IT

21日にWindows 2000,NT4,me,9xのシステムが影響を受けるセキュリティホールが公開されていた。

先のInternet Explorerの累積的修正プログラムと同時に公開されていた為にてっきり累積的修正プログラムで解決される問題の一つだろうと思い込んでしまったのだが、実はかなり深刻な問題である事が指摘されている。

これはWindowsにもれなく導入されているMDACのVer 2.6以前におけるバッファオーバーフローの脆弱性であり、Windows XPに導入されているVer 2.7では影響を受けることはないという事だ。

またこの問題の深刻度は最悪の「緊急(Emergency)」に設定されている。これはCode RedやNimdaなどに代表されるインターネット・ワームに悪用される危険性があるというレベルなので、早急に対処する事が必要だ。

で、対処としてはいつものようにパッチを適用するという事で収まれば良いのだが、そのパッチを無効にされる危険性があると言うのが厄介な問題だ。詳細は下記記事「パッチを無効にされる恐れあり，Windowsの深刻なセキュリティ・ホールを解説する」を参照願う。

何はともあれWindows 2000,NT4,me,9xのユーザーは「Microsoft Data Access Components (MDAC) 2.7 RTM Refresh (2.70.9001.0) 日本語版 ダウンロード」からMDAC Ver 2.7をダウンロードしてバージョンアップするようにお願いしたい。

※Windows Updateではバージョンアップできません。

参照

参照

NIKKEI IT-Pro -パッチを無効にされる恐れあり，Windowsの深刻なセキュリティ・ホールを解説する

マイクロソフト -Microsoft Data Access Components のバッファ オーバーランにより，コードが実行される (Q329414) (MS02-065) -マイクロソフト セキュリティ情報 (MS02-065) ： よく寄せられる質問 -Microsoft Data Access Components (MDAC) 2.7 RTM Refresh (2.70.9001.0) 日本語版 ダウンロード

今日の衆議院本会議でワン切り行為に罰則を課す有線電気通信法の一部改正案が全会一致で可決された。といっても、総務委員長が1分ほど趣旨説明と委員会審議報告をしただけで本会議そのものも5分程で終わっちゃったんで、内容は総務委員会の審議をチェックしなければならない。

ちなみに総務委員会では出逢い系サイトの問題やe-japan計画も話題になっているので興味を持って観られるのではないだろうか。しかし審議中の法案文書って読めないのかなぁ…？

参照

参照

衆議院TV -平成14年11月26日 本会議 (Windows Media へ直リンク) -平成14年11月21日 総務委員会 (Windows Media へ直リンク)

NIKKEI NET -ワン切りに罰則、臨時国会に改正案提出へ (10/17)

Mainichi INTERACTIVE -■ワン切り業者に1年以下の懲役か罰金100万円 (10/25)

という事でパスワードについて。自分の名前やアカウント、また誕生日や電話番号などは個人情報(家族も同じ)から、地名やクルマの名前等の固有名詞は辞書アタックで、すぐにバレてしまうのでパスワードの意味が無いというのはご存じだと思う。

基本的に数字のみはもってのほかで、英数字できれば記号も含めて6文字以上の文字列が望ましいと言われているのだが、そうは言っても毎日欠かさず入力するような頻度ならばともかく、すぐ忘れちゃうような無意味な文字列をパスワードにするのもまた現実的ではないと言えよう。いくら類推し辛い文字列と言っても短ければブルートフォース(総当たり)でバレてしまうのは時間の問題だし、パスワードを付箋紙に書いてモニターに張りつけたりしたらそれこそ意味ないじゃん、って事。

そういう面からも一般人のパスワードとしてはそれなりの意味を持たせた長めの文字列が適していると思う。例えば**“yamada//taro”**等と氏名の間や前後に記号や数字を入れるだけでも単純な辞書検索ではマッチしなくなるので、個人情報や身近な人から類推できない情報を組み合わせてパスワードにする事をオススメしたい。

例えば現在はあまり関係を知られていない知人の情報。とは言ってもありがちな名前は人名辞書などもあるので、そう言う場合はニックネームや電話番号でもいいと思う。無意味な英数字が並ぶniftyのユーザーIDなんかはまさに持ってこいと言えよう。

