IT: 2010年8月アーカイブ

連日猛暑に熱帯夜、ちょっとバテ気味だけど、食欲だけは維持できているので、なんとか持ってる感じ。今日も午後から西新橋でクラウドがらみの打ち合わせ。昼間はできれば出歩きたくないのだけど、しかたがない。いつもは歩く新橋、某協会事務所間も、暑さで行きだおれる（もしくは、ビヤホール等に迷い込む）可能性大なので、銀座線で虎ノ門まで一駅乗って、ちょっと戻る感じで、できるだけ炎天下を歩かなくてすむようにしている。

このまえ入手した野良（じゃないか、一応私が飼い主だし）AP箱（フレッツ光ポータブルのルーター）は、なかなか快適。EモバのSIMを入れて使っているのだけど、HSPA（＋でないのが寂しいけど）なので、体感的には結構速い。上りも遅くないのが画像を貼りまくりたいブロガーとしてはうれしい。今日は朝から電源を入れっぱなしで、XPERIAなどが繋がりっぱなしの状態で６時間以上、バッテリー警告も出ないで動いていた。ちなみに、これを入手してから、XPERIAは３G通信をほとんど使っていない。データ通信はEモバ一本にたばねてしまった形になっている。どのみち、EモバはPCやiPadで使うので、XPERIAもこっちにつないでしまったほうがお得だ。WiFiを常時ONにしてるとバッテリーの消費は激しいのだけど・・・、一応充電器と予備バッテリーは持ち歩いてるので。

ちなみに、セキュリティ関係以外の人も見てると思うので、書いておくと、この種のWiFiアクセスポイントは、狙われる可能性も高いので注意が必要だ。（もちろん、自宅のプライベートなAPも同じだけど）なので、以下のような設定をおすすめしたい。

・SSIDを流さない（推奨）

　　バッファローの場合は、「ANY接続を許可する」のチェックをはずしておく。その他のメーカーの場合は、「ステルスモード」なんて呼んでるところもあるし、SSID（またはESSID)のブロードキャスト（をしない）、というような表現をしているところもある。いずれにせよ、この設定で、APの名前が普通のクライアントからは見えなくなる。でも、明示的に設定すれば、接続はできるので、興味本位での攻撃を受けるリスクは下がる。（そのスジな人たちには役にたたないけど・・・・、少なくともリスクは多少下がるはず）

ちなみに、この設定では、PC等からAPの名前が見えないので、選択して接続することができない。面倒だが、マニュアルで無線LAN設定を投入することになる。Windowsの場合、このAPがブロードキャストしていなくても接続する（をチェックする）設定にしておく。

・セキュリティはWPA２／AES暗号化を選ぶ（必須！！）

　最近の製品は、WPA2もしくはWPA方式（WPA-PSK, WPA2-PSKと表記されているもの、WPA-Personal などの表記になっているものなど、いろいろあるが、AESを使うところがポイント。WEP方式の暗号化は、もはや「暗号化」されているとは思わない方がいいほど脆弱なので、使うべきではない。また、TKIP方式は、WEPをベースにしていて、定期的に鍵を自動更新することで、解読のリスクを下げはするが、やはり、WEPなので危ないから使わない方がいい。（AESが使えない古い製品は買い換えよう）また、接続パスワード（パスコード、シェアードシークレット、パスキーなどの表現もある）は、簡単に推測できないようなものを使おう。少なくとも、その機器に貼ったシールなどに書かれている文字列（シリアル番号や機種名など）は絶対に使わない。（最初に試すのがこのあたり）

