EFFは2月28日、テクノロジー企業にユーザーのセキュリティとプライバシーを強化するよう要求するキャンペーン「Fix It Already」を開始した(Deeplinks Blogの記事、 Mac Rumorsの記事、 Softpediaの記事)。

キャンペーンの対象は9社。AppleにはiCloudバックアップの暗号化、Android (Google)にはAndroidでアプリの「INTERNET」パーミッションをユーザーが無効化できるようにすること、Microsoft (Windows 10)には「デバイスの暗号化」で暗号鍵をMicrosoftのサーバーに送信しないことを求めている。

このほかの6社に対する要求は以下の通り。

• Facbook: セキュリティ目的でユーザーが提供した連絡先情報を他の目的に使用しない
• Slack: 無料ワークスペースの管理者にもメッセージ保持期限の設定を可能にする
• Twitter: ダイレクトメッセージをエンドツーエンドで暗号化する
• Venmo: 友達リストを非公開化できるようにする
• Verizon: 端末へのスパイウェアインストールをやめる
• WhatsApp: グループへ追加する前にユーザーの了承を受ける

Twitterの自動リンク生成機能には政治的なバイアスがかかっていると、元ニューヨーク市長で現在はドナルド・トランプ大統領の顧問弁護士として大活躍のルディ・ジュリアーニ氏が批判している(Ars Technicaの記事、 The Vergeの記事、 The New York Timesの記事)。

問題が発生したのはジュリアーニ氏が11月30日に投稿したツイートで、ロシア疑惑を捜査するロバート・マラー特別検察官に関する内容だ。ジュリアーニ氏は大統領がG20出席のため米国を離れている間にマラー氏が告発状を提出したことを批判。しかし、「～G-20.」と書いた後にスペースを入れず、「In～」と続けて書いたため、「G-20.In」というリンクが自動生成されてしまう。この時点で該当するWebサイトは存在しなかったようだが、これを見つけたアトランタの男性がドメインを取得し、大統領を批判するWebページをその日のうちに公開した。

問題はツイートを削除すれば解消するはずだったが、ジュリアーニ氏は元のツイートをそのままにして、Twitterを批判するツイートを投稿する。このツイートではTwitterが大統領を批判するWebページへのリンクの追加を何者かに許可したことを示唆し、その証拠として「Helsinki.Either」がリンクになっていないことを指摘している。しかし、「G20.In」はTLD「.in」が存在するためリンクが自動生成されたのであり、「.either」というTLDは存在しない。

なお、ジュリアーニ氏は2017年1月、大統領就任前のトランプ氏から非公式なサイバーセキュリティ顧問に任命されている。

Googleが「.new」gTLDを取得、運用を開始している。すでにGoogle Docsでこのドメインが使われており、たとえばWeブラウザでGoogleアカウントにログインした状態で「doc.new」というドメインにアクセスするとGoogle Docsにリダイレクトされてドキュメントが新規作成され編集画面が表示されるようになっている（TechCrunch、AAPL Ch.）。

「doc.new」のほか、「sheet.new」や「site.new」、「slide.new」などさまざまなドメインが利用できるようになっているようだ。

Webサイトのアーカイブを行っているInternet Archiveプロジェクトが、Wikipedia記事内にあるリンク先が閲覧不能になっているリンクについて、リンク先をInternet Archive内のアーカイブページに置き換える作業を進めている。同プロジェクトの10月1日付けアナウンスによると、すでに900万以上のリンクがInternet Archive内へのリンクに置き換えられているという。

5年以上前から同プロジェクトではWikipedia記事内にあるリンクのリンク先をアーカイブしているそうで、3年前からリンク切れになったリンクを置き換えるボット「IABot」を稼働させているという。これにより、リンク先のページが消滅している場合でもその内容を確認できるようになる。Wikipedia内のInternet Archiveへのリンク900万件のうちおよそ600万件はIABotによって書き換えられたものだそうだ。

同プロジェクトによると、今後はWebページだけでなく、電子書籍や学術論文といった他メディアのアーカイブにもターゲットを広げていきたいという。

Googleが中国再参入に向けて開発している検索アプリのプロトタイプでは、ユーザーの携帯電話番号と検索内容が結び付けられる仕組みになっているとThe Interceptが報じている(The Interceptの記事、 The Vergeの記事、 Android Policeの記事)。

「Dragonfly」というコードネームで呼ばれているこのアプリはAndroid用。中国当局の禁止するコンテンツが除外されるようになっているほか、気象情報や大気汚染情報は中央政府の不明な部局が直接提供するデータに置き換えられるそうだ。The Interceptが入手した情報によると、Googleは中国語で「人権」「学生運動」「ノーベル賞」といった検閲語句を含むブラックリストを作成しているとのこと。

