買ってしまいましたよiPhone。ついウカウカと。いやー、画期的に楽しいソフトウェアだ。びよーんと画面が大きくなったり小さくなったり、クルクル高速で回ったり、裏表ひっくり返ったり。詳細は他の人たちがお腹一杯になるまでブログをかいてくれると思うので、以下キモだけ書きます。

• 日本語はちゃんと表示される？

大丈夫です。こんな感じ。

• 日本でも使える？

毎月６０ドルのアメリカの携帯プランに入れば。高いと見るか安いと見るか。（携帯プランをactivateしないと何もデキナイ。私はまだしてないので、画面写真はYさんの。）

• 以下、販売開始後の写真＠Apple Atore on University Avenue, Palo Alto

行列風景

店内風景

店員さんも嬉しそう。１年以上フルタイムで働いていると一台もらえることになってる。「もうもってる？」と聞いたら、「お客さんが全部はけた後」とのことでした。

買い終えた後の店外

行列の最初にいたScobleさんのお子様。インタビューを受けています。

店の前にはってあった「Stanford iPhone User Group」のポスター。Stanford Newton User Group（まだあったのか！しぶとい。）のスピンオフだそうです。毎月第3火曜日の夜８時から、Printers Cafeで集まると。興味のある方は参加してみてください。

最初に買って出てきた人を囲む群衆。Paris Hiltonか！？

いやー、すごいことになっておりますiPhone。

Palo AltoのUniversity AvenueにあるApple Storeはお祭り。100人以上が行列、テレビ局、インターネット系放送局やら、個人ビデオポッドキャスター、単なる見物の人、あい乱れ、飲み物からドーナツ、ピザ、ベーグルなどいろいろなものが列の前の方から送られてきたりして、すごい楽しい。Stanfordで打ち合わせしたのでついでにちらりと見に行ったら、JTPA仲間のNaanさんやらKennさんやらnhさんがしっかり座り込んでました。しかもnhさんは

「今のところ買うかどうか決めていない」

何しにきたん？（でもきっと買っちゃうと見た。）

あまりの熱狂に、昨日まで買う気がなかったのについつい今日欲しくなった人が、全米で何万人もいると見た。（私もそう。。ミーハーです。）人々の興奮振りを見るにこれは、

「携帯業界のイエスキリストが、馬小屋で生まれる瞬間」

という感じであります。

海部さんは日本の携帯業界を憂いているけれど、今日生まれるイエス様の魂は「ソフトウェア」でできている。

iPhone line-waiterの皆さんが何に興奮しているかといって、画期的なソフトが載っていること。「ハード機能偏重」からソフトへフォーカスが移るターニングポイント瞬間があと１時間でやってくる、ともいえるかも。

とにかく大変なことになっています。あとは携帯キャリアのAT&Tがちゃんとインフラを提供できることを祈る、って感じです。

以下、ちょっと時間がないので、撮ってきた写真を羅列。。。

日傘は必須。

ビデオ取材中のFuturemedia.orgのTaylor Barcroftさん。

NBC放送のカメラマン。

無料で配られたドーナツの山。

カキ氷

隣の店の本日特別メニューを掲げるKennさん。

セグウェーもあった。


行列の最初の６人。


取材を受ける行列トップのScobleさんと娘さん。


記念撮影する通りがかりの人。


駐車違反のチケットを切られたnaan氏。

宣伝にやってきていると思われる人たち。

「今日は全然売れないよー」という隣の靴屋の店員。

取材中なり。

コードを貸し借りする人たち。


バナナを食べながら見物する自転車の人。

uTream.tvの宣伝。

衛星で現場アップリンクしているuStream.TV

店の前に止まっていた車。

隣の家具屋が、「iPhoneを待ってる間に見に来てね」とビラ配り。

こちらはYさんとIさんが並ぶMt. ViewのAT&Tショップ。

日本から到着した空港から直行して並ぶIさんと、昨日からいるYさん。

Iさんいわく

「買えなかったらどうしよう、と飛行機に乗っている間中どきどき」

Yさんいわく

「これまでの人生で最も興奮するガジェット」

というわけで、私もおこぼれに預かりにPalo AltoのApple Storeに行くので、これにて失礼。

そろそろ国際的な SEO の知識も必要になってくるに違いない。

そう思って、実験サイトを 22ヶ国語に対応させてみた。

これはひどいネーミングだ。abc-yoga.info .. 正直、世界的に通用しそうな言葉ならなんでも良かった。ネーミングに他意はない。

各国語版は以下の通り。

Arabic Italy English Netherlands Korea Greece Sweden Thailand Czech Republic Chinese Taiwan Denmark Turkey Germany Japan Norway Hungary Finland France Israel Brazil Porland

途中で気合が抜けて一部（結構）対訳リソースの作成漏れがあるが、一応概ねその国の言語で表示されるようになっている。

↓タイ語

（もはや正しい言葉になっているかどうかもわからない）

アラビア語なのに左揃えになっているとか、細かいところを突っ込めばキリがない。つくづく自分で対訳リソース作ってやるもんじゃないと思った。

サイトの構成については、これまでの実験サイトのものと全く同じである。

各国語での検索は Yahoo! Japan の API がしっかり対応しているので非常に手軽に構築できた。

関連語については ＊****e ＊*****t API を使っている。

また、各言語の人気キーワードについては Google Press Center: Zeitgeist のデータを引用させていただいた。

これらの組み合わせで正しく動作する 22 の言語を選び、それらに対訳リソースをわりあててサブドメイン別にページを表示させている。

各国での広告状況も見たいので、AdSense も貼っている。
ざっと見たところ、タイ語など、一部言語では広告が出ている雰囲気すらしないのだが・・・。

なお、多言語対応したからといっても、正直それほどメリットがあるわけではない。

競合は少ないかもしれないが、なにしろほとんどの言語の地域は、日本に比べて遥かに人口が少ない。

しかしながら、alexadex のように、国際化対応をサイト上で実施し、ローカライズをユーザーに行ってもらう、といったアプローチはこれからのウェブサイトでも増えてくるのではないか、と考えている。

そういった視点も含めて、まずは各言語圏でこの実験サイトがどれだけ通用するかを測定してみたいと思う。

しかし・・・個人的には非常に興味がある実験なのだが、多くの人にとっては意味不明な気がしている。
というか、これもはや SEO 講座じゃないような・・・

⇒ abc-yoga.info

※本エントリはスパムサイトをネタにしたSEO講座です・・・いい意味で。⇒序章を参照

「フィーバー」って懐かしいですね。えっ？？知らない？うむむ・・・
ということではなく、iPhoneの発売を明日夕方6時に控え、全米のCingular/AT&Tショップ、Apple Storeに行列が出来ているという話。New Yorkは大騒動なようですが、ベイエリアはそこまでの狂乱は今のところありません。San Franciscoでは今日の夕方6時半、発売24時間前で仮装した人を含め12人が並び、Palo AltoのApple Storeには9時半にScobleさんが子供と二人でならびに来たそうですが（でもマスコミ関係者の方が多いらしい）。

で、今しがた（当地夜11時）、裏をかいて（？）非常にマイナーなCingularショップに並ぶYさんを激写してきました。↓

店頭広告。左側のスクリーンの下にcradleが。iPodと同じなんですね。

Craigslistには、他人のために行列してあげる「iPhone line-waiter」の求人・求職がたくさん出ており、ベイエリアの今の相場は200ドルくらいみたい。冒頭の写真の店で並んでいた5人は全員自分のために買うとのことでしたが。写真の奥のほうにいる男の子は13-4歳という感じでしたが、

「お父さんのために並んでいる。朝までここにいる。」

とのこと。お父さん、そんなことを年端も行かない息子にさせていいのか。

さて、iPhone狂騒、どうなることやら。金塊並の厳重警備で全米に配送している、と朝刊にかいてあったけど、乱闘になったりしないといいですね。

高木浩光＠自宅の日記

2007年06月29日

■ EZwebサイトでSession Fixation被害発生か？

au booksでの事故

意図的な攻撃でなく偶発的な事故なのかもしれないが、auの公式サービス「au books」のEZwebサイトで、Webアプリケーションの脆弱性が原因の情報漏洩事故が起きたようだ。

• 顧客情報漏えい：書籍販売サイト「ａｕ　Ｂｏｏｋｓ」で, 毎日新聞, 2007年6月26日

  ゲーム攻略本（１冊１８９０円）の紹介サイトからアクセスし、その攻略本を買おうとすると、他の顧客の氏名、住所、電話番号、生年月日、会員パスワードが表示された。そのまま購入手続きをとると、他の顧客が購入したことになってしまうという。

• au携帯電話におけるオンライン書籍販売サイト「au Books」におけるお客様情報の誤表示について, KDDI, 2007年6月26日

  1. 発生事象

  本年6月22日20時37分から23日18時45分までの間、特定のリンク元サイトから「au Books」にアクセスしたお客様に対し、同じ時間帯にアクセスした他のお客様の登録情報 (氏名、住所、電話番号、生年月日、会員パスワード) が表示され、場合によっては、自分の情報が他のお客様の情報に書き換わってしまう事象が発生しました。 なお、誤って表示された可能性のあるお客様情報は最大436件、また書き換えられた可能性のあるお客様情報は最大124件です。

  2. 発生原因

  リンク元サイトから、「au Books」にアクセスしてきた同一のセッションIDを持つお客様に対し、「au Books」が、個別のセッションIDを付与できなかったために発生しました。

KDDIの発表に技術的な原因が書かれていて有益だ。この記述から推測するに、session fixationが起きていたのではないか。

対策が完了してサービス再開された後のau booksを訪れてみると、次の構成になっているようだ。

• サイト内の任意のページに最初にアクセス時点でセッションIDが発行される。
• 発行されたセッションIDは、cookieにセットされるとともに、URL rewritingにより、HTML中のサイト内リンクのリンク先URLに「;jsessionid=E34C50....」の形式で埋め込まれる。
• ショッピングカートに商品を入れた後、注文画面に進むとき、登録済みユーザであれば、パスワードの入力を要求される（ユーザ名は要求されない）構成になっている。
• パスワード認証後、送付先の住所等が表示される。
• この間、「;jsessionid=E34C50....」はURLにずっと付けられており、値は変化しない。

その他、secure属性の付けられたcookieと、他に数個のcookieが発行されるようになっている。

改修前とどの部分が違っているか（対策により）は確認できないが、以下、事故当時に何が起きたのかを推測してみる。

まず、「特定のリンク元サイトからau Booksにアクセスしたお客様」に限ってこの現象が起きたということから、おそらくそのリンクは、次のように、セッションID入りのURLで記述されていたのだろう。

http://www.au-books.jp/item_detail.html;jsessionid=E34C50...?item_cd=MJ070.....

このリンクを辿ってアクセスするとき、現在の改修後のシステムでは、このセッションIDは破棄されるようだ。もし「JSESSIONID」というcookieに既に値が入っていれば、そちらの値が優先され、アクセスしたページに（URL rewritingで）埋め込まれる次のリンク先のURLには、そちらのセッションIDが埋め込まれる。また、「JSESSIONID」のcookieがまだ存在しない場合には、新たにセッションIDが発行されて、その値がSet-Cookieされ、次ページへのリンクのURL rewritingに用いられる。つまり、URL中の「;jsessionid=E34C50...」の部分は実質的に使用されていないに等しい構成になっているようだ。

これが、改修前では次のように動作していたのではないかと推測する。「JSESSIONID」のcookieがまだ存在しない場合、URLに指定された「;jsessionid=E34C50...」がセッションIDとして認識され、その値が「JSESSIONID」のcookieとしてセットされる――(A)。（あるいは、「JSESSIONID」のcookieが発行されていなかった可能性――(B)もある。）

こうした動作をすると、同じ時間帯にアクセスした複数の閲覧者が、同じ「E34C50...」のセッションIDでアクセスすることになる。ここで、Webアプリの構成が次のようになっていたとしよう。

• ユーザがパスワードを入力してログインすると、そのときのユーザID*1がセッションオブジェクト内に記憶される。
• ログイン中に個人情報をDBから引き出して表示する機能のページでは、このセッションオブジェクト内のユーザIDをキーにDBが検索される。

その場合、一人目のユーザ(1)がログインした後に、別のユーザ(2)がログインし、その後にユーザ(1)が個人情報を表示しようとすると、セッションオブジェクト内のユーザIDは(2)のユーザIDに書き換わっているため、ユーザ(1)の画面にユーザ(2)の個人情報が表示されるという事態が起きる（図1）。

図1: 同一のセッションオブジェクトを複数のユーザが共有してしまった状態
（黄色はセッションオブジェクト、緑は変数を表す）

通常「session fixation」という用語は、この脆弱性を持つWebアプリに対する意図的な攻撃を指して用いられる*2が、不慮の事故によって起きるこうした事態についても、「session fixation」という言葉を使ってよいのではないだろうか。

Session Adoptionに注意

特に、上記(A)のケースは、session fixationの中でも、その一形態である「session adoption」が起きていたと言える。「session adoption」とは、session fixation脆弱性に名前を付けた最初の論文「Session Fixation Vulnerability in Web-based Applications」で、攻撃手法の解説として、指定のセッションIDをブラウザに送り込む方法を列挙している中で定義された言葉であり、次のものを指す。

まず、WebアプリケーションがセッションIDをブラウザのどこに格納させる構成になっているかで分類すると、(a) URL引数への格納、(b) hiddenなINPUTフィールドへの格納、(c) cookieへの格納の3つ形態あるわけだが、(c) の場合に、攻撃者サイトから他のドメイン用のcookieをどうやってセットするのかが問題となる。攻撃対象サイトにクロスサイトスクリプティング脆弱性がある場合にそれを悪用するといった方法の解説がある中、他のケースとして挙げられているのが、「session adoption」である。

Session adoption

Some servers (e.g., JRun) accept any session ID in a URL and issue it back as a cookie to the browser. For example, requesting:
    http://online.worldbank.dom/?jsessionid=1234
sets the session cookie JSESSIONID to 1234 and creates a new session with that ID on the server⁶. We'll call such behavior "session adoption", due to the fact that the server effectively "adopts" a session ID that was generated by someone else.

