雑記

というわけで，今日から4日間横浜です．

◆ 会場

はパシフィコ横浜．桜木町駅から歩いたのですが遠いですね．クロークに預けようと思って荷物を持っていったのを大後悔．しかも受付で聞くと「クロークは用意しておりません」，結局荷物はコインロッカーに．

◆ インテリジェントレベルによる多段防御

ラックの偉い人ということで聞いてきました．内容は先日のセキュリティセミナーの話で投げっぱなしだった部分を埋めたような感じでした．例えば，方針の考え方というタイトルで「何が，どうなれば問題なのか?」と書かれているスライドの後に，3枚かけて基本方針や影響の分類等についての説明が続くと言った具合．

チュートリアルのタイトルでもある多段防御の手法はIDS/IPS(IDP)と総合管理ツールを組合せて，インシデントの検出と防御のうち可能なものは自動化して，インシデントの発生から実際の防御までのタイムラグを減らそうというもの．

資料はスライドのみ．特に図だけのスライドなどは説明文が欲しい所．数枚のスライドの追加はあったが，入手は可能との事．そういえばセキュリティセミナー第2回の高木氏の資料はどうなったのだろう? と思ったら公開されていた．これはこれでお金払って参加した人間の立場は?とか思わないこともないが，自分がもし参加者じゃなければこういうのは非常に嬉しいだろうし．難しいですね．

◆ 企業におけるIPv6ネットワーク利用

「IPv6の利用がこんなに広まっていますよ」という話かと思いきや「IPv6使ってください」という話でした．聞き終わった時点での率直な感想は，まだまだ待ちというか，2008年にはv4アドレス枯渇するとか言ってる割にv6の作業も進んでいないんだなぁと言ったもの．「通常の使用に必要な技術はだいたいReadyになっている」と書いておいて，後から「ほとんどのOSがIPv6でのDNSルックアップに未対応」と来たあたりでうーんと唸っていたら，さらに強烈なのが．問題のスライドのタイトルは「将来のF/W構成」．そこに描かれていた将来のF/W構成では，なんとF/Wをバイパスして外部と内部のネットワークで直接通信するそうです．境界上のルータでパケットフィルタリングするとか，「金庫モデル」を使うとか言っていましたが，言い訳にしか聞こえません．その前に，IPv6のIPsecではレイヤ4情報を参照できないため，従来のF/Wとの共存は不可能という話があるのですが，その後でこのスライド見せられたら「逃げただけじゃん」という印象しか持てないんですが．他にもツッコミどころが散見され，全体に自分達の首を自分達で絞めてた感じ．

そうそう，チュートリアルでは一貫して「玄関モデル」「金庫モデル」という言葉を使っていて，「やべぇ，そんな言葉あったんだ．知らなかったよ」とか思っていたのですが，ググって見ると「玄関モデル」が11件，「金庫モデル」が9件，しかもどうやらIPv6関係者以外では使われていない言葉の模様．私の知っている言葉で言い換えると「玄関モデル」はファイアウォールによる防御，「金庫モデル」はホストIPSによる防御です．ホストIPSってのはなかなかチャレンジングかも．

◆ セキュリティホールmemo BoF

いつもお世話になっているセキュリティホール memoのBoFに参加．

「日本Snortユーザーズグループ最新情報」はユーザーズグループ立ち上げましたのでよろしく，といった内容．

「個人情報保護法update」は2005年4月の本施行までに色々と準備しないとまずいよと言う話．湯沢で聞いたのとはだいぶ話が違ってました．

「セキュリティ関連出版関係」は良書が売れないという切実なお話．大学の図書館や情報系の研究室に行き渡らせることができれば多少は状況が改善されるのかな．

「サイバー犯罪条約批准ネタ」はこれに伴う法改正がかなりヤバいというお話．詳しくはこの辺を参照．

今日は1日「Security Day 技術だけでは守れない」に参加．資料の出来は日本標準レベル．

◆ 【基調講演】セキュリティ管理と高信頼性組織の構築

エンドユーザーが手軽にGbEを入手できる現状ではバックボーンは10Gが必要で，そうするとファイアウォールがボトルネックになる．これをどうするかと言う話から，昨日のIPv6話の「将来のF/W構成」と同じコンセプトの図がでてきたのにはちょっとビックリ．しかしさすがに昨日の話とは違い，このモデルで暗号化通信のバイパスを許すとやり放題になってしまうので，そこはちゃんと対策を考えなければならない，と言っていました．

