Yano's digital garage

相変わらず勧誘や請求を装うスパムメールは後を絶たないが、個人情報を入力させる「フィッシング詐欺」と呼ばれる新しい手口が現れている模様。

ITmedia Newsの記事「Opinion：フィッシング詐欺に釣られてはいけない」によると、

おかしなことに、そのメールに載っていたeBayへのリンクをクリックしてみると、お馴染みのeBayのグラフィックと配色を使ったサイトが開かれた。一瞬信じてしまったが、すぐにURLがeBayのドメインとはまったく関係ないものであることに気付いた。さらに、そのサイトで入力を求められた情報――社会保障番号、母親の旧姓、運転免許書番号――は、分別のある人間が、何の疑問も持たずにオンラインで明かすようなものではなかった。私はこのとき、自分が「フィッシング（phishing）」の餌食になったことに気付いた。

という手口だそうだ。これはこれでクレジットカード番号などが不正に搾取されてしまう可能性があって充分に危険なのだが、もしインターネットバンキングを装ったものが現れれば更に深刻な事態になり得る。

その最大の原因は多くのインターネットバンキングがブラウザのアドレスバーを非表示にして、意図的にドメイン名を隠している事にある。その理由は憶測の域を出ないので定かではないが、現実に銀行本体ではなく委託しているベンダーのサイトに誘導しているケースも少なくない。

つまりabc銀行の公式Webサイト www.abcginko.co.jp にアクセスしているつもりが実はどうみても無関係な www.xyz.co.jp だったという事もあり得る。もちろん www.xyz.co.jp がabc銀行によって正規に委託されたWebサイトであれば問題無いが、逆に口座番号やパスワードの採取を狙った邪悪なWebサイトであった場合の被害は甚大だ。

裏にそういうリスクが隠れているにも関わらず、銀行はインターネットバンキング業務を外部に委託している事や、意図的にドメイン名を隠している事が最も重要な問題だ。

そういう面からもゾーン毎のセキュリティ設定で"信頼済みサイト"を登録するようにして、意図しないサイトに誘導された時には確認できるように自己防衛すべきだと考える。例えSSL暗号化であっても通信相手が www.xyz.co.jp である事が保証されるだけであって、www.abcginko.co.jp の正当な委託先であるという保証にはならない。

極端な話をすると、店舗外に偽装ATM機を置いて口座番号や暗証番号を採取しようとするのと同じ事だ。現実にはコストや効果などを考えるとあり得ないだろうが、ネットの世界では話は違って全く同じ画面を作る事は言うまでもなく、abc-bank.com というドメインを取得するのも実に簡単な事で、費用対効果は非常に高い(つまり悪用され易い)と言える。

ここで一番難しいのが邪悪なWebサイトへの誘導だが、それなりに難しいし見つかり易いwww.abcginko.co.jpの改竄などの苦労をしなくても、メールによる誘導という手段が有効だ。何と言ってもメールは送信元も含めて完璧かつ簡単に偽造できるし、インターネットバンキングユーザーへのメールによる誘導が日常茶飯事である事から、ユーザーの警戒心も緩みがちだと言える。

ちなみに自分のメインバンクもこの問題を抱えている事に気付き、7月末に窓口宛に指摘したところ**「エンドユーザーが正規に委託されたWebサイトを確認する手段を提供するなど、改善する方向で検討する」という回答だった。個人的には改善されるまで**インターネットバンキングは使わないようにしているが、銀行のホームページにはこういうリスクをはらんでいる事を含めてまだ何のアナウンスも無い。

余談：この時に「改竄などの攻撃を予防する意味でURLを非表示にしていた」という回答があったのだがこれが本当だとしたら「そんなに自信無いというのはなんか問題あるのでは？」と疑りたくなる。アドレスバーを隠したところで攻撃する技術を持っている人間ならば解析方法くらいいくらでも知っているハズだ。それ以前にクリックした時にしっかりステータスバーへ表示されるのだからまさに「頭隠して尻隠さず」。もしこの事に気付いていないのだとしたらちょっとずさんだと言え、ベンダーを含めてシステムとしての詰めの甘さを感じる。

という事実を踏まえると少々改善されたところでインターネットバンキングは暫く使わない方が良いかもしれない。

参照

ITmedia News -Opinion：フィッシング詐欺に釣られてはいけない 2003年10月8日

高木浩光＠茨城県つくば市の日記 -ドメイン名とサーバ証明書こそが信頼の基点だということをまだわかってないらしい 2003年7月19日

Internet Explorer 6 SP1 に異常終了(exception)する欠陥が指摘されている。下記の再現コード(crash_css.html)により異常終了する。内容を解説すると"two"のspanが閉じてないだけ。わずかこれだけのコードでexceptionを起こすとは….。

<html>
<body>
<style type="text/css">
  #three {
    position: absolute;
  }
  #one #two {
    position: absolute;
  }
</style>
<div id="one">
  In 'one'
  <span id="two">
    In 'two'
</div>
<div id="three">
  In 'three'
</div>
</body>
</html>

今日は洗濯を済ませた後、睡眠不足の解消を謀って惰眠を貪りつつ、大人しくゴロゴロ休息日。

夕方ハローへ行ってトルコライスに舌鼓を打つ。HANAMARU厨房＠春吉に比べると量は少しおとなしめだが、積まれた厚みがあって油断できないボリュームだ。ピラフ、トンカツ、デミグラスソース、ナポリタンが四位一体となった味付けも含めると、やっぱりハローの勝ちと言えよう。

