目次
つぶやき
技術系や雑感等は再編集して本文の記事にする事を前提としているので、こっちにLinkを張らないでください。
気になった記事(20150901)
散々溜めてしまったので、一気に行く。
- StartSSL 無料Server証明書発行機関。PKI界のSwiss Army Knifeを目指している
- CEDEC-Net 2015テクニカルレビュー NAT64 and DNS64等
- FreeBSD 10 あれこれ pkg/ports関連のメモ
- FreeBSD pkg (pkgng)でのカスタマイズ環境アップグレード pkg/ports関連
- UDPot DNS HoneyPot
- DNS Viewer DNSの可視化
- Google Authenticator OTP/PAM/OAuthなど
- Magit Emacs上で動作するGit Client
- 平成27年版警察白書(Kindle版) Free!
- 東京MEAT酒場新宿店 行ってみたけどミートソースはうまかった
- 科学技術週間 ポスター集
年金機構の情報流出を見てちょっと思ったこと
いつもならFaceBookに先に書いているんだけど、今日はこっちに。あとでFBにも貼る。
いつものごとく時間がないので、雑感を駄文で。
年金機構が所謂職員の失敗で、年金情報を流出するという事件が発生した。 詳しいまとめは、いつものごとく、高速に素晴らしいまとめをしてくれる日本年金機構の情報漏えいについてまとめてみたを参照。Kangoさん、いつも本当に素晴らしい。
さて。この事件とか事件について色々喋っている人とか、大臣と呼ばれる人とかを見ていて感じた雑感を。
非常に大量に情報を流出してしまった事件としては、ベネッセ事件があった。詳しくはベネッセの情報漏えいをまとめてみた。を参照。
この事件において、ベネッセは様々な方面から散々ぶん殴られた。マスコミもJIPDECも利用者も、好きなようにベネッセをサンドバッグにした。まぁ、自分も殴った側にいるのだから偉そうなことは言えない。この件について、株式会社LACの西本氏がしばしば言っているのは、「ベネッセの件は誰が事件化したのか？これを事件化したのは他ならぬベネッセである。ベネッセが、調査をし、ベネッセが犯人を特定し、ベネッセが漏洩した情報を特定し、その結果、犯人の告発を実施したから事件が表面化した。」ということ。つまり、組織として、仕組みとしてみれば、ベネッセはそこまで徹底したシステムを作り、あとから追えるところまで管理を徹底していたということ。これは、組織としていうなら素晴らしい事であって、ここまでやっている組織があった事に驚いた。しかも、その結果を告発だけじゃなく報告書として公開している。
個人的な感情（僕はベネッセは嫌いである）を完全に除外するなら、このベネッセの件、僕はむしろ「褒める」べきだと思う。犯人が責められるのは当然である。しかし、ベネッセは（結果として）加害者になってしまったが、被害者でもある。それを監督責任というのは簡単だが、そこまでの監督なんて誰もやっていないと思っていたら、ここまでやっている会社があったわけだ。むしろ見本として、非常に良い会社だろうと思う。
翻って年金機構。
本音でいうと、年金機構がベネッセ並みの管理、運用、調査、報告ができるとは思えない。そしてできるようになるとも思えない。事件前からの（正規・非正規を問わず）職員のモラル（2chに書き込みとかありえないでしょ）や事件「発生」後の対応、事件「発覚」後の対応を見ていると、本音で、こんな組織にお金や情報を管理させるなんて金をドブに捨てているも同然。これは、こんな組織を監督している監督官庁も同罪。
本件、あまりにもお粗末である。お粗末ではあるが、国内の絶対的多数の組織は、民間・官庁・政府組織を問わず、この程度の事件がいつ起きてもおかしくない状態だろう。今回は、それが年金情報というエグい情報だっただけ。それ以外に大きな差はない。今回感染した職員(おそらくは正職員ではないのだろうけど)は、迂闊だとは思うが、「それが可能な状態ある事の方が問題であって、詰まる所は、システムとデータの管理責任の問題」という自明な事がおそらくはわかってないんだろう。個人的には、そんな連中が個人識別番号（要はマイナンバー）だの言っているのを見ていると、臍で茶が沸く。
年金機構は、詰まる所、この種の事故を引き起こした時にやらなければならない事を考えず、その場しのぎを続けているようにしか見えない。国民は時間が経てば忘れてくれるから。