とこれで終わってしまうと講演の内容が誤解されそうです．メインテーマは，既存のファイアウォールによるセキュリティ管理モデルは色々と限界がきているので，新しいモデルを考える必要がある(答を模索中)．また，想定外のトラブルに対処するため，専門的なスキルと豊かな経験をもつスタッフを確保する(育てる)必要がある．というものでした．

◆ JNSA・JPCERT/CC 活動報告

JNSA(日本ネットワークセキュリティ協会)の活動報告は，協会内のWGの紹介．淡々と説明があって特に質問もなく終了．

JPCERT/CCの活動報告は11月までのセキュリティ関係の出来事とJPCERTの動きおよび他のCERT等との国際連携事業に関する報告でした．この1年は国際協調体制の構築にがんばってたんだなぁ，にしては本業の影が薄いんでないの?というのが正直な感想．同じプログラムに出ていたy君曰く「手を広げすぎ」

◆ 【基調講演】法律から見たITセキュリティ

管理者が日常業務でやっていそうなことを法律に照らし合わせるとどうなるのかというお話でした．興味深かったのは，個人情報保護とアクセスログの取得について．あと，データ・りテンション(データの捨て方)の話は湯沢で聞いたときにはもう一つの重要な意味があったのですが．と思って日記を読み直して見ましたが，書いてない(^^;．ポリシーとしてデータを何年間保存するのかを明確に決めておいて，その期間が過ぎたらさっさと捨てなさい．その心は，裁判で訴えられたときに，「ウチはポリシーでデータの保存期間を○年と決めている．よって×年以前のログはない」と言える．さもなくば，「ログがあるはずだ」といって際限なく要求される．ということだったかと．

◆ インターネット定点観測プロジェクト

もうすぐ情報提供開始します．だそうです．目的は予防だと言っていましたが，具体的にどういう情報を取ってどう予防に結びつけようとしているのかと言うビジョンがよく見えなかったです．

◆ JNSA WG 報告

ハニーポットとセキュリティ被害調査についてのより詳しい報告．

ハニーポットの方は，2枚目の追加スライド「まだ出来てません．ごめんなさい」が全てを物語っていた感じでした．

セキュリティ被害調査の方は，なぜかスーッと流れてしまった感じでした．資料を読み直すとそれなりに興味深いデータがいろいろ載っているのですが，

◆ 【BoF】眠れない夏，オペレータの戦い

今年の夏はCISCOやらBlasterやらで大変だったね．というお話を元ネタにあれやこれやと．持ち込みノートによる感染拡大は辛いね，とか，ISP等の一部業者には脆弱性の情報を事前に伝えるべきかどうか，とかいった話題などで盛り上がりました．お土産にHPのセキュアOSを頂きました.

◆ どうも

よく知らないまま「大丈夫」と言っていたらしい．それを信じてちゃんと確認しなかった私も悪いんだろうけど，そんな調子だと信頼失うよ?