⁶In JRun, it is required that a session with the proposed ID doesn't exist on the server yet in order for the server to return the session ID cookie. This may be different in other systems with similar behavior.

（訳）

セッション養子縁組

いくつかのサーバ（たとえばJRun）は、URLに書かれた任意のセッションIDを受け入れ、それをcookieとしてブラウザに発行し返す。たとえば、
    http://online.worldbank.dom/?jsessionid=1234
というリクエストを出すことは、セッションcookie「JSESSIONID」を「1234」にセットし、そのサーバにそのIDで新たなセッションを作成する⁶。サーバが実際上、他の何者かによって生成されたセッションIDを「adopt」する（養子にする）という事実から、我々はこのような挙動を「session adoption」（セッション養子縁組？）と呼ぶ。

⁶JRunにおいては、サーバがそのようなセッションID cookieを返すためには、提出されたIDによるセッションがそのサーバにまだ存在していないことが必要とされる。これは、同様の挙動をする他のシステムとは異なるようだ。

Session Fixation Vulnerability in Web-based Applications, 2002年12月

この脆弱性を持つWebアプリサーバとしてはPHPが最も有名であり、PHPセキュリティ界隈では「session.use_only_cookies をオンに設定する」ことが鉄則として叫ばれている。しかし、PHPだけでなく、上の文献にも書かれているように、J2EEのWebアプリサーバにも同様の挙動をするものがあるらしい*3。

au booksのサイトでどのWebアプリサーバが使われていたのかは知らないが、他のサイトでも注意が必要だろう。

ログイン前Session Fixationの対策は？

一般に、session fixationの対策は、次のいずれかを達成すればよい。

• セッションをfixされないようにする。
• セッションをfixされても問題がないように、必要なタイミングでセッションIDを振り直す。

セッションをfixされないようにするには、まず1つにsession adoptionが起きないようにすることである。セッションIDの格納場所として前記の(a)や(b)を採用せず、(c)を採用した上で、session adoptionが起きないWebアプリサーバを使う*4。しかし、残念ながらそれだけでは解決しないのが現状である。2006年10月21日の日記に書いたように、ブラウザに「Cookie Monsterバグ」があるとそれができてしまうのであり、ほとんどのブラウザで未解決だからだ。ただし、サイトを構築したドメイン名によっては影響を受けない場合もある。au booksの場合は、「au-books.jp」であるから、第2レベルで確定するので「Cookie Monster」の影響を受けないであろう。また、携帯電話のブラウザの「Cookie Monsterバグ」がどうなっているかは興味深いところだが、まだ調べていない。

セッションをfixされても問題がないようにする場合、最も単純なのは、ログイン後までセッションIDを発行しない（セッションを作成しない）ようにすることであるが、au booksのように、ログイン前からショッピングカートのためにセッションを作成する必要がある場合には、それを採用できない。

そのような場合においては、ログイン直後にセッションIDを振り直すという方法が知られている。しかし、はたしてそれで解決なのだろうか。2006年10月29日の日記「ログイン前Session Fixationをどうするか」に書いていたように、ログイン前の状態をセッションハイジャックされた場合、何かの被害が出ると言えるかが焦点となる。

ショッピングサイトの場合、買い物をしようとしている被害者が、悪意あるサイトからのリンクを辿ってサイトに到着した場合、買うつもりのない商品までカートに入れられていることに気づかずに決済画面に進んでしまうということが起こり得るが、攻撃が成功する確率は低めであるし、はたしてそのような攻撃を誰がしたいと思うか？ という疑問がある。

だが、今回の事故では、誰も意図していないのに、数百人もの人が同じセッションを共有してしまう事態が起きたわけだ。これは、リンク元が信頼のおけるサイトだったことがひとつの要因であろう。「攻撃」ではなくても、事故でセッションのfixationが起きれば、誤発注が多発してサービスを中止せざるを得ない事態が生じ得る。

その意味で、少なくとも、意図せずセッションをfixするようなリンクができてしまう事態はいかなる場合も避けた方がよいということは言えそうだ。幸い、session adoptionを避ける方法はあるのだから、Webアプリサーバをそのように設定すればよい。

残る問題は、「Cookie Monsterバグ」を突いてたとえば「.co.jp」全域で有効な「JSESSIONID」を発行するようなサイトが存在する場合であるが、意図的な攻撃でなく、誤設定でそのようなことをしているサイトである場合には、そのセッションIDは固定であるから、（最初を除いて）必ず無効なセッションIDとなっているはず*5なので、存在しないセッションの「JSESSIONID」cookieを無視する（受け入れてしまわない）ようにしておけばよい*6。

そうすると最後に残るのは、意図的に特定サイト用の新鮮なセッションIDをコピーしてCookie Monsterでセットしてくる攻撃（まさにsession fixationの典型）であるが、ログイン前でそれをされることがどのくらい困る事態なのかによって、対策しなくてよい場合もあるかもしれない。

■ サブスクライバーIDをパスワード代わりに使うべきでない理由

このようなsession fixation対策が面倒だという場合、携帯電話特有の対策方法として、サブスクライバーIDを用いる方法が考えられる。

上記の図1でも、ログイン時にサブスクライバーIDを参照してセッションオブジェクトにuseridとして格納したわけだが、それをせずに、view操作の際に直接サブスクライバーIDを参照するようにすれば前述の問題は起きない。これは、サブスクライバーIDがアクセス毎に毎回送られてきているから実現できることだ。

別の方法として、ログイン時にセッションオブジェクトにサブスクライバーIDを記憶し、その後の各ページのアクセス時に、リクエストに含まれるサブスクライバーIDとそれが一致しているかを確認する方法もあり得る*7。それはちょうど、2007年2月23日の日記「携帯電話向けWebアプリの脆弱性事情はどうなっているのか」で参照した、WEB+DB PRESS誌Vol.37に掲載の記事「携帯サイト開発 実践テクニック 2007」にも書かれていたことである。

携帯サイトでセッションを使うときの注意点

携帯ブラウザの場合，Cookieを使うことができませんので，セッションを使う際はどうしてもURLにセッションIDが含まれてしまいます．URLにセッションIDが含まれる場合はセキュリティに注意する必要があります．

本人以外がセッション付きのURLにアクセスできないようにしましょう．特に検索サービスにクロールされてしまうと問題は深刻です．個人情報が簡単に検索できてしまいます．

そのため，セッションには必ず端末IDを保存しておいて，特定の端末のみアクセスできるようにしておきましょう．（略）セッションに格納されている端末IDと照合することで，違う端末からのアクセスをチェックすることができます．

携帯サイト開発 実践テクニック 2007, 技術評論社 WEB+DB PRESS Vol.37, p.127

改めて振り返ってみると、携帯用Webサイトではこれまでにもたびたび「誤表示」の事故が起きていた。例えば次などの報道があった。

• ローソンの携帯アンケートで情報漏洩〜69人の個人情報, ITmedia, 2004年5月14日
• TBS、ボーダフォン向けサイトでユーザー情報を誤表示, INTETNET Watch, 2005年5月20日

こうした事故は、いわゆる「race condition脆弱性」（メモリ上のオブジェクトが短時間にセッション間で共有されるプログラムミスや、同じ名前の一時ファイルを使用してしまう欠陥などが原因で、高負荷時に発現するもの）によっても起きることが知られてきたが、今回のau booksと同様に、session fixationによって起きていたものもあったのかもしれない。

「携帯向けWebアプリは危ない」という話は以前からいろいろな人から耳にするが、具体的なことが表立って語られることがほとんどなく、安全な実装が普及しないという問題があった。

上のWEB+DB PRESS誌の記事の著者は、session fixationによる誤表示の問題が実際に起きていることを知っているがゆえに、「URLにセッションIDが含まれる場合はセキュリティに注意する必要があります」と書いたのかもしれない。

その対策方法として、サブスクライバーIDを用いることが書かれていたわけだが、私はその方法をお勧めしない。auの場合にはcookieがサポートされているのだから、cookieを使って、PC向けサイトと同様に対策をすればよい。（au booksはおそらくそのように対策されていると思われる。）

サブスクライバーIDを使わないべきなのは、次の理由による。

サブスクライバーIDは、ユーザに固定の固有IDであり、どのサイトにも同じ値が送信されるものであるため、国民総背番号制に対して示される懸念と同様のプライバシー上の問題がある。そのうえ、ワンクリック不当請求などに悪用される差し迫った現実の危険性も存在するため、できるだけ早く廃止すべき仕組みである。もし、携帯Webアプリの脆弱性に対してサブスクライバーIDを頼りに対策するサイトが増えると、廃止すべき仕組みを廃止しようにも廃止できなくなってしまうのが問題だからだ。

そしてもうひとつ理由がある。

WEB+DB PRESS誌の記事では、次のようにも書かれていた。

端末認証

登録が必要なサイトの場合，利用する際にはログインが必要です．ID/パスワードを毎回入力するのでは，携帯の場合では特に面倒です．

そこで携帯ならではの認証方法として，現在の端末では取得が容易にできる端末自体の情報（端末ID）を利用します．

携帯サイト開発 実践テクニック 2007, 技術評論社 WEB+DB PRESS Vol.37, p.126

これに対し私は2007年2月23日の日記「携帯電話向けWebアプリの脆弱性事情はどうなっているのか」で次のように書いた。

そもそも、「ID/パスワードを毎回入力するのでは携帯の場合では特に面倒です」などといって、端末IDをパスワード代わりにしてはいけない。端末IDは他のサイトにも同じものが送信されるのだから、パスワード代わりになどならない。

これはひとつには、同日記の脚注1にも書いていたように、この記事には、キャリアのIPアドレスからのアクセスであることの確認の話は書かれていなかったことも問題であるわけだが、もうひとつ、次の理由がある。

SSLの利用を必要としているサイトを想定してみる。携帯電話でもSSLは利用されている。携帯電話のWebにおいてどこに盗聴のリスクがあるかというと、キャリアのゲートウェイからWebサーバまでの通信路が主であろう。そこに本当に盗聴のリスクがあるのか？ という疑問を抱く人がいるかもしれないが、携帯電話でSSLが必要とされているサイトがあるのは事実である。

その場合に、サブスクライバーIDをパスワード代わりに用いるのは明白に脆弱性と言える。なぜなら、図2のように、通信路上の盗聴者はパケットを改竄するなり、あるいは独自のIPパケットを送出することにより、キャリアのIPアドレスからの任意のサブスクライバーIDを送信することができてしまうからだ*8。

図2: 通信路上の攻撃者がキャリアのIPアドレスからの任意のサブスクライバーIDを送信する様子

これができてしまうのは、サブスクライバーIDが攻撃者に既知となるためである。

こうした事態を避けるには、ランダムに生成されるセッションIDをcookie（secure属性を指定した）に入れてSSLで通信すればよい。PCのWebでは普通そのように実装されている。

問題は、cookie機能がサポートされていない、NTTドコモなどの携帯電話であろう。iモードでは、cookie機能がないため、URLにセッションIDを入れることが広く行われているようだ。それは、前述の(B)および(a)のタイプの構造であり、session fixationに弱い。

NTTドコモは早くcookieをサポートするべきだ。携帯Webの危うさは、NTTドコモがcookieをサポートしないことが主要因ではないのか。EZwebと同様に、ゲートウェイにcookie機能を作りこめば、全端末に対応できるのではないのか。

*1 このサイトではユーザ名が存在しないので、EZwebのサブスクライバーID （最近では「EZ番号」と呼ばれるようになった）がユーザIDとして用いられていると思われる。

*2 図1で言えば、User(1)が攻撃者でUser(2)が被害者とすると、（User(1)のloginは省くことができ、）User(2)がログインしたころを見計らって、User(1)がviewの操作をするとUser(2)の個人情報を意図的に盗むことができてしまう。

*3 上記文献の脚注6には、JRunでは存在しないセッションのセッションIDが指定されたときだけこの挙動をするとされているが、他の製品ではそうではない（いつでも受け入れてしまう）ことが示唆されている。

*4 EZwebでは、cookieをサポートしているので、この対策を採用できる。

*5 偶然に有効なセッションIDに一致してしまう確率はゼロではないが、当てずっぽうのセッションIDでセッションハイジャックできる確率と同じはず（セッションIDが暗号学的に安全な擬似乱数生成器で生成されていれば）なので、無視できる。

*6 domain属性の異なる同名の「JSESSIONID」cookieがリクエストに送られてくることになるので、全部をサーチして有効なものだけ使うようにするか、あるいは、セッションを開始する際に、domain属性が「.co.jp」などのcookieを消すSet-Cookieをするようにしておく対策が考えられる。

*7 これにより、セッションハイジャック全般を防止できるわけだが、それは、そもそもセッションIDすらいらないことを意味する。サブスクライバーIDをセッションID代わりに使えばよい。つまり、セッションオブジェクトをサブスクライバーIDで参照するように、Webアプリサーバを作ればそれが可能である。

*8 これができないというのなら、SSLもいらない。

[TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20070629]

本日のリンク元

アンテナ

• Bloglines ×7 : 2, 1, 1, 1, 1, 1 (2007-06-29)


• はてなブックマーク ×3 : 2, 1 (2007-06-29)


• http://reader.livedoor.com/reader/ ×59 (2007-06-29)

Gizmodo、「ギズモドウ」じゃなくて「ギズモード」」なんですね。ちょっと古い話ですが、半年前日本でギズモードジャパンの方と名刺交換してビックリ。私の脳内では

「Gizmo道」

と変換されてたので。

mojoはモウジョウなんで、Gizmodoはギズモウドウだろう、と思ってたのでした。（「子音＋"o"＋子音＋"o"」は、どちらの"o"も「オウ」と発音するのが普通。）で、「極める」という意味で日本語の「道」から取ったんじゃないかと勝手に想像してました。

