noteのIPアドレス漏洩の本当の問題点｜竹洞 陽一郎

私は、セキュリティの専門家ではないです。 しかし、今回のnote株式会社の記事投稿者のIPアドレスが漏洩した件で、note株式会社がコメントで「なお、一般的なIPアドレスから、個人情報が特定されることはありません。 」と書いている事には大きな違和感を感じます。 IPアドレスから分かる事この問題を論じるには、まず、IPアドレスから何が分かるかを説明する必要があります。 ・使っているISPや携帯会社 ・郵便番号 ・住所 ・経度・緯度 ・企業が契約して利用している場合には企業名 例えば、IPデータベース会社の一つであるMaxMindで調べてみましょう。 以下は、今回、漏洩したIPアドレスの一つを使って調べたものです。 ・IPアドレス ・Country Code(国コード) … JP（日本） ・Location (住所) … Shinjuku, Tokyo, Japan, Asia(東京都新宿区)

[tsutsumi154]

複数の情報重ね合わせたらどんどん絞り込めるからな 過小評価してなければそもそもあんな実装にはなってないわけで根幹からやばい お漏らししてるのIPアドレスだけじゃないっぽいし

[tattyu]

謝罪文自体で矛盾してるのが問題なんだよ。noteはIPアドレスは個人情報にならないと言っているが、GDPR大丈夫なんだろうか。EU圏からは見えないようになってる？それとも嘘のプライバシーポリシー出してるの？。

[hiro7373]

ややこしいこと言わなくても多くのヨーロッパではIPアドレスは個人情報として定義されています

[jaguarsan]

その情報で何が出来るのか が一番大切で、noteが分かってないはずはない。でも流出したのが「個人情報」ってなった瞬間 報道の役が1〜2翻上がるから、意地でも個人情報じゃありませんでしたって言い張ってるんだろうな

[fashi]

DHCPはISP次第だからなー。モデム再起動しなくても無通信時に即変わるISPもあれば再起動しても年単位で変わらず固定IP契約してたっけ？なISPもある / 事務所のフリーWiFiだったら同じ業界人が集まってるのは想像に難くない

[call_me_nots]

ところどころ興味深い箇所はあるんだけど、全体的には眉に唾だらけ

[hibiki0358]

自分の今のIPアドレスを、記事中のMaxMaindで調べてみたけど。 都道府県からして違うのだがwww 何でここまで危険ガーって言い切れるんだろ???

[satohu20xx]

なんか、いっちょかみしてみた文章なのかなーって気がする

[debtengineer]

DHCPでIPアドレス割り当ててるんだっけ？？？ ケーブルテレビぐらいだと思ってたけど…

[hatebutabooboo]

対応が酷かったのが本当残念。その後、役員がそれぞれ大した事無いかのようにどうでもいい事Twitterでつぶやいてるのが悪印象。

[ys0000]

IP AddrからISPはわかるし、ある程度の企業規模なら固定IPで組織特定もできる。だが、郵便番号はわからんよ。表示されるのは接続ISPの情報だ／IP Addrは非開示であるべきだが、接続時にWebサイトへ提示してるものでもある。

[georgew]

noteで文章が書かれているため、それを教師あり学習のデータとして使って、他のサイトで匿名で書かれた投稿が本人のものであるかどうかが確率的に判定 > これ、IPアドレスの介在は無関係では。

[akymrk]

元akamaiの人“IPアドレスや個人の特定","最も近いキャッシュサーバを割り当てるためのネットワーク距離の測定で、ユーザの場所の特定は欠かせないですし、ユーザの場所を特定するためのソリューションも売ってました”

[daira4000]

IPアドレスでどこまで分かるかは環境次第なので…。 maxmindで住所がわかるってのは明らかに間違い。でもnoteの言う個人情報ではないってのは無理だょ。

[sudo_vi]

微妙に雑

[yutaro1985]

だいぶ細かに整理されてますね。 直接内容とは関係ないですが、単体では個人情報に当たらなくても複数の情報の組み合わせで特定できるようならそれは個人情報に当たる、と理解してます。

[hideaki_kawahara]

