2012/08/15

クレジットカード番号のセキュリティ

Wiredの記者マット・ホーナンさんがアカウントの乗っ取りにあった事例について思うこと。

要するに、このカード番号の4桁の数字を、特に重要な情報ではないのでウェブ上に表示しても構わないとアマゾンは考えているが、一方のアップルは本人確認の重要情報として利用しているということだ。
http://wired.jp/2012/08/14/amazon-apple-security-hacked/

マットさんは、アマゾンがクレジットカード番号(PAN, Primary Account Number)の末尾4桁を表示していることを問題視しているようだけど、PCI DSSの3.3条は、末尾4桁を表示できるとしている。PCI DSSは、5大カードブランド(VISA、MasterCard、JCB、AMEX、Diners)が策定したセキュリティ基準。アマゾンや楽天市場で買い物をするとき、カード番号の末尾4桁が表示されるのはPCI DSSに根拠があることなのだ。

つまり、カード番号の末尾4桁は公開情報であり、アマゾンの表示は(そうする必要があるならば)問題がない。

したがって、この公開情報を本人確認のために使用しているアップルのほうが間違っている。



ところで、ユーザにパスワードの入力を求めるときは入力された文字を伏せるべきでない、という議論がある(参考1:パスワードを隠すのをやめよう – U-Site、参考2:COOKPADの「伏せ字にせず入力」ボタンは素晴らしい | 徳丸浩の日記)。

入力された文字を伏せるのは、たとえば背後にいる人物にパスワードを見られないようにするためだけど、しかしクレジットカード番号の入力を非表示にしている例を見たことがない。深刻な被害につながる可能性は往々にしてクレジットカードのほうが大きいと思うのだが…。



カード番号は普通、16桁の数字で表現される。とすれば、番号の組み合わせは10の16乗になるはずだ。

しかし先頭の6桁はカードの種類を表しているもので、所有者を特定する(=非所有者を排除する)ためのものではない。とくに最初の1桁は、4ならVISA系、5ならMasterCard系、3ならJCBか、AMEX、Dinersとほぼ特定できる非常に重要な数字で、あらかじめカードの種類が分かっているなら、この桁はだれでも推測が容易ということだ。2桁目以降はやや推測が難しくなるが、後続する数字のパターン数はごく少数に限られているので、総当たりするよりはずっとチェックすべき範囲はせばまる。


また、カード番号の生成にはルーン・アルゴリズムというものが使用されていて、全ての番号の組み合わせのうち90%はもともと使用されていない。つまり10%の有効な組み合わせはあらかじめ分かっている。

よってカード番号の組み合わせは10の16乗よりもはるかに少ない。



もっとも、いまはカード番号だけで買い物ができないようになっているので(別途3~4桁のセキュリティコード等が必要)、そういう意味での不正使用を心配する必要はない。問題なのは、アップルのようにカード番号を本人確認のために使用しようとすることだ。

2012/08/12

韓国メディアが「称賛」している?

ロンドン五輪で、韓国選手が「竹島(独島)はわれわれの領土」と書かれたプラカードを掲げた件で、毎日jpは以下のように報じている。

≪韓国メディアは「感動のセレモニーだ」≫朴鍾佑の愚行について、韓国メディアは「感動のセレモニーだ」などと肯定的に伝え、批判的報道はほとんど見られなかった。共同電によると、韓国紙、毎日経済(電子版)は「勝利確定後、紙をさっと掲げて感動のセレモニーを演出した」と称賛。また、各メディアは「立派だぞ」「日本よ見ているか?」などと手放しで喜ぶネット上の書き込みも紹介した。
http://mainichi.jp/sponichi/news/20120812spn00m050002000c3.html

にわかには信じがたい。各国のメディアが外国における自国に対する反感を紹介することはあっても、国内における排外感情を素朴に「称賛」するというのは常識からいって考えにくい。

じつは毎日jpの記事はスポーツニッポン記事の転用なのだが、別系列の日刊スポーツにも同様の記事が掲載されていた。

韓国メディアは11日、「感動のセレモニーだ」などと肯定的に伝え、批判的な報道はほとんど見られなかった。
 このパフォーマンスは韓国内ではあまり報じられていないが、朴選手が紙を掲げている写真を一部メディアが電子版に掲載。韓国紙、毎日経済(電子版)は「勝利が確定した後、紙をさっと掲げて感動のセレモニーを演出した」と称賛した。
 また、各メディアは「立派だぞ朴鍾佑」「日本よ見ているか?」などと手放しで喜ぶネット上の書き込みも紹介した。
http://london2012.nikkansports.com/soccer/news/f-sc-tp0-20120811-999283.html

文言はほぼ一致しており、明らかに同一ソースからの引き写しである。毎日jpの記事をよく見ると、「共同電によると」という文言がある。共同通信の配信した記事を、スポニチ、日刊スポーツがそれぞれ転用していたわけだ。しかし共同通信の関連サイト47news.jpにはこの事件に関して、2本の簡潔な記事しか掲載されておらず、いずれも韓国メディアの反応を伝えていない。

ふたたび毎日jp記事を見ると、「韓国紙、毎日経済(電子版)」という韓国メディアの具体的な紙名が出ている。そこで毎日経済紙のウェブサイトで選手の氏名(박종우)を検索してみると、8月11日以降では、1件しか該当する記事が出ない。もっとも他紙が報じたものを合わせればヒット数は増える。

毎日経済と、系列紙らしいmk Sportsが報じた記事は以下の2本。

`독도는 우리땅`이란 종이를 들고 세러머니를 했다는 이유로 남자축구 대표팀 박종우(부산) 선수가 동메달을 받지 못하면서 논란이 거세지고 있다.
`独島はわれらの領土`イラン紙を持ってセロモニをしたという理由で男サッカー代表チーム朴従愚(釜山) 選手が銅メダルを受けることができないのに論難が激しくなっている.

