2021-08 on akky@サイボウズラボ・ブログ

英銀行の「正しい電話番号」確認サイト、JSONで全74000番号を晒す作りで議論を呼ぶ

Mon, 30 Aug 2021 00:00:00 +0000

イギリスの大手バークレーズ銀行、利用者の電話詐欺被害対策として「バークレイズ銀行の電話番号として正しいか調べる」サイトを公開しているのですが、その実装に問題があるのではという疑義がHacker News で上がり議論となっています。

Phone number checker サイトでは、電話番号を一つ入力するフォームが置かれ、ここに電話番号を入力すると、74000個ある正式な電話番号の場合は「この番号へ掛けても大丈夫です」という結果が出ます。

大手とはいえ、一つの銀行が74000個も番号を抱えてるのはすごいですね。フリーダイヤルから支店や部署まですべての番号を含むにしても。

議論となっているのは、このチェッカがクライアントサイドだけで動いているらしいこと。JSONファイルが読み込まれていて、このファイルに74000個の電話番号がベタ書きされています。

{ "numbers": [ "0800000097", "0800001011", "0800008008", "0800111777", "0800201612", "0800222200", "0800222800", "0800227222", "0800281435", "0800282390", "0800289289", "0800289888", "0800289989",

最初に声を上げたブログが、入力フォームの形式チェックがあまりちゃんとしていない(ハイフンを含んだりイギリスの国番号44から始まる形式を正しく認識できない等)やJSONファイルのサイズ(1.3Mbytes)が大きすぎることを問題にしていた(これぐらい許容範囲だとか、正規表現で書けばよいとか圧縮をちゃんとすればよいとか)ため、Hacker News での議論も多方向に拡散してしまっているのですが、主要な問題は偽メールや偽電話でだまそうとしている勢力が簡単に正式な電話番号のリストを入手できるところにあるのではないかなと思います。

発信者番号通知も改竄可能なので、騙す側に改竄するための正しい番号のリストを教えているという話でもあります。このチェッカが正しく理解されていないと、電話を「受けた時」にこのチェッカで正しいとされたから電話の相手を信用してもいいと思ってしまったりしてしまう可能性もあります。

写真素材の黒人の顔だけを白人に挿げ替えることは問題か?

Fri, 27 Aug 2021 00:00:00 +0000

米パナソニックがネックスピーカー SoundSlayer の宣伝に使った画像について、人種問題を挙げているThe Verge の記事を読みました。

Panasonic neck speaker ad

このビデオゲームでエキサイトしている白人男性の宣伝画像がGetty Images の「ビデオゲームをプレイする」画像を加工して作られたものではないかと。実際、EXIFデータにも「ピザを食べビールを飲みビデオゲームで遊ぶ若いアフリカ系アメリカ人」と合ったそうなのでそうだろうとは思います。

The Vergeで問題にしているのは、写真の加工が「宣伝したいネックスピーカーを付け加え」るだけでなく「顔を白人男性に差し替え」ているところです。首や手の肌についても顔と合わせるために変化させているのかもしれません。

Here's a quick juxtaposition to make it even clearer: this Black man's head was digitally replaced. pic.twitter.com/X8Ac1IlDu6
— @seanhollister.bsky.social (@StarFire2258) August 26, 2021

twitter の反応では、元の黒人男性の顔の表情が宣伝の目的と合わなかったから挿げ替えをしたのであって、人種差別的な意味はないだろう、というものもあります。うまく合いそうな他の黒人男性の写真が見つからず、デザイナーがあるものでなんとかしようとしただけかもしれません。

記事ではマイクロソフトが2009年に会議の写真素材中の黒人男性を白人男性に差し替えて問題になった件(英ガーディアン)を類似の失敗例として挙げていて、そちらは確かに何でそんなことをしたのか、という差し替えなのですが、今回の件は差別の意図が有ったとは言えないのではないかと。意図の有無ではなくそう見る人がいるかどうかなのかもしれませんけど。

記事の記者からの連絡を受けた米パナソニックでは、今回の宣伝画像から人物を含む画像を削除したそうです。

Internet Explorer 3.0 チームにいた若手エンジニアの回想ツイート

Wed, 25 Aug 2021 00:00:00 +0000

子供がオンラインでプログラミングを学習できるサイト Hour of Code の創立者であるハディ・パルトヴィさん(Hadi Partovi)は、Internet Explorer 3.0 の開発者の一人だったのですね。初期の「ブラウザ戦争」にマイクロソフトという巨大企業側から関わった経験をツイートされています。

