200503 F1の季節。
とはいえ、
販売することが目的ではなく、製造委託を受注するためと答えているとの情報もあり、 依然として疑惑がつきまとっている。
だそうで。
判決文が出ているようです。「ようです」というのはちゃんと入手したのかどうか 書かれていないから。
脆弱性を指摘しても、とぼけられたり、こっそり修正して隠し通そうとしたり…… などという行為がなされると、指摘した側は当然不愉快に思います。
たしか昔の雑誌(今は休刊)で、go.jpに関する話題でこの手の記事がありました。
今後のネットワーク社会が安全・快適な社会になるよう貢献をしていく所存です。
貢献ですか。そういえば、こんなのがありました。
なお、現在ACCSでは、上記「標準CGI」の欠陥について、レンタルサーバ会社が 負うべき責任問題について、話し合いを継続しています。
で、その後：
(関係ないですが、ファーストサーバ公表した文書のPDFファイル、今は通常のリンクからは たどれないような気がするんですが…。無かったことにしようとしている？(おいおい))
ファーストサーバ（株）は、結果的にはACCSを含む顧客に対して間違った情報を 提供したと言わざるを得ません。十分な情報公開があればこのような事態に 至らなかったと残念でなりません。
「残念でなりません」でそこで終わりなんですか…。 もっと先まで踏み込んでいってもらわないと貢献しているようには見えないんですけど。 (ひょっとして、中では賠償責任の話とかやっているのかもしれないですけど、 こちらからは何も分からないですし。)
＊＊＊
ところで、その問題となったCGIスクリプトですが、こんな感じだったようです。 (さすがに中身を見るようなことはできませんでしたけど。調べても入手はできないと思いますし)
えーと「このCGIは」…
「テンプレートファイルやメール送信先を外部入力で指定する」「サニタイズしていません」
↓
「クロスサイトスクリプティング脆弱性」「ディレクトリトラバーサル」 「ダイレクトOSコマンドインジェクション」「メールの第三者中継」
うわ、脆弱性のオンパレードだったんですか。てっきりXSSだけかた思っていたんですけど。
他にも、「一切をサニタイズしていない」とか「サブルーチンが一つもない」とかいう CGIだったようで。 (from 伝わらない)
(逆に言えば、これだけいろいろ問題のあるソースをヨセフアンドレオンが見抜けなかった ことになります、か。)
え…それだけでOK？うーむ。
何だか、ユーザーにとっては裁判が終わっても何も変わっちゃいないような気がするんですけど。損害賠償よりも、セキュリティホールを早急につぶしてくれるような仕組みが確立されないと、将来のインターネットの健全な発展は期待できないです。
…Google Newsから検索。
…というか、報道がほとんどないんですけど。株価のほうは…
…漏洩しても上がってますけど。もはやマネーゲームだから関係ないのかな。
不正使用ならびに流出した事実は確認されておりません。
とあるけど、確認できなかった可能性もあるわけで。「不正アクセス」と書けば良いものでもないし。しかし、4/1前に発表したのは戦略なのかなあ、とかなんとか書いてみたりして。
ところで、株価は1000万に到達してますけど下がるのかなあ…。
「森昭雄 科学的根拠に乏しい」で検索。
論文を米国の「New Scientist」誌に送ったが査読の段階で 「結論にいたる過程が科学的根拠に乏しい」として掲載を断られている。
掲載拒否という情報が見受けられます。いわゆる報道機関(新聞など)からの情報では見つからないですけど。
さらに「New Scientist akio mori」とかで検索。すると…
論文を取り寄せてます。内容がツッコミどころだらけなのは間違いないようで、
貴重な紙資源を使ってbullshit(デタラメ)を書き連ねた後で出してきたのは、 下の画像に写っている、ゴミのような表でした。
と、ばっさり。
ためになる記事を読ませてもらいました。
自戒込みですが、ごじゃごじゃ理屈を主張しますと、
その他被告人が縷々主張するところは、いずれも採用できない
で一掃・一蹴されます。
うーむ。
