IT

URLがhttp://office.microsoft.com/officeupdate/に変わってるそうな….。ちょこちょこ変えないでよ＞マイクロソフト

参照

goo news -ブリヂストン栃木工場で火災　周辺住民に避難呼びかけ 2003年9月8日 -新日鉄工場内でタンク爆発、１５人けが　愛知・東海 2003年9月4日 -ごみ固形燃料発電施設で爆発、２人死亡　三重・多度 2003年8月19日 -三重のＲＤＦ発電所で爆発 2003年8月14日

ブリヂストン

WindowsとOfficeに任意のプログラムを実行させられる問題など、あわせて5つのセキュリティホールがある事が明らかにされた。

Windows(9x,Meを除く)の問題であるMS03-034は大騒ぎするほどの問題では無いが、Officeの問題であるMS03-035とMS03-037は意図しないコードを実行されてしまう可能性があり、また対象製品の幅広さを考えるとこの5つの中ではかなり深刻だ。

今日も最高気温32.5℃と以下同文。仕事の方がやっと佳境に入り今週末は休日出勤まで決定してるというのに、清く正しく晴れ渡った青空から照りつける陽射しが恨めしい。ま、それはさておき、速やかにWindows UpdateとOffice Updateをしましょう。

参照

日経ITPro -Microsoft Officeに危険なセキュリティ・ホール，「Office Update」の実施を 2003年9月4日

マイクロソフトTechNetセキュリティセンター -「MS03-034: NetBIOS の問題により、情報が漏えいする (824105)」に関する要約情報 ＞ -「MS03-035: Microsoft Word の問題により、マクロが自動的に実行される (827653)」に関する要約情報 ＞, -「MS03-036: WordPerfect コンバータのバッファオーバーランにより、コードが実行される (827103)」に関する要約情報 ＞ -「MS03-037: Visual Basic for Applications の問題により、任意のコードが実行される (822715)」に関する要約情報 ＞, -「MS03-038: Microsoft Access Snapshot Viewer の未チェックのバッファにより、コードが実行される (827104)」に関する要約情報 ＞

インターネットで知り合った若者の集団自殺が続いているが、Mainichi INTERACTIVEでは幸いにも未遂に終わった事件に注目し、彼らを自殺に到らしめた原因を探っている。

集団…という事を考えると基本的に個としての弱さが要因の一つである事は疑う余地が無いところで、インターネットがそういう弱い個をネガティブに結び付けてしまったのかもしれないが、ポジティブに勇気付ける力もまたインターネットにはあると思う。

ただ「ネットとハサミは使いよう」と言うか、「両刀の剣」と言うかは人それぞれかもしれない。

参照

日経ITPro -郵政公社のブラスター感染はNECの作業ミスが原因――損害賠償も検討 2003年8月29日

Mainichi INTERACTIVE ■＜見えない網・追跡ネット自殺　1＞　始まりはオフ会、4人は樹海へ 2003年8月27日 ■＜見えない網・追跡ネット自殺　2＞　見知らぬ4人 なぜ一緒に 2003年8月28日 ■＜見えない網・追跡ネット自殺　3＞　苦しくなって　ドア開けた 2003年8月29日 ■＜見えない網・追跡ネット自殺　4＞　一切胸にしまい 逝った弟 2003年9月1日

9月になったと言うのに最高気温が32.3℃。厳しい…という程ではないが、87％の湿度も相まって週明けの体には堪える暑さだった。

さて日経ITProによると、12日に起こった郵政公社のBlaster感染はNECの作業ミスによるものと判明。損害賠償も検討という事で、今年3月の航空管制障害に続く失態で大きなイメージダウンは避けられそうにない。

まさにBlasterが活発化した12日に、郵政公社内部の保守用端末をインターネットに接続したという事で、修正プログラムを適用していなかった郵政公社にも非が無いとは言えないが、天下のNECとしては不注意と言うか軽率と言うか油断しまくりと言えよう。

なお、この件で関係するPNETのATMスイッチというのは実は私も開発でちょっち絡んだヤツでヒヤッ(@_@;;。さっそくしかるべき消息筋に探りを入れたら、Blaster騒動との因果関係ははっきりしないものの、案の定夏期休暇明けは接続障害でかなりバタバタしたそうな….。ご愁傷さま。

