共通パスワードは恐ろしい

1年くらい前から、全てのウェブサービスのパスワードをユニークな(=全て異なる)パスワードにしました。100以上の利用サービスがあるので、達成するまでは手間でしたが、達成後はかなりの安心感を得ることができました。

どうやったのかは後で説明しますが、なぜそうしたかというと、あるとき、同じパスワードを使い回すのが恐ろしくなったんですよね。

どういうことかというと、「サービスA」「サービスB」があるとします。パスワードが同じだと、サービスAのパスワードが流出したときに、サービスBにまで被害が広がる恐れがあります。流出しなくても、サービスAの管理者が悪意を持っていれば、サービスBにアクセスできてしまします。

これを現実世界の鍵に例えると、「家の鍵と、貸しロッカーの鍵が同じ」みたいなものです。こう思うとヤバいでしょ？家の鍵穴は秘密でも、貸しロッカーには管理者が別にいて、信用できるかどうかは謎です。

全ての管理者を信用してはいけない

正確な出自は覚えてないので話半分に聞いてほしいのですが、とあるウェブサービスの管理者が、「試しにユーザーDBを使って某大手SNSにログインを試してみたら、半分以上通った」という噂を聞きました。えー、行為も結果も含めてまじで？って感じですよね。でも普通にあり得ると思います。人間だもの。

そもそも、そんなことやるなよ！パスワードを平文で保存しとくなよ！とも思うわけですが、結局、生(なま)パスワードが保存されているのか、されていないのか、適切に扱われているのかなんて、利用者にはわからないわけですよ。

よくサービス開発の基本として、生パスワードは特別な事情が無い限りは保存するなという教えがありますが、これがいくら正しくて、どんなに周知されていても、本当にそうされているかどうかなんて、ソースコードを開いてみない限りはわかりませんからね。

全てのパスワードをユニークにすると、もしものときの被害が最小限になる

以上のことから、利用者側は「パスワードは平文のままで保存されている前提で行動する」のが合理的です。そうした場合、もしものときの被害を広げないための有効な自衛手段は、全てのサービスのパスワードをユニークにすることしかありあせん。

もちろん一意にしたところでそのサービスのパスワードが漏れることはあり得るわけですが、不正アクセスされるのはそのサービスだけになるので、被害が最小限に抑えられるのです。これは大きなメリットです。

重要度別パスワードは実情の変化に追随できない

一意にするまでは10近い種類のパスワードを重要度別に分けていました。ですが、パスワードを決めるのはサービス利用時ですし、そのとき重要じゃなくても、あとから重要になったりするのですよね。

僕の場合、twitterなんかがいい例でした。DMなんてそんなに使わないだろうし、TLは公開情報だけだから、低重要度なパスワードを選択していましたが、DMが意外に使われまくって、合わなくなりました。

KeePass(キーパス)でランダムでユニークなパスワードを自動生成、一元管理

さて実際に全てユニークにするにはどうしているかというと、KeePassを使ってランダムなパスワードを自動生成し、KeePassのDB(データベース)機能で管理しています。KeePassのDB自体は長〜いパスワードで暗号化されています。

DropboxにDBファイルを入れておけば、スマホとの連携も容易です。

• KeePassでパスワードをより厳重に管理する方法 - nanapi Web
• KeePassをiOSでDropbox連携できるMiniKeePassアプリの出来が最高すぎる : akiyan.com

一元管理は、適切に扱えば低リスクで抑えられる

ちなみにDBファイルとパスワードが漏れたらおしまいですが、信用できるかどうかわからない管理者に共通パスワードを預けて、大小様々なリスクを撒き散らすよりはいいと思います。

というかまず、このDBファイル自体へアクセスするまでに高いハードルがあります。アクセスできたとして、ファイルの暗号化を突破しないといけません。そこまでして僕個人を攻撃しようとする人は、いたとしたらそれはそれで驚きですが、普通はよっぽど重要な人物でなければ攻撃されないでしょう。

