社会問題カテゴリーの投稿
つくば観光協会に電話した
「つくば方面で素の Mobile Eye+ を使っているサイトがある」という報告を発見したのですが、執筆者は「サイト運営者に連絡していない」ようでした。「それはあかんやろ」と思ったので、つくば観光協会にサイトについて電話で質問してみました。すると、以下のような回答でした。
- ウェブサイトの更新は、観光協会の職員さんが行なわれている。
- サイトの構築は業者に発注。
- 携帯対応は、業者からの提案で、設置作業も業者が実施。
- 発注先の業者がどこかは教えられない。
その後、Mobile Eye+ の脆弱性についてしゃべってサイトが危険なことを伝え、口頭では分かりにくいため、回避策・対応策についてはメールいたしました。ウェブサイト担当者の方には真摯に受け止めて頂けました。ありがとうございます。
つくば方面というと、わたしが以前叩いた「ある業者」がありますが、わたしの指摘以降、ちょっとはマシになったかと思っていました。もし、梅まつりウェブサイトの構築が「そこ」ならば、やっぱしまだスキルが低いままなのかなーということですね……。そういう業者は、市や観光協会が「指名停止処分」にするべきでしょう 
土木や建築だったら、欠陥工事レベルですから、指名停止になってておかしくないわけで、IT 関連でも同じ措置があってもよいかと。
[追記 18:35] 昼すぎに観光協会から連絡があり、業者に対応を取って頂いたそうです。こちらでも、脆弱性が回避できていることを確認できました。さすがに「直接電話する」のは効果がありますね。もちろん、観光協会および業者さんの対応が早かったことは特筆すべきことだと思います。(業者さんは) 知識や情報収集能力が足りないっぽいですが、それを行動力でカバーといったところでしょうか
脆弱性あり Mobile Eye+ を使っていた業者
Mobile Eye+ に XSS 脆弱性があることを発表して以来、ブログ検索などで、素の Mobile Eye+ を使っている人を見つけては、拙作のパッチを紹介するという活動をしています。多くの方がびっくりされますが、パッチを適用して頂いています。ありがたいことです。反面、書いたコメントが「承認待ち」のまま放置という状態もあって、これは悲しいです。放置していても、自身のサイトが攻撃されたり、他のサイトを攻撃する踏み台にされるだけで、それは自業自得ですから、仕方ないのですが……。
このとき、いくつかの Mobile Eye+ 利用サイト (Google 検索へのリンク) が、ほぼ同じデザインなことに気がつきました。どう見ても、「業者から購入したテンプレートそのままの状態」で、非常に情けないです。念のため、見つけたサイトすべて (コメントが閉じられている1サイト除く) にコメントを書きましたが、5日ほど経過しても反応がありません……。(すべて「承認待ち」のため、わたし以外にはコメントの存在は見えません)
よーく調べてみると、どうやら、「HyperBlogger (ハイパーブロガー)」というツール (というかテンプレートセット) で作ったを購入した人向けの専用テンプレートを適用したサイトのようでした。つまり、販売業者は「脆弱性がある Mobile Eye+ を含むツール」を売っている代行インストールしたわけです!!
Mobile Eye+ の XSS 脆弱性が見つかったのは今年1月7日ですから、それ以前に販売した顧客への対応が困難なのは仕方ないです。でも、手前が販売したソフトウェアならば、脆弱性情報などもきちんと入手して、利用者に通知するのがあるべき姿でしょう。(まあ、スパムブログ生成ツールを作っている時点で、到底「マトモ」とは言えないですが →先方から連絡があり、「顧客に案内を行う予定である」とのことでした。すばらしい!!
