CookieHookey

メールアドレスをネットで公開する時

Sun, 20 Sep 2026 00:00:00 +0000

インターネット上でメールアドレスを公開する際に､そのままのテキストで公開すると､ボットに収集され､スパムに利用される｡基本的に､少し手間がかかる程度で､botを完全に防ぐことは難しいが､ボット対策について紹介する｡

アイデア

ボットにはわかりにくく､一方でユーザーにはわかりやすくできるようすると､以下のような方法があるようだ(4と5は､mailtoが使えるが､それ以外は使えなくなる)｡

画像で表示する
全角文字で表示
@を用いない(★や画像で表記)
HTMLエンティティ表記で表示
JavaScriptの処理後に表示されるようにする

JavaScriptの処理後に表示されるようにする

以降は､5のJSを用いた方法を紹介する(このサイトのコードを参考にした)｡

ちなみに､Cloudflareのメールアドレス難読化機能を用いれば､特別準備は必要ない｡今回は､CFは用いず､自前で､予めアドレスを暗号化しておき､JSで都度復号化することになる｡

メールアドレスの暗号化

下記JSの内､emailAddressとencryptionKeyの変数を入力してから､実行する(例えばFirefoxでF12を押して､Consoleタブで実行)｡

実行後に､2桁の数字を羅列した配列が出力される｡

// 新規コンソール画面で実行する

function encrypt(text, key) {
 return Array.from(text).map((char, i) => 
 char.charCodeAt(0) ^ key.charCodeAt(i % key.length)
 );
}

const emailAddress = "abc@example.com";
const encryptionKey = "go@away.ee";
const encrypted = encrypt(emailAddress, encryptionKey);

console.log(encrypted);

出力内容

上記関数にメールアドレスとキーを入力すると､下記配列が出力された｡

[6,13,35,33,18,25,24,67,21,9,2,65,35,14,26]

クリックで復号化する関数

下記コードに､暗号化に用いたキーと､出力された配列を入力する｡このコードをHTML内に貼り付けておけば､onclickで関数がJSで処理され､実際のメールアドレスに書き換えられる｡

<script>
const encryptionKey = "go@away.ee";
function reveal() {
 document.getElementById("email").innerHTML =
 [6,13,35,33,18,25,24,67,21,9,2,65,35,14,26]
 .map((c, i) => String.fromCharCode(
 c ^ encryptionKey.charCodeAt(i % encryptionKey.length)
 )).join('');
};
</script>
<p><span id=email onclick=reveal()><a href=#>クリックでメールアドレスを表示する</a></span>

kindleでニュースを読む

Wed, 16 Sep 2026 00:00:00 +0000

RSSなどのフィードを使って､kindleでニュースなどの記事を読む方法

構成､流れ

サーバーで行う作業
- ebookの作成: フィードからデータを取得してepubを作成
- メールの送信: 作成したebookを､kindleライブラリに送信
kindleライブラリー
- ebookの保持と配布
端末
- ebookの受取と閲覧

サーバーで行う作業

フィードの取得･ebookの作成をcalibreで行う｡

ファイル構成

# パスの通った場所に実行ファイルと設定ファイル､calibreのレシピも用意する｡
$ ls -l ~/bin
-rw-r--r-- 1 mg mg 223 Jun 16 12:03 conf.txt
-rwxr-xr-x 1 mg mg 1728 Jul 27 09:45 rsstokindle.sh

$ ls -l ~/.config/calibre/custom_recipes
-rw-r--r-- 1 mg mg 2225 Jul 17 09:03 news_1111.recipe

recipeの用意

calibreのGUIから用意しても良い｡ feeds=[]内に同じフォーマットで列挙していけば､複数のフィードを登録できる｡パラメーターは好みに応じて設定する｡

$ cat news_1111.recipe
# vim:fileencoding=utf-8
from calibre.web.feeds.news import BasicNewsRecipe

class AdvancedUserRecipe1678082873(BasicNewsRecipe):
 title = 'news'
 oldest_article = 7
 max_articles_per_feed = 10
 auto_cleanup = True

 feeds = [
	('https://cookiehookey.neocities.org/index.xml'),
 ]

conf.txtの中身

KINDLE_ADDRは､send to kindleで使う送信先のアドレス､amazonのページから探す(参照)

富士登山

Thu, 03 Sep 2026 00:00:00 +0000

企画

登山経験は､覚えている範囲で､大山､高尾山､涸沢カール(モルゲンロートを見に行った)くらい｡

なんとなく富士山に登りたいと思って､7月くらいにツアーを探し始め､Yamakaraツアーの富士山登山ツアーに申し込んだ｡

Yamakaraツアーは､登山道具のレンタルで有名な｢やまどうぐレンタル屋｣をやってる株式会社フィールド＆マウンテンの別サービス｡そのため､安心感も在るし､登山に必要な道具一式を借りられ､料金的にもお得だった｡

登山ルート

ツアーでいくのはプリンスルートと言われるルートで､現在の陛下(徳仁様)が皇太子時代にご利用になったルートだ｡主に富士登山のルートには､吉田､須走､御殿場､富士宮の4つあるが､プリンスルートは変則的で､出発は富士宮口だが御殿場口ルートへ合流する｡特徴としては､登山口の内一番高い標高からスタートでき､混雑を避けられる御殿場ルートで登っていくことにある｡

ツアーでは､ご来光は8合目の山小屋(赤岩八合館)で見る行程になっており､寒い中混んでいる頂上までいかないで済むのもいいところだと思った｡

準備する荷物

レンタルしているので､準備が必要なのは､肌着と､その他少し(ティッシュ､医薬品とか)だけ｡

服装

服装は重要なので､詳しくまとめる｡

登山環境は以下を想定
- 気温は真夏〜真冬(麓は夏､5合目は20度くらい､山頂は0度､氷点下)を想定
- その他の悪環境(雨風､湿度､標高)
レイヤリングについて
- ドライレイヤー(肌面の乾燥): 汗を外のベースレイヤー側に押し出す
- ベースレイヤー(汗を吸う): 吸収速乾のシャツ(ウール､化学繊維)､コンプレッションウェア
- ミドルレイヤー(保温着): フリースとか､ダウンとか
- アウター(雨風から守る): レインウェアとか
登山環境を考慮して安価でレイヤリング出来るもの選択

登山本番

富士宮口の時点で､結構標高は高く､パンはパンパンである｡

天気が非常に良く､登山口の時点で雲海がきれいに見えた｡

これから登っていく

宝永山付近での雲海

山小屋に到着してからの影富士

山小屋の中､結構狭い｡奥の奥で寝ることになった｡たぶん一番外に出にくい場所｡

山小屋からの夜景

山小屋からのご来光

太陽が登り出てくるところ｡顔を出してから急に加速したように感じた｡

2日目も晴天

山頂付近

山頂!

火口｡ぐるっと周るのがお鉢巡り

剣ヶ峰

パンもパンパンお腹もパンパン

全体で言うとかなりきつかった｡登山自体は､体力的にはいいトレーニングになったという感じで､それほどきつくはなかった｡ 3000mを超えたあたりから高山病の症状は出たけど､無理せず動ける感じ｡

ただ､登山当初から､おなかのガスがパンパンで､気圧も原因なのか､どんどんパンパンになっていった｡途中､ところどころトイレはあるのだが､100円玉を30枚くらいまとめていたケースを紛失して､できるだけ行かないようにしていた｡

トイレに行っても､団体行動なのですぐ出発しないといけないし､行っても出るのはガスばかり｡登山中に出そうにも､ツアーなので隊列を外れて､ガスを出すこともできず､そもそも身もでそう｡どんどんパンパンになった｡

宿のトイレも､入っても混雑してるから､あまり時間を使えない｡山小屋で寝ているときも､どんどんガスが溜まって､すぐ起きた｡でも出せない｡トイレ行きたくても､一番奥の奥なので､できるだけ行きたくないし｡ガスがたまりすぎて､お腹が痛くなった｡

きれいな景色を見ても､食事を食べても､ガスが溜まってることしか頭になかった｡登山･景色が2割､ガスが8割くらい｡

トイレ用のお金を用意する､トイレにある程度時間が使える､途中でガス抜き出来る､宿のトイレが使いやすいなどが揃えば､快適に登山できたと思う｡

参考にしたサイト一覧

情報一般

https://www.fujisan-climb.jp/

主に荷物リスト

https://fuji-climb.com/motimono/list/

レイヤリングの参考

固定デバイス名を設定する

Tue, 21 Jul 2026 00:00:00 +0000

問題点

デバイスは､差し込む順番により､/dev/input/下において､event0になったり､event1になったりと名称が変わる｡キーバインドを変更する際､指定先のデバイス名が変わってしまうと適用されない｡

解決方針

udevを用いて､参照先をエイリアスという形式で固定できるようにする｡具体的には､/etc/udev/rules.d/下にudevルールを記載したファイルを作成することで固定する｡

voidlinuxでパッケージをダウングレードする

Tue, 21 Apr 2026 00:00:00 +0000

voidlinuxでは､カレンダーにcalcurseを使っている｡最近versionが4.8.2になると､calcurse-caldavで同期時に作成されるlockfileが､同期完了後に削除されなくなった¹｡そのため､手動で削除しないと新たに同期ができないので､calcurseをダウングレードすることにした｡

ダウングレード

version4.8.1であれば､問題なかったので､下記を実行する²｡

# xdowngrade /var/cache/xbps/calcurse-4.8.1_1.x86_64-musl.xbps
# calcurse -v 
calcurse 4.8.1 -- text-based organizer

アップデート時の除外

パッケージ全体のアップデート時に､まとめてアップデートされてしまうので､一旦除外する｡

# xbps-pkgdb -m hold calcurse

下記を実行して､calcurseがholdになっていて､実行してもアップデートされなければ除外できていることが確認できる｡

sudo xbps-install -Su

基本情報技術者試験の受験記録

Sat, 24 May 2025 00:00:00 +0000

基本情報技術者試験を受験したときの記録をざっくりとまとめようと思う｡ LinuCレベル1を受験したときと､教材は違うが､取り組み方は同じ｡

学習計画

まず最初に見通しを建てる｡

学習時間

下記を参考に試験日のあたりを想定する｡

一般的にどれくらいの学習時間が必要とされているか
自分はどれくらいの時間を1日割当られるか(仕事がある日､休みの日)

後は実行しつつ､1日の学習量を継続できる範囲に増減し､平均値を得る｡平均値を元に試験日の想定を前後する｡

学習内容

試験の概要を抑え､どの教材を学習するのかを事前に決めておく｡よく用いられる教材は何かなど｡

色々調べた結果､私は､以下に絞った｡

科目A: 学習(youtube¹､スマホアプリ²)､演習(過去問道場³)
科目B: 学習(youtube⁴)､演習(公式サンプル問題､youtube⁵､note⁶)

学習の流れ

科目A -> 科目B -> 科目A･Bの残り･深堀･演習

科目A

youtubeで学習
過去問道場
- 直近10年に絞り一通り行う
- 間違えた問題だけを復習

科目A･B

過去問道場で､ランダム模擬試験(75%以上が安定するように)
youtubeで科目Bオリジナル問題演習

結果

試験結果

科目A: 770/1000(合格点600)
科目B: 750/1000(合格点600)

感想

試験本番では､過去問に取り組んだ問題ともけっこう違い､あまり参考にならないなという気がした｡それでも､なんとか食らいついて､合格点は超えたという感じ｡

安心感という意味では､科目Aは有名な書籍を1冊買ってもよかったかなと｡演習は､過去問道場の最近10年とかでも十分なのかも｡

科目Bについては､取り組み方の改善点は特別思い浮かばない｡手に入る分の問題を入手して､これなら行けそうだというところまで繰り返すという感じだろうか｡

全体的に､LinuCレベル1と比べると､結構対策が難しいのかも｡

使用させていただいた教材の制作者様､ありがとうございました｡

【基本情報技術者試験YouTuber】すーさん ↩︎ ↩︎
一番やさしい基本情報技術者のアプリ｡メインでは使用せず｡問題の難易度を把握したり､気分転換程度｡ ↩︎
基本情報技術者試験ドットコム ↩︎
【基本情報技術者試験YouTuber】すーさん｡前出の注釈1¹と同様 ↩︎
実践の鬼:IT学校さいとうさん ↩︎
rise13さんと､さぶいちさん ↩︎

LinuCレベル1の受験記録

Thu, 22 May 2025 00:00:00 +0000

LinuCレベル1を受験したときの記録をざっくりとまとめようと思う｡

学習計画

まず最初に見通しを建てる｡

学習時間

下記を参考に試験日のあたりを想定する｡

一般的にどれくらいの学習時間が必要とされているか
自分はどれくらいの時間を1日割当られるか(仕事がある日､休みの日)

後は実行しつつ､1日の学習量を継続できる範囲に増減し､平均値を得る｡平均値を元に試験日の想定を前後する｡

学習内容

どの教材を学習するのかを事前に決めておく｡よく用いられる教材は何かなど｡

色々調べた結果､私は､LinuCイージス､Ping-tの2つに絞った｡

学習の流れ

LinuCイージスを読む
- ざっと読む感じで､特にメモは取らず｡後で問題を解くときに､そういえば書いてあったなと思い出せるくらいでいい｡
Ping-tを1回目解く｡
- 解説を読んでメモしたいところはメモする｡特に正解の選択肢が正解となる理由など｡
- 1回目間違えた問題を再度解く｡
Ping-tを2回目解く｡
- この時､解答を記述してから選択肢を見る(記憶の定着と､コマ問の練習)｡
- 解説を読んでメモしたいところはメモする｡
- 2回目間違えた問題を再度解く｡
Ping-tの模擬試験を2回位､正解率が85%くらいならOK｡
- 試験予約をする(問題演習2周目終了時に予約したかも)｡
Ping-tのコマ問
- コマ問の出題は2割程度なので､最終調整でちょっとやる程度｡試験当日とか､前日の余った時間に行う｡

結果

学習時間

トータルで85時間
- LinuC101: 46時間
- LinuC102: 38時間

一般的には､100〜160時間(1〜3ヶ月)

試験結果

LinuC101: 760/800(合格点480)
LinuC102: 773/800(合格点480)

学習メモ

学習メモは､普段使ってるメモアプリにまとめた｡｢そういえば何だったっけ｣というときに検索して再確認できるようにした｡

学習メモは､全部メモしようとせずに､問題演習を繰り返すごとにメモが充実していくようにした｡

学習記録

学習計画､学習メモ､学習記録もすべて普段使ってるメモアプリにまとめた｡

進捗､学習時間の平均値､バックログの確認をできるようにした｡

コツ

AIを利用した｡
- わからない内容は､chatgptに質問してある程度掘り下げたりした｡しかし､深堀し過ぎないように注意した｡
ポモドロの利用
- 学習サイクルの管理にポモドロを利用した｡学習計画･学習時間には､ポモドロ(25分)で何回分なのかで管理した｡
試験予約は､CBTかつ､平日受験が可能だったので､直前でも良かったというのはあった｡