ここはもう利便性とのトレードオフなので、TrueCrypt等の仮想暗号化ドライブを併用したりしてさらに暗号化をかけてもいいと思います。あと、お金が絡むような超重要なパスワードに関しては、DB＋記憶という合わせ技もアリですね。マトリクス表が配られるオンラインバンクなら、マトリクス表はDBには入れない、という選択も可能です。このあたりは工夫でどうとでもなると思います。

共通パスワードに不安がある方はぜひどうぞ。やりきると気持ちのよいものですよ。

( 写真素材 足成：鍵穴 http://www.ashinari.com/2007/06/01-002264.php )

パスワードは全て異なるものにするしかない is a post from: akiyan.com

• WSX (MSX2+)
• PC-9801VX
• PC-Club
• PC-9821Ap
• MSX Turbo R ST
• MSX Turbo R GT
• X68000 XVI
• Pentium 133
• K6-2
• Libretto 20
• LOOX (初代)
• Let's Note CF-A3
• Athlon 600Mhz
• Pentium 3 1GHz
• Pentium 4 2.8GHz
• iMac 20' (late 2006)
• Macbook (late 2008)
• KOHJINSHA SX3WX06MA
• Mebius PC-NJ70A
• ProLiant ML115
• Athlon64 X2 5050e
• Athlon64 3500+
• PowerEdge/T105
• Core i7
• iMac 27' (late 2009)
• ThinkPad X300
• Macbook Air 11' (late 2010)
• Macbook Air 13' (mid 2011)

自作はパーツ選びが楽しかったなー。マカーに改宗したのでもうしないけど。

今までに買ったPC一覧 is a post from: akiyan.com

公称値の半分くらいしか走れなかった

carecoのプラグインステラ

乗ったEVはSUZUKIのプラグインステラです。2010年の春先あたりで、カーシェアリングのcarecoで利用しました。

当時の記憶ですが、プラグインステラはメインストリームのEVの中ではバッテリー容量がかなり少ない車種でした。80%充電で公称の航続距離80kmです。他車種は倍の容量で160kmでした。

まあ、これが、80kmとか、無理！でした。

走行したのは都内の一般道です。それほど寒くない日で、道路の混雑は気になるほどではなく、首都高速も利用していました。それでも、40km走れるかな？という具合でした。エアコンはつけずにです。

夕方になって寒くなってきたので暖房をつけると、さらに状況は悪化します。この調子だと全体でも30kmしか走れないんじゃ、、、って具合にバッテリーが減っていきます。このEVはフロントパネルに残りの走行距離が表示されるのですが、「ノコリ 17(km)」とか表示されたりして、焦りました。

ノコリ 17

渋谷〜神田を寄り道しながらの往復でしたが、帰れる自信が無くなったので途中で充電しましたよ。

急速充電器を提供しているカーディーラーで充電（無料）

結果的には充電してなかったら電欠（ガス欠）してました。あぶなかったー。

バッテリー以外は良かった！

でも、バッテリーのもち以外については、なんの問題もありませんでした。むしろ良かったです。

地下駐車場から道路へ出る急な坂道では、素晴らしいトルク(底力的なもの)でぐいぐい登って行きました。高速道路へ侵入する際の加速でも、なんの不安もありませんでした。

そしてなんといっても静かで、無駄な振動がありません。バッテリー以外で不満に思うことはありませんでした。

あとブレーキを踏むとバッテリーが少し回復するのですが、回復しているかどうかがメーターに表示されるのは何となく楽しかったです。

うまくブレーキを踏むと「CHARGE」にふれるメーター。

ってことはバッテリーだけ。あと、価格

当時の感想としてはもっと走れればなーってくらいだったのですが、今思い返してみると、「あれ？バッテリーしか問題ないじゃん？」って思いました。あと価格ですね。実感としては倍以上の価格感があります。

ってことは、バッテリーと価格さえクリアしちゃえば、すごい普及しそうだなあと思いました。走りも、一般的な車の中では良いほうですし、電費(燃費)もよいです。

まあ他にもバッテリーは寒さに弱くて寒冷地では向いてないとか問題はありますが、EVって、もうあとひといきなんじゃないかなー。

EV(電気自動車)が残す問題はバッテリーと価格だけだった is a post from: akiyan.com

カーシェアリングの借りやすさがわからない

最近、カーシェアリングを比較したのですが、どこそこが安い、どこそこが駐車場数が多い、というところまではわかりました。でも、意外と忘れがちだけど肝心な「借りたいときに、ちゃんと借りられるのか」という点がわかりませんでした。