・管理画面のパスワードをきちんと設定する（必須！！！）

　デバイスの設定管理をするためのWeb設定画面にログインするためのパスワードも上記同様に推測しにくいものを使うこと。

・MACアドレスによるアクセス制限（推奨）

　設定が面倒な割には、効果は弱いが、一応リスクを下げる効果はある。

あと、特にポータブルAPについては紛失も考えられるので、AOSSやWPSといった自動接続設定機能は使わない設定にしておいたほうがいい。（最初の接続時に使うのはいいが、通常は管理画面から使わない設定に変えておく）また、SIMカード（３G回線に接続するためのチップ）にはPINロックを必ずかけておく。（落としたときに抜かれても大丈夫なように）電池の節約もかねて使わない時は電源を切っておくことも忘れずに。（私みたいにつなぎっぱなしにするのであれば、これは無理だけど）

最後に、以上の内容が理解できない・・・・という人は、当面、こうしたデバイスを持ち歩かないことをおすすめしたい。あぶないから・・・・。少なくとも取説を一度きちんと読んでセキュリティ機能を理解してから使いたい。前述の製品のマニュアルをちょっと読んでみたが、それなりにきちんと書いてある。わからなかったら、近くのよくわかる人（もちろん信用できる人）を頼ろう。

閑話休題

今日の夕焼け。

p>

さて、お風呂に入ろうか・・・・

今日はちょっと真面目に聴こう・・・と思って、５時間連続で聴いてみた。朝一はいまひとつだったので、１１時から４時まで、昼飯抜きで。まずは、モバイルアプリケーションについてのセッション。主に、最近流行りのiPhoneとAndroidについての比較論。無償アプリをダウンロードして解析し、全般的な傾向を調べた結果。

まずは、いずれのプラットホームでも、アプリが吐き出すログに機微な情報が含まれることが多いということ。たとえば、電話番号や機器固有のID,GPSのロケーション情報など。また、サーバとの通信の際にこうした情報が送られることも多く、特にHTTP/GETで送られてしまうと、サーバ側のログにもその値が残ってしまう。こうしたことは、アプリの開発者が、（少なくともセキュリティに関しては）初心者であることが多い点も影響している。Androidの場合、アプリがどんな情報にアクセスするかは、インストール時にユーザが確認して判断できる。一方、iPhoneの場合は、Appleがすべてを握っていて、Apple Storeに登録する際にチェックすることになるのだが、チェック漏れも多いようだ。どちらも一長一短あって、多くのユーザは何も考えずにOKしてしまうので、Androidのアプローチは一般のユーザに対しては、あまり役にたたないかもしれないと思う。一方、こうしたことに神経質な利用者にとっては、Appleのアプローチには不安が残る。実際、いずれのプラットホームでも、単純な「壁紙」アプリケーションが、連絡先やロケーション情報へのアクセスを要求する、といったことも多くあるようで、結構油断がならないようだ。このセッションを聴いて、一度、うちのXPERIAとiPadがいったいどこに通信しているか調べてみたくなった。帰ったらやってみよう。下の画像が、このセッションのまとめ。

次に聴いたのが、サイバー犯罪・戦争の話。サイバー戦争で、思い浮かぶのがグルジアだったり、中東あたりだったりするのだけど、実際、軍としてこうした部隊を持っていることがわかっている国は、米国、ロシア、中国、フランス、イスラエル、そしてイランだという。興味深かったのは、イスラエルがシリアの核施設を攻撃した際に、周辺国の防空システムに侵入して、レーダーなどの痕跡を消し去ったという話だ。物理的な攻撃と並行してサイバー攻撃が行われた顕著な例だろう。昨今、テロを除けば、戦争の標的は軍事施設に絞られることが多い。しかし、サイバー攻撃については、軍事施設のみならず、民間のインフラなども標的にされる。しかも、使われるネットワークは民間のインターネットだ。去年も書いたのだけど、サイバー戦争（国家間の戦争）とサイバー犯罪の区別はどこでつけるのだろうというのが、今回も疑問として残ったのだが、今回の内容はその点にも少し踏み込んだ内容になっていた。つまり、敢えてその境界を不鮮明にすることで、国家が、サイバー犯罪者を（間接的に）攻撃に利用している・・・というわけだ。サイバー犯罪者は「金」になればなんでもする。技術も持っている。表立った戦争ではなく、裏方のスパイ合戦に彼らを動員するようなものだ。失敗しても闇に葬ることができる。しかし、これは極めて危険な動きだと思う。実際に、こうしたサイバー攻撃が物理的な攻撃との組み合わせで行われるならば、サイバー攻撃そのものが、物理的な戦争の引き金になることもあるのではないだろうか。それを避けるには、それこそネットを国家が管理する某国のようなモデルが必要になってしまうかもしれない。もしかしたらネットの未来は闇の中・・・なのかもしれないなと思った。

