Airemix Mireille Board System

Security	▲ ■ ▼

【No.268】	成瀬ゆい 【HOME】	2004年08月05日(木) 05時34分JST-9 【修正】
[ GDqzJTJswmI ]	PuTTYにセキュリティホールが見つかりましたね。 これと関連して、いくつかセキュリティネタを。 まず、PuTTYですが、すでに修正版および、それへの日本語パッチが出ています。 http://hp.vector.co.jp/authors/VA024651/ で、Windowsだったら、PuTTYもいいけどVaraTermもいいんじゃない？って話。 http://www.routrek.co.jp/product/varaterm/ タブ型なのがうれしかったり、GUIが綺麗なのがうれしかったり。 .NETだったり、一応有償（もっとも、試用期間は無期限）なのは、欠点でしょうか。 PuTTYとどちらを使うかは好みの問題でしょうが、わたしはこちらを使っています。 関連してGnuPGですが、GnuPG 1.2.5がリリースされていますね。 http://www.gnupg.org/ そんなGnuPGのWindows向けGUIフロントエンドのWindows Privacy Tray バージョンが最近あがってないのが心配だったのですが、ちゃんと開発はなされているようです。 http://sourceforge.net/projects/winpt/ http://www.stud.uni-hannover.de/~twoaday/winpt.html うちはさくっとv0.9.2にあげてみました。 探していて、GPGshellなんて物を見つけたのですが、これはすでに周知なんでしょうか。 http://www.jumaros.de/rsoft/index.html ってわけで、ふと思い立って、本名の方でもPGP鍵を作って、keyserverに流すことにしました。 暗号化する相手はいないから、とりあえず署名からはじめてみようかな。

	【Re:1】	午後の紅茶b	2004年08月06日(金) 06時53分JST-9 【修正】
	[ rRvmEHBZLrw ]	>VaraTerm これいーね

	【Re:2】	成瀬ゆい 【HOME】	2004年08月07日(土) 06時15分JST-9 【修正】
	[ GDqzJTJswmI ]	> VaraTerm いいでしょ～。 ネイティブ日本語なのを始めとして、何かとステキ。 Thunderbirdとenigmailについて良質な解説を見つけたので追記。 http://www.messagen.ne.jp/lab/gnupg/enigmail.html GnuPGとWinPTについての解説もあります。 これならセキュリティ周りにそこまで興味の無い人にも薦められる。

	【Re:3】	午後の紅茶b	2004年08月07日(土) 06時29分JST-9 【修正】
	[ rRvmEHBZLrw ]	雷鳥に変えたの?

	【Re:4】	成瀬ゆい 【HOME】	2004年08月07日(土) 07時36分JST-9 【修正】
	[ GDqzJTJswmI ]	えぇ、前のLibrettoL1からLaVie G Type Jに変えたのをきっかけに、nPOPからThunderbirdに変えました。 前にnPOPを使っていたのは専らスペック的な問題ですからね。 enigmailいれて、片っ端から署名つけてます（ｗ

	【Re:5】	午後の紅茶b	2004年08月07日(土) 12時32分JST-9 【修正】
	[ rRvmEHBZLrw ]	和訳プロの山たんと同じだー

	【Re:6】	ボヤッキー	2004年08月07日(土) 23時07分JST-9 【修正】
	[ sbkSeeISCU. ]	私はメーラがOEなのでGPGOEで署名･暗号化かけてます。 とはいえ、めったにPCではメールを出さないので常駐してるだけですが。 セキュリティといえば、PFWは必要ですかね？ 昔はOutpostを使ってたんですが、ルータ入れてから使ってないんですよ。 インバウンドはルータで、アウトバウンドなトロイとかは、ウイルス対策ソフト＋Spybotで十分かな、と思ってまして。

	【Re:7】	午後の紅茶b	2004年08月08日(日) 01時50分JST-9 【修正】
	[ rRvmEHBZLrw ]	入れてません 直結しないpcには来たこと無い #ウイルスメールは別として・・・ varatermは登録しちゃおう。オープンソース関連やってるし。kozたんがもらえたというので。

	【Re:8】	成瀬ゆい 【HOME】	2004年08月08日(日) 03時53分JST-9 【修正】
	[ GDqzJTJswmI ]	そういえばVaraTerm登録していなかったので、ちゃちゃっと登録。 手数料と消費税合わせて\3,255か、絶対的な額としてはちょっと高いな、 使い勝手とかの相対価格でみれば安いものですけれど。 PFWはどうなんでしょうねぇ。 職場などでLAN内に不正なクライアントがある場合は必要な気も少しするのですが、 よくよく考えるとWindowsUpdateかけていれば撃たれても関係ないですしねぇ。 雑誌とかではこれからはPFWは必須だって言っていますが、正直あおられているような気もしましね。 内側から外側に不正なパケットを撃ってしまった場合に～、ってよく言われますが、 そんなものを内側に入れてしまう調子じゃFirewallの運用もどうせできてないだろう、って。 まぁ、わたしはいちおうWindowsの付録のInternetConnectionFirewallはONにしていますけれど。

	【Re:9】	午後の紅茶b	2004年08月08日(日) 22時24分JST-9 【修正】
	[ rRvmEHBZLrw ]	未亡人update!