というのも、今はタイムズプラスを利用しているのですが、carecoを使っていたときに比べて車両が貸出中だったり整備中だったりすることが多々ありました。カーシェアリングは名前の通り車を「シェア」することになるので、当然ながらそういうことが起きます。(参考：carecoを使ってみたときのレビュー記事)

なので、どうしても借りたいときは、できる限り早めに予約したり、電車で一駅かかる駐車場まで行ったりしていますが、大変不便です。

借りやすさの基準を決めて、公開してほしい

タイムズプラスはcarecoに比べて料金がかなり安く、業界全体でも最安値だと思います。そのぶん、利用者数に対して車両台数が少ないのではないか、と推測しています。しかし、どう頑張っても推測の域を出られません。

そこで大変難しいとは思いますが、カーシェアリング各社様は思い切って車両台数と会員数を公開し、車両台数:会員数の比率を出して頂きたいです。車両のアクティブ率(使われている時間の割合)でもよいでしょう。要するに「借りやすさ指数」を公開して欲しいです。駐車場○○箇所！車両○○台！よりも、大事なことだと思います。

ちなみにアクティブ率にするなら、深夜早朝を除き、混雑しがちな平日夜間と土日祝日に限るなどしてほしいですね。理想としてはカーシェアリング各社で基準を統一し、わかりやすい数字になっていると比較しやすくて最高です。

カーシェアリングはとても便利なサービスでこれからもどんどん利用していきたいと思っていますので、よろしくお願いします！

カーシェアリング各社は「借りやすさ指数」を公開してほしい is a post from: akiyan.com

何気なくChromeでサイトを見ていたところ、

「なんか、変な広告が表示されるなー。それも、サイト表示後に、一瞬遅れて」

と思って原因を探ってみたところ、Chrome拡張のSmooth Gesutresが、サイト内の広告っぽい領域を置き換えていたのでした。

置き換えられて表示されていた広告。なんだよ、これ。

設定で停止することはできる

一応、Smooth Gesturesの設定で動作を止めることはできます。Enable Sponsorship、という項目です。（でも72時間しか停止できない、と書いてある気もします）

Smooth Gesturesの設定画面

「表示される広告の収益はSmooth Gesturesの開発者達が食べていくために必要なので、止めちゃうときついっす」的なことも書いてあります。まあ、そう言われると、、、って感じですが、表示されている広告がサイト由来なのかSmooth Gestures由来なのか、一見してわからないので、原因究明に時間がかかりました。せめて、そこはわかるようにしてほしかったですね。

あと、有効にしていても毎回広告に置き換えられるわけではありませんでした。条件はわかりませんでしたが、時々表示されるようです。

Smooth Gesturesは以前、スパイウェア的な挙動をしていたらしい

今回の調査にあたって、Smooth Gesturesは閲覧中のURLを外部へ送信するスパイウェア的な挙動をしていたことで、2011年の8月頃に騒動になっていたことも知りました。どうしてもSmooth Gesturesでないといけないということでなければ、アンインストールするか別の拡張にするかして様子を見たほうがよいかもしれません。

埋めこまれたコード

参考までに、Smooth Gesturesによって埋めこまれていたコードです。

<iframe src="http://www.iicdn.com/www/delivery/afr.php?zoneid=35&amp;refresh=60" height="250" width="300" name="a47abb2d" id="a47abb2d" scrolling="NO" frameborder="0"></iframe>

Chrome拡張のSmooth Gesturesをインストールするとサイト内の広告が置き換えられてしまう is a post from: akiyan.com

OrderedBehavior

http://bakery.cakephp.org/articles/alkemann/2008/09/21/orderedbehavior-2-1

順序を管理するビヘイビアです。Webアプリケーションを作っていると、多くの局面で、

「順序を自由に入れ替えたいんだけど...」

という機能要望が上がります。DBの仕様としては順序を振ってソートするだけでよいのですが、愚直にDBを操作しようとするとすごくめんどくさいです。順序番号の振りなおしとか、うわーやってらんねー、ってなります。