박종우는 전날 영국 웨일스 카디프의 밀레니엄 경기장에서 열린 일본과의 3-4위전을 끝난 뒤 관중석에서 전달받은 `독도는 우리 땅`이라고 쓰인 종이를 들고 그라운드를 뛰어다녔다.
朴従愚は前日イギリスウェールズカーディフのミレニアム競技場で開かれた日本との 3-4位戦を終わった後観衆席で伝達受けた `独島は私たち地`と使われた紙を持ってグラウンドを走り回った.

연합뉴스는 대한축구협회 관계자의 말을 인용해 "관중석에 `독도는 우리 땅`이라고 쓰인 종이들이 많이 보였다"며 "박종우가 관중석에서 종이를 받아 들고 그라운드를 뛰는 모습을 보고 급히 말렸지만 그 과정에서 사진이 찍힌 것 같다"고 보도했다.
連合ニュースは大韓サッカー協会関係者の言葉を引用して "観衆席に `独島は私たち地`と使われた紙たちがたくさん見えた"と "朴従愚が観衆席で紙を受けてグラウンドを走る姿を見て急に乾かしたがその過程で写真が取れたようだ"と報道した.

이어 "선수들이 동메달을 확보하고 나서 흥분한 나머지 관중이 건네준 종이를 들고 뛴 것 같다"며 "사전에 준비한 세리머니는 절대 아니다"고 전했다.
引き継いで "選手たちが銅メダルを確保してから興奮したあげく観衆が渡した紙を逃げたようだ"と "前もって準備したセレモニーは絶対ない"と伝えた.

http://honyaku.yahoofs.jp/url_result?ctw_=sT,eko_ja,bT,uaHR0cDovL25ld3MubWsuY28ua3IvdjMvdmlldy5waHA/c2M9MzAwMDAwMDEmY209JUM3JUVDJUI1JUU1JUI2JUYzJUMwJUNFJnllYXI9MjAxMiZubz01MDY5MjImcmVsYXRlZGNvZGU9JnNJRD0=,qfor=0

[매경닷컴 MK스포츠 이상철 기자] 사상 첫 올림픽 동메달의 기적을 이룬 박종우(부산)가 시상식에 동료와 함께 서지 못한다. 한일전 승리 이후 펼친 ‘독도 세레머니’가 논란을 일으켜, 국제올림픽위원회(IOC)로부터 불참 통보를 받았다.
[毎経ドットコム MKスポーツイ・サンチォル記者] 史上初めてのオリンピック銅メダルの奇蹟を成した朴従愚(釜山)が授賞式に仲間と一緒に立つことができない. 韓日戦勝利以後広げた '独島セレモだから'が論難を起こして, アイオーシー(IOC)から不参通報を受けた.
박종우는 지난 11일(이하 한국시각) 영국 카디프의 밀레니엄 스타디움에서 가진 2012런던올림픽 남자축구 동메달 결정전에서 일본을 2-0으로 승리한 후 동료들과 기뻐했다. 그러다 관중석의 한 팬으로부터 받은 ‘독도는 우리땅’이라는 종이를 들고 그라운드를 뛰어다녔다.
朴従愚は去る 11日(以下韓国時刻) イギリスカーディフのミレニアムスタジアムで持った 2012ロンドンオリンピック男サッカー銅メダル決定前で日本を 2-0で勝利した後仲間たちと喜んだ. そうして観衆席の一ファンから受けた '独島はわれらの領土'という紙を持ってグラウンドを走り回った.
박종우의 ‘독도 세레머니’는 사진기자들의 카메라에 포착됐고 전 세계에 널리 알려졌다. 국내에서는 광복절을 앞둔 가운데 보인 박종우의 ‘독도 세레머니’에 대해 개념있는 행동이라며 찬사를 보냈다.
朴従愚の '独島セレモだから'は写真記者たちのカメラに捕捉されたし全世界に広く知られた. 国内では光復節を控えた中に見えた朴従愚の '独島セレモだから'に対して概念ある行動と言いながら賛辞を送った.

http://honyaku.yahoofs.jp/url_result?ctw_=sT,eko_ja,bT,uaHR0cDovL3Nwb3J0cy5tay5jby5rci8yMDEybG9uZG9uL3ZpZXcucGhwP3NjPTcxNTAwMDIzJmNtPU1LJUI4JURFJUMwJUNFJTIwJUJGJUMzJUI4JUIyJUM3JUM4JnllYXI9MjAxMiZubz01MDY1ODEmcmVsYXRlZGNvZGU9Jm1jPVNU,qfor%3D0

いずれを見ても、共同記事のいうように「『勝利確定後、紙をさっと掲げて感動のセレモニーを演出した』と称賛」しているようには見えない。

共同記事は、毎日経済の記事にいう「国内では…賛辞を送った(韓国国内には賛辞を送る人もいた)」という箇所を、毎日経済自身が「称賛」したものと誤読したのではないだろうか?

また、韓国メディアの各社が「感動的なセレモニー」と肯定的に報じたというのも、竹島プラカードではなく日韓戦の勝利を大風呂敷を広げて祝ったことを指しているのではないだろうか。