EFFを含む14の人権保護団体は8月、Googleが人権侵害に直接関与することになるなどとして、Dragonflyに反対する公開書状をGoogle CEOのサンダー・ピチャイ氏に連名で送っている。中国政府は人権活動家やジャーナリストなどを厳しく監視しているが、電話番号と検索内容が結び付けられれば監視がさらに容易になる。サーチエンジンはGoogleと中国企業の合弁会社で運営されることになるが、ブラックリストの管理などにGoogle側がどの程度かかわることができるのかといった点は不明なようだ。

headless曰く、

Windows 10の「メール」アプリで、既定のWebブラウザーの設定とは無関係にリンクをMicrosoft Edgeで開くようにするという計画が取りやめになったとAggioramenti Lumiaが報じている（Aggioramenti Lumia、Neowin、Softpedia、On MSFT）。

Microsoftは3月、Windows Insider Program参加者を対象に「メール」アプリでリンクを開くWebブラウザーをMicrosoft Edgeに固定するテストを行うと発表。Widows 10 Insider Preview 17623（RS5）からこのような動作になっていた。

Microsoftではセキュリティやバッテリーの持ちの良さなどをMicrosoft Edgeの利点として挙げていたが、ユーザーの選択を無視することに批判も出ていた。フィードバック次第で取りやめになる可能性も示唆されていたが、反対意見のフィードバックが多かったのかもしれない。

なお、6日にはファーストリングとSkip Ahead向けにWindows 10 Insider Previewビルド17711（RS5）の提供が始まった。Microsoftから特に言及はないが、少なくとも手元の環境では「メール」アプリでリンクをクリックすると既定のWebブラウザーでリンク先が表示されるようになっている。

フェアユースにあたる著作物を含む動画に米デジタルミレニアム著作権法(DMCA)に基づく削除要請をしたのは不当だとして、動画の撮影者がUniversal Musicを訴えていた裁判が和解に達したそうだ(EFFのブログ記事、 Ars Technicaの記事、 The Registerの記事、 裁判所文書、 YouTube動画)。

この動画は子供たちが遊んだり踊ったりする様子を母親が撮影した29秒間のホームビデオだ。母親は2007年2月にYouTubeで動画を公開したが、背後にプリンスの「Let's Go Crazy」が流れていることを理由にUniversalが削除要請を行う。動画はいったん削除されるが、フェアユースにあたるとする母親の異議申し立てを受けて同年6月には動画は復元された。

DMCAでは、故意に著作権侵害に関する誤った主張をして削除要請を行った者がそれによる損害の責任を負うと定められている。そのため、母親はEFFの支援を受けてUniversalを同年7月に提訴。その後10年以上にわたって争われるこの裁判は、「Dancing Baby」裁判とも呼ばれ、削除要請の正当性をめぐる数少ない例となった。

headless曰く、

Chromeウェブストアではたびたび偽の拡張機能が公開されて問題となっているが（過去記事1 、過去記事2）、ここ数か月の間に怪しいサイトへ誘導しようとする「テーマ」が増加しているらしい（TorrentFreakの記事）。

問題のテーマは名称に映画のタイトルやオンラインで無料再生できることを示す表現が含まれる。たとえばキーワード「watch movie online」でテーマを検索すると15本がヒットする。

実際にテーマをインストールしてみてはいないが、15本中12本は詳細画面の「ウェブサイト」をクリックすると「vioos.co」というサイトの該当作品ページが表示される。このサイトは海賊版ストリーミングサイトのようにみえるが、再生ボタンをクリックしても映画は再生されず、別のサイトのサインアップページへリダイレクトされる。リダイレクト先は複数あり、安全ではない・信頼すべきではないと評価されているサイトが多いようだ。

これらの中にはユーザー数が千人以上のテーマが複数あり、「free Watch Rampage Online Full Movie Download」というテーマは2千人を超えている。レビュー欄には仲間が付けたらしい高評価レビューや、詐欺だと非難するレビューのほか、テーマ自体を評価するレビューもみられる。

残り3本のうち2本は本物の海賊版ストリーミング/Torrentサイトが宣伝を兼ねて公開しているテーマのようで、名称にはオンラインで映画を無料再生できることを示唆する表現は含まれない。あと1本は上述の12本と同じ提供者名（▼Click To Watch Full Movie Now▼）になっているが、リンクは張られていなかった。