スナック感覚でできる運動:タバタ

Sun, 01 Sep 2024 00:00:00 +0000

健康維持には運動が必要ですが､まとまった時間が取れなかったり､面倒臭いと思うこともあると思います｡そんなときに気軽にできるタバタという運動方法を紹介します｡

手軽にできる運動もいろいろあります

昨今のエクササイズ業界では､calisthenicsとHIITというものが話題になっています｡

calisthenicsは､段階が進むごとに負荷が増すようになっている自重トレーニングです｡目的は､筋力強化です｡

HIITは､短時間･高負荷のインターバルトレーニングです｡目的は､心肺機能強化です｡タバタという方法は､HIITの一部として位置づけることができます｡

タバタ

HIITの場合､運動内容､運動時間､休憩時間､反復回数が変数になります｡ただ､タバタの場合､運動内容以外は決まっています｡

タバタでは､20秒の運動､10秒の休憩の30秒を1セットとして､合計8セット繰り返します｡つまり､合計時間は4分のエクササイズスナックです｡

運動内容はさまざまありますが､心肺機能に負荷がかかる程度速く行える動作が良いので､バーピージャンプや､スプリント(その場で全力疾走)あたりがおすすめです｡筋力トレーニングとは目的が違うので､ゆっくりとした動作ではいけません｡運動中はできる限り全力で速く行います｡運動後にすぐには動けないくらいだと十分運動できていると思います｡

効果は､ジョギング45分に相当するという話もありますが､全く同じではないので､目安程度に捉えましょう｡例えば､腸の活動を活発化させたいというような目的であれば､やはりその分だけの有酸素運動を別途した方がいいでしょう｡

タイマー

タバタを行う際には､それ専用にタイマーの設定をすると便利でしょう｡スマホのアプリなど探すとあるかもしれません｡

以下に､PCで行う用のシェルスクリプトを載せておきます｡環境はlinuxで､コマンドはtermdownとepeakが前提です｡

#!/bin/bash
# 5秒間の準備時間
termdown 5 -T Ready? -p 'Are you ready?' -v 'en-gb'
# tabataのループ開始
for (( i=1; i<=8; i++ ))
do
 espeak "Burst$i"
 termdown 20 -T "Burst / $i" -v 'en-gb'
 espeak "Rest$i"
 termdown 10 -T "Rest / $i" -v 'en-gb'
done
espeak "Finish"
echo "Finish"

おわり

天候や確保できる時間に左右されずに､気軽にできる運動について紹介させていただきました｡

vimの奇妙なエラー

Sat, 06 Jul 2024 00:00:00 +0000

nvimでファイルを編集をしようとすると､swapファイルを作成できない､というような一見よくわからないエラーが出たことがあった｡

奇妙なエラー

#aaaaa~aaaaは開こうとした任意のファイル
E303: Unable to open swap file for "aaaaa~aaaa", recovery impossible

普通のテキストファイルなのに開けない｡ファイルのpermissionは問題なし｡ swapディレクトリの指定も問題なし｡他のファイルであればnvimで開ける｡不思議なことに､開けなかったファイルを他のパスに移動させると開ける｡

原因

結局は､ファイルの名前が長すぎたことが原因だった｡直接touchで長い名前のファイルを作ろうとすると明確なエラーが出るのだが､nvimだと名前が長いことを指摘してくれない｡

touch "aaaaa~aaaa" 
touch: cannot touch 'aaaaa~aaaa': Filename too long

swapファイルは､パスを含めるため､パスによりswapファイル名は長くなったり､短くなったりする｡その関係で､このパスだと開けるし､別のパスでは開けないということが起こったようだ｡

ちなみに､もともとのファイル自体はwindowsで作成していた｡ OSによって対応できるファイル名の上限は違うので､windowsでは開けても､linuxでは開けないということだったらしい｡

アサンジの解放

Sun, 30 Jun 2024 00:00:00 +0000

アサンジが解放された｡アメリカとの司法取引により､一部容疑を認めることで､イギリスでの勾留期間をもって刑期を終えたことにされたようだ｡メディアのいくつかの記事を読んだが､美談としてまとめられているなという印象だ｡豪州の働きかけの努力が実ったみたいな話でまとめられているが､政治に美談はあるのだろうか｡物語調で描かれている記事もあり､何か演出くさいものを感じる｡

アサンジ解放の動機

一般に､個人の行動には内発的動機はあっても､組織としては外発的動機しかない｡つまり､アサンジの解放は､政治が絡む以上､何らかの目的のために取られた行動であって､決して美談では終わらない｡

目的は何か｡まず思いついたのは人気取りである｡政治は国民の支持が必要だから､国民が求めることをある程度は行い､憂さを晴らす必要がある｡アサンジの解放には､世界規模の運動があったので､それは達成できる｡

ただ考慮しておくべき点がある｡アサンジは国の暗部､諜報や軍事の機密を暴露していたということだ｡アサンジの解放は､暴露されたくない部分を暴露されるというリスクが必然的に付きまとう｡

単なる人気取りで､今回のアサンジ解放のリスクをペイできるだろうか? そうは思えない｡なぜ､大きなリスクを取るような行動をしたのか｡

政治的舞台装置としてのwikileaks

考えられるのは､暴露される側ではなく､暴露する側に回ろうという思惑があるからなのではないか｡暴露される側でいる限り､人気を取ろうがリスクが大きい｡機密情報を暴露しないような人を解放すればいいだろうし､そもそも別の方法で人気を取ればいい｡ wikileaksという舞台装置を積極的に利用する目的でしか､アサンジ解放の理由は説明できない気がする｡

今回の関係国は､米英豪であり､米国はちょうど選挙の年だ｡豪州からの要請で米国が司法取引を受け入れることになったようだが､タイミングが良すぎる｡選挙に向けて､さらには別の政治的戦略のために､wikileaksが動くのかもしれない｡

メディア: 音楽

Sun, 21 Jan 2024 00:00:00 +0000

ストリーミングで音楽を聴くと､ネットワークやサーバー側の影響を受け､安定して再生できない｡例えば､長時間の再生であったり､しばらく放置してから再開するとき｡やはり､ローカルにあるデータを再生する方が安定する｡

soundcloud

scdlで､soundcloudから入手できる｡

30秒などの短い音楽を除外するには､入手後にfindで削除してもいい｡

find . -type f -size -700k -delete

身体的健康の要諦

Fri, 04 Aug 2023 00:00:00 +0000

健康とはバランスであり､全体である｡語られる際には､部分的に語られる傾向にある｡マーケティングにより､商品やメソッドは知られても､背景にあるコンセプトや全体感までは伝わりきらない｡手段に溺れ､目的を見失っていては意味がない｡

健康の要諦

健康を一言でいうならば､血である｡

生きとし生ける物､血が体の中を循環している｡栄養を運んだり､不純物を取り除いたりしてくれる｡代謝のためには､血が必須だ｡

一般的に､健康に重要だと言われることは血を良くすることに繋がっている｡例えば､運動や､ストレッチ､マッサージ､体を温めることは､血の流れを良くする｡運動不足により､血の流れが滞ると痛みや寒気等が生じる｡他方で､低糖質､ヴィーガン､ゲルソンといった食事法は血の構成要素を良くすることを目的とする｡

階層にすると以下のようになる｡

血
├── 流れを良くする
│   ├── 運動
│   └── その他(体温維持/姿勢･呼吸/マッサージ･ストレッチ)
└── 構成要素を良くする
    ├── 光 
    └── 食事(栄養､血糖値スパイク､マクロファージ)

概説

以下を簡単なヒントとする｡

血流

流れを生み出す第一要素は､運動である｡ “さぁランニング行きましょう"とかではなく､活動､動くこと全般を意味する｡アクティブカウチポテトという状況をさける意味でも､強度よりは､頻度を意識する方が良い｡人間は､時代が変化しようとも､腐っても､動物である｡

運動をベースとして､補助的に､マッサージなどその他の要素を取り組むと良い｡

アクティブな運動例

基本は､全身運動(ランニングやサイクリングなど)が良い｡筋力トレーニングは､目的に合わせて取り組み､筋骨格のバランスを崩さないように注意する｡

有酸素運動: ウォーキング､ランニング
筋力トレーニング: スクワット､もも上げ､腹筋､腕立て伏せ､calisthenics
その他: ぷるぷる体操(3分くらい全身をぷるぷるさせる)､全身ストレッチ

体温維持

冷たいものは取らず､温めてから飲み物を飲む｡黒糖生姜紅茶とか｡
陰陽の考えを取り入れる(体温を温めるためには､ナッツとか､乾姜がいいとか)
寒い季節は特に､腹巻きをする｡

構成要素

光

太陽光などを浴びることで､メラトニンが抑制され､概日リズムが修正される｡また､紫外線(B波)を浴びることで､ビタミンDが合成される｡

太陽光を浴びることができない環境の場合は､光治療に取り組む｡

食事例

糖質ダイエットという言葉が流行っている?が､重要なことは痩せる痩せないではない｡血糖値が寿命に関連するという点が重要だ｡

血糖値を上げるホルモンは複数あることに対し､血糖値を下げるホルモンはランゲルハンスで分泌されるインスリン1つしかない｡血糖値スパイクは体に負担をかけるように思う｡さらに､インスリンの分泌が老化と関連するという事象は､人間も例外ではない｡血糖値スパイクを避けるなど､血糖値の管理が健康や寿命に寄与するだろう｡とは言うものの､低血糖ならいいというわけではない｡

具体的には､

バランス(食物繊維を取ること､主食を取りすぎず､タンパク質等も取る)
お腹いっぱい食べすぎない(お腹が減ったら何か食べればいい)
食後の軽い運動(食後30分~90分が血糖値が上昇しやすい)
食事回数を減らす

まとめ

具体的な方法は､千差万別､百人百様､十人十色､三者三様といえる｡特に決まりはないように思う｡様々な健康法が発表されているが､端的に言えば､取り組みやすさと相性が重要だろう｡全体感を把握しておくと､実践しやすいだろう｡

入力の効率化

Sat, 22 Jul 2023 00:00:00 +0000

キーボード配列､キーバインドといったPC入力の効率化について触れようと思う｡

キーボードレイアウトを効率化

直接入力

日本ではqwertyが主流となっているが､PCになった現在ではデフォルトであるということ以外に特にメリットはないように思う｡入力の効率を重視したレイアウトには､dvorakを始め､colemak､workmanなど種々存在するので､自分にあったものに変えるとだいぶ楽になる｡

私の場合､qwertyからdvorakに変更することで､多少入力は速くなった｡ただ､どちらかというと入力が楽､疲れにくいという方が実感に近い｡

日本語入力

日本語入力においては､ローマ字入力以外には､かな入力や親指シフトなどが有名どころとして挙げられる｡かな入力はqwertyのローマ字入力と比べても､指を大きく動かす必要があるため､速度は出ても､疲れやすい｡親指シフトは､ローマ字入力の順打鍵に対し､同時打鍵であるため､だいぶ癖がある印象だ｡

私は､同時打鍵の新下駄配列(中指シフト)をしばらく試したことがあったが､順打鍵の方があっていると感じた｡単純にdvorakのローマ字入力にするだけでも､日本語入力は､楽に速くなる｡今では､dvorakベースのjlodを利用している｡

実現方法

linuxの場合

guiなら､設定のキーボードレイアウトあたりから変更できると思う｡ cliの場合､setxkbmap dvorakと入力する｡

日本語入力を直接入力とは別(jlodなど)にする場合は､IME(fcitx5のmozcなど)で､ローマ字表を設定するか､インポートする｡ nlodというjlodから更に改変された配列のデータはネットにあった｡

キーバインド

ここまでで､文字入力の効率化について触れた｡次は､キーボード操作を効率化する方法について扱う｡

入力に対して､出力を変えると楽に操作できる｡例えば､次のようにすると､手を移動させずにカーソル移動できる｡

 無変換+s:←
 無変換+d:↓
 無変換+f:→
 無変換+e:↑

さらに､SandSを設定すれば､shiftキーを小指で押さずに済む｡

 space単体: space
 space+文字: 大文字

その他capslockをcontrolキーにしたり､vimユーザーならcaps単体をescにするなどのノウハウがある｡

キーバインドを実現する方法によってできることには制限があるが､下記のようにいろいろ組み合わせて効率化できる｡

単体のときの出力
長押しのときの出力
他のキーと複合のときの出力

実現方法

windows

autohotkeyを用いる｡先程のdvorakjもautohotkeyのスクリプトだ｡ちなみにmousegestureLは､autohotkeyをマウスにまで拡張していて､マウスのカーソル操作も効率化できる｡

linux

xkeysnailやinput-remapper､kmonadなどがある｡ xmodmapやxcapeは､authotkeyに比べると機能が限定的に感じる｡マウス操作に関しては､easystrokeがあるにはあるが､xorg関連?のエラーが出て､使えなかった｡

まとめ

直接入力､日本語入力､キーバインディングを変えることで入力を効率化について暑かった｡その他､IMEやWindow managerのショートカット､ブラウザの拡張機能などを組み合わせるとより操作しやすくなるだろう｡

洗鼻薬･洗眼薬の作り方

Thu, 02 Mar 2023 00:00:00 +0000

鼻うがいや､洗眼に使える溶液(生理食塩水)の作り方｡

精製水を用意

精製水(純水)は､薬局で130円(500ml)程度で売られている｡

食塩投下

精製水の容器に､0.9%の食塩(500mlなら､4.5g)を入れ､溶け切るまで振る｡

鼻うがい

鼻洗浄用の容器は､それらしいものを用意するか､最初だけ溶液とセット販売されているものを購入する(500mlで1000円くらい?)｡

パスワード管理術

Sun, 12 Feb 2023 00:00:00 +0000

テクノロジーがインフラ化した現代では､行政とのやりとりでも必然的にパスワードを設定する場面に出くわす｡それ以外でも､大抵は､既に数多くのアカウントを持っていることだろう｡つまり､ユーザーネームやパスワードといった認証情報を管理することは必須と言える｡しかし､その肝心の管理方法は十分に広まっていない｡ここでは､管理方法について考察してみる｡

TLDR

パスワード(PW)は､パスワードマネージャー(PWM)で管理する
PWMは専用のNativeアプリであり､オフライン前提で､オープンソースであること
認証情報を強化する(PWMのPWはパスフレーズで管理する)

PWは､PWMで管理する

PWMを用いる理由は､PWM以外の管理方法では､毎回の入力が面倒と感じ､大抵は簡単なPWにしたくなるからだ｡ PWMであれば､自動入力であったり､コピペが可能なので､どんなPWでも作業は変わらない｡

PWMは､専用のNativeアプリ､オフライン前提､オープンソースであること

専用のNativeアプリを選択する

ブラウザなどのおまけのPWMを利用しない理由は､ブラウザをdependencyとしている以上､セキュリティが第一で開発されていないからだ｡そのため､ブラウザ側のセキュリティ第一ではない意思決定の影響を受け得る｡

オフライン前提

Webアプリ(クラウド型)を利用しない理由は､大切だと言っている情報をわざわざwebにアップロードする意味がないからだ｡暗号化されていようが､攻撃の対象になりうることは変わらない｡

デバイス間で共有したいならば､ローカル環境で､syncthingやnextcloudなどのファイルを共有する専用のソフトを使えば良い｡セキュリティを考えた時に､公開サーバーや､自分が管理していないストレージにわざわざデータを保存する必要はない｡

オープンソースであること

中身がわからないものをパッケージの文言だけで判断できるだろうか｡安全と書いてあれば､安全なのか｡中身を見て判断するできるべきだ｡オフライン前提というところにも関わるが､いつのまにかネットと通信しているアプリは結構多い｡中身を担保するためには､オープンソースしかないだろう｡

認証情報を強化する

PWMに登録する認証情報を強化する

PW

PWMで､記号や､大文字･小文字､数字を含めたできるだけ桁数･文字数の多いPWを自動でランダムで作成する｡詳細は､この後出てくる"屈強なPWとは"を参照｡

解読にかかるコストは､password entropyと言われ､bitという単位で表される｡ 48bitsより､70bitsの方が解読にかかるコストは高くなる｡例えば､Password-Entropy-Calculatorで計算できるが､実際に使うPWは入力しないでおこう｡

