連日Twitterでは #librahack ハッシュが大盛況だが、個人的には事実関係でよく分からないことも多く明白にしたいことではあったので、直接愛知県警に電話して事情を聞いてみました。岡崎署ではなく愛知県警なのは、そちらが事件捜査の主体的な役割を担っただろうと判断したからです。

対応して頂いたのは生活経済課の方。お名前は出しません。愛知県警ではこの課がサイバー犯罪を担当しているそうです。
担当して頂いた方は割と若めで理路整然と話したいクールなタイプ。多少警戒されて話されていたのが印象によく残っています。
ネットでもこの聞き取り結果を公表したいともお話ししましたが、「あくまであなた個人に対して個人としてご回答しただけでそれ以上でもそれ以下でもない。これはあくまで一般論としてのお話しです(注: 個別事案について漏らしたわけではない、という意味かな？)。話した事実関係をお話し頂くことはあなたの責任範疇の話で別に問題ない。但しそれを元に『じゃあこういう抜け穴もあるのでは』と書いたらそれは教唆ですから」とも忠告してくれました。そのつもりでお読み下さい。
フレンドリーとは言いませんが(住所・氏名も聞かれたし(笑) 単に記録かも知れないけど一種のプレッシャーでもあるのかも知れないですね)、誠実に対応して頂けたと思います。ありがとうございました。

聞き取った事実関係のみ羅列します。

• 警察の考え方として、立件したのは事実として岡崎市立中央図書館のWEBサイトがその行為により閲覧不能に陥り他の利用者が利用できない状態に陥っているから。警察は常に被害者の立場での問題に対処している
• (クロールという行為自体は世間ではよくあるプログラムでありまた作成者の立場からはどのような被害が出ているのか分からない、との質問に対して) それはネットに詳しい方の一方的な見解に過ぎない。ぜひ図書館側の立場で考えて欲しい。不用意にプログラムを走らされて利用が不可能になった図書館側としては非常に困る事態に陥っている。作成者側の事情や立場に立つのではなく、警察は被害者側の立場で対応する。これはネット上でどうというよりも、実際に現実世界で被害を受けた方々がいることが重要視される
• そもそも図書館側は大量のアクセスを想定してサービスしていない。そこにこのようなプログラムを走らせて機能不全に陥らせたことが重視されるべきである。そういう利用をしたいのであれば、まず図書館側に電話やメールで連絡して了解を取り付けるべきであった
• (“故意”をどのように認定したかについて) 捜査上の秘密なので言えない。
• (検察の起訴判断も終わり事件としては終結したのでは、という質問に対して) 明白な故意という判定は難しいはずだ。それは心の中で本当は何を考えいていたかはその人にしか分からない。我々は周辺の様々な状況から判断する。そして例えば裁判で様々な証拠から裁判官の心証として故意は認定される。また偽計業務妨害罪の法文上は故意が必要とは書かれていない。我々は法文でどうなのかを重視して判断する。(判例上は？という質問に対して) それはそちらで勝手に調べて下さい。もちろん判例も考慮する。
• ストーカー規制法違反事案を想像して欲しい。加害者にどのような意図があろうとも被害者を守らなければならない。それと同じように警察は被害者をまず一番に考えて動く。
• (『基本的な考え方はわかった。しかし個人意見として、インターネットでは例えばWEBサイトは常にオープンな接続が前提とされており、今回もスタートは全く同じだ。しかし逮捕に至った。例えば道行く人を阻んでいきなり迷惑をかけたのとは異なる』との問いに対して) おっしゃる意味は理解するが実際に被害者が出ていることが重要だ。そういうプログラムが作れるから実行できたから相手の迷惑が関係ないとはならない。
• (果たしてどこからが問題なるかわからないのは大変に不安だ、との問いに対して)例えば30000回のアクセスは駄目だったから、では29999回ならいいのかとはならない。0か1かで判断しているわけではない。被害者のいる事案であり様々な状況を考慮して対応している。