あるAnonymous Coward曰く、

先日、家庭用ルーターを攻撃してAndroid端末に偽アプリをインストールさせる攻撃が話題になったが、これ以外にも「VPNFilter」と呼ばれる、ネットワーク機器を狙った攻撃が最近頻発しているという（ZDNet、Slashdot、INTERNET Watch、JPCERT/CC）。

VPNFilterはLinuxを採用したネットワーク機器を狙う攻撃で、LinksysやMikroTik、NETGEAR、TP-Link、QNAPなどのルーターやNASなどが攻撃された例が報告されているようだ。さらにVPNFilterではフラッシュメモリ内にデータを書き込むことで、機器を再起動しても継続して不正な活動を継続させるという。

また、このマルウェアにはロシアによるサイバー攻撃で使われたコードと多くの共通点があるとのこと。外部からの指示でネットワーク機器の活動を停止させる機能もあり、同時多発的にネットワークを停止させることができるという。

いっぽうで米連邦捜査局（FBI）は23日、こう言ったマルウェアに命令を出すコマンド＆コントロール（CC）サーバーのドメインを掌握したと発表している（ウォール・ストリート・ジャーナル）。

headless曰く、

OpenPGPとS/MIMEで、復号したテキストを攻撃者が取得可能な脆弱性が発見されたとして、使用を一時中止するよう呼びかけられている。脆弱性は「EFAIL」と名付けられ、特設サイトで情報が公開された（EFFの記事[1]、[2]、Ars Technica、論文PDF）。

EFAILでは、攻撃者が中間者攻撃などにより取得した暗号化電子メールを用い、この暗号文を含むHTMLメールを元の送信者または受信者に送り付ける。このHTMLメールは暗号文がimgタグのsrcの一部（http://攻撃者のサーバー/暗号文）となるように細工されており、メッセージを読むと復号されたテキストが攻撃者のサーバーに送られるという仕組みだ。

S/MIMEが暗号化に使用するCBCモードとOpenPGPが暗号化に使用するCFBモードでは暗号鍵を知らなくても暗号ブロックの順番入れ替えや削除、挿入が可能であり、これによりメッセージを細工する。Mozilla ThunderbirdとApple Mail、iOS Mailではこういった細工は不要で、3パートの電子メールメッセージで2番目のパートに暗号文を配置し、最初と最後のパートに分割して配置したimgタグで挟むだけで平文が取得できたそうだ。

CBC/CFBモードで改変が可能になるのはS/MIMEとOpenPGPの仕様上の問題であり、正しく実装しているクライアントはすべて脆弱性があると特設サイトでは説明している。これに対しGnuPGのFAQページを管理するRobert J. Hansen氏は、暗号文を改変可能な問題の対策として、GnuPGでは18年近く前から改変が検出された場合やMDC（改変検出コード）がない場合に警告を出していると述べ、警告を無視するクライアントの問題だと反論。脆弱性なしとされたProtonMailもこれに同調している。なお、テストされたOpenPGPをサポートするクライアント28本のうち、攻撃が成功したのは10本にとどまる。

なお、この脆弱性は公表予定とされた日の前日に各所からリークが発生し、その結果予定日よりも早く公表されることになっていたという。

NurseAngel 曰く、

Googleが短縮URLサービス「Google URL Shortener」（goo.gl）を2019年3月30日で終了する（ITmedia、Googleによる告知）。

今年3月30日より段階的にサポートを終了していくとのことで、4月13日以降は匿名ユーザーによる短縮URL作成ができなくなるとのこと。また、既存の短縮URLについては、2019年3月30日まではgoo.glのコンソールから管理や統計情報を取得できる。なお、短縮URLのリダイレクト自体は2019年3月30日以降も継続される予定。

今後はFirebase Dynamic Linksを使えってことらしいけど、これ一般ユーザは使えないので、いわゆる短縮URLとしての役割は完全に終了します。代替としてはbit.lyやow.lyが紹介されていました。

headless曰く、

シャープの親会社である鴻海精密工業グループのFoxconn Interconnect Technology（FIT）とBelkin Internationalは3月27日、FITがBelkinを買収することで合意に達したことを発表した（プレスリリース、FITの発表PDF、The Verge、Ars Technica）。

買収は逆三角合併の形をとり、FITの完全子会社が消滅会社、Belkin Internationalが存続会社となる。買収総額は現金でおよそ8億6,600万ドル。FITはBelkinブランドのほか、LinksysやWemo、Phynといったブランドも傘下に収めることになる。Belkin InternationalはFITの完全子会社となり、現CEOで設立者のChester Pipkin氏と現経営陣が引き続き率いていく。Pipkin氏がFITの取締役に就任することも予定されているとのことだ。