メールアドレス

認証情報には､PW以外にも､メールアドレスが使われることが多い｡その場合､aliasを用いてアカウントごとに違うメールアドレスを設定する｡

PWM用のPWを強化する

屈強なPWとは

PWM自体のPWは別途管理する必要がある｡端的に言えば､PWM用のPWを設定して､覚え､バックアップ用に紙に書いて保管する｡

まず､屈強なPWとは何か｡単純化すれば､桁数(文字数)である｡なるほど記号や大文字･小文字､数字を含めれば解読されにくくなるが､桁数を増やした方がより簡単に計算量を増やすことができる｡パスワード長と解読時間の関係を見ると､記号を増やすより数桁でも増やしたほうが解読に時間がかかることがわかるだろう｡

一方で､長いPWほど覚えにくくなるわけだが､PWではなくパスフレーズを用いれば対応できる｡ trimmer.proactive.tummy.tacky.tweet.crushingといったような単語の羅列がパスフレーズである｡単語のリストを用いて､ランダムに作成することが望ましい｡

PWM用のパスフレーズの決め方

パスフレーズを､オンラインで自動で決めてくれるサービスもある(ppgen.cgi)｡ただ､コンピューター上で行うものは､すべて計算可能な変数であるため､ランダムとは言い難い｡本当にランダムという意味では､コンピューター上で扱えない変数をプロセスに組み込むべきである｡

手順

サイコロを5個振り､5桁の番号を定める｡
単語リストからその5桁の番号に対応する単語をピックアップする｡例えば､サイコロの目が､ 16363 ならば､単語は enka(演歌) となる｡
1と2をを繰り返し単語を繋げる｡区切り文字として､"-“や”.“を用いてもいいし､そのまま繋げても良い｡文字数が多い方が解読はしにくくなるため､6~8単語くらいは繋げた方がいい｡
生成されたPWを紙にメモする｡覚えた後は､黒ヤギさんに頼んで､金庫に入れて保管してもらう｡

ランダムにするために､手順1､もしくは2をコンピューター以外で行う｡つまり､

実際にサイコロを振って数字を算出する｡
手持ちの国語辞典､英語辞典などから単語を抽出する｡

より強化する

パスフレーズを変換する

先程､PWM用のPW例として出したパスフレーズtrimmer.proactive.tummy.tacky.tweet.crushingは､単語の羅列なので､記号などを含めたPWよりは解読されやすい｡何らかのプログラムで変換したものをPWとして用いれば､多少は解読にも手間をかけられそうだ｡

ニュースやメディアとの付き合い方

Wed, 01 Feb 2023 00:00:00 +0000

メディアは､政府や企業のPR活動のために存在している｡それゆえに､報道･放送内容は､その目的のために整形され得る｡

確かに､ニュースを見なければ､偏向情報を受けとらないで済むが､世情に疎くなる｡そこは悩みどころだ｡ PR活動から､適度に距離を取りつつ､時事を捉える方法を探る｡

リズムの違い

ニュースを知るための手段はいくつかある｡それらは､発行されるリズム･ターム･ペースに違いがある｡

テレビ > ネット > 新聞 > (週刊誌 > 月刊誌) > 本 の順に発行リズムは早くなる｡

基本的にテレビ(もしくはネット)が早い｡新聞もテレビにリズムを合わせようとするが､時間が遅いことにもメリットがある｡それは､発行リズムが遅いほど､調査に時間をかけることができ､考察する時間が増える点にある｡リズムが遅いほど､単なる情報の流布ではなくなる｡

媒体の違い

映像か､音声か､文字かといった違いがある｡

大衆向けは検閲される

映像 > 音声 >? 文字 の順で大衆向けとなる｡

大衆向けのコンテンツは検閲される傾向にある｡テレビ番組を例に挙げると､深夜の放送時間帯では過激であったり､個性があったおもしろい番組が､ゴールデンタイム(20時ごろ?)の放送時間になると､内容変更を余儀なくされ､つまらなくなる､という話はよくある｡大衆受けを狙うと中身を変える必要性が出てくる｡

時間帯ごとにターゲットが違い､ターゲットによってコンテンツは整形されるということは事実であるが､そもそも映像自体が､基本的に大衆に向けられたものであるため､検閲や偏向が起こりやすい｡例えば､小説や漫画を動画や映画にしようとするときに､一部表現が取り除かれたりするが､映像が大衆向けであることが背景にあると思う｡

映像は理性を抑制する

加えて､我々は､映像に対して理性的にではなく､感情的に反応する傾向がある｡全く関係ない映像が､アナウンサーの言葉と同時に流されたとしても､映像とニュースを関連付けて判断しがちだ｡映像の場合､理性のフィルターを働かせることもなく､｢本当かな?｣ではなく､｢本当だ!｣と思って受け取る傾向にあると言える｡

テキストの場合は､映像みたいに最初から結論のようなものはない｡だからこそ､考える｡文脈を捉えようとすることで､全体像を自分で構築する｡

立場の違い

発行母体によって､フィルターが違うため､報道される内容にも違いが生まれる｡国自体で検閲･偏向があると考えるならば､言語を変えるなり､海外メディアから情報を得ることでフィルターを変えられるかもしれない｡

ニュース収集の方法

以下を考慮する｡

リズムの違い: リズムの遅いメディアにすることで､入手する情報の質を高める
媒体の違い: 映像は避け､テキストベースにすることで理性を働かせる
立場の違い: 複数の発行母体(国､会社､個人)から情報を取得することで､中立性を保ち全体像を構築する

私は､RSSを用いてテキストベースで複数のメディアから情報を取得していることが多いが､よりリズムの遅い新聞や週刊誌､本などからニュースを取る方法もありだと思う｡

Windowsをインストールする

Mon, 30 Jan 2023 00:00:00 +0000

Linux系のOSを利用していて､Windowsのインストールメディア(USBメモリ)を作成することを想定する｡

ISOを入手する

https://www.microsoft.com/software-download/

上記サイトより､ISOを入手する｡

bootloaderからインストールメディアを読み込む

起動後にメーカーのロゴが出ているときに､delete,f12,f11,f10,esc,f1,f2,f3キーあたりを連打していれば､biosやuefiの画面に入る｡後は､bootloaderから読み込むようにする｡

オフライン状態で､進めれば､Microsoftのアカウントを作成せずに利用できる｡

telemetryをなくす

https://www.geckoandfly.com/25083/free-tools-disable-stop-windows-spying-tracking-you/

Windowsにはtelemetryがデフォルトで有効になっているおり､突発的にかなりのリソースを食うことがある｡それを防止するためには､上記リンクにあるようなツールが有効だろう｡

プロダクトキーについて

Linux系のOS等をインストールした後でも､もともとWindowsが入っていた場合は､motherboardを交換していない限り､自動で認証されるようだ｡

Windowsがインストールされた状態で､プロダクトキーを知りたい場合は､コマンドから､もしくはregeditから確認できる｡下記サイト参照:

https://www.techrepublic.com/article/3-simple-ways-to-find-your-windows-10-product-key/

オンライン上の決済方法:Vプリカ

Sat, 17 Dec 2022 00:00:00 +0000

以前､“実店舗での決済方法"という記事で実店舗を対象としたが､今回は､オンラインでの支払い方法について考える｡

プライバシー的側面を考慮すると､仮想通貨が良いとは思うのだが､入手するまでに手間がかかる｡ここでは､より手軽に手に入る､Vプリカギフトを扱う｡仮想通貨とは異なり､Visaの決済であるため規制されている場面では使用できないだろう｡

Vプリカの種類

Vプリカには､2種類ある｡

Vプリカ(ノーマル?)
Vプリカギフトがある｡

この記事では､アカウント登録(SMS認証)の必要がないVプリカギフトを取り扱う｡

Vプリカギフト:

公式サイト: https://vpc.lifecard.co.jp/gift/index.html

特徴: アカウント作成不要､休眠費用なし
購入場所: ローソン､デイリーヤマザキ､セイコーマート､NewDaysなど
決済方法: 購入時に現金払い
購入単位:
- 3000円分(購入費用3250円)
- 5000円分(購入費用5290円)
有効期限: 購入から1年

利用方法

具体的な手順は公式サイト参照｡

利用前に､一度web上で有効化する必要がある｡
カード情報を取得した後は､カードを取っておく必要はない｡
使用後に､再度､認証情報を入力すると､使用履歴を閲覧できる｡

残高を使い切る

Vプリカギフトであっても､SMS認証をしてアカウント作成をしていれば､個別のカード残高を合算できるようだ｡しかし､それならば､最初からノーマルのVプリカを利用していれば良い｡

端数となった残高は､Amazonギフトにチャージするという方法が普遍性がありそうだ｡最初からAmazonで商品を購入する目的ならば､Amazonギフトカードを購入した方がマークアップがかからない｡

通常のVisaと同じなので､利用するサービスにチャージの仕組みがあれば､Amazonでなくても良いだろう｡

その他

FAQ: https://vpreca.dga.jp/
海外事務手数料: 外貨による決済を利用した際に発生｡支払額の4.0％
クレジットカードと同じ扱いをするため､たぶん金券ショップ売ったり､購入したりはできない｡

日常

Wed, 30 Nov 2022 00:00:00 +0000

そこにあった場所､そこにあった時間､当たり前だった日常｡

わたしは､日常がここにあることに気が付かない｡

なくなって初めてわかる日常｡

これから一体､どんな日常を実感しなければならないのだろう｡

世界のあらゆるものは情報である｡物質的なものから､抽象的なものまで情報である｡ “目の前に壁がある"も情報だし､“その壁は硬い"も情報だ｡

さて､そうした情報は単体で存在するわけではなく､必ず誰が(情報を得たのか)といったような､メタ情報が含まれる｡

そのメタ情報を4つに分類する｡

1次情報: 自分が得た情報(“I’ve” got this information.)
2次情報: 仲間が得た情報(“We’ve” got this information.)
3次情報: 仲間内ではないあの人が得た情報(“He’s/She’s/They’ve” got this information.)
4次情報: どこの誰だか知らない人が得た情報(“Somebody’s” got this information.)

主観的と言った場合､1次情報のことを指し､客観と言った場合､2~4次情報を指すといったように当てはめることができる｡ちなみに､仲間内というのは､運命をともにするような存在で､十分信頼にできる相手と考える｡

情報のリアリティ

一般的に言えば､情報のリアリティ(現実度､重要度)は

1次情報>2次情報>3次情報>4次情報

という順序で､1次情報が一番高くなりそうだ｡ 1次情報に近づくほど､欠くことができない階層であるからだ｡しかし､“情報"をいくつかの文脈においてみると､単純ではない｡例えば､

情報の順序: どの情報を最初に知るか
情報の頻度: どの情報に頻繁に触れたか
情報の量: その情報の量がどれくらいあるか
情報の親和性: どの情報が今持っている情報と親和性があるか(矛盾が少ないか)､類似度｡

と言ったように､現実は様々な階層の情報をもとに構成されうる｡単純に1次情報が優先されるわけではない｡

肥大化する4次情報

1~3次情報でこれまでの多くの歴史は成り立っていた｡例えば､自身の経験からだけではなく､仲間内の経験からも情報を得るし､｢あの人がなになにをしたようだ｣というような仲間内以外からの情報を得ることもあったと思う｡限られた狭い範囲､情報元は確認の取れる範囲(あの人!と指示できる)の階層から情報を得ていた｡そして､4次情報の量は限定的だった｡

ただ､TVやネットの出現によって､4次情報が爆発的に増えた｡現実は4次情報を元にしても構成される｡会ったこともない芸能人に思いを馳せたり､事実かもわからない情報を信じ込んだり｡簡単に言えば､ディスプレイに映し出された情報を事実と判断するようになっている｡

歪む現実

現実は､真実と事実のみで成り立っていると錯覚するが､それは虚構に対して真実･事実というラベルを付けているに過ぎない｡

現実は､真実と事実と虚構の総体である｡

真実とは､裁判で証言をする際の宣誓文でいうような情報だ｡自分が見た､聞いた､経験した情報で､起こったことだけでなく､起こるまでの経緯等も含む｡

“I will tell the truth, the whole truth, and nothing but the truth.”

Amazonショッピングの利用方法

Sun, 27 Nov 2022 00:00:00 +0000

Amazonだけでほぼ全てのモノが揃うと言っても過言ではない｡それだけに､利用者が多く､皆の個人情報が集まっている場所とも言える｡個人情報を集めるだけ集めて､ハッキングされて情報が流れるということもあるので､必要な情報だけ提供する方が良いだろう｡その点も考慮しつつ､Amazonの利用方法を考えてみる｡

基本的な方針は､以下の通り｡

Amazonが販売し､Amazonが発送する商品のみ購入する｡
ほしいものリストは使わない
購入する時だけ､ログインする｡
Amazonロッカーで受取

Amazonはいつ必要か

普段利用する実店舗で手に入るものを､わざわざAmazonで購入する必要はない｡ただ､ブランドにこだわるならば､Amazonの方が安価だということは多々ある｡しかし､Amazonには､1000円を節約させて､必要のない2000円の商品を購入させる仕組みがある｡その場合､お買い得と言えるだろうか｡なんとなく買い物するなら､値段上のメリットはない｡

利用する場面としては､

実店舗が近くにない､行くタイミングがないとき
まとめて1箇所で購入したい､荷物を配達してほしいとき
この商品がいい､このブランドいいと決まっている場合(Amazonの方が安価であるとき)

アカウントの登録

Amazonの登録には､以下の情報が必須となる｡

名前
メールアドレス
パスワード
電話番号

基本的に､IDを提出しないものに関しては､ID通りでなくても利用できる｡しかし､困らないために､事前に十分考えることが重要だ｡

メールアドレス

SimpleLoginとか､AnonAddyとかでエイリアスを作成して利用する｡

電話番号

ネット上にある､SMS受信サービスの電話番号を入力｡使えるものを探す｡登録後には､リンクをすぐに解除すること｡

利用前の準備

ここまでで､アカウント登録はできた｡

前述の通り､電話番号のリンクは解除すること｡
広告メールを拒否したければ､アカウントページから解除するか､利用時だけエイリアスを有効にする｡

住所の登録

配達先は､Amazonロッカーにするので､登録住所や電話番号はID通りでなくても利用できるが､受け取るロッカーの付近に設定しておくといいだろう｡

コンビニ受取だと､身分証明書を求められることがあるらしいので､その場合は身分証明証の情報を登録する｡

支払い方法について

次のような支払い方法がある｡

事前に､コンビニ等でAmazonギフト券を現金で購入
注文後に､コンビニで現金支払い､Pay-easyが使用できるATMで現金支払い

事前にamazonギフト券を購入する場合

Amazonギフトカード

3,000円/5,000円/10,000円/20,000円/バリアブル(1,500～50,000円)

(シートタイプは2022年3月末に販売終了している｡)

注文後に､コンビニ等で現金支払い､ATM支払い

商品によってなのか､配送先によってなのか､コンビニ支払･ATM支払を選択できない場合がある｡そのため､事前にamazonギフト券を購入した方が無難だと思う｡

ちなみに､購入する商品がamazonギフトチャージの場合は､コンビニ支払いは選択できる｡そのため､ギフトカードの最小金額1500円以下の金額をチャージしたい場合は､事前にamazonでギフトチャージを注文･購入し､支払をコンビニ支払などにする｡その後､チャージされた残高でamazonで欲しい商品を購入する｡手間がかかるので､購入金額ちょうどで支払いたい時以外は､amazonギフトカードを事前に購入する方が良いだろう｡