25 years ago Microsoft released Internet Explorer 3.0, its first real salvo in the “Browser Wars”. This launch taught taught me how a giant corporation could move at the speed of a startup. Here’s the story: pic.twitter.com/ZEYcxYrUgI
— Hadi Partovi (@hadip) August 14, 2021

パルトヴィ氏は22歳の時、たった9人だった IE開発チームに入っています。初期のワールドワイドウェブ(WWW)の標準的な地位を占めていたネットスケープナビゲーターのシェアは95%。当時のIEはというと、技術的には2年近く遅れていたと。

以下、長連文ツイートから面白かった箇所を抜き出します。

チームは採用を絞りに絞った
ボスの言葉「できるといったやれ、できないのは構わない。できないことを引き受けて失敗するとチームが止まる。ノーと言うことを覚えなさい」
モチベーターとしてのビル・ゲイツ氏のメモ
IE3.0開発の発表日は真珠湾攻撃にちなんだ1995年12月7日。先制された戦争をやり返すためならAppleやAOLとも組んだ
Netscapeのマイク・アンドリーセン氏の次の言葉を壁に貼って闘志を燃やした「Netscapeによって、Windowsはもうすぐ品質の悪いデバイスドライバ集みたいなものになるだろう」
3食を共に取り、深夜にフーズボールで遊んだ
離婚や壊れた家庭や不眠症その他の悪い事も起こったが、2万人の会社内に人生を賭けた100人のチームがあった。(この部分と働きすぎの描写については、後で誇張しすぎたという訂正記事を出されています)
IE5で勝利した後、マイクロソフトは勝利したと考え、パラノイド的であることを止め、IEはジョークの対象になってしまった
だめになっていくIEを見るのがつらく、1999年に退社した

エキサイティングな環境に22歳の移民として入り、すばらしいメンバーと一緒に短期間で勝利を収めたことへの誇らしさが伝わる体験談でした。結果成功したから良い思い出になったという見方もできますが、馬車馬のように働ける時期に働くに足るチームと出会えたことがプラスになっているし、その後の起業等の成功にもつながっているのでしょうね。

国ごとの新型コロナウイルス感染者数を時系列で表示する世界地図

Tue, 24 Aug 2021 00:00:00 +0000

COVID-19 地理アニメーション(geographical animation) は、新型コロナウイルスの感染者数の推移を国単位でまとめた、インタラクティブ地図です。

感染者の数に応じた大きさの円が、各国の位置に表示されます。

感染者が拡大している時は赤色、縮小している時は青色、変化の速度が大きいほど濃くなるようで、広い範囲でどのように感染が拡大や縮小していったか、ある国の感染状況は近隣の国の感染に影響していたのかどうか、などをつかむことができます。

データはジョン・ホプキンス大が公開しているものを利用とのこと。

via Maps Mania

3D地図をマンガ調に変換表示する Manga Map サービス

Wed, 18 Aug 2021 00:00:00 +0000

Manga map は、OpenStreetMap のデータから MapBox でマンガ調(カートゥーン調?)に変化させた地形を表示するwebサービスです。スティーブ・アトウェル氏 (Steve Attewell)の作品。

これはレインボーブリッジ。面を塗る色数を減らしたり、境界線を強調したりするトゥーン・レンダリングの技法で、独特の見え方に変換されます。

ビルのデータは含まれていて高さを含めて出てきますが、土地の高低や直方体以外の建物については形が面白くなってしまうことも。

検索から地名や観光ポイントの名前を入れることで、世界のいろいろな場所をマンガ調にできます。

via Maps Mania

kwprocessor - パスワード推測のためのキーボード・ウォーク・ジェネレーター

Tue, 17 Aug 2021 00:00:00 +0000

hashcat/kwprocessor は、キーボード上で上下左右に図形を描くことで作れるタイプのパスワード文字列を類推し、総当たりのリストを生成するためのジェネレーターです。

