yasuokaの日記： Orarioに対する営業妨害と非識別加工情報 13
私(安岡孝一)の昨日の日記は、Orarioに対する営業妨害だ、との御意見をいただいた。まあ、そうだろう。来月30日以降Orarioが、学生の所属大学、所属学部・学科、性別、卒業年度、登録時間割の匿名加工情報を、第三者に販売営業するつもりなら、私の昨日の日記はOrarioに対する営業妨害だ。Orarioのプライバシーポリシーにおいて、「(4)統計データの作成および当該データの第三者への提供」の具体的利用態様がどうなっているか見てみよう。
当社は、左に記載の情報を以下の目的のために利用します。
・左記情報を利用者が識別できないように加工した上で、利用者の利用形態等の統計データを作成するため。
当社から右記情報に関する統計データの提供を受けた第三者は、当該情報を以下の目的のために利用します。
・当社または第三者の商品またはサービスの広告の開発または提供のため
・マーケティング調査、統計、分析のため
現時点では「統計データ」となっているが、これを「匿名加工情報」と改正するだけで済むように、はやくも「利用者が識別できないように加工した上で」という文言が埋め込まれている。しかも「左記情報」と「右記情報」を混乱して書いておくことで、必ず改正せざるを得ない状況にしている。やる気マンマンということだ。
京都大学の学生なら、この登録時間割情報は、そもそもKULASISにあるべき情報だ。つまり、たとえ学生の個人情報をひっぺがしたとしても、来月30日以降、この登録時間割情報は本来的に、京都大学が管理すべき非識別加工情報という扱いになる。それを学生がOrarioに流出させていて、しかも「利用者が識別できないように加工」されてしまって、Orarioの匿名加工情報へとロンダリングされてしまうわけである。
つまるところOrarioは、京都大学のセキュリティーポリシーを学生に破らせ、不適法な形で、非識別加工情報を流出する片棒を担がせているわけだ。しかも、学生の一部は未成年なので、その流出の責めを負うのは京都大学ということになりかねない。ならば、京都大学の「関係者様」の一人として、私個人はOrarioの使用を禁止する。少なくとも私の講義に関しては禁止する。今後「Orarioガラミで取得した単位は取り消す場合がある」ので、受講生はそのつもりで。
え！？？？ (スコア:4, 興味深い)
プライバシーポリシー [orario.jp]
ユーザー名、パスワード、・・・クレジットカードぉ！？？？
現状、アプリは個別の大学毎に分かれてるわけで、所属大学なんてユーザーがわざわざ入力する必要ないじゃん？
って事はつまり、併記されてる情報は、ユーザーが主体的に提供しているんじゃなくて、スクレイピングで自動的に取得されると考えるべきなんだよね。
その上で、ユーザー名、パスワードはおろか、クレカ、顔写真、その他諸々、果ては連携した SNS の隅々まで、取得し得る全ての情報を Orario に吸い上げるからね。そこんとこ夜露死苦とおっしゃりたい？
住所やら家族構成やらがないのはせめてもの良心なの？
ここまで取る気満々なら、自分の感覚では言外に含んでると判断する他ないんだけど？
規約なんて誰も読まないと思ってるのか、後ろめたいことも包み隠さず「「「馬鹿」」」正直に書く姿勢にはとても好感が持てるけど、しれっと凄いこと言ってのけるよね。
時間割アプリの「Orario」の特性と安全性について [orario.jp]で示されてた以下の図は何だったんだか。本当に。
http://www.orario.jp/wp-content/uploads/2017/04/system.png [orario.jp]
そもそも Orario からユーザーへの一方通行の矢印って、これは一体何を意図してんだよ？
これ、ど太ぃ矢印で、ユーザーからOrario に向かって、ID,パスワードを含み、取得し得る情報の全てって書くべきじゃね？
