IT

というわけで参考情報。

やっぱりパケ・ホーダイですか…。まぁホーダイがNTTのアイデンティティというわけですな。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

• ドコモが異例の早期会見，6月から3900円のパケット定額制 2004年3月24日
• Windows XP SP2のセキュリティ機能を解説する（上） 2004年3月24日

マイクロソフト http://www.microsoft.com/japan/

• 電子メールを経由するウイルスについての対策方法
• Microsoft Windows XP Service Pack 2 での機能の変更点

SymantecのNorton Internet SecurityとNorton AntiSpamにWebサイトやHTMLメールを閲覧する事で任意のコードを実行を許す危険性のある欠陥が公表されている。やはりHTMLメールはダメダメだ。

なおhttp://www.symantec.co.jp/region/jp/sarcj/security/content/2004.03.19.html によると

改編履歴 2004年3月23日(火) 15:22 [日本時間] 修正パッチの提供を「LiveUpdate を通じてダウンロード可能」から「開発中」に変更致しました。 2004年3月23日(火) 19:01 [日本時間] Symantec Norton Internet Security 2004/Professional for Windows の修正パッチは 2004年4月8日(木)に、 Symantec Norton AntiSpam 2004 の修正パッチは 2004年4月19日(月)に LiveUpdate を通じてご提供させて頂く予定です。

となっており、修正パッチにも問題が見つかった模様。しかし4月19日ってあまりにも遅過ぎ。

そもそもの欠陥は目をつぶるとしても、「提供中」とされたパッチのステータスを「開発中」と変更するのはもっと深刻な問題ではないだろうか。トップページに「Microsoft Outlookのアドバイザリー」はあるものの、シマンテック製品関連のアドバイザリーには一切触れられていないし、探し出した肝心のアドバイザリーに回避策の案内すら無いようでは全くもって役に立たない。

「提供中」にLiveUpdateをしたユーザーはどうすれば良いのか？ 信頼を最大の売りにしているセキュリティベンダーのSymantecとしては致命的な失態と思える。

参照

INTERNET Watch http://internet.watch.impress.co.jp/

• 京都府警、ファイル交換ソフト「Winny」ユーザー2名を逮捕 2003年11月27日
• Symantec Norton Internet Securityに任意のコードが実行できる脆弱性 2004年3月23日

Symantec Security Response http://www.symantec.co.jp/region/jp/sarcj/

• Symantec Norton Internet Security/Norton AntiSpam にリモートアクセスの脆弱性 2004年3月19日

今夜のNHKテレビ『クローズアップ現代』NO.1885は**「違法コピーがネットを駆けめぐる」と題してWinnyを例にしたファイル交換ソフト**に関する問題を取り上げていた。

Winnyは特定のサーバーではなく不特定多数のホスト(パソコン)を中継してファイルをやりとりする為、公開ファイルを持っていなくても違法ファイルを送信する事があり得る。つまり自分の意図とは無関係に不法行為に荷担する危険性があるという事である。

アングラ系ソフトや海賊版コンテンツはもとより、流出機微情報やウィルスの配布など深刻な犯罪の踏み台として利用されるケースも想像に難くない。

政府の知的財産戦略本部が映画、アニメ、ゲームソフト等のコンテンツビジネスにおける財産権の保護強化を唱え、昨秋に初の逮捕者が出たのに続いてこうしてマスメディアが大々的に取り上げるようになったという事は、**「違法ファイルの配布に関る事は犯罪である」**と言う社会的コンセンサスを形成する裏で、警察権力による摘発強化の気配をヒシヒシと感じる。

全てを解った上で使用する確信犯マニアが逮捕されるくらいなら「そらみたことか、ざまぁみろ」と高見の見物で済むのだが、無知な素人が安易に導入して犯罪に荷担する事例が増えているとなるとそうそう呑気な事を言っている場合ではない。特に無防備な企業などで社員が日常的に稼動させているとしたら摘発された時の影響は深刻になるだろう。「無知は罪」だ。

ACCSにはそれなりに期待できると思っていたのだが、INTERNET Watchの記事**『ACCSの久保田専務理事が語る個人情報流出訴訟の背景』**を読んで見識を疑い始めている。

（前編）の

ただ、そのことが、法的責任を負うほどの注意義務違反がACCSにあったことにつながるのかはわからない。**少なくとも、私はそこまでの注意義務違反はないのではないかと思ってる。**もし注意義務違反だというような認定が下って、（ACCSの被害者に対する）損害賠償が成立するというようなことになれば、ガチガチのセキュリティをかけているごく一部の上場企業以外は、どこも個人情報を扱うことが困難になるのではないかとも思う。 もちろん、法的な注意義務に違反していたことが裁判所によって評価されるのであれば、ACCSの責任は真摯に受け止める。