キーボード配置から作ったよくあるパスワード

昔からよくあるパスワードの作り方として、例えば “qwerty” なんていうのがあります。キーボードの左上から順番に右へ一文字ずつ打っていくとこうなりますね。大昔はこれでも「ランダム」で「推測されにくい」パスワードだったのかもしれません。

しかし、とある2020年のありがちなパスワード・ランキングだと、“qwerty” はなんと12位。“1234” や “000000” よりも良く使われ、そして当然ながら流出しているそうです。

他にもこのパターンのものが多数ランク上位に出ているようです。

キーボード配置からパスワードを作る

「横一列だから甘いんだ。縦も横も使えば難しいパスワードが作れる」と言う人もいるかもしれませんが、本当でしょうか?

kwprocessor は、キーボード上で縦・横にキーを選んでいった際にできる文字列を生成するというツールです。

この図だと、q から始めて右に3個、下に1個、左に3個、という逆コの字型の並びを示すわけですが、kwprocessor はこのような並びでできる文字列を一括で生成してくれます。

ubuntu$ ./kwp --output-file results.txt basechars/q.base keymaps/en-us.keymap routes/2-to-16-max-3-direction-changes.route

これで出来上がるのが以下のようなファイル。1200行ほどの冒頭です。

qa qw q1 qaz qwe qwer qwert qwerty qwertyu qwertyui qwertyuio qwertyuiop qws q1q qwq q1` qas q12 qaq qw2 qwsx q1qa qasd q123 qaq1 q1qaz qasdf q1234

ZeroVer - ゼロベース・バージョニング

Fri, 13 Aug 2021 00:00:00 +0000

ZeroVer は、決してバージョン1に到達しないバージョンつけ規則を提唱しています。

「ソフトウェアのリリース数が史上最高を迎える現在も、皆が一致する方法は見つかっていません。メジャーバージョンはもう古い。ならばソフトウェア・バージョンの過去・現在・将来はいかなるものか? ゼロバー0.0.1へようこそ!」

ZeroVer: 0-based Versioning — zer0ver

ゼロバー(ZeroVer, 0verとも)では、メジャーバージョンは最初にして最も重要な数値である0を超えることは決してありません。

0ver サイトでは、著名なオープンソースのプロジェクトの多くが 0. で始まるゼロ・バージョニングを採用していることを、巨大な表を使って見せてくれています。

React Native 0.65.0-rc.2 や axios 0.21.1 、hugo 0.85.0 など、GitHub でスターを数万以上も集める有名なオープンソースプロジェクトがいくつも、プロジェクト開始から何年も経過しているにも関わらずバージョン0 を維持し続けています。

Wikipedia でバージョンが0.から始まっているソフトウェアプロジェクトを検索するための WikiData のクエリも公開されています。

サイトではゼロ・バージョニングを実施している優れたプロジェクトを募集しており、条件に合致すればリストへ追加してもらえるそうです。条件は

ゼロ・バージョン(0.*)を採用していたり、長期にわたるゼロ・バージョンの利用があること

そして、以下のいずれかを満たすこと

GitHub でスターが1000個以上ついているなど広く知られていること
商用製品やサービスのプロモーション
完成度が高く、インフラを支えていること

バージョン0.*から決して上がらないソフトウェアをお持ちの方は申請してみるのもいいかもしれません。

今までこのゼロ・バージョニングの概念についてはうかつにも知らなかったのですが、サイトのリリース日を見ると2018年の4月1日にはもう公開されていたんですね。

via Hacker News

世界各国の一番多い「生まれ月」を表示した世界地図

Fri, 13 Aug 2021 00:00:00 +0000

日本の月別の出生数で一番多いのは、年度によっても違いますが7-9月だそうです、これは出産に40週間かかることと、クリスマスや年末年始近辺に子供を作る人が多いことの組み合わせなんでしょうね。

しかし、何月生まれの人が一番多いかというのは国によって違っているそうです。国連が国別・月別の出生数のデータを公開していて、最長で50年ぐらい前からのデータを入手することができます。

The Most Common Birth Months (もっとも一般的な出産月)は、Vivid Maps の手になる、各国で一番出生数が多い月はいつかで世界地図を塗り分けた地図です。