その他

自分の名義のクレジットカードを利用するなら､カードの名義の入力欄には､Amazonに登録したアカウント名を入力する｡カードの名前は､決済時の認証には使われないので､Amazonに知らせる必要はない｡

全額をamazonギフトだけで支払いをすると､amazonポイントは使えないようだ｡クレジットカードを決済方法にするか､もしかしたらコンビニ支払いを指定できればamazonポイントは使えるのかもしれない｡

利用方法

利用するための準備は整った｡

利用方針

Amazonが販売し､Amazonが発送する商品のみ購入する｡
ほしいものリストは使わない
購入する時だけ､ログインする｡
Amazonロッカーで受取

Amazon販売､Amazon発送の商品のみ購入する

Amazonとは言うものの､Amazon以外が販売している商品が多数ある｡ Amazonが選定し､責任を持った商品の方が､トラブルが少なく､対応も早いと思う｡偽物であったり､レビューの偽造も特に気にする必要がないだろう｡Amazonが販売する商品に限定する方法は､2通りある｡

my050番号の失効に注意

Sat, 26 Nov 2022 00:00:00 +0000

brastelのmy050は､有料化され､新規申し込みには本人確認書類が必要になった｡私はsmatalkを利用していたことがあるが､気が付かず自動解約されたことがある｡brastelを利用している方はご注意を｡

利用規約によると､旧プラン(番号維持費無料)の場合､チャージや有料通話等が1年間ない態が続くとmy050が解約になる｡利用すると都度1年間延長される｡

つまり､最後の利用日から1年以内に､利用していればいいということだろう｡本人確認については､契約時に行うことを求めてるため､遡って必須になるわけではないようだ｡

マスクをまだ着用する理由

Fri, 25 Nov 2022 00:00:00 +0000

マスク着用の概況

日本では､屋内はもちろんのこと､屋外でもマスクを着用している人を見かけることが多い｡屋内(お店とか)では10割､屋外では7割位の人は着用している印象を受ける｡欧米諸国と比較するとかなり着用者数は多いはずだ｡マスク着用に強い抵抗を覚える人がいる一方で､大抵の日本人にとっては､マスクを着用することに抵抗はない｡

マスク着用に抵抗がある理由

マスク着用に反対する声が大きい国は､欧米諸国に多い傾向がある｡恐らく､歴史的な背景が関係している｡自由と抑圧に対する戦いがあったかどうかだ｡どの国がということは細かくはわからないが､欧米諸国ではその戦いがあり､服がその象徴になっていた｡

例えば､女性が自由を獲得する過程は､女性が抑圧の象徴である服を取り払う過程と同じだった｡欧米で､肌を露出する女性が多い理由には､自由のアピール(の結果)が含まれている｡服を脱ぐこと=自由を得ることという図式があり､自由を獲得して来たという自負や誇り(の結果)がある｡そのため､“服を着なければいけない"とか､自分たちを覆うものに対しては､強い反発や抵抗がある｡

他方で､服を脱ぐ=自由を得るという図式は欧米諸国に多いだけで､東洋にはあまり馴染みがない｡例えば､1989年にフランスの中学校で､スカーフ事件が発生した背景にも､そうした理由がある｡

概要: 女子生徒が､イスラムのスカーフを着用した状態で､中学校に登校した｡勧告に従わずスカーフ着用したため退学処分になった｡女性抑圧やライシテ等の理由で､国全体で論争が巻き起こった｡

当の着用者の話は対して聞かず､議論が議論を生むことになった｡実際には､幼い頃から身につけてきたものだから､取るの恥ずかしい､てへぺろ☆(・ω<)､みたいなことなのだろうが､フランスではそうは解釈されなかった｡服が抑圧の象徴であるために､スカーフを着用する習慣のないフランスでは､女性が抑圧されている!と捉えられた｡

コロナ過では､公衆衛生を理由に､国が人々をコントロール･抑圧することになった｡マスクはそうした中で､抑圧の象徴として機能し､マスクをつけないこと=自由であることを意味するという図式が強化されたのだと思う｡欧米諸国は常に､何らかの形で､自由を得るための戦いを行っている｡そして､自由に対して誇りを持っている｡だから､抑圧や不自由の象徴であるマスクは着用できない｡感覚的なところまで染みている｡

マスク着用に抵抗がない理由

日本では､自由に対する戦いがあったとは聞かないし､抑圧の象徴が服になることもなかった｡そのため､新たに布を1枚着けることなんて何の抵抗もない｡そもそも､抵抗がないために､コロナ前からマスク着用者数は多かった(花粉対策とか､メイクが面倒とか)｡

コロナ初期より､マスク着用に抵抗がないため着用し､着用することが習慣となり､全体の慣習となる｡マスク着用には抵抗がなくても､慣習を破ることには抵抗があるため､慣習が続く｡慣習を破る人には厳しい目線が向けられる｡そのため､国からの着用圧力が緩んできても､慣習なので着用する｡改めてなぜ着用するかを問うのではなく､みんなが着用するから着用する､これまでも着用してきたから着用する､というムードがある｡

慣習となってしまえば､国のガイドラインくらいでは､すぐには変わらない｡コロナの状況とかは関係なく､日本全体として､いつマスク着用をしなくなるかは､もはや誰にもわからない｡

データ収集に関する法整備

Wed, 08 Jun 2022 00:00:00 +0000

トラッキング､データ収集全般について､法整備の観点から考えてみる｡

データ収集の問題点

データ収集の問題点を整理する｡ユーザーのデータは第2の通貨として機能している｡ただ､お金という形式の通貨とは違いが2つある｡

1つ目は､使ったら取り戻すことができないということ｡デバイスを離れ相手のサーバーやストレージに保存されたら､ユーザーが管理することはできない｡消去機能があったとしても､それは消去機能があった場合の話だ｡消去機能があったところで､消去の定義･方法はわからないし､実際に消去されたかの確認はできない｡

2つ目は､お金と違い､所有者は一人ではなく､価値を失わないまま共有されうる｡収集されたデータをコピペして､第2､3者に譲渡･販売できる｡お金のコピーが好きなだけ行えるようなものである｡

ところが､ユーザーは第2の通貨という認識はなく､データ収集により私達の自由や活力が奪われている実感もないだろう｡気が付かなければ､問題視もされない｡

脳天気な法整備

法整備の必要性はある｡例えば､広告企業が自発的にトラッキングをやめることは考えられない｡なぜなら､合法的に､ユーザーに気が付かれずにデータ(第2の通貨)を取ることができるならば､取り続ける方が得策だからだ｡

現状の法整備は､データを収集するための条件や､収集された情報がどのように管理されるか､第三者提供の規制､ペナルティの設定などがある｡スマホビジネスは特に開発が活発であるために､そのペースは法整備よりもはるか先をゆく｡政策で対抗しようにも常に後手に回る｡もっと根本的な解決が必要だ｡

規制対象は､データ収集自体にするべきである｡現状の法整備ではフォーカスがずれてるし､問題の焦点をミスリーディングすることになる｡収集された段階でユーザーに管理権限はない｡デバイスを離れた後のことはうやむやになる｡問題なのは､データを集めること自体である｡データの管理方法に関して語った時点で､データ収集を許していることになり､それはユーザーの権限やコントロールを貶めている｡データは企業のものではなく､ユーザー自身のものであるということを強調する必要がある｡

本当に必要なデータだけ収集すること｡それ以外の収集をした時点での罰則を規定することが重要だ｡必要だと誤解させたり､ダークパターンに頼ったとしても､データを収集した時点で処罰対象にする｡データ収集がなければ､わけのわからないTOSやプライバシーがどうのこうのという長話もする必要がない｡なぜなら､データを管理するのはユーザーだからである｡世界共通で不必要なデータ収集に対する規制を定めるべきだ｡それ以外は､ユーザーにとっては確認しようがないという点で無価値だ｡

法整備の懸念点

法律は何もユーザー側の味方というわけではない｡企業のデータ収集を規制すればプライバシー上良いことかも知れない｡個人データ保護に関しては､現状GDPRが注目されているが､一方で､Chat controlという構想があり､CSAMを理由にしてE2EEを含めて､クライアントサイドでのmass surveillance体制を強化しようとしている｡つまり､企業のデータ収集は法律の対象にできても､政府のデータ収集は対象にはならない｡

GDPRも別にユーザーのことを考えて生まれたわけではない｡GDPRにもChat controlにも一貫していることは､政府は規制を強めるということだ｡まずは､企業の方からアプローチしただけである｡私達は反対を表明することはできるが､その効果は限定的だ｡単純に法整備だけで､解決を図ることはことは難しいだろう｡ユーザーの主体性や意識が求められる｡

Androidのプライバシー対策

Tue, 07 Jun 2022 00:00:00 +0000

別記事で､Pinephone､Librem5といった端末をモバイルデバイスの選択肢として挙げたが､既に大勢が持っているAndroidデバイスで利用することも検討してみたい｡Torのブログで､そうした試みがあるため､参考にしている(🔗)､(🔗)｡恐らく､OSのバージョンにより､違いががある｡

不要なコンポーネントを取り除く

スマホにあるセンサー､コンポーネントは大体以下の通り｡対策の考察については､torのコメントが参考になる｡

マイク
baseband
カメラ
加速度計（加速度センサー）
ジャイロスコープ（ジャイロセンサー）
磁気センサー
GPS
生体認証センサー(指紋)
近接センサー
環境光センサー
Wifi
Bluetooth
NFC

ソフトウェア的に電源を落とすだけで機能が完全にOFFになるわけではなく､かと言ってバッテリーを簡単に取れるわけでもない｡そのため､不要なコンポーネント･センサーは物理的に除外し､適宜外部化(ルーター､マイクetc)する｡baseband含めた無線関連は､位置情報を使用できなくなる可能性があるので､よく検討すること｡使う可能性のあるセンサー･コンポーネントは､テープで塞いだり(カメラ)､ファラデーケージ(電波系)を利用することで物理的に対処できる｡

キルスイッチや､isolationの確認ができるならば､ハードウェア改造の必要性は下がるが､Androidスマホにキルスイッチはないしだろうし､modemからのisolationが確約されたデバイスは少ない｡basebandを含まないとされるWifiのタブレット等を使うのもあり｡センサーが少ないdumbphoneでもマイクは意図せず動作しうるので(🔗)､スマホ同様に対処する｡

分解方法は､“機種名”+“teardown"とか"repair"といったキーワードで検索すれば､動画が出てくる｡ifixitで､コンポーネントが大体わかるので､不要なものは取り外す｡下記のようにマイクはきれいに取れなくても､問題なく使えなくなる｡通話時はイヤホンマイクを差し込むことで対応する｡

不要なファームウェアの削除

前章のように物理的に取り除くことに加えて､ファームウェアの削除での対処もする｡

私の場合マイク同様に､RF関連のコンポーネントを物理的に取り外そうとしたが､できなかった｡LTEのカバーは簡単に外せたが､GSMの方はカバー自体が固くて取り外せなかった｡そのため､TWRPのCLIでmodemのファームウェア削除で対処を試みた｡ちなみに､firmwareを削除すると､コンポーネント自身で電源を落とせないので､電力消費は多くなるかも?

# バックアップ
cd /dev/block/platform/.../by-name #｢...｣の部分は機種による｡
dd if=./modem of=/sdcard/modem #拡張子.imgはなくてもよさそう｡ 
# 復元するとき
dd if=/sdcard/modem of=./modem

# 削除
dd if=/dev/zero of=./modem

modemの削除がうまく行くと､“Settings” -> “About phone” が “Baseband version: Unknown"になるらしいが､私の場合は､TWRP上のCLIで削除した段階で､システムが起動しなくなった｡

システム

マーケティングのためなのかパッケージ化されたOSは､プライバシー上問題があるアプリをデフォルトで含んでたりするため､カスタムROMを利用する｡ReplicantとかGrapheneOSとか｡

FDEやFBEが有効かとか､一通りSettingsはチェックすること｡

利用方針

サービス利用時には､OPSEC的なところを重視する｡冒頭のテーマ･方針として触れた部分である｡必要最小限で構成し､それを必要なときだけ利用するなど｡

ネットの接続方法

パケット交換方式でのみ通信を許可するために､機内モードにし､modemを外部化する｡モバイルルータ(FLOSSが望ましい)で電波を受信し､それをスマホにつなげる｡スマホとモバイルルーター間の接続方法は無線ではなく有線(LAN)のほうが望ましいが､Wifiであればbasebandよりはマシだと思っている｡通信はSSLで暗号化されるように注意する｡

スマホが複数台ある場合､1台をルーターとして使用することはありだが､スマホ(ルーター)自体が多機能で､センサーや高精度なGPSを備えている点は考慮したい｡

Wifiトラッキングの対処

Wifiを利用したトラッキングについては別記事で触れた｡

モバイルルーター側では､SSIDを設定する際に､下記のように設定することで､SSIDのデータベースからoptoutできる(🔗)｡ <SSID>_optout_nomap

スマホ側では､Wifiは他の機能同様デフォルトOFFで､必要なときだけONにする｡それを助ける意味で､指定したWifiを受信しなくなったらWifiを自動でOFFにする機能がある(🔗)｡この機能により､自宅でWifiを使用している場合､外出時にスマホのWifi受信を自動でOFFに切り替えることができる｡ LineageOSベースのOSだけかもしれないが､

Settings->System->System profilesへ進む
使用するprofileを選び(defaultとか)､設定画面に進む｡
“Triggers which will activate this profile"をWifi自動OFFに紐付けたいSSIDに設定｡
“Wi-Fi"という項目を"Turn off"にする｡
その他のアンカーは､好みがなければ､“Leave unchanged"にする｡

MACアドレスのランダム化の機能･設定･アプリがあれば､補助的に使うのはあり｡

スマホとプライバシー2(対処の検討)

Tue, 07 Jun 2022 00:00:00 +0000

以前､スマホとプライバシーについて触れた｡ここでは､モバイルデバイス上で､プライバシーを重視するにはどうするか､デバイスを長く使うにはどうするか､という2つの方向で考えていく｡

ただ､この方法で対応しましょうとは中々言えない｡症状に対して､｢はい､このお薬飲みましょう｣となっても､それが別の症状を生み出すようなことも考えられる｡全体的な整合性のためには､セキュリティ等の専門的な知見が必要となり､いちユーザーの手には余る｡この先は､考え方のひとつとして捉えていただきたい｡

Introduction

セキュリティやプライバシーというものが信頼で成り立つものならば､今日のスマホはそれに値しない｡なぜならば､ファームウェアからアプリまで透明性がないからだ｡クローズドソースでありバイナリBLOBを含む｡オープンソースでない限り､プライバシーがどう尊重されているか確かめようがない｡その時点で､スマホに対する信頼は限定的になる｡しかし､スマホというデバイスを筆頭に､既に普及し､利用する習慣を以て疑いの念は消え去っているように思える｡

デバイスを含めたフリーウェア化というのは､プライバシーを重視するためにも､長く使用するためにも大前提であるが､それが達成できてない｡本来は､プライバシーにまつわる議論をする前段階にフリーウェア化が来るべきで､その後初めてプライバシーを重視するには?という議論がされなければ意味がない｡この事から､今日のテクノロジーはプライバシーについて語る段階にはなく､これから考える対応策は結局の所､迂回策や妥協策に過ぎない｡