というコメントや、（後編）の

コストとの兼ね合いから、どこまでセキュリティをかければいいのかということを検証するには時間がかかる。訴訟の話にもつながるが、レンタルサーバー会社の管理責任がどうなるのかという問題もある。仮にレンタルサーバー会社に管理責任があるとすれば、逆に我々はレンタルサーバー会社を選ぶ際にセキュリティ面を詳細にチェックする必要が生まれる。

というコメントを読むと、事故調査報告書、およびhttp://www.askaccs.ne.jp/security_2003.htmlの「ACCSでは本報告書を真摯に受け止め…」という記述に矛盾し、甚だ無責任な印象を禁じ得ない。

18日からサービスを再開したASKACCSだが、もう質問した人はいるのだろうか？

ACCS不正アクセス事件におけるoffice氏逮捕を受けて、ヨセフアンドレオンのWebサイトhttp://www.josephandleon.co.jp/に掲載後すぐ消えた幻の声明文「officeこと、河合一穂の逮捕にあたって」(http://www.josephandleon.co.jp/seimei.html)、いつの間にか復活してる。セキュリティポリシーも風変わりだし、とにかく謎の多い会社だなぁ。

参照

INTERNET Watch http://internet.watch.impress.co.jp/

• 前編 個人情報を盗まれた人たちの不安を被告はわかっていない 2003年3月18日
• 後編 幼稚なセキュリティ研究者こそがネット社会で最も迷惑な存在 2004年3月22日

ASKACCS http://www.askaccs.ne.jp/

• ASKACCS個人情報流出事故調査委員会による『事故調査報告書』 http://www.askaccs.ne.jp/houkoku3.html
• ASKACCS個人情報流出事件についてのお詫びとご説明 http://www.askaccs.ne.jp/security_2003.html

有限会社 ヨセフアンドレオン http://www.josephandleon.co.jp/

• 声明 officeこと、河合一穂の逮捕にあたって http://www.josephandleon.co.jp/seimei.html 2004年2月4日
• セキュリティポリシー（2004年2月13日改訂）http://www.josephandleon.co.jp/staff/security/policy.html

今ではあたり前に使われるLANなんか気配すら無く、パソコン同士を接続するのはRS-232Cやプリンタポート同士をケーブルで直結するのが常套手段であった古き良き時代。1ビットずつ順番に送受信するシリアル通信よりも、多数の信号線を持つ太いケーブルで複数のビットを同時に送受信するパラレル通信の方が速いというのは誰一人として疑う事の無い常識であった。

しかし、GHzのクロックが当たり前になりつつある昨今、コンピュータ装置間の通信プロトコルにおいてシリアル通信がパラレル通信を駆逐しようとしている現状は、高速通信の主役の座が取って代わられた事を表わしている。

これはまさにプトレマイオスの天動説がコペルニクスの地動説に取って代わられたように、ほとんど神話の如く未来永劫に不変だと思われていたシリアルとパラレルの概念や価値観ですら限定的なモノでしかなかったという事だ。

手打ち神話にしてもまたしかり。**『山越』**の魔法の水で輝くうどんは機械製麺だ。ウマさの秘訣は状況に応じた塩加減、水加減。いかに名人と言えども最高のうどんを毎日大量に打ち続けることは難しい。機械に任せるところは機械に任せ、機械で最高のうどんが沢山打てるように知恵を絞る。わずかなうどんを高く売るより、ウマいうどんを多くの人に食べてもらいたい、という愛情に裏打ちされた珠玉の逸品は一歩たりとも手打ちにひけをとるモノでは無い。肝要なのは作り手の気持ちなのではないかと思う。

そういう意味でも不変的な価値は無いのかも。安易な思い込みはしないようにしないとなぁ。

参照

ITmedia http://www.itmedia.co.jp/

• パラレルからシリアルへ――なぜインタフェースは転機を迎えたのか 2004年3月18日
• 4倍速のDVD-RWディスク、低速記録ドライブには対応できず 2004年3月18日
• リコー、2層記録対応「DVD+R DL」ドライブをCeBITに参考出展 2004年3月18日
• 4倍速DVD-RWディスクに、1〜2Xドライブとの互換性問題 2004年3月18日