日本の色がいきなり間違ってる(5月になってるが、データを見ると5月がトップの年度はない)のですが、緯度による傾向が見て取れます。

北半球の高緯度から南極近くまで、緯度ごとに国と出生数をプロットしたヒートマップを見ると、北半球ではほとんどの国は7-9月がトップの国がほとんどだが、赤道近くの熱帯に降りていくと10-12月が増え、南半球では3-5月が多くなっています。

地図で特に興味深いのは韓国で、ここだけ他のどの国とも違い1月が最も人数が多いのですが、Reddit のコメントによるとこれは両親が子供が12月生まれになるのを忌避し、(計画的に妊娠しているのか、出産を遅らせているのか、届出を遅らせているのかまではわかりませんが)1月生まれにずらしたがるからだそうです。

なぜ1月が良いかというと、数え年がまだまだ使われているからということ。数え年だと、もしも12月31日に生まれたら翌1月1日の時点で2歳になるわけですが、これを避けるために1月生まれを望んでいるらしいです。ある研究では、同じ数え年の子が同じ学年になるため、脳や体の成長が遅れたまま学校が始まることを避けて1月にしたがるのが原因の一つではということでした。

Clubhouse.io が Shortcut へ改名。サービス名被りで

Thu, 05 Aug 2021 00:00:00 +0000

フリーミアムのコラボレーションサービス Clubhouse が、9月からサービス名を Shortcut に変更するというアナウンスを出しました。

(旧) clubhouse.io
(新) shortcut.com

多くのみなさんにとって、理由は明白だと思われるでしょう。オーディオアプリの Clubhouse があまりに速く巨大になってしまったため、その人気に向き合いながら我々のブランドを永遠に維持し続けることに希望が持てなくなりました。

For many of you, the reason for this is probably pretty obvious. The Clubhouse Audio App became so big so fast that we couldn’t possibly hope to forever maintain our own brand standing in the face of their popularity.

気の毒ではありますね。Clubhouse.io を運営する Clubhouseソフトウェアは2014年の創業、2016年のサービス公開から数えても5年目のサービスとなります。

その次に、なぜ新しいサービス名を Shortcut としたか、について3つの理由を述べていますが、そこは興味のある方は原文にあたってください。

続いて、大成功しているサービスの名称、アップルやフェイスブックなどなどを挙げて、「大成功したサービスだからといってその名前自体は特に良くも悪くもないよね?」と言っています。

「もしアップルの社名がブラックベリーで、ブラックベリーの社名がアップルだったとしても、ブラックベリーが世界で最も儲かる会社になっているだろうか? ブラックベリーTV はやっぱり(オリジナル番組で評価が高い)クールなサービスのままなんじゃないか?」

Shortcut という新しい名前が最高でもパーフェクトでもなくても、サービスが成功すればよい名前になるし、サービスを成功させるのは名前それ自体ではなく我々だ、と締めています。

'-' という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ

Tue, 03 Aug 2021 00:00:00 +0000

- という名前の JavaScript/TypeScript パッケージについて警告を発している記事が話題となっています。

このパッケージ、中身はほとんど空で、Readme と、dev で TypeScript を動かせるようにするライブラリ群を呼ぶ箇所だけのもの。

しかし、この “-” を使っている他の npm パッケージが 50個以上あり、約一年前の公開時からのトータルのダウンロード数は72万回にもなります。

しかし、"-" を読み込んでいるパッケージを見てみても、"-" が必要そうには見えません。

警告記事では、この無名のパッケージが密かに使われるようになった原因が、npm コマンドのコマンドラインを打つときのミスタイプにあるのではないかとの仮説を立てています。

つまり、someFlag というオプションを使い

npm i -someFlag somepackage

と打つべきところで、

npm i - someFlag somepackage

と間違ってスペースを入れて実行したことで、"-" というパッケージがインストールされてしまい、その状態からパッケージを作って公開してしまったものが(50個以上)出てしまったのでは、ということです。

実際にわざと間違ってみたところ、someFlag の部分にマッチするnpmパッケージがあれば、特にエラーもなく"-“パッケージが入ってしまいます。

$ npm i - O knock-knock-jokes added 3 packages, and audited 4 packages in 1s found 0 vulnerabilities $ npm ls test-@ C:\work\temp ├── -@0.0.1 ├── knock-knock-jokes@1.7.0 └── O@0.0.9