昨日書いたWebフォーラムの話し。眠気にかまけて理解が不十分だったようで、よ〜く読み進めると問題はクロスサイトスクリプティング(XSS)だけでなく(XSSも全てのページが対処されたわけでは無いらしいが…)セキュリティホールはまだあると言わざるを得ない状況だ。

で何がセキュリティホールか？というと、「nifty.com 配下のどこでもセッション Cookie が読める」という問題。「domain=.nifty.com」なんてレンジのCookieを発行している事から、@nifty会員ならばcgiを自由に配置できるhpcgi*.nifty.comからも簡単にCookieが読み取れるわけ。つまりアクセスカウンター等に仕込んでおけばユーザーには気付かれずに Cookie の値を盗み出すことが可能である、というわちゃ〜な大穴だ。

ここだけを取り上げると正気の沙汰とは思えない安易を通り越してずさんとも言えるやり方なのだが、サーバーを跨ったシングルサインインを実現するとなるとこれ以外には方法は無く、利便性に気を取られてCookie漏洩の危険性まで注意が及ばなかったんだろうと思われる。そういう根の深い問題なので、抜本的な対応となるとURLの変更が避けられないと思われ、かなり時間がかかりそうな気配だ。

ユーザーとしてはパスワード等を入力するメンバーズエリアにはログインしないのが一番なのだが、少なくともログアウトした後は全てのプラウザウィンドウを終了する事が必要。間違っても別のサイトへアクセスしたりしないようにご注意あそばせ。

参照

えび日記 -「XSS大王・さらなるホゥル」 2003年6月23日 -「XSS大王Q&A」 2003年6月25日

apacheのアクセスログをIPアドレスからドメイン名に変換するawk処理。

awk '{"dnsname "$1 | getline nm; close("dnsname"); sub($1,nm,$0); print }' /var/log/httpd/access_log

今日は**わしたショップ**で軟骨ソーキ煮付を調達。

とろぷるに煮込まれた軟骨が事のほか美味であった。というわけで昨日の「八重山そば」をさらに美味しく頂いて幸せかも。レトルトパックで325円というのはお手軽だが、独り身でソーキ肉4切れはちょっと多過ぎで、喰い過ぎの気配。

ブルーシールの期間限定オレンジシャーベットもウマかったし言う事なし。何となくゴーヤも買ってしまったので、明日はゴーヤチャンプルーでもいっときますかねぇ。f(^^;;

街角には水法被姿の男衆もチラホラ、夏の風物詩祇園山笠の気配が漂い始めた博多である。

あと「フォーサーズシステム」関係のリンクをぴらっと追加。

参照

Olympus E-1 http://www.olympus-esystem.jp/

フォー・サーズ・システム http://www.four-thirds.org/

オリンパス光学工業から期待のレンズ交換式一眼レフシステム「フォーサーズシステム」第1弾が10月上旬に登場する事が発表された。

4/3インチ500万画素CCDを採用した**「E-1」**にも増して注目せざるを得ないのが「ズイコーデジタル」のブランドを冠した交換レンズ群だ。

ズイコーブランドの新製品ってば何十年ぶりかしら？という感慨はさておき、最初からマクロをラインアップするというのはやはりオリンパスだなぁ、ていうか、マクロが無かったらズイコーの冠をかぶったところで裸の王様だったりして。

プロ用の最高級モデルだけあって20万円を越える本体は敷居が高いが、今後のアマチュア向けモデルの展開を睨むと、ズイコーEDレンズの描写力には注目したい。

待ちに待った本家が動きだしたところで、「フォーサーズシステム」のパートナーでもあり、オリンパス光学工業で開発総責任者だった小島佑介氏を招聘したコダックの動向も要チェック。どんなカメラを出してくるのかな〜