そういえば、昔Majordomoは「メジャーな『どうも』」じゃなかった、というエントリーを書きました。majordomoは「執事長」という意味だそうです。head of butlers。

ちなみに、英語のカタカナ化、英語ネイティブスピーカーには難しい問題の模様。

こちらのエントリーでsimulationをシュミレーションと書いたら、シミュレーションですと何人かに指摘されました。私的には別にどっちでもいいんですが、日本語を3ヶ月勉強したことのあるダンナに
「simulationをカタカナにしてみて」
と頼んだら、しばし考えた後

「スムレーション」

とのことでした。何か東北弁っぽい。

「シミュレーション」も「シュミレーション」もsimulationであることはわかるとのことでした。（当たり前か。）ただ、最初言ったとき、「シミュレーション」は「ちがーう」とのこと。英語圏の人にとっては、日本語のシ＝sheという音と、siという音は異なった音に響くからでしょう。

なお、ダンナは、私が教えてあげるまで、「ミルク」がmilkだと理解できなかった人でもあります。（カタカナの読み書きは勉強したんですが。）もちろん、ささっとこういうのが理解できるようになる英語圏の人もたくさんいると思いますが、ダンナ的には頭を悩ます問題のよう。

たとえば彼が推測する英単語のカタカナ化は

shirt　→　シャート
salad　→　サラド

なぜ「t」が「ツ」、「d」が「ダ」になるのか、どうしても合点がいかないようで、何度教えてあげても間違えます。

そういえば、前も書きましたが、ヘボン式つづりの「ヘボン」と、キャサリンヘップバーンの「ヘップバーン」は同じHepburn。難解なのもやむなし。

Summer is in full swing, and it's getting harder and harder to focus on work. My mind constantly wanders off to possible destinations for my next vacation. I'm thinking a two-week European getaway -- Barcelona for the architecture, Provence and French Riviera for some great food and relaxation by the beach and finally London for some shopping and Broadway shows.

It's getting easier than ever to plan a vacation with the help of Yahoo! Search. Whether you're a budget traveler or a luxury traveler, you can quickly find the right hotel. After a quick search using 'Hotels Barcelona,' prices look pretty affordable.

But for me, I'm somewhere in the middle. I can't rough it in hostels but I'm also not willing to pay premium prices for a 5 star hotel. So, I started by checking the 4 star hotels that came up in my Yahoo! Shortcuts results, hoping to find something nice for around $150. Thanks to Yahoo! Travel, the narrowed results gave me the photos, reviews and prices all in one place, which makes the process of choosing a hotel much easier.

Another great way to save time is to go with a trusted name. For the London portion of my trip, I searched for 'Hilton London' in Yahoo! Search and came up with this helpful Shortcut.

The third option I clicked on looks pretty promising -- near a Tube stop, good user ratings, almost within desired price range, and the photos look great!

Two searches on Yahoo! Search and I've knocked out two major destinations on my list. Now, I just need to get a feel for Provence and the French Riviera. My vacation planning is coming along nicely!

Wherever your travels may take you -- Shanghai, Florence, or New York -- try finding the perfect hotel for your next trip on Yahoo! Search. Try hotels Shanghai, hotels Florence or hotels New York.

Happy travels!

Lingxian Ding
Yahoo! Search

Mountain ViewのCasto通りにできたインド風中華料理レストランTemptations。
「失業したインド人と中国人が始めたレストラン」
かと思ったあたなはシリコンバレー通です。（当地にはインド人と中国人が山のようにいるので。）

でも違います。（多分。）基本的には、インド人による、インド人のためのレストラン。

インドではここ数年中華料理が流行とのことで、ここベイエリアでも、インド料理屋はオーセンティックであればあるほど、ビュッフェにチャーハンとか中華炒め風のものが登場し始めておりました。インド人の友達いわく、インドに住むお兄さんが中華料理屋を始めたとのことで、アメリカの中華料理屋のデファクトスタンダート、お持ち帰り用紙容器（折り紙状で針金のもち手が付いおり、小さいのに沢山入るあれです）を4－5年前にアメリカから調達して送ってあげてました。（当時インドでは入手不可能だったとのこと。）

で、満を持して登場したのがTemptation。（「満を持して」は、「全米が泣いた」くらいの適当な意味ですのでよろしく）。純粋なインド料理と、インド風中華料理からなるメニュー構成。中華の、ちょびっとだけ（スープストックとかに）肉が入ってる料理が怖かった厳格なベジタリアンのインド人もこれで大手を振って中華が食べられる。

味のほうは、その怪しい響きから受ける胡散臭さをベース期待値とすれば、意外に行けてます。なんかちょっとB級感あり、不思議にも懐かしい味がしないでもない。ケチャップ味のいためのものとか、カレー風味の焼きソバとか。なぜか「Manchurian（満州風）」と銘打った料理が多い。インド人は満州が好きなのかね。

客はインド人が多く、中国人は少なめ。日本人が「なんちゃって和食」に耐えられないのと一緒ですか。

（夜の店先風景↓）

最近、何年も続いたソプラノズというマフィアを描いた人気テレビドラマが終わった。最終回は、コアの登場人物が「これから何かが起こりそうだけど、それを知らずに和気あいあいと家族団らん」、というシーンで最後（と聞きました。私はこれ見てないんですよ）。マフィアの血の戦い決着はないんか、これからどうなるんじゃ、これでホンマにおしまいか、とファンの間ではショックが渦巻いて、翌日のラジオやインターネットはこの話でもちきりであった。

れ、それをパロったビデオをYouTubeにアップしたのがヒラリークリントン。ビルクリントンも出ている。娘のチェルシーは外で車を停めている、という設定。

ヒラリークリントンは温かみがないことが最大のネックとされ、今回の選挙活動では、彼女をhumanizeするために、あれやこれやと努力が払われている が、このビデオもやるねー、という感じ。

こっそり、ヒラリーよりオバマがいいかな、と私は思ってきたのですが、最近、
「ここまで頑張ってるヒラリーはやっぱりすごいかも」
と ちょっとヒラリーに傾き気味です。テレビ演説でも、周りの人たちを下々扱いして、リーダーシップ取りまくり。かっこいい。

支持率も、カリフォルニアではヒラリー37％、オバマ15％と大リード。ベイエリアだけで見ると、ヒラリー３３％、オバマ22％と差は縮まるが。ヒラリーは女性層の指示をがっちり握ってるからだそうな。

うーむ、史上初の女性大統領と、（ハーフだけど）黒人大統領、どっちがなっても、歴史的ですので、少なくともこの二人のどちらかにはなって欲しい、というのが私の今の希望です。Edwardsも素敵なんですけどねぇ・・・・。

Whether you're planning a vacation to Italy and want a preview of some of the sights in Rome like Piazza di Spagna or The Vatican, doing a horticultural homework assignment on heirloom tomatoes, or perhaps seeing what food at the French Laundry restaurant in Napa Valley, California looks like, Yahoo! Image Search is the starting point for many of you out there. Now when you use Yahoo! Image Search, in addition to the billions of images we crawl from the Web, you've got access to over 300 million images from the amazing community of photographers on Flickr.

We had a of couple objectives for this integration. First, we wanted to ensure that we respected the contributions from the Flickr community and give credit where credit is. Results from Flickr are attributed to the photographer with a 'by membername on Flickr' attribution. As usual, clicking on the thumbnail takes you to the photo. And clicking on the photographer's name sends you to their photo stream so you can see their public photos.

Second, we wanted to build a scalable integration that surfaced the freshest, most relevant content from Flickr. As a result, we've built this integration via a direct feed versus an API, ensuring timely results for your image queries, including any modifications or additions that are made in Flickr.

This integration brings another layer of relevance, freshness and, dare we say, beauty to our Image Search. And it's only the beginning. Please let us know what's working for you and what you'd like to see in future integrations in the comments below.

Ujwal Tickoo
Yahoo! Search, Sr. Product Manager

この間近くのステーキ屋に行ったら、ステーキが800グラムからという感じでした。ダンナと二人で半分に分けたのだが、最後の一口は相互に押し付け合い。こみ上げるものがありました。（前菜頼むんじゃなかった）。

こちらはFremontにあるTubzというバスタブ展示場。壮観。写真に収め切れなかったが、少なくとも300はタブがあったと思います。五右衛門風呂みたいな深くて細いものから、横がかぱっと開いて歩いて入れる老人用まで各種あります。

車のディーラーもでかい。新車ディーラーでも、車が野ざらしで延々と並んでいる。アメリカで車を買うというのは、ディーラーに並んでるのを「これ下さい」と買って乗って帰ってくるという、八百屋的購買行動なのでした。

何がKool 援助の出生地におよび緑の生活に公有地であるか。より多くは考える。

4 月に、私達はYahoo を使用するために人々を励ますYahoo! の"であるよりよい____" の挑戦を発表した! しかしよりよい熱狂者、広告者に親友、庭師、企業家似合う用具... "よりよくなりたいと思う。" このプログラムの部分はコミュニティが気候変動及び使用Yahoo に対して全国各地から処置をいかにとることができるか見るアメリカの挑戦のYahoo! の"であるよりよい惑星" の緑都市を含んでいた! よりよいplanetarians になる用具。

今日、の勝者は"よりよい惑星である" アメリカの挑戦の緑都市が明らかにされ、私達は国家の緑のリーダーに叫びを与えたいと思う。競争は350 以上の都市から全国各地から始まり、勝者はKool 援助自体-- Hastings 、ネブラスカの家である! 都市緑化のプロジェクトのための$250,000 の壮大な賞に加えて、Hastings 及び上の5 つの決勝戦出場者都市は他の緑賞のたくさんを受け取る。

Hastings はYahoo の参加の信用を得るために居住者の25,000 を一緒に再び集めることによって上の点をしっかり止めた! カーボン食事療法、Yahoo を減らす誓約による緑! 緑の質問およびYahoo の返事による答え! eco 友好的な可動装置を行なうことによるoneSearch は捜す。そして$250,000 賞を投資する方法を思考及び助言を懇請するために今都市の市長は答えにコミュニティを叩いている。ある大きい緑の考えを有したら、共有することを躊躇してはいけない。

ここにそれらが立つためにしたか何から挑戦へのHastings の貢献のより多くの情報はあり。Congrats 、Hastings 。

Yahoo! 調査のBlog のチーム

Yahoo! 網及びインターネットのマーケティングの専門家の群れにサンタクララの水曜日のSearchnomics 2007 年の会議で最もよい練習のある洞察力を共有するために加わって、SEO で向く。

、Amit Kumar Yahoo のための年長工学マネージャー! 問題網2.0 の会社の表面-- より少ない編集制御および様々な構造問題によって引き起こされるindexability の欠乏…に頻繁に演説するために調査のチームはSEO 及び網2.0 のパネルで、示している。調査の結果の高い可視性を達成する障害を克服する彼は方法のための考えの上で提供する。

Day/Time: 水曜日、27 日@ 6 月4-5p.m 日。パネル: 網2.0 のためのSEO: 調査の高い可視性を達成することは生じる

会議場にこの週先頭に立てば、私達はそこに会うことを望む。そして、Amit にの前に会わなかったら、目を彼のために保ち、彼に言いなさい私達は送った。

Yahoo! 調査のBlog のチーム

Yahoo! 網及びインターネットのマーケティングの専門家の群れにサンタクララの水曜日のSearchnomics 2007 年の会議で最もよい練習のある洞察力を共有するために加わって、SEO で向く。

、Amit Kumar Yahoo のための年長工学マネージャー! 問題網2.0 の会社の表面-- より少ない編集制御および様々な構造問題によって引き起こされるindexability の欠乏…に頻繁に演説するために調査のチームはSEO 及び網2.0 のパネルで、示している。調査の結果の高い可視性を達成する障害を克服する彼は方法のための考えの上で提供する。

Day/Time: 水曜日、27 日@ 6 月4-5p.m 日。パネル: 網2.0 のためのSEO: 調査の高い可視性を達成することは生じる

会議場にこの週先頭に立てば、私達はそこに会うことを望む。そして、Amit にの前に会わなかったら、目を彼のために保ち、彼に言いなさい私達は送った。

Yahoo! 調査のBlog のチーム

8年間の論争の末、ついにパロアルト市がユダヤ結界と化します。（Palo Alto Dailyのニュース）

パロアルトは、スタンフォード大学の隣。市長さんは日本生まれの岸本ヨリコさん。日本語ぺらぺらです。

今回のプロジェクトは、そのパロアルト市の周りをぐるりと釣り糸で囲むというもの。

というのも、厳格なユダヤ教徒(Orthodox Jews)は、金曜の日暮れから土曜の日暮れまでであるところの安息日には、戒律のせいでおちおち出歩くこともできません。しかし、eruvと呼ばれる結界内ではOK。ということで、パロアルトにすむOrthodox Jewの皆さんが釣り糸でぐるっと市を取り囲みeruv化しようと、過去8年間法的・政治的に戦い続けてきたのでした。

ちなみに、安息日にしてはいけないこととして指定されているのは「creative labor」と呼ばれる３９の行為だそうで、その中には、「物を運ぶ」「物を押す」てなのも入るそう。乳母車も押せない、コートを着て家をでたら脱ぐこと もできない、なぜなら脱いだコートを手に持って運べないから、、、と。

そりゃ大変です。

で、そういうことを可能にするeruv結界は、自然の地形やら構造物などを指定した上、連続してないところを釣り糸等で閉じる、という、まさに結界的。「知らない間に糸が切れていた」というのは困るので、結界が出来上がった暁にはOrthodox Jewの方々が毎週見回り確認するという営々たる努力付き。

