200505
Happy Hacking Keyboard Note …？
dd if=/dev/zero of=/dev/hda bs=512 count=1
Linux CDを起動して、ddコマンドを使っても何とかなるわけですか。
WalWikiのバージョンが 上がりましたね。さて、どうするか…
Athlon 64との比較とその結果がグラフになっているんですが… 一部の計測結果グラフが対数グラフ表記になってます。いーのかこんなことで。
5/27は アステルPHS電話サービスは終了しました 、の日。
「極東国際軍事裁判は、平和や人道に対する罪を勝手に占領軍が作った一方的な裁判だ。 Ａ級戦犯の遺族には年金をもらっていただいており、日本国内ではその人たち（Ａ級戦犯）は もう罪人ではない」と述べた。
絶句。じゃあヒトラーにも同じ理屈が通用しますけど。
[[IPA(情報処理推進機構 ) http://www.ipa.go.jp/]]側のコメントがあります。
IPAウイルス・不正アクセス対策担当者曰く：
「警察の捜査状況にもよるのだろうが、現状ではカカクコムから追加の報告は受けていない。 そのため、不正アクセスの詳細についてIPAでは把握していない。」
とか、
「今後、カカクコムから詳細な報告を受けたとしても、特定の企業だと判別できる ような公表はしない」
とか、
統計情報などで「一般的な事例として触れる」
だそうです。
…丸分かりになりそうな。
しかし、memoMLの[memo:8456]の投稿には
株式会社カカクコムからは、「不正アクセスを受けた」という被害の届出があり ましたが、現時点ではその原因や対策については報告を受けておりません。
なんて情報も…どうなるんだろう。
Firefoxでも問題なく動作するようにみえるし(推奨はIE6)、使いやすくなってきました。
“最後”の記者会見に失望
コメント部分が賛否両論になってますが、IT Pro(日経系)の読者層を考えるとそうなのかもしれない(偏見？)。例えば以下のコメントとか。
非公開は妥当だと思う。そもそも情報公開すれば類似犯罪を防げるという根拠は？
ゼロデイ・アタックを防げる可能性がある。ということで。
現場でこのWebサイトがやられるやられない、という話は、そんな世間の思惑とは 全然関係が無くてただの弱肉強食というか。強い方＝知っている方が勝つ世界でしかない。
他の比較サイト：
セキュリティ対策を行うほかのWebサイトが最も望むのは、捜査に影響を与えない範囲で、 カカクコムがどのような攻撃を受け、どのような対策を行ったかを明らかにすることだろう。
NDA（秘密保持契約）を結んだうえで個別の企業に情報提供する考えを示しているが、セキュリティ対策の情報は広く共有されないと意味がないともいえる。 「精神的な衝撃は計り知れない」（穐田氏）という不正アクセス被害を多くのWebサイトが 受けないためにも、情報共有を望む声は多くなるだろう。
@ITの記事が一番良さそうですね。
結局、どうすればよかったのか、というと…うーん
…難しいですかね。今回はユーザーに被害が出て、価格を出している店のほうには実質被害がないように思われますし(売上が落ちた可能性もありますが)。
これからのkakaku.comですが、少なくともアクセスは減る方向にいくとか、掲示板の書き込みが減るとか、そんなことになりそうな気はします。…gatekeeperが暗躍しやすい環境になったりしてな(おいおい)。
記載URLとは別のURLへリンクを張ったHTMLメールを作成できてしまう
…？当たり前だけど。これって脆弱性の部類に入れるべきなんだろうか。 それとも、「HTMLのメールを送るな」と暗にアナウンスしているんだろうか。
SQLインジェクションだったそうで。しかし…
今回は、プログラムに欠陥がなくても、コンピューターが正規の命令か悪意の ある命令かは判断できない点を突き、命令をそのまま実行させて支配下に置いていた。
SQLインジェクションはプログラムの欠陥なんですけど。
ついでに。
対策として、データベース項目や接続する管理者ごとに使える機能を細かく制限し、 外部からの命令を受け付けなくすることなどの設定が必要だ。 対策済みの企業も少なくない。