◆ [SSL] PKI 〜基礎と応用〜

応用を楽しみにしていたのですが，「PKIの応用」かと思いきや，「PKIを応用したアプリケーション他」の話でした．お話は良くまとまっていましたし，細かい点でいくつか新しい知識が増えたので結構満足．

ちょっと以外というか，驚いたのは認証局のAssurance Lebelとして，Rudimentaryと言う「身元確認のために要求はない」というクラスが存在していたこと．こういうクラスの認証局が実際に存在し，ブラウザ標準のTrusted CA Listに含まれていたりしたら，ちょっとした工夫でSSL MITM攻撃が証明書に関する警告無しで成立してしまうような気がします．

◆ 管理者が注意したいネットワークの法律の最新動向2003

情報漏洩，不正アクセス，個人情報保護，名誉毀損をテーマにどういう法律が関わってくるのか，管理者としてどういった対策をとればよいのかというお話．

情報漏洩は，データの入力を委託した先の業者から漏れた場合でも，管理責任として訴えられる可能性がありますよ．集団訴訟の被告になると，1人頭数万円といった罰金でも1000人分のデータが漏れたら? 1万人だったら? という怖いお話．

不正アクセスはスライド2枚だけ．セキュリティホールを公の場で公開すると，不正アクセスの幇助になりかねないというお話で，A.D.2003からの一連の騒ぎを意識していた(というかほぼ名指し批判だったような)印象．

個人情報保護についてはセキュリティホール memo BoFの太田さんと同じような内容でした．あの時は湯沢で聞いたのとは違うとだけ書きましたが，まだ実際に施行されたわけではないので，色々な弁護士が自分なりの解釈を表明している段階なのかな? といった印象に代わりました．実はBoF内で発表した太田さんは弁護士では無い方だったので，ちょっと眉に唾つけてました．太田さん，ごめんなさい．

名誉毀損は，掲示板等の名誉毀損に絡んで掲示板の管理者が訴えられるというお話．とくれば当然2ch中心です．どうも岡村氏はひろゆき氏を敵視している模様．そうなるまでにいろいろあったのかも知れませんが，事情を知らない人間からすると，岡村氏がきつい言葉を使っていたという印象しか残らず．

◆ 会社設立

どうも私はいちおう公務員扱いと言うことで，兼業に関して制限があるはずだから今のままでは確認が受けられないということらしい．関連資料が手元に無いので，明日帰ってから．

最終日の朝はこむら返りで目が覚めました．お酒の入った次の日は弱い？？

◆ 負荷分散装置

負荷分散の仕組みや負荷分散装置の機能，構築のノウハウなど．

負荷分散のアルゴリズムが結構悩ましい問題だということがよくわかりました．Least Connection(保持しているコネクションがもっとも少ないサーバに割り当て)やRound Robinはセッションの管理が必要なHTTPなどのプロトコルでは使えない．一方でクライアントのIPアドレスで割り当てる(同一クライアントは必ず同じサーバに割り当てられるのでセッション管理不要)と，クライアント側でNATを使っていたときに負荷に偏りが出る．HTTPヘッダやCookieを使って(まじめにセッション管理して)振り分けるようなアルゴリズムはSSLでデータが暗号化されるとアウト．じゃあとSSLのセッションIDでやろうとするとIEの仕様が邪魔をする．と，なんか八方塞がりな感じ．山口氏の基調講演でGbE時代になればファイアウォールの負荷分散は必須みたいに言っていたのですが，なんかL2からL7まで見渡してよく考えなおす必要がありそうです．

◆ Webサービスの基礎と，標準セキュリティメカニズム

前半は基礎編でちょっと退屈でしたが，後半のXMLセキュリティ話は非常に面白かったです．特に，最近話題のLiberty Allianceの話とか．実は「Libertyアーキテクチャ概要 バージョン1.1」を以前読んだときにはよく理解できておらず，『ふーん．で？』という印象だったのですが，SAMLの説明があった後に，LibertyはSAML認証アサーションを使っていると言う流れの今回の説明を聞いて，もやもやがパーっと晴れた感じ．「Libertyアーキテクチャ概要 バージョン1.1」を読んで，裏で何が動いているのかよう分からん，ともやもやした思いでいる人は，SAMLについて勉強すると良いかも．

◆ ビジネスプランコンペ

本番までまだ時間があると余裕こいてたら，「動作確認のためパワーポイントのデータを10日までに送付して下さい」との通知が2日付の郵便で届いていました．今日もふくめて実質あと3日．しかも10分のプレゼンなのでかえってまとめるのが難しいことが今日の作業で発覚．ノート持ち込みじゃダメなのかなぁ．