捨て垢は、大学に業務妨害してる暇あったら、帰ってきてちゃんと説明して欲しいんだけど。
ねぇ、息してる？
uxi
Re:え！？？？ (スコア:4, すばらしい洞察)
これを見る限り、少なくともセキュリティ関連の講義に関しては、
Orario 利用者に単位を出さないという主張には極めて正当性を感じる。
むしろ、これを平気に思える感覚の人にセキュリティ関連の単位出しちゃ駄目だろって思う。
既取得単位についても剥奪ものじゃないかな？
安岡先生は「Orarioガラミで取得した単位は取り消す場合がある」 [srad.jp]とおっしゃるが、
自分なら「Orarioを使用した場合、セキュリティ関連の単位は取り消す場合がある」と言うかも。
uxi
プライバシーポリシー (スコア:3)
本来、こういうソフトウェアであれば、ソフトウェアごとに異なるプライバシーポリシーがあるべきなんですよね。だって、各大学のセキュリティポリシーは、それぞれ微妙に違ってたりするので、同じプライバシーポリシーでは対応しきれないはずなのです。
それは、この文書 [orario.jp]も同様で、本来は各ソフトウェアごとに、どういうことをやっているのか書くべきなんですよ。そこを適当に一まとめで書いてるのは、そもそもちゃんと説明する気がないんだろうと、私(安岡孝一)個人は理解してます。
筋が悪い (スコア:2)
スクレイピングに関してはサーバーサイドが利用規約で禁止するなり、想定しないアクセスだというなりすればサービスとしてやってる側は黙るしかないでしょう。
その点でまぁ例え営業妨害としても大学側はやめろという権利と自由があります。正当な権限を持つ立場ならですが。
ブラウジングと変わらないとしてもそれを決めるのは大学側の勝手。今はまず問題ないとしても今後禁止はできる。
想定しないアクセスとして厳しいが裁判を起こす事も出来なくはないかもしれない。
そこまではいいです。
ただ、あなたの行動は相変わらず軽いというかなんというか。
一つ、プライバシーポリシーを理由にやってるはずだ、というのは無理がある。
当たり前の事で、将来的に広く取っておくのは当然の事ですからね。
プライバシーポリシーによっては予告なし掲示だけで自由に変更可能、ってのもありますがここでは変更に重要なら同意を必要とする。なら多少余裕は取るでしょうよ。
そして本気ならもっともっと広くとります。そしていつでも変更可能にしますよ。
「法律に別段の定め」云々なんて契約書もありますが、法令やセキュリティポリシーと抵触する規定を設ける事もないわけでもない。
とにかく実名でかつそれなりの地位がある人が「Orarioに流出させて」と告発するならもっとしっかりとした証拠を出すべきでしょう。
apk解析や逆コンパイルはアウトだとしても、せめて端末上の通信解析とかですね。普通は暗号化してるでしょうけど。
二つ、同じことを前回の日記にも言える。sradの日記は一対一のメールじゃない。不特定多数への公開であり、それなりのアクセス数だってある。
そういう場で「そんな風なアクセスパターンには見えなかった」というのは不正アクセスの告発です。
当然アクセスした人が誰でも検証できる形、せめてどんなパターンなのか雰囲気だけでも伝えるべきです。
それに関して三つめ、個人に情報提供の為に一対一で会う事を強制するのは威圧・脅迫の類です。
そこら辺の人だとか、学生だとかが、大学の人間や社会的地位がある人間と一対一で会話するとなると普通は威圧されます。
それがなくとも、手間・コスト・時間がかかる、物理的脅迫の恐れがある、嫌な事を言われるかもしれない、顔を見られたくないと。普通はわざわざ会いたくないです。
会いたくないからって議論に負けた事にも、逃げた事にも、主張が正しくない事にもならない。むしろ会えという方が逃げてる側です。
とはいっても、機密情報なら適切な手段で受け渡しが必要で、実際に物理的接触が必要な事もあります。ただそういってる間は何一つ示されてはいない事は確かです。
四つ、スクレイピングってのはもともと大量の情報を棄てるものです。
