切な内容じゃなかったのね、きっと。
次いってみるわよ？
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
裁判については、「優秀な弁護団の方々にお会いできたことは良かった。最終弁論の内容も非常に正確なものだった」として、技術的な面からの主張については弁護側弁論の通りであるとした。
あらあら。「技術的な面からの主張については弁護側弁論の通り」だったのね。で、それ以外はどうだったのかしら？
http://internet.watch.impress.co.jp/cda/news/2006/09/05/13199.html より
弁護側弁論では、Winnyは暗号化機能やキャッシュ機能などを実装することで匿名性を高くし、送信者の特定を困難にすることで利用者に安心感を与え、著作権侵害を積極的に拡大させたとする検察側の主張に対し、そうした機能はファイル転送の効率を高めるためのものであると主張。
まぁ。暗号化機能などの匿名性を高める機能がどういう風な曲解を重ねれば「ァイル転送の効率を高めるためのもの」になるのかしら？
なんていうのかしら…いい加減見慣れたというか見飽きた泥仕合だわねぇ。弁護団ったらどこまで無理な弁護を重ねていくのかしら？
よく「ウソも貫き通せば真実」とは言うんですけれども。一方で「過ぎた過去は石」だわ？ そこに変更はきかないのよ？
それとも、どこぞのゲームのように「セーブポイントからやり直し」とか思っているのかしら？
よかったら、やり直しさせて差し上げてもよろしくってよ？ １から、どころではなくて、０から、ですけれども。
*1:あえてこう書かせていただくわ？
基準とか立脚点とかってのはどこにあるのかしら？
http://watanabe-junichi.net/archives/2005/11/post_8.html
とっても素敵なBlogを、今更ながら拝見いたしましたの。
もしかすると、いつか削除されてしまうっていう可能性もけっして０ではないと思うの。だから、ちょっと長めに引用をしてみるわ？
http://watanabe-junichi.net/archives/2005/11/post_8.html より
堅すぎる車掌さん
あらあら。タイトルからしてちょっとドキドキだわねぇ。一体なにがどんな風に「堅すぎる」のかしら？*1
http://watanabe-junichi.net/archives/2005/11/post_8.html より
先日、北九州市に講演に行った帰り。一旦、小倉から福岡に戻り、そこから飛行機で東京に帰るつもりで新幹線に乗ったのだけど。
そうねぇ…ここだけで「どんな風に堅すぎるのか」想像するのは…ちょっと難しいわよね？
http://watanabe-junichi.net/archives/2005/11/post_8.html より
自由席の切符で乗っていたら、たまたま車掌さんが来て、「ここは指定席だから、自由席に移ってください」とのこと。
なんていうのかしら………360度どの角度から考えても「真っ当で常識的で普通でまっすぐな」内容よねぇ？
しいて言えば…「とにかく座ってたんだから金払え」とか…そのあたりに落ちるのかしら？
って思ってたら…予想をはるかに超える、素敵な方向に話は進んでいくの。
http://watanabe-junichi.net/archives/2005/11/post_8.html より
「でも、わずか十数分のあいだだから、それくらい見逃してくれてもいいじゃないか」といったけど、「駄目だ」とのこと。
まぁ素敵。そうよねぇ、車掌さんも、これくらいのこと、目をつむってもよろしいんじゃなくってかしら？
もちろん「大抵の人はその僅かな時間のためにちゃんと対価を払っている」わ？
あらゆるものは基本的に「それに見合う対価」ってのがちゃんと存在するものですし、それに対して踏み倒すとかそんなお下品な行動、行うどころか発想すらしないものだとは思いますの。
でも、思いついちゃったんですもの、きっと。だとしたら、やっぱり「見逃してくれよぉ」って懇願してみるのもまた一つなんじゃなくってかしら？
http://watanabe-junichi.net/archives/2005/11/post_8.html より
「それじゃあ」と立上ったら、隣りはグリーン席。そちらのほうがはるかに楽、と思って乗っていたら、先程の車掌がまた来て、「ここはグリーン車」ですと。
そうよねぇ。指定席がNGだとは聞いたんですけれども、グリーン車がNGとはいわれていないんですもの。