参照

ZDnet News -オリンパス、レンズ交換式一眼レフデジカメ「E-1」発表　「ズイコー」も復活 2003年6月24日 -すべてがデジタル専用設計――オリンパス、Four Thirds対応一眼レフデジカメ 2003年6月25日 -コダック、国内個人向けデジカメ市場に再参入 2003年6月12日 -オリンパス、レンズ交換式一眼レフデジカメのコンセプトモデルを発表 2003年3月3日 -オリンパスとKodak、デジタル一眼レフ「Four Thirds」正式発表 2002年9月24日 -オリンパス，「OMシステム」販売終了 2002年1月18日

DigitalCamera.jp -4/3インチCCD搭載 レンズ交換式デジタル一眼レフ構想について 2001年6月28日

オリンパス光学工業 -デジタル一眼レフカメラの新規格「Four Thirds System(フォー・サーズ・システム)※」の採用で合意 2002年9月24日

今夜はお土産の「八重山そば」に舌鼓。ありがとうございましたm(__)m＞Ｔ中さん。やっぱ主役の三枚肉が無いのは寂しいなぁ、というわけで明日は**わしたショップ**で調達して帰らなくては!!

待ちに待った「フォーサーズシステム」に舞い上がって書き忘れたかなり重要な話。@niftyがプッシュしているWebフォーラムにクロスサイトスクリプティング(XSS)のセキュリティホールがあったあるそうな。

この問題はCookie・パスワード等の情報漏洩、セッション乗っ取りの危険性がある致命的な問題であり、特にSSLセッションにまで影響すると言う凶悪かつ特大な事例は過去最悪のXSSと言える。

なお@niftyはhttp://com.nifty.com/forum/index.htmlにおいて

いつもWebフォーラムをご利用いただきましてありがとうございます。 本日（6/20）より「掲示板でのタグの使用」を一時的に休止とさせていただきます。 上記機能を利用すると、自由にhtmlタグを記述することが可能ですが、悪意をもって利用した場合、発言者のやり方によっては、掲示板利用者に被害がおよぶ可能性があるため、対策を行うことといたしました。 対策を行う間、機能を一時的に休止させていただきます。ご迷惑をおかけし、申し訳ございません。 なお、既に登録されている発言でタグが利用されていた場合には、タグがそのまま表示されることとなりますのでご留意ください。

という記載をしているが、これを読んだところで事の重大さはこれっぽっちも伝わって来ない。不用意にユーザーを怖がらせろとは言わないが、どんな危険性があったのかは明らかにする責任があると思う。

昨年8月に導入したWebフォーラムが今になって問題になったのは、「XSS大王さらにその後」で指摘されているように「気が付かなかった…」という事では無く「問題の重大性を理解していなかった」という事だろう。しかし「実害があったかどうかの確認が為されていない」という現状も考えると、運用管理者たる@niftyの未熟さが一番の問題のように思う。

エンドユーザーにとっての**「便利なWeb」**というのは、裏を返すとこういう危険性がある熟成途上な技術であるという事を覚悟しておかなくてはならない、と言わざるを得ないのは技術者の端くれとしては悲しい現実だ。

その一方で、何となくWebフォーラムに近づかなかったというのは我ながら『カンが冴えてるな〜』と思うのであった。

参照

日経IT Pro -@niftyの電子掲示板に「クロスサイト・スクリプティングぜい弱性」，緊急メンテナンスを実施 2003年6月23日

えび日記 -「XSS大王」 2003年6月18日 -「XSS大王その後」 2003年6月23日 -「XSS大王・さらなるホゥル」 2003年6月23日 -「XSS大王さらにその後」 2003年6月24日 -「DOM万歳(XSS大王つづき)」 2003年6月24日

IPA 情報処理振興事業協会 -Webサイトにおけるクロスサイト スクリプティング脆弱性に関する情報 2001年10月23日

セキュリティフライデーからパスワードの強度を評価するツールがリリースされている。6000円で販売されるソフトウェアだが、動作期間が1週間限定の試用版も公開されているのでぜひお試しを。