そんなめんどくさい実装も、OrderedBehaviorを使えば、超簡単にできます。

例えば「ある行を１つ上に上げる」という操作。これなら、メソッド1発です。

$this->Model->moveup($id);

もうひとつ、「ある条件でソートし直す」という操作。例えば作成日とかで一括で振りなおしとか。これも、メソッド一発です。

$this->Model->sortby('Model.created DESC', $group_id);

もちろん行が追加(save)されたときや削除(del)されたときも自動でよしなに振ってくれます。いやー便利ですね。

TreeBehavior

http://book.cakephp.org/view/1339/Tree

ツリー構造を管理するビヘイビアです。CakePHP本体に搭載されてます。

このビヘイビア、実装内容を知るまでは、「親IDを持たせて再帰する、遅そうなビヘイビアなんでしょ…？」と思ってたのですが、ところがどっこい、再帰不要なアルゴリズムを使用した実装でした。

この実装はピンとこないときは理解するのに苦しむのですが、理解してしまえば「はっはーーなるほどー、これならインデックスが効きやすくて、MySQLでも速いわこれ！」って思います。ってか思いました。

僕の知る限りで最もわかりやすい説明が「ウノウラボ by Zynga Japan: RDBで階層構造を扱うには？」ですので、実装内容を知りたい方は、読んでみてください。

で、肝心の使用例ですが、これもまたシンプルです。

ツリー要素の追加自体は、親IDを指定して保存するだけです。

$this->Model->save(array('name' => 'new record', 'parent_id' => $parent_id));

ある要素の子孫一覧を取り出したり。

$this->Model->children($id);

ツリー内の兄弟要素での順序も操作したり。（OrderedBehavior不要）

$this->Model->moveup($id);

他にも様々な形式で一覧を取り出せたりして、便利です。

ビヘイビアを沢山知っておくとコントローラやモデルのコードがかなりすっきりするので、CakePHPに慣れてきたらいろいろ物色してみるとよいです。ビヘイビア同士の相性問題もちらほらありますが、どれか１つ使うだけなら大抵うまく動作してくれますよ。

( このエントリはCakePHP Advent Calendar 2011の19日目の参加記事です。他の方の記事もぜひどうぞ ）

CakePHPの「OrderedBehavior」と「TreeBehavior」はマジで使うべき is a post from: akiyan.com

そこでiOS5からは、設定アプリの画面へのショートカットをホーム画面に作成できるようになりました。ショートカットはアプリ等を利用して自作することもできますが、ショートカットを配布しているサイトも沢山あります。アイコンの種類やショートカットタイプなど様々なので、まとめてみました。

1 Click Config | ショートカットタイプ選択可、アイコン4種類

ショートカットタイプが選べる

アイコンは4種類

ショートカットタイプを自由に選択でき、アイコンデザインが4種類から選べます。設定の種類も豊富です(2011-12-06時点)。僕はこちらのサイトを使ってます。

• http://www.otchy.net/1cc/

ショートカットタイプについては以下の通り。

• 標準：ショートカットがアプリ履歴に残ります。
• Safari経由：Safariを経由して開きます。アプリ履歴に残りませんが、開くまでのタイムラグが大きいです。
• プロファイル式：アプリ履歴に残らず、タイムラグは最も小さいです。ただしiOSのプロファイルとしてインストールする必要があり、多少のセキュリティリスクがあります。プロファイルについて知識をつけてから利用することをお勧めします。

iPhone Settings Shortcuts by Jeff Broderick | 設定が豊富

ショートカットタイプはプロファイル式（アプリ履歴が残らず、速い）で、アイコンデザインは選べるものとそうでないものがあります。設定の種類が豊富です。プロファイルに署名がされているので、ちょっと安心感があります。