http://www.loveis.jp/ という同窓会サイトのようですが、読んでいると 危険すぎですねえ。…登録しない方が良いように思われます。
金山のアスナル金山。見づらい。
しばらくサービスを停止するようです。
予約の来場者情報（入場券番号）を登録するデータベースサーバーをサポートナビ・ リアルタイム交通情報（ITSシステムの一部）や、携帯WEBサービスと共用しており、 開幕と同時に利用数が跳ね上がり能力不足に陥ってエラーを返している。
明らかに大量のアクセスがあるというのに、サーバー共用ってのはどーよ。という気も。
予約システムが過剰に来場者情報をチェックして処理が重くなっている。
過剰に、って。
インターネットのアクセス回線が飽和状態にありつながりにくい状況になっている。
なんか、負荷テストをやってない雰囲気なんですが…。はて。
「知らないうちに僕が作ったフォントがサイトウマコトデザインの一部になっている…!?」という話。
via:
問題となった記事はこれ。
テンキーのフォントなら数字がデカければ気持ちがいいじゃん、見やすいじゃん、 という発想のものですし、フォントもサイトウさんが、こだわった手書きの フォントを作ってくれました。
まだ、動きはないようですが、どうなるんでしょうかね。
★追記：
KDDIに確認したところ、サイトウマコト氏が当該フォントを作成したとする発言は、 KDDI側の勘違いであることが判明した。
au design project担当者がフォントのデザインを受け取った際に 「サイトウ氏のデザインのこだわりで選んだ数字」という説明を受け、 KDDI側はサイトウマコト氏がデザインしたものだと認識。
ふむ。でもまだ上の当該サイトは読めないままなんですが。 それに、微妙に表現が違うのはなんででしょう。
★また追記(3/30)：
サイト“9031”は消失しているが、アクセス過多によるものであり、近々に復旧の予定とのこと。 またサイト復旧後は、本件の経緯も含めた情報を掲載する予定だという。
解説もありますが、法的な見地からの意見はないようです。 「各人の良心や自制心にゆだねるしかないのかもしれない」というまとめではちょっと。
…で、さらに上のページに追記されているんですが、↓
本日17時25分現在、本フォントが「PENCK」デザイン担当者の作品であるように 記述されていた大手Webサイト記事の一部では、訂正が加えられていることを確認した。
「大手Webサイト」？
【お詫びと訂正】初出時、(以下略)
…。
自分のところのサイトだろ!
うーむ。不可解。
青柳勤裁判長は「アクセスはプログラムの脆弱（ぜいじゃく）性を利用したもので、 管理者は想定もしていなかった。 アクセス制御機能による『特定利用の制限』 がかかっていたといえ、被告の行為は不正アクセスに当たる」と述べた。
理由が聞きたいところですけれども…
青柳裁判長は「自己の能力、技能を誇示したいとの動機もあって、
…はあ？
セキュリティーに関するイベントで発表するために不正アクセス行為に及んだ。 犯行の経緯や動機に酌量の余地はない」 と述べ、 「イベントで被告が手口をプレゼンテーションした結果、模倣者まで出現した。 高度情報通信社会の健全な発展を阻害することは明らかだ」とした。
…はあ？
とはいえ、全文を読んでみないとちゃんとした感想は書けないですけど、 判決って感情(?)で突き進んでも良いんですかね？
こうして、サイバーノーガード戦法は確立したのでした、ではまずいだろ。
青柳裁判長は「問題のファイルには、FTPサーバからIDとパスワードを 入力してアクセスするのが通常。CGI経由のアクセスは、FTP上のアクセス制御を回避した 不正アクセス行為にあたる
FTPのアクセス制御を回避したら不正アクセス、っていう理屈が成り立つのは どう考えても変なんだが。 検察側(すなわち、サーバー管理側)の論理をそのまま採用しただけに過ぎないだけとは思うが。 この文章をそのまま利用すると、例えばCGIで ../../../etc/passwd が読めてしまっても それは不正アクセスということになるわけで。
…ところで、脆弱性のあるスクリプトを開発したところor脆弱性のあるまま放置してある サイトへの影響って何かありましたっけ？(お咎めなし?)