法律上、この結界を許すのは政教分離に反するんじゃないか、という議論が当然あったが、結論としては「電信柱に迷子ペット探しの張り紙をしたりするようなもの。公共の歩道にテーブルを出すことをレストランに許可するのと同様、釣り糸張りも許可可能」ということらしい。Orthodox Jewの人にとっては宗教的理由がある釣り糸だが、市の立場からしたら単なるフェンスのようなもの、と。

このユダヤ結界、Eruvですが、全米で100以上あり、ワシントンDC、ボストン、ビバリーヒルズなどメジャーな街も囲まれてるそうです。

他人の宗教の結界を勝手に張られるのはなんかちょっとネェ、、、という気もしますが、私の大学院時代のクラスメートで、片足が不自由な Orthodox Jewの人がいて、彼女は毎週杖をついて長い長い道のりを歩いて教会に通っていてとても大変そうでありました。そういう人が便利に過ごせるのはいいことでは あると思われ。難しいなぁ。

しかし、Orthodox Jewの皆さんは大変ですね。フラフープみたいに、自分の周りだけを囲む「マイeruv」ではダメなんでしょうか？

高木浩光＠自宅の日記

2007年06月24日

■ ケータイWebはそろそろ危険

これまでの背景と最近の状況変化

「安全なWebサイト利用の鉄則」にある通り、フィッシングに騙されずにWebを安全に使う基本手順は、（パスワードやカード番号などの）重要な情報を入力する直前に今見ているページのアドレスを確認することなのだが、しばしば、「そのページにアクセスする前にジャンプ先URLを確認する」という手順を掲げる人がいる。しかし、それは次の理由で失当である。

• ジャンプ先URLを確認する手段がない。ステータスバーは古来よりJavaScriptで自由に書き換えられる表示欄とされてきたのであり、ジャンプ先の確認に使えない。
• ジャンプ先URLを事前に確認したとしても、それが（任意サイトへの）リダイレクタになっている場合、最終的にどこへアクセスすることになるか不明。
• そもそも、アクセスする前から、アドレス確認の必要性を予見できるとは限らない。普通は、アクセスして（パスワードやカード番号などの）重要な情報を入力しようとした時点で、アドレス確認の重要性に気づくはず。その時点で、そこまでに辿ってきたページのジャンプ先URLが正しかったかを思い出すことはできない。

しかし、これはPCのWebでの話である。携帯電話世界のWebでは話が違ってくる。

携帯電話のWebでは、アドレスバーがないため、入力の直前に確認することがほとんど行われていない一方、携帯電話では「あまり遠くへ行かない」という使われ方をしているため、ジャンプ前に確認する方法で十分に偽サイトの見分けができる状況があった。このことは、3年前の日記「太古の昔、アドレスバーが入力欄でなかったのを知ってるかい？」と「アドレスバーのない携帯電話はPhishing詐欺に耐えられるか」で次のように書いていた。

携帯電話ではほとんどの人が、公式メニューと数件程度のブックマークから直接サイトにアクセスして利用しているだろう。つまりサーフィンをしない。平均ホップ数がかなり小さいと推定できる。

だから、携帯電話にアドレスバーがなくても誰も困らなかったし、疑問を感じなかったのだろう。今見ている画面は、ついさっき意識的に選んだサイトであるに違いないと確信して使っている。

携帯電話の場合、幸いなことにHTMLメールというものがない。そのため、パソコンにおけるフィッシング詐欺のように、見た目には正規のドメインのサイトへのリンクに見えて、ジャンプ先は異なるドメインになるという罠をしかけることはできない。ジャンプ前にURLを確認できるため、ページ表示にアドレスバーがなくても、それによってドメインの錯誤が起きることはないのかもしれない。

この前提に立つと、携帯電話ではジャンプ先URLの偽装ができてはならないことになる。その前提に立って修正されたのが、「au携帯電話のバーコードリーダでジャンプ先URLが偽装される（2005年4月）」の脆弱性だった。

さて、ところが、それから2年ほどが経過し、携帯電話のWeb世界も状況が変わってきた。検索サービスが普及してきたのである。2006年、携帯キャリア各社がそろって検索サイトと提携して、公式機能としてWeb検索を提供するようになった。

• GoogleとKDDIが提携、「EZweb」に検索エンジン提供, ITmediaニュース, 2006年5月18日
• ソフトバンク、ボーダフォン買収に合意　ヤフーも参加, ITmediaニュース, 2006年3月17日
• グーグルに続いてヤフーも本格参入、モバイル検索がマーケティングに新風, 日経ネットマーケティング, 2006年11月17日

この日記のリンク元を見ていても、携帯Web検索から辿り着いた記録が去年から急激に増えていてる。

つまり、公式メニューから数ホップしかジャンプしないとか、2次元コードで読み取ったURLにジャンプするだけとか、メールで指定されたURLにジャンプするだけといった、「あまり遠くへ行かない」という旧来の携帯Webの使い方は廃れつつあり、PC世界のWebと同様に、適当に検索して目的サイトを探すという使い方が普及しつつある。

となると、フィッシング対策もPC同様に必要になってくるはずだ。フィッシングはメールで誘うものだけではない。検索サイトからたまたま流れ着いて来るのを待つという攻撃も現実にあり得る。これは単なる可能性の話ではなく、2005年6月にフィッシング犯の初の逮捕事例が出た際に、次の通り報道されている。

企業のホームページ（ＨＰ）に似せたサイトをインターネット上に設け、本物と思いこんでアクセスした利用者の個人情報を盗み取る「フィッシング」をしたとして、警視庁は１３日午前、大阪市に住む４０代前半の会社員の男を著作権法違反などの疑いで逮捕した。（略）

偽サイトは、本物のマークが「ＹＡＨＯＯ！」であるのに対して「ＹＡＦＯＯ！」としていた。

（略）「ヤフー」と検索した際、検索結果の一覧で表示されたため、利用者は本物と誤信したらしい。

男は盗み取ったとみられる他人のＩＤ番号を使ってヤフーのサイトに接続した不正アクセス禁止法違反の疑いも持たれている。同庁は、約１週間に２０〜３０人分のデータを入手したとみている。

偽ヤフーで情報盗む、「フィッシング」初摘発　著作権侵害容疑で会社員を逮捕 , 朝日新聞 2005年6月13日夕刊

インターネット上でヤフーの偽サイトを開設し、個人情報を盗み取る「フィッシング」をしたとして著作権法違反などの疑いで逮捕された大阪市の会社員の男が、携帯電話向けにも同社の偽サイトを開設していたことが、警視庁の調べで分かった。同庁は、男がパソコン用のサイトと併設し、より多くのＩＤ番号とパスワードを入手しようとした疑いがあるとみている。

（略）パソコン用の偽サイトには、開設されていた約１カ月間に約７０件のアクセスがあり、〓〓容疑者は、ログイン画面に入力があった約２０人分のＩＤ番号とパスワードを不正に入手。このうち、５人分のデータを使ってログインし、メールの内容をのぞき見していたことも判明した。

携帯でも「フィッシング」 「偽ヤフー」を開設 容疑者を初摘発, 朝日新聞2005年6月14日朝刊

EZwebの検索結果になぜかURL表示がない

さて、auのGoogle検索の結果の画面は次のようになっている。図1は例として「三井住友銀行」で検索した場合の画面（2006年12月に検索した際の画面）である。

図1: auのWeb検索機能で「三井住友銀行」を検索した結果

図のように、auでの検索結果は、「EZweb」と「携帯一般サイト」と「PCサイト」の3つに分けて表示される。これらは上から順に同じページに並べられ、それぞれ数件ずつが表示される。

この検索結果で、右端の「PCサイト」の検索結果（最も下のブロックに表示される）では、トップに現れたのは本物の三井住友銀行であったが、中央の「携帯一般サイト」では、スラッシュドットジャパンのページがトップにヒットしてしまっている。これは、三井住友銀行が「携帯一般サイト」（ページ形式が携帯用で、かつ、インターネットからアクセスできるサイト）を提供していないために起きていると思われる。これはSEO不足というレベルでなく危険な状態にあると言える。

では、フィッシングのターゲットになりかねない組織はすべて、auが言うところの「携帯一般サイト」を用意しないといけないことになるのだろうか？ それも酷な話だろう。auのこのような機能の提供は不用意だと言うべきではないだろうか。

さらに、左端の「EZweb」サイトにいたっては、「魔法のメロランド」などというどこの馬の骨ともわからない着メロサイトが「着うた：三井住友銀行」としてヒットしている。上から順に見ていくと（広告欄を除いて）最初に表示されるのはこの部分である。

現時点でも、検索結果は次のようになる。トップは「携帯先ATM（三井住友銀行）」というタイトルのソニー銀行のページ、2番目は「「三井住友銀行」とは 無料Wiki」というタイトルのGREEのページ、3番目は「イー・ローンで一歩先行くローン選び：三井住友銀行のローン一覧」というSBIホールディングズのページである。

しかも、図1をよく見ると、「携帯一般サイト」と「PCサイト」の検索結果では、緑色で「http://slsashdot.jp/...」というようにリンク先のURLが表示されているのがわかるが、「EZwebの検索結果」にはなぜかそれが表示されない。

図2のように、「みずほ銀行」で検索すると、「無料Wiki」のサイトと「みずほ銀行」というタイトルのサイトがヒットするが、このサイトが何者なのかさっぱり不明だ。「東京三菱UFJ」で検索した場合は、トップには掲示板らしきものが現れるが、信用できるサイトなのかわからない。

図2: auのWeb検索機能で「みずほ銀行」と「東京三菱UFJ」を検索した結果

つまり、「携帯一般サイト」と「PCサイト」については、「ジャンプ前にジャンプ先を確認するという」旧来の携帯Webの利用手順で利用できるのが、「EZweb」サイトについてはそれができないようになっている。アドレスバーを搭載しないのなら、事前にジャンプ先を確認できるようになっているべきところ、なぜ「EZweb」サイトだけわざわざその表示を隠すのか？

これは「脆弱性」とまでは言えそうにないのでIPAには届け出ていないが、昨年12月から今年5月にかけて、3回ほど、「auお客様センター」に電話して、問題の所在と修正すべき点（「EZweb」サイトについてもURLを表示すること）を意見として伝えたが、半年経っても対処されていない。

「auお客様センター」の言い分としては、「EZweb」（と検索結果で分類されている）ページは、EZwebの所謂「公式サイト」であり、一定の審査基準をパスしたサイトであるから、アドレスを表示する必要はないのだという。

「一定の審査基準と言うが、どんな基準なのか見せて欲しい。公開していないのか？」と尋ねると、公開はしていないとのことで見せてもらえなかった。ざっと検索してみるとわけのわからないサイトがいっぱい「EZweb」サイトとして登録されているようだが、どのくらい信用できるものなのだろう？

仮に信用できるサイトだけが登録されているにしても、おそらくそれはサイト単位であって、ページ単位ではないだろう。もし、ページ内容を自由に記述できるユーザページを提供しているサイトが「EZweb」サイトとして登録されていれば、そこに偽サイトを作り込まれる可能性のある場合もあるのではないか。

結局、サイトが本物かどうかはユーザがドメイン名で確認するほかないのだから、ブラウザにアドレスバーを設ける*1なり、ジャンプ先を常に表示するなりの対策を施すべきだ。

NTTドコモとソフトバンクモバイルがどうなっているかはまだ調べていない。

*1 携帯電話のWebは全てゲートウェイを通しているので、そこでコンテンツを書き換えて、URLを表示するヘッダを常に埋め込むといった方法であれば、今すぐ全機種対応で対処できるのではないか。JavaScript非対応機種が前提だが。

[TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20070624]

本日のリンク元

アンテナ

• Bloglines ×9 : 1, 1, 1, 1, 1, 1, 1, 1, 1 (2007-06-25)


• はてなRSS ×6 : 1, 1, 1, 1, 1, 1 (2007-06-25)


• http://reader.livedoor.com/reader/ ×53 (2007-06-25)

高木浩光＠自宅の日記

2007年06月23日

■ 銀行2.0はまだ来ない

4月に、「IE7ユーザーにいまさらSSL2.0を使わせようとする銀行」というブログエントリを見かけた。それによると、Internet Explorer がバージョン7に移行し始めたことを契機に、「SSL 2.0を使用する」に設定変更するよう指示している銀行があるのだという。Internet Explorer 7がセキュリティ上の理由でSSL 2.0をオフに変更したにもかかわらずだ。

例えば武蔵野銀行は、4月の時点で図1の解説を掲示していた。

図1: 武蔵野銀行の「Internet Explorer7をご利用いただくにあたってのご注意」のページの2007年4月時点の内容

Internet Explorer7の場合は「SSL2.0を使用する」がチェックされていない場合が多いのでご注意ください。

他にも山形銀行が同様の解説を掲示していた。いったいどうしてこんなことになるのかと、問題点の指摘がてら、なぜ書いているのか聞いてみた（4月に電話で）。すると、だいたいこういうやりとりになった。

ある銀行：

---

銀: 画面が真っ白になって使えないという方にご案内しているものでして。

私: それで本当に解決するのですか？

銀: はい。お客様にご確認いただいたもので……

私: それは次の項目に書かれている「cacheのクリア」も試したから直ったんじゃないですか？

銀: いえ……

私: そっちで試してないでしょ。

銀: 直ったお客さまもあるので……

私: 次の項目も一緒に変えちゃったらどれが原因かわからないでしょ？

銀: ……。

---

別の銀行：

---

銀: IE 7を導入したら真っ白になったというお客さまが実際にこの設定をすることで直っている。

私: もしかして、2.0 と 3.0 を間違えた人がそう言っているのでは？

銀: 半分の人がこれで解決している。

私: では、SSL 2.0をそちらのサーバでは使用しているのですか？

銀: しばらくお待ちください。……。当行ではSSL 2.0と 3.0を使用しています。

私: そもそも2.0を止めるべきではないですか？

銀: 技術に詳しい者から折り返し電話を……

---

その後折り返しの電話はなかったので結局本当は何が原因だったのかわからない*1。現在は、武蔵野銀行の解説ページからも山形銀行の解説ページからも、この記述が削除されている。

