Suicaでネット決済@モバイルSuica

モバイルSuicaってネット決済できるみたい。

決済方法を見ると、ショッピングサイトで携帯のメルアドを入力するとメールが飛んできて、そこからSuicaのアプリを立ち上げて支払いをする仕組み。

仕組みとして、おしい! と思った。クレジットカードの番号入れる必要もなく、コンビニに支払いしに行く必要もなく、最終的な支払いを自分でするので不正に支払いがされる可能性も低い。
が、携帯のメルアド入力がなければ満点だったのにと思った。

個人情報保護が叫ばれる昨今、メルアド入力でためらう人も多数いると思う。特に全てのドメインからのメールを受信するようにしていると、携帯のメルアドはパソコンと違って情報が漏れるとたちが悪い。

ショッピングサイトでメルアドを入力させるのではなく、ショッピングサイトからSuicaのサイトへリンクを張り、Suicaのサイト上でメルアド入力させるようにしておけば、JR以外にアドレスが漏れることがなく、もっと普及しそうだ。

システム開発者としては、普通に思いつく方法だし、仕組みもそれほど難しそうにないように思えるが、誰も気づかなかったのが残念だ。


ICチップ付きクレジットカードの安全性

最近はクレジットカードにICチップがついていて、店頭での決済時に暗証番号を求められ場合があります。

このICチップ付きのクレジットカード、クレジットカード会社は安全性の向上って謳っています。確かに偽造防止には役に立つかもしれませんが、実は多くのクレジットカードは暗証番号で不正に使用された場合は保証の対象外にしています

いままではサインをしていて、不正に使用された場合は保険などで全額保証されていたのが、ICチップを導入してクレジットカードユーザに責任を押しつけようとしているとしか考えられません。

悪事を働こうとしている人にとって、サインを真似るのと、4桁の番号覚えるのはどちらが容易いでしょうか?言うまでもなく4桁の番号のはずです。それに、店頭での番号入力の環境は決して良いとは言えません。つまり、ICチップの安全性というのはクレジットカード会社にとっての話で、ユーザにとっては安全性は大幅に悪化しているのです。クレジットカード会社の自己中的な発想ですよね。ユーザのことを考えると、間違ってもこんなルールにならないはずです。

ICカードを使って暗証番号を入力させる+今までの署名といったルールで、不正利用を保証してもらわないと、バカなユーザばかりではないので、そのうちクレジットカードの市場が小さくなり、最後にはクレジットカード会社は自分達の首を絞めることになるかもしれません。

私は今までこのことを知っていたのにもかかわらず、仕方なく暗証番号を使っていました。が、やっぱり納得いかないので、ICチップがついていないカードに変更を検討中です。


セキュリティ対策としてAmazonの購入履歴は削除できない!!

Amazonの個人情報は変更することができるのですが、ネット上で調べてみる限りAmazonの購入履歴は削除できないようです。

Amazon的には非公開の情報だから問題ないとのことですが、昨今セキュリティ事故が多発しており、いくら非公開の情報であろうといつ漏れてしまうかわかりません。正直、凄腕のハッカーにとっては、進入できないサーバはないと個人的には思っています。

Amazonのビジネスの売りとして、他人の購入履歴やウイッシュリストなどをもとにお勧め商品を表示する機能があるので、購入履歴は削除したくないという気持ちもわかります。しかし購入履歴と一緒に保存されている送付先住所などの個人情報は必要ないように思えますので、是非削除できるようにして欲しいものです。

といっても、すぐには対応してくれそうにないので、今できる対策を考えてみました。

  • まずはクッキーを削除する
    Amazonに限ったことではないですが、多くのサイトではPCにクッキーと呼ばれる個人を特定するための情報を保存します。Amazonも同様に保存し、さらにたちが悪いことにAmazonにアクセスする毎に”~さんこんにちは”みたいな情報と、お勧め商品が表示されます。ネットカフェなどでは情報が漏れてしまう可能性があるので、ブラウザの設定からクッキーを削除する必要があります。
  • アカウントに登録されている情報を適当に変更して、アカウントを削除する
    アカウント情報が漏れてしまっても、個人情報が変更されているので問題ありません。しかし購入履歴まで漏れてしまうと、購入品、送付先の情報がわかってしまいます。
    情報を分散されるために、購入毎にアカウントを変更するのも良いかもしれません。
    Amazonのアカウントの全情報が漏れると意味ありませんが、Amazon的にはユーザの好みを追っかけできないので、困ることになりそうです。
  • 私書箱を使用する
    購入履歴に名前や住所が残っているので、私書箱を使用してわからなくします。ここまでやると何かの詐欺のようですね。

いろいろ考えてみましたが、やはり個人情報を削除する方法を作って欲しいものです。


dsniffパッケージ@Debian Etch

最近ブラッディ・マンデイというドラマの主人公がハッキングするシーンを解説するサイトがありますが、私も見ていて”tcpkill”というコマンドを使っていて、恥ずかしながら知らなかったので調べてみました。

Debian Etch ではdsniffというパッケージに入っているので、早速インストール

# apt-get install dsniff

tcpkillをはじめ、 以下のコマンドがインストールされました。

/usr/sbin/webmitm
/usr/sbin/msgsnarf
/usr/sbin/webspy
/usr/sbin/tcpnice
/usr/sbin/sshow
/usr/sbin/filesnarf
/usr/sbin/dnsspoof
/usr/sbin/tcpkill
/usr/sbin/dsniff
/usr/sbin/macof
/usr/sbin/sshmitm
/usr/sbin/arpspoof
/usr/sbin/urlsnarf
/usr/sbin/mailsnarf

結構な数のコマンドが同梱されています。ちなみに、tcpkillは任意のホストにtcpコネクションを閉じる偽パケットを送って、tcp通信を妨害できるようです。

eth0から出て行く21番ポート(FTP)を遮断

# tcpkill -i eth0 port 21

192.168.0.1 とのtcp通信を遮断

# tcpkill host 192.168.0.1

OpenSSL, OpenSSH脆弱性@Debian

Debian etch以降のOpenSSL, OpenSSHで大きな脆弱性が発見されたようです。

apt-get update; apt-get upgradeしただけではだめなようで、鍵の再作成が必要ですので注意が必要そうです。