* そのファイルがドキュメントルート外にあるか * ドキュメントルート外にあるとしたら、通常はftpなどでアクセスするんだけど、 そのftpなどにIDとパスワードが設定されているか この二つが満たされていれば、アクセス制御されている、という解釈になる
高木先生んとこ(footnote→寝ないで書かれたらしい（笑）)
うわあ^^;
コメントのところの
エンジニアなら当然のように考える「もしもこうしたら・・・」なんて 事は裁判では考慮しない(実際に起きた事だけを考慮する?)ので こんなところなんでしょう。ある意味予想通りの判決でした。
は印象的でした。そういうものなんですね。うーん。
何より憂慮するのは自らの全く、弁解の余地すら無い非を棚上げとは言わないまでも 過小評価して逆ギレ的な刑事告訴に踏み切ったACCSがこの判決を以て鬼の首を捕ったように 大ハシャギするのが目に見えていることだ。
Firefoxが1.0.2になりました。GIFファイル処理時の 危険な脆弱性があるようです。とっととupdateを…。
会社に出勤した男性社員は、「我々は公共の電波を扱っているので普通の民間企業とは違う。 今後、会社がどういう方向に向かうのか心配で、経営陣には最後まで対抗してほしい」と 話していました。
今ごろ言われても、その発言は信用できません。
ありがたい。
3/15発売…ということは発売中。
あらふしぎ、高知県のオレオレ証明書で出てくるメッセージと同じ。 …で、Phishingページで「はい」を押す人が高知県に続出、と (もちろん、「はい」は押さないよーに)
日経IT Proにも記事としてでました(限定本も出すようです)。某社長は
「総務省には電気通信事業法上の行政指導を受けたわけではない」としたうえで， 「いままで我々の代理店をやっているところはマネジメントをきちんとしている。 ただ新たな代理店や，既存の代理店でも新たな営業員が加わったりしている。 今後は代理店へのマネジメントをより強化したい」
と発言しているようですが、元々だめだめの代理店がさらに増えて、状況はさらに 悪化していると思うんですが。
最近はその手の資格を持つヒトを、懐疑的な目で見てしまいます。
専門卒の資格取得は確かにそうですねえ。仕事の成果として資格を取得するのと、 資格を取得するために勉強するのは違います。というわけで、わしは資格を 全然取ってなかったり(そういう方向に持っていく人)
…1種くらいはもってますけど、会社からお金をもらうためだけだったし(おいおい)
注意。ITmedia編集部にも届いたようです。
詐欺を見破るのは簡単だ。
…本当か？(知らない人にとっては、という意味で)
気が付いたら選択できるようになってました。入れるべきかどうか…うーむ。 Beckyに対応してくれれれば(無理)
mozilla-japan.orgよりもmozilla.orgから取ってきたほうが早かった、という1.0.1ですけど、 セキュリティの脆弱性があるので、とっとと入れておくべきで、推奨ではなく 必須でしょう。
例の日本語関係の修正としては、「日本語.jp」と入力すると 「xn--wgv71a119e.jp」の形式で自動的に(勝手に?)変換され表示するようになっています。 …両方表示してくれた方が確認しやすいような。マルチバイト圏の人としては。
セキュリティホールmemo経由：
1件は SSI インジェクションの事例なのですが、ウェブサイト運営者はこれを 脆弱性ではないと主張したようで、修正されないまま取扱い終了となっています
内容が書かれていないので、何とも言えないのですが。 IPA経由でやりとりされたようです。
IPAということは、ここ からかな。でも情報が見つからないんですけども。
面白いのでメモ。
またやるそうな。とりあえずは3/20(日)の放映から。
長谷川町子さんが住んでいた東京都世田谷区の桜新町には、三河屋さんの モデルとなった三河屋酒店があった。
いまは「セブン−イレブン サザエさん通り店」になっていて、 その大家さんとして建物を貸している。入り口のドアに「三河屋」の文字が残っているだけだ。
三河屋のモデルがあるんですな。
もう、Mozilla 1.8は出ないようです。残念。Firefoxは問題ないようで。
特長と仕様はこちら。 付属ソフトのバージョンアップや追加は行われたようで、ある意味C860の後継といえるかも しれない。C3100はいったいどこにいってしまったんだろうか…
何と言うか、X68000 XVIのあとにX68000 XVI compactを出された気分というか(?)