• http://brdrck.me/settings/

iPhone Settings Short cut App | 5色のアイコン

ショートカットタイプは標準（アプリ履歴が残るタイプ）で、アイコンデザインが5色から選べます。設定の種類は少なめで、厳選されている感じです。

• http://hazisarashi.com/static-content/iphone-setting-shortcut/

Local IconSettings solution | 設定以外のショートカットも

ショーットカットタイプはSafari経由（アプリ履歴が残らない）で、アイコンデザインは1種類。。設定アプリ以外（電話等）へのショートカットも豊富にあります。

• http://jp.deckers.net/iconsettings

JJWorkshop iOS ToyBox

ショートカットタイプは標準（アプリ履歴が残るタイプ）で、アイコンデザインは１種類。設定の種類は普通です。

• http://jjworkshop.com/iOS/

理想はWiFiのオンオフなどは1タップで行えるようになることですが、設定アプリへのショートカットを用意するだけでも大分手間は軽減されますよ。

更新履歴

• 2011-12-06 設定項目とアイコンテーマを追加した 1 Click Config Ver 2.2.0 リリース – OTCHY.NET を反映しました。

iOS設定アプリショートカットアイコンサイトのまとめ is a post from: akiyan.com

ソーシャルゲームをまともにやったことが無かったのですが、CMバンバン出てるし周りでもやってみたという人が多かったので、GREEの探検ドリランドをやってみました。

無料でどこまで楽しめるのか試したかったので、簡単には課金しないユーザーとしてやってみたのですが、ある時点でどうしても課金したくなった話です。

時間制限のあるボス戦

ゲームを進めていると「キング」というボスが頻繁に登場します。自分だけで倒せる強さのキングもいれば、仲間の助けを借りたりアイテムを駆使しないと倒せないキングもいます。（というか無料ユーザーとしてやってると後者の場合がほとんどになります）

キングには何度も挑戦でき、キングへのダメージは蓄積されます。ただし時間制限があります。2時間とか、短い時は40分とか。こちらの体力も戦うたびに減るのですが、時間によって自動回復します。この自動回復量と、仲間からの協力を計算して、時間制限内に倒せそうかどうかを考えるのが、結構、楽しいです。

倒せるかどうか微妙なラインのボス

そして、ちょっと制限時間内に倒せるかどうか微妙だなーみたいなキングと遭遇したときのことです。挑戦してみたところ、時間内ではとても倒せそうにありません。仲間からの協力もありません。そこで、体力を回復するアイテムを使うことにしました。

アイテムを使って倒そうとしてみるが...

このアイテムはゲームを始めるとすぐにいくつか貰えます。でも、進めていくとランダムではほとんど貰えなくなるので、結構貴重です。そして、このアイテムは課金アイテムとしても販売されています。1個で100円です。

手持ちのぶんでなんとか倒せそうだったので、アイテムを使って体力を回復し、再挑戦します。しかし、あと一歩のところで倒せず、手持ちも尽きてしまいました。計算ミスです。

実は、キングはダメージを受ければ受けるほどこちらへの攻撃が強くなっていくので、倒せそうと思っても意外に倒せなかったりして、計算することが難しいのです。この仕組み、すごくうまいですねぇ。

倒せなかったら損…？

アタマを使い、時間をかけ、課金アイテムとして販売されているものを使ったことで、もしこれで倒せなかったときを想像すると、すごく損した気分になるだろうなあ、、、と思いました。キングを倒せなかったときは何も残りません。

ですが一旦立ち止まって考えてみると、「これって本当はサンクコスト（埋没費用）で、分けて考えないといけないよなあ」と思いました。

• 埋没費用 - Wikipedia

でもこれはゲームなので、サンクコストを意識する必要があるかは人それぞれですけどね。「ひゃー、損しちゃうー！」って感情もゲーム要素として楽しんじゃえばそれまでですし。

そして課金ユーザーへ

これまで課金しないユーザーとしてやってきましたが、ああこれが課金どきかーと思ったので、体力回復アイテムを購入し、キングを倒すことができました。たいしたカードを手に入れることはできませんでしたが、なぜだかホッとしました。

人は得るものよりも失うものへの執着が強いので、この手法は課金への動線としてとてもうまいと思いました。他にもいろいろと課金したくなる要素はあると思いますが、きっとどれもうまくできているのだろうなあ…。