テーマ･方針

基本的な方針を定めておく｡

FLOSS
Isolation: 例)センサー･コンポーネントの外部化､モデムの隔離
Opt-in: 例)必要最小限のセンサー･コンポーネント･サービス､デフォルトOFFで必要な時だけON
Decentralization
Offline: わざわざクラウドを使わないとか
Fewer accounts: データの蓄積場所を指定していることになるので
Less technology: 機密にしたい情報は保存しないとか
OPSEC: 道具に依存するより使い方を工夫する｡
Mass surveillanceにフォーカス(<=>Targeted surveillance)

ハードウェア･OSの選定

ハードウェアの選定にあたって

プライバシー上の対策をするとともに､長く使うことを考えるにあたって障壁がある｡別記事で触れているが､ハードウェアがクローズドソースであることが障壁になる｡何故なら､最新の状態でもDMAを悪用される可能性があることに加え､セキュリティ更新を2･3年でやめるというベンダーの気まぐれを受け入れるしかないからだ｡以下､DMAについて｡

DMAは､ハードウェアのコンポーネントや周辺機器が､OSとは別に直接メモリにアクセスできるようにした仕組みであり､DMAでない場合CPUがメモリのアクセスまで管理するため､動作が遅くなるか､機能しない｡そのためDMA自体は､有効な仕組みと言えるが､特にクローズドなファームウェアにアクセスされた場合､encryption keyを取られるなどの危険性がある｡

それゆえに､カスタムROM等でシステムレベルをフリーにしても､ローレベルがクローズドのままであればプライバシー上の懸念は残る｡同様に､ベンダーが更新をやめた後にシステムレベルのセキュリティパッチを当てたところで限定的なため､セキュリティの観点から､やはり長く使えない｡

一番リスクがあるのは遠隔でいつでもどこでもアクセスし得るという点､規制の影響を受ける点でbasebandだと考えられる｡DMAの対応策はいくつか挙げられるが､一番効果的な手段は､スマホを一切使用しないことだ｡それ以外では大きく分けて2つの解決方針がある｡

理想的:フリーソフトウェア化を目指す

DMAの解決策の1つは理想的な方法で､オープンソースのハードウェア(コンポーネント､ファームウェア)で構成することだ｡オープンソースは万能作ではないが､少なくともコードの確認ができる｡セキュリティ更新に関しては､メーカーのペースではなくコミュニティのペースでアップデートが可能なため､長く使用することができる｡3つの行程があり得る｡

1つ目は､オープンソースにするように法律改正する方法｡ただ､FCCやCE(日本で言う技適マーク)など無線に関しては当局がレギュレーションしており､認証を受けるためには結果的にBLOBを含む必要があるようだ｡オープンソース化は､起こりそうにない｡

2つ目は､オープンソースにするようメーカーに対応させる方法｡ハードウェア業界は､少数の巨大半導体メーカー(Mediatek, Qualcommなど)が牛耳っているため､競争がなく､パテントで守られている｡積極的にフリーウェアを導入する理由がないため､業界側からの変革は期待できそうにない｡

3つ目は､バイナリを分析し､パッチを当てる方法｡すべて透明性をもてるまで､何年かかろうともハッキングし､オープンソースのファームウェアを作る｡しかし､オープンソースのコミュニティーは､スキルは集まるが､マンパワーが足りない事が多く､時間がかかる｡フリーウェア化の道としては一番あり得そうだが､多大な労力を必要とする｡仮にバイナリを理解し､代替するファームウェアを用意できたとしても､最近のスマホは署名が付いたファームウェアしか受け付けないので､入れ替えることができない(🔗)､(🔗)｡

現実案･妥協案:Isolation

DMA解決策の2つ目は､Isolationであり､現実的な妥協策と言える｡クローズドソースを隔離しCPUやメモリと言ったchipにアクセスできないようにすることだ｡ところがIsolationを確約するデバイスは少ない｡例えば､SMMU(IOMMU)を手段として挙げられるが､デフォルトでDMA対策をするわけではなく､システム側でどう管理するかが重要なる｡また､Boot時が弱点にもなるため､IOMMUがModemよりも前に起動する必要があるが､そのためにはBootloaderも同時にフリーであることが必須だ｡つまり､フリーのBootloaderとIOMMUが前提となる｡加えて､IOMMUのドキュメントがあること､コードのペアレビュー､ModemがIOMMUを書き換えないという確約ができれば良い｡ただIOMMUにはIOMMUなりの脆弱性もあるようだ(🔗)｡別のIsolationの手段としては､RAMではなくUSBを通じてmodemと通信する方法がある(🔗)､(🔗)｡

IOMMUで､メモリに関しては守ることができたとしても､メモリ以外の部分に関しての動作を制御できるのかはわからない｡例えば､他のコンポーネント(GPS､マイク､カメラ等)ヘのアクセス､勝手な通信など｡フリーであるに越したことはないので､妥協策となるが､現実的対応策である｡

OS･デバイスの選定

アプリ､OS､デバイスあたりは密接に紐付けされており､ゼロから選ぶ場合､デバイスを選択する前に､どのOSを使用するか検討することになる｡例えば､Androidアプリを使いたいならば､基本的にAndroid系のOSを選ぶ必要がある｡しかし､AndroidはOpen-sourceというより､Shared-sourceであり設計等においてGoogleの影響を大きく受けるし､Androidにしかない企業のアプリは､ほぼクローズドソースである｡カスタムROMであっても､それらは変わらないため､LinuxOS(Linux-based,Linux Phone)を選択する｡LinuxOSの場合､AnboxとかWaydroidで､Androidアプリを利用できる可能性はあるが､不明｡Mobian､PostmarketOS､Maemo LesteなどがLinuxOSとして挙げられる｡

OSが決まれば､対応デバイスは限られるので､デバイスも決まる｡選択したOSの対応デバイスを調べるのだが､LinuxOSの場合､大体Librem5とかPinephoneあたりが中心点になると思う｡両デバイスともに､キルスイッチが付いているが､Librem5にはセンサーの物理的なキルスイッチがある一方で､Pinephoneにはない｡ただ､キルスイッチがあっても､クローズドである限り､スイッチON時の動作は不明である｡特にモデムはBLOBを含むが､適宜､自分でファームウェアを入れ替えてもいい｡

アプリにこだわるなら

Androidのアプリを使いたい場合､Androidである必要がある｡｢いつでもどこでも｣でなければ､PCでVMでもいい｡この場合､自宅等でVMでAndroidアプリを使用し､モバイルデバイスではLinuxOSを選ぶという方法を取れる｡より軽量のAnboxやWaydroidといった方法もあるが､モバイルとアーキテクチャが違うため､アプリが対応していない可能性がある｡

Androidアプリを持ち歩きたいならば､フリーウェア化の側面ではReplicantが選択肢に入るが､対応デバイスが古いのか､中古市場でも見つけられない｡フリーウェア化とは行かないが､firmwareを含めたセキュリティに注力しているGrapheneOSが良さそうだ｡

GrapheneOSでは､カーネルにあるオープンなドライバーが許可した場合にだけ､ホストのメモリにアクセスできる｡IOMMUにより､メモリはIsolationはできているようだ(🔗)､(🔗)｡対応デバイスをGoogle Pixelにしているので､他デバイスより融通が利くメリットはあるが､端末が6万円くらい?と高いし､3年くらいで買い換えるために費用がかさむ｡

ユーザーはLinuxOSを選べない

ユーザーは､アプリを重視してOSを選択することになる｡ゲームのコンソールと同じ様な感じで､このソフトはこのコンソールでのみ使えますとか､新しいソフトは上位機種でなきゃ発売しませんよ､というだけでみんな買い換えることになる｡アプリ(ソフト)をコントロールすると､ハードウェア(コンソール)もコントロールできるということだ｡

大衆を狙うのであれば､おそらく決済系､銀行系のアプリやGAFAMなど人気なアプリを充実させる必要があるが､企業はクローズド好むので､わざわざLinuxOSでアプリを公開しない｡結果Androidを多くのユーザーは使うことになり､Linux OSには移動できない｡Windows Phoneの時と同じように､利用者を増やすことは難しいだろう｡ユーザーは､企業のアプリに依存しているため､寡占されたデバイスから離れられない｡アプリをコントロールされることで､多くのユーザーはオープンソースのデバイス､OSを選べないようになっている｡

利用方針

デバイス選定後の話｡

LinuxOSの場合

通信はすべてIP上で､SSLで暗号化し､Tor等を通じて行う｡
適宜センサー･コンポーネントを外部化する
PSTNの電話網は､ブリッジのあるSIPプロバイダーを利用する｡

など趣味嗜好に合わせて､工夫する｡

Android OSの場合

Androidのプライバシー対策を参照｡

スマホとプライバシー1(問題の所在)

Sun, 22 May 2022 00:00:00 +0000

スマホには脆弱性があり､そ1れがプライバシー上の懸念事項となる｡スマホに脆弱性があることは､今までに何回か触れた｡ファームウェアがクローズドソースであることや､電話回線のSS7という通信プロトコルだったり､やたらとBluetoothをONにするOS など｡今回は､それら脆弱性をスマホのプライバシーという文脈で整理しようと思う｡

まず第1章で､プライバシーの定義について考え､続く第2章で､スマホとプライバシーの関係性･イメージついて掴めるようにする(ほぼリンク)｡第3章では､なぜスマホが問題になるかについて説明する｡第4章は､第5章の前提知識として､スマホの構造について軽く触れる｡第5章がメインで､脆弱性を階層ごとに列挙している｡第6章はまとめというかコメントだ｡

今後､文章中の参照リンクは､適宜｢🔗｣で表記する｡

プライバシーとはなにか

別ページ参照

スマホとプライバシーって?

プライバシー自体については､何となくイメージができただろう｡しかし､スマホとプライバシーの関連性は?というと､いまいちピンとこないかもしれない｡その場合には､以下のサイトが参考になる｡概要と言うには少し長いが､包括的に触れているサイトだ｡この先こうした情報源を参照しつつ考えていくので､今すぐ見る必要はない｡ただ､最初の動画はイメージを掴むには役立つと思う｡

なぜスマホが問題になるのか

コンピューターという点では､LaptopやDesktopも同様に脆弱性にはさらされているはず｡では､なぜスマホを焦点に当てるのか? それは､スマホがとりわけSensitiveだからだ｡なぜか｡理由はスマホの特性とスマホのユーザー層にある｡

スマホの特性

以下のような特徴から､DesktopやLaptop､単純な家電製品とも違うスマホ独特のプライバシー上の懸念が生じる｡

インターフェイスの違い

機能が豊富で､センサーが多種多様である｡そのおかげで､現在地を正確に把握できたり､指紋でロック解除できたり｡画面をタップで操作することができたりする｡外部機器を用意しないでもビデオ通話ができたりする一方で､センサーが一緒になっているので取り外せない｡

常に持ち歩く

スマホの多機能さと持ち運び易さが相まって､常に持ち歩く｡必要性がなくても､外出する際に忘れたら､わざわざ家に取りに帰る｡異世界に転生してもなお､持ち歩く人がいるらしい｡Laptopも持ち運べるが､スマホほどの携帯性はない｡

常に電源を入れている

Desktop, Laptopでも､特にサーバーであれば常に電源が入っているだろう｡スマホは連絡ツールとして機能することもあり､大抵の場合､常に電源は入っているし､それがcommon senseとなっている｡センサーが豊富で､常に持ち歩き､常に電源が入っている｡仮に､それを管理する方法を知らない(orない)としたら? 危ういだろう｡

収益モデルの違い

スマホの収益モデルは､従来のデバイスとはアプローチが異なる｡ハードウェアや､ソフトウェア､サービスを販売して対価を得る仕組みとは違って広告を収益モデルとしていることが多い｡これまでに述べたスマホの特性と､それ以外の要素も含め､トラッキングにはうってつけのデバイスとなっている｡特にターゲティング広告を行っている業者にはスマホは人気で､ユーザーの情報が第2の通貨として機能している｡大抵の場合､利用者は､いつのまにかトラッキングに同意している｡

こうした背景も相まって､スマホ業界はCash cow(儲かるビジネス)となり､PCや電化製品よりも開発が活発に行われている｡これからも､スマホとそれを取り巻く環境は､プライバシー的な懸念は今まで通り二の次にして､急速な変化を遂げていくだろう｡

スマホのユーザー層

今までのコンピューターには比類しないほど､スマホはトラッキングには最適と言える｡一方で､スマホ利用者の大半は､コンピューターについての知識や仕組みに対しての理解が不足してるように感じる｡DesktopやLaptopを経由してスマホを利用している人は､ある程度知識があるかもしれないが､特にいきなりスマホから入った人はデジタルリテラシーに不足するところがあるだろう｡極端に言えば､守る術を知らない人が､トラッキングツールを持っているようなものだ｡危うい｡これが､(デジタル)プライバシーを語る上で､スマホに焦点を当てる理由だ｡

表にまとめてみると(イメージ)


	センサー	持ち運び	常時電源	広告収益	リテラシー不足
電化製品	-	?	-	-	-
Desktop	-	-	-	?	?
Laptop	-	?	-	?	?
スマホ	✔	✔	✔	✔	✔

Legend:
 - : なし(ほぼなし)
 ? : 物や使い方によるところが大きい
 ✔ : 大いに当てはまる

スマホの構造･階層

前章で､スマホを取り上げる理由は説明したが､そのスマホの脆弱性を語るには､仕組みの理解していた方がわかりやすい｡ここでは､スマホがどの様な構造で成り立っているかというところについて､一応触れておく｡

プライバシーとは何か

Sun, 22 May 2022 00:00:00 +0000

プライバシーが必要なのは､隠すものがある場合だけ?

こういう話題では､Nothing to hide議論というものがある｡隠すものがないのだったら､プライバシーなんていらないだろうとか､組織的な監視システムを気にする必要なんてない､というような内容だ｡コントロールを維持･強化したい立場であれば､必然的にそうした主張を推し進めるだろう｡そうした立場を持たないならば､最終的には人によりけりかなとは思う｡ただ､テクノロジーに関連する(デジタル)プライバシーというのは､多少なりとも知識がないとプライバシーが侵されているという実感は持てないだろう｡つまり､大抵はいつの間にか侵されているものということだ｡

プライバシーは､自然な感覚である

冬に羽織るブランケット

プライバシーと聞いて思い浮かぶのは､Mission: Impossible (1996)のMaxという武器商人の言葉だ｡

I don’t have to tell you what a comfort anonymity can be in my profession – like a warm blanket.