しかも、ちゃんと一度は相手の、ごく真っ当ではあるものの杓子定規な発言にも従って差し上げたのよ？ この次はこの愚かで無知蒙昧で度し難い老人の妄言に首を縦に振って差し上げるくらいの度量があってもよろしいんじゃなくってかしら？*2
でも、この御大はとても素敵ですの。Blogでは、わざわざ太字で大きく、ご自分の意見をはっきりとおっしゃってるんですもの。
http://watanabe-junichi.net/archives/2005/11/post_8.html より
そんなことはわかっているけど、
ええそうよ。車掌さんのお話が、どんな角度から鑑みても至極真っ当でなんの反論の余地すらもないものであることくらい、スライムにもスケルトンにも劣るこの老人の脳みそでも理解くらいはできるはずよ？
http://watanabe-junichi.net/archives/2005/11/post_8.html より
いまさら自由席に行くのは面倒くさい。
それに広い車輌に乗っているのは二人だけで、あとはガラ空き。
あらあら。そんな状態ならなおさら、お目こぼしの一つくらいは欲しいって思うのが餓鬼界*3の住人の基本的な発想よね？
だのに、そんな哀れな老人に、実直な車掌はこんなひどい発言を投げかけているの。
http://watanabe-junichi.net/archives/2005/11/post_8.html より
「もう直ぐ着くから、ここにいても、いいじゃないか」といっても、「駄目だ」の一点張り。
ちょっと酷過ぎるんじゃなくってかしら？
そんなまっすぐな一言を言ってしまうから、
http://watanabe-junichi.net/archives/2005/11/post_8.html より
そこで、「君きみ、これくらいは大目に見るものだよ、本当に融通がきかないね」と説教して立上り、デッキに出たら、途端に福岡に到着。
なんていう風に、お説教をされてしまうのよ？
http://watanabe-junichi.net/archives/2005/11/post_8.html より
この車掌さん、職務に忠実といったらそのとおりだが、過ぎたるはおよばざるがごとし。もう少し時と場所を考えて、自在にやって欲しいものですね。
ＪＲ西日本さん。
本当に、まさにその通りよ？
もちろん「盗人猛々しいとしか言い様がない」とか「そんな言い分が通ったら真っ当にお金を払った客の立場がないじゃん」とか「無理を通して道理を引っ込めた上に説教ってどうなん？」とか「最後の一文を引っ掛けたいんだろうけど文章構成下手すぎ本当にあんた小説書いてるの？」とか「自分の都合しか考えてないじゃん相手のこと考えたことある？」とか「好意ってものを勘違いしまくってないか？」とか、反論の声がわずかばかり聞こえないでもないわ？
でも、もうちょっと冷静に考えてみて欲しいの。
こんな妄言をおっしゃったのは、かの偉大なる渡辺様よ？ なんでも、プロフィールに拠れば札幌医科大学を卒業なさった医学博士*4で、医療の傍らで執筆なさった小説で直木賞をとり、その後も様々な賞をおとりになった、素晴らしきエリート様よ？
しかもwiki ( http://ja.wikipedia.org/wiki/%E6%B8%A1%E8%BE%BA%E6%B7%B3%E4%B8%80 ) によれば
http://ja.wikipedia.org/wiki/%E6%B8%A1%E8%BE%BA%E6%B7%B3%E4%B8%80 より
最近になって公式ブログを開設し、インターネットという新しいメディアと倫理道徳にも挑戦している。
倫理道徳にまで挑戦*5なさっているような素晴らしい先生なのよ？
そんな先生の玉言を、しっかりと真摯に考えてみるくらいの余裕ってものがあるのがいい男でありいい女なんじゃなくってかしら？
ところが。どうもこの日の文章が、あまりネットでよろしくない評判になってしまったらしいの。あまつさえ、この妄言先生に対して「反論を試みる」とか「批判を試みる」といった、心無い連中まで出てきてしまったらしいの。
その形跡の一つが、ここにあるわ？
http://watanabe-junichi.net/archives/2005/12/01/index.html より
インフォメーション渡辺淳一オフィシャルBlog 運営事務局
（運営会社：株式会社イー・スピリット 著名人.com事業部 文責）トラックバックの受付をオープンにしておりましたが、不特定のコメントが掲載可能なサイトへのトラックバック等が急増し、結果として、誹謗中傷に類するコメント等が、発信者が不特定な状態でリンクされるようになりましたので、コンテンツ運営会社として、残念ながら、トラックバックの受付を一時中止、および、現在までのトラックバックの削除の決定をいたしましたのでご案内いたします。