さて、ここでよく「自分が所属している組織」を考えてみてほしい。自分が所属している組織はベネッセ型だろうか？それとも年金機構型だろうか？
統計をとったわけでもましてちゃんと調査したわけでもないが、個人的な感覚でいうなら、日本国内の絶対的多数の組織が年金機構型である。つまり、事前の検討も、そのための対策も、発生してしまった場合の対応も、おそらくその全てが年金機構型であろう。そして、この個人的感覚が正しいならば、今回のような事件は何度でも起こるだろう。起こるべくして。単に年金情報がマイナンバーに変わるだけ。オプトアウトした個人情報になるだけ。場合によっては、許可を得ていない個人情報かもしれないし、営業機密かもしれないし、それこそなんでも。
NHKニュースによれば、藤沢市が標的型メール対策に関する抜き打ち訓練を実施したらしい。藤沢市 標的型メールの抜き打ち訓練
この標的型メール攻撃に関する予防接種、BBSecの時代、LACの時代に、同僚とやっていた。その時に、我々が口を酸っぱくして言っていたのが、
- 訓練なのだから、開いたことを責めるような雰囲気を作ってはいけません。
- メールがおかしい事に気づけるようになる事は現実的に無理です。それでも事前に気づければ大きいから、そのポイントは強調しています。
- 開いた時の対処が本当の問題です。ちゃんと正しいところに報告できるか、正しい対処を取れたか、を注視してください。正しい対処が取れるようになる事が訓練の本当の意味です。
- できれば、一般社員だけでなく、社長も含めた経営層にも実施してください。
- くれぐれも、「訓練でメールを開いてしまった事を人事評価などに反映させるような事はしない」でください
ということだった。
訓練の結果、隠すようになるなら、そんな訓練は無駄。むしろ訓練しないほうがマシ。そうではなく、もう事故前提で考えるべきであって、訓練も、「絶対引っかかる」訓練メールにして、引っかからないやつは「メールを見てない」と結論付けられるようにするのがいいんじゃないかと思うし、「引っかかった時の対処」に主眼を置くべきで、そういう風に進化するべきじゃないかとほんとうに思う。
駄文でした。
Facebookに書いた駄文(20140822)
非常に個人的な見解だが、そろそろインターネットはその根本から見直す（作り直すではない）必要に迫られている気がする。
日本で「一般」にインターネットが広がり始めたのを1995年とすれば、19年、今のような常時接続が普通に手に入るようになったのを2000年としても、高々14年。 つまりは、20年に満たない短期でこれだけ「普通になる」なんて事は（少なくとも僕は）1995年当時は全く想像もしていなかった訳で。 あまりにも変化が早すぎて、つぎはぎだらけになっている今の現状をもう一度ちゃんと見直さないと、この先どんどん複雑怪奇になって行くだけなんだろうと思う。
しかし、実際に（曲がりなりにも）動いている基盤を置き換える事の難しさは、IPv6でさんざん体験したからなぁ。
Facebookに書いた駄文(20140903)
久しぶりに超頭に来たのでちょっと駄文を。
当然、「個人の感想」なので、価値観違う人は「華麗に」スルーしてください。
個人的に、今の特許制度は大嫌いだが、それにしてもこれは無い。(結果として飛ばしでした)
「産業界の意向で」とか言い訳を書いているが、「社員の物は会社の物、会社の物は会社の物」といういわゆるジャイアンモデル（ジャイアニズム）がまかり通るってどうなんだ？
「報奨金制度がー」とか「実際の影響はー」とか言う人も居るが、そんな論点のすり替えは論外であって、重要なのは、「アイデアは誰の物なのか？」だろう。 場所があれば誰でも、特許が取れるような独創的なもしくは大きな変革を生みそうな何かを考えられるわけではあるまい。
もちろん、アイデアなり技術なりを検証、実装する為の環境を提供したところに対して対価があるべきな事は当然だし、そこは否定しないが、今回のこの結論は、技術者・研究者からすれば、「庇を貸して母屋を取られる」ことにしかならない。
「独創的な」もしくは「大きく物事を変えるかもしれない」何かを考えだした人に対する尊敬の念も感謝の念も無いこんな事がまかり通るなら、少なくとも自分は「組織の業務で特許を取るような何か」を考える事はしない。 それが評価基準になるのであれば、そんな組織を脱出する方法を選択せざるを得ない。 （自分が特許取れる程独創的な何かを考えられるかどうかは別問題。僕にはその能力があるとは思わないけど）
