昨日指摘したcookie漏洩問題の続報。

高木浩光氏の指摘[memo:7373]によるとInternet Explorerの修正版やOpera 7.20 以降を使ったとしても、JavaScriptによるcookie漏洩の危険性は避けられないそうだ。

JavaScriptによるcookieアクセスはpathでは制限できないというセキュリティドメインの仕様から、同じサーバー(ホスト)内におけるcookie漏洩の問題は防げない、というのはかなり痛い指摘だ。

って事は何かい、ib-center.gr.jpやanser.or.jp、cyber-biz.ne.jpなどを使ってるインターネットバンキングではcookie漏洩の危険を回避して使う事ができないって事じゃないですか？ ハードディスクに保存されないセッションcookieで、なおかつ漏洩したcookieを取得できるのも事実上銀行に限られる、と言えどもかなりイヤな感じだ。

そもそもアウトソース形式のインターネットバンキングではアドレスバーを非表示にしたり右クリックを禁止しているサイトが多く見受けられるが、キーボードの**[SHIFT]＋[F10]**で右クリックの代替ができる事を知らないのだろうか？そういう粗忽なベンダーにセキュリティドメインについての仕様を問う、というのも酷だろうなぁ。

やっぱ、銀行の独自ドメインで運用していないインターネットバンキングは「危なくて使えない」と言わざるを得ない。

OpenSSLにDoS攻撃を受ける問題があり、修正版の0.9.7dがリリースされている。1つ目は、do_change_cipher_spec()関数のnull-pointer assignment障害によりOpenSSLがクラッシュする。影響を受けるのは0.9.6のc〜kと0.9.7のa〜c。2つ目はケルベロス暗号のハンドシェークにおける欠陥で、やはりクラッシュする。影響を受けるのは0.9.7のa〜c。

どちらも破壊されたり乗っ取りを許す深刻な問題では無いが、頃合いを見てアップデートしよう。

参照

OpenSSL: The Open Source toolkit for SSL/TLS http://www.openssl.org/

• Updated versions of OpenSSL are now available which correct two security issues: 2004年3月17日

Common Vulnerabilities and Exposures http://cve.mitre.org/

• CAN-2004-0079:Null-pointer assignment during SSL handshake 2004年1月19日
• CAN-2004-0112:Out-of-bounds read affects Kerberos ciphersuites 2004年2月2日

福岡では桜の開花宣言が発表された今日、オホーツク沿岸では海明けが発表された。網走地方気象台発表の『網走・紋別地方海氷情報　第61号』によると

北見枝幸・雄武・紋別では2月下旬から3月上旬にかけて海明けとなりました。また、北見枝幸では、3月8日に流氷終日となりました。

という事で、平年より1週間、遅かった去年と比べると1ヶ月以上早い春の訪れだ。

参照

網走地方気象台 http://sapporo-jma.go.jp/as/abashiri/web/top/aba-top.htm

• 海氷情報
• 網走の海氷観測の記録

Internet Explorerに**“Cookie Path Traversal”**と呼ばれるcookie漏洩の問題がある。

楽天に代表される一つのドメイン空間に複数のテナントが出店しているオンラインショッピングモールではcookie漏洩によりクレジットカード情報などが盗まれる危険性がある。

具体的に言うとhttp://www.example.com/foo/%2e%2e/bar/とURLを書く事により、http://www.example.com/foo/でしか読めないcookieを http://www.example.com/bar/から読み出す事ができるらしい。http://www.example.com/foo/**..**/bar/では大丈夫だが、http://www.example.com/foo/**%2e%2e**/bar/だとマズイというは、バグと言い切って差し支えないだろう。

Internet Explorerはまだ修正されて無いので、修正されているMozilla 1.4.1 以降、Opera 7.20 beta 以降、KDE/Konqueror 3.1.4 以降に(一時的にでも)乗換えるか、cookieを使用しないようにすべき。

参照

SecurityFocus http://www.securityfocus.com/

• 9841:Multiple Vendor Internet Browser Cookie Path Argument Restriction Bypass Vulnerability

個人的なメモと備忘録 http://www.asahi-net.or.jp/~wv7y-kmr/

• Multiple Browser Cookie Path Directory Traversal Vulnerability 2004年3月14日

ボチボチ出て来ましたな。でも攻撃側は「なりすまし」や「乗っ取り」するのがセオリーなので、踏み台にされた人が困るだけで、わざわざ反攻するだけの効果は無いと思うんだけどなぁ。

参照

Enterprise Watch http://enterprise.watch.impress.co.jp/

• 逆襲型セキュリティソフト、ベンチャーが開発 2004年3月11日

Hotwired News http://www.hotwired.co.jp/news/

• スパム発信元にDoS攻撃する「攻性防壁」 2003年11月4日

注目を集めていた女子代表は野口みずき、土佐礼子、坂本直子の3人で決まり、選考レースの結果から順当に選出された模様。選考委員にとっては苦渋の選択だっただろうが、最も説得力のある選考結果ではないかと思う。

