Yano's digital garage

話は変って昨日リリースされたOffice XP Service Pack 3だが、今回から適用時にインストールCDの参照を必要としないフルファイルアップデートがリリースされている。ダウンロードして適用すれば良い。

Office アップデートによる自動更新では**「従来通りインストールCDの参照を要求される」**という事だ。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

マイクロソフトがOffice XP SP-3日本語版を公開，インストールCDなしでも適用可能 2004年3月10日

Office XP Service Pack 3 http://www.microsoft.com/japan/office/downloads/xpsp3/

Office XP を SP-3 にアップデートする最適な方法
Office XP SP-3 のフルファイルアップデートをインストールするには ■マイクロソフトサポート技術情報
836046 [OFFXP] インストール CD なしで Office XP をアップデートする方法 2004年3月11日

で関東遠征、という目論見は絶望的に。(;_;)

直接的な攻撃ほど深刻な影響は無いが、webバグと呼ばれるHTMLメールで秘密裏に情報を収集する手法が知られている。例えば

というIMGタグが含まれた添付HTMLファイルを開いた場合、メールで送られた画像ではなくwww.example.comにある画像が表示される。するとwww.example.comにアクセスログが残る事から、受信者が実在している事が確認できる。

しかしこれだけではどこの誰が開いたのかはわからないので、実際にはターゲットのメールアドレスを含めた

というcgiスタイルが一般的だ。この仕掛けにより「xyz01234@nifty.comというメールアドレスにはユーザーは存在し、しかも添付ファイルを見てくれる不用心な人だ」という事がわかり、闇雲に作ったリストから絞り込んだ見込み客(カモ)の名簿が作られる。

さらに"ドラッグ"、“アダルト”、“マルチ商法”、など分野毎にメールを送信しておけば、“開いた分野”と“開かなかった分野”を識別する事でその人が興味を持つ分野が浮き彫りになる事から名簿の精度は一層高まる。これ自体は理に適ったマーケティングのセオリーであり、決して手法を否定するモノでは無い。問題なのは無知なユーザーの無意識を狙って情報を収集している事だ。

またアクセスログには一般的にクライアントのIPアドレスも記録されるので、接続プロバイダやアクセスポイントの所在地を把握する事は簡単だ。ダイアルアップやフレッツなど固定でないIPアドレスからユーザーを特定する事は難しいが、掲示板の書き込みなど限定的ながらユーザーが結びつくシチュエーションが絶対に無いとは言い切れない。

個々に見ればたわいのない情報でも、結び付くと思わぬ価値を生む事が、ままある。「やらずもがな」な情報は与えないに越した事はない。

そういう観点から個人的には百害あって一利無いHTMLメールだが、FOMAの新機能「デコメール」の実体は言うまでもなくHTMLメール。幸いIMGタグでの外部ネットワーク参照はガードされている様なのでwebバグの心配はなさそうだが、PCでも不用心にHTMLメールを使う人が増えるとイヤだなぁ。

参照

ITmedia http://www.itmedia.co.jp/

ケータイにHTMLメールは受け入れられるか〜「デコメール」 2004年1月28日

昨日のAcrobat Readerの欠陥に限らず、セキュリティホールが発覚する毎に「メールの添付ファイルを閲覧する事は危険だ」と繰り返し書いている。

例えば今回の件だと**「pdfファイルが危ないだけでHTMLファイルなら問題無い」**と考えている人が多いと思うが、添付された小さなHTMLファイルを開いたにも関わらずpdfファイルが表示される場合がある。

以下の内容を``「メモ帳」などにペーストし、openpdf.htmてな名前で保存してから開いて欲しい。

HTML HEAD meta http-equiv=Refresh content=0;URL=http://210.230.1.242/nikkan_pdf/031027_series.pdf /HEAD /HTML 日刊スポーツの

ITmediaの記事によると**「goo BLOGでは投稿の著作権はすべて運営会社のNTT-Xに帰属する」**という事になってるそうだ。どれどれ、とhttp://blog.goo.ne.jp/info/rules.htmlを読むと