「IE7ユーザーにいまさらSSL2.0を使わせようとする銀行」によると、「SSL 2.0の利用を制限（SSL 3.0へ移行）していることを明示している銀行」というのもあるということだった。どうやら、NTTデータのANSERを使っている地銀等がそのような記述をしているようだ。これはよい。

• 「山梨中銀ダイレクト」における通信手順SSL2.0 による通信の停止について, 山梨中央銀行, 2006年12月

  さて、今般、「山梨中銀ダイレクト」のサービス提供元である（株）ＮＴＴデータから、セキュリティ強化の一環として通信手順SSL2.0 による通信を停止するので、平成１９年１月４日（木）以降、通信手順SSL2.0 では「山梨中銀ダイレクト」をご利用いただくことができなくなるとの連絡がありましたので、ご案内申しあげます。

• 「つるしんインターネットバンキング」における通信手順SSL2.0 による通信の停止について, 都留信用組合, 2006年12月

  さて、今般、「つるしんインターネットバンキング」のサービス提供元である（株）ＮＴＴデ ータから、セキュリティ強化の一環として通信手順SSL2.0 による通信を停止するので、平成１ ９年１月４日（木）以降、通信手順SSL2.0 では「つるしんインターネットバンキング」をご利 用いただくことができなくなるとの連絡がありましたので、ご案内申しあげます。

• 荘内銀行 ご利用環境

  ３．設定による不具合(２)

  SSLおよびTLS※のうち、SSL2.0には、セキュリティ上の脆弱性があるため、現在は一般的に使用を推奨されておりません。当行でも平成19年1月4日(木)以降、SSL2.0の使用を制限させていただきました。

  (SSL2.0で荘銀ダイレクトにアクセスした場合、画面に「ページを表示できません」(InternetExplorerの場合)や、「接続が突然切断されました」(Netscapeの場合)というエラー画面が表示されます。）

  ○当行推奨環境でご利用の場合は、SSL3.0もしくはTLS1.0が使用可能です。

  ※ SSL2.0とSSL3.0の両方が可能なブラウザで通信を開始した場合、ブラウザとサーバが自動的にセキュリティ強度の高いSSL3.0を選択して動作しますので、SSL2.0を利用しないように設定を変えていただく必要はございません。

ちなみに、「IE7ユーザーにいまさらSSL2.0を使わせようとする銀行」によると、「IE7への言及はないが、SSL2.0にチェックを入れるように説明している銀行」（大昔の記述の名残？）がたくさんあるのだという。ほとんどは、IBMや日立のASPを借りている小さな銀行ばかりだが、ネット専業のイーバンク銀行までもがそんなことを書いているというのには呆れた。

図2: イーバンク銀行までもがSSL 2.0をオンにしろと解説している様子

ところで、SSL 2.0とは別の話になるが、いまだにポップアップウィンドウを使うサイト設計をする銀行があって、作っている業者はどこまでアホなのか？と呆れる。4月8日の日記にも書いた常陽銀行は、今年リニューアルオープンしたばかりで、しかも「地銀ITソリューション」という新会社が新たに構築したサイトだ。なのに、普通にIE 6のデフォルト設定で振込みをしようとすると、「ポップアップがブロックされました」となって、これを見ようとすると先に進めなくなる。

振込み先を指定して「次へ」を押したところで図3の画面となる。

図3: 常陽銀行でポップアップがブロックされる様子

ここで、「ここをクリックしてください」に従い、「一時的に許可」を選ぶと、図4のようになる。

図4: ポップアップウィンドウを出そうとすると……

ここでキャンセルを押そうものなら、

図5: にっちもさっちも行かなくなった様子

となって、ブラウザの「戻る」ボタンを押しても同じ画面となり、にっちもさっちも行かなくなる。図4のところで「再試行」ボタンを押すとどうなるかというと、こうなる。

図6: 「再試行」を選んだときの様子

ここで「再表示」を押すと、図3の画面に戻って、けっきょくポップアップウィンドウの内容は読めない*2。ポップアップがブロックされるのがデフォルトになっていったい何年が経過してると思ってるんだ？ こんな作りにしなきゃいい。

*1 原因はもしかして「IE7でWebページを開くと画面が白くなる」のことだった？

*2 ポップアップウィンドウの内容はこのページ。

[TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20070623]

先週末、6/14の土曜日に横浜港にホクレア号を見に行ってきました。今年の１月２３日にハワイ島 Kawaihae を出航。ミクロネシアのサタワル島を経由して、6月9日に横浜港に到着。実に149日の長い航海。横浜みなとみらいの近未来的な高層ビルを通り抜けた先の、小さな桟橋にホクレア号は係留されていました。

今回の航海は、大きく分けて二つの行程に分かれていたそうです。まずはハワイ島から、ミクロネシアのサタワル島、ヤップ島へ（Ku Holo Mau / Sail On, Sail Always, Sail Forever）。そしてヤップ島から日本への2000Kmを超える航海。日本への航路が、ホクレア号のホームページに掲載されていましたが、このような島のつながりで描かれた地図を初めて見ました。地図上の空白である海。風の力と、近代的な機器をいっさい使用しないスターナビゲーションで渡るには、あまりにも広大に見えます。

航海の中継地点にあたるミクロネシア、サタワル島。その島を訪れることは、今回の旅でも特別な意味を持っている。ホクレア号の船長を務めるナイノア・トンプソンに伝統的な航海技術を授けたのが、サタワル島出身のマウ・ピアイルグ。ハワイイでは途絶えてしまっていた航海術だったが、ミクロネシアでは２０世紀後半までは伝統的なカヌーで、実際に遠洋航海をしていたそうだ。池沢夏樹著の『ハワイイ紀行』の第九章 「星の羅針盤」より。1976年、ホクレア号が初めてマウイからタヒチに航海した際の記録について。

今から、約６０００年前から２０００年前にかけて、人類は太平洋の島々にカヌーで移り住んでいった。「人を未知の地に押し出す最も大きな要因はロマンチックな好奇心や冒険心だけでなく、人口の圧力である。ある場所にあまりにたくさんの人間がいると食糧の不足などの理由でどうしても争いが増える。圧政の下にある者は自由な天地へと逃れようと考える。（p.376）」 池沢夏樹氏は、輝かしい航海史の裏にある数多くの失敗（すなわちそれは死を意味するのだが）と、その膨大な失敗の上に積み上げられた、生きる技術としての知力の重要性を指摘する。静かに停泊するホクレア号。コンクリートに固められた港の中で、その小さなカヌーが輝いて見えるのは、人が伝承として受け継いできた、生き抜く力、そのものを象徴しているからなのかもしれない。

昨日、スタンフォード大学でVirtual Goods Summit 2007というのがあったので行ってきました。ゲーム、デートサイト、SNS、バーチャルワールドなど、いろいろなオンライン事業で売り買いされるバーチャルグッズと、それにまつわる経済の話。

で、中身はさてはおきつ、しみじみ思ったのが、

「日本って、本当に世界から隔絶されてるんだなぁ」

ということ。

２００人弱のキャパの会場で３００人くらいの参加者がいて、非常に盛況な雰囲気でありました。朝から夕方まで６つのパネルディスカッションがあったのだが、メジャーな会社から多数がスピーカーとして登場した上、会場にもいろいろな関係会社の人々が大勢。多分３００人の参加者のうち５０－１００人くらいは、業界インサイダーだったと思われます。会場から手を上げて質問する人も、多くが、モデレータから個人名で

「Oh, John!」

みたいに呼びかけられて指されていたし。誰かがSony Onlineの話を始めると、別のパネラーが「Sony OnlineのアーキテクトだったXXが会場にいるから、彼に聞いてみようよ」と言ってその人が会場から話し始めたりとか。

パネラーは、アメリカの会社のみならず、スウェーデンのEntropia、フィンランドのSulake（Habbo Hotel）、中国のTencents、韓国のNexonなど、国際色豊か。

・・・ですが、一人も日本の会社から来てる人はいませんでした。はい。

どの国の会社の人も、パネラーとしてやってきている人の殆どが、弁舌さわやか、丁々発止で議論を進め、抽象的で曖昧な質問にズバっと答えられる、というタイプ。

日本人は、そもそも日本語でもこういうことはあまり得手ではないし、英語でこれが出来る人は非常に稀。日本の会社がアメリカで雇う現地の人も、親会社のカルチャーにあう控えめな人が多いので、弁舌君はあまりいない。よって、日本で大成功しているビジネスでも、それを代表してこういう場で語れる人が限られる。（つまり、ビジネス能力の問題ではなく、言語能力の問題）。

ま、理由はともあれ、私が聞いている間に出た日本に関する言及は

「日本には、景品を渡して別の場所でそれを現金化するという抜け道ギャンブルであるところのパチンコがある」

というのだけでした。

が、しかし、携帯電話のマイクロペイメントでバーチャルグッズ（着メロ、小説、バーチャルペットその他もろもろ）を販売するというビジネスモデルでは、日本は世界の最先端。特に「携帯で小説を売る」というのは、世界でも日本にしかないビジネスではないかと思います。（間違ってたら教えてください）。そういう話をしたら、受けると思うんだけどねぇ。

実際会場は、韓国や中国の話に興味津々でありました。（韓国はオンラインゲームのメッカゆえ当然ではあるが。）

日本にいると、世界はとっても遠く感じるのだが、The feeling is mutual。世界のほかの国の人たちも日本をとって遠く感じている。グローバルな市場調査レポートでも、「アジア、ただし日本を除く」として分析されていることはかなりある。「外国人には中々入ることのできない謎の大市場」というのが一般的な日本のイメージかと思います。

まぁ、本当にそうですが。

実際、日本国内だけで進化した製品で、他の国ではその存在すら殆ど知られていないものはたくさんある。

たとえば、掃除機のダイソンが発売したAirblade。「『世界初、ジェット噴射で手の水気を拭き飛ばす』なんてえらそうなことをダイソンは言ってるが、それって日本で三菱が売ってるジェットタオルのコピーじゃないの」、とGizmodoに書かれたのは去年の１０月。

テレビ携帯というのもそう。「携帯でテレビを見る」って、アメリカではまだSFみたいな扱いですからねぇ。業界人はみな興味津々なのだが、「日本では既に製品化されこんな風に利用されている」と語る人はめったにいない。日本ではもう何年も前から携帯でテレビが見られることなど、殆ど知られてません。

・・・・さて、この先の話の展開として、私が
「日本が世界から隔絶されているのは良くない、何とかしてその壁を乗り越えるべきだ」
と言うと思った方。

残念でした。そんな普通のことは言いません。うふふ。

私としては、「これはこれでいいんじゃないの？」と。

「隔絶された巨大市場」というのは、欲しくても作れるものではない。いつも言うのだが、日本はアメリカに次ぐ第二位の市場。３位のドイツあたりを大きく引き離している。韓国やら中国やらインドなどと比べること自体間違ってるくらい大きい成熟した市場である。しかも、それが世界の他の国から隔絶された文化圏をもっている、というのは素晴しいことではないかと。

猫やら犬やらを孤島に放してしばらく経つと、全く異なる新種が誕生し、世界から珍重される、といったことがあるが、日本も同様に「全く違う、とんでもない製品」が出てくる場所になりつつある。だからいいじゃん、と思うのですよ。そもそも、世界が単一化するのもつまらないし。

もちろん、「全く違う、とんでもない製品」の多くは、世界では全然受け入れられないリスク高し。テーストが違うのでやむなしではあるが。「テーストの違いなんかぶっちぎる画期的な製品」が出てくるまでは、外貨獲得能力がジリ貧化、国として日本がどんどん貧乏になる、という可能性もある。っていうか、「日本隔絶反対派」は、まぁみんなここを憂えているのだよな。その上少子化で生産絶対量も減るし、と。

が、しかし、一方で、

「外貨をそれほど稼がずとも、自立して清く貧しく美しく、割と幸せに生きる」

っていう選択肢は本当に無いのかなぁ、と思うのですよ。太陽発電等をもっと推し進めて輸入燃料依存度を減らす、都市を分散して個々の生活圏を縮小し、燃料を必要とする乗り物への依存度を減らす、などといった方法で燃料消費を極限まで押さえ、一方で食料自給率を圧倒的に上げる（家庭菜園の推奨・・はさすがに無理がありますな）。外貨だって、全く稼げなくなるわけではないし。世界と全く違う、というところを生かして観光客をもっと大量に呼び込むという手もある。

マクロ経済素人が考えることなので、まぁダメダメかもしれないが、本当にシュミレーションしてみたら面白いんじゃないかなぁ、と思うんですよね。まぁ、この辺は大学の頃から考えていることなんですが、今回のコンファレンスでさらに、「世界から孤立した日本」というイメージを強めたので、ちょっと言ってみました。

全くもって関係ありませんが、冒頭のコンファレンス、韓国のNexonという会社からパネラーとして来ていた人が長髪でかっこよかった。思わず身を乗り出してしまったよ。今回のコンファレンスの一押しでありました。

パイレックス知ってます？耐熱ガラス容器です。1915年にコーニング社が発売。元々はホウケイ酸ガラス（Borosilicate）で作られてましたが、今はソーダ石灰ガラス製。現在では、アメリカの販売はWorld Kitchen社がやってます。

で、ですね、恐ろしいことに、このパイレックス、時として爆発するらしい。昔は大丈夫だった「ブロイラー（高熱のオーブンの上火）直下に置く」とか「オーブントースターに入れる」といったことで、原料変更後の現行製品は爆発、粉々になってガラスが飛びちるという危険物に。

昔パイレックスが普及していなかった日本では大丈夫だと思いますが、アメリカだと、「ひいおばあちゃんの代から、うちではパイレックスはこうやって使う」と、直火にかけたりして爆発沙汰になってる模様。

しかし、すごいのは、爆発することそのものより、爆発のクレームを受けたWorld Kitchen社の人の対応。

ComsumerAffairs.comのPyrex Panicいわく、

"We want to assure you that neither PYREX glass bakeware nor other glass bakeware 'explodes.' Glass does not explode but it can break. As glass bonds break, people may hear a noise and be surprised."