次のセッションは、中国におけるネット検閲の問題についてのもの。いわゆる、Great FireWall of China の仕組みとか、検閲の方法、回避方法などについての解説だ。中身はさておき、これだけの仕組みを持っているのだったら、外向けの攻撃だって止められるだろう・・・・、と誰もが思うだろう。実際、それはできるはずだ。現実に、聞いた話だが、オリンピック期間中はばったりと攻撃がやんだらしいから。この前のセッションも併せて考えれば、国家がサイバー攻撃を利用、黙認しているという見方もできるし、一方で、不満のはけ口を作っているという見方もできる。ただ、いずれにせよ危険だ・・・。他の国が、ネットに介入する口実にも使えてしまうから厄介だと思う。

次のセッションは、ゲーム機を攻撃マシンにする話。実際、DSとWiiを使って、ARPスプーフィングで通信に介入し、同じネット内のPCでアクセスしたWebページのレスポンスにiFrameを埋め込むといったデモも見せてくれた。（何度か失敗して失笑を買っていたのもご愛嬌・・・）また、ゲームソフトにこのような機能をマルウエアとして感染させるということの可能性についても触れられていた。スマートホン同様に、ゲームアプリも実際はメーカーが配布管理をしているのだけれど、不法コピーや改造ソフトは数多く存在する。iPhoneのJailBreakがマルウエアの標的になったように、こうした改造ソフトが標的にされる可能性は十分にあると思う。やはり、不法ソフトや安易な改造ソフトの利用は危険だ。

最後に、「スパイウエア開発者としての私の生活」といったプレゼン。ITエンジニアだったスピーカーが、会社を首になり、その後、マルウエア開発を仕事にするようになった経緯とか、こうした裏社会の様子などを語りながら、結局、ヤクザな連中にうまく使われて、自分にとっては、あまり益がなかったことなどを話しながら、自分と同じ轍を踏まないように・・・という話だったように思う。

さすがに昼飯も食わず、５時間連続は腹も減って、体も冷え切ったので、今日はこれくらいで終わりにした。明日はもう帰るので、これがDEFCON最後となる。ちょっと表に出て、冷房で冷えた体を暖めて、宿に戻った。

宿で一休みして、それから夕食を食べにでかけた。今回は、この周辺から出ていないので、最後くらいはちょっと遠出、とダウンタウン（旧市街）あたりまで行ってみた。

しかし、バスで３０分ほど窮屈な格好をしていたせいか、膝が痛み出し、歩いている間にかなりヤバい状態になってきた。しかたがないので、あきらめて、またバス停へ。

ホテルまで戻ってきたのだけど、膝はかなり悲惨な状態で、しかたがないので、サンドイッチとサラダとビールを買って部屋に戻って食事。会場でも立ち見とか行列とか、今日は結構足を酷使したので、そのせいもあるんだろうか。まだあんまり無理はできないみたいだ。ホテルの窓からはちょうど夕焼けで、いい感じ。膝の痛みは湿布とアルコールでごまかして、くつろいでいる。

さて、明日は朝一にホテルを出て、１０時過ぎの便でLAへ。そこから成田行きに乗りついて帰国する。なんとなく弾丸ツアーな今回。でもまぁ、こんな膝では遊ぶこともできないのでしかたないかな。今夜は、膝をきちんと湿布して寝よう。