現在までトラックバックに関しては、一括しての削除をいたしました。貴重なご意見をトラックバックしていただいた方に対しても、同一の対応をしたことに関しまして、運営会社より深くお詫び申し上げます。
気になるのが「誹謗中傷に類するコメント等」ってところだわ？ きっと、根も葉も根拠もない発言が沢山あったのね？*6
そうしてそのためなのか。とても残念なことに、この珠玉の玉稿が、Blog上から削除されてしまったの。…見せ掛けだけは。
ためしに、例えば http://watanabe-junichi.net/ のTop Pageからカレンダーでもめくってチェックしてみて頂戴？ きっと、今回の玉稿は見つからないはずよ？
ちなみに、お書きになられているのは2005年の11月なの。でも、 http://watanabe-junichi.net/archives/2005/11/index.html でチェックしても、やっぱり見つからないの。
ただ…きっと運営会社の方々はこの玉稿の本当の価値ってものをわかっていたのね？ こっそりと、この玉稿が見れるルートを残しておいて下さっていたの。
ほかのルートではリンクの存在しない、2005年11月22日に相当するURL ( http://watanabe-junichi.net/archives/2005/11/22/index.html ) を打ち込んでみて頂戴？
ほら？ 玉稿が、見れなくってかしら？
素敵だわぁ。こんなギミックを残してくれているだなんて。あんまりにも感動的で…言葉につまっちゃうわ？
技術ってのは「最低限必要」なものなの。それは「最低限あればいい」という意味ではなくて「必要十分なだけの技術があることが最低条件」っていう意味合いにおいて、必要なものなの。
そうして、とっても残念なことに。愚者にとって「必要十分な最低ライン」っていうのは、あまりにもハードルが高くて見えないものなの。先日の素敵な暗号化を見てもそれは一目瞭然よね？
当人達がいくら「穴はふさいだ」って騒いでも。もしその技術が「最低ライン」を下回ってしまえば。見る人間からみたら「相変わらず穴だらけ」な状態でしかないの。
ここでプライドだのナンだのを持ち出しても仕方がないわ？ 必要なのは、冷徹なまでに現実を見据えることが出来る能力と、必要なスキルを持っている人間に必要な依頼をするだけに足るリソースだわ？
真実と本質に対する愚者は、大抵化粧と芝居にだけは長けていて、だもんだから結構な方々が「つい」勘違いをしてしまうの。そうして、そんな「存在しているだけで罪悪」な愚者の妄言を、その声が大きいってだけで、つい耳を傾けてしまうわ？
でも、そんなに大声で叫んでるばかりだと、喉が荒れてしまってよ？ よろしかったら、あたくし特製のスィーツは如何かしら？ 特製の粉砂糖たっぷりの甘味が、きっとその全てをないものにしてくれてよ？
*1:「ナニがそんな風に」とかってお下品なことを考えてはいけなくってよ？
*2:こういう「比較にならないはずの交換条件」って、３桁の数字で表現されるような法律で指定されたカテゴリの方々がやる常套手段の一つなのよねぇ
*3:貪欲の強すぎる方の主なお住まいですわ。「人の親切を貪り、もっと何とかしてくれそうなものだと考え、誰に対しても満足を感じることができない」ってのが基本的なラインかしら？
*4:そういえば「医学バカセ」って言葉もあったわねぇ
*5:まさに「挑戦」よねぇ。しかも「どうあがいても素養がなくってだから贔屓目に見てなお勝ち目がまったくないのに戦いを挑んでるあたりが涙を誘う」っていう素敵なエンターテイメント性を孕んでいるわ？
*6:「根も葉も根拠もない発言？ それは本人の発言だろ？」って突っ込みはとりあえずなしって事にしておいて頂戴？
■
相変わらずの荒っぽい日差しの中にも、ひっそりと漂う秋の気配。
まるで薄氷の上を歩くかのごとくひっそりとそれは近づいてくるの。
お召し上がりいただける粉砂糖ならあるんですけれども
先日、 http://d.hatena.ne.jp/Lucrezia/20060803#p1 でお話申し上げました、セブンアンドワイ株式会社さんの運営なさってらっしゃる セブンアンドワイ ( http://www.7andy.jp/ ) 。
その後、素晴らしいご対応とMailをそれぞれ頂戴いたしましたの。
これは是非、皆様にもお見せしたいわ、って思って、いま筆をとっておりますの*1。
まずはMailからご覧になって頂戴。
セブンアンドワイ様 Mail より
subject:【７＆Ｙ】対処のご報告と御礼セブンアンドワイです。
このたびは、当サイトの問題について、ご指摘をいただきまして、厚く御礼
申し上げます。プログラムの修正を実施いたしまして、 ご指摘いただいた
