奈良市立図書館の機能アップとセキュリティ

2008年3月1日から奈良市立図書館のWebページから本の貸し出し予約や、自分の予約状況を確認できるようになりました。
従来は現場に行って紙に書かないとよやくできない、自分の予約状況はカウンターで聞かないとわからないといういけてない状態だったので、画期的に便利な機能アップなのですが、セキュリティ的に結構問題ありです。

問題その１：「デフォルトのパスワードが生年月日」

トップページだけからたどれる操作手順およびＱ＆Ａに記載があります。

パスワードは、元号を除いた生年月日6 桁の数字を、仮パスワードとして自
動登録しています。
○例 昭和45 年1 月1 日生まれの方は⇒450101 が、仮パスワードです。
仮パスワードでネット予約は可能ですが、万一に備えて変更をお勧めします。

うーんこれはひどい。少なくとも空メールでパスワード登録ぐらいやってほしい。手抜き杉じゃないだろうか。
そもそもこのドキュメントにページ数も目次もないのがケシカラン。

問題その２：「プロトコルがすべてHTTP」

上記のＱ＆Ａによると、

利用者と図書館の経路データは、SSL 暗号化通信を導入し個人情報を保護しています。

これはたぶんウソです(といか実装されたWebページとドキュメントのバージョンがずれているとか単純な問題かも)。どこにもSSL通信するようなページはないと思います。せめてパスワードをPOSTするところはSSLにしてはどうでしょう？

せっかく便利な機能アップしたんだからセキュリティにももうちょっと気を配ってほしいです。