というわけで個人的には「類推されにくい旧知の2人のユーザIDを記号で囲って数字で繋ぐ」という形式で16桁のパスワードを採用している。確かに慣れるまで入力するのは面倒だが、忘れにくい意味を持たせたパスワードとしてはかなり強固と言えよう。その上、数字を毎月変える事によって更に万全度も高まるのだ。

最初は6桁くらいでも良いと思うので、これまでの話を踏まえて2つ以上のキーワードと数字か記号を組み合わせた英数字混じりのパスワードを使うようにオススメする。英数字と言っても**“Windows2000Pentium4AthronXP”**等、意味の通じるキーワードだけの組み合わせは辞書アタックで簡単にバレるので、必ず記号を組み合わせる事を忘れないように。

でももっともセキュリティ面で重要なキャッシュカードやクレジットカードが数字4桁というのはかなり不安なんだよなぁ。

参照

参照

ITmedia How-To -第7回：「パスワードクラッキングの現実性」

@IT:LinuxTips -パスワードが安全か調べるには（John the Ripper編）

昨夜19時頃からSMTP認証をサポートしたqmail系エクステンションqmail-vidaの導入を開始。

qmail 1.03のオリジナルアーカイブから展開し直して難なくmake setupまで完了。supervisor用の起動スクリプトrunの変更にしくじって起動できるまで1時間を擁したが、21時前にはyano＠bravotouring.comでの送受信に成功。

それからML受信専用に作っていたユーザーアカウントを仮想メールボックスとして作り直したのだが、/var/qmai/queueには溜まるもののMaildirにはいつまで経っても配信されない状況が3時間ほど続いた。

いわゆるハマったという状態だったが、なんの事はない~/.qmailが無かったという気が付けば「何やってんだか」という原因であった。しかし"deferral: Unable_to_chdir_to_maildir._(#4.2.1)/“というエラーメッセージからはなかなかピンと来ないなぁ。

今朝はWebMailerの動作を確認したところなんとlogin不能に。以前の状況と見比べた結果tcpserverにpop3で待ち受けるIPアドレスをeth0で設定した為にlocalhostから接続できなくなった事が判明、pop3/smtpdのIPアドレス設定をしない事でloginおよび受信はできるようになった。SMTP認証はサポートしてないハズなので、予定通り送信エラーとなる事を確認。ここでtcpserverにlocalhostの抜け道を設定して送信できるようにして万事OK。

で、改めてメーラーからSMTP認証無しのremote接続だとエラーになる事を確認しようとしたらなぜか送信できてしまった…？。それから試行錯誤しながら悩む事2時間。nifty宛てに送信するとエラーになる事を確認。bravotouring.com内部(rcpthosts)宛の送信はSMTP認証に関わらず許可されるのであった。我ながらマヌケですねぇ。f(^^;;

最後に念の為第三者中継の調査をして終了。と終わってしまえばそれほど難しくはなかったのだが、安定してるtcpserverとか最近弄ってなかったのでオプションとか忘れてて苦労した〜。という一日がかりの苦労をおさらいしながら、忘れる前にLinuxTipsへしこしこメモ書き。しかしsendmailと違って機能毎に細分化されているqmailは設定とか苦労するんだけど、おかげでだいぶSMTP/POPがわかったような気がする。

この後はCGIでパスワードを変更できるようにしたら完了なのだが、さてどうやって対応しようかな？というところで宿題。

参照

参照

qmail-vida

第三者中継の調査

COMDEX Fall 2002が始まり、CPUベンダー各社から来年の話が具体的に発表されるようになった。ここで面白いのがIntel、AMD、Transmetaが選んだ3社3様の戦略だ。

Intel
	**Hyper-Threading**の実装  

FSBのクロックを533→800MHzに AMD コンピューティング能力を32→64bitに Transmeta 内部アーキテクチャを128→256bitに

乱暴に言うとPentium 4で数字に表れる駆動クロックを前面に出して売り込んできたIntelが実効パフォーマンスを、逆に実効パフォーマンスをアピールしてきたAMDがAthlon 64という数字を前面に出し、いわば武器を交換して勝負を挑む事になりなかなか面白くなりそうな気配だ。となると次の注目はAthlon 64の動作クロックがどのくらいで出てくるかということ。いくら64bitの冠をかぶったところで動作クロックが2GHz程度じゃ3GHzを越えたPentium 4の後塵を拝するのは間違い無いだろう。

