IT

今朝からrNoteが動かなくなって慌てたが、調べたところphpがyumで自動アップデートされてしまったので、またしてもマルチバイト文字拡張機能が無効になってしまっていたが為だと判明。

再びソースからbuildしたディレクトリでinstallしなおす事で復旧。で、今後は自動アップデートで更新されないよう、/etc/yum.conf に “exclude=php”* を追加。

発表当初Palladiumというコードネーム呼ばれていたNGSCBはNext Generation Secure Computing Baseという名前が示す通り、コンピュータ環境のセキュリティを根本から高める戦略的な施策の一つ。

2003年秋にMicrosoftがLonghornで実装すると打ち上げた後音沙汰がなく、一時期は頓挫したのでは？と噂されていたが、今年になってIntelから「Vanderpool」の予備技術仕様が公開され、続いてAMDから「Pacifica」がアナウンスした事でようやく光が射した印象がある。

NGSCBはインターネットやWeb、DVDのようにドラスティックに目新しいものではないが、セキュリティ問題に対して後手後手にならざるを得ない現状を打開する為には避けて通れない道だ。NGSCBで全てが解決するわけではないが、先般Appleが来年からIntelプラットフォームに移行する事を決めた裏にNGSCBに沿ったセキュリティ技術が鍵を握っていたと言われている事も、まんざら根も葉もない憶測とも思えない。

複数のOSが実行できると言われても多くの人にはピンと来ないだろうが、次世代のLonghorn上で現行のWindows XPが動くというのは、新しいプラットフォームへの移行を加速するのに大きく役立つハズだ。

実際にLonghornが市場に出るのは早くて2006年末。我々の手が届くところまで落ちてくるのは2008年になるかなぁ。この年末には64bitsマシンを作ろうかと思っていたんだが….

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

AMDがPacificaの仕様を公開 Longhornに向けIntelに一歩先行 2005年7月1日

＠IT http://www.atmarkit.co.jp/

次世代のセキュリティ・プラットフォームが分かるキーワード 2003年11月11日
Intelの仮想化技術「Vanderpool Technology」とは 2005年3月5日

ITmedia http://www.itmedia.co.jp/

マイクロソフト、 Longhornへの新セキュリティ技術「NGSCB」実装を計画 2004年9月9日
MS、セキュリティ技術「NGSCB」を修正へ 2004年5月6日
Intel、仮想化技術Vanderpoolの予備技術仕様公開 2005年1月21日
NGSCBについて沈黙するMicrosoft――同技術への疑念も 2005年2月25日
MSのセキュリティ計画「NGSCB」は大部分が延期 2005年4月26日
XPを追い越し、Tigerに迫るLonghorn 2005年6月7日
AppleがIntelに乗り換えた最大の理由は？ 2005年6月20日

価格比較サイトの草分け価格.comが5月中旬からWebサイトへの不正アクセスにより改ざんを受け、10日間ものサービス停止と2万件超のメールアドレスが漏洩した重大事件のまとめ。

当事者のカカクコムが、あくまでも自社は被害者であり悪いのは侵入者。よってユーザーの個人情報が流出しても補償しないとしたサイバーノーガード戦法を、誰が呼んだかカカクメソッド。

やはり、発生当初から指摘されていた「SQLインジェクション」と呼ばれる攻撃手法だったらしいが、少なくとも穴があった事は認識していたんじゃないかなぁ。

参照

はてなダイアリー http://d.hatena.ne.jp/

日経IT Pro http://itpro.nikkeibp.co.jp/

【速報】価格.comがハッキングで閉鎖、閲覧者にウイルス感染の可能性も 2005年5月16日
【緊急連載　今本当に必要なセキュリティ対策】（1）カカクコムが浮き彫りにした商用Webサイトの油断 2005年6月10日
アデコの不正アクセス，SQLインジェクションで約6万人の個人情報が流出 2005年6月29日
【緊急インタビュー】SQLインジェクション攻撃に気づかない企業は山のようにある 2005年7月6日
「価格.com」不正アクセス犯の一人？警視庁が容疑者を逮捕 2005年7月6日
SQLインジェクションに気をつけろ 2005年7月6日

7時55分に大雨警報が出された福岡。9時頃には40mm/h前後の激しい雷雨に見舞われ、瞬停の恐怖にドキドキしながらもPCを立ち上げる。

こないだ作ったRSS生成スクリプトを元に、肝心要のHTMLコンテンツをXHTML化するawkスクリプトを作成。これで取り敢えず一語一絵の3年半分がごっそり移行できそうな手応えを掴んだ。

最後にrNoteの設定を煮詰めていっているのだが、まだうまくいかない….