サーバーが自前ではない事もあって、動けば良いという発想になりがちでもある。いい悪いは別として。
レスポンスの為でもなんでも多めの情報を取るのは普通で、アクセス解析で怪しいと分かる、というのは疑わしい。
まぁ情報が出てない以上なんとも言えませんし、その限りは現状では疑惑すら客観的に示されてないという段階ですが。
五つ、過去の判例から法律上は厳しいですが、少なくとも一般道徳として。
単位認定はあくまでその講義における学生の努力・到達度・学習態度によって判断するべきであり、それらと無関係の項目で判断されるべきではない。
例えば美人だから単位を出すのはダメで、サイコロを振った結果もダメで、毎日運動してるから偉いってのもダメで、趣味が合うというのもダメで、学生が使っているサービスが個人的に気にくわないから出さないってのもダメ。一般常識として。
広く解釈すれば学習態度と言えなくもないが、履修登録に便利なアプリがあって使った、サイト上で確認しても履修できてる、にもかかわらず単位を出さないというのは不正でしょう。
別に単位ってのは認定者の個人的裁量や財産ではなく、正当な判断を委任されているだけです。それを超えれば犯罪にならないとしても、ハラスメントでしょう。脅迫だけでもね。
もちろん、アプリ開発「大学には理解をお願いします」→関係者「ダメだ。気にくわない。」→学生に単位を与えない正当性がある、という発想は意味不明です。
他全体的に、ちょっとズルいです。
大学の黙認下でやらなければいけない関係上、開発側が強く出る事が出来ないのははっきりしている。だからってある事ない事書いていいわけじゃないですよ。
それから会って話ってのもそう。自分の地位なり立場なりを活かせる場に引っ張り込んで、あるいはそう強いて議論を切り上げるなんて。別にいいですけど勝った事にはなりませんし、みっともないです。
私としてはスクレイピングなんて擁護したくはありませんが、間違ってる事は間違ってる事ですからね。
それから前回文句を言った事もありますが、知識は評価してますし日記は基本面白いです。それでもですね。
Orarioに対する営業妨害 (スコア:4, 興味深い)
ならばOrarioは、ちゃんと学認 [gakunin.jp]を取ってから、アプリケーションをリリースすればよかったんじゃないですか。今回の話は、そもそもそこから間違ってるんだと思いますよ。
Re:Orarioに対する営業妨害 (スコア:1)
このアプリは不便で使いづらいサイト群を学生がとりあえず何とかしよう、ついでに収益化しようか、という発想でしょう。だったら認証取ってとか、書類を出してとか、スマートな設計にしよう、とはなりにくいんです。気持ちは分かります。
とは言ってもスクレイピングは筋が悪くて、不正アクセスも一つですが、サイトを変えられると大幅書き直しなり終わりなりになってしまうのも大きい。結局第三者のサーバー依存でなんの保証もできない。
開発側をあまり擁護したくない理由は、スクレイピングが嫌いというのもありますが、結局大学側の一存でいつでも潰せてしまう。議論しても虚しい。ってのもあるんですよね…。最近なら許容しているサイトはAPIを用意してますし。
Re:Orarioに対する営業妨害 (スコア:2)
いえ、違うと思います。その程度の発想にしては、Orarioのプライバシーポリシーはデキが良すぎるのです。どこかからコピーしてきたものでもないのに、他企業に匿名加工情報を売るという目的(2017年5月30日解禁)に関して、正直、よく書け過ぎています。そんなところが学認すら取れないのは、何かが変なのです。
Re:筋が悪い (スコア:4, 参考になる)
一律にスクレイピング禁止は厳しいなぁ。
まともなシステム作ってから言えってなる。
ユーザーの権利を著しく損なうので、それはなしの方向で。
そもそも、自動化禁止とか、情報教育の敗北だよ。
は、ウイルスやマルウェアの疑いがある場合もアウトなの？
ウイルス対策ソフトウェア作ってる会社はみんなやってるよね。
