ユーザログイン |
ログインしなくても見える画像---OpenPNEの場合某所でOpenPNEの採用も検討しているので，OpenPNEもmixiと同じ問題があることについて，開発者の手嶋屋さんにお聞きしてみた。これに対していただいたご返事では，URLが推測しにくいので脆弱性とは考えないということであった。それはそれで筋が通っている。画像を見る権限のある者ならURLはわかるので，それを外部に漏らすことはできるが，たとえ外部から見えないようにしたところで，画像を見る権限のある者なら画像そのものをコピーして外部で公開することもできる。違いは，URLを公開するのと画像そのものを外部サーバにコピーして公開するのとでは法的な意味合いが違ってくることであろうか（このあたりはよく理解できていない）。 他のシステムはどうであろうか。Orkutもmixiと同様であった。
|
検索最近のコメント
記事配信 |
確率が低いので
・URLが推測しにくいので脆弱性とは考えない
または
・技術的に難しいのでやらない
という言葉で、アメリカのハリケーン被害を思い出しました。
・予算がないので堤防を補修はしない。
・災害の確率は低いから（弱ってても）今工事しなくても後で大丈夫。
その結果がカトリナでした。
Re: 確率が低いので
仮にURLの推測の難しさで可否を判断するとすれば，URLがどれくらい推測しにくければOKになるでしょうか。例えばランダムな英数字等を8文字増やせば，「良い」パスワード相当の安全性（何百兆分の一）が得られます。8文字パスワードが駄目なら16文字では？
違い
URLを公開→著作権法に触れる心配はない。
コピペして公開→著作者の許諾が必要。
じゃないですか。奥村先生のが詳しいと思うけど。
Re: 違い
秘密のURLを公開することも何らかの罪にならないかというあたりがわからなかったのですが，どうなんでしょうか
確かに…
ああなるほど、URLが秘密なんですね。それは著作権法なのかなあ。
情報には窃盗はまだないんですよね。だから罪に当たらないような気がする…
Re: 違い
> 秘密のURLを公開することも何らかの罪にならないか
法的な根拠ではないですが、Tim Berners-Lee は、それが犯罪になる（あるいは公開した人に非がある）のは、そのURLについて守秘義務を含む何らかの契約を結んでいる場合だけだ、としています。もはや古典ですが↓
http://www.w3.org/DesignIssues/LinkMyths.html
ふつうそのような契約をWeb閲覧中にすることはないですし、そのような安全確保のしかたはよくないと述べられています。
Re: 違い
例えば http://img-p2.mixi.jp/photo/member/12/61/21261_904822606.jpg について，ユーザIDの後のランダムな数字904822606がパスワードだという曲解もできないかとも一瞬考えましたが，共有パスワードは不正アクセス禁止法でいう識別符号に当たらないので，漏らしても問題ない，という理解でいいんでしょうね
パスワードではなくhashなら？
そこで言うパスワードがユーザIDから導き出されるHASH値と言うのあれば、それは１人別の情報になるのですから識別符号となるのではないでしょうか？
私なら、
http://img-p2.mixi.jp/photo/member/{$hash_key}/{$file_name}.jpg
とかにするかな？
そしたら、少なくとも漏らした奴は誰か判る。
しかもそのkeyに制限時間があれば、更に安全性は高まる。
実現できないのではなく、手を尽くそうとしないのが問題なんだと思う。
OpenPNEが言うことが真
OpenPNEが言うことが真実なら、
画像のURLにそのユーザのパスワードを書いておけばよいのです。
URL晒しは不正アクセス禁止法第4条違反でしょっ引けるでしょう。
URLが秘密だから大丈夫というなら
OpenPNEが言うことが真実なら、
画像のURLにそのユーザのパスワードを書いておけばよいのです。
URL晒しは不正アクセス禁止法第4条でしょっ引けるでしょう。
スパイウェアは？
閲覧者に悪意が無くても、スパイウェアやGreasemonkeyスクリプトで画像のURLが外部に漏れる可能性は無いでしょうか？