イベント: 2010年8月アーカイブ

毎年恒例、セキュリティ＆プログラミングキャンプ。昨日からはじまってます。昨日は開講式に参加して、それから特別講義を参観、BoFにも出て、一晩泊って帰ってきました。昨年から、初日の夜に交流会を兼ねたBoFをやってますが、これが結構、いい効果をもたらしているようです。セキュリティコース、プログラミングコース一緒にやるので、両方の参加者が交流できるし、ちょっと緊張気味の雰囲気が一気に和むので初日にこれをやるのはいい考えだと思います。

で、今年も、参加者をグループわけして、グループごとに寄せ書きを書いてもらいました。こんな感じで。ちなみに、寄せ書きの署名（本名）は消しました。

下の右側は合わせ技・・・・。下書き用のビニールシートを重ねるアイデアはなかなか萌えますね。

名刺交換タイム・・・・。最高75枚集めた猛者も・・・・。OS自作組の参加者、自作のゲーム用OSを作りたいのだとか。楽しみな人材。

個人的には、こういうことを書く若者がいてくれるのが嬉しいのだけど。

ちなみに、このグループはOS対決か・・・？

個人的にはこういう奴も嫌いじゃないな。＾＾;

こっちのグループはかなり濃い感じも・・・・。個人的には中央下の黄色いのが気に入ってるんだけど・・・。このグループの能力値はレベル４以上かも

こちらは、番外編。講師、チューターの落書き。さすがに、これはかなり濃いところ。

で、かたすみに某実行委員のヲ◎サンがこんなことを書いてました。まだ、こんなこと書くのは早いでしょ、若いもんに簡単にまけるわけにはいかないし・・・。(笑)まぁ、冷や水と呼ばれない程度に突っ張っておきましょう。かかってきなさいっ！　・・・あ、手加減はしてね。もうそろそろ体力ないし・・・＾＾；

戦い終わって日が暮れて・・・・某月某日某所の風景。

とりあえず、一泊して、今朝、企業見学に出るセキュリティ組のバスを見送ってから帰ってきました。

で、帰省準備にちょっと手間取ってしまい、1時間あれば余裕だろう・・・と家を出たのだけど、膝が不調なこととか、この時間帯の京急の運転本数と乗り継ぎやら、いくつかのパラメータの考慮を怠ったため、羽田で飛行機に乗り遅れてしまいまして・・・というわけで、3時間後の次の便を待つハメに。で、時間つぶしにラウンジでこれを書いている次第で・・・。orz

そういえば、第二ターミナル側の中央にあるANAラウンジからも、スカイツリーが見えるようになりましたねぇ。完成すると横浜あたりからでも余裕で見えそう。

・・と、風向きが変わったのか、離着陸方向がいつのまにか変わってるし・・・。はぁ、あとまだ2時間近くあるな・・・。暇だ。

P.S: そうそう、昨日の特別講義、ちょっと目からウロコだったのが、彼の「ハッカー検事」大橋さんのお話。やわやわなサーバをネットに置いていて、攻撃された（被害をうけた）場合、そんなサーバを立てた奴が悪いのか・・・という話。大橋さんがおっしゃるには、「法律は弱者を保護する」のだそうであります。たとえば、それがどれだけ間抜けなサーバであっても、攻撃して（いずれかの法律への違反や犯罪を構成してしまう場合）それは有罪ということだそうで、まぁ、頭では理解できても、我々技術屋の感覚では、自業自得感も強いのだけど、まぁ、鍵がかけてない他人の家に勝手に入っていいって話じゃないですよね。あと、本人に攻撃の意図がない場合、1回目は故意とはみなされないが、悪影響を与えることが、それでわかった場合は、2回目以降は故意とみなされるそうです。どこかであったような、架空の図書館攻撃事件を題材に語っていただきました。ちなみに、嫌疑不十分で不起訴、と起訴猶予は大きく違うとのこと。後者は明らかに「有罪」扱いなのだそうです。ただ、このケースでは民事だと過失相殺、刑事なら量刑において、被害者側の問題は考慮されるとのことでした。起訴猶予もその一環とのこと。でも有罪は有罪。くれぐれも、ご注意を。

今日はちょっと真面目に聴こう・・・と思って、５時間連続で聴いてみた。朝一はいまひとつだったので、１１時から４時まで、昼飯抜きで。まずは、モバイルアプリケーションについてのセッション。主に、最近流行りのiPhoneとAndroidについての比較論。無償アプリをダウンロードして解析し、全般的な傾向を調べた結果。

まずは、いずれのプラットホームでも、アプリが吐き出すログに機微な情報が含まれることが多いということ。たとえば、電話番号や機器固有のID,GPSのロケーション情報など。また、サーバとの通信の際にこうした情報が送られることも多く、特にHTTP/GETで送られてしまうと、サーバ側のログにもその値が残ってしまう。こうしたことは、アプリの開発者が、（少なくともセキュリティに関しては）初心者であることが多い点も影響している。Androidの場合、アプリがどんな情報にアクセスするかは、インストール時にユーザが確認して判断できる。一方、iPhoneの場合は、Appleがすべてを握っていて、Apple Storeに登録する際にチェックすることになるのだが、チェック漏れも多いようだ。どちらも一長一短あって、多くのユーザは何も考えずにOKしてしまうので、Androidのアプローチは一般のユーザに対しては、あまり役にたたないかもしれないと思う。一方、こうしたことに神経質な利用者にとっては、Appleのアプローチには不安が残る。実際、いずれのプラットホームでも、単純な「壁紙」アプリケーションが、連絡先やロケーション情報へのアクセスを要求する、といったことも多くあるようで、結構油断がならないようだ。このセッションを聴いて、一度、うちのXPERIAとiPadがいったいどこに通信しているか調べてみたくなった。帰ったらやってみよう。下の画像が、このセッションのまとめ。