まっとうな WordPress ブロガーがこのようなツールを買う代行インストールサービスを利用するとは思えませんが、じゅうじゅう注意されるようお願いします。なお、拙作の Ktai Style をベースに「PC & 携帯サイト同時生成ツール」を売っている業者もあるようですが、Ktai Style の最新版情報をいち早く入手されて、顧客に通知されることをお願いいたします。
ちなみに、WordPress, Ktai Style はどちらも GPL に基づくオープンソースなので「自動生成ツールと抱き合わせで配布することを禁止する」なんてのは無理なんです。オープンソースソフトウェアは、「利用する分野を制限してはならない」ので、極端な話、テロリストが使用することも認めないといけないのです。
[追記: 2009-02-11 03:30] 本日、深夜0時20分ごろ、HyperBlogger 開発元の「デジステイト」さんからメールが届きました。以下のような概要です。
- HyperBlogger はあくまで、ローカルアプリケーションであること (WordPress、Mobile Eye+ やブログテンプレートは含まない)
- HyperBloggerの開発の意図としては、決してスパムを目的としたブログを生成することではない。(ただし、利用者の多くはアフィリエイトを目的としている現状である)
- キーワードなどを指定して自動的に同一のページが生成される機能はない。必ずユーザ側での編集作業が必要。
- 既存の企業ポータルサイトや一部会員制サイトでの利用実績がある。
- HyperBlogger の購入者に対して、特製のテンプレートや必須プラグインを含む WordPress 代行インストールサービスを行なっている。
- 設置代行したユーザーに対して、Mobile Eye+ パッチの適用またはKtai Style などの代替プラグインを自身にて適用されるよう案内する予定。
わたしは完全に誤解していて、HyperBlogger (14,800円) には WordPress, Mobile Eye+、特製テンプレートが附属しているのだと思っていました (GPL アプリを有償で売ることは問題ないので)。自身で WordPress インストールが難しい人向けに、2,500円で代行インストールを行なっているのだと思っていました。実は、Mobile Eye+ の設置は、代行インストールの一環で行なっていたようです。
上記のような指摘がありましたので、タイトルおよび本文を修正し (旧タイトルは「脆弱性あり Mobile Eye+ を含むツールを売る業者」)、「ヘボ業者」タグは外させて頂きました (このようなタグを付与して申し訳ありません)。アフィリエイト目的のブログ作成という行為は個人的に感心はしませんし、それに使えるツールについては全く興味がないです。でも、この記事の目的は「セキュリティーの向上」にあるので、それに対する対策を取って頂けるならば、何の問題もありません。
このような「毒記事」なのに、素早く丁寧な連絡を行なってくることは驚きでした。自社製品によっぽど自信があるのだと思いますね〰。
いまだに URLGATE 機能オンのサイトが多い
以前、「子供向けサイト構築に Mobile Eye+ を使ってしまう業者」がいることを取り上げましたが、この業者「あどあど」は未だに同じことを続けているようです……が手掛けたサイトでまだ URLGATE オンのサイトがありました。「次世代教育研究会」のサイトは主に固定ページで構成されていますが、こちらも Mobile Eye+ が URLGATE オンで使用されています。「次世代の教育環境を整える」ことを研究されている方が、アダルト広告が容易に出る状態を放置しているのはいかがなものかと思います。固定ページが主だと Mobile Eye+ でのナビゲートは困難なので、携帯サイト自体を停止した方がいいでしょう。
少し話が変わりますが、「メンバー登録」で性別欄が必須というのもダメですよね 性別が不詳な人／男女の枠に入らない人は多様性の一例であり「次世代の教育を考える」のに必要だと思われるのに、そういう人を排除しているようでは、まだまだです。