著作権は親告罪なので主張する奴がいないだけで歴とした著作権侵害？あーそうですか(棒読み)。
じゃ、アウトって言うなら、
Orario がソースコードを開示して身の潔白を示すか、
一律 Orario 禁止しかないですね。
前者は、絶対にありえないから、後者の一択ですけどそれで OK？
いや、アプリでやってるからギリギリセーフだけど、踏み台攻撃って考えると、完全に不正アクセスだよ。
学生にはアクセス許可しているけど、学生に委託された第三者に対して無制限にアクセス認めるとか、そんなセキュリティポポリシー有り得ないからね。体をなさない。
Orario はそこんとこ全然分かってないよ。
意味が分からない。
別にこちらからお願いしてないし、安岡先生ともなればメールでも電話でも連絡奪る手段はいくらでもあるだろ。
まぁ、ああいう書き方された時点で Orario 自身は自分のアクセスパターンは分かってるんだから、安岡先生の言う対策はいくらでも出来るわけで、あえて情報隠す必要もないんだけどね。
代弁するなら、面倒くさい。勘弁してくれってのが本音だと思う。
安岡先生くらいになれば、超多忙なはずなので、Orario だけじゃなくて野次馬にまで時間取られるなんて、うんざりだろう。
それ以前の問題として、あれは私設警察か中の人の嫌がらせにしか見えなかったけどね。
はいはい。迷惑行為迷惑行為。どっかの図書館に訴えられて起訴される事案だよね。
サーバーに過剰な負荷をかけるようなことを教唆するのは良くない。
単位については、別で書いてるけど、
今回の事例でセキュリティ関連の単位なら、問答無用で単位剥奪しても良いと思うよ。
自分は、スクレイピングは擁護するけど、
それを餌に、一企業が個人情報食い漁るのは擁護できない。
IDとパスワード平文で渡してて、さらに中身がブラックボックスとか最悪。
uxi
Re:筋が悪い (スコア:3)
一番大切な事を書き忘れた、
そもそも一番筋が悪いのは Orario だろ？
ソース読める形でスクレイピング提供してるなら
セキュリティ的には誰も文句言わんよ。
まぁ、逆に野良ソフト(ブラウザとかも含む)を
セキュリティ的な視点で見直してもらう良い機会かもしれんけど。
uxi
Re:筋が悪い (スコア:2)
これ岡崎中央図書館とMDIS（三菱系列）のlibrahack事件のことを指しているのなら、スクレイパー批判の根拠として引き合いに出すのは不適切ですよ。
表面上は起訴猶予ですけど、セキュリティ畑からは不起訴じゃないのがおかしいって批判されてた案件ですし。
Orarioは（安岡先生が疑っているであろう）学生の情報で収益を見込んでる黒いサービスだと推測するので、擁護はしないけど。
Masafumi Otsune [otsune.com]
Re:筋が悪い (スコア:2)
自分もセキュリティ畑の意見を支持するけど、
現状の判決を見る限り、少なくとも司法はそう思ってないって事でしょ。
判例主義で裁かれると、同じ案件では同じ結末になってもおかしくない。
これは、ビジネス上、当然考慮すべきリスクになる。
また、起訴とはならなくても、非セキュリティ畑からは某図書館と同じ反応される事も十分予想出来る。
従って、そこは配慮して事前に根回ししておかないと絶対にトラブる。
更に、今回のは、1人だけじゃなくて、全在学生に同じ事させようとしてるわけだから、
無節操にやった場合サーバーの負荷たるや。
uxi
Re:筋が悪い (スコア:2)
あと仮にこのlibrahack起訴猶予の前例に従ったら、セキュリティ畑からはアホかと言われるだけです（司法のほうは前例にならってそうなりかねないというのは異論はない）
Masafumi Otsune [otsune.com]
司法よりも先にセキュリティ？ (スコア:2)
うーん、私(安岡孝一)が心配してるのは、どっちかと言えば、すでにOrarioに渡ってしまった個人情報の今後の行方なんですけどね。よければ今日の日記 [srad.jp]もどうぞ。