ちなみに自分のパスワードではWindows 9x系だと22時間で見破られるという結果だったので、前8文字に記号を多くする事によって見破るのに209日間と「十分な強さを持っているぞ」とお誉めの言葉を頂けるレベルに強化して、ちょっと安心。

で、パスワードに記号を多く含めたらWebからのパスワード変更がうまくいかなくなった…。よくよく考えてみるとcgiから/var/qmail/bin/vida-passwdにコマンドラインでパラメータを渡しているので一部のメタキャラクタ(特殊記号)が意図しない影響をしていたわけ。というわけで~/webtools/usermod/umod.ccにメタキャラクタの対応を追加して、こちらも万全。

参照

日経IT Pro -覚えやすくて破られにくいパスワードのつけ方 2003年6月21日 -パスワードの作成/記憶を支援するセキュリティフライデーの新ツール 2003年6月19日

セキュリティフライデー

天気が良ければファームロードにでも繰り出そうかと思っていたのだが、幸か不幸か時折小雨のぱらつく生憎の空模様に、オイル交換をした後は新兵器の試し撮りに明け暮れる。

OutRiderに感化された訳ではない…というのはどう考えてもウソで、昨年11月に初期モデルが発表された時から車載ムービーカメラとしてのポテンシャルに目を付けていたにも関わらず、OutRiderに先を越されてしまったという事で口惜しさ100倍(当社従来比)。てな具合で昨日帰りにヨドバシへ寄ってIOデータのMotionPix AVMC211をGetしたわけ。

ちなみに購入価格は本体19,800円に加え、PanasonicのSDメモリ(RP-SDH256L1A)が12,100円なり。

まずハンドルのクランプ雲台に装着し試運転。前輪から伝わる振動がスチルデジカメではブレとなって現れたが、ムービーではほとんど気にならなかった。が、低速時などにステアリングをコジってしまうのが如実に再現されてちょっといや〜んな感じはあるが、ワインディングを巡航している分にはイケそうな気配。問題はコーナーだろうなぁ…。

続いてヘルメットへ。シールドにストラップで縛りつける…という方法をとってみたが、単純にストラップで一方向を締め付けるだけだとどうしても走っているうちに少しずつ下を向いてしまった。ま、動く事自体は滑り止めゴムを挟むとか対処も考えられるのだが、それ以前に取り付け前後位置から角度がどうしても右寄りを向いてしまう為、この方法は断念せざるを得ない。位置的にはシールドの可動部あたりが良さそうなんだが…というわけで次善策としてクラレの面ファスナー強力版「マジロック」を用意。これは次の週末の楽しみにしておこう。

しかし、ヘルメット装着は位置を仮決めして撮ってはメットを脱いで再生、また微調整して…という繰り返しがなかなかツライ。走行中の映像も意外にフラフラしていたので、視線は落ちついていても思ったより頭は動いている模様。映像としてはハンドルの方が安定感があり観易いかも。

ちなみに256MBのメモリで実際に撮れたのは13fps/320x240ピクセルで35分ほど。かなり動きのある画像ゆえ致し方ないところだが、ちょっと残念。次は8fpsで撮ろうっと。

参照

アイ・オー・データ機器 -210万画素 小型・軽量ムービーカメラ AVMC211 -MotionPix特集

マジックテープ on Web -マジロック

今日は久々に俵山から高森を周って箱石峠越えの古典的阿蘇一周ルート。

熊本空港を抜けて県道28号熊本高森線へ。今年春の開通予定だと聞いていた俵山バイパスは相変わらず工事中。トンネルとの接続道路もまだ未舗装だったので開通は秋以降のお楽しみ。というわけで、ハードな上りとタイトコーナーが続く俵山をキビキビとしたライディングで快調にクリア。