冬の寒い時期に羽織るブランケット｡なくても過ごせるかも知れないが､あった方が安心だし､快適だろう?¹

日常生活の一部

横断歩道を渡るときに､安全のため信号を確認することは普通だ｡青だからすぐ行こうという人もいるだろうし､さらに左右を確認してから渡る人もいるだろう｡それぐらい自然な反応だと思う｡Nothing to hideの人も､服を着るだろうし､家に鍵をかけるだろうし､自分の考えを何でもかんでも発しているわけではないだろう｡プライバシーもそれと同じくらいの感覚だ｡

プライバシーとは

自分のコントロールが及ぶ範囲を私的空間､コントロールが及ばない範囲を公的空間とする｡前者の管理者は一人称や二人称､つまりIやWe｡後者の管理者は､三人称､つまりThey(She､He)で自分にはコントロール権限がない｡私的空間と公的空間を意図したとおりに棲み分けできている時､プライバシーは守られていると言える｡一方で､意図せず情報が公的空間に流出した場合､プライバシーが侵されているとなる²｡

公的空間から私的空間への一方向の時代から､ネットが普及したことで双方向に簡単にアクセスできるようになった｡さらに時代は進み､スマホの登場により､ネット環境を簡単に持ち歩けるようになった｡つまり､スマホが私的空間と公的空間の媒介者となり､私的空間と公的空間が｢いつでもどこでも｣｢簡単｣に入り交じり､結果､棲み分けが難しくなっていると思う｡言い換えると､簡単にプライバシーは侵され得る環境だと言える｡というのは､私的空間だと思っていたものが､いつの間にか公的空間と繋がっているということがテクノロジーでは起こり得るからだ｡

プライバシーとテクノロジー(デジタル)

数字の意味

数字とはもともと､管理するために生み出されたものだと思っている｡時間やお金も数字だ｡正の側面が最初の動機だとしても､副次的な負の側面は生じる｡大抵は管理する側は正の側面を享受し､管理される側は負の側面を被る³｡コンピュータはデジタルであり､つまり数字化していることになる｡例えば､家計簿はデジタル化した方が､計算も把握も簡単にでき便利だろう? 今は便利を合言葉にデジタル化が進められているが､自分たちがマスター管理者出ない限り､結果的に､利用され管理されるているのが落ちとなる｡管理とは把握することであるため､プライバシー上の懸念が生じる｡

デジタル化により活力を奪う

度々指摘されることではあるが､ありとあらゆる方法で､スマホ等から､合法的に､情報･データが取られている｡それらのデータは､私達の一部であるということを意識しなければいけない｡過去､現在を収集し､パターン化し分析することで､未来までのデータを集めることができる｡さらには､私達が受け取れる情報を操作することで､私達自身も操作され得る｡SNSや検索エンジンのセンサーシップは有名だ｡要するに､彼ら(企業とか)が集め､収集しているのは､単なるデータではなく､私達自身であるということだ｡彼らが操作しているのは情報ではなく､私達自身であるということだ｡過去､現在､未来､私達自身(アイデンティティ)｡そして最終的には､私達の自由や活力を奪っていることになる｡

プライバシーを重視することは､全体の貢献に繋がる

大勢がNothing to hideだとしても､プライバシーを重視することは､全体の貢献に繋がる｡他人事ではない｡隠すものがなければ､surveillanceは気にする必要はないという考えは､ある意味では､独りよがりな考えである｡

自動運転が保険会社と情報共有される｡ナビに出た給油指示に従わないと､ロードサービスを受けられませんとなるかも知れない｡自分に決定権がないような状況も起こり得る｡また､誤判断だったとしても､商品を高く売られたり､または売ってくれなくなるかもしれない(保険とか)｡逆に､本当はいらない商品を勧めて来るかも知れない｡気づかないうちに､私達の嗜好性や行動はコントロールされうる｡

国や政治体制でも大きく変わるかも知れないが､この世界には世界や全体の利益のために重要な情報を明らかにする人たちがいる｡例えば､政治の腐敗を明らかにしようとするジャーナリストやその情報源､内部告発者だ｡そうした人たちがいない場合､世界はどんどんおかしな方向に進んでいくのかも知れない｡公正に見せかけた不正｡歪曲された真実｡隠すものがないと主張する人もその報いを受けている､もしくは受けることになるだろう?より良い世界のために事実を明らかにしようとする行動の代償が､人の命であってはならないと思う｡自分がsurveillance影響を受けていることに気が付かないだけで､プライバシーやセキュリティに対する考え自体を否定してはいけない｡ジャーナリスト以外にも､医者や弁護士も秘密を守るべき立場にあるが､プライバシーを軽視していては､秘密を守りたくても守れない状況になりうる｡

デジタル化･テクノロジー化･オンライン化を推し進めるだけではなく､その背後について回る負の側面についても､目を向ける必要がある｡プライバシーは私達(政府に対する国民､企業に対するユーザー)の防衛線であり､パワーの源になる⁴､⁵｡プライバシーを重視するという雰囲気･士気を高めるだけでも､全体の貢献に繋がるはずだ｡

blanketはcloak的な意味合いもあるかな｡ ↩︎
近接概念に､セキュリティがあるが､セキュリティはバイナリーである一方､プライバシーにはグラデーションがあると思う｡例えば､セキュリティは｢どう守るか(how)｣という技術的な領域であるが､プライバシーは｢何を守るか(what)｣という政治的な部分まで含む｡政治的であるがゆえに､ユーザーと企業･政府等の組織との立場の違いによる議論が巻き起こる｡言うなれば､ユーザーの情報をユーザーは守りたいが､企業･政府はユーザーの情報を目的のために利用したいとか｡ ↩︎
問題は自分達は管理者なのか､管理される側なのかだが､管理する側であってもヒエラルキーの性質上､大抵更に上に管理者がいるだろう｡マスター管理者にはなれない｡そもそも､人に対してやたらと数字を当てはめるべきではないと思う｡数字はものに対して当てはめるべきだ(測量､建築､物理とか)｡ ↩︎
不正の源にもなるというような視点も､政府側からはあるだろう｡ただ､そうした議論は､デジタル化推進と同じ熱量･決定権を与えてなされているのかな? ところで､ここでのポイントとしては､政治的にどうするべきとかではなく､ユーザー側のプライバシーへの気運を高めたいという点にある｡そうすることで､デジタル化によって起こる負の側面等にも目を向けられるようになる｡問題は､知らず知らずのうちにリスクを受け入れていたということがないようにしたいということだ｡ ↩︎
なぜプライバシーがパワーの源泉になるかは､アナロジーを用いて説明してみる｡風船が形を保つには､圧力(内部と外部)が必要だ｡そのためには､風船の膜(境界)が機能していることが前提にあるが､膜に針を刺すことでその機能は失われ､圧力は逃げ､風船は形を保てなくなる｡この場合､風船は私達のアイデンティティであり､圧力は私達のパワーやエネルギーである｡その前提となる風船の境界(膜)は､私的空間と公的空間の区分するプライバシーを指す｡プライバシーが侵されることで､私達のパワーは逃げていき､私達のアイデンティティは失われる｡私達が私達ではなくなり､全体に均質化される｡別のアナロジーとしては､｢密教がなぜ力を持つか｣でも説明できるかもしれない｡ ↩︎

Facebookというランサムウェア

Sun, 08 May 2022 00:00:00 +0000

Facebookがランサムウェアに思えたことがある｡

認証情報や2段階認証は正しいものを使用しているのに､ログインさせてくれないことがあり､最終的に身分証明書(運転免許証とか)を求められた｡渡したところで照合できないだろう?どこかに確認取るのか? 途中､以前のデバイスからログインするか､Facebook上の知り合いから認証を得て下さいみたいな文章があったが､そのケースには当てはまらなかった｡

現状､個人情報は第2の通貨として機能している｡特にターゲティング広告を商品にしている企業ならなおさらだ｡ただ､お金と違って取り戻すことはできないし､大抵の場合､合法的にコピー(拡散)されていく通貨なのだが｡｢すでにあるデータはロックしてアクセスできないようにしてやった｡お金(個人情報)くれなきゃ､ログインさせないぞ｡｣これでは､ランサムウェアと同じだろう｡

問い合わせ窓口はないので､新たにアカウントを作成して､｢ロックされたので対処法を教えてください｣というようなメッセージを送ってみたが､そのアカウントは停止された｡実名でなければいけない､アカウントは1つでなければいけないというルールが適用されて､アカウント停止になったのだろう｡交渉には応じないタイプのランサムウェアなようだ｡

Farewell Facebook.

部屋干しのニオイを抑える洗剤･漂白剤

Sat, 07 May 2022 00:00:00 +0000

洗剤･漂白剤

洗剤

部屋干しトップ除菌EX

漂白剤

クリアヒーロー

柔軟剤

お好きなもの

使い方

粉洗剤なので､すすぎを2回に設定したほうがいい｡あとは､洗濯機の掃除とか､乾かす時の換気･循環とかも重要｡

なぜ新しいスマホを購入しなければいけないのか

Wed, 27 Apr 2022 00:00:00 +0000

経済的な人間ならば､なぜ定期的に新しいスマホを購入しなければいけないか考えたことがあるだろう｡

今持っているスマホを使うことをやめて｡なぜ?
スマホの所有期間は2~3年位だというのが相場ではないだろうか｡なぜ?

この疑問に対する答えは､シンプルだ｡でもそのシンプルな答えに付随する問題は幅広く､根深い｡

スマホを定期的に購入しなければいけない理由

はじめに明言しておくと､我々はスマホビジネスのお客さんなのだ｡それに尽きる｡

まず､買い替える理由を考えてみる

プル要因

新しい方が､デザインや機能が魅力的

プッシュ要因

停波により､通信できなくなった(デバイス外の要因)
物理的に壊れた(物理的なハードウェア)
セキュリティが更新されなくなった(ソフトウェア)

新しいスマホに魅力を感じたというのは､“なぜ?“とわざわざ考えるケースではない｡停波は､10年以上の単位だろう｡だから､なぜ買い換えなければいけないかという命題に対しては､いささか仕方なさが目立つ｡我々が買い換える理由は､大抵の場合停波が原因ではない｡

物理的に壊れた

今回の主題ではないが､あえて修理しずらくされている点はあるだろう｡いつしかスマホはカバーを外せなくなった｡ネジも特殊なものが使用されていたりするし､修理店をするにも特別な許可と手数料を払う必要が出てきたりする｡バッテリー交換をすることさえ難しい｡もちろん正当な理由として､防水･防塵のためとかあるだろうが､対応していないデバイスであっても､密閉･密集･密接している｡だから､壊れたら買い換えないといけない｡直すなら専門店でなければいけない｡いずれも､ベンダーにマージンは還元される｡購入後にもハードウェアを理由にビジネスのネタにできる｡我々はお客さんだから｡

セキュリティの更新がされなくなった

更新されなくなっても気にせず使う人はいるだろう｡通信とは双方向であるがゆえに､片方がセキュリティを気にしているだけではあまり意味がない｡双方の信頼性が担保されて初めて､安心して使えるからだ｡つまり､セキュリティ更新されなくなるという事象は､更新されないデバイスだけの一部の問題ではなく､全体のセキュリティにまで波及しうる｡次のパートでセキュリティの更新については深掘る｡

なぜセキュリティが更新されなくなるのか

理由は､ベンダーがそう決めたから｡更新しないと決めたからである｡

ベンダーやメーカーは新しいデバイスを購入してほしい

えっ､全然スマホまだ使えるのに､なんで更新してくれないの?と思うだろう｡それはもっともだ｡でも､更新しないと言ったら､更新しないで済ませられるのが現状だ｡大抵は､数回は更新しますとか､Stock ROM¹であれば3年は更新するよとなっているが､その先は更新しないのだ｡EOLになったデバイスを積極的にサポートするベンダーはいない｡仮に脆弱性が見つかったとしても､買い替えて下さいの一言で済む｡

本当なら､更新も1回ぐらいで済ませて､後は新しいスマホ買ってねと言いたいのだろうが､ユーザーが反発するだろう｡とりあえず2~3年で落ち着いている｡

あえて更新した上で購入を促す方法もある

AppleとSamsungはアップデート時に､意図的に古い機種のパフォーマンスを下げていた｡最新の機種のパフォーマンスが上がり､古い機種のパフォーマンスを下げるようなアップデートをすれば､更新してますよと言いつつも､お客さんに新しいデバイスを購入してもらえる｡端的に言えば､演算を多く行うような処理を必須にすればいい｡後は､それを正当化するだけの口の上手さ(マーケティング戦略)と､納得させるだけの政治力(権力)があればいい｡スマホ業界は寡占されているから､それが可能なのだろう｡

これでまた､スマホが売れた後も､また定期的にスマホを購入してもらう口実ができた｡我々はお客さんだから｡

カスタムROM

カスタムROMは､救世主かも知れない｡Appleは､クローズドソースなので､コミュニティが形成されないが､AndroidにはAOSPというプロジェクトがあり､そこでソースコードが公開されている｡そのため､LineageOSなどを始めとするカスタムROMのコミュニティが形成され､開発がされている｡

コミュニティベースの開発であるため､ベンダーが更新しませんよと言ってからも､プロジェクトの対応デバイスであれば､OSを更新して利用することができる｡

なぜ一部のデバイスしか対応しない?

カスタムROMでさえも､対応していない機種や､対応しなくなった機種というのが存在する｡その理由としては､開発にはマンパワーが必要だからだ｡

なぜマンパワーが必要?

Androidでは､個々のデバイス間の差異に個別に対応しなけれいけない｡個々のデバイス間の差異というのは､ハードウェアの違いであったり､パーティションの違いである｡

AOSPは､オープンソースのプロジェクトではあるものの､AOSPのソースコードだけではAndroidは動かない｡よりローレベルの部分(firmware､driver､SoC､kernel､vendor code)はデバイス固有であり､別の場所から用意する必要がある｡パーティションにおいても､デバイスごとに調べ､合わせる必要がある｡

つまり､OSやカーネル等をそのデバイス固有のものに個別に変更していく必要があるため､労力がかかり､結果､対応するデバイスを絞る必要がでてくる｡ここらへんは､Android特有であるため､よりLinuxベースのOSにすることで解消できる(AndroidとLinux Phoneの違い)｡

マシンパワーも必要

Androidのビルドのためには､一応要件が決まっていて､

Requirments

400GB以上のストレージ

16GB以上のRAM(推奨は64GB)

その他

これに加えて､ビルドのための処理時間もかなりかかる｡それを毎回必要とする設計になっている｡

それでもファームウェアは更新されない

一応用語を整理しておくと､OSのことをROMとかファームウェアとも言うが､ファームウェアは同時にハードウェアと密接に関わるソフトウェアとして語られることもある｡ここでは､ファームウェアは､ハードウェアをインターフェイスするためのソフトウェアとして扱う｡

軽視してはならない部分がある｡カスタムROMで更新されるのはOSの部分であり､ファームウェアは更新されないという点だ｡､カスタムROMの対応デバイスであっても､ファームウェアに脆弱性が見つかったからパッチを当てて更新しましょうとはならない｡ベンダーのEOL後は､OS部分はバックポートできても､ファームウェアは扱えないはずだ｡そのため､特にセキュリティを重視するプロジェクトでは､ベンダーのEOLを目安に対応デバイスから外される(or外される基準になる)｡

なぜファームウェアの更新を引き継げないのか

スマホでは､SoCという､PCでいうマザーボードみたいなところに､すべてのコンポーネントが集まっている｡基本的には､それらは､プロプライタリで､クローズドソースである｡バイナリBLOB²とも言われ､ファイル自体は存在するが､中身が何なのかよくわからないのだ｡これこそが､ベンダーが融通を押し通すことができる理由だろう｡バイナリBLOBであるがゆえに中身がわからず､更新できない｡ソースコードがわかっていれば､コミュニティでパッチを当てることもできるだろうに｡

いつの日か

今まで挙げた2つの事象から､カスタムROM含めて､Android自体に明るい未来はないように感じる｡オープンソースのモバイルOSを作るというアイデアは色々あったが(Openmoko､Maemoとか)､事実上iOSとAndroidになっている｡もちろん現状は､皆が必要とするようなcr…appsは､iOSやAndroidにしかないだろう｡そして将来を語る上ではappsは重要になる｡あのWindowsでさえiOSとAndroidの牙城を崩せなかった｡appsを揃えることはユーザーにとって大きな誘引剤になる｡