以上でしょうか。
恐らくは別に捜査機関全体の意見を代表しているわけではないことに注意。但し現場ではどのような考え方で発想されているのかの参考にはなるかと思います。
僕は果たして警察はどのような発想・考え方で動いていたかに興味があったのと、事件の捜査過程については「関係者からの問い合わせではないので」と拒否されたので、不満の残る箇所もあろうかと思います。
特に「故意」の部分については突っ込んで聞きたかったのですが、具体的な過程は明白に出来ないのでしょう、はぐらかされた感はあります。

最後に、もし似たようなプログラムを予定していて不安があるのなら、警視庁のサイバー犯罪担当へ問い合わせて確認した方がよいとアドバイスがありました。愛知県警を含め各県警が警視庁の判断や事例に従うから、とのことです。県警として答えられるのはこれまで担当した事案に対して同じ状況であれば逮捕します、としか答えられないとのこと。

ここではまずは聞き取り結果としてのみ公表するにとどめます。
何かの参考になれば幸いです。

また高木さんが恐ろしい記事を上げている。
これまでも日本のケータイWEBの問題点は様々な人に数々挙げられてきたが、この記事の指摘は中でも最大のターニングポイントになるだろう。
ここまで破綻しているケータイID認証（簡単ログイン）
実はこの記事での指摘点には個人的にも言及したい点があるのだけど、ちょっと理由があるのでそれはまた後日にしたい。それは恐らくこの記事だけから受ける印象よりも実はこの問題はひどく根が深く影響は幅広いということだ。

日本のケータイWEBの有様は特徴的だ。特に技術的な立脚点によるものが大きいと思うが、それが「ガラパゴス」と呼ばれるゆえんであることはまず間違いない。特異な技術立脚点が海外や他キャリアとの互換性を蔑ろにし、独自な進化をせざるを得なかった(独自に進化したのではなく、せざるを得なかった点に注意)ということだ。

ではその「技術立脚点」とは何か。
僕は個人的には「パブリックなインターネットをインフラにしてクローズドなケータイ・ネットワークを作り上げること」を主眼にした点だと考えている。
以前モバツイで有名なえふしんさんがこんなことを言っていた。

http://twitter.com/fshin2000/status/9612891626
もろもろセキュリティのことまで考えると、携帯サイトはガラパゴス（国内で閉じてる）の方が良いんじゃないかなぁ。

個人的にも以前から感じていたことでほぼ同意である。
というか、そもそもケータイWEBネットワークはもともとここまでの興隆を予想して組み立てられていないのだと推察する。

以前挙げた日本のケータイWEB(モバイルEC)を脆弱に支えている三原則を再掲する。

(1) そのアクセスがそのキャリアの携帯網からのみであることをサービスプロバイダーが保証すること
(2) 携帯網では端末IDが偽装されていないことをキャリアが保証すること
(3) 端末の自由度を低くして端末IDの偽装などの可能性をできるだけ低く保つこと

これはつまり大前提として、ユーザーがこのケータイWEBに介入できるのはケータイ端末の「操作」までであって、自由な端末やアプリをケータイネットワークに接続することは想定していないということだ。
これは恐らくこういう事だったのではないだろうか。
そもそも一番最初にケータイWEBを企画する際にインターネットへの接続を行うことは当然MUSTだった。つまりインフラとしてはインターネットをそのまま利用すると言うことだ。またサービスプロバイダーを引きつけるためにはお金を生む仕組みを用意しなければならない。契約者固有IDのような課金通知の仕組みは必須である。
しかし当時セキュリティという観点ではPKIなどの完全なセキュリティ手法の導入には手間もかかり端末の性能も限られている。しかし何も行わなければインターネットという性質からはなりすましや情報漏洩はほぼ防げない。
そこで「簡単に」ケータイ側を「セキュアに」保つために先の三原則が考え出された。
つまり契約者固有IDを守るために「端末」「回線」「データ」をインターネット上からできるだけ切り離しその中にもう1つの「クローズド・ケータイネットワーク」とすることでこれら情報を守ろうという試みである。
IPアドレスでの制御であったり端末への独自アプリの禁止などといった稚拙な方法であり全くレベルは異なるが、「安直なVPN」とでも思えばいいのかも知れない。
当時今ほど日本は垂直統合モデルは強くなかったと記憶しているが、そのために端末仕様を強制したり一部のサービスプロバイダーを公式サイトと認めて契約者固有IDの取り扱いをキャリア支配に置くなど、必然的に垂直統合モデルが必然となった。

