雑記

◆ アマゾンのギフト梱包サービス使ってみた

知人への贈り物にアマゾンでギフト梱包を使ってみました。300円なので、はなからさほど期待してはいなかったのですが、予想以上にひどいサービスでした。

届いた時の状態は青い不織布を右の写真のようなフェルトのリングで留めてあるだけ。マジックテープってのも勘弁してほしいのですが、カードにでっかくアマゾンのロゴを載せるセンスは最悪。ギフトラッピングの説明ページの写真を良く見ると、確かに同じカードが貼ってあるんですが、そんなの気付かないって。

さらにギフトは相手に直接送ることもでき、上の説明ページに

ギフトラッピングを選択された場合、注文時にご入力いただいた請求書送付先のお名前が贈り主として送り状に印刷されます。

という注意書きがあって、一見するとちょっと良いサービスっぽく読めるんですが、これがかなり大きなトラップです。

届いた箱に同梱されていたのは、通常の納品書とほぼ同じフォーマットで私の住所氏名が「贈り主」という肩書とともに記載されているだけのもの。さすがに金額関連の項目は抜かれているものの、注文日や注文番号、商品名やコードなどがばっちり記載されており、検索すれば一発で金額も確認可能で、消してある意味が全くない状態。

贈り物を買ったお店や値段がすぐにわかるような状態で相手に届けるなんて私の感覚としては信じられないんですが、アマゾンというかアメリカでは普通なんでしょうか？

もし仮にこれが無料サービスなら文句をつける筋合いのものではないと思いますが、少額とはいえ梱包料金を追加で払った上にアマゾンの宣伝に使われるっていうのも納得できない話です。

.clear.

このままでは相手に渡せないので、梱包をやり直すことに。前にも商品だけ買ってギフト梱包をやってくれるお店を探しまわったことがあり、市内にそういうお店は無いという結論に達しているので、袋はそのままにリボンで結び直してみました。結構いい感じ(自画自賛)。ちょうどいいサイズの袋を探すのは商品によってはなかなか難しいので、袋代300円と割り切って今後も使うかも。リボンもあるし。

といってもやはりプロのようにはいかないので、百貨店と提携して、アマゾンで買った商品の百貨店での受け取りサービス（贈答用ラッピング付き）とかやってくんないかな。別にアマゾンじゃなくてもいいけど。

◆ ゆうちょダイレクトの「合言葉」認証に潜むリスク - 「チャレンジ質問」方式における質問はどうあるべきか

まとめ

この8月からセキュリティ強化策としてゆうちょダイレクトに導入されたリスクベース認証では、不用意に利用者のプライベートに深く関わるような情報を収集していますので注意が必要です。

また、こうしたシステムを作る側も、設問の内容はもっとよく検討すべきではないでしょうか。

解説

ゆうちょ銀行が提供しているインターネットサービス「ゆうちょダイレクト」で、セキュリティ強化策として、8月から以下の機能を導入するということで、3月に連絡が来ていました（ゆうちょダイレクトのお知らせでも公開されています)。

１　セキュリティ強化策
(1) 　「リスクベース認証」（合言葉による追加認証）の導入
お客さまが「ゆうちょダイレクト」を普段利用されている環境（インターネットプロバイダのＩＰアドレス情報等）を総合的に分析・リスク計量し、不正利用の懸念があるアクセスを検知した場合に、「合言葉」による追加認証を行います。
(2) 　「選択した画像」の表示
お客さまに事前にご登録いただいた画像をログインパスワード入力画面上に表示することにより、正規の「ゆうちょダイレクト」ログイン画面であることをわかりやすく確認できます。

これらの対策自体は最近のトレンドっぽいので、ゆうちょ銀行さんもがんばっていて結構なことだと思い、実際に使ってみました。

対策導入後ゆうちょダイレクトにログインすると、セキュリティ対策の説明画面が表示され、画像と合言葉の登録へと進みます。これらの登録を済ませない限り通常の操作は一切できないようになっていました。これはリスクベース認証の機能を確実に利用可能な状態にするためにはやむない措置でしょう。

説明を読み終わると画像の選択の後、右のような合言葉の入力へと進みます。この画面では、質問を選択肢の中から3つ選び、その回答を入力するようになっており、3つの質問とその回答の全項目について入力することが必須となっています。

ここで少しゆうちょダイレクトのシステムから離れますが、このような認証方法は「チャレンジ質問」と呼ばれていて、ゆうちょダイレクト以外でも似たような方式のシステムはちょくちょく見かけるようになりました。

参考情報：

• 「インターネット取引に係る個人認証技術を巡る動向」（IPA ニューヨークだより 2008年9月号）
• RSAに聞く、オンラインバンキングを守る「リスクベース認証」普及のわけ （クラウドウォッチ 2008/2/15）
• リスクを排除する安全な認証基盤 （日本HP 2007/12/18）
• インターネットバンキングの安全性を巡る現状と課題（日本銀行 2006/07/28）

さて、この「チャレンジ質問」、要するに本人しか知りえないような質問とその答えをあらかじめ登録しておき、それに答えさせることによって本人であることを確認すると言う方法です。これは利用者の知識や記憶にある事柄を認証に利用するため、パスワードのような「忘れ」が起こりにくい一方で、登録内容が本人のみ知りえる情報ということになるため、プライベートと結びつきやすく、登録させる情報は本来ならかなり慎重に検討する必要があるはずです。