今日で8月も終り。今年も残すところ、あと122日となったわけだ。…というのはちと気が早いか。

さてCROSS FMは明日の9月1日で開局10周年を迎えるという事で、明日は局を挙げてスペシャルシフト。でも平日ではあまり聴けないのが残念だ。

そういえばYANOも福岡に戻ってきてこの年末で満8年、時の流れは早いものだなぁ、としみじみしたり。

今日は予想外に眩しい朝日に起されたものの、時計の針は既に9時を過ぎ口惜しさひとしお。外は昨日以上に蒸暑いし、『行け!行け! 東京ムービー』もあるし…と出動を断念。

呑気に『パンダコパンダ』なんぞ観てたら、あんなに晴れていたのに大粒の雨がパラパラ。出て行かなくてよかったな、と思ってたら、晴れてきたり。気まぐれな空に翻弄されっぱなしの一日だった。

今月のSPAM(迷惑メール)は484通(klez関連を除く)。一日平均15通と相変わらず多かった。取り敢えずfrom詐称ができなくなるような仕組みを作って欲しいなぁ。

という報道がTVでも取り上げられているが、彼はBlasterの亜種(改良型)を作っただけのショボい犯人だ。オリジナルを作った真犯人では無いし、真犯人に繋がるような情報を持っている可能性も極めて薄い。今回この程度の犯人逮捕で警察当局が大げさに動いたのは「ウイルス作ったら逮捕しちゃうぞ〜」というポーズのようなものだ。

勿論クラッカーなどネットワーク犯罪者全体に対する警告と言う意味もあるだろうが、ソフトウェアメーカーに対しても製造上の責任を求めようとし始めた風潮に対抗して、「メーカーではなく作者が悪い」という世論を形成しようとするソフトウェアメーカーの働きかけが背景が見え隠れしているような気もする。

ちなみに製品組込み用のWindows NT Embeddedにも同じ脆弱性があったわけだが、もしプリンターが感染して2次的な損害を与えた場合はプリンタメーカーが製造物責任法によって責任を追求されるハズ。しかしプリンタメーカーがマイクロソフトに賠償を要求できる（orする）かどうかは状況次第だろうなぁ。

参照

ITmedia news -ソフトの脆弱性にも製造責任を――ウイルスまん延で高まる声 2003年8月27日 -［WSJ］FBI、MSBlast作者の18歳少年逮捕へ 2003年8月29日 -「MSBlast亜種作成」で18歳少年逮捕 2003年8月30日

ADSL 24Mへの増速がいつになるかは不明だが、現状(8M)でのパフォーマンスを再チェック。

測定サイト http://www.bspeedtest.jp/ v2.3.3 測定時刻 2003/08/30 08:21:38 回線種類/線路長/OS ADSL/1.5km/Windows 2000 キャリア/ISP/地域 その他ADSL/その他/福岡県 ホスト1: WebArena(NTTPC) 6.7Mbps(1764kB,2.5秒) ホスト2: SAKURAインターネット 6.0Mbps(4236kB,5.7秒) 推定最大スループット: 6.7Mbps

土曜の朝だとこのように7M近い納得の成績なのだが、平日の夜は3Mをちょいと越える程度だったりする。測定サイトの混雑もあるので回線スループットはもう少し高いのかもしれないが、24Mにしたところで平日の夜は無意味かなぁ。

NIKKEI-NETによると、鳴り物入りで本格導入した住基ネットがいきなり見舞われた接続障害に関して、片山総務相は**「全くトラブルとは言わない初日特有の現象だ」**とのたまったそうで、我々ベンダー・SEの立場からすると非常に心強く思う。(笑)

一方で当事者に当る地方自治情報センター(LASDEC)によると

これまで全国の自治体職員は、同じ自治体内部の住民を対象にして業務を行ってきたため、システムを操作する場合に住所を打ち込む習慣があまりない。これまでと同じ感覚で住所を入力せずに操作した結果、全国サーバへ問い合わせが殺到したのではないか

という事だ。そういう習慣…ていうか自治体事務のワークフローを考えると、まずは当の自治体サーバ、続いて都道府県サーバ、最後に全国サーバという順に問合せを行うのが筋で、いきなり全国サーバへ問合せるという仕様の問題では無かろうか？

これは裏を返せば「自治体事務のワークフローに関する調査が不十分なまま、ベンダー側の一方的な思い込みで策定した、という極めてありがちなミス」と言えるのかも。あくまでも自分の個人的な想像だけれど。