"When glass breaks, it may appear instantaneous, and may be described with violent words such as 'exploded' or 'disintegrated.' Instead of disintegrating, however, a glass failure generates from one or more fractures, each of which begins at a particular site and grows from there."

ポイントだけ訳すと

「ガラスは爆発したりしません。大きな音で驚くかもしれませんが、実際には、ガラスの結合が壊れただけです。」

すごいですねぇ。

「華々しくガラスを撒き散らして壊れる」という現象を否定することはできないので、「爆発」という用語を否定し、「ガラスの結合が壊れるだけ」と。

ConsumerAffairs.comは

Isn't this like describing an airliner crash as an "inadvertent impact with terrain?"

「この説明は、飛行機の墜落を、『予期しない地面との接触』と表現するようなものじゃないか？」

と言ってますが、その通りですなぁ。

会社としては、「爆発する」と知っていながら売ったとなると責任を問われるので、「そんなこと知りませんでした」というための訴訟準備として、こういう詭弁を使ってるのでしょう。一応「リスクマネジメント」ってヤツですね。しかし、これってより自分の立場を悪くするように感じるけどネェ･･･。陪審員がこんな会社の主張を受け入れるとはとても思えない。

とはいうものの、ここまでの詭弁を弄するとは見上げた根性である。いや、こんなことを褒めてはいけないとは思うのだが、あくまで謝らない態度も、ここまでくると喜劇的だと思う私でした。

なお、謝らないのは別にWorld Kitchen社だけではありません。そういえば、今年の母の日にダンナ側のお母さんに800Flowers.comというサービスで花を贈ったが届かず。「届いてないよ」とクレームしたら、「届けた」という連絡が800flowersから入ったが、母親に確認したら届いてない。再度クレームしたら担当者から「I am personally sorry, but let me investigate」といった内容のメールが来てそれっきり。同じく800flowers.comで花を送ったけれど届かなかった人いわく、クレジットカード会社に連絡して支払いを無効にしてもらうしか対抗手段はないそうです。くくく。

というようなわけで、大変面倒ではあるが、アメリカで謝らない会社のせいで自分が被害にあった場合は、頑張って反抗しなければなりません。じゃないと、世のため人のためにならないので。

勝手に期間を更新して、勝手に債権取立て屋を起用した保険会社と私の戦いは「再建取立て屋と戦う：Matter of Principle」をご覧くださいませ。

WEB+DB PRESS Vol.39

posted with amazlet on 07.06.23

WEB+DB PRESS編集部
技術評論社 (2007/06/22)
売り上げランキング: 138

Amazon.co.jp で詳細を見る

WEB+DB PRESS とどきました。いつも国際郵便でありがとうございます＞技評のみなさま

今回のコラムはちょっと趣向をかえてインタビューというか対談してみました。Lingr の江島さんのオフィスを訪ねていろいろ聞いています。江島さんや近藤さんなど、こちらに来ているエンジニアへの取材は結構ほかでもやっていますが、エンジニア同士ということで技術的話題にフォーカスしているのはあまりなかったとおもうので、面白いかもと思います。

既に聞くかもしれないようにこの週私達の接続された生命チームは米国および更に拡大されたYahoo の可動装置2.0 GA のために行く取った! 6 つの新しいキャリアのパートナーシップのアジアへのoneSearch 。

今primetime 、Yahoo の新版の用意しなさい! 2.0 は行き、13 ヶ国の集中させたBeta 版へのアクセスは7 月の終りまでに米国の多くにより200 台の移動式電話および年末によって多くにより400 に拡大する利用できる今日である。移動式インターネットの採用を広げるのを助けてチームはこの版、増加された速度を含んで、よりよい電子メール、より強力な地図、より容易な運行およびよりよい移動式調査の結果で少数の新しい強化を含めた。

それ以上移動式調査の経験を拡大することはYahoo から出る最近の進展である! oneSearch この週。Yahoo! 今ほぼ100,000,000 人の新しい契約者に達するoneSearch を配るアジアを渡る6 人の主要な移動式オペレータとのパートナーシップの一致に署名してしまった。1 月のベータ進水およびアジアが5 月に進水するので、私達は私達のユーザーからのすべての大きいフィードバックを聞き、性能を増進し、運行をより容易にし、ローカル関連性を-- 結果及び瞬間の答えを捜すために消費者をよりよく与えることの目的とのすべて高めるために絶えず働いたあることが。

Yahoo! のアジアの接続された生命部のデーブKo 、VP およびGM は、ちょうどこれらのパートナーシップを発表し、新版のrollout はの2.0 シンガポールのCommunicAsia 2007 年で行く。彼の会議の再生タイヤで一見および最近のoneSearch の拡張の細部をここに取ることができる。

ポールYiu Yahoo! 調査

Movable Type に携わる者として、また１ユーザーとしても、率直に思うことを書いてみました。

Six Apart - 技術情報提供ブログ: Movable Type 4 の開発と、ベータテスト、オープンソースについて

utubeはUniversal Tubes社のサイト。「YouTubeと間違えられて被害を受けている」ということで、YouTubeを訴えてます。

リンク先のNPRのサイトにあるuTubeの仕事場風景写真は笑えます。

本当にチューブ作ってるし。

１９９６年から細々とこのURLでサイトを運営してきたところに、突然YouTubeが登場。世慣れない人々が、uTubeとタイプして続々とやってくるので、サーバコストが大変なことに。もともと月間１０００件だったアクセスが、なんと毎日１５万件になったそうな。

しかし、転んでもただでは起きないのだ。

YouTubeの親会社であるところのGoogleから損害賠償をとろうとするのみならず、着メロサーチをサイトのトップにもってきた上に、出会い系サイトなど、「それらしき」広告も各種掲載。サーバ費用＋訴訟費用は、この「新規ビジネス」で補ってるそうな。（というか、補って余りあるほど儲かってるんじゃないかと思いますが。）

uTubeサイトはこんな感じになってる↓（着メロサーチ＆広告部分を赤い線で囲ってみました。）

結構良く出来てるじゃないですか。デザイン的に、赤で囲ったところと、その下の本業部分が割と融和。

しかもですね、さらにすごいのは、この会社の本業のチューブ作成業の方も、インターネット販売が７５％だそうな。つまり、本業のコアユーザーにも、着メロサーチが見えちゃうというわけだが、それを強引に融和させてしまっている。（のか？）

以前、他人がスペルミスして出品したオークション品を狙って、正しいスペルで売ることで利ざやを稼ぐ「eBayバカアービトラージ」という話をしたが、こっちの方が人力がかからない分近代的。

なお、これをさらに進化させて

「サイトのURLを間違って入力した人が行きつきがちなURLをゲット、そこに広告をたくさん載せておいて広告料を稼ぐ」

というのを手広くやって、年商$70M、実に１００億円となったKevin Hamという人の話が５月号のBusiness2.0に載っていた。このKevin Hamという人、カメルーン政府と話をつけて、カメルーンのサイトに来たトラフィックは全て彼の「広告サイト」にリダイレクトされるようにまでしたとのこと。カメルーンの国コードが.cmで、.comとタイプしようとした人がうっかりoを落とすと、カメルーンに行っちゃうから、と。やりますなぁ。

（なお、こういうタイプミスのドメイン専門で稼ぐ人たちをdomainerといいますが、一時期、ドメインネームを管理するregistrar会社そのものが、自ら管理するURLの中から失効したものを集めてこの商売をしてた、、、という噂も聞いたことがあります。あこぎですなぁ。）

Staying focused on a task at hand in a world of information overload is really challenging these days. Every piece of information is an opportunity to disrupt my flow. I often find myself reading an article and asking questions like, "Where is Solihull?" or "What does 'ARM' stand for?" Then, I proceed on a 45 minute search to find answers, only to return asking myself again, "Where did all my time go and what was I looking for anyways?"

To solve this problem for me and a few hundred million users Reiner Kraft and his engineering team -- folks who have been researching these types of problems for years -- developed Yahoo! Shortcuts to make the vision of delivering relevant content and services at the point of inspiration a reality. You may have seen the post on the precursor to Yahoo! Shortcuts, Y!Q.

At the beginning of the year we worked with the Yahoo! Mail team to launch Yahoo! Shortcuts for mail. I knew we had something interesting when it passed the "wife-test" (my wife serves as a great barometer for whether a feature is actually useful). A few weekends ago we were headed into the city for a concert and my wife's friend had forwarded her the venue address. I glanced over to find that Yahoo! Shortcuts had detected the location and provided the exact cross-streets for the venue in a map similar to the one below. There was no need for her to pull-up a new browser window, navigate to a maps site, then copy and paste the address. It was all right there for her in this mini-map without her ever leaving the email.

It didn't stop with Yahoo! Mail. Yahoo! Finance and parts of Yahoo! Travel also rolled out Yahoo! Shortcuts. Whether reading up on financial information or planning a vacation, the shortcuts offer added details in various online searches. And, most recently, Yahoo! News has also rolled out the shortcuts (many thanks to Rob Hall and the entire Yahoo! News team).

So, when you're reading a story on Yahoo! News and have no idea where Solihull is (myself included), or you just want to know more about what the Federal Reserve Board does, Y! Shortcuts can provide you with the quick answers you're looking for.

Whenever a jagged underline appears under a term, such as 'Federal Reserve' in the story below, simply click on it to see contextually relevant content in related news, photos, videos, web search results, maps, and more. If you know what type of content you want, just mouse over the term for a menu of options.

Yahoo! Shortcuts is about providing users with the information desired at the precise moment they want it -- from instant satisfaction of a passing curiosity to the ability to gain a deeper understanding of current events.

We are just getting started with Yahoo! Shortcuts and, as always, we welcome your feedback in the comments below. Which websites would you like to see Yahoo! Shortcuts deployed to? Any ideas for what content we could include in Yahoo! Shortcuts that would make you say "Wow!"? The floor is open.

Ariel Seidman
Yahoo! Search

Staying focused on a task at hand in a world of information overload is really challenging these days. Every piece of information is an opportunity to disrupt my flow. I often find myself reading an article and asking questions like, "Where is Solihull?" or "What does 'ARM' stand for?" Then, I proceed on a 45 minute search to find answers, only to return asking myself again, "Where did all my time go and what was I looking for anyways?"

To solve this problem for me and a few hundred million users Reiner Kraft and his engineering team -- folks who have been researching these types of problems for years -- developed Yahoo! Shortcuts to make the vision of delivering relevant content and services at the point of inspiration a reality. You may have seen the post on the precursor to Yahoo! Shortcuts, Y!Q.

At the beginning of the year we worked with the Yahoo! Mail team to launch Yahoo! Shortcuts for mail. I knew we had something interesting when it passed the "wife-test" (my wife serves as a great barometer for whether a feature is actually useful). A few weekends ago we were headed into the city for a concert and my wife's friend had forwarded her the venue address. I glanced over to find that Yahoo! Shortcuts had detected the location and provided the exact cross-streets for the venue in a map similar to the one below. There was no need for her to pull-up a new browser window, navigate to a maps site, then copy and paste the address. It was all right there for her in this mini-map without her ever leaving the email.

It didn't stop with Yahoo! Mail. Yahoo! Finance and parts of Yahoo! Travel also rolled out Yahoo! Shortcuts. Whether reading up on financial information or planning a vacation, the shortcuts offer added details in various online searches. And, most recently, Yahoo! News has also rolled out the shortcuts (many thanks to Rob Hall and the entire Yahoo! News team).

So, when you're reading a story on Yahoo! News and have no idea where Solihull is (myself included), or you just want to know more about what the Federal Reserve Board does, Y! Shortcuts can provide you with the quick answers you're looking for.

Whenever a jagged underline appears under a term, such as 'Federal Reserve' in the story below, simply click on it to see contextually relevant content in related news, photos, videos, web search results, maps, and more. If you know what type of content you want, just mouse over the term for a menu of options.

Yahoo! Shortcuts is about providing users with the information desired at the precise moment they want it -- from instant satisfaction of a passing curiosity to the ability to gain a deeper understanding of current events.

We are just getting started with Yahoo! Shortcuts and, as always, we welcome your feedback. Which websites would you like to see Yahoo! Shortcuts deployed to? Any ideas for what content we could include in Yahoo! Shortcuts that would make you say "Wow!"? The floor is open.

Ariel Seidman
Yahoo! Search

Perl でソースコードにマルチバイトなリテラルを埋め込む場合には encoding プラグマを使うのが定石でしたが、

use encoding 'utf-8';
my $name = "宮川達彦";

こうすると STDIO まで utf-8 でエンコード・デコードされるという問題があり、また encoding.pm はファイルスコープで動くのでレキシカルに一部分だけバイト列として扱いたい（という需要があるかどうかは微妙ですが）というときにうまくいかず、イマイチ encoding プラグマを全面採用できず、decode() を使ったり \x{XXXX} で書いたりってことが結構ありました。

が、Juerd と RGARCIA が encoding::source と encoding::stdio (もとは encoding::split というディストロ）をリリースしてくれたので、この2つを切り分けて利用することができるようになりました。（ソースは utf-8 で書くけどファイルの読み込みはいままでどおり明示的に binmode 指定する etc.)

