IT

北陸先端科学技術大学院大学の篠田陽一教授による意見書に関するINTERNET Watchの解説記事。

要点は以下のとおり。

通常はIDとパスワードを必要とするFTPによってアクセスしているファイルに対して、元研究員はHTTPを利用してアクセス制御を回避することでファイルを閲覧したという検察側の指摘について、提供しているサービスが異なる以上は別個のものであると考えるべきだと述べた。

ロードバランサによる分散構成や、クラスタリング、グリッドコンピューティングなどの技術トレンドを考えると『特定電子計算機』を物理的な構成に結び付けることは確かにナンセンスで、正論。

本件CGIについてはIDやパスワードは使われておらず、アクセス制御を目的としたものではないとした。

これも当たり前。

「HTMLの仕様書に付随するFAQでも、フォームについてはユーザーが改変できるものであり注意せよと記述されており、技術者の立場から言えば改変してはいけないとは考えない」と述べた。

総じて非常に理解し易く、また共感できる見解だ。

そもそもが「管理者が想定していないアクセス」をすべからく不正アクセスと主張する検察側のスタンスがおかしい。認識・予見していない欠陥を突かれたような場合はともかく、可能な防御策を怠った管理者側の責任を問われるべきだろう。と、自分も肝に命じておきたい。

参照

INTERNET Watch http://internet.watch.impress.co.jp/

住基ネット侵入実験の講演を断念したSecurityLabのCTO、総務省を訴える 2004年11月22日
ACCS裁判、弁護側は不正アクセス禁止法の技術的解釈について意見書を提出 2004年11月22日

ITmedia http://www.itmedia.co.jp/

住基ネット侵入実験の発表中止問題、専門家が総務省を提訴 2004年11月22日
ACCS裁判、弁護側は「特定電子計算機」の定義を問い直す 2004年11月22日

サブドメインは使わないので、TXTレコードもbravotouring.comだけでいいはず。というわけでSPF対応のtinydns用dataファイル最終版。

# SOA/NS/A
.bravotouring.com:210.xxx.yyy.zzz:ns1.bravotouring.com:86400
# SOA/NS
.bravotouring.com:210.xxx.yyy.zzz:ns2.bravotouring.com:86400
# MX/A
@bravotouring.com::bunny.e-globaledge.com:10:86400
@bravotouring.com:210.xxx.yyy.zzz:mail.bravotouring.com:20:86400
# A
+bravotouring.com:210.xxx.yyy.zzz:86400
+www.bravotouring.com:210.xxx.yyy.zzz:86400
# TXT
'bravotouring.com:v=spf1 a -all:3600
'bravotouring.com:Powered by djbdns - http072円//cr.yp.to/djbdns.html

17日付けでLinux2.4系kernelの 2.4.28 がリリースされた。何が改修・変更されたのかは把握していないが、取り敢えずいつものように2.4.28をビルド。

$ snarf ftp://ftp.ring.gr.jp/archives/linux/kernel.org/kernel/v2.4/linux-2.4.28.tar.bz2
	
$ bunzip2 -dc linux-2.4.28.tar.bz2 | tar xvf -
	
$ cp linux-2.4.27/.config linux-2.4.28
	
$ cd linux-2.4.28
	
$ make menuconfig
	
$ make dep clean
	
$ make **bzImage**
	
$ make modules
	
$ sudo make modules_install
	
$ sudo mv arch/i386/boot/bzImage /boot/vmlinuz-2.4.28
	
$ sudo mv System.map /boot/System.map-2.4.28
	
$ sudo /sbin/mkinitrd /boot/initrd-2.4.28.img 2.4.28

参照

日本の Linux 情報 http://www.linux.or.jp/

The Linux Kernel Archives http://kernel.org/

Ring ftp mirror ftp://ftp.ring.gr.jp/archives/linux/kernel.org/kernel/v2.4/
asahi-net http mirror http://www.asahi-net.lkams.kernel.org/pub/linux/kernel/v2.4/

相変わらずSender IDはゴタゴタして収束の気配を見せないが、「どうなる？メールの送信者認証」で

IIJの山本氏も「送信者認証は“第一歩”に過ぎない」と強調する。以前，IT Proでは米MX Logicのリリースに基づいた「スパマーの16％がメール認証技術『SPF』を利用している」というニュースを公開した。例えば，これをもって「SPFは迷惑メール対策にならない」とするのは早計すぎる。「SPFを使うようになれば，MAIL FROMで嘘をつけなくなる。つまり，MAIL FROMの情報を使って，受信者側ではフィルタリングといった対策を施せるようになる。そのことに意味があるのだ」（山本氏）

と書かれているように、SPFだけでも対応が進んでいるらしい。

というわけで取り敢えずSPFに対応って事でtinydnsに追加したTXTレコード。

'bravotouring.com:v=spf1 a -all:3600
'f103adsl181.coara.or.jp:v=spf1 a -all:3600
'mail.bravotouring.com:v=spf1 a -all:3600

これで＠bravotouring.comの詐称が減り、バウンスメールも減ったら嬉しいなぁ。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

Sender Policy Frameworkはスパムには効かないものの，フィッシングには有効 2004年9月1日
スパマーの16％がメール認証技術『SPF』を利用している 2004年9月10日
どうなる？メールの送信者認証 2004年11月16日