GREEの探検ドリランドで強烈なサンクコスト体験をした is a post from: akiyan.com

デスクトップ(Mac OSX)用のTwitterクライアントとしてEchofonを使っています。OSXではアプリケーションの切り替えにCmd+Tabを使うことが多いのですが、EchofonはタイムラインとMentionは切り替えて表示するタイプのクライアントなので、Mentionが来たときはマウスで「＠」アイコンをクリックしていました。

そこでふと、タイムラインとMentionの切り替えって、もしかしてキーボードショートカットでできるかも、、、と思って、Echofonがアクティブになった状態で試しにCTRL+Tabを押してみたら、なんと切り替わりました。

アイコンごとに表示が切り替わるので、DMや検索も選択できます。逆順で切り替えたいときはShift+CTRL+Tabでいけます。

Echofonをお使いの方は覚えておくとよいですよ！

Echofon
カテゴリ: ソーシャルネットワーキング
価格: ￥850

追記：Cmd+[ or Cmd+]でも切り替え可能

CTRL+Tab以外にも、Cmd+[ と Cmd+] で切り替えが可能だということを@fum1h1roが教えてくれました。ありがとうございます！

デスクトップ版Echofonのタブは「CTRL+Tab」で切り替えられる is a post from: akiyan.com

電子書籍は紙の本より高くても買いたい

「とある本の電子書籍版の価格が、紙の本と同じでありえない」といった意見を時々耳にすることがあります。

でも、僕としては同じ価格でも全然オッケーですし、むしろ少し高くてもいいと思います。もちろん安いに越したことはないですけど、だって、電子書籍のほうがメリットが大きいから。

あくまで僕にとってですけど、電子書籍で読みたい本はほとんどの場合、内容が目的なので、極端な話、読めればいいのです。

であれば、一度に何冊も持ち運びできて、しおりが勝手について、場所もとらない電子書籍って、紙の本に比べて付加価値つきまくりなんですよ。チョー便利。

だから、紙の本と同額でも高くても、紙より便利だからいいじゃんって思います。

「原価が紙よりかからないはずなのに、安くしないなんて…！」

って思う気持ちもわかりますけど、本の原価なんて、あって無いようなものじゃないですかねえ。ソフト(ウェア)だし。

「電子書籍は、紙の本より安くて当然！」と思う心理って、ひょっとしてすごーく「紙でできている本」に価値があると思っているからこそなのかもしれません。想像するに、紙の本は本棚に置ける、手に取れる重みのあるモノだから、価値があるんだと思うのかもしれません。電子書籍に感じるメリットと真逆ですね。

同額なら悩まないライン

もちろん希望としては電子書籍側は同額かそれ以下がよいです。あくまで内容にお金を払いたいので、価格が違うと利便性と価格を天秤にかけなくてはいけないので、悩んでしまいます。なので、同額以下なら好きな方を選べるかなと。

ただ、内容重視だけど紙の本のほうに利便性を感じる人は、感じ方が逆になってしまいますね。となると、感情的には同額がイーブンですかねえ。なんだかんだいっても結局は、価格決定側の思惑として、将来利益を最大化させようとする価格でそれぞれ決定されちゃうんですけどね。

余談：ストリーミング動画は原価的に高価

有料動画配信サイトなどでは、ダウンロードコンテンツとストリーミングコンテンツの両方を扱っていて、ダウンロードコンテンツのほうが高い価格だったりします。ストリーミングはレンタルで、ダウンロードはパッケージ購入みたいなもの、という位置づけだと思います。（DRMや視聴期間の兼ね合いで価格が決まっている場合もあります）

でも、利便性でいったらすぐ見られるストリーミングのほうがよくて、さらにいうと、ストリーミングは原価的にもダウンロードより高価な場合があります。なぜかというと、ダウンロードはちょっとくらい回線が遅くなっても待てばいいので大丈夫ですが、ストリーミングは確実に回線を確保しておかないといけないので、専用線の固定費がかかりがちです。なので、本来的には、ストリーミングのほうが高くてもいいくらいです。

それはそうと、kindleの日本展開、本当だったら嬉しいなあ。

電子書籍は紙の本より高くたっていい is a post from: akiyan.com