というわけで上記のような問題になやまされずにリテラルをソースに書くことが出来そう。

先週Googleのキャンパスに行ったら、「有料自販機」を発見。

Googleといえば、建材が全てお菓子のヘンゼルとグレーテルの「お菓子の家」のように食べ物があふれていることで有名。社食は全品無料で、半径１５０マイルでとれた食材のみを利用。（locally grownというのがアメリカの「正しい食事」のキーワードの一つ。遠くから運搬すると、そのために使われる燃料が地球にやさしくないので。）それ以外にも、様々なおやつや飲み物が共有スペースにふんだんに積んであります。

・・が、しかし、その「おやつや飲み物」の品数が、行く度にだんだん減っています。

持ち帰る人も多く、社員食堂以上にコストがかかっている、ということもあるようですが、それと同時に社員がジャンクフードを食べまくって不健康、という問題もある模様。

そこで登場したのが、「不健康さで値段が決まる、ジャンクフード専用有料自販機」。

「カロリー」「脂肪」「糖分」という三つのファクターそれぞれ単位あたりの値段が決まっており、それを合算して値段が決まる、という仕組み。

たとえば、ビーフジャーキーは１０セントなのに、チョコレートチップクッキーの小袋は５ドル近い。板チョコは２ドル弱、と割合リーズナブル。（トランスファットが少ないからでしょうか。）

この値段を見て、

「おお、これがこんなに不健康度が高いのか」

と驚いてもらうという教育的効果はありますね。とはいえ、半分ジョークだと思いますが。（でも本当にお金を入れると買えます。）

Mountain Viewキャンパスの、確か43番ビルの一階なり。Googleに行かれた方は、話の種に見てきて下さい。

あと、木曜は毎週同じビルのあたりでfarmers marketもやってるので、ついでに野菜を買って帰るなんてこともできます。その脇にはビーチバレーコートもあります。

・・・って観光ガイドか？

しかし、今シリコンバレーでもっとも有名な観光地といえばGoogleなので、仕方ありませんかね。大統領候補もみーんなGoogleに演説しに来ます。はい。

先日公開した「あわせて読みたい」ですが、たくさんの方にご利用いただきありがとうございます。

また、せっかく試していただきながら「不適切なサイト」が表示されるなどして不愉快な思いをされた方がいらっしゃったことも事実かと思います。

楽しんで頂こうと思って開始したサービスで逆に多少なりともご迷惑をおかけしたということにはショックを受けており、ただただ申し訳ないという想いで一杯です。。結果的に準備不足だったと反省しています。

ユーザーのみなさんが心配なく利用していただけるようにすることはサービスを運営者としての義務だと思いますので、こちらについては今後しっかり対応していきたいと考えています。

～～～ ここから前向きに ～～～

不適切なサイトなどを芋づる式にフィルタすることにしました。

フィルタというのは、「適切なサイトの結果に不適切なサイトが表示される」ことが無いようにするための「一方向」のものです。

サービスの性質上、芋づる式にサイトを抽出するのは（あわせて読まれているので）非常に簡単なのですが、問題は「客観的に適切かどうかを判断する」という点です。

こちらについては「ユーザーさまからの報告」機能を追加させていただきました。

あわせて読みたいの結果から「」マークをクリックしていただければ、不適切なサイトを報告することができます。
みなさまにご協力いただけると大変助かります。

なお、この機能については、まだまだ実験的なものでもあり、当面はシステムの集計結果を管理人がすべてチェックしてから反映させます。
今後、集計結果を見ながらより良い方法を模索していきたいと思います。
※報告の「信頼性」も算出することで問題ないサイトが多少の報告でフィルタされるようなことがないよう調整しています。

ということで、「あわせて読みたい」を安心して使える良いサービスに 責任を持って育てていきたいと思います。
これからもどうぞよろしくお願い致します。

P.S.

ブログ・ハラスメントを助長する「あわせて読む」サービス (セックスなんてくそくらえ) に対する回答ですが、ネットの読者に問う前に運営者として看過できないと判断しましたので、即刻削除させていただきました。

運営者はユーザーを守る義務があります。

なお、問題提起としては正しい着想だと思いますので、その点につきましては感謝しています。

今年の３月ぐらいに購入して、しばらく使っているレンズがあります。キャノンの単焦点・望遠レンズ、EF-135mm F2L ですが、撮影した写真もちょっとたまってきたので、感想などを書いてみる。

はじめてのLレンズということもあり、なかなかのお値段に悩みつつも、最終的には F2という明るさに惹かれて購入を決断。最近よく撮影するシーンとして、夕方から日没ぐらいの浜辺があります。夕日がフレームに入ると、ズームレンズではゴーストやフレアが出てしまいがち。また日が落ちた後には、望遠ズームではどうしても光量が不足してシャッタースピードが波の速さに追いつかず。 そこで、レンズの構造が単純でフレアがおこりにくく、かつ明るいF値が稼げる大口径の単焦点レンズが気になってしょうがなかったというわけです。

そこで長らく吟味を重ねた結果、画質面でも評判の高い、このEF135mmのF2Lを購入。箱を開けた最初の感想、レンズの直径がかなりの迫力。レンズ本体の大きさはそれほどでないのですが、上から覗き込むと、磨かれたレンズの表面積の大きさに圧倒されます。

• キヤノン公式ページ：望遠レンズ EF 135mm F2L
• 楽天で価格を見る

早速、EOS 30Dに取り付けて撮影してみる。デジタル一眼レフ（30D）では焦点距離が1.6倍になるので200mm相当と、結構望遠な感じになります。屋内での撮影にはちょっと長過ぎる焦点距離ですが、屋外だと風景から切り取る感じが面白い。そしていきなりですが、逆光の写真。

元画像 IMG_4142.jpg (JPEG 画像, 3504x2336 px)

全景の樹木のシルエットがきれいに出てくれます。完全に太陽がフレームに入っているのに、ゴーストもフレアもでないのはさすがLレンズなのか。そして、日が沈んで青い夕闇が濃くなっても、これぐらいの明るさを映してくれる。

元画像 IMG_4215.jpg (JPEG 画像, 3504x2336 px)

他にも、このレンズで撮影した写真を以下のページなどにアップしてます。

• 夕日に霞む富士
• 日没後の色彩
• サイズのあるロングライド

最後に、このレンズの最大の魅力は、なんともいえない水面や空気の色合いを写してくれることですね。夕暮れ時にサーフィンをしていると目を奪われる、風や止んでツルッとした水面に反射する光の色も見えてきます。

元画像　IMG_3872.jpg (JPEG 画像, 2336x3504 px)

まだまだ全然、このレンズを使いこなせていないけれども、なかなか楽しいレンズです。

元画像 IMG_4162.jpg (JPEG 画像, 3504x2336 px)

高木浩光＠自宅の日記

2007年06月17日

■ プッタネスカが美味い

アンチョビペーストを入手して以来、スパゲティ・アッラ・プッタネスカにハマり中。オリーブの種を取り除くのが面倒なので、種除去済みの缶詰を買ってきた。これは便利だ。

チューブ入りアンチョビペーストと黒オリーブの缶詰

いつもは手抜きで瓶詰のポモドーロソースを使うところ、新たな調理器具も入手したので、トマトソースから作った。

最近ゲットした調理器具

以前はトマト缶だけで作ったがせっかく濾し器があるので野菜を入れよう。ここのレシピによると、野菜を大きいまま炒めて煮込んで取り除くという方法があるらしい。

野菜をいためてトマトを入れて煮込む

人参半分とセロリを大きめに切って強火で炒め、玉ねぎ1個を微塵切りにして中火で炒めた。400gのトマト缶を2缶、トマトを潰しながら投入し、ローレルとタイムを入れて30分煮込む。

野菜とハーブを取り除いて、さあ、濾し器の出番。ぐるぐる回すだけできめ細かなソースの出来上がり。

ゲットした調理器具の出番

スパゲティを茹でながら、フライパンに大蒜の微塵切りとオリーブオイルを入れて弱火にかけ、大蒜の香りが出てきたら、アンチョビペーストを入れて溶かすようにかき混ぜる。唐辛子も入れる。

やや強火にして、微塵切りにしたケッパーと、微塵切りにしたオリーブと、輪切りにしたオリーブを投入して炒める。

トマトソースを入れて温め、塩を少し入れて味を確認し、茹で上がったスパゲティを絡めて完成。パルミジャーノ・レッジャーノを少しだけすりおろしてかけた。

完成

美味い。が、初めて作ったときの感動がない。うーん、トマトソースがマイルドになりすぎたか。プッタネスカには酸っぱいソースの方がよかった。玉ねぎが多すぎたか、微塵切りにせずに取り除けばよかったか。

結局、道具を使ってみたかっただけちゃんうかな結果に。次回はトマト缶だけにしよう。

[TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20070617]

本日のリンク元

アンテナ

使いやすいと評判のJavascriptライブラリ、jQuery を週末にちょっとさわってみた。script.aculo.usやmootools, Dojoなど、様々なライブラリを利用して、同じ機能を実装するサンプルを公開されている例を見ても、jQuery はなかなか簡潔に記述ができるようです。

Drag & Drop | Diaspar Journal

prototype.js などでもおなじみのDom操作関数は、jQuery でも当然、用意されています。jQuery では、 $("dom指定") という形でHTML内のDomを操作できるのですが、これがかなり快適に使えるように考えられている。例えば、以下のようなHTMLがあったとして、　

<div id="container">
  <ul>
  <li><input type="checkbox" class="imagechoice" id="showIMG_4259jpg" /> select</li>
  <li><input type="checkbox" class="imagechoice" id="showIMG_4260jpg" /> select</li>
  <li><input type="checkbox" class="imagechoice" id="showIMG_4262jpg" /> select</li>
  </ul>
  <textarea cols="80" rows="100" id="target"></textarea>
</div>

Domの指定の仕方は、CSSとXPathを組み合わせて指定。$("#target") で、上記の<textarea>がとれるのは普通ですが、例えば、『 input要素で、typeがcheckbox のもの。さらに class が imagechoice で、かつ チェックボックスがチェックされている 』という要素もこんな感じで簡単に抜き出せる。

var checkedboxes = $("input[@type=checkbox][@checked].imagechoice");  

DOM/Traversing/Selectors - jQuery JavaScript Library

あと、各要素のイベントにメソッドをセットするのも簡単。上記のセレクタに続けて、event の種類を指定してfunctionをbindできる。よく使う onchange などは change というメソッドが容易されています。

 $("input[@type=checkbox].imagechoice").change(function(){
   var checkedboxes = $("input[@type=checkbox][@checked].imagechoice");
   myalbum.generateHtml(this.id, checkedboxes);
 });

API/1.1.2/Events - jQuery JavaScript Library

jQueryにプラグイン形式で機能を追加したり、Lightbox のように手軽にモーダルエフェクトを追加できる、ThickBoxなどもあるので、自分の使っている利用範囲ではほとんど問題なく使えそう。試しにこんなスクリプトを作ってみた。サーバにアップしてある写真を選んで、ブログに貼付けるHTMLソースを表示するもの。（スクリプト用のHTML自体はサーバ側で自動生成。）

jQuery アルバム・サンプル

様々なライブラリの動作速度をチェックできるサイトによると、jQuery の採点はそれほどよくないよう？ですが、どちらにしても趣味の範囲なので、快適さを重視して jQuery にスイッチしてもよいかも。

SlickSpeed Selectors Test

今日メディアの人と話しをしていて「屋形船」ってのも SEO キーワードでみんな頑張ってるみたいですよ、という話しがでた。
まぁ、屋形船だけ特別盛り上がっているというわけではないのだが、なんとなく検索結果を見て火がついた。

すいませんすいません。

あまりにもひどいので、実験サイトに楽ワードも載せておいた。

・・・いや、屋形船に何か悪い思い出があるとか、そういうことではない。と思う。多分。

結果的に日本語サブドメインはあまり効果がない（その後落ちたし）ので、ドメインは元に戻した。
日本語ドメインそのもの（すごい屋形船.jp とか）とろうかと思ったけど、まぁ、日本語ドメイン自体、あまり広めてはいけないものだと思いなおした。

ただちょっと競合が強そうなので、このままでは検索結果の 1ページ目に出ることはないと思う。

2週間ほど様子を見て、その後どうするか考えてみることにしよう。
そのころにはきっと飽きてると思うけど。

ちなみに、うまくいかなかったときに試してみたいのは、最近企業のサイトでもちらほら見かける「パラサイトスパムサイト」だ。

一般には、企業や大学のドメインなど長く運営されてきたドメイン配下にスパムサイトを生成させることを言うが、そうではなくメインドメインのインデックス稼ぎのためにスパムサイトを隣接させていているケースが見受けられる。

うまくいきそうになかったらちょっと試してみようかな、と。
＃なんとなくこのキーワードで全力出すといろんな意味で良くない気もするのだが・・・。

思いつきでの「屋形船」SEO だが、とりあえず変更したことを報告しておく。

ところで全然関係ない Tips だが、上の画像で「屋形船」の文字がちょっと座りが悪かったので、文字間に空白をいれて座りを良くしている。

デザイン、特に日本語フォントでの座り心地の悪さに悩んだら、とりあえず文字間隔を空けてみることをお勧めする。

この手法は先日公開した「あわせて読みたい」でも使っていたりする・・・のだが、もうちょっとデザイン良くしてよという要望も来ているので微妙だ。というか薮蛇だった。

※本エントリはスパムサイトをネタにしたSEO講座です・・・いい意味で。⇒序章を参照

前回に引き続きSecond Life。今日は「一体全体、誰がSecond Lifeを使ってるの？」というテーマ。

結論から言うと、

「Second Lifeは、割と年季の入った世界のオタクのコミュニティ」

現状ユーザーのどれくらいがオタクかはさてはおきつ、「まずはこの手のユーザーに受け、それをバネに一般ユーザーに広げる」、という「二段ロケット型事業拡大」の道を推移している、というのは間違いない。