Sender Policy Framework http://spf.pobox.com/

qmail SPF (Sender Policy Framework) patch http://www.saout.de/misc/spf/

Yahoo!ウォレットの登録情報に関して、以下のように再確認を呼びかけるフィッシングメールが報告されている。

いつもYahoo! JAPANをご利用いただきありがとうございます。
このたび、お客様がご利用のYahoo! JAPAN 有料コンテンツのご利用を停止させていただきましたことをご連絡いたします。
（中略）
お客様のYahoo!ウォレットご登録内容の変更については、以下の確認画面右側に表示されます「お支払い情報の変更」をクリックして表示される画面よりお手続きいただけます。

このメールに引っかかると偽装したWebサイトに誘導され、Yahoo!のID,パスワード,暗証番号だけでなく、クレジットカードの会員番号,有効期限,名義,裏面の番号などを騙し取られるそうだ。

この偽装したWebサイトは、アドレスバーが Yahoo! Mail のままの一方でステータスバーは全然関係無いURLになっていたり、SSLを謳っているのに鍵マークも表示されないという事で、注意深く見ると怪しさ炸裂だそうだが、くれぐれも「うっかり八兵衛」にならないよう注意しよう。

今回の件とは直接関係無いが、Yahoo!メールでは以前からログインページで偽装メールの注意を促している。しかし**「重要なお知らせ」**をスクロールしないと読めないところに書いている時点で事の深刻さが理解できていないらしい。

個人的にもYahoo!はサービスの魅力よりも諸々のリスクの方が大きいと思って全く利用していないのだが、やっぱりYahoo!まだまだだと言えよう。

参照

セキュリティホール memo ML アーカイブ http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/memo/

[memo:7884] Yahoo!を装った日本語フィッシングメール 2004年11月15日

Yahoo!メール http://mail.yahoo.co.jp/

昨年長野県で実施された住基ネット侵入実験報告がpacsec.jpで予定されていたのだが、総務省市町村課の**強い「要請」**でカンファレンスが中止に追い込まれたそうだ….。

総務省もよっぽど痛いところ(プレゼンのPPを見る限り「責任云々」というところか？)を突かれていたのかもしれないが、あっさり御上に臥して中止したオーガナイザーのSIDCには猛省を促したい。

余談：ＣＭカット機能が著作権法違反の可能性というコメントははっきり言って横暴。送出機が自動的に挿む作業にTV局の著作的創意工夫があるとはとても思えん。時間枠まるごとで一つの作品だと言うなら、プロ野球もプレイボールからゲームセットまで完全中継してくださいな。巻き戻して観たいCMだってある。観る/観ない、録る/録らないは視聴者に任せろ。

参照

pacsec.jp/core04 http://pacsec.jp/

ヌーワー氏のWebサイト http://www.ejovi.net/

プレゼン用PP http://www.ejovi.net/JUKI_JPN.ppt

セキュリティホール memo ML アーカイブ http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/memo/

[memo:7883] Ejovi Nuwere 氏発表中止関連 2004年11月13日

MSN-Mainichi INTERACTIVE http://www.mainichi-msn.co.jp/

住基ネット：講演中止　後援の総務省が注文付け 2004年11月12日

asahi.com http://www.asahi.com/

住基ネット侵入実験者の発表が中止に　総務省が難色 2004年11月12日
ＣＭカット機能「著作権法違反も」　日枝・民放連会長 2004年11月12日

ITmedia http://www.itmedia.co.jp/

PacSec.JP開催、Googleハッキングに対処するには自ら検査を 2004年11月12日

が解説されている。なるほどGoogle ツールバーとかがインストールされていたらズレちゃうんだな。という事はInternet Explorerでは「アドレスバーを固定する」のチェックを外して移動しとけば気がつくという事でもある。

またFirefoxのプレビュー版にも脆弱性が見つかっているので、とっとと正式版にアップデートしよう。

参照

ITmedia http://www.itmedia.co.jp/

目で見る「アドレスバー偽造型」フィッシング詐欺の手法 2004年11月11日
Firefoxプレビュー版に脆弱性、1.0へアップデート推奨 2004年11月11日

Firefox http://www.mozilla-japan.org/products/firefox/

下記のようなVISAを偽った日本語フィッシングメールが出回り始めたそうなので注意されたい。

VISA カードをお持ちのお客様は自動的に VISA 認証サービスプログラム** にご加入いただいております。 VISA 認証サービスでは、お客様の個人パスワードでお持ちの VISA カードのセキュリティを強化します。オンラインストアでのお支払い手続きの際に、ATM で暗証番号を入力するのと同じようにパスワードを入力していただきます。これで、実際にお店でカードを使用するときと同じように、VISA カードをオンラインで安全に使用することができます。サービスの中断を避けるため、できる限り早急にカード情報を確認させていただく必要があります。たいへんお手数ですが、次のカード情報確認ページ* へのリンクをクリックしてください。 https://www.visa.co.jp/verified/

HTMLメールによってvisa.co.jpに見せかけつつ実際は違うWebサイトに誘導するのは常套手段だが、今回は漏れ伝わるところによるとJava Scriptを利用してWebブラウザのURL表示部を隠す形でアドレスを上書きしているらしく、WebブラウザでURLを確認すれば安心というわけにもいかなくなっている。

技術的には「HTMLメールを使わない」という事に限る。Outlook ExpressのユーザーはKB436787に従って**「メッセージは全てテキスト形式で読み取る」**ようにしよう。

ちなみにVISA認証サービスは自動加入では無くオンラインでの登録が必要らしい。オレオレ詐欺の展開など情報戦争の様相を呈してきているが、くれぐれも向こうから与えられた情報を鵜呑みにする事なく、自力で得た信頼できる情報を元に判断するクセをつける事が必要だ。