豪華２本立て

「情報セキュリティ最前線」- 山口 英さん

奈良先端科学技術大学院大学の山口 英さんと聞いて、真っ先の思いつくのは、今は無き UNIX Magazine での「UNIX Communication Notes」。当時の自分は、UNIX 系 OS は「とりあえず、触れる」程度で、UNIX Magazine 自体にあまりついて行けてなかったのですが、それでも、あのちょっと独特の硬派な雰囲気にあこがれて読んでいました。

で、テーマ通り、情報セキュリティを取り巻く「今」に関して、幅広いお話しを聞けました。

まず、昨今は、

• マフィアやギャングのような、裏家業で儲けるため
• 国家レベルでの諜報合戦

が多く、ここに Anonymous に代表されるような、ハクティビストによる動きが加わってきた、というところで、ここに「坊主」たちがぶら下がっている感じで、「坊主ばっかり捕まえてないで、もっとも上を捕まえろよ、○○府警*1」といった話から始まりました。

とにかく、いろんなお話しがあったのですが、手元のメモに残っていて、おもしろかったお話を紹介します。

掃除婦は見た

物理的なアクセスで、清掃業者の格好をするのが効果的で、データセンターとかはともかく、一般企業だと、結構、中まで入れる。あっ、うちの会社は、自分たちで掃除当番だから関係ないや(^^;

Botnet vs. Amazon EC2

ボットネットの相場の話で、いろんな値段があるけど、1000 台 1 時間で 360$ ぐらいという話。ところが、同じ規模、時間なら Amazon EC2 で 120$ で使えちゃう。ということで、Amazon EC2 を使うケースも多いそうです。こうなると、まっとうな Amazon EC2 を使っているサイトも多いので、フィルタしづらくてやっかい、という話がありました。

Amazon EC2 でパスワードのブルートフォースをすると、英数字（おそらく、記号文字は含まない）パスワードで、下記のような金額になるそうです。

文字数	金額($)
8	45
12	75,935,598

記号を入れると、30 倍ぐらい*2で、1350$ にはなりますが、それでも、それほどの金額では無いです。パスワードクラッキングツールで有名な John the Ripper が GPGPU に対応した*3、なんていう話もあるので、もう、８文字のパスワードは不十分と言って良いかもしれませんね。

マルウェアの主流はドライブ・バイ・ダウンロード

というのは知っていましたが、最初につながるサイトは、本来はまっとうなサイトに仕掛けを入れられたもので、そこからいくつかリダイレクトした上で、本当にマルウェアダウンロードさせるサイトにたどり着く、となっている事が多いそうです。

しかも、そのダウンロードサイトは時間限定だったり、実際にダウンロード出来るためには、Cookie や Referrer などの条件が揃っていないとダメだったり、で、気づいた時には、もう、どんな相手だったかは分からないそうです。

What is manageable should be measureable

管理する物は計測できなければいけない。第８回せきゅぽろで Microsoft の小野寺さんも同じ事を言ってましたね。まずは、計測すること。ログを取るだけじゃなくて、それを集計して計測していれば、何かが起きれば気づく事が出来る。がんばろっと。

「不審なファイルを開くな」は宗教

激しく同意。そんな物に期待しちゃいかん。だけど、それに対応したシステムを入れると、メールで 2000 万円、Web で 2000 万円、計 4000 万円は高い！ 標的型攻撃にシステムで対応するのは、まだまだ、コストが高いなぁ。

*1:って二択(^^;

*2:ASCII 図形文字の 95 文字として、95⁸ / 62⁸ 倍

*3:https://twitter.com/matsuu/status/218932562469470208

「最近のインターネット法律問題」 - 町村 泰貴さん

北海道大学大学院の町村 泰貴さんから、ネット関連でここ数年、話題になった事案に関するお話でした。

ステマ騒動やコンプガチャの問題など、いろんな出来事に対して、法律的な観点から見ると、という話なのですが、現状の法律に照らしてどうこう、というよりも、「これって何が問題なの？」という感じの話でした。

例えば、ステマの問題も「で、だれが被害者？」と考えると、「これは大変な被害だ！」というものは、実は無いかもしれない。食べログの件なんかは、強いて言えば、近所のお店は競業関係にあるから、やらせ口コミのせいで被害を、かと思うと、行列が出来たおかげで、かえってお客さんが入ったかもしれないし、実際にそのお店で食べた人から「まずかった」という話もほとんど無かった、となると、単に「だまされた！」という気分だけで、具体的な実害は見あたらなかったりします。

コンプガチャの問題では、広告以外のインターネット・ビジネスモデルをつぶすことになった、という事を言われることはあるし、同じように射幸心を煽るものなら、パチンコはどうなんだ、という話はあるけど、でも、射幸心の問題があるから、パチンコは風営法で出玉確率を制限したりしているわけで、コンプガチャにそういった規制無しに「出現確率が全く分からない」状態というのは問題だろう、といったお話がありました。

これはひどい、と騒がれた事件でも、一歩引いて考えてみると、微妙な問題が含まれているんだなぁ、という事を実感しました。

で次回は、なんと

話題の「バグハンター日記」の翻訳者の一人である、LAC の新井 悠さんだそうです。これまた楽しみだなぁ。

Bugハンター日記