どうだろう。これは想像でしかない。しかし一定の説得力のある仮説にもなっていないだろうか。

しかし当然時代が変われば状況も変わる。高木氏が指摘したポイントも当時は想定されなかった技術的な変化故だし、またSIMフリー化の流れも微妙なプレッシャーを与えつつあるかも知れない。
ケータイWEBが変わったのではない。周りの環境が変わったのだ。一理ではだからこそケータイWEBはこのままでは変化は起こせないだろうとの諦めもある。一方で、まず間違いなくいつの日にか莫大な被害を及ぼしながら日本のケータイWEBビジネスが信用崩壊する危険性は日に日に高まっているとも言える。

だからこそえふしんさんの主張も説得力を持つことにもなる。
では現状ケータイWEBはどうあるべきなのか。
まず第一に契約者固有IDの送出先は各キャリアの認める公式サイトだけにすること。勝手サイト、すなわち「クローズド・ネットワーク」以外への送出は一切禁止とする。契約者固有IDのような「インターネット標準」ではないID送出を勝手サイトなど公式サイト以外に送出してはならない。
次に公式サイトはキャリアネットワーク(ゲートウェイ)とVPNなどのインターネット標準のセキュアな接続を行うことを必須とする。そしてこの場合のみ契約者固有IDを送出することにする。これは通信を秘匿する/通信先を限定するという意味もあるが契約者固有IDの送信先を各キャリアと限定的な「クローズド・ネットワーク」に閉じ込めてしまうという意味もある。これにより現行のあいまいなクローズド・ネットワークよりもより強固なクローズド・ネットワーク化により契約者固有IDは守られることになる。
第三に公式サイトはキャリアネットワークのVPN接続以外からの接続を受け付けてはならない。つまり通信は完全にクローズド・ネットワーク内に閉じ込めるようにする。
これらより詐称や偽装という問題は(データや処理を正しく取り扱える限り)ほぼ回避できるはずだ。

しかしこのままでは今より使い勝手が落ちユーザークレームももちろん増えるだろう。上記は現状の「ガラケー機」つまり契約者固有ID送出可能な従来の端末または携帯網用のアクセスポイント接続時に限ることにする。上記はすべてネットワークサイドのポリシー変更で可能なのでこれまでの端末はそのまま使用可能だ。
一方でスマートフォンに代表される、契約者固有IDに頼らない新しい認証や課金方式にWEB標準として対応可能な端末とアクセスポイントへの接続を共存させる。こちらは接続先には制限は設けなくてよい。何故なら純粋なインターネット利用端末に過ぎないからだ。そして時間をかけてこちらの方式への移行を促すことにする。

二方式を併存することは新方式への移行を促す期間のモラトリアムであると同時に、 自由競争を作り出す規範ともなるだろう。また明確なクローズド・ネットワークと位置付けることで、例えば未成年者用の端末はクローズド・ネットワーク対応のみとすることで例えば公式サイトしか接続できないような「キッズ・ケータイ」も可能になるかも知れない。

—

さて、これらのことは絵空事だろうか。全くの杞憂に過ぎないフィクションですむ話だろうか。
その答えは高木氏の指摘の行間に実は潜んでいると思っているが、その話はまた後日・・・(にできるといいなぁ。。)