「つくばオールスターチア」のウェブサイトも WordPress を使ってリニューアルしたようです。ご多分に漏れず Mobile Eye+ が URLGATE オンで設定されています。チアのメンバーには小学生も含まれるため、これはまずいですよね……。また、URL が少し変です。本来 http://www.cheerspirit.jp/allster/ のはずが、こちらには旧サイトが残っており、新サイトが http://www.cheerspirit.jp/allster/allster/ となってしまっています (たぶん製作者のミス)。こちらは例の業者の仕事かどうか不明ですが「筑波近郊」「Mobile Eye+使用」という面から、たぶんそうだと推測できます。
こうなると、「あどあど」は「WordPress を使って安価にサイト構築してくれる良心的な業者」とは言えなくなってきますね。「Mobile Eye+ を使ってアダルトサイトを増産する業者」と言わざるを得ません。(さっさと Ktai Style を使えばいいのに〰)
とりあえず、ここで叩いても仕方がないので、「問い合わせフォーム」から「Mobile Eye+ を使うなら URLGATE をオフにしてよ」という提案をしておきました。さて、どんな返事がくるやら。
[追記] さっそく返事がありました。「事象については把握しており、弊社が携帯対応した場合はアダルト広告が出ないように設定している。お客さんが後からインストールされる場合にそうなっていると思わます」という内容でした。ということで、「アダルトサイト増産業者」というくだりは撤回いたします。大変失礼いたしました。「ヘボ業者」タグも削除しておきます。今後は、PHP5 対応サーバーを提案して Ktai Style を使って頂きますようお願いいたします。Ktai Style が使えれば、Mobile Eye+ を使う必要もなく、アダルト広告問題も発生しませんから。
なお、次世代教育研究会およびつくばオールスターチアへも、すでに個別に問い合わせを送信しています。ユーザーが自身で Mobile Eye+ を入れたとすると、こちらからの返事が重要になってきますね。
ポルノ広告自体がダメではない
以前から当サイトでは、Moible Eye+ が画像変換や PC サイトの変換のためにリンクしている外部サービスに「ポルノ広告・出会い系広告」を出すものがある、ということを注意喚起していますが (「子供向けサイト構築に Mobile Eye+ を使ってしまう業者」「Mobile Eye+ を紹介するなら URLGATE 機能に触れるべき」)、その意図について、ちょっと誤解されている投稿を見かけました。
※ 当サイトは個人用memoとはいうものの一応外部に公開しているため、今回のエントリは一部内容を制限しました。通勤ブラウザと Google Gatewayに関しては作者様が懸念されている”ポルノ広告／出会い系／アダルト広告が出てしまう”ということがなく、こちらのBLOGのコメント欄でも「通勤ブラウザと Google Gateway に絞れば問題ないかと思います。」と発言をなさっていることからOKだろうと判断して記載していますが、”ファイルシーク””づら”等の他のものに関しては、安易な利用を避けるためその方法等を記載しないこととしました。また、申し訳御座いませんがこのエントリはコメント欄を閉じさせていただき、メール等でご質問頂いても一切の返答を致しかねます。何卒ご理解のほど宜しくお願い致します。
わたしが書いた記事どちらにも「プラグイン設置者がそういう仕様であることを理解した上で使うのは構わない」という趣旨を書いてあるのですが、どうやら「アダルト広告を出すこと自体が好ましくない」と誤解されているようです……。まあ、Mobile Eye+ を URLGATE オンで使用しているサイトを見つけるたびに、「アダルト広告が出るけど大丈夫ですか」とコメントを書くというネガティブキャンペーンをしていると、そう思われても仕方ないかもしれません
実のところ、プラグイン作者が「大人向け広告が出てしまうような機能を付けること」自体は表現の自由の範囲だと思っています。ただ、そういう機能は万人向けと言えなくなるため、ドキュメント等で明記する必要があると考えているわけです。Mobile Eye+ の問題はまさにその「取扱注意な機能が明示されていない」ことにあります。そして、Mobile Eye+ を紹介する人も、その問題点に触れないことがほとんどなのです。(注意:「ポルノ・出会い系広告が出るような機能は万人向けではない」ことを自明としています)
同様に、サイト設置者が*能動的に*ファイルシークや z.u.la を利用するのも表現の自由であるわけで、別に構わないわけです あえてこれらのサービスを使おうとする人は、すでに「アダルト広告つきサービス」であることを知っているでしょうし。