確かに現実問題として3年ほどで異動を繰り返す公務員の世界では情報担当職員と言えどもシステムに関する経験は乏しく、ベンダーのSEと対等に渡り合える知識を持っている人は皆無だ。価格競争入札による業者選定の仕組みから「基本仕様策定」と「システム開発」をそれぞれ別のベンダーが受ける事も珍しく無く、そもそも電子自治体ソリューションはここ数年活発化してきた案件だけにSEの経験も充分とは言えない。そういう面からも顧客とSEが充分にコミュニケーションを取れていないのではないかと思われる。

という裏事情はさておき**「1時間に1日分のアクセスが…」と言ってもたかだか8倍ではないか。転入・転出が集中する年度始めや税金の納付時期などのピーク**を考えればその程度の負荷に耐えられないシステムってのもまた問題という気がするのだが、それってどうよ？

田中康夫・長野県知事をして**「お粗末」**と言わしめた住基ネット。誠に侮り難し。

ちなみに総務省の指定情報処理機関である地方自治情報センター(LASDEC)には平成15年度予算ベースで国の補助金が57億円、都道府県と市町村の会費が合せて3億円近く、都道府県は更に総合行政ネットワーク(LGWAN)の負担金として32億円、全て引っくるめて毎年100億円前後の税金が投入されている事を肝に命じて、ゆめゆめ日本道路公団のようにならないようにお願いしたい。

参照

日経IT Pro -住基ネットが静かに本格稼働，ただし運用ミスでトラブルも 2003年8月26日

Mainichi INTERACTIVE ■長野県、住基ネット離脱　田中知事「情報漏れの危険」 2003年8月15日 ■住基ネットのウイルス対策「放置」　修正ソフト検証中 2003年8月19日

地方自治情報センター -住民基本台帳ネットワークシステム全国センター

携帯版サイトについてi-modeでも機種によって文字化けするという報告があり、一部機種ではやっぱりシフトJISにしか対応して無いようだ。という事でAirH"向けのオリジナルJIS版に対し、i-mode用とEZweb用はシフトJISに、J-SKY用はシフトJISで画像無しという構成になる。

ちなみに、10月からのVodafoneブランド移行に伴い愛称がJ-SKYからボーダフォンライブ！に変更される。…ってのはどうでもいい話しか。

今日も最高気温は33.5℃。夕立降るかと思ったけど、一滴も降らなかったなぁ。

参照

ITmedia news -Vodafoneへの道〜J-フォンロードマップ 2003年8月19日 -「J-スカイ」が「ボーダフォンライブ！」に　メールアドレスも変更に 2003年7月15日 -「Vodafone」へのブランド移行、真の狙いは 2003年5月25日

今日も最高気温32.4℃と…以下同文。

4月に液晶ディスプレイに主役の座を譲ったNANAOのFlexScan 56T-S。リサイクルショップをいくつかあたってみたものの、5年以上経過してかつ不調を理由に買替えたからにはさすがに中古品として市場に流すのも気が引け、部屋の片隅で埃をかぶっていた。

しかし「資源有効利用促進法」を背景に10月から家庭用のパソコン(ノート含む)もリサイクルの対象となり、これまでに買ったパソコン本体には3000円、CRTには4000円の回収・リサイクル費用が発生するようになるというのも手伝って、結局粗大ゴミとして処分する事に。但し、市が回収する粗大ゴミと言えども福岡市では500円の費用負担が必要だが。

ちなみにリサイクルの回収手続きは「ユーザーから各メーカーに連絡した後”ゆうパック”で送付・集荷する」というスキームになっているのだが、自作やショップ製などのパソコンに関する回収スキームは各自治体任せとなっていて、東京都以外ではまだ確立されていない模様。かと言って粗大ゴミとして回収されなくなる事だけは決っているため、対応が急がれる。

また交換したり取り外したパーツはリサイクルの対象とはならず、一般の燃えないゴミとして回収される。

参照

Mainichi INTERACTIVE -■パソコン回収・再資源化料金は3000円に　NECが初の設定 2003年6月27日

PC Watch -NEBA、個人向けパソコンリサイクルの懸念材料を指摘 2003年4月18日 -JEITA、パソコン事業撤退メーカー製品のリサイクル方針を発表 2003年7月18日