/etc/selinux/targeted/src/policy/domains/program/apache.teの追加差分。

allow httpd_suexec_t user_home_dir_t:dir search;
allow httpd_suexec_t user_home_t:dir { add_name remove_name getattr search write };
allow httpd_suexec_t user_home_t:file { execute execute_no_trans getattr ioctl read rename append create unlink write };
allow httpd_suexec_t user_home_t:lnk_file getattr;
allow httpd_suexec_t tmpfs_t:dir search;
allow httpd_suexec_t lib_t:file execute;
allow httpd_sys_script_t tmpfs_t:dir search;
allow httpd_sys_script_t devpts_t:chr_file { read write };
allow httpd_sys_script_t httpd_sys_script_exec_t:dir { read add_name remove_name write };
allow httpd_sys_script_t httpd_sys_script_exec_t:file { create unlink write };
allow httpd_sys_script_t httpd_sys_script_exec_t:lnk_file read;
allow httpd_sys_script_t var_t:dir { add_name remove_name write };
allow httpd_sys_script_t var_t:fifo_file write;
allow httpd_sys_script_t var_t:file { create execute execute_no_trans getattr link read unlink write };
allow httpd_t httpd_sys_script_exec_t:lnk_file read;
allow httpd_t user_home_t:dir { getattr search read add_name remove_name write };
allow httpd_t user_home_t:file { getattr read write lock unlink create setattr };
allow httpd_t user_home_t:lnk_file { getattr read };
allow httpd_t httpd_config_t:dir write;
allow httpd_t httpd_modules_t:file execmod;
allow httpd_t lib_t:file execute;

一時的に visa.co.jp ドメインが第三者によって「合法的に」乗っ取り可能な状態にあったという「事件」。

要は外部サービスとしてDNSを委託していた先がいつの間にかドメインを手放していた為に、そのドメインを取得する事によって visa.co.jp ドメインへのアクセスを誘導できてしまう危険性があったのだ。

有識者の間では「たら、れば」の笑い話にしか成り得なかった初歩的なミスだが、高度な信頼が売りであるはずのVISAという企業がやらかした「まさか」のショックは大きい。

話は変ってRealPlayerのセキュリティアップデートも出ているので、アップデートしよう。

参照

DNS 入門 http://moin.qmail.jp/ (前野先生とこ)

visa.co.jp 事件 http://moin.qmail.jp/visa_2eco_2ejp_20_bb_f6_b7_ef

e-ontap.com http://www.e-ontap.com/

VISAドメイン問題解説 http://www.e-ontap.com/summary/

JPCERT/CC http://www.jpcert.or.jp/

DNS サーバの設定とドメイン名の登録に関する注意喚起 2005年6月29日

real.com http://service.jp.real.com/

RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース 2005年6月23日

これまでMicrosoft Officeの修正プログラムはWindows Updateとは別のOffice Updateのサービスを利用しなければならなかったが、その２つを統合したMicrosoft Updateがサービスを開始した。

TechNetのドキュメントを読むと

[ようこそ Microsoft Update へ] ページを開くためには、ActiveX コントロールを使用し、Microsoft Update ソフトウェアをインストールする必要があります。

と書かれているのでFirefoxではやはり無理。この時くらいは大人しくInternet Explorerの世話になろう。今後は月例のアップデートでもMicrosoft Updateサービスを利用する事が推奨されるので、事前にMicrosoft Updateにアクセスして必要なActiveX コントロールをインストールしておいた方が良いだろう。

そういえば出張中でケアしていなかったが、「6月のセキュリティ情報」は「リモートから攻撃コードが実行される」深刻なものを含む10件が15日にアナウンスされている。もし適用していない人がいたら速やかにMicrosoft Updateしましょう。

参照

マイクロソフトTechNet http://www.microsoft.com/japan/technet/

Microsoft Update http://update.microsoft.com/microsoftupdate

となるとコンテンツ管理ツールでも動かしてみようかと色気を出してしまうのは自然な事だ。

rNoteをダウンロードしてひとまずプライベートフォルダに展開し、Webブラウザでアクセスしたところ反応が無い。/var/log/httpd/error_log をチェックしたら