Winnyウィルス（通称キンタマ）によると

このワームに感染したPCはユーザー名と組織名とデスクトップ画像、デスクトップのファイルがWinnyにUPされてしまう。

そうだ。お手軽なファイル交換ソフトだけに、被害を受けた際のダメージは甚大になる。素人が安易にWinnyに手を出すのは戒めるべきだ。

Antinny.BとWinnyウィルス（通称キンタマ）が同じかどうかは諸説あり定かではない。

参照

セキュリティホール memo ML アーカイブ http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/memo/

• [memo:7373] Cookie Path Directory Traversal Vulnerability 2004年3月17日

マイクロソフト サポート http://support.microsoft.com/

• 126449:Windows のキーボード ショートカット 2001年5月21日

INTERNET Watch http://internet.watch.impress.co.jp/

• Winnyを媒介に感染を拡げる新種のウイルス「Antinny.B」が発見される 2004年3月16日

Winnyウィルス（通称キンタマ） http://myui.s53.xrea.com/kin/

昨日指摘したcookie漏洩問題の続報。

高木浩光氏の指摘[memo:7373]によるとInternet Explorerの修正版やOpera 7.20 以降を使ったとしても、JavaScriptによるcookie漏洩の危険性は避けられないそうだ。

JavaScriptによるcookieアクセスはpathでは制限できないというセキュリティドメインの仕様から、同じサーバー(ホスト)内におけるcookie漏洩の問題は防げない、というのはかなり痛い指摘だ。

って事は何かい、ib-center.gr.jpやanser.or.jp、cyber-biz.ne.jpなどを使ってるインターネットバンキングではcookie漏洩の危険を回避して使う事ができないって事じゃないですか？ ハードディスクに保存されないセッションcookieで、なおかつ漏洩したcookieを取得できるのも事実上銀行に限られる、と言えどもかなりイヤな感じだ。

そもそもアウトソース形式のインターネットバンキングではアドレスバーを非表示にしたり右クリックを禁止しているサイトが多く見受けられるが、キーボードの**[SHIFT]＋[F10]**で右クリックの代替ができる事を知らないのだろうか？そういう粗忽なベンダーにセキュリティドメインについての仕様を問う、というのも酷だろうなぁ。

やっぱ、銀行の独自ドメインで運用していないインターネットバンキングは「危なくて使えない」と言わざるを得ない。

OpenSSLにDoS攻撃を受ける問題があり、修正版の0.9.7dがリリースされている。1つ目は、do_change_cipher_spec()関数のnull-pointer assignment障害によりOpenSSLがクラッシュする。影響を受けるのは0.9.6のc〜kと0.9.7のa〜c。2つ目はケルベロス暗号のハンドシェークにおける欠陥で、やはりクラッシュする。影響を受けるのは0.9.7のa〜c。

どちらも破壊されたり乗っ取りを許す深刻な問題では無いが、頃合いを見てアップデートしよう。

参照

OpenSSL: The Open Source toolkit for SSL/TLS http://www.openssl.org/

• Updated versions of OpenSSL are now available which correct two security issues: 2004年3月17日

Common Vulnerabilities and Exposures http://cve.mitre.org/

• CAN-2004-0079:Null-pointer assignment during SSL handshake 2004年1月19日
• CAN-2004-0112:Out-of-bounds read affects Kerberos ciphersuites 2004年2月2日

Internet Explorerに**“Cookie Path Traversal”**と呼ばれるcookie漏洩の問題がある。

楽天に代表される一つのドメイン空間に複数のテナントが出店しているオンラインショッピングモールではcookie漏洩によりクレジットカード情報などが盗まれる危険性がある。

具体的に言うとhttp://www.example.com/foo/%2e%2e/bar/とURLを書く事により、http://www.example.com/foo/でしか読めないcookieを http://www.example.com/bar/から読み出す事ができるらしい。http://www.example.com/foo/**..**/bar/では大丈夫だが、http://www.example.com/foo/**%2e%2e**/bar/だとマズイというは、バグと言い切って差し支えないだろう。

Internet Explorerはまだ修正されて無いので、修正されているMozilla 1.4.1 以降、Opera 7.20 beta 以降、KDE/Konqueror 3.1.4 以降に(一時的にでも)乗換えるか、cookieを使用しないようにすべき。

参照

SecurityFocus http://www.securityfocus.com/

• 9841:Multiple Vendor Internet Browser Cookie Path Argument Restriction Bypass Vulnerability

個人的なメモと備忘録 http://www.asahi-net.or.jp/~wv7y-kmr/

• Multiple Browser Cookie Path Directory Traversal Vulnerability 2004年3月14日