IPv6一時アドレスのことが一切書かれていないなー。

[ykhmfst2012]

noteなぞ反ワクチン記事への反応（id:entry:4668442634644427682）で見切らないと。他人事や自慢話は饒舌なのに自分事となるとベンチャー企業の規模だ構造だと出来ない理由を並べ立てて逃げるんだよ深津だの界隈の連中はさ。

[canadie]

初っ端からデタラメじゃないか。一体セキュリティ以外の何の専門家なんだよ…

[hiiragi7777]

"特定の個人と、IPアドレスからおおよその住所を紐づける事が可能なのです。 特に女性は、嫌だと思います。" いや性別関係ないだろ

[UhoNiceGuy]

本当の問題は指原やvtuberら特定の人が本人かということ以上に、noteでIP addr漏れて実際に特定される個人団体が存在し、それがnote上で不適切な発言をした場合だと思う。ステマとか。それをひた隠しにしてるnoteはちょっと

[shiketanotsuna]

IPアドレスが個人情報であるならセキュリティ目的のVPNとかTorとか使わないほうが悪いってことにしとくか

[versatile]

スタートアップのキラキラしたサービスの裏はたいてい（速く出すことが正義だ！の名の下に）雑に作られている

[viperbjpn]

maxmind(および他類似)は日本においてはさほど精度がないので、信用には値しない。と思ってる。IPで国別の処理をする場合などには便利ってぐらいでしょ。マンションなどで登録されてるケースはレア。(大企業はのぞく)

[xlc]

IPアドレスはプロバイダが協力すれば個人を特定できるし、あちこちで漏れれば閲覧履歴が分かることになるので隠すべき。それより問題は誰かが意図的に漏洩させたこと。プログラムのミスではこんな事態は発生しない。

[nanamae]

この件はエゲツない事例も見たので問題ないですとはとても言えない

[shag]

IPアドレスDBなるものがそもそも信用に値する情報なのか？っていう話から始めないとな。一般的にユーザーにIPアドレスを配っている元の、IPアドレスを保有しているISPはその住所情報を公開しているわけではないし。

[quick_past]

わかるけど、ハック情報を晒して良いのか(;´Д`)という気はする

[lawikakog]

別にnoteユーザーじゃないから擁護する意図はないんだけど、最終的に個人特定に到達できるか？というとどれだけ情報の断片を組み合わせても推測の域を出ないわけで騒ぎすぎな気がする

[shikiarai]

IP漏らすやつがあんな再発防止策で他の情報を今後は漏らさないと言えるはずないんだよな。

[tsutsuji360]

特定できるって言ったら言ったで、できないって言われるしー

[tick2tack]

IPアドレスからは人物を特定できないというが範囲を絞れるし更に蓋然性を高める手法がいくつもあると。

[ngsw]

IPアドレスからの市町村判定、ライブラリにもよるのだろうがすごく雑だと思っていてその点は大した問題でないと考えるが、「この人がどこのプロバイダと契約しているか」という情報は結構重要なものと考えている。

[aikyoteicoma]

特定できると熱弁する記事を見つけると？と感じる。著名人を特定して正義面した人の加勢にはなるだろうけれど、、、「完全には特定できないですよ」程度の結論にして、テストでも加工して使う。と啓蒙するのが良いな

[moshimoshimo812]

IPアドレスは個人情報ではない、というのは流石に詭弁でしょ、という話

[lorenz_sys]

本件のような基本的なレベルならセキュリティに関する要件として顧客から明示がなくとも暗黙要件として開発側が提示するのが普通だと思ってたんだけど。"日本のITは、この「非機能要求」が弱い"とか関係なく。

[NOV1975]

ここで書かれてることって「プロバイダなら調べればすぐわかることをプロバイダならいろんな方法で調べられます」って言ってるだけじゃね？

[peppers_white]

Macアドレスが記録されてるかどうかが焦点かなー、件の記事のmacアドレスと例の人のMacアドレスが一致した場合・・・

[tpircs]

noteの問題は、安全と言い切れないものを安全と言い切っていることだと思う。リスクが低かろうと危険性があるのならばそれを誠実に伝えればいいのに。IPアドレス漏えいは一般的にNGだと思うけれども。