第１０条（著作権）１．本件情報のうち、記事及びコメントにかかる著作権（著作権法第２７条及び第２８条に規定される権利を含みます。以下同様とします）は、会員が当該記事を会員ページに投稿した時点又は会員もしくは第三者がコメントを会員ページに投稿した時点をもって、会員又は当該コメントを投稿した会員もしくは第三者から当社に移転するものとします。会員は、第三者又は当社に対して、当該記事及びコメントにかかる著作者人格権を一切行使してはならないものとします。この場合、当社は、会員に対し、何らの支払も要しないものとします。

と確かに書かれている。元々NTT-Xがテメエの資産と責任でやってるサービスなので一概に横暴と糾弾することは難しい。利用の選択権はユーザーにあるのだから同意できる人だけ使えばいい話だ。ただ後から気付いたユーザーに猛反発を喰らって近々に削除する方向という事なので、NTT-Xは常識的な判断をしたと言えるだろう。

自分が確保している@niftyのココログにはそういう記述は無いが、フォーラム会議室に編集著作権があった事を考えるとMovableTypeを使ったレイアウト等にも何らかの権利隠れていたりする気がして、よくわからない事が多い。他にも自分が関与しないコメントやトラックバックに対する権利や、責任など、関係者が多数に及ぶブログにはまだ整理しなくてはならない部分が多いように思う。

後出しで横暴な改定をされるのがイヤだ(TTY全盛の時代に一部フォーラムで不条理なローカルルールを規定されて憤慨した)し、6年で廃止されたmember’s homepageも踏まえるとMovableTypeの時代も長く続くとは思えないし、次期システムが出来たとしてもコンテンツの移行が保証されるわけではない。**これ以上@niftyに振り回されるのはゴメンだ。**というのがココログの本格導入に踏み切れない言い訳理由だ。

そういうわけで、取り敢えずできるだけ自前でやってくのが無難、と時流に背を向け未だにHTMLをシコシコ手書きしている原始人である。

参照

ITmedia http://www.itmedia.co.jp/

“バグをネット経由で修復〜ドコモが新シリーズで 2003年9月19日
“「F900i」にメール自動受信できないバグ〜販売停止 2004年3月3日
“「N900i」にも〜再起動するバグ 2004年3月9日
「goo BLOG」への投稿記事“著作権はNTT-X”にユーザー反発、条項削除へ 2004年3月10日

今月は3つのセキュリティホールが改修されている。まずMS04-008はWindows 2000 Serverだけなので、ホームユーザーには影響無い。

攻撃コードの実行を許すMS04-009は緊急を要するものだが、Microsoft Office ファミリーであるOutlookの問題だ。Windows標準のOutlook Expressには関係無いので慌てる必要はない。多くのホームユーザーには影響無いだろう。

という事で今月はホームユーザーにとっては重要な修正プログラムは無いと言って良いだろう。だからと言って安心するのは早すぎる。まだ直っていない深刻な欠陥はいくつもある。

一方、Office XP Service Pack 3がリリースされているのは明るい話しだ。Office XPユーザーはなるべく早く適用すべし。

参照

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

金曜日の瞬断で書き損ねた情報。アドビのAcrobat Reader 5.1 に任意のプログラムが実行可能なバッファオーバーフローの欠陥が指摘されている。

ネットワークに接続しているだけで攻撃を受けるような事は無いが、悪質なwebサイトや、メールの添付ファイルを閲覧する事により、この欠陥を悪用したpdfファイルを開いて攻撃者によるプログラムが実行される場合がある。

最新版のAdobe Reader 6.0にはこの欠陥は無いので、バージョンアップすればよい。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

Adobe Acrobat Reader 5.1にセキュリティ・ホール，任意のプログラムを実行させられる 2004年3月4日

INTERNET Watch http://internet.watch.impress.co.jp/

CIAC、Acrobat Reader 5.1にバッファオーバーフロー脆弱性があると警告 2004年3月5日

アドビ http://www.adobe.co.jp/

Adobe Reader 6.0 のダウンロード

インパクトのあるTVCMでお馴染み、通販のジャパネットたかたからも顧客情報が流出していた模様。1998年頃の顧客情報との一致を確認したという事実から、時期的にも個人情報やセキュリティに対する認識の甘さがあったのかも。さすがに6年前の自分はどうだったかと考えると、やっぱり同情せざるを得ないところだ。