PHP Fatal error:	Call to undefined function:	mb_http_output()

というエラーが出ていた。PHPは 4.3.11 を導入していたのだが、入れただけで動作実績はまだ無い。調べてみると、Red Hat Linux 8/9のRPMではPHPのマルチバイト文字拡張機能が無効となっているらしい。がび〜ん。

というわけで、止む無くソースからbuildする事に。

$ wget http://jp.php.net/get/php-4.3.11.tar.bz2/from/this/mirror
$ bunzip2 -dc php-4.3.11.tar.bz2 | tar xlv
$ cd php-4.3.11

と展開までしたとこでconfigureのオプションを調べていると、apache拡張ライブラリの**–with-apxs2**が要りそうなのだが、apache拡張ツールのapxsがインストールされて無い。httpd-develに入ってるそうなので、インストールメディアからインストールして準備OK。

$ ./configure --enable-memory-limit --enable-inline-optimization --enable-mbstring --enable-zend-multibyte --with-mysql --enable-mbstr-enc-trans --enable-mbregex --with-config-file-path=/usr/local/apache/conf/php --with-apxs2=/usr/sbin/apxs
$ make
$ sudo make install

てな感じでbuildしてapacheを再起動。

すると、

httpd を起動中: Syntax error on line 838 of /etc/httpd/conf/httpd.conf:
Cannot load /usr/lib/httpd/modules/libphp4.so into server: /usr/lib/httpd/modules/libphp4.so: cannot restore segment prot after reloc: Permission denied

と出たので、取り敢えずおまじない気分で

ブログ系のコンテンツ管理ツールは使っていないのだが、HTMLから力業でRSS(RDF Site Summary)を生成する。

html2rss1.awkというawkスクリプトを作ってみた

#!/usr/local/bin/gawk -f
# html2rss1.awk:
BEGIN  {
  reg_date="[ 0-9]*月[ 0-9]*日";
  y = 2005;
  base_url="http://www.bravotouring.com/~yano/";
  link_url=base_url;
}
END  { print "</rdf:RDF>"; }
/<!--/,/-->/			{
  next
}
$0 ~ reg_date {
  pos = match($0, reg_date);
  str_hiduke = substr($0, pos, RLENGTH);
  pos = match(str_hiduke, /[0-9]*月/);
  m = substr(str_hiduke, pos, RLENGTH-2);
  pos = match(str_hiduke, /[0-9]*日/);
  d = substr(str_hiduke, pos, RLENGTH-2);
  str_date = sprintf("%04d-%02d-%02d", y, m, d);
}
/SubTitle/  {
  pos = match($0, "<SPAN CLASS=\"SubTitle\">.*<BR>");
  str_title = substr($0, pos, RLENGTH);
  gsub(/<[^>]*>/, "", str_title);
  pos = match($0, "<BR>");
  str_desc = substr($0, pos+4);
  gsub(/<[^>]*>/, "", str_desc);
  printf "\t<item rdf:about=\"%s\">\n", base_url;
  printf "\t\t<dc:date>%s</dc:date>\n", str_date;
  printf "\t\t<title>%s %s</title>\n", str_hiduke, str_title;
  printf "\t\t<link>%s</link>\n", link_url;
  printf "\t\t<description>%s</description>\n", str_desc;
  print  "\t</item>";
}

個別記事に直接ジャンプさせる事はできないが、結構イイ感じ。

いつものように土曜出勤して17時半まで仕事。京急の快特に1時間程揺られて羽田へ移動し、贔屓のスカイマークエアライン最終便で帰投。帰りもシグナスクラスにしておいたのだが、機材変更で普通席になっちゃったのは誤算だった。しかしシグナスクラスの4,000円の料金設定はクラスJに比べるとちょっと高いな。

3週間ぶりにPCを立ち上げたらウチのサーバーにすら繋がらない状態。pingは通るのでTCP/IPが腐っちゃったみたいで、なんてこったいな気配。昨夜遅くまでネットワーク関係のデバイスをインストールしなおしたりしたものの一向に状況は改善されなかった。というわけで今朝からWindows XP SP2をクリーンインストールで半日を潰す。

夕方からはマサオ氏と独立愚連隊戦略会議。