しかしPentium 4のHyper-Threadingに対応したOSはWindows XPしか無いし、Athlon 64に至っては64bitモードにネイティブ対応したOSはLinuxしかないというウィークポイントがあるので、Windows 2000などの既存環境でどれだけのパフォーマンスを発揮するかと言うのが一つのカギになりそうな気がする。またどちらもマザーボードの変更が必要不可欠なので来年中のアップグレードパスとしてはちょっと敷居が高いだろうなぁ…。

一方、Crusoeで話題を呼んだTransmetaも内部アーキテクチャを128→256bitに引き上げた事により命令の実行効率が倍になるわけで、来春デビュー予定のIntel Baniasに対抗できる武器になると思われる。こちらもノートPCにとって楽しみな展開だ。

参照

参照

PC Watch -AMD、「ClawHammer」を「Athlon 64」と命名 -帰ってきたTransmeta〜256bitのコードネーム“ASTRO”ことTM8000を公開 -Intel、来年第2四半期にFSB 800MHzのHT対応版Pentium 4を投入

最近、メールを使った新手の詐欺が流行っているようだ。「インターネット・コンテンツ事業者様から、利用料金等の徴収依託をされている…」という文面で始まり「数万円振込め」という一方的に最終通達な内容で、いかにもタコにも胡散臭い。差出人のアドレスがhotmailやexciteのフリーメールになってたり、利用料が発生したサービスはおろか支払対象者の住所・氏名も書いてなかったりするともう笑うしかないのだが、結構驚いて相談をよせる素直な人が多いらしい。まぁ何も知らない人には怖いだろうな…。

今のところ「モモコネット」や「株式会社高千穂興業」なんていう名前を使っているようだが、どうせ社名も偽装だろうから社名に関らずそういう心当りの無いメールはサクッと棄てちゃいましょう。タダの迷惑メールでも「登録解除」のメールを送ったりすると、「この人は騙され易い人だ」と思われてリストアップされる事も考えられるので、いちいちウザッたいのは百歩譲ってサクッと棄てちゃうに限るのだ。

またこの手のメール以外にも、「自宅でできるホームページ作成」などと銘打って仕事も紹介するけどその前に法外な登録料や、教育キットや資格取得講座の受講を強要する悪徳商法も相変わらず無くなってないようだ。こういう求人状況だけにうっかり引っかからないように注意してほしい。

もしこのような詐欺紛いの契約をしてしまった場合は、すぐに近くの消費生活センターで相談しましょう。場合によっては払ったお金の返金もしてもらえるそうです。

参照

参照

消費者の窓 内閣府 国民生活局消費者企画課 消費者調整課 -悪質商法に対応するには

警察庁 -ネットワーク利用の悪質商法にご注意！！

悪徳商法マニアックス

盗聴バスターズ情報ガード -モモコネットにご注意！ -高千穂興業にご注意！

CERT/CCによる、www.tcpdump.orgが何者かにクラックされlibpcapとtcpdumpのディストリビューション(公式配布)ファイルがトロイの木馬が含まれたものに改竄されていた事が明らかになった。

わかりやすく言うと、Microsoftのサーバが改竄されてセキュリティfixのパッチがウィルスが組み込まれたものにすり替えられてた、というようなもんである。セキュリティホールを塞ぐつもりが逆にトロイの木馬を導入してた…な〜んて事になったら悲惨だなぁ….。

8月に起こったOpenSSHディストリビューション改竄事件でもftp.openssh.com及びftp.openbsd.orgという言わば総本山やお膝元なサイトがやられた事が記憶に新しいが、セキュリティfixやアップデートパッケージの導入が日常茶飯事の事になりつつある現状を踏まえると、これからもこの手の事件が増えるのは間違い無いと思われる。

というわけで、オリジナルサイトと言えども安易に信頼する事は戒め、面倒は承知のうえでダウンロード後にmd5sumやPGP署名などでオリジナルファイルから改竄されていない事を確認しなければならないと言えよう。まぁ、Webページまでハッキングされて署名まで改竄されたら防ぎようが無いし、それ以前にMicrosoftでは署名なんて公開されてないしなぁ….

