noteのIPアドレス脆弱性とユーザーとして今後気を付けたい事（WordPressでは書けないブログ運営論#21）
noteユーザーにはもうご存知だと思いますが、noteのページソースに投稿者のIPアドレスが記載されるという脆弱性がある事が分かり、ニュースになっています。（現在は修正されています。）
（※IPアドレス……インターネットに接続するためにPCやネットワーク機器に設定された識別番号）
noteを数ヶ月利用してきて、これまで多少つながり難くサービスが落ちている時間帯はあったものの、まずまず使いやすいサービスと思っていた所へ初めて大きなインシデントに遭遇しました。
自分のように匿名でnoteをしている一般人には、IPアドレスが知られたとしても恐らくソースを見ようと思われることもなく影響は軽微でしょうが、note社とnoteのサービスにとってはかなり大きなマイナスで今後の影響は甚大です。
既にメディア記事などで詳しく報じられているので、このnoteで改めて触れる必要はないと思ったのですが、これまでブログ運営の記事でnoteについても触れてきた関係上、簡単な事象経緯の説明と、noteユーザーとして今後気をつけるべき事を書いた方が良いと思い投稿します。
（Christopher KuszajewskiによるPixabayからの画像）
noteのソースにIPアドレスが表記される脆弱性
事象・経緯
匿名掲示板5ch（Vtuberの楠栞桜さんのスレッド）で質問者が投稿した際、「5chへの書き込みIPアドレスとnoteのプロフィール投稿のページソースに記載のあるIPアドレスが一致する」事が判明し、noteの投稿にIPアドレスが表示される脆弱性が発覚。
具体的には、URLの先頭にview-source:を付けるとページのhtmlソースが表示されるが、その中の書式に投稿者の接続元IPアドレスが表示されていた。
以下の書式でURLにnoteの投稿者のページURLを入れると、htmlソースの中にIPアドレスが表示される状態だった
view-source:https://URL/このスレッドは「アンチスレ」（アンチ活動を主な話題とするスレッド）だった事から本人特定等で騒ぎが大きくなった。
IPアドレスからの本人特定の動きは、noteを利用している他の著名人にも及んだ。
原因
原因はnote社によると投稿者のIPアドレスを意図せず露出してしまうコードが残っていたためだった。
note社はお詫びと声明を出し「IPアドレスの一致をもって、投稿者が同一人物であると断定できるものではありません。」としている。
IPアドレスだけでは特定個人の識別は不可
IPアドレスは接続元のプロバイダや地域を判別する材料になるものの、IPアドレスだけでは特定の個人を識別する事は出来ません。（例外はプロバイダ）
但しIPアドレスは条件が重なれば個人情報に繋がる内容になるため、重大なセンシティブ情報といえます。
参考記事
noteの今後への影響とユーザーとして気を付けたい事
noteの信用失墜の影響は大きい
今回IPアドレスがページに表記されるという脆弱性があったnoteですが、noteには企業アカウントも数多くあり、月額5万円という高額の有料プランのnote proを利用している法人や会社は多いです。
またnoteには記事を有料販売出来るコンテンツマネタイズの仕組みがあり、note内で有料購入したコンテンツはクレジットカードで決済されます。
note社はユーザーのカード情報も一部保有していることになります。
以下ヘルプページの記載では、「お客様のクレジットカードを区別するためにカード情報の一部を保持しますが、決済のための完全な情報を保持することはいたしません。」とあります。
IPアドレスをページソースに出力するというシステム的に余り見られない脆弱性も気になりますが、それよりも今回の出来事による企業への信用低下や、カード情報等更なる流出が防げるのかどうかが気になります。
「noteは危険なサービス」という印象が付いたことで、有料コンテンツの購入を控えたり、新規ユーザーが今後減る可能性はあります。
もし自分がnoteを利用する前でこの事象を知っていたなら利用しなかったかもしれません。
今回の件で直ぐにnoteを離脱する企業や人がどのくらいいるのか分かりませんが、note社とnoteは今後どのようにして信用回復していくのか。
下げ止まりがいつになるのかは分かりません。
発覚して直ぐにサービスを停止し修正、謝罪と再発防止策を出したのはいいと思いますが、一通りの再発防止案が箇条書きで書かれただけなので、ユーザーの不安を払拭するには不十分だったかもしれません。
漏えいコードが残っていたのが原因とだけありますが、なぜそのようなコードが書かれたのか、IPアドレスを出力する意図は何だったのか、設計ミスなのかそれとも悪意のあるコードなのか、コードレビューやセキュリティ診断でこれまで見過ごされたのはなぜなのか、ユーザーが知りたい情報がほとんど書かれていません。