内容の対処を完了しましたことをご報告申し上げます。
早くにご連絡をいただいておりながら、対応に時間がかかりましたことを、
心よりお詫び申し上げます。
これを機に、よりいっそうお客さまの声をいかしていけるよう努力してまい
ります。
---------------------------------------------------------------------
セブンアンドワイ株式会社
http://www.7andy.jp/
素敵だわぁ。きちんとした丁寧なMailじゃなくってかしら？
これなら、サイトの修正のほうもきっと期待できてよ？
まずはパスワード変更画面。
・・・・・・・・・・
・・・・・・・
・・・・
素敵だわぁ。ちゃんと、hiddenにはなにも入らないように修正されていてよ？ 素晴らしいわ。お見事だわ。一ヶ月以上も修正にかけただけのことはあってよ？
ええもちろん。「パスワード変更は、最低でも"新パスワード２回入力＋旧パスワード入力"は必須っていうかそれやらないとCSRFの餌食だし」とかってお話が、まったく解消されていない事実を、ほんの少しだけ憂慮しないわけではなくってよ？
でも、そんな「最上級技術者でも困難な」修正をいきなりやれって言っても、それは少々、酷ってものじゃなくってかしら？ そういった変更は、最低でも年単位でプロジェクトを組まなくてはいけなくってよ？*2
それ以外の部分もいい感じだわ？
もちろん、ちょっとした些細な部分ってのはあるの。例えば、
＜td bgcolor="#F7E9D9" colspan="2" align="right" width="20%"＞＜small＞メールアドレス：＜/small＞＜img src='/esb2004/images/clear.gif' hspace='0' border='0' width='10' height="3"＞＜/td＞
＜td bgcolor="ffffff"＞＜small＞ ****@domain.com＜/small＞＜/td＞
＜input type="hidden" name="email" value="****@domain.com"＞
とか
＜td nowrap colspan="2" width="20%" bgcolor="#F7E9D9" align="right"＞＜small＞ ユーザーID：＜/small＞＜img src='/esb2004/images/clear.gif' hspace='0' border='0' width='10' height="3"＞
＜/td＞
＜td nowrap bgcolor="ffffff"＞＜small＞ dumy_lucrezia_id＜/small＞＜/td＞
＜input type="hidden" name="user_id" value="dumy_lucrezia_id"＞
っていう、使ってるんだかよくわからないhiddenがあるわ？
でも、そんな些細なことを気にしてはいけないわ？
ええもちろん、相変わらずhidden.item.keyも存在…してるんですけれども。まぁ素敵。前のように「16進数そのまま使ってる」感じではなくってよ？
素晴らしいわぁ。ちゃんと修正できてるじゃない？
お嬢様こちらを
あら？ この手紙は何かしら？ なになに………
「
依頼のあった文字列の初期解析の結果を送ります。
文字列は[5] [8] [9] [X] [G] [2] [3] [o] [6] [A] [4] [i] [1] [k] [W] [m]
の16文字が用いられており、児戯よりも惨い暗号化もどきが行われております。
以前と同様に中身はタダの「バイナリを数字列化した」だけであり、したがって
中身の解析及び改ざんは非常に容易。中の文字列を意図的に変更した場合、その
(以下破損して解読できず)
」
…はい、かしこまりました。科学的分析を含め、一切の痕跡が残らぬように「完全消毒」いたします。………はい、報酬はすでにお渡ししてございます。
そうねぇ…。
たとえ「hiddenのvalue部分だけで8044バイトもあるような内容が書かれていた」としても、ましてやそれが以下略*3だったとしても。
一生懸命に努力なさった痕跡が見えるんですもの。それをむげに否定してはいけないと、あたしは思うの。
努力っていうのは、とても素晴らしいことだと思うの。それが「愚者の愚考」だとしても。
ならばあたしとしては…せめても、その労を心からねぎらって差し上げたいわ？
ぜひ、これをご覧の皆様も、生暖かい目で優しく見送って*4差し上げていただきたいと思いますの。
だって。死刑囚だって、最後は好きなものを食べられるんですもの。最後くらいは。