参照

参照

CERT/CC Advisories -CA-2002-30: Trojan Horse tcpdump and libpcap Distributions (日本語訳はまだ無い)

LAC SecureNet Service -CERT Advisory CA-2002-24 Trojan Horse OpenSSH Distribution 日本語訳

先月31日以降、全文検索システムNamazuがゴキゲン斜めになってしまった。kernelやapacheのアップデートが原因か？とずっと試行錯誤していたのだが、ようやく解決。

`/cgi-bin/`配下で動くのに`~yano/cgi-bin/`配下では**"500:Internal Error"**になる  

…という事はcgiそのものに問題があるわけでは無さそう /var/log/httpd/error_logに**“Premature end of script headers:”とロギング
…という事はcgiの起動はできているので、パーミッションではなさそう /var/log/httpd/suexec_logに“target uid/gid mismatch with directory or program”**とロギング

という経緯を踏まえて冷静に思い返すと、一般ユーザーのgroup名をusersに変えようと思い/etc/groupファイルを弄ったのが31日の午前中であった。

で、改めて/etc/groupファイルをよく見ると、実はデフォルトでusersというグループが既にあったのだ。という事は結果的にgroup名が重複してしまった事でsuexecからgidが違うと怒られていたのだった。

溺れる者は…でapacheとNamazuをビルド＆インストールし直したのは全く無意味だったのだなぁ。f(^^;;

という失敗は素直に反省するとして、Namazuにもクロスサイトスクリプティングの脆弱性があったらしいので2.0.12にアップデートしておく。

参照

参照

全文検索システム Namazu

Namazu 2.0 入門

今日も曇天。最高気温は14℃と朝から殆ど上がらず、風も5m以上と強くて体感的にはかなり寒い。夜になってさらに強い風が吹き荒れて煩いほど。昨夜も雷雨だったし、荒れ模様の天気に今日も引篭りを余儀なくされる。

そんなわけでネット三昧でニュースチェック。いよいよタブレットPCが正式に発表された。無線LANもそれなりに使えるようになり確かに「機は熟した」と言えるが、手書き以外にタブレットPCならではの使い方が提案できるかどうかが普及の鍵になるような気がする。

もひとつ、個人的にはこっちの方に魅かれているのだが、アイ・オー・データが発表したムービーカメラ。機能を絞った代わりに16,500円という価格と小型化を実現した押さえた割り切りが気持ちいい。単3アルカリ乾電池2本で約3時間稼動、512MBのCFカードで2時間も動画が撮れるらしい。

ということは手持ちの128MBカードでも30分は撮れるのか…。何より軽量小型で駆動部が無いという事は車載カメラに打ってつけだし、気になるなぁ….。(^^)

参照

参照

PC Watch -マイクロソフト、Tablet PC発売発表会を開催 -アイ・オー、初のムービーカメラ「MotionPIX」

アイ・オー・データ機器 -130万画素小型ムービーカメラ AVMC131

11月になってから上記題名のスパム(SPAM)メールが届くようになった。qmailで受信拒否設定をしようかとも思ったが(From:を詐称している為)エラーメール自体が迷惑メールになってしまうので、目ざわりだけど読み捨てる事に。ちなみに登録した覚えの無いメールを受信した時に「広告をご希望しない方はここへ」と書いてあっても返信しないこと。返信するという事はそのアドレスが活きていると教えているようなものなので逆効果なのだ。というわけで、取り敢えず無視するしかないのよね〜。

で、メールヘッダーを眺めていると全てfreebit.ne.jpなメールサーバから送られているらしい事がわかったので、http://www.freebit.ne.jp/へアクセスするといきなり「弊社管理下のIPアドレスからの迷惑行為に関して」というページが開いてビックリ。実体はwww.freebit.comだったのね〜。というわけで、せっかく窓口を作ってくれているんで取り敢えず報告しておく。

Googleで検索すると結構貰っている人が多いようですが、以前から手を変えて続けているという事は引っかかる人がいるという事なのかなぁ…？

参照

参照

freebit.com -弊社管理下のIPアドレスからの迷惑行為に関して

なくそうｓｐａｍ -「ロリムトー」特集ページ