なお、わたしはあまりヨソのサービスやプラグインを信用していないので、Ktai Style の標準機能として、Google や通勤ブラウザ等の外部の変換サービスを使う仕組みを付けることはないでしょう。
Mobile Eye+ を紹介するなら URLGATE 機能に触れるべき
以前も書きましたが、まおうさん作の「Mobile Eye+」には、デフォルト設定でポルノ広告や出会い系広告が出てしまう項目があります。画像変換や外部サイトへのリンクに変換サービスを使うという URLGATE という機能がそれで、そこから呼び出される外部サービスにアダルト広告があります。画像変換は「画像リサイズ」「ファイルシーク」「ピクト」を使いますが、これらは「画像やPCサイトの変換時にポルノ広告／出会い系広告が出る」という仕様です。
残念ながら Mobile Eye+ のドキュメントには、「アダルト広告が出る」ことの記述はありません。以前作者に要望して、どういうサービスを利用しているかの記載はして頂けましたが (ver 1.2.1 で対応)、もう一歩踏み込んでもらいたかったところです……。
Ktai Style の登場前は Mobile Eye+ が一番機能豊富だったこと、Ktai Style は PHP4 未対応なことなどで、Google 検索では Ktai Style が1位にはなっていません (Yahoo! Japan なら1位なのに)。このためか、未だに Mobile Eye+ を紹介する人が相次いでいます。それ自体は別にいいのですが、前述した「ポルノ・出会い系広告」問題に触れてないことがほとんどです。そうすると、知らず知らずのうちに、携帯での閲覧者に「あやしい広告」を見せてしまうことになり兼ねません。プラグイン設置者がそういう仕様であることを承知の上で利用するならいいと思うので、Mobile Eye+ の紹介の際には、URLGATE 機能について注意を喚起することが必須であると考えます。
きょうも、「ワードプレスで携帯サイト構築」という記事を見つけましたが、大人のおもちゃ店ならいざ知らず、「物販サイトでアダルト広告が出る」のは、かなりやばそうですね ちょっと古い記事では以下のようなものがあります。
- 「携帯電話対応」(北海道学生サッカー連盟)
- 「WordPress携帯用プラグイン『Mobile Eye+』」(神木 龍オフィシャルブログ)
サッカー連盟でアダルト広告が出るのは、保護者から苦情が出ないのかな?? 神木龍さんの場合「ネットビジネスしている人が Mobile Eye+ *しか*紹介してない」ので、スキルに不安を感じてしまいます。プロだったら、Mobile Eye+, MobilePress, Ktai Style, WordPress Mobile Plugin ぐらいは並べて比較して欲しいところです。
[追記] 大本山(?)というべき WordPress Plugin DB Japan も URLGATE に言及してないですね……。シンプルに紹介するというスタイルなので仕方ないのですが、URLGATE 機能は「取扱注意」だけに、記載してほしかったところです。なお、更新が去年7月で止まっているようで、Ktai Style は紹介してもらえていません。しくしく。
[追記 2008-05-15] さきほど北海道学生サッカー連盟のサイトを見てみると、送信したトラックバックが削除されていました。しかし、URLGATE 機能は有効なので「ポルノ広告が出る」状態はそのままです。ということは、「北海道学生サッカー連盟は、閲覧者にアダルト広告を見せるのを是とする」ポリシーであると考えられます。しかし「このサイトについて」では「公序良俗に反する書き込みは固くお断りいたします」となっているため、連盟自身はアダルト広告はふさわしくないと考えているはずです。これは自己矛盾ですね。上位団体である「全日本大学サッカー連盟」にチクろうと思いましたが、ここはサイトリニューアル中です……。Google さまに伺ってみると、2003年時点のキャッシュでは、以下の住所・電話番号のようです。さっそく電話で質問ですね
- 全日本大学サッカー連盟
- 〒113-0033 東京都文京区本郷3-10-15 JFAハウス10F
TEL 03-3830-1850 FAX 03-3830-1851