電子情報技術産業協会(JEITA) -家庭系PCリサイクル

日本郵政公社 -家庭系パソコン回収システムにおける回収物のゆうパックとしての取扱い開始について 2003年4月7日

経済産業省 -資源有効利用促進法

今日も最高気温33.2℃と残暑たけなわ。最高気温はともかく、朝9時に30℃ってのは勘弁して欲しいぞ。何気にコアラADSLを見たらADSL 24Mの受付が始まってたので早速申し込んじゃった。(^^)

さてMS03-032はお馴染みInternet Explorerの脆弱性。クロスドメインセキュリティモデルの方は情報漏洩の危険性なので大騒ぎするほどでもないのだが、オブジェクトタグの方は任意のプログラムが実行される危険性なので、Webブラウズで致命的なダメージを受ける可能性がある緊急な問題である。

続いてMS03-033はMicrosoft Data Access Components(MDAC)の脆弱性。これも任意のプログラムが実行される危険性だが、SQL Serverからの応答処理の問題という事で一般ユーザーに対する危険性は低いと思われるのでせいぜい危険止り。但しこれまでSQL Serverの問題とされていたMS02-040が実はMDACの問題で多くのWindowsに関係するという事で、MS03-033で修正されている。こっちは同じ任意のプログラムが実行される危険性でも、HTMLがトリガーとなる事からWebブラウズやHTMLメールで攻撃を喰らう可能性があり、緊急を要する問題だ。

そ〜ゆ〜わけで、どちらも大至急修正プログラムを適用しよう。

参照

マイクロソフトTechNetセキュリティセンター -「MS03-032: Internet Explorer 用の累積的な修正プログラム (822925) 」に関する要約情報 -「MS03-033: Microsoft Data Access Components のセキュリティ アップデート (823718)」に関する要約情報

Mainichi INTERACTIVE によると今回のBlaster騒動では

ブラスター感染の内訳は、都道府県で12（計547台）、市区町村レベルで58（計810台）。感染端末総数は1357台に上っている。うち、都道府県で5、市区町村で16の自治体では、庁内LANに接続した端末で感染が確認された。「ウェルチア」には、都道府県で2、端末計146台、市区町村で2、計93台が感染。すべて庁内LANで発生している。 〜〜〜　中略　〜〜〜 電子政府や電子自治体の推進が叫ばれているが、地方自治体では一般的に財政難でセキュリティー対策に予算がつきにくく、人員も増員されないなどの厳しい状況。感染自治体の比率が、市区町村より都道府県で高いことについては「都道府県レベルでは管理するネットワークも複雑で端末数も多く、一概に比較はできない」としている。

という状況だそうな。ちなみに大阪府では

府行政改革室IT推進課ネットワーク推進グループによると、「ファイアーウォールをくぐって、外部からのウイルス侵入は不可能だ。LANに接続する端末は大阪府庁が調達したものに限られており、対策ソフトの情報更新とウイルスチェックはほぼ毎日実施している。CDやフロッピーなど何らかのメディアによって持ち込まれ、対策ソフトの情報更新も間に合わなかったと考えられる」としている。

と言っており、IT推進課をして「BlasterがCDやフロッピーなどで持ち込まれる類のワームでは無い」という事すら理解されていないのが悲しい現実だ。

総務省市町村課は**「基本的にはファイアーウォールがあるので、住基ネットを経由して他の自治体にウイルス感染する可能性はない」**としているそうだが、ファイアーウォールと言えども万全では無いのは大阪府の状況を見れば明らか。そもそもファイアーウォール自体も設定を一つ間違えば全く無意味だし、管理がずさんだとセキュリティーホールやハッキングによるリスクが存在しうる。神話は御伽話であって決して真実では無いのだ。

一方で住基ネットを管理・運営する「地方自治情報センター」は修正ソフトのリリースから1カ月以上たった現在も修正ソフトの検証中らしい。さすがは天下り役人、呑気ですなぁ。

参照

Mainichi INTERACTIVE ■ブラスターと後続ウイルスの教訓 　　　電子政府・電子自治体は大丈夫？ 2003年8月20日 ■自治体のウイルス感染いぜん拡大 2003年8月20日 ■住基ネットのウイルス対策「放置」　修正ソフト検証中 2003年8月19日

セキュリティホール memo メーリングリスト -[memo:6309] 内閣官房情報セキュリティ対策推進室がDoS攻撃、と言いたい