逆に6年前だけに顧客情報に接触できた人間も限られる。開発ベンダーのユニシスも関係者を把握しており、独自で内部調査を始めたようなので、意外と早く流出経路が明らかになるかも。

で、「Ｂ４判のコピー４枚分の約１５０人分を入手した」毎日新聞社はその情報をこの後どうするおつもりで？

参照

Mainichi INTERACTIVE http://www.mainichi.co.jp/

顧客データ：ジャパネットたかた、数十万人分流出か 2004年3月9日
顧客データ：３０万人分　ジャパネットたかた 2004年3月9日

INTERNET Watch http://internet.watch.impress.co.jp/

ジャパネットたかた、顧客情報漏洩〜流出ルート、件数は確定せず 2004年3月9日

ジャパネットたかた http://www.japanet.co.jp/

お客様情報漏えいに関するお詫びとご報告 2004年3月9日

遅ればせながら住民基本台帳法第三十条の四十四に基づく、いわゆる住基カードを手にする事にした。なんで今頃かというと、他人による成りすまし発行を未然に防止する意味もあるのだが、最大の要因は住基ネットによる基盤アプリケーションの一つである**「公的個人認証サービス」**が1月末から始まった事にある。

ちなみに平成16年3月31日までその電子証明書の発行手数料500円が無料になるという行政としては珍しいキャンペーンを展開中。500円というのは元祖長浜屋＠博多ではラーメンに替え玉２玉、宮武＠琴平ではしょうゆ大にゲソ天に野菜天まで付いてくる金額だだけに、そういう経済的な事情も多分に影響していると思われる。

ま、前置きはこれくらいでいいか。

しがない雇われの身ゆえ、金にならない雑用はさっさと終わらせて出勤せねばならないので、朝9時の業務開始直後を狙って東区役所へ。

番号札発行機の横に鎮座するカードリーダー — 何気に置いてあるカードリーダーとキーパッド福岡市東区役所にて

インフォメーションで「住基カード作りたいんですけどぉ…」と尋ねて**「住民基本台帳カード申請書」**を入手。用意しておいた証明写真をペッタンコと貼って必要事項をサラサラと記入して市民課で受付番号札をGet。「さて何分待たされる事やら…」と覚悟したところ5分ほどで人の良さそうな職員さんに呼ばれた。

先ほど記入した**「住民基本台帳カード申請書」を提出すると身分証明書を求められたので、用意しておいた運転免許証を渡した。一部自治体では免許証のコピーを採られるという報告があったが、福岡市の場合は3情報を確認した後に免許証番号を申請書に書き写された**だけだった。

「カードを作りますので椅子にかけてお待ち下さい」と言われ、「さて何分待たされる事やら…」と覚悟を新たにしたものの、たかだか10分ほどで再び呼ばれる。昔に比べるとレスポンスタイムは随分と良くなったようで、遅さを競っていた病院は圧倒、場合によっては銀行よりも早いだろう。良い傾向だ。

黄金色に輝く接点がいかにもサイバーな気配を醸し出すICカードだが、印字部分の滲みが「いかにもカラリオで印字しました」的な雰囲気で圧倒、手ざわりも含めて全体的にかなり安っぽい。まぁ10分でできるのならば致し方ないところだ。職員氏に言われた通り、何気なくカウンターに置いてあるカードリーダーライターに通して数字4桁の暗証番号を入力する。

普通の人はキャッシュカードやクレジットカードを含めて同じ番号を使っちゃうんだろなぁ…。

しかしこのキーパッド、ちゃんと指示通り確認ボタンを押したかどうか職員さんから見えるようにする為なんだろうか、目隠しが全然目隠しの役を成してない気がする。取り合えず大丈夫、周囲に覗き見するような人はいない…。と思ったら受付番号札のすぐ側で人通りがあるんですけど！？

まぁ福岡県警に悪人はいても、市民に悪い人はいないという事だろう。ちなみに昨年の6月に起こった一家四人殺害事件の現場はここから僅か数百mだけどね。

暗証番号を設定し終えたところで手数料の500円を支払い、住基カードの手続きは完了。「あれ？電子証明書は？」と尋ねたら「別途申請が必要なんですよね…」という事で、再びインフォメーションからやり直し。ここまでなんだかんだで30分を経過していた。