	【Re:10】	成瀬ゆい 【HOME】	2004年08月08日(日) 22時31分JST-9 【修正】
	[ GDqzJTJswmI ]	未亡人？

	【Re:11】	午後の紅茶b	2004年08月09日(月) 02時02分JST-9 【修正】
	[ rRvmEHBZLrw ]	だってWidowsUpdateって

	【Re:12】	成瀬ゆい 【HOME】	2004年08月09日(月) 05時14分JST-9 【修正】
	[ GDqzJTJswmI ]	あ、たしかに（ぉ

	【Re:13】	kano 【HOME】	2004年08月11日(水) 00時24分JST-9 【修正】
	[ ufdJHwo2ac2 ]	久しぶりでごめんなさい(^^;; ::Firewall 自分は全然それ系のソフトは入れていませんねぇ。。既知ならもうパッチ当ててるし、未知だったらどうしようもないしとバッサリしちゃってますから(^^;; ただ、外発をチェックするPCGateというソフトは有意義なので消さないでおいています。 外部からのアタックよりも、変なスパイウエアや腹黒シェアウエア作家、キンタマウイルスなんかのほうがよっぽど恐ろしいですからー。

	【Re:14】	ボヤッキー	2004年08月11日(水) 01時08分JST-9 【修正】
	[ sbkSeeISCU. ]	160GBのHDD、ものすごい勢いで残り容量が減っていきます。 xpのSP2はいろいろ不具合があるようですね。2kユーザには関係ないですけど。 >手数料と消費税合わせて\3,255 シェアウェアにお金払ったことは……一度だけありますね。でもいまならお金払うぐらいなら似た機能を持つフリーウェアを探しますね。 >外発をチェックするPCGate 確かにアウトバウンド監視の必要性は感じてるのですが、まず最初にネットに繋げるソフトを全部登録しないといけないのがめんどくさくて。 それと常駐ソフトが今でもAsusProbe、TClock、Daemon、Proxomitron、POPFile、GPGOE、WinPT、ウイルスバスターと結構ありますから、これ以上増やしたくないというのもありまして。 >変なスパイウエアや腹黒シェアウエア作家 フリーウェアにもいろいろ入れるメーカがありませんか？ AdobeとかAdobeとかAdobeとか(w Antiny_GoldenBallは自業自得かと(w

	【Re:15】	成瀬ゆい 【HOME】	2004年08月11日(水) 06時33分JST-9 【修正】
	[ GDqzJTJswmI ]	Thunderbirdが窓の杜に収録されましたね。 結局、既知なのを手堅く防ぎつつ、未知なのを踏まないように、ですよね。 外発チェックは・・・どうかなぁ、予防線としては安心だとは思いますけれども・・・、 どうもこの手のセキュリティ企業って技術力が低いような感が＾＾；； XPsp2は不具合というより仕様でしょうね。 ただ、サブマシンに入れているのですが、どうも何かと使いにくいですね。 使いにくいというよりは、めんどくさい、でしょうか。

	【Re:16】	午後の紅茶b	2004年08月12日(木) 00時23分JST-9 【修正】
	[ rRvmEHBZLrw ]	へんなのみっけた http://slashdot.jp/comments.pl?sid=202306&cid=604393

	【Re:17】	成瀬ゆい 【HOME】	2004年08月12日(木) 00時45分JST-9 【修正】
	[ GDqzJTJswmI ]	ヘンなのといいますか～結構コメントはつけてますよ。 そのタレこみの流れでは別のコメントも（ぉ なにはともあれ、XFormsが実装されるって言うのはなかなかに驚き。 期待しちゃいます。

	【Re:18】	ボヤッキー	2004年08月18日(水) 19時00分JST-9 【修正】
	[ sbkSeeISCU. ]	暗号アルゴリズムに重大な欠陥発見の報告相次ぐ http://www.itmedia.co.jp/enterprise/articles/0408/18/news020.html?eb30 厄介なことになりましたね。CRYPTRECではハッシュ関数は出来るだけ256bit以上を推奨してたんですが、移行が早まるでしょう。 GnuPGもSHA-256にはすでに対応してるようですし…… でも"digest-algo SHA256"では使えないんですよね。RIPEMD160は大丈夫なんですが。 本当は対応してないとかそういう落ちですかね？

	【Re:19】	成瀬ゆい 【HOME】	2004年08月19日(木) 02時15分JST-9 【修正】
	[ GDqzJTJswmI ]	/.-Jで速報を見て、思わず「うげっ」とか言ってしまいましたよ。 今公開されている情報を見る限りでは、ただちに悪用可能な物ではないように感じましたけれども。 いや、可能なのかな？ http://slashdot.jp/comments.pl?sid=203703&cid=607333 gpg --versionによると、 Hash: MD5, SHA1, RIPEMD160, SHA256 となっていますから、対応はしているのかな。