いまさら：Google:インパク
こちらから。ためしに「あ」と 入力したら、第一候補が「あびる優」。うーむ。まー、またいろんなネタを提供して くれそうな気もしますが。
スキル標準から単価見直しをする場合、大企業相手にやるのなら面白いかもしれない。 とはいっても、スキル見直しをしても個人の単価が上がることはまずないと思われたり。
んで、一番の問題は社内でのデータが外部に出ていくのを止められるかどうか、 だったりするんだが…。ある意味個人情報だしねえ。そのへんのところがあいまいなまま 他社に(強制的に？)出す羽目になった挙句、いろんなところに情報が漏洩して、 色々な情報と結び付けられて以下略。
まずはConcept Search。
失われてしまった情報の検索も行えるのは、いろいろな状況が考えられますが… 確実に消したい場合は単にインデックスを削除すれば完全削除できるんでしょうか。
iNTERNET magazine、今月号はスルー。読むところが見つからなかったので。
「教育の場に警察」は、教育の敗北を表すものとして、極力避けられてきたものである。 「こんな指示に従う校長などいるはずもなかろう」と思うのが健全な常識。
その常識がいとも簡単に破られた。
(読んでいくと、佐賀県も似たようなものらしいですけど)
高知県の対応の会話付き。例によって、セキュリティの質問にまともに答えられないさまが 読み取れる。ではどうやったら改善できるんだろう…？ (IT教育の予算ってまだ余って…ないんだろうなあ)
で、追記のところに、IEのセキュリティActiveX?の設定の話があって、
業者がここの設定変更が必要だと言って来たら、その業者は無能なので、縁を切れ。
とあるけど、無能な業者はどれくらいいるんだろうか。 無能な業者を無くすためには…キャプテンシステムの復活ですか？(おいおい)
東京出張は雪だった。
うーむ…。
気になるところは、ニッポン放送社員の本当声明なのか、というところ。会社のドメインに 対する労働組合のドメイン、のように放送局とは別のドメインで声明を出しているのなら 多少は信用してもよさそうだが、ニッポン放送と同じドメインというのがちょっと。
それに何より、自分たちが何も調査などの行動を起こさずに、思いだけで反対している ようにみえるのがどうにも解せない、というのがある。考えすぎなのかもしれないが。
別に某シューティングゲームではない。ついでに3/2の分をこっちに移動してみたり。
関連して、Javascript。
...38000。
では、現代はどうなのか。機器ベンダの経営者は、今まさにそれを問われているのでは ないだろうか。
…と言われても、昔のUSのように裁判に持ち込むのは難しいし、したらしたで数年かかる 間に全てが終わりそうだし。 いっそのことUSに市場を見出していかないといけないとか。そして日本市場からはさようなら、 と。(で、価格競争で負ける、と)
冗談ですが。
というより、業界がのほほんとしている現状では何とも、ねえ。
リンク先には、「流出は400件で、インターネット通販などでカードが不正利用」 されたという情報も。
AntinnyによるDDoSアタックのため、URLを変更していたACCSですが…
ニュースリリースはこちら。
3月1日より「www.accsjp.or.jp」にアクセスしたIPアドレスを記録し、 今後、過度のアクセスを繰り返しているコンピュータを管理するユーザに対して、 インターネットサービスプロバイダなどを通じて注意を喚起することを予定しています。
えーと、ということは今までログ管理してなかったわけですか。 最初にアタックがきたのは2004年3月1日らしい (参考： ACCSのWebを停止に追い込んだ700Mbpsを超えるDDoS攻撃の実態 ) ですから、1年間何もログによる確認をしてなかったことになりますけど。
…ふつう、ログとってますよね？何というか、反面教師的な話題しか出てこないような 気がするんですけども。うーん。