例えば、上に挙げたIPAのニューヨークだよりの記事では、6ページの脚注において質問の例として

この秘密の質問の内容は、「はじめてのペットの名前は？」「母親の旧姓は？」「子供の頃住んでいた家の番地は？」などであり、パスワードよりも、第三者には推測しづらい内容としている。

と比較的さらっと書いてあります。しかしながら、この例が、決して「はじめてのペットの種類は？」「母親の出身地は？」「子供の頃住んでいた家の郵便番号は？」とはなっていない点は、こうしたシステムの製作に関わる人であれば心に留めておくべきだと思います。比較すれば一目瞭然ですが、上に引用した質問と、私が例示した質問の答えでは万が一個人情報とセットで盗まれた際の情報としての価値に雲泥の差が出てくるからです。つまり、

.orangered bold.「チャレンジ質問」方式で選択可能にする質問は、その答えと個人情報とが結びついても無価値なものにする

ということが、こうしたシステムにおいてその質問が適切かどうかを見極める重要な判断基準となるでしょう。もうすこし具体的に書く努力をしてみると、

• 個人の出自や嗜好に結びつき、何らかのマーケティング活動に使える内容は避ける

といった感じでしょうか。

さてここでようやくゆうちょダイレクトに話を戻し、合言葉の登録画面における各質問の選択肢は次のようになっていました。ついでに（あくまで私見ですが）設問の危険度を判定して色付けしてみました。

質問1

• .red.初めて買った車またはバイクの名前は何ですか？
• .red.始めて映画館で見た映画のタイトルは何ですか？
• .orange.子供の頃に憧れた人の名前は何ですか？
• .blue.最初の上司の名前は何ですか？
• .red.最も好きな動物は何ですか？
• .red.最も好きな料理名は何ですか？
• .red.最も好きな作家の名前は何ですか？
• .red.最も好きな果物は何ですか？
• .red.最も印象に残っている旅行先はどこですか？
• .orange.子供の頃、親とよく行ったところはどこですか？

質問2

• .blue.母親の旧姓は何ですか？
• .blue.子供の頃の親友の名前は何ですか？
• .red.最も好きな都市はどこですか？
• .red.最もよく読む雑誌は何ですか？
• .red.最も好きな花は何ですか？
• .red.最も好きな飲み物は何ですか？
• .blue.最も好きな童謡は何ですか？
• .orange.初めての給料で買ったものは何ですか？
• .blue.中学3年生の担任の苗字は何ですか？
• .blue.芸能人の誰に似ていると言われますか？

質問3

• .red.結婚記念日はいつですか？
• .red.最も好きなアニメはなんですか？
• .red.最も好きなデザート（スイーツ）は何ですか？
• .blue.座右の銘は何ですか？
• .orange.最も好きな歴史上の人物の名前は何ですか？
• .orange.最初の勤務地はどこですか？
• .blue.子供のころのあだ名は何ですか？
• .orange.初めて行った海外の都市はどこですか？
• .red.初めて買ったCD・レコードの歌手名は何ですか？
• .blue.初恋の人の名前は何ですか？

不謹慎ながら率直な感想としては、これをベースにリスト作れば高く売れそうだなぁと思いました。

また、素人考えながら、上のような情報が漏洩した場合、民事の方では500円では済まなくなるというリスクがゆうちょ銀行側にも発生している気がするんですが、その辺はどうなんでしょうか？

おまけ

確認していて気づいたのですが、合言葉の変更画面ではアクセスするごとに各質問の選択肢の順番がランダムに切り替わるのですが、このような実装になっている意味がよく分かりません。

はじめはアクセスごとに質問の内容をランダムに変えているのかと思ったのですが、何回やっても順番が切り替わるだけでした。次に想像したのは、選択肢のvalue値をランダムに切り替えてどの選択肢を選んだのか分かりにくくするためなのかと思ったのですが、Man in the middleを仕掛けられた場合は選択肢のテキストも含めて盗聴されるので意味があるようには思えません。で、ソースを読んでみると

<select name="shitsumon1" style="width:370px;"><option value="Q1.8">最も好きな果物は何ですか？</option>
<option value="Q1.10">子供の頃、親とよく行ったところはどこですか？</option>
<option value="Q1.1">初めて買った車またはバイクの名前は何ですか？</option>
<option value="Q1.5">最も好きな動物は何ですか？</option>
<option value="Q1.7">最も好きな作家の名前は何ですか？</option>
<option value="Q1.4">最初の上司の名前は何ですか？</option>
<option value="Q1.6">最も好きな料理名は何ですか？</option>
<option value="Q1.3">子供の頃に憧れた人の名前は何ですか？</option>
<option value="Q1.9">最も印象に残っている旅行先はどこですか？</option>
<option value="Q1.2">初めて映画館で見た映画のタイトルは何ですか？</option>

と、value値に入る設問と回答番号の組み合わせが固定値でセットされており、表示順だけがアクセスする毎にランダムに切り替わっていました。

なんか、「毎回選択肢の順番をランダムに切り替えているのでより安全です」とか説明しつつ、実質的にはまったく意味の無い実装になってる気配がするんですが…。

.green. ====