（ちなみに、オタク＝geekです。褒め言葉ですので、お間違えなきよう。）

よく知られることだが、メディアで騒がれてる割には、アクセスしてみると閑散としているSecond Life。

前回も言ったとおり、１CPUあたり２０-３０人というのが大体のキャパで、１Sim（Second Life内単位エリア）が１CPUで、しかもSimは１６エーカーと大きいので当然のことではある。

一応、予め大勢の人が来ることがわかっているイベントがあれば、複数のCPUをクラスター化することでもっと大勢集まることも可能らしい。一方、スクリプトをたくさんくっつけたアバターが集結するとかなり苦しい模様。佐藤さんは「鷹の爪の吉田君にトランペットを持たせて、ひよこが5匹後ろからついている」というアバターらしいが、こういう人がたくさん集結すると困るようだ。

CPUのキャパに近くなると、そのエリアはクローズしてしまい、誰も入れなくなる。

ということで、入れるエリアは閑散とた雰囲気。また、人がそれなりにいたとしても、「見知らぬ人同志が大勢で自然発生的おしゃべりに花を咲かせる」、みたいなことはまずない。（何かのセールスの人が声をかけてくることはありますが。）

じゃ、みんな何してるのか？無料で入れるので、「とりあえず様子見に来ました」という人もフラフラといることはいるのだが、多くが、粛々と3Dオブジェクトを作っているんです。

私の数少ないSecond Life内会話経験でも

１）通りがかりの家のドアを開けたら開いたので中に入った。そしたら中に人がいた。何してるの、と聞いたら

「ダビンチ柄のすりガラスを作っている」

とのこと。「このガラスどう？」と聞かれたので「きれいなんじゃない」と言ったら、「そう」といって会話終了

２）蜂をペット代わりに連れて歩いていたら

「自分で作ったの？」

いや違う、そこでもらった、と説明したら会話終了。

最初の質問が「どこで買ったの」とか「どこでもらったの」じゃなくて、「作ったの？」というところに「みんな自分で何かを作っている」というSecond Life特性が現れているかと。

もちろん、自分の狭い経験だけで判断するのはあまりに独りよがり。しかし、Linden Labの内情に詳しい人も

「アクセスしてるのは、少なくとも２００６年前半時点では、変態と3Dグラフィクスを自分で作りたい人が大半だった。」

とのことでした。「変態」は、Second Life内でサイバーセックス行為にいそしむ皆さん。（teledildonicsなんていう単語もある）。ドイツ人のハードコアコミュニティがあるらしい。ただし、３Dオタクでない単なる変態が秘め事にいそしむには、Second Lifeはかなり敷居が高い。「局部」からして自分で作るか、買ってきて装着するかしなければならない。ということで、「変態」は「３Dオタク」の部分集合であろう。

以上、多くの人がせっせと静かにものづくりに励んでいる、というのが少なくとも１年前までのSecond Lifeの在りようなのであった。

しかし、「３Dオタク」だけで、「登録者数百万人」なんていう規模になるのか？

ここには「英語オンラインビジネスは最初から国際事業になれる」という秘密があるのであった。

今年５月の国別 アクティブユーザーのうち、比率が１％を越す国はこのグラフのようになる。

ちなみに、アクティブユーザーとは、過去１ヶ月に１時間以上ログインした人、というのがLinden Labの定義。これを見ると、アメリカが４分の１しかない。一方、ヨーロッパ諸国を全部足すと４８％と半数近い。

（ただしこれは、単純なユーザー数割合。ログインした時間総計での割合をみると、アメリカのユーザーが３５％と多くはなる。しかし、ヨーロッパは時間総数でも４６％とやはり半数近い。）

ということで、「3Dオタク」という、一国だけで見たらニッチな層でも、世界から集めれば相当数になりえるわけで、設立当初から世界を狙える英語圏の強みがここにある。（他の米国オンライン事業では、「海外ユーザー増加に、海外での広告営業が追いつかず、コストばかり増えて収入が伸びない」という問題を抱えるところすらある。）

***

次にユーザー数の推移を見てみる。

サービス開始当初の２００３年９月からの登録者数と有料会員数の推移が下のグラフ。

赤線がアカウント数、緑がユニークユーザー数、黄色が有料会員数。Second Lifeは無料で利用可能だが、登録時にクレジットカード情報を入力する必要がある。これを元に数えたのがユニークユーザー数。一方、一人で複数アカウント持つことも可能で、それが赤線。

黄色の有料会員は、登録者総数と比較すると地を這っていてよくわからないので、有料会員数の推移だけ取り出すと下のグラフのようになる。こちらは、２００５年１月からの数字。

ユニークユーザーは、「とにかくこれまでに登録した人全部」という積分値なのに対し、有料会員は毎月の会費を納めている人なので、よりサービス拡大の実態を反映していると言える。一時に比べると伸びは鈍化しているが、それでも、去年の秋口から一気に拡大しているのがわかると思う。

一方、ピーク時の同時アクセスユーザー数は、２００５年末が５０００人、２００６年８月頃で１万人、今年の１月で３万人、最近が４万人程度。大体同時アクセスユーザーの１０倍位が正味利用者という推定が業界的にはあるようで、そこから考えると、現在大体４０万人くらいが正味ユーザーで、うち９万人が有料会員、という感じ。

話を戻して、世界のオタクを集積させるとどれくらいのサービス規模までいけるのか。

１年前くらいまでは、殆どのユーザーが単なる３Dオタクだったという仮説に基づけば、

• 有料会員２-３万人
• 正味のユーザー１０万人

くらいまでは軽くいける、ということになる。私の個人的感覚では、「１年前までは殆どオタク」、というのはかなり控えめな数値で、多分今でも相当数のユーザーがオタクと思われるので、そう考えると有料会員７-８万人、正味ユーザー３０万人くらいまでは、世界のオタクでカバー可能かと。

***

さて、さらにSecond Lifeを利用する３Dオタクの中身であるが、今年の５月時点での年齢別利用者分布はこうなる。青い棒が過去１ヶ月に１時間以上ログインしたアバターの数で見た割合、橙色が利用時間で見た割合。

結構年がいっている人が多い、というのが他のバーチャルワールドと比較したSecond Lifeの特徴である。

４５歳以上も１０-１５％いる。平均年齢は一般エリアが３０歳。（これ以外に１７歳以下専用のTeenエリアがあって、こちらの平均は１５歳。）去年後半あたりでは平均３３歳だったので、やや若くなってきてはいるのだが、それにしたって割合年がいっている人が多い。

どうりで、２０前後の人がたくさん集まるSNSのようなノリノリ感がないわけです。

***
以上、Second Lifeは、「割と年季の入った世界のオタクコミュニティ」というのが私の独断を交えた分析であります。少なくとも、その手のコアユーザーであるところまで立ち上がったところで、一般ユーザーも「どれどれ、ちょっと見に行ってみようか」とやってくるまでになった、というのが事業拡大の推移であることは間違いありません。

ちなみに、この手の
「一部のオタク（かっこよく言うとアルファギーク）に受けたゆえにその後一般層に広まる」
っていうのはオンライン系事業の一つの王道ではあります。（この間取り上げたFlickrも同様の拡大パターン。）日本だと、アニメ、アキバなんかがそういうパターンかな。オンラインビジネスではとっさに思いつかないんですが何かありますか？？

なお、Second Lifeに関するデータの出典は、Linden Lab発表のSecond Life Key Metrics。こちらでエクセル形式ファイルがダウンロードできます。こういう風にとことん詳細な数字をなだれのように提供されると、謎の分析オタク心が刺激される、というのもあり。世の金融・経済オタク系の人たちが、これまたせっせとSecond Life貨幣経済の分析などしています。この辺も玄人受け戦略の一環なんでしょうね。

高木浩光＠自宅の日記

高木浩光＠自宅の日記

Second Lifeは3Dバーチャルワールド。誰でも自分のアバターを作って、ワールド内をうろうろできる。うろうろするだけなら無料だ。髪型、肌、洋服、アクセサリーなど、いろいろなものも、Second Lifeの住人が作って売っているが、適当に無料のものを集めて身につけることもできる。

とりあえず私は有料、無料のパーツを取り混ぜて今はこんな姿になっている。

髪の毛は日本人の方の力作である。

さて、こんなSecond Lifeであるが、果たしてこれ、いくら儲かってるのか。試算してみました。

Linden Labの収入源は次の５つ。

• 会費

土地を所有するには月々９ドル９５セント払って有料会員になる必要あり。

• 土地リース

初期費用と月々のメンテナンス代を払うとSecond Life内の土地をリースできる。（リースした人は、細かく区切って一般住宅として貸し出したり、店やアダルトショップ、カジノなどを経営。）

• 貨幣交換手数料

Second Life内の商取引には、Lindenドルという貨幣が必要。で、Linden Labは、LindeXという「米ドルとLindenドルのオークション市場」を運営している。Lindenドルの売り手と買い手が出会う場なわけです。で、通貨交換時には手数料がLinden Labに入る仕組み。Lindenドルを売って米ドルに変える際には３．５％、米ドルでLindenドルを買う際には１回当たり３０セント。

• Lindenドル販売

LindeXは変動相場なのだが、大体の相場幅の間でLindenドルを買いたい人の方が多い場合は、Linden Labが直接Lindenドルを売る。（今１USドルは260-270Lindenドル。）

• リアルネーム

本名を名乗りたい場合は、リアルネームを「買う」必要あり。年間利用料を払う。

さて、一方でLinden Labは、Second Lifeの様々な「経済指標」を発表している。土地の大きさ、有料会員数、Second Life内貨幣であるところのLinden Dollarの発行数などなど。有料会員は４月時点で８万３千人。それ以外の細かい数字は、こちらを参照あれ。

これを元に試算すると、この４月時点での収入は６百万ドル弱とあいなります。

誤差はリアルネームと土地メンテナンス料から発生。前者はどれくらいの人が実際使っているか発表されておらず、後者の土地は、無料で有料会員に貸し出している分があるのだが、この試算では、全て有料で貸し出されているものとして計算してある。

土地の初期費用とメンテ代で７０％弱。会費が１５％で、Lindenドルの売り上げが１２％、LindeX手数料が６％。土地が１-２割は無料で貸し出されているとすれば、ここから１０％-１５％くらい下方修正が入るが、それでも５百万ドルは行ってると思われます。

去年の１１月からフォローするとこんな感じ。

噂では、去年の春から夏にかけて１００万ドルを達成、昨年末に３００万ドル規模の売り上げを見込んでいたらしいので大体こんなもんと思われます。

いずれにせよ、いや、結構売り上げあるじゃない、というのが私の正直な感想。

さて、もっと根本的に、どういうビジネスモデルなのか考えてみる。

７割を占める「土地リース料」は、これは何かと言うと、要はサーバホスティング事業。Linden Labでは、土地単位であるところのSim一つ（１６エーカー）当たりCPUを一つあてがって運営している。Simの一形態であるプライベートアイランドを借りるための初期費用１６７５ドル、以降月々２９５ドルかかる。１サーバあたり４CPUとして、最初に７０００ドル弱、月々約１２００ドルで貸し出している、というわけです。

Second Lifeに行くと、閑散としていて驚く。１CPUあたりせいぜい１０-３０人くらいで技術的にマックスらしいので、仕方ないと言えば仕方ない。Sim一つ１６エーカー、６万６千平方メートルあるのに、そこに数十人マックスなわけで。

しかし、閑散としてるのはLinden Lab的にはそれほど痛痒ない。一旦貸してしまったサーバーは、使われない方がメンテナンスが簡単。しかもアクセスしているユーザーが少なければ帯域もあまりいらないので安上がり。

巷では、Second Lifeはスケールしないのではないか、と懸念されている。実際、土地面積から逆算すると、既に９０００CPUくらいあるはずで、これで同時アクセスユー ザー数は３-４万人しかいない。つまり１CPUあたり３人くらい、ということになる。World of WarcraftなどのMMORPGの常識からすると、

「なんですか、それ」

という感じなの だが、バーチャルワールドはMMORPGとは根本的に違うんです。いうなれば、Second Lifeは、「借りっ放しであまり利用しないありがたいユーザー」がたくさんいるホスティング事業なのであった。

とはいうものの。

会費を除いたもう一つの収益源、「Lindenドル販売・Lindenドル交換手数料」は、要はマイクロペイメント事業みたいなもの。こちらを伸ばすには、ユーザー同志が活発に商取引をする必要があるわけで、それには賑わいがいる。

なので、あんまり閑散としていると将来こちらの収益が伸び悩む、ということはあります。

＜おまけ＞

Second Life内のショップ。髪型やら肌やらを売っている。

別のショップのソファでくつろぐ私のAvatar。

Second Life内クラブ。こういうところは結構人がいます。みんな派手な格好をしている。私のAvatarはバージョンアップ前で、謎のピンク髪OL風である。

あなたのブログの読者が他にどんなブログを読んでいるのかをシンプルに表示するサービス「あわせて読みたい」を公開します。

このブログだとこんな感じです。

※↑gif 画像です。クリックすると詳細ページに飛びます。

この画像は定期的に更新されますので、常に最新の「あわせて読みたい」サイトが表示されるようになります。

かなり緻密に算出していますので、結構納得のいくサイトが表示されているのでは、と思います。

さて、このサービスはもともと「フィードメーター」のB面サービスとして開発していました。

つまり、数値を見せるフィードメーターに対して、数値ではない「ブログの良さ」を見せるサービス、という位置づけです。

で、作ってみたところ、とても面白いので、フィードメーターユーザー以外でも利用できる形にまとめてみました。

ということで、フィードメーターを利用している方も、そうでない方も、「あわせて読みたい」を貼ってみていただければ、と。

なにはともあれ、試してみるのが一番ですね。よろしければ是非。

⇒ あわせて読みたい

※フィードメーターをご愛用されているブロガーの皆さま、この場をお借りしてお礼申し上げます。これからもどうぞよろしくお願い致します。

高木浩光＠自宅の日記