◆ インターネット感染する病

私は常日頃からある気がかりにとらわれていました．それは以前の私の常識に照らし合わせてみると，いささか突拍子もないものであり，私は，私がひとたびその考えを口にすれば，その相手が友人であれば顔をしかめ，あまり親しくない知人であれば二度と私に近づかなくなるであろうことを理解していました．

しかし私はとうとう見つけたのです．憎きあいつらに私と同じく苦しめられている人々を．彼らは，私の代わりに，私の気がかりが真実であると言う証拠を掴んでくれました．誓って言いますが，彼らが私に何かしたわけではありません．ただ淡々と事実を公開していただけです．私は彼らと共に闘う決意をしました．

あなたは私の言葉を信じないかもしれません．少し前までは，私自身，私の考えは突拍子もないものだと信じていたのですから．しかし，いずれは来るであろうあなたが気付く時のために，このアドレスを残しておきます．

◆ とまあ

上に書いたようなことがインターネットの世界では結構頻繁に起きているのではないかと，某掲示板を見て思ったり．

インターネットは良くも悪くもフラットな構造をしています．そこにある情報がメジャーなのかマイナーなのか，あるいは正しいのか間違っているのかということは，なかなか判断できません．また，マイナーで一般には間違った考えに基づくものであっても，日本中，あるいは世界中といった規模の母集団があれば，数十人単位のコミュニティはあっさりと出来上がってしまう可能性は十分にあるでしょう．そうした情報に触れたときに，はたして私は正しい判断ができるのだろうか．

◆ 余談

そういえば，某まんがにそういう落ちの話があったなぁ．

◆ 会社設立

午前中は作戦会議．日ごろからもう少し積極的に行動すべきだったと反省．

午後いちで不明点を総務に問い合わせ．どうもあちらもよく分かっていないらしく，2度ほど確認の電話があったものの結論はもう少し待てとのこと．

◆ minicom

Linux box のシリアルポートの先にLFをデリミタとして認識する機材が繋がっている環境で，minicomを使ってテストが出来ないので何とかして欲しいという依頼．いろいろ調べた結果，スクリーンへの出力にLFを付加するオプションはあるものの，シリアルポートへの出力にLFを付加するオプションはない模様．sttyでいうところのonlcrをセットできれば解決する話だと思うのだが，なんかソース取ってきて書き換えないと出来なさそう．

この辺の設定が自由に出来るシリアル通信ソフトってないですかねぇ？

◆ 会社設立

ストレートに書いてしまって良いものかどうかちょっと微妙な情勢．

蛇が出るのを覚悟してやぶをつついてみたら，現金が落ちていて万々歳．と思いきや，思いがけないところから別の蛇が顔を出してまた一歩後退．といった感じ．

◆ false positive?

昨日久しぶりにCD-ROMを焼いてからどうもPCの様子がおかしい．デスクトップを管理している一番大本のexplorer.exeが頻繁に再起動している様子．B's CRIPの操作を一度キャンセルしてからこの現象が出始めたので，これが原因だろう．

で，ためしにMicrosoftに障害情報を送信してみると，おもむろにIEが立ち上がって，「このコンピュータはBlasterに感染している恐れがあります」と来た．ルータをかましてフィルタリングかけているので，感染するとしたらノートからだが，上の状況もあるし，Windows Updateも怠っていないので，ちょっと感染は信じがたい．念のため表示されたサポート情報からBlasterの痕跡を探すものの，やはり見つからない．とりあえずMcAfeeのスキャンを実行して出勤．帰ってきてから結果を見ても感染ファイルは0．さらに念を押してSymantecの駆除ツールで確認中．結果は明日の朝かな．

◆ false positive? (続き)

"W32.Blaster.Worm has not been found on your computer"だそうです．そろそろ言っても良いでしょうか？ 「MSのアホー」