よりLinuxのOSへ

まず､パッケージの管理方法やビルド方法などがAndroidでは､マンパワー･マシンパワーを必要とするような設計になっているため､開発環境が限られてくる｡リソースを用意できる企業が有利になるだろう｡それにAOSPはオープンソースではあっても､Googleの影響力が大きい｡Googleが決定したことに従うか､遅れを取るかしかない｡独自の開発をするにしても､マンパワーの不足が､多くのデバイスに対応することや､セキュリティのパッチを当てることを難しくさせている｡

その影響力を離れるためには､よりLinuxらしいOSにするのが良いだろう｡お客さんをやめるには､企業ベースではなく､コミュニティベースで力を取り戻す必要がある｡

PostmarketOS
Mobian
Maemo Leste

などのプロジェクトが動いている｡

FLOSSHという考え

FLOSSといえば､Free/Libre Open Source Softwareであるが､そこにHardwareも含めて語りたいということだ｡これは理想的かも知れないが､特に持ち歩くという性質上､スマホはSensitiveだ｡スマホを長持ちさせるという意味だけでなく､プライバシー･セキュリティを重視するという意味でも､ハードウェアまで含めて考えて行くことは重要だろう｡カスタムROMが扱う範囲は､OSを中心としている｡ファームウェアのフリー化まで考えているのは､AndroidベースではReplicantくらいしか知らない｡LibremやPinephoneはそもそもオープンなコンポーネントを使うという視点でデバイスを設計している｡

クローズドソースという形で､ブラックボックス化することは､開発者とユーザー(お客さん)を二分する｡開発に貢献もできなければ､参画もできない｡人間としての創造性や活力を押さえつけられていると感じる｡特にFLOSS(H)に貢献している人々はそのように感じるのではないか｡体験は作るものではなく､作られるものになる｡そして我々は､お客さんとして作られたものを享受することしかできない｡そこに社会はない｡民主主義もない｡

ハードウェアはパテントの嵐だ｡無線関連はレギュレーションの嵐｡特にBaseband modemに関しては､必ずクローズドソースになる｡なので､FLOSSHは､決して短期的に､簡単に達せられることではないだろう｡でも､そうなる方が､特にスマホを使う人にとって良いことだと思う｡加えて､スマホを長く大事に使うことを通じて､資源の無駄遣いを減らせる｡

まとめ

今回は､スマホをなぜ買い換えなければいけないか､という視点で考えてみた｡それは､ベンダーやメーカーが決定権を持っているからだと思っている｡多くのリソースを必要とするような管理方法､ファームウェアがクローズドソースという2つがその背景にあるということだ｡その結果我々は､お客さんになることを運命づけられる｡

DNSリークの判定方法

Sat, 23 Apr 2022 00:00:00 +0000

VPNのサイトでは､よくDNSリークというワードを見かける｡自分が名前解決に設定しているDNSサーバーと､リーク判定に用いるWebサイトのサーバーとは別なはずなのに､何故判定できるのか､その仕組みについて調べてみた｡

DNSとは

知っていれば､必要ない項目だけど､何となく導入として｡コミックで説明しているサイトも参考になる｡

DNSとは､Domain Name Systemのことで､ネットの通信に必要なIPアドレス(53.14.333.383など)を人間が扱いやすいドメイン(example.comなど)に置き換えて管理する仕組み｡

DNSの発想としては電話番号が近い気がする｡電話番号が電子的にデータベース化される前は､電話番号を語呂合わせで覚えていた｡それは､人が数字を覚えるのが苦手だからだ｡しかし､語呂合わせを用いれば､(0120)-489-444は､“予約しようよ”¹で劇団四季の電話番号だとすぐ覚えられる｡電話番号の領域だけでなく､インターネット(IPアドレス)の領域でもこの語呂合わせ(置き換え)の仕組みが利用されている｡

必要な情報が202.247.61.250だとしても人間には扱いにくい｡置き換えの発想を用いると､shiki.jpとなる｡劇団四季のWebサイトなのだが､数字よりは簡単に覚えられる｡この｢202.247.61.250は､shiki.jpですよ｣という置き換えを管理する仕組みがDNSとなる｡そこで管理されるデータベースが､電話番号の場合は電話帳だが､IPアドレスの場合はDNSレコードとなる｡IPアドレスの場合､世界全体が対象なので､電話番号のように個人や企業で勝手に置き換えをしてデーターベースを作成しても共有できない｡そのため､DNSレコードを標準化し､管理する団体や､細かい仕組みというのが存在する｡

昔は､PCにホストファイルをダウンロードしてドメイン(ホスト)の管理をしていたらしいが､ドメインの数も以前とは違うので､今はDNSが主流だ｡ただ､ホストファイル(/etc/hostsなど)に記述があればDNSより優先されるようだ｡

名前解決に使用されたDNSサーバーの判定方法

本題に入る｡DNSサーバーには､大別すると2つある｡

DNSキャッシュサーバー(フルサービスリゾルバや､Recursive Resolver²)
権威サーバー(コンテンツサーバー)

通例､クライアントからキャッシュサーバーに名前解決のリクエストをして､最終的に､実際に管理している権威サーバーまで辿り着く｡そこでリクエストに対応するIPアドレスがクライアントに返される｡

この時､権威サーバーを自前で用意することで､アクセスしてきたキャッシュサーバーのIPをログできる｡WebページにアクセスしてきたVPNサーバーのIPと､名前解決に利用されたキャッシュサーバーのIPを比較し､異なっていればリーク判定となる｡

UIDを付加するとリクエストを強制できる

ただ､キャッシュサーバーというのはその名の通り､レスポンスをTTLが有効である限りキャッシュしているので､タイミングによっては新たに権威サーバーにリクエストをすることはない｡そこで､UIDとしてハッシュみたいなランダムなものをサブドメインとして付け加えリクエストを強制させる｡そうすることで､使用しているキャッシュサーバーのIPをUIDとともにログできる｡

例えば､名前解決させたいドメインがtest.dnsleaktest.comの場合､特にオープンリゾルバの場合だと利用者が他にも大勢いるため､キャッシュされている可能性がある｡ところが､a0e4651af6b14311ab917.test.dnsleaktest.comとすれば､キャッシュされているわけもないので､キャッシュサーバーは名前解決をせざるを得ない｡

DNS leak testで試すと､権威サーバー(ns1.dnsleaktest.comやns2.dnsleaktest.com)から､Aレコードが返ってきた｡ただ､Mullvadの場合は､NXDOMAINとして返ってくるので､実際に存在するドメインでなくてもいいようだ｡DNSキャッシュポイズニングの手法と同じ感じで､権威サーバーへのリクエストさえ飛べば良いということなのだろう｡

数字にはいろいろ発音がある｡そのままの発音にすると､489(よん､やっつ､きゅう)､444(し､よん､よん)となるが､それをナチュラルな文法に修正して､予約しようよ(よ､や､く､し､よう､よ)になる｡数字の置き換えの発想を感じるには､語呂合わせジェネレーターが役立つかも知れないが､桁が増えると､こじつけ感は増す｡ ↩︎
クライアント目線ではrecursive､キャッシュサーバー目線ではiterative ↩︎

実店舗での決済方法

Sun, 17 Apr 2022 00:00:00 +0000

利便性とプライバシーはしばしばトレードオフである｡決済方法についても同様だ｡基本的に､あらゆるデータが集められているし､売られている｡集められたデータがどういう形で売られているかはデータの購入者にならないとわからないが､できるならば個人情報とは結びつかない形で決済できればいい｡利便性とプライバシーの落とし所を考えてみる｡

決済方法の種類

店舗で使える通貨は､

現金
交通系電子マネー(カードタイプ)
クレジットカード(デビット､プリペイド)
モバイル決済(バーコード､NFC)
その他(店舗や系列限定の通貨とか)

取捨選択

プライバシーを重視すると､やはり現金が一番に挙げられる｡次点でSuicaなどの交通系電子マネー(無記名カードタイプ)｡簡単に比較した表が以下｡


	アカウント作成	データ収集･蓄積
現金	-	-
交通系電子マネー	-	✔
クレジットカード	✔	✔
モバイル決済	✔	✔

現金

アカウント不要｡データ収集なし｡どこの店舗でも使用可｡

交通系電子マネー(カードタイプ)

JR駅の券売機等で500円のデポジットで入手できる｡チャージは駅､コンビニ(基本対面､セブンイレブンはATMも可)など｡

アカウント不要｡データ収集あり｡利用可能店舗は多い｡

データ収集ありだが､無記名式ならばPII¹(個人を特定する情報)には紐付かないので､許容範囲かなと｡複数もてるので､目的に合わせて､交通用､物販用途というように使い分けたりもできる｡認証を待つ必要がなく決済が速い｡

一方､UID(カード番号)､残高､利用日､利用内容(電車でA~Bに移動とか､商品購入とか)は記録される｡レシートにUIDの一部が記録される点や､スキミング､紛失のリスクなど現金よりは考慮する点がある｡

その他の決済方法

モバイル決済は､そもそもスマホ限定のアプリを入れる必要があるため好ましくない｡サービスの仕組み自体も閉鎖的であり､｢この機能を使うには提携口座の開設が必要です｣などややこしい仕組みがある｡また独占と排他の結果､利用可能店舗の制限がある｡特に今はビジネス上のフォーカスが当てられているため､競争の影響を受けやすいのかもしれない｡スマホアプリを必要としないクレジットカードの方が閉鎖的ではなく､シンプルで利用しやすいと感じる｡

モバイルスイカはアカウント不要で利用できるが､スマホが前提となっているため省く｡

終いに

無記名の交通系カード(Suicaカードなど)をベースに決済し､使用できない場所では現金で支払う｡これであれば､プライバシーをある程度重視しつつ､電子マネーの利便性を享受できそうだ｡

現金支払いの際には､コインホルダーを財布に忍ばせておくと､幾分ラクだ｡

Personally Identifiable Information(個人を特定する情報)のこと｡電話番号とか､住所とか｡より詳細 ↩︎

電気代の計算式

Sat, 09 Apr 2022 00:00:00 +0000

計算式

電気代 = 消費電力(W) / 1000 * 使用時間(Hour) * 1kWhあたりの電力量料金(27円/kWh)

集める必要があるのは､Wのみ｡とにかく､Wを探す｡

補足:

消費電力(W) = 電圧(V) * 電流(A) でも可

kWhは､電気製品公正取引協議会が定めた電力料金の目安単価が､27円/kWh(平成26年から)

例題

問い

Raspberry Pi 4 Model Bをサーバーとして24時間利用した場合の1ヶ月の電気料金を知りたい｡

計算

Wは見つからなかったので､VとAで代用｡5V, 2.5Aとのこと｡よって計算式は､

電気代 = 消費電力(W) / 1000 * 使用時間(Hours) * 1kWhあたりの電力量料(27円/kWh)
電気代 = {5(V) * 2.5(A)} / 1000 * {24(Hours) * 30(Days)} * 27円/kWh
電気代 = {12.5} / 1000 * {720} * 27円/kWh
電気代 = 243円

つまり､約1ヶ月で243円となる｡実際には､どういう構成かや､稼働状況にもよる｡

SMS認証はやめてくれい

Sun, 27 Mar 2022 00:00:00 +0000

電話回線を使う習慣がないため､いちいちSMSを受信するのが面倒くさい｡それは仕方ないとしよう｡たが､手間の割にSMSは堅牢な仕組みでもない｡YubiKeyやTOTPであれば､通信環境さえ必要ないのだけれど､なぜわざわざ脆弱性が問題視されているSMSを使うのだろうか｡

脆弱性の悪用･利用

携帯の通信には､回線交換方式とパケット交換方式があるが､脆弱性が問題視されているのは､回線交換方式である｡そのため信号線も音声回線(つまり､電話もSMS)も同じく脆弱性にさらされている｡

脆弱性が悪用･利用されているという話は､ときどき話題にはなっている｡

例えば､

中国がカリブ海諸国のネットワークを悪用して､アメリカ人の監視をしている
サウジアラビアがアメリカ在住のサウジアラビア人の位置情報を取得している
SS7の脆弱性が利用され､ドイツの銀行からお金が引き出された

といったような話がたまにニュースになる｡

脆弱性の箇所

脆弱性があるのはSS7であるが､SS7とは､回線交換網(PSTNとか3G･LTE)で利用されている1970年代に登場したプロトコルで､電話やSMSを利用する際に用いられる｡もともとは､事業者間の閉じたネットワークを想定して利用されてきたプロトコルであるため､2000年にIPネットワークで利用できるようになってからは認証や暗号化等のセキュリティ上の問題が浮上した｡

通信事業者の登録や規制に厳しくない国で､SS7ハブを用意できれば､世界を対象にその脆弱性を利用できる｡自分で用意できなくても､闇市場ではその仕組みを利用できる権利みたいなものを取引している｡

とはいっても外国からの通信をブロックすればいいじゃないという発想もありそうだが､正規の利用方法としてのローミングも同時にできなくなる｡なら不正に利用されたものだけブロックすればいいじゃないとなるが､不正かどうかを判別する仕組みがSS7にはない｡かくして､すべてのコマンドが処理されるようになっている｡

脆弱性の利用例

プロトコル自体の脆弱性のため､攻撃のベクターは複数あるだろうが､一例を挙げてみる｡

特定の電話番号あてにSMSを送りたいですよというリクエストを発行すると､HLR(Home Location Register:携帯の加入者情報を管理するデータベース)から､以下の情報が返って来る｡

IMSI(International Mobile Subscriber Identity:加入者の識別番号で､携帯内かSIMカードに格納されている)
MSC(Mobile Switching Center:現在の移動通信交換局)
VLR(Visitor Location Register:加入者の位置情報の一時的データベース)

このリクエストをすることで､HLRのアドレスとIMSIがわかるので､より細かいコマンドを実行できるようだ｡例えば､細かい位置情報を割り出すことができたり､通話の傍受､SMSを乗っ取ることもできる｡

SMSが認証に利用されてる理由

こうした脆弱性があるのに､SMSを認証として利用しているのは､なぜか｡

登録数制限(1人1個とか)
身分証明書の代わり(日本の場合､基本的に身分証明しないと携帯電話番号は使えない)
簡易的に2段階認証を実装できる(というセキュリティーシアター)
- アプリをインストールする必要がない､別途トークン端末を用意する必要がない

見通し

通信事業者

4G､5Gと世代を経るに連れ､より安全なプロトコルになるにしても､下位互換のために実際の解決まではまだ時間がかかるのだろう｡例えば､VoLTEの場合､電話に関してはパケット交換方式を用いるようなので､SS7の影響はなさそうだが､通話する双方がVoLTEじゃないと影響は残る｡

サービス提供者

SMS認証を廃止するつもりは当座ないだろう｡2008年より､SS7の脆弱性が指摘されてはいるものの､多くのサービスでSMSを認証方式として採用している現状は､2段階認証を否定的に受け入れているからだろう｡セキュリティを主眼においたらこの判断にはならない気がする｡通信規格がアップデートされるのを待つ方が早いかも知れない｡

2段階認証は､本来セキュリティ上の理由で採用するのだろうが､SMSだとその点が効果的ではない｡SS7の脆弱性がマイナス要素にはならなかったとしても､2段階認証だから安心だと考えるユーザーがいるならば､パスワードの強化･管理に対する意識を軽んじた結果､セキュリティ上反対の効果を生むことになる｡