note社の発表した原因と再発防止策
原因及び再発防止策について
原因
投稿者のIPアドレスを意図せず露出してしまうコードが残っていました
対策
・全ソースコードに対して、IPアドレス及びそれ以外のセンシティブな情報が露出するような同様の欠陥がないことを調査し、さらに対応するデータベースからIPアドレスのデータを削除しました
・CEO・CTO直轄の特別対策チームを結成して、直接の対策と構造的な課題や開発体制までを含めた徹底的な見直しを行います
・ソースコードのレビューおよびテストに今回の不具合や関連するセキュリティに対する観点を追加します
・データの持ち方やセンシティブな情報にアクセスするプロセスを見直します
・外部の複数の専門企業に依頼し、noteの脆弱性を発見・対策できるよう第三者の目線からの脆弱性診断をおこなってまいります
【再発防止策】IPアドレスが外部から確認できた事態について
ユーザーの多さと社会的影響力からレジュメを用意して詳細な説明を行った方が良いのではと思います。
非機能要件（機能面以外のシステムの要件定義）でセキュリティ面のリスクと診断をどのように定義運用していたのか、実際に情報漏れがなぜ起きたのかを分析して可能な範囲で公表すべきと思います。
大変だと思いますが、騒動の大きさを考えると今後収まりが付かない気がします。
社会の変化や社内事情も関係があったかもしれない
急速に社会がネット対応とシステムへの最適化されていく中で、ヒューマンエラーのある人間が作っているシステム（プログラム）では、こうしたシステムの脆弱性によるインシデントや情報流出は常に危険性があります。
※2020年だけでもカメラのキタムラ、任天堂、三菱電機、日本経済新聞社、厚生労働省等から不正アクセスやシステム不備により情報が漏えいしている。
主な個人情報漏洩事件 - Wikipedia
社内的な事情としても、noteのように加速度的にユーザー数が増加していくサービスでは、処理能力の増強やサーバーのスケールアップ・スケールアウトに目が向くのが自然です。
そういう空気の中で、システム初期に作られた古いコードに対してまだ判明していない脆弱性の検証やコードレビューを、自発的にタスクに上げて整備するといった動きには、中々なり難いのではとも思います。
サービスは複数利用してリスク分散をしたい
noteは他社無料ブログや自前で運用するWordPressを除けば、個人の発信ツールとして有用なので、個人的には今後も使用していきたいと思っています。
ただ、一方でこうした脆弱性のあるツールで、長年社内で放置されていた事も事実のため、ユーザーとしては今後リスク分散が必要だと思います。（※noteは2014年にサービスを開始。）
何れかのサービスに重大な支障が生じてもいいように、ユーザー側としては、発信用のツールをnote・WordPress・Twitter・YouTubeチャンネル等と複数バランスよく使い分けしたい所です。
noteには現状、ログのエクスポート機能がなく、他社ブログ等に書いた記事をエクスポート・インポートで移行する事は出来ません。
そのため、自分はいつnoteを辞めてもいいと思ってnoteの記事は投稿しています。
また、自分はnoteのフィードをブログに出力させて緩く連携させていますが、今回のようなインシデントがいつ起きてもおかしくないため、複数サービスを使っている場合アカウントを連携するのが果たして良いのかどうか、検討しておくのも必要です。
追記
キャッシュの削除方法
投稿を削除した場合も検索エンジンのキャッシュ側にはIPアドレスが表示されたままになっています。
気になる方はキャッシュの削除もした方が良いでしょう。
参考記事（キャッシュ削除方法）
追記
note社による追加報告とお詫び
2020/9/30にnote社がその後に行った対応について追加報告がされていたので合わせて掲載します。（※見やすいように原文に改行を入れています。）
8月14日にご報告しました、note株式会社（以下、「当社」）が運営するメディアプラットフォームnoteにおいて、記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できた事態（以下、「本件」）について、note利用者のみなさま、noteのサービスに関わるみなさまに多大なるご迷惑とご心配をおかけしましたこと、改めて心よりお詫び申しあげます。
本件発生後、最優先で原因を究明し、本件への対応を実施しました。その後、経営陣直轄の特別対策チームを編成し、1カ月半にわたり徹底した安全対策を実施。
今回は、その対応および本件を受けた安全性確保のための施策と、再発防止策についてご報告いたします。
シリーズ一覧
いつもお読みくださり有難うございます！サポートいただければ励みになります！