なんかこういうことされると，報告する気が失せますねぇ．ただでさえこちらのコンピュータの情報を送信すると言うリスクを強いられているのに．

◆ 現状の IE は危険すぎて使いものにならない (セキュリティホールmemoより)

アドレスバーやステータスバーの表示内容を偽装できるそうです．なぜこれが非常に危険かと言うと，たとえば，今これを読んでいるあなたが実際にはwww.on-sky.netではない，よく似せた偽ページにアクセスしていても分からないということです．このページならまず問題にはなりませんが，もしオンラインショップがターゲットにされたらどうなるでしょう？

もうひとつ，さらに危険なのはSSLで暗号化されているページさえ，この脆弱性を使えば偽装できてしまう可能性があると言うことです．まず，悪意ある人間が適当なドメインをでっち上げ，SSLサーバ証明書を取得します．で，どうにかしてターゲットサイトへのアクセスをこのサーバへと飛ばすように仕込みます．あとはこのサーバで，ユーザーとターゲットサイト間の通信を中継してあげます．悪意あるサーバに対してSSLサーバ証明書を発行した認証局のルート証明書が，IE標準のTrusted CA Listに含まれていれば，「偽者かもしれないよ〜ん」というサーバ証明書に関する警告は出ない()ので，引っかかってしまったIEのユーザーが，間に悪意のあるサーバが介在していると認識できる可能性はかなり低いでしょう．結果，このサーバを立てた悪意ある人間は，ユーザーが入力した個人情報やクレジットカードの番号を抜き取ることが出来ます．

これがいわゆるSSL MITMというやつです．先日，SSL MITMについて書いたときには，この点（アドレスバーの偽装が難しい）をクリアするのが難しそうだったので，別シナリオのほうが現実味があると思っていたのですが．．．

言わずもがなですが，この脆弱性を使えばSSLでないMITMなんてお茶の子さいさいです．いろんなところに○○を××して，☆☆を△△させ，あとはただひたすら□□すれば，何でもできちゃうなぁ．(あまりにも現実的な手法だし，実際にやる人が出てくると困るので伏字．)

◆ 現状の IE は危険すぎて使いものにならない (続き)

昨日の話の続きですが，手元の環境でSSL MITM攻撃を昨日書いたシナリオ通りに実現可能であることを確認しました．

現時点でIEを使ってSSL暗号化されたページ(https://で始まるページ)に不用意にアクセスするのは非常に危険です．必ずステータスバーの鍵マーク(右下に表示されるやつ)をダブルクリックして，アドレスバーに表示されているURLと，サーバ証明書の発行先のホスト名が一致しているか確認しましょう．

◆ デモ

の準備は出来ているのだけど，公開してよいものかどうか．何をいまさらってか．

限定30日間のデモと解説を作ってみました．

◆ 追記

12/17 :

• 「限定30日間」と言うのは，30日経過するとデモが動かなくなるという意味で，この日記を消すわけではありません．分かりにくい表現でごめんなさい．
• １ヶ所修正しました．フットノート参照．
• セキュリティホールmemoで小島さんがCAルート証明書をインストールしなくても良い例を出してくださっています．あの例で，表示される内容としては実際のMicrosoftのサイトに似せてあったり，個人情報の入力を促すようなフォームが並んでいたりするといったページを想像していただけると分かりやすいかなと思います．あるいは，netsecurity.ne.jpさんのページを，間に入ることによって改竄するとか．

12/24:

• ISSからMicrosoft Internet Explorer domain URL spoofing filterというのが出ていますが，Donut Pではうまく動作せず，相変わらず偽装サイトの方に飛ばされてしまいます．ただし，Donut Pでは偽装サイトに飛んだ時にはアドレスバーの末尾に%00が表示されるなど，もともと気づきやすいような動作をしますので，問題ないのかもしれません．
  Dounat P 同様，IEをエンジンとして使っている他のアプリケーションについては，こうしたツールが本来の役割をちゃんと果たすのかどうかちゃんと確認した方が良いでしょう．
• ZDNetにIEのサイト偽装問題で被害をこうむらないためにという記事が出ています．

