「楽天・ドリコムの行動ターゲッティング広告、HTML/CSS仕様の不備を突いて訪問先サイトを調査」記事へのコメント

ええー

[Anonymous Coward]

不正アクセスと違うん?

http://ja.wikipedia.org/wiki/%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9

1. 電気通信回線(インターネット・LAN等)を通じて、アクセス制御機能を持つ電子計算機にアクセスし、他人の識別符号(パスワード・生体認証など)を入力し、アクセス制御機能（認証機能）を作動させて、本来制限されている機能を利用可能な状態にする行為。(第1号）
2. 電気通信回線を通じて、アクセス制御機能を持つ電子計算機にアクセスし、識別符号以外の情報や指令を入力し、アクセス制御機能を作動

Re:

[little( (31297)]

「アクセス制御機能」が無いだろうから、不正アクセスにはならないんじゃないかな。

Re:

[Anonymous Coward]

>「アクセス制御機能」が無いだろうから、
起動時にログインしてない？

Re:

[little( (31297)]

それはOSのログインの事？
OSの事なら、楽天はOSのログインを作動させたり迂回してないから関係ないよ。
それに「起動時に」でしょ、このFlashが動作する時じゃないでしょ。

ブラウザにログイン機能がついてて、URLが訪問済みかどうかのチェックをする度にログインが必要ってんなら別だけど。

Re:ええーいや、微妙

[noopable (36825)]

動作時にアクセス制御っていう条件は不正アクセス禁止法にはないですよね。
アクセス制御のかかった機器であるかどうかだそうです。

ACCS事件の例 [cnet.com]では、FTP下でアクセス制御されていることを前提としたデータであれば、
別のプロトコル(Http)下でアクセス制御されていないアクセスで取得した場合でも要件を満たしていて、
アクセス制御は動作時でもプロトコルレベルでもなく、ハードウエアつまりＰＣにかかっていればよいという判決。

『「アクセス制御機能」が「特定電子計算機」に付加されている機能であり、識別符号が「特定電子計算機に入力されるもの」と規定しているうえ、同法3条2項 2号も、アクセス制御機能による特定利用の制限を免れることができる情報または指令を入力する対象を「アクセス制御機能を有する特定電子計算機」と規定しており、アクセス制御機能の有無を特定電子計算機ごとに判断することが前提となっている。』

Re:

[little( (31297)]

>動作時にアクセス制御っていう条件は不正アクセス禁止法にはないですよね。

#1440699を見る限り、「アクセス制御を作動させる事」や「アクセス制御の制限を免れる事」が、どの条件にも含まれていると思います。
URLのヒストリーの参照の為に、ログインをしてませんし、ログインを回避もしてません。
だから不正アクセスではありません。

以下、アクセス制御機能を、OSのログインとして説明します。
まず、第三条の２の一では、他人のパスワードを使ってログインする事を禁止していますから、当てはまりません。
ニでは、ログインしなければアクセスできない情報に、ログインせずにア

Re:

[noopable (36825)]

最初にポジションを確認しておきますけど、

今回のケースは私も違法だとは思っていないですよ。
ただ、
情報にアクセス制御がかかっていないから合法なんではなく、
楽天やドリコムはアクセスしていないから合法なんです。

これは、第三条の２のニにあてはまる事です。
ログインしなければ見れない情報に、ログインせずにアクセスしたので違法アクセスと判断されました。

間違ってはいないですけど、あいまいなのでこちらも補足しておきますね。
ACCSで問題になった個人情報は、
HTTPのCGI経由ならログインしなくても見ることができる状態になっていた（アクセス制御がかかっていない）。
FTPやSSH、コンソール経由でのアクセスの場合はログインして権限がないと見られない情報です（管理者だけはアクセス制御下にあると思いこんでいた）。

ACCS判決では、そこをプロトコルレベル（OS、コンソール、SSH、FTPを問わず）で判定するのではなく、
機械装置としてアクセス制御がかかった機器であるからという判決になっています。
その機器の中の情報を正常以外の方法でアクセスして取得したので違法という判断です。

『不正

Re:

[noopable (36825)]

> ブラウザーを開かないと他のサイトへのアクセス履歴は『識別符号が「特定電子計算機に入力されるもの」』なので、
> 他サイトへのアクセス履歴は「アクセス制御がかかっていない情報」ではないですよ。

ひどい。。
他のサイトへのアクセス履歴は『識別符号が「特定電子計算機に入力されるもの」』で、
自由に情報を提供する状態にはなっていないので「アクセス制御がかかっていない情報」ではないですよ。

Re:ええーいや、微妙

[Anonymous Coward]

> 自由に情報を提供する状態にはなっていないので
> 「アクセス制御がかかっていない情報」ではないですよ。

法律的な解釈は様々な要因で変わるので、
「誰にも」断言出来ない曖昧な状況だと思いますが、
技術的には、仕様において「情報を提供する状態になって」ます。
それが「自由に」か否かは、解釈の違いに過ぎないので御自由にお考え下さい。

ブラウザが仕様通りに提供した情報の使われ方が、
多くのユーザの意図には反していると言うのが現状であって、
それは、「情報を提供する状態」に設計した仕様が甘かったと言う事です。
少なくとも、情報を提供しないために充分なアクセス制御は掛かっていないのです。

Re:

[Anonymous Coward]

ブラウザが仕様通りに提供した情報の使われ方が、
多くのユーザの意図には反していると言うのが現状であって、
それは、「情報を提供する状態」に設計した仕様が甘かったと言う事です。
少なくとも、情報を提供しないために充分なアクセス制御は掛かっていないのです。

うーん、
ファーストサーバが提供したＣＧＩの仕様通りに取得された情報が
ACCSの意図には反していたというので争われたんで、
office氏が取得した情報にはアクセス制御なんてかかってないですよ。

ただ、アクセスした先のサーバに別のアクセス制限がかかっていたというだけで。

#元IDですが、この辺で