まとめ

緊急時､災害時であったり､通信手段の1つとしてSMSを利用すること自体はいいのだが､それを認証に利用することは望ましくない｡根本的な解決策は､通信事業者側が対応するか､サービス提供側がSMS認証やめるか･選択肢をもたせるかしかない｡

ユーザーが対応できることは限られている｡仮にSMSを暗号化できるSilenceというアプリを用意してもC2Cのサービスだから､SMS認証ではどうしようもない｡

できることは､

SMS認証を使用するサービス自体を避けるか､他の認証方法を選ぶこと
緩和策として､
- 認証のときだけ使用する番号を用意する(まだましくらい)
- SMS認証は当てにはせず､パスワード強化･管理､アクセスログの確認等を重視する
その他､不必要にSMSへのアクセス権限を求めるアプリは使用しない

以上､SMSを2段階認証に使わないでくれいという話であった｡

Nameserverを固定する

Fri, 25 Mar 2022 00:00:00 +0000

3rd partyアプリに､自動でnameserverの設定を変更されないようにするために､chattr +iを使用したがエラーが返ってきた｡

chattr +i /etc/resolv.conf
chattr: Operation not supported while reading flags on /etc/resolv.conf

symlinkには使用できないようだが､リンク先の/run/systemd/resolve/resolv.confに当てはめても同じエラーだった｡

rm /etc/resolv.conf
vim /etc/resolv.conf 
chattr +i /etc/resolv.conf

これで､resolv.confはリンクされてない状態になり､仮に3rd partyアプリが変更しても､実際に使用される/run/systemd/resolve/resolv.confには影響がなくなった｡

この他､dhcpcdを用いて､上書きされないようにする方法もあるようだ｡

あやしいVPN業界

Thu, 17 Mar 2022 00:00:00 +0000

ロシア政府のインターネット規制に対抗して､VPNの需要が高まっているという記事があった｡ロシア在住者にとっては緊急の要件だろうから､広く情報にアクセスするためには手段は選んでいられないかもしれない｡

しかし､特に規制を受けていない国でVPNを使おうと考えるならば､一度注意して考えた方が良い代物だなと思う｡このVPNの需要増加を根拠として､VPNは(何か)良いんですよみたいなことになりそうだ｡市販のVPNについて調べてみると､相変わらず何か誇張されている気がする｡特に､プライバシーの側面で触れられればと思う｡

VPNとは

詳細はWikipediaとか､下記のMORE INFOとか参照｡VPNが語られる文脈はいくつかある｡本来重層的ではあるが､あえて分けるとプライバシー､セキュリティ､検閲回避といった側面がある｡ざっくりと言うと､VPNを使用することで､デバイスからVPNサーバーまでを安全に接続できるのだが､あたかもVPNサーバーにいるかのようなネット環境になるということ｡それによって､

セキュリティ

信頼のおけないネットワーク(空港のWi-Fiとか)でも安心して利用できる

検閲回避(情報へのアクセス)

ISP(利用しているネットワーク)側の検閲を回避できる
Webサイト側の検閲を回避できる(地域制限のあるコンテンツの利用時など)

プライバシー

DNSやトラフィックの情報を曖昧し､ISP(利用しているネットワーク)に知られずに済む

市販のVPNとは関係ないが､本来は出先からLANに安全にアクセスする目的で利用される｡ちなみに､暗号化に関してはルールが国によってはあるので､VPNを使用することで､当局から疑いをかけられる事があるかもしれない｡

思うことを羅列

市販のVPNについて調べていて､思ったことは以下｡というよりツッコミと疑問｡

VPNどうのこうの言えるのは､クライアントデバイスからVPNサーバー間だけで､どうやってもhttpにsはつけられないよな｡
VPNは無敵なのか?VPN使ってもクライアントのIPアドレス､タイムスタンプ等のメタ情報はなくならないはず｡
ノーログポリシーといいつつ､接続台数は5台までとか､帯域は月100GBまでとか｡つっこみ待ちなのか!?
そうそうノーログポリシーでもリアルタイムで監視はOKだよな｡
1時間くらいまでなら､記録しててもノーログといっていいのかな｡
ノーログなのか､どうやったらサーバーの設定確かめられるのだろう?
P2P禁止とか､そういった検閲もあるのか(驚)｡
独自のプロトコルを使うよりオープンプロトコルの方が透明性があると思うんだけど｡
え､アプリはそれじゃないといけないの?OpenVPNとかWireGuardはダメ?
そのアプリのソースはどこで公開してるのでしょうか?
証明書をインストールしてしまったら､SSLでも暗号化の意味なくなっちゃうよな｡Cloudflareのプロキシと同じく注意しないといけないな｡
ちなみにSSLの証明書って勝手にインストールされないよね!?
IPアドレス変えたくらいじゃ､トラッキングは対策できないと思うけれど｡そもそもIPアドレスは大体が動的だよな｡
それよりクッキーの管理の方が重要なはず｡ブラウザFingerprintingについては触れないのかな?
アフィリエイトめちゃくちゃ多いな｡こんなにアフィリエイトまみれのサイト当てにならない気がするけど｡
あなた､おすすめ一体何個あるんですか?
おすすめランキングって､アフィリエイトのcommissionが多い順じゃないか(笑)｡
アフィリエイトでマーケティングさせるって､信用が大事な業界で､逆に評判落としてないかな｡
なんであなたの所のVPN使わないとDNS leakなんですか｡
MullvadやRiseupVPNって言っちゃダメな言葉なの?

要するに

何かと疑わしい雰囲気がする業界だと思うということ｡アフィリエイトが盛んと言うか､売り文句が出回っているというか｡地域制限のあるコンテンツを見るためであったり､検閲回避を目的とするならば､あまり選ばなくてもいいかもしれないけど､セキュリティやプライバシーという文脈で語られる場合は､特に注意が必要だと感じた｡

結局は､ISP等よりVPNサーバーを信頼しているのかどうかに尽きる｡それは､VPNの運営会社自体だけでなく､データセンターであったり､本社の所在地(国)､利用するサーバーの所在地(国)という点も関連してくる｡信頼に値しないと判断するならば､使わないという結論になる｡

別の手段

VPNをVPS等のリモートサーバー上に(自分で)設置する方法もある｡VPNがハニーポットの可能性がある一方で､VPSは他の目的にも利用されるものなので､その可能性は低くなる｡VPS内部の設定は自分でできるため､コントロールできる範囲は広がるが､サーバー側のISPの検閲やログといった影響は残る｡加えて固定IPであるため､プライバシー的側面ではより目立つ可能性もある｡セキュリティ的側面ではVPSより専用サーバー(Dedicated, Bare metalとも言う)の方がいいらしいが､費用は高くなる｡

VPNは､そもそもプライバシー的な側面を重視して生まれたものではないので､その点を重視するならばやはりTorを(組み合わせて)利用する方が良さそうだ｡

最後に

極論ネット上にプライバシー(あるいはAnonimity)はないと思う｡時間やリソースは必要だけども､Torでもたぶん同じ｡Fから始まる3文字の組織は(Nも?)たくさんonionサーバーを設置して監視しているらしい｡EntryとExitを抑えられた場合､メタ情報を合わせるとあたりがつけられるかも知れない｡ISPやWebサイトは協力的だろう､いやそうせざるを得ない｡結局は､シチュエーションによるだろうけれど｡

もしオンライン上のプライバシーを考えるならば､VPNといった一部のテクノロジーに依存したり､そもそもテクノロジー自体に依存するよりも､全体的な戦略といったものの方が重要になるだろう｡何に対するプライバシーなのかはまず考えるべきところ｡ VPNは万能ではないから､状況･用途･用法を考慮して有効に使えるといいなと思った｡

MORE INFO

iOSのアップデートをするとBluetoothがONになる

Tue, 15 Mar 2022 00:00:00 +0000

iOSのアップデートをしたが､毎回Bluetoothが自動的にONになるのが煩わしい｡ユーザーが設定をしたものを上書きするのは何とかならないものか｡

AppleとBluetooth

Appleは位置情報を商品にしている｡つまり､Find MyやAirTag｡その正確性を担保するには位置情報を特定できるものを､常時ONにしてくれた方がいい｡

Appleは､行き交うiPhone同士でBluetoothのやりとりをしているので､GPS､モバイル回線､Wi-FiをOFFにしていても､BluetoothをONにしていたら､Appleのネットワークを使って位置がわかる｡

そういうわけで､Bluetoothの設定をできるかぎりONにして欲しいのだろう｡

BluetoothをOFFに

一番簡易的な方法でBluetoothをOFFに設定しても¹､時限的にしかOFFにできず翌日にはONに戻る｡しっかりとOFFにしたいのならば設定アプリから迂回するようにしてでないとOFFにできない²｡それでも､次回アップデートの際には自動的にONに戻されるのだが､そこが厄介だ｡

Power Offにしてみたら

電源を落としても､Bluetoothの一部機能はONのままらしく､位置情報もわかる｡一ユーザーとしては電源落としたら全部OFFでしょと思うのだが､この業界では､企業とユーザーのすれ違いはよくあること(私だけ?)｡別OSのAndroidでは､電源を落としてもNFCは利用できる｡これは便利な気がするが､NFCに関してiOSは､電源を落とすと使用できなかったと記憶している｡

ホーム画面から上にスワイプして､表示されたメニューからBluetoothマークを押してOFFにする方法 ↩︎
ショートカットアプリやオートメーションアプリを使用してもいい｡ ↩︎

対露の制裁は効果があるのか

Wed, 09 Mar 2022 00:00:00 +0000

ロシアがウクライナに侵攻したことに対して､世界中で(欧米中心?)､ロシアに対する制裁が課されている｡ VISAや､マスターカードといった決済関連だけでなく､飲食店やIT業界も含め､ロシアでの事業停止､新規アカウント作成停止等の措置を取っている｡

それって効果があるの?とは思うのだけれど､他に決定打があるわけでもなさそう｡

誰に対する制裁?

まず､制裁の影響を受けるのはロシア政府側というよりも､ロシア国民である気がする｡今回の制裁がロシア政府にとって予想外であったならば､効果はあるだろうが､想定内ならば準備はすでにしてあっただろう｡寝耳に水だったのはロシア国民だろうから､ダメージはロシア国民のほうが大きいのではないか｡

制裁の効果は?

次に､制裁をすることで得られる結果は､脱依存か､再依存である｡制裁をした場合に､代替リソースがあるならば､移行の手間こそあれ決定的なダメージはない｡逆に他からリソースが得られないならば､制裁としては効果がある｡

今回の場合､決済関連は､影響は大きそうだが､銀聯がVISAやマスターカードの市場を代替できるし､MicrosoftやAppleの制裁は､オープンソースや場合によってはPiracyへの流れを生み出し､欧米諸国に対する脱依存を促すきっかけとなるのではないか｡

制裁の結果

仮に､制裁を終わらせる段階になったとしても､長引くほどに失ったパイ､既に代替されたリソースを取り戻すことは考えにくい｡困るのは､最初はロシア国民で､次に制裁を加えた企業自身な気もする¹｡

つまり､制裁による結果は､欧米諸国が持つ政治･経済的なパワーバランスを各国･各企業に分散させることに繋がる｡ロシア(政府)に対する制裁としての効果は期待できそうにない一方で､副次的な影響の方が大きい気がする｡その点を考慮してか､ロシアでの事業継続を発表する企業もある²｡

その他

戦争や侵攻に対しては反対だが､今回のウクライナ侵攻をきっかけにして､ロシア(人)ということだけで､反露感情が生じないことを願う³｡イスラーム法を理由にしたテロが生じれば､ムスリムというだけで毛嫌いされ､コロナが蔓延してからは､反アジア感情が強まるなど､似たようなことは事欠かない｡政治の犠牲になるのは国民だし､政治的プロパガンダに右往左往するのも国民｡付和雷同せず､自分自身で見極めることが大切だ｡

もちろん制裁に対するロシアからの報復として､石油価格が高騰し世界的な影響という点もある ↩︎
ユニクロやCloudflareは今の所ロシアで事業を継続するようだ｡ ↩︎
この一件で､ロシアに対して戦争や侵攻を連想してしまうのは､仕方ないかもしれない｡扁桃体やプライミングというものがある｡でも国籍や所属というのはその人の一部だからそれだけで､その人を判断できない｡ ↩︎

ProtonVPNのUTMパラメーター

Sun, 06 Mar 2022 00:00:00 +0000

ProtonVPN

ProtonVPNと言えば､ProtonMail系列のVPNサービス｡触れ込みによると､プライバシーを売りしているようだ｡

Why use VPN

Keep your browsing history private. As a Swiss VPN provider, we do not log user activity or share data with third parties. Our anonymous VPN service enables Internet without surveillance.

メールにはUTM

ProtonVPNのアカウントを削除した際に､削除完了を知らせるメールが送られてきた｡ ProtonVPNのサイトは､サードパーティーのアナリティクスはないし､メールにもビーコンはない｡クリーンな印象ではあるが､メール内のリンクにUTMが使われていた｡

UTMというと､Urchin Tracking Moduleのことでマーケティングの効果測定のために､URLに"?utm_source=“といったパラメーターをつけることでトラッキングできる｡現在は､Google Analyticsの一部機能｡

最近では､ブラウザのデフォルト設定でも､広告ブロックであったり､サードパーティークッキーのブロックができるので､こうしたURLを用いたサーバーサイドでのアナリティクスの方が正確な分析ができるのかもしれない｡

プライバシーを売りにしていても､やはり企業としては分析しなきゃいけないようだ｡

楽天のリンクはすり替わる

Thu, 03 Mar 2022 00:00:00 +0000

楽天市場のトップページから､楽天モバイルのリンクを押すと一瞬違うページに移動する｡左下のviewportに表示されるリンクが､クリックする瞬間にJSによって別のリンクに変わる｡

セキュリティのためにviewportを確認する習慣があっても意味がない｡フィッシングの手口みたいだ｡

Tech系リンク集

Mon, 01 Jan 0001 00:00:00 +0000

プライバシー関連

ソフト/サービス選定の参考

ソフト一般

neovim

mobile

alternative

documentation

package

Apple security releases - Apple Support

Monero決済が可能

https://cryptwerk.com/

apple security update

プライバシー関連


privacytools	プライバシーを重視と言われるツールを紹介している
Privacy-Conscious Email Services	emailサービスの評価サイト

その他リンク集

Mon, 01 Jan 0001 00:00:00 +0000

ネットで買い物するとき

値段比較


プライスランク	キーワードから､もしくはカテゴリから検索できる
keepa

商品比較

ギフトを選ぶ

ギフトモール - 日本最大級オンラインギフトサービス

health

料理

運動

医薬品

おすすめの市販薬を最速で選ぶ｜現役薬剤師が教える本当におすすめの市販薬

サプリメント

フリーハックス | 当サイトは”効く”サプリメントしか紹介しません。

CookieHookey

メールアドレスをネットで公開する時

kindleでニュースを読む

富士登山

固定デバイス名を設定する

voidlinuxでパッケージをダウングレードする

基本情報技術者試験の受験記録

LinuCレベル1の受験記録

スナック感覚でできる運動:タバタ

vimの奇妙なエラー

アサンジの解放

メディア: 音楽

身体的健康の要諦

入力の効率化

洗鼻薬･洗眼薬の作り方

パスワード管理術

ニュースやメディアとの付き合い方

Windowsをインストールする

オンライン上の決済方法:Vプリカ

日常

人気のあるプラットフォームは､マーケットである

マーケティングとプロパガンダと教育と

Amazonショッピングの利用方法