残念な結果に終わった高橋尚子だが、発表を受けた記者会見でも恨み言一つ言わなかったのはスポーツウーマンらしく実に潔い姿で好印象だ。シドニーで金メダルに輝いた彼女だが、肝心の東京国際で振るわなかった事、見送った名古屋では逆に土佐選手が見事な結果を残した事、2度も思惑がハズレた事からアテネ五輪には縁が無かったのだと思える。彼女には是非世界記録の更新を目指して走って欲しいなぁ。

いずれにせよ、振るわなかったとは言え東京国際で2位に入った女王高橋ですら、3人の代表枠から漏れてしまう選手層の厚さは大したモノだ。ただ肝心のアテネ五輪で「高橋が出ていれば…」と言われるような結果になったらえらい事なので、今度は選ばれた方もまた大変だと思う。くれぐれも妙なプレッシャーを背負う事なく、また自分自身が後悔しないようなレースをして欲しいと願うばかりだ。

参照

Mainichi INTERACTIVE http://www.mainichi.co.jp/

• 高橋尚子、五輪出場ならず 2004年3月15日

中津在住の友人が東京へ転勤する事になったので、こっちで遊ぶのも最後に。

もちろん今日はバイクで出動。『Ride On Time』を口ずさみながらR201から県道58号線にスイッチ。椎田町まで全通した事でだいぶスピードアップして、中津まで2時間ちょいで到着。

ルーズに開けた袖口から忍び込む風は春の息づかいを感じさせる心地よさ。ちょっと霞んではいたものの、暖かい陽射しを受けて久々のライディングは気分上々。

友人宅で一息入れた後、クルマで出動。昭和の街並みで売り出し中の豊後高田市へ。昭和ロマン蔵などを散策した後、国宝の富貴寺を経て国見温泉****あかねの郷などを周って中津へ戻った。

夜は宝来軒のラーメン。ちょっと麺が柔過ぎだったのは▲だが、スープはコクがあってなかなかイケル。手土産にしたOPERAの純生ロールケーキも好評だったので良哉良哉。

東京と言えども実際の距離ほど遠い気はしないので、またそのうち逢えるでしょう。奥さん共々身体に気をつけて元気でね。(^^)/~

参照

大分県豊後高田市 http://bungotakada.com/

• ぶんごたかだ 昭和の町 http://bungotakada.com/syowa/top.htm

九州新幹線の開業と時を同じくして、八代から川内まで116.9kmの営業区間で開業した肥薩おれんじ鉄道。

新幹線誘致の代償として受け入れざるを得なかった並行在来線の受け皿として、熊本・鹿児島両県と沿線10市町村が出資した第3セクターである。

JRから分離される事は、言うまでもなく18切符や周遊券などでも乗れないという事で、個人的にももう縁が無い区間と言い切っても過言ではない。

幹線の鹿児島本線とはいうものの沿線は過疎化著しい地域であり、元々営業赤字は必至のお荷物区間なので経営面で見ると先行きは非常に厳しい。

「一定の通勤客が期待できる川内から鹿児島中央**までの46.1kmは分離せずJR九州が引き続き経営」**という事が決まると早々に第3セクターへの出資計画を取り止め、「いいとこ取り」の鹿児島市。対して新幹線ルートから遠く離れてメリットが一つも無い上に、特急が無くなり不便だけ押しつけられた形の阿久根市。歓迎ムードに湧く中で明暗別れた格好だ。

長野新幹線以降繰り返されている事ではあるが、解決策は見出せないのだろうか？

参照

肥薩おれんじ鉄道株式会社 http://www.hs-orange.com/

南日本新聞 http://www.hs-orange.com/

• どうする並行在来線 http://www.minaminippon.co.jp/2000kikaku/heiko/

長崎県 http://www.pref.nagasaki.jp/

• 長崎新幹線 http://www.pref.nagasaki.jp/shinkansen/ (←画：蛭子能収)

久々の好天に恵まれた週末。でも仕事じゃねぇ…だめだめ。

明日から九州新幹線の新八代〜鹿児島中央(旧西鹿児島)間が部分開業。鹿児島中央から博多まで1時間半も短縮して最速2時間10分になるという事で各方面は歓迎ムードで盛上がっている模様。2013年に全線開通した暁には1時間20分になるらしい。ちなみに飛行機だと40分だが、鹿児島空港から市内までバスで1時間近くかかるのだなぁ…。

身近なところでも鹿児島本線の高架工事が終了。明日の始発から切替となり、馬出踏切を始め9ヶ所の踏切が役目を終える。

参照

JR九州 http://www.jrkyushu.co.jp/

• 九州新幹線 http://www.jrkyushu.co.jp/shinkansen/

『イノセンス』を観てきた。ちょっと難解で未だ消化不能ではあるものの、ハリウッドにも一目置かれているCGを駆使した映像クオリティの高さは秀逸。当初からDreamWorksによる世界配給が決っているのは知っていたが、なんとジブリの鈴木さんがプロデューサーとして名を連ねていたとは。

参照

プロダクション I.G http://www.production-ig.co.jp/

• イノセンス http://www.production-ig.co.jp/anime/innocence/