Microsoftは16日、Skip Aheadを選択したWindows Insider Program参加者を対象に、今後「メール」アプリでリンクを開くWebブラウザーをMicrosoft Edgeに固定するテストを行う計画を明らかにした(Windows Experience Blogの記事、 Neowinの記事、 The Vergeの記事、 On MSFTの記事)。

この計画は、Windows 10 Insider Preview ビルド17623(RS5)のSkip Ahead向け提供開始を知らせるブログ記事で発表されたものだ。記事ではMicrosoft Edgeを使用する利点として、セキュリティやバッテリーの持ちの良さ、Cortanaの統合といった組み込み機能、Microsoftのサービスの利用しやすさなどを挙げている。

Microsoftでは2016年にCortanaのWeb検索結果を表示するWebブラウザーをMicrosoft Edgeに固定して批判を浴びた。Cortanaと違ってメールアプリは他にいくらでもあるので、影響は小さいとの見方もあるが、反対意見も多いようだ。ただし、今回はまだテストの段階なので、フィードバックで反対意見が多ければ取りやめになる可能性もある。

ちなみに、17日の段階ではメールメッセージ内のリンクをクリックすると既定のWebブラウザーで表示されていたが、18日に再度確認してみると、「Sets」の新規タブとしてMicrosoft Edgeが開くようになった(ただし、タブは保存されない)。これはこれで便利という気もするが、スラドの皆さんのご意見はいかがだろうか。

米国・ニューヨーク南部地区連邦地裁は15日、Webサイトにツイートを埋め込む行為は著作権者が独占的に展示する権利を侵害する可能性があるとの判断を示した(EFFの記事、 TorrentFreakの記事、 The Vergeの記事、 裁判所文書: PDF)。

この裁判では、写真を無断で使用したツイートを記事内に埋め込んだとして、写真家のジャスティン・ゴールドマン氏が複数のWebニュースメディアを訴えている。問題の写真は2016年7月、NFLペイトリオッツのトム・ブレイディ選手とNBAセルティックスのダニー・エインジ球団社長らが路上で一緒にいる様子を撮影したものだ。この写真をゴールドマン氏が自身のSnapchatストーリーに投稿したところ、ケビン・デュラント選手の獲得に乗り出していたセルティックスにブレディ氏が協力しているのではないかとソーシャルメディアで話題になり、Twitterなどに無断転載が相次いだ。被告のWebニュースメディア9社はツイートを記事に埋め込む形で写真を掲載していたという。

被告側は、Googleの画像検索をめぐる裁判で第9巡回区控訴裁判所が2007年に示した「第三者のサーバーに保存された写真をWebページに表示しても、Webページ側は著作者の展示する権利を侵害しない」という「Server Test」が適用されるとして、訴えの一部について略式判決を請求。一方、原告側はServer Testが米著作権法の趣旨にも条文にも合致せず、たとえServer Testが過去の判例には適用できるとしても、ユーザーによる選択操作を経ずに写真が表示される本件には適用できないと主張していた。

米カリフォルニア北部地区連邦地裁は17日、バカバカしい特許を紹介するEFFの記事が合衆国憲法で保護される「言論」にあたるとの判断を示した(EFFのプレスリリース、 判決文: PDF、 Ars Technicaの記事)。

問題の記事は2016年6月の「Stupid Patent of the Month」で、オーストラリア・Global Equity Management (SA) Pty. Ltd.(GEMSA)が保有する特許「Graphic user interface for resources management of super operating system based computers」(U.S. Patent 6,690,400: '400特許)を選んでいる。’400特許はキャビネットを模したGUI上でストレージ管理を可能にするというものだ。ハイパーリンクを使用したリモートアクセス機能なども含まれる。

GEMSAはEFFが記事で同社の特許を「stupid」だとしたことや、同社を典型的なパテントトロールのようだと指摘したことなど9項目を挙げて名誉棄損にあたると主張。記事の取り下げなどを求めてオーストラリアの裁判所に提訴し、差止命令を勝ち取っている。これに対してEFFは、オーストラリアの裁判所命令が米国では無効であることや、言論の自由を定めた合衆国憲法修正第1条に違反することなどの確認を求め、米連邦地裁に訴訟を提起していた。

連邦地裁では、名誉棄損裁判で原告に有利な判決が出やすい国で訴訟を提起して言論に圧力をかける「ライベルツーリズム (libel tourism)」から米市民を保護する米言論法(SPEECH Act)に照らし、オーストラリアでの裁判所命令は無効と判断。GEMSAが名誉棄損だと主張した9項目については、虚偽だということが指摘されていないか、言論の自由で保護される意見の表明にあたるとし、米連邦法やカリフォルニア州法では名誉棄損にならないとの判断を示している。