前の「土浦市相撲連盟の場合」では、メールの返事はなかったものの、しばらくすると URLGATE が外されていました。本当ならばきちんと返事がほしいですね。スポーツ屋さんってのは、こういう体質なのかな……。
[追記 2008-05-19] 全日本大学サッカー連盟に電話してみましたが、北海道サッカー連盟のウェブ運営に口出しする権限はないとのことでした。独立性があるということで、それ自体は好ましいことなんですが、「アダルト広告はやめてよ」という意見すら言えないのはどうかと思います。
[さらに追記] 情けないことに、WordPress フォーラムでの Ktai Style 紹介文で Mobile Eye+ に言及してるのに URLGATE に触れてませんでした。これはよくないため、かんりしゃ殿に依頼して修正して頂きました。
[追記 2008-05-21] 「猫と太陽堂」という (おそらく) 個人事業者が「MobilePress から Mobile Eye+ に変えた」と紹介していました。残念ながら URLGATE 問題に言及せず、サイト自体も URLGATE オンです。また、標準のパーマリンクなので Mobile Eye+ のバグにより、前後の投稿へのナビゲーションでも URLGATE 経由になっています (外部リンクと認識してしまう)。これは事実上「アダルト広告つきサイト」と言えるでしょう さらに、メール投稿ツールとして「SOMY Mobile Gate」を紹介しているのも、情報蒐集能力に乏しいと言わざるを得ません。なんで 2005年にリリースされた古いツールをあえて選ぶのかなあ?? (枯れた、じゃなくて純粋に古い、です) だいたい、使っている WordPress が「ME 2.2.3 のまま」というのも、ウェブ構築業者としては致命的にまずいでしょう。2.5 系統はテスト環境でいいので味見しておかないと。
子供向けサイト構築に Mobile Eye+ を使ってしまう事例
またまたヘボ業者を見つけてしまいました。今回は、子供向けサイトの構築に Mobile Eye+ を使ってしまったという事例です。それだけでは何が問題か分かりにくいのですが、Mobile Eye+ は、画像変換や外部サイトへのリンクに変換サービスを使いますが、そこにポルノサイト広告があるのです!! (追記:「アダルト広告」は生温い書き方と思うので、あえて「ポルノ」と表記します) 画像変換は「画像リサイズ」「ファイルシーク」「ピクト」を使いますが (これらのリンクにはポルノ広告なし)、そのうちファイルシークは「画像やPCサイトの変換時にポルノ広告が出る」という仕様のようです (画像を参照)。(追記: 画像リサイズもポルノ広告が出て、ピクトは出会い系広告が出ます)
Mobile Eye+ が「少し怪しげな」外部サービスを使うことは以前から疑問に思っていますが、プラグイン設置者がそういう仕様であることを理解した上で使うのは構わないと思っています。しかし、今回はウェブ構築業者による設置なので、構築を依頼した「土浦市相撲連盟」がその仕様 (画像変換でポルノ広告が出ること) を知らない可能性があります。もし、業者がそういう仕様をクライアントに伝えていると、クライアントが Mobile Eye+ の使用を許可するわけがないので、今回は業者がズボラすぎるわけです。(しかも、Mobile Eye+ のバージョンが 1.1.8 って何よ)
とりあえず、土浦市相撲連盟には「携帯で見るとポルノ広告が出ることがある」旨は伝えました。しかし、サーバーの PHP は 4.4.7 なので Ktai Style への変更は無理っぽいですね……。
[追記] 今回の記事は、「Mobile Eye+ が使う外部サービスにポルノ広告が出るものがある」ことを周知するのが目的です。Mobile Eye+ を設置した人の中には、そういう仕様を知らない人も多そうですから、「まずい事例」を出して危機感を煽っています そうなると、結果として業者叩きになってしまいます……。でも、今回の業者は WordPress を使うことによって安く押えていることは評価すべきでしょう。Movable Type + ケータイキットで10万円オーバーの費用をかけるボッタクリ業者に比べると良心的ですから。
[追記 2008-07-15] この業者は、またも URLGATE オンのサイトを制作していました。いい加減にしてよ〰。→ 業者じゃなくてユーザーが勝手に Mobile Eye+ を入れた模様です。事実と異なる可能性があるため、タイトルを変更の上「ヘボ業者」タグを解除いたしました。