次に聴いたのが、サイバー犯罪・戦争の話。サイバー戦争で、思い浮かぶのがグルジアだったり、中東あたりだったりするのだけど、実際、軍としてこうした部隊を持っていることがわかっている国は、米国、ロシア、中国、フランス、イスラエル、そしてイランだという。興味深かったのは、イスラエルがシリアの核施設を攻撃した際に、周辺国の防空システムに侵入して、レーダーなどの痕跡を消し去ったという話だ。物理的な攻撃と並行してサイバー攻撃が行われた顕著な例だろう。昨今、テロを除けば、戦争の標的は軍事施設に絞られることが多い。しかし、サイバー攻撃については、軍事施設のみならず、民間のインフラなども標的にされる。しかも、使われるネットワークは民間のインターネットだ。去年も書いたのだけど、サイバー戦争（国家間の戦争）とサイバー犯罪の区別はどこでつけるのだろうというのが、今回も疑問として残ったのだが、今回の内容はその点にも少し踏み込んだ内容になっていた。つまり、敢えてその境界を不鮮明にすることで、国家が、サイバー犯罪者を（間接的に）攻撃に利用している・・・というわけだ。サイバー犯罪者は「金」になればなんでもする。技術も持っている。表立った戦争ではなく、裏方のスパイ合戦に彼らを動員するようなものだ。失敗しても闇に葬ることができる。しかし、これは極めて危険な動きだと思う。実際に、こうしたサイバー攻撃が物理的な攻撃との組み合わせで行われるならば、サイバー攻撃そのものが、物理的な戦争の引き金になることもあるのではないだろうか。それを避けるには、それこそネットを国家が管理する某国のようなモデルが必要になってしまうかもしれない。もしかしたらネットの未来は闇の中・・・なのかもしれないなと思った。

次のセッションは、中国におけるネット検閲の問題についてのもの。いわゆる、Great FireWall of China の仕組みとか、検閲の方法、回避方法などについての解説だ。中身はさておき、これだけの仕組みを持っているのだったら、外向けの攻撃だって止められるだろう・・・・、と誰もが思うだろう。実際、それはできるはずだ。現実に、聞いた話だが、オリンピック期間中はばったりと攻撃がやんだらしいから。この前のセッションも併せて考えれば、国家がサイバー攻撃を利用、黙認しているという見方もできるし、一方で、不満のはけ口を作っているという見方もできる。ただ、いずれにせよ危険だ・・・。他の国が、ネットに介入する口実にも使えてしまうから厄介だと思う。

次のセッションは、ゲーム機を攻撃マシンにする話。実際、DSとWiiを使って、ARPスプーフィングで通信に介入し、同じネット内のPCでアクセスしたWebページのレスポンスにiFrameを埋め込むといったデモも見せてくれた。（何度か失敗して失笑を買っていたのもご愛嬌・・・）また、ゲームソフトにこのような機能をマルウエアとして感染させるということの可能性についても触れられていた。スマートホン同様に、ゲームアプリも実際はメーカーが配布管理をしているのだけれど、不法コピーや改造ソフトは数多く存在する。iPhoneのJailBreakがマルウエアの標的になったように、こうした改造ソフトが標的にされる可能性は十分にあると思う。やはり、不法ソフトや安易な改造ソフトの利用は危険だ。

最後に、「スパイウエア開発者としての私の生活」といったプレゼン。ITエンジニアだったスピーカーが、会社を首になり、その後、マルウエア開発を仕事にするようになった経緯とか、こうした裏社会の様子などを語りながら、結局、ヤクザな連中にうまく使われて、自分にとっては、あまり益がなかったことなどを話しながら、自分と同じ轍を踏まないように・・・という話だったように思う。

さすがに昼飯も食わず、５時間連続は腹も減って、体も冷え切ったので、今日はこれくらいで終わりにした。明日はもう帰るので、これがDEFCON最後となる。ちょっと表に出て、冷房で冷えた体を暖めて、宿に戻った。

宿で一休みして、それから夕食を食べにでかけた。今回は、この周辺から出ていないので、最後くらいはちょっと遠出、とダウンタウン（旧市街）あたりまで行ってみた。

しかし、バスで３０分ほど窮屈な格好をしていたせいか、膝が痛み出し、歩いている間にかなりヤバい状態になってきた。しかたがないので、あきらめて、またバス停へ。

ホテルまで戻ってきたのだけど、膝はかなり悲惨な状態で、しかたがないので、サンドイッチとサラダとビールを買って部屋に戻って食事。会場でも立ち見とか行列とか、今日は結構足を酷使したので、そのせいもあるんだろうか。まだあんまり無理はできないみたいだ。ホテルの窓からはちょうど夕焼けで、いい感じ。膝の痛みは湿布とアルコールでごまかして、くつろいでいる。

さて、明日は朝一にホテルを出て、１０時過ぎの便でLAへ。そこから成田行きに乗りついて帰国する。なんとなく弾丸ツアーな今回。でもまぁ、こんな膝では遊ぶこともできないのでしかたないかな。今夜は、膝をきちんと湿布して寝よう。