参照

ITmedia News -IEの標準サポートに高まる不満――MSは重い腰を上げるか？ 2003年10月10日

bugtraq ML アーカイブ by 小島さん＠龍谷大 -New IE crash: CSS + HTML 2003年10月3日

■「，」か「．」か、小数点記号論争にピリオド？ (asahi.com) 2003/10/09
**「英以外の欧州では、小数点にコンマを使う国が多い」**というのは知らなかったが、今さら小数点が「，」と言われても困るよなぁ。

Safe.pm、CGI.pmのクロスサイトスクリプティング(XSS)の脆弱性に対処するなり。

perl-5.6.1-36.1.73.i386.rpm perl-CGI-2.752-36.1.73.i386.rpm perl-CPAN-1.59_54-36.1.73.i386.rpm perl-DB_File-1.75-36.1.73.i386.rpm perl-NDBM_File-1.75-36.1.73.i386.rpm perl-suidperl-5.6.1-36.1.73.i386.rpm

ふ〜。自覚してなかったけど、我ながらお疲れのようです。f(^^;;

参照

redhat JAPAN -RHSA-2003:256-10 Perlパッケージのアップデート 2003年9月22日 -RHSA-2003:257-12 セキュリティ問題を修正したPerlのアップデート・パッケージ 2003年9月22日

4日にInternet Explorerの新しい欠陥(セキュリティホール)が警告されている。(MS03-040)

これはオブジェクトタグの問題としてその筋の人々の間では既知の欠陥であり、邪悪なWebサイトやHTML形式の電子メールを閲覧する事によってハードディスクのフォーマットなどの攻撃を受ける事がある。

現実にこの欠陥を悪用したQHostsというトロイの木馬など悪質な攻撃が出現しているので、のんびりしていると痛い目に遭う可能性大と言えよう。

そゆわけで、同時にリリースされている累積的な修正プログラムを急いで適用しよう。

久々に日付が変る前に帰って来られたような….。

参照

ITmedia News -IEの脆弱性を悪用したAIM／ダイヤルアップ攻撃について警告 2003年9月29日 -DNSに影響、パッチ未発行の脆弱性を悪用するトロイの木馬「QHosts」 2003年10月4日 -IE用の累積パッチリリース、トロイの木馬「QHosts」に対処 2003年10月6日 -IE用新パッチ、先の累積パッチの欠陥修正 2003年10月7日 -Opinion：ダイヤラーにご用心――IEの脆弱性を使った詐欺の手口とは 2003年10月7日

マイクロソフトTechNetセキュリティセンター -「MS03-040: Internet Explorer 用の累積的な修正プログラム (828750) 」に関する要約情報

OpenSSL(SSLeayを含む) 0.9.6j / 0.9.7b の両方に DoS 攻撃、0.9.7b には更に任意のコードの実行を許す欠陥あり。修正版は 0.9.6k と 0.9.7c になる。

徹夜明けでへろへろだが、取り敢えず 0.9.7c にアップデートしておく。mod_sslとapacheのrebuildも忘れずに。

参照

OpenSSL

Internet Watch -OpenSSLに任意のコード実行やDoS攻撃を受ける可能性のある脆弱性 2003年10月1日 -マイクロソフト「Microsoftセキュリティ修正プログラム管理ガイド」公開 2003年10月1日

タイガースに遅れる事2週間。我らが福岡ダイエーホークスも千葉ロッテマリーンズを13対10で下して3度目のリーグ優勝を飾り、福博の街が3年ぶりに湧いた。

今日はまず薬院で同僚の送別会。20時過ぎにお開きとなった時点で、杉内が打たれて3対6でマリーンズに逆転を許したとの情報が入り、今日もダメかなぁ…とちょっと弱気モード。

マジック対象のライオンズも敗色濃厚という事を頼りに、取り敢えず2次会は離脱してMTBを駆って渡辺通りを天神へ。ソラリア広場を覗くと7対6と再逆転したところでスゴい盛上がり♪

気を良くしたところでそのままホークスタウンまでレッツらゴー。真っ先に臨時のグッズ売り場に並んでしまう。戦況を気にしつつ15分ほど並んでたら行列のあちこちから**「ライオンズ負けた、優勝だ」**という声が漏れ、拍手が湧き上がった♪

程なくタペストリーとペナント、ステッカーをGet。大人しく帰ろうかと思ったのだが、せっかく無料開放されているんでドームのスタンドへ移動しホークスビジョンで応援。ちょうど8回表の攻撃中で大道のタイムリーにウェーブしまくりで大盛上がり♪♪　さすがに最終回に2アウトから篠原が打たれて3点を献上した時には「いや〜ん」な雰囲気がそこはかとなく漂い、最後のバッターが大きなフライを打ちあげると悲鳴が聞こえるほどだったが、センター出口のグラブに収まった時には拍手喝采。思わず見知らぬ隣の人とハイタッチしてしまうほどでございました。

王監督、松中、城島、井口の胴上げを観たところで撤収。『いざゆけ若鷹軍団』を口ずさみながらゴキゲン気分で23時過ぎに帰宅。マジックが１となってから改めて1勝の重みをヒシヒシと感じた2003年のペナントレースだった。