対策済みとかそういう問題じゃないんですけど。 (対策をしていないサイトが多い、と暗に示している文章かもしれないけど、多分 違うだろうな)
…「外部から支配」という表現も初めてみましたな。
そういえば、「考えられる最高レベルのセキュリティ対策をしてきたつもりだった」 というのは何だったんだろうか。 (→ 「最高レベルのセキュリティが破られた」――カカクコム、不正アクセス事件を説明 )
* デフォルトでHTMLのMIMEタイプをtext/htmlからapplication/octet-streamに変更した。 * MIMEタイプがimage/*以外、もしくはユーザエージェントがMSIEの場合はinlineで表示させず 強制的にダウンロードさせるようにした。
ということなので、FSWikiを使っているところは新しいバージョンにしたほうがよいでしょう。
IPA と JPCERT/CC は脆弱性関連情報の検証や伝達を行ってくれますが、 製品開発者に対して「修正しろ」と命令したり指導したりすることはできませんので、 製品開発者があくまで脆弱性でないと言い張った場合にはどうにもならないのですね。
そういう場合は、IPAとかからのアナウンスはない(みていいのかな)ので、 その脆弱性は闇に葬り去られるということに？うーむ。
* 添付を無効にする * Content-Disposition フィールドなどをつけて、添付ファイルがその場で開かれない (強制的にダウンロードされる) ようにする
…で、対処できるようです。(2つ目は、クリック即実行されないようにする、ということ。ファイル保存後に実行しようとすればできる)
クリック即実行されないようにする、というのはリンクによる悪意的な誘導も止められるので、 必ず対処しないといけないですね。
1から4の手順は参考になります(そんな仕事に就いてはいないですけど)。で、2の
現状確認し、ただちにサービスを停止する手段を考える （この時点で「考えている」としたらほんとはダメダメだけどねえ）
確かに。調査している間にウイルスが拡散してしまうのはもっと危険なわけなので。
「仕様で脆弱性ではない」ですか…
OSX 10.3 シリーズに於いて、Aqua上で入力した「管理者」パスワードを、 一般ユーザが閲覧できる
…
考えてみれば、最初に日本で発表されないところに、最近のゲーム業界の事情が うかがえるような。つまり、儲かる市場は米国、と。
親が子に、ということで。
そもそも「ロンドンハーツ」を見たことがないので、何とも言えない。 リストには見せたい番組リストもありますけど、NHK教育の番組が入ってないんですな。 そういうものかなあ。見せたい/見せたくない番組がテレビ局をみるとそこそこ 偏っているのも興味深いところ。 しかし、今では通用しないかもしれない昔話を聞かせるための「プロジェクトX」を 子供に見せてもねえ、という気もしますが。
ところで、大人が見たくない番組一覧も調べてほしいところですけど。 見せたくない番組と同じなのかもしれませんが。
ところで、見せたいニュース番組にはワイドショー系は入っているんでしょうか…
ゲームラボ6月号(5/16発売)のp23(俺的次期Xbox写真のようなもの)に全く同じ形の写真が。印刷の時期的には早すぎると思うが、発売日が 発売日だけに、何ともの感が…。
例の一太郎ネタかと思ったら、内容は以前起こったカシオ-SOTECのマルチウインドウ問題の 話だけ。表題と違うんですけど…(一応続くらしいですが)
http://kakaku.com/ 「当社運営サイトに対する不正アクセスとサイト一時閉鎖に関してのご報告」より引用：
5月11日にプログラムの異常が発覚。調査したところ不正アクセスが原因であり、一種の サイバーテロ的な行為であると認識しました。 即時警察当局等とも相談し、24時間監視体制でサイト運営を続けながらプログラム改ざんの 影響や対抗策、犯人の調査を続けて参りましたが不正アクセスは止まず、改ざんの範囲が拡大 したため止む無く5月14日よりサイトを閉鎖しております。
…プログラムを修正してサイトを再開したが、すぐに不正アクセスによる 攻撃が発生したため、サイトを全面閉鎖した。
ふーむ。攻撃が発生したということは、また防御失敗ってことなんだろうか。 これらの文だけではどんな問題があるorあったのか分からない。