今度は**「電子証明書発行申請書」**に記入して再び市民課で受付番号札をGet。またまた5分ほどで窓口に呼ばれた。

今度はなかなかキュートな女性だ。ラッキー(^^)。記入済みの**「電子証明書発行申請書」と出来立ての住基カードを渡すと、「住基カードのコピーを採らせて頂きますが宜しいですか？」**と言われたので「よございます」と快諾。ちょっとウケた。

また5分ほど待たされて窓口へ。残念今度は男性にバトンタッチだ。再び住基カードを渡され、指示通りカードリーダーに挿入。先の暗証番号を入力して本人確認はOKとなったものの、住基情報との接続でエラーが発生したらしい。3回ほどトライしたもののダメ。

暗証番号を設定しなおしても同様となったところで、上長と思しき年配の職員さんまでお出ましに。もう一台の機械を使っても状況変らずという事から「住基ネットのトラブルか？」と思ったものの、そもそも住民登録してある同じ自治体での処理だけに住基ネットを経由する必要は無く、住基経由の問合せ処理自体も問題無いらしい。そういうわけで「ICカードの固体不良かもしれない」という疑いから取り敢えずカードを再発行する事に。

また5分ほど待たされた後、新しい住基カードに暗証番号を設定。今度は問題無く住民情報が取得できた模様でめでたしめでたし。続いて窓口から離れたところにある**「鍵ペア生成装置」**へ。一見汎用パソコンじゃなくて頑丈っぽい専用機だが、中身はWindows 2000らしい。こちらは開放的な窓口のそれとは違ってコンビニATM程度のセキュリティが確保されている雰囲気。津市と同等で、つくば市ほどの機密性はない。隣の窓口に並んだ人からは見えないと思うが、ジャイアント馬場が後ろに並んだら楽勝で覗けるハズだ。もちろんそんなのっぽさんはそうそういないので、通路に面して多少人通りが多くても大丈夫だ。

何度も言うようだが、福岡県警に悪人はいても、福岡市民はみな善良なのだ。小学生に灯油かけて火をつけるような極悪な輩はもういないハズだ。

**「鍵ペア生成装置」**に住基カードを挿入してメニューから「鍵ペアの作成」を選択。するとキーボードっぽい画面が表示されるので、職員氏の指示に従って全員共通の初期パスワード「１２３４」を入力する。さすがお役所、市民は一人残らず平等なのだ。続いて鍵ペア用のパスワードを設定する。職員氏はしっかり「４桁以上、１６桁以内の英数字が使用可能です」と説明してくれ好印象だ。

福岡市の場合	住基カード	電子証明書
発行手数料	500円	500円
有効期限	10年	3年
失効要因	市町村から
転出する場合	氏名、生年月日、
性別、住所が変った場合
パスワード制限	数字4桁	英数字16桁
パスワード変更	窓口でのみ可能	窓口で申請するか、
クライアントソフトで可能
ロックアウト	3回連続NGでロック
窓口にて解除申請	5回連続NGでロック
窓口にて解除申請

再び、開放的な窓口に戻って住基カードをカードリーダーに挿入。電子証明書の記載内容（氏名と住所）を確認した後、福岡県の認証局から電子証明書を発行してもらい、住基カードにダウンロードして手続きは終了。再発行とパスワード変更手続きに関して口頭で説明を受けつつ、「公的個人認証サービス利用者ガイド」とクライアントソフト(CDROM)など一式を頂いて窓口を後にした。

というわけで、住基カードと電子証明書について簡単にまとめると表のような感じだ。ちなみに福岡市の住基カードメディアはNTTコミュニケーションズのコンビネーション型カードeLWISE(1MB)。

ここまで1時間10分の間、東区役所で住基カード関連の手続きを行った人は一人もいなかった事を記しておく。

PS.会社帰りにヨドバシでICカードリーダーを買って帰ろうと思ったのだが、売ってなかった….。というわけで、まだ住基カードは使っていない。