しかし大戸の口から箱石峠のマウンテンセクションはやっぱりリズムが合わなかった。他は良くなったのに相変わらず苦手って事は、基本的に相性が悪いように思われ…f(^^;;。

滝室坂を豪快に越えて東ミルクロードを快走。12時半に山水亭へ着いちゃったらやっぱり店の前には行列がお目見え。素通りしてガンジーファームでのソフト休憩を前倒し。久々に行ったらケーキ工房なるものができていた。試食したクリーム入りシフォンケーキは絶品だったが、買ったシュークリーム200円はシューがモサモサしててダメ。クリームだけの方が美味しいんじゃない？

13時半に再び山水亭へ。並ぶ事なく席へ案内されたのだが、店内はほぼ満席状態。30分お預けを喰らったオムライスは相変わらずうまかった。それより店員のお姉ちゃんに「いつもありがとうございます」と言われ、面が割れた事を思い知らされたショックの方が大きかったかも。

大観峯でコーヒーブレイクを楽しんでいたら小雨が降り始めたので下山を決意。ミルクロードから菊池スカイラインを駆けおりて菊池の城乃井温泉****200円へ。

R3を戻るのも芸が無いので、これもまた久々の竜門ダムから中津江村の鯛生金山に抜け、松原ダム〜日田へと繋ぐルートをチョイス。昨年Ｗ杯キャンプの話題をさらった中津江村ではあちこちに去年のカメルーンキャンプ絡みの遺構が残っていたが、一年を経てまるで余韻を楽しむかのようでもあった。

ちょっとセンチメンタルなコブクロの『風』のメロディーに乗って、なぜか428kmも走った6月21日だった。

参照

ワーナーミュージック ジャパン -コブクロ - 風

起動時の"Device or resource busy"というエラーは/etc/rc.d/rc.sysinitでquotaが起動されているにも関わらず、/etc/rc3.d/S90quotaで重ねて起動していたからで、まさに"Device or resource busy"でした。

でもいつから/etc/rc.d/rc.sysinitでquotaが起動されるようになったのかしらん？

台風一過で晴れはしたものの、吹き返しの南風で一気に蒸暑くなりけり。

今週末、慰安旅行で石垣へ行くと言う派遣先の同僚をちょっと羨ましく思いつつ帰路へ。でも2泊3日じゃ勿体無いし、個人的には去年充分慰安してるので気を取り直し天神へ。せめてもの慰めに**わしたショップ**でブルーシールに舌鼓を打とうと言う魂胆だ。

何気にMTBを走らせていると、財布にビビンバ・韓国冷麺専門店の食事券があったのを思い出し、ちょっとスタミナ補充するべ！と親富孝(親不孝)通りの**菜ずき**へ…。

今日はビビン冷麺600円を所望。ラーメンのような細麺と、カプ？のキムチと鶏そぼろをグリグリ混ぜて絡める。見た目に反してモチモチ感豊富な細麺が口の中で踊るのはなかなか新鮮な感覚。見た目ほど辛くない辛味をアグレッシブに追加して旨味も増量。ビビンバに負けず劣らずな逸品であった。

石焼ビビンバ・韓国冷麺専門 菜ずき 11〜AM2時(日曜23時) 不定休
福岡市中央区舞鶴1-8-1ビーンズビル TEL:092-715-1516
★ホームページに食事券が当るアンケートあり(要レシート)★

満足して店を出ると親富孝通りがどことなく釜山の裏通りかのように見えてしまうトリップ感は韓国唐辛子のなせる技。てな具合に韓国気分を引きずって**わしたショップで紫イモソフト300円**をGet。

沖縄県物産公社 わしたショップ 10〜19時 不定休
福岡市中央区天神2-14-13 天神三井ビル1F TEL:092-752-0707

やっぱ暑い夏はブルーシールに限るね〜。と、屋台からトンコツスープの香りが漂う天神の街角でプチ旅気分。

参照

菜ずき

わしたショップ -福岡わしたショップ