2chのまとめサイト。
「考えられる最高レベルのセキュリティ対策をしてきたつもりだった」
うーん…。最高レベルのセキュリティってどういうものなんだろう。
簡単なクイズ形式のものも作れるんだろうか。
何気なしに店に行ってみたら売っていたので思わず購入。 (amazonでも検索できたのは不覚でしたが)
バスパワー接続に失敗する機器に対して、USBの2端子から2倍の電流を取って つなげるという商品。自宅には、バスパワーで動作しないHDDがあるので試したところ、 見事に動作。
ただし、家にあるCube型PC:ShuttleX?-SB61G2ではだめでした。どんな場合でもうまくいくわけ ではないようです。
接続先がType B/Mini-Bの2製品あるようです。今回はMini-Bのを購入。
理解がない人たちに対しては慈善事業(それどころか…)になっていそう。
KHTMLコードベース（または「ツリー」）の開発を中止し、代わりにAppleが書いた 「WebCore?」と呼ばれるエンジンを採用してはどうかと示唆している。
MSもそうだが、Appleも同じなんだろうか。
といっても、未踏ソフトウェア創造事業に参加しないと認定されないようですが。
「回復運転」による運転時間の詰めかた：
（１）直線区間でスピードを上げる時間を延ばす （２）カーブ手前の減速ポイントでブレーキをかける位置を遅らせる
…で、突っ込みすぎてコースアウトした、と。電車の運転はF1とは全く違うんだがなあ。
えーと…白いDell PC?
…やっぱりみんな同じことを考えているようですねえ。 Optiplex GX280とかいうところもあったり。
つまりはPHP4+Smarty+MySQL?で、サイボウズを再構築しました、と。 ソースコードの隠蔽は予想通りionCubeを使っているようです。
…。GHですかね。
こんなのもあるんですねえ…
いろんなところから高いスポンサー料をふんだくっておいて、こういう報道で金を 使いまくる、という見方もできるような。 …TV以外で効率的なコマーシャル戦略をとってほしいなあ、とかなんとか。
このページにある、クレーンで事故現場を撮影する各マスコミ の写真、考えられないなあ。こんなところでスポンサー料が…
NHKの誤ったテレビ報道(特報首都圏 1/26だったようです)から、いわゆる「サクラ」の手法によるブログ形式…って何か 日本語になっていないような気もするが。 こっちでは放送されない番組だったんですな。「首都圏」だし。
そういえば、NHKはこの件にどう対応したのだろうか。
同社は「救助にあたるべきだった」として、処分を含めた対応を検討している。
んで、その後：
同社は上司２人の対応は不適切だったと判断、処分を含めた対応を検討している。
…とまあ、対応がころころ変わって、どうなっておるのだJR西、という感じだなあ。だから、
自動車工場の男性従業員（５７）は「自分の仕事なんかほったらかしてでも、 みんな何とかしようとしていた。ＪＲはまだまだなにか隠しているんじゃないか」とあきれる。
「…社員教育を一からやり直すというならまだしも、社員個人への処分を検討する というのは矛先が間違っている。…」
と、なるわけなんだが。
Flickrという、写真共有サイト用のツール。記事用の画像とか、風景画の保存なら使えそうですが。(プライバシー用では使えないでしょうな、もちろん)
茂木からかえってきました。しかし、最後の最後で燃料切れというレースはどうなのかなあ。
何か、こういうのを読んでいると、以前東京駅で客がまだ乗ろうとしているときに、 発車時刻だからといって無理やりドアを閉めたのを思い出しますな。
駆け込み乗車ではなかったが、1,2つのドアに集中して人が乗ろうとしている状況だったので 何ともいえないんですけど。ただ、アナウンスは何もなかったかな。
そういう意味では東日本も…なあ、と考えてしまったり。
それから、マスコミ関係は相変わらず悪い情報しか出てきませんねえ…
で、ファイルを消してくれるのは問題ですけども。
共同で調査を続けるようですが、解決はいつになるんでしょうか…
※現在、Tiger関係の記事は削除されています(5/2現在)
国名と地図をあわせるクイズ。
うーん、アフリカの北側はさっぱり。中東もさっぱり。…全部じゃないかい。