  当該サイトがホスティングサービスなどを利用している場合は一概には言えないが、証明書の発行先と現在アクセスしているURLとかけ離れたものではないかを確認すべきだ。

  の下りは，私だったら，

  具体的には，証明書の発行先と現在アクセスしているURLのホスト名とが異なるものではないかを確認する．当該サイトがホスティングサービスなどを利用している場合，正しいサイトにアクセスしていても，アドレスバーの表示と証明書の発行先が異なる可能性はありうるが，それが本当に正しいサイトなのか，偽装された物なのか見分けることは困難なので，そうしたサイトでの個人情報の入力も控えた方が良いだろう．

  と書くところですが．「見分けることは困難」のあたりがちょっと弱気．あと，ホスティングしていても証明書の発行先がアクセス先と異なる事は無いような気もしますが，フレームを使ってhttpsでのアクセス先を隠している場合とかと混同してる？？
• ISSのツールとは別のものですが，IE用のサードパーティ製のパッチに脆弱性が存在したという話もあるようです．

◆ 準備するもの

脆弱性を含んだインターネット・エクスプローラ

◆ SSL MITMの確認

まずは，以下のリンクにマウスカーソルを当てて見てください．カーソルを当てるだけでクリックはしません．

https://www.example.com/fake/URL/

すると，ウィンドウ下のステータスバーの表示が「https://www.example.com/fake/URL/」となり，www.example.comに飛ばされるよう誤解してしまいます．

次に，上のリンクをクリックしてみてください．するとこの時点では，次のような警告が出ます．

ここで，警告の項目のうち，「このセキュリティ証明書は信頼する会社から発行されていません」と言うところだけに警告マークがついていることに注意しましょう．確認したら，ここではいったん「いいえ」をクリックしてダイアログウィンドウを閉じてください．もし，以下の注意書きを読んでCAルート証明書のインストールはやらないという結論に達した場合，ここで「はい」をクリックすれば，問題点の確認だけ行うことも出来ます．

さて，次に認証局のルート証明書をインターネットエクスプローラにインストールするのですが，ここで警告を．

これから示す手順では，私がデモ用に準備したCAルート証明書を「信頼できる」ものとしてインターネットエクスプローラにインストールしますが，そうすると，このデモ用のCAルート証明書を使ってサインした，すべてのサーバ証明書が警告無しに許可され，SSLで暗号化されたページが表示されるようになってしまいます．今回のデモで使用したCAルート証明書の有効期限は2004年1月13日までとなっており，最後に説明するCAルート証明書のアンインストールを行わないと，この有効期限までの間，このCAルート証明書を悪用して，あなたのコンピュータにSSL MITM攻撃を仕掛けることが可能になります．
私は，デモの動作確認をした時点でCAルート証明書の鍵ファイル他，サインに必要なデータをすべて破棄しましたが，この「破棄しました」という記述自体が真実であると言うことを，インターネットを介してこのページを見ている人に対して証明することは出来ませんし，私がCAルート認証局の証明書を作成してから動作確認を終えるまでの約2時間の間に，このデモ用のCAルート証明書が盗まれなかったという保証もできません．それらのことを踏まえたうえで，以下の手順を本当に試すかどうか慎重に判断し，自己責任で作業を進めてください，

上の警告を読み，理解した上でなお試してみたいと言う方は，下のファイルをクリックしてください．

デモ用CAルート証明書

すると，「ファイルのダウンロード」というダイアログウィンドウが現れます．

「開く」ボタンをクリックしてCAルート証明書を開きます．

「証明書のインストール」ボタンをクリックすると，以下のように「証明書のインポート　ウィザード」が開きますので「次へ」「次へ」「完了」の順にクリックして，CAルート証明書をインストールします．

「ルート証明書ストア」というダイアログウィンドウが出てきて本当にデモ用CAルート証明書をインストールしてよいかどうか聞いてきます．上の警告文をもう一度よく読んで理解し，本当によければ「はい」をクリックします．