個人的には、特許制度の本来の理念である
- 「技術を公開して共有の知識にする」その為に「ある程度の期間保護してあげる事も必要だから保護期間を設ける」
と言う点には賛成するが、その悪用をして
- 「他人に使わせない為に」「思いついた段階で」「とりあえず適当な特許を取る」
がまかり通っているだけでも胸糞悪いのに、その上でさらにこれでは、特許制度という制度そのものを廃棄すべきではないかと真剣に思う。
はっきり言ってしまえば、個人的には特許なんて５年くらいの保護でいいと思う。
その期間で、その特許技術を利用したビジネスを始めて先行者利益が取れる（もしくは開発にかかった費用を回収出来る）ところまで行かないならば、それはもうしかたが無いんだよ。 出来る人に公開して社会を変えてもらえばいいじゃないか。それだけの事を考えられる人ならば、特許まで行かなくたって、その人に価値があるからちゃんと評価する人は居るでしょう。
それでなくても大した文章書けるわけでもないのに、それに輪をかけてひどい文章（文章ですら無いか。只の雑感）になっているのはきっと頭に来たせいだ。そういう事にしてくれ。お願いします _o_
Facebookに書いた駄文(20141031)
グダグダな駄文なので、時間の無駄かもしれません。 適当にスルーよろしく。
FreeBSD 10と本格的に格闘中。
FreeBSDに本気で体重をかけるのはもう何年ぶりだろう？ NetBSDに転んでからは本気で触ってなかった。
JNUGの設立が1999/8/21だから、1998年にはNetBSDに体重をかけてたってことだ。ということは…もう16年になるのか。
その頃のNetBSDが、NetBSD 1.4.1、FreeBSDはというとFreeBSD 2.2.8 FreeBSD3.0…どんだけ真面目に触ってなかったんだろう？と思う。わからないことが多くなっても当然だよね。
NetBSDはその後、所々手抜きはしても触ってたんだけど、FreeBSDは2000年くらいからは本当にほとんど触ってなかった。時々Installしては動作確認する程度。
個人環境で頑張るならともかく、まともにサービスでBSDを使おうとすると、どうしてもNetBSDでは辛い。 なにより、自分一人でサービスできるわけじゃないから、使える子を増やさないといけないわけで。 しかも、利用者は圧倒的にLinuxの方が多いわけだから、教えるにも一苦労。 それでもやっぱりBSDはいいと思うんだ。 (Linuxがダメと言っているわけではないので勘違いのないように。Windowsは嫌いだけど、それも個人的な範囲限定。仕事では関係無い。やるだけ)
今回触ってみて思ったことは、いつの間にFreeBSDってこんなに「簡単」になったの？ってこと。 まだまだ差はあるんだけど、CentOS並みに使いやすくなっている。 Binary Packageは、個人的には堕落の入り口だと思うけど、これがないとやっぱり入門者には難しいわけで。
今時OSを本気でどうこうしようという人よりももっと上のApplicationエリアで戦うわけだから、利用するApplicationをどれだけ簡単に使えるようにするかが一番大事。 NetBSDのpkgsrc/Binary PackageやFreeBSDのports/binary packageは随分良くなっているというのが実感ですね。
ただ、どうしてもRedHatに追いつくことができない部分が、Componentの互換性検証の部分。 RHEやCentOSの一番素晴らしい部分がこれで、同一Version内でのyum updateによる更新で上物が動かなくなった経験はないんだけど、これってRHがものすごい頑張っている部分。 この部分だけはどうしてもFreeBSDやNetBSDでは苦しい部分。
NetBSDはやっぱりマニアなOSだと思う。 個人的にはそれでもNetBSDの方が好きではあるんだけど、やっぱりこの「マニア」な部分がすごく敷居を上げているように思う。
NetBSDからforkしたOpenBSDもマニアなOSではあるんだけど、これは「Security」という点に早くから注目し、非常にConcreteかつStableな実装なので、これはこれでありだと思う。 FreeBSDやOpenBSDと比べると、どうしてもNetBSDって中途半端な気がするのね。いいOSなんだけどね。
まぁ、BSDで頑張ろうとすること自体がすでにMain streamではないのだろうとは思うけど、しばらくはBSDで頑張ってみよう。