「自宅サーバーでTwitter連携サービスを運営していた開発者、利用者の投稿が原因で家宅捜索を受ける」記事へのコメント

悪いのは Twitter 運営で、警察はこうするしかない

[Anonymous Coward]

Twitterが開示するIPアドレス [twimg.com] をご覧ください。
ユーザーによるログイン動作以外もクライアントや連携サービスからの認証も記録されますが、日時とIPアドレス以外の情報が載っていないので、
ユーザーのIPアドレスなのかログインした連携サービスのサーバのIPアドレスなのかも分からないのです。

だから、AWSやレンタルサーバだったら提携サービスなんだろうなぁ、と推測することしかできません。
詳しい解説は https://twitter.com/jz5/status/1138363470183686144 [twitter.com] など。

そして、Twitterは発言ごとのIPアドレスも記録していないので、本人が投稿したのか、乗っ取られて投稿され

Re:

[Anonymous Coward]

(投稿含む)提携サービスの一般論としてはそうかもしれませんが、該当サービスでは

1. ログイン画面を真面目に読む

このアプリケーションは次のことができます。

タイムラインのツイートを見る。
フォローしている人を見る

次のことはできません。

新しくフォローする
プロフィールを更新する。
ツイートする。
ダイレクトメッセージを見る。
登録済みのメールアドレスを取得する。
Twitterのパスワードを見る。

2. 上記画面のURLはtwitter社なので、サービス運営者は嘘を書いていない（できない）という知識がある
  https://api.twitter.com/oauth/authorize?oauth_token=XXXXXX [twitter.com]

3. 上記の「ツイートする」が「投稿」に当たるという知

Re:悪いのは Twitter 運営で、警察はこうするしかない

[Anonymous Coward]

なおNISC内閣サイバーセキュリティセンター(国)が「おまえら最低これくらい知っとけ」という冊子を出してますが
小さな中小企業とNPO向け情報セキュリティハンドブック [nisc.go.jp]

６章

12 注意するべきソーシャルログイン
(略)

14 権限を与えるサービス連携にも注意

ソーシャルログインと混同されや
すいものに、SNS に関する機能連携
として「サービス・アプリ連携」とい
うものがあります。

(略)

これはソーシャルログインとは別
の性格の機能ですが、ときに「連携
するアプリやサービスに投稿を認め
る（＝権限を与える）」という部分が、
攻撃者による攻撃の手段として利用
されることもあります。

というようにソーシャルログイン（＝認証）と権限を与える（＝認可）を分けて説明し、さらに権限のうち「連携するアプリやサービスに投稿を認める（＝権限を与える）」という部分がヤバイ、と説明しています。
警察も最低これくらい知っといてほしいものです。

# ちなみにこの本(と一般人向けハンドブックは)、セキュリティ的に理不尽な要求が来た時に「国が禁止してるので...」と断るのに便利です(実際は禁止とまではいえず非推奨くらいで罰則はないが）