	【Re:20】	ボヤッキー	2004年08月19日(木) 09時50分JST-9 【修正】
	[ sbkSeeISCU. ]	SHA-1とRIPEMD160ではOKで、SHA256もMD5も駄目だと思ったら、署名アルゴリズムの問題でした。 GPGでのデフォルトの署名アルゴリズムDSAは160bitのhashが必要なので、128bitのMD5や256bitのSHA256では駄目なようです。 RSA署名の鍵を作ればSHA-256も大丈夫なようですが、私はとりあえずいまの鍵のままRIPEMD160への移行を考えてます。当面はSHA-1のままのつもりですが。 ……と、RSA署名鍵作ってもうまくいかないです。まぁ良いですけど。 電力重要インフラ防護演習に関する調査 http://www.ipa.go.jp/security/fy15/reports/infra/index.html 今読んでますがなかなか興味深いです。

	【Re:21】	成瀬ゆい 【HOME】	2004年08月19日(木) 19時53分JST-9 【修正】
	[ GDqzJTJswmI ]	RIPEMD160ってMD4ベースでしたっけ？ これはこれで本当に安心なのか疑問はあるところ。 とりあえずSHA-1のままで様子見ですかねぇ。 そういえば、2002年に鍵を作った時は共通鍵暗号アルゴリズムはAES-128なのですが、今だとAES-256なんですね。 鍵更新しようかな～と思っていたり。 電力は外的要因での破壊も怖いですが、カリフォルニアであったような、連続脱落も怖いですよね。 しかし、東電不祥事が今年でなくて良かった・・・

	【Re:22】	ボヤッキー	2004年08月19日(木) 21時21分JST-9 【修正】
	[ sbkSeeISCU. ]	MD4ベースですね。 正直な話、AES128に固有の脆弱性があると言うわけではないなら、わざわざ256に乗り換える必要があるとも思いません。 詳しくは下の資料にありますが、128ビットの暗号が当面の間力ずくで破られる可能性は極めて薄いです。 無論、これから鍵を新調すると言うならば、256ビット鍵にするべきでしょうが。 将来の暗号技術に関する安全性要件調査 http://www.ipa.go.jp/security/fy15/reports/crypt_requirement/index.html 暗号鍵の長さよりも、その実装やデータの管理のほうがよっぽど重要だと思います。WEPなんかがいい例です。 それに、上の資料にある｢中規模攻撃｣では予算が10億円とされてますが、もし私が暗号を破らなければならない立場ならば 解読システムを構築するのではなく、関係者を買収しますね。 >しかし、東電不祥事が今年でなくて良かった・・・ 東北電力の管轄ですから直接の被害は私にはありませんが、日本全体がこうむる被害を考えると、背筋が凍る思いですね。 UPSなんかもしょせんは瞬断、あるいは一時的な停電対策でしかありませんし。NTTやISPが落ちればPCが生きててもネットには繋がりません。 もっとも、自家発電機その他があるであろうNTT/ISPのほうが先に落ちるとも思えませんが(w いや、日本の場合、大手町のIXが落ちればそれですべて終わりですか。 現代社会においては、電力供給の停止は都市機能のそれと同義ですからね。 都市の地下に小型原子力発電所を作るとか、発電システムの「分散」の必要があると思います。

	【Re:23】	成瀬ゆい 【HOME】	2004年08月20日(金) 05時01分JST-9 【修正】
	[ GDqzJTJswmI ]	作ってから2年になるし、そろそろ鍵を変えるのも良いかな、と思っているのも大きいですね。 本当はDSAから楕円DSAに変えたいとかも思ったりするのですが、まだなのだからしょうがない。 まぁ、基本はBackdoor、さらには関係者の買収ですよね。 結局ソーシャルエンジニアリングになるっていう。 > もっとも、自家発電機その他があるであろうNTT/ISPのほうが先に落ちるとも思えませんが(w 前のOCNの話みたいに、ISPだけすこーんとおちちゃったりもしますけれどね・・・。 まぁ、うちは大手町IXが落ちても一部は大丈夫かな。IIJだし。 しかし、日本の中心って大手町なんですよね。 正確には東京の地下の中心が、かな、詳しくは知りませんが。 > 都市の地下に小型原子力発電所を作るとか、発電システムの「分散」の必要があると思います。 いや、それを行うのは燃料電池でしょう。 家庭用据置燃料電池による分散発電、それこそが燃料電池派の夢なのです。

	【Re:24】	成瀬ゆい 【HOME】	2004年08月21日(土) 00時59分JST-9 【修正】
	[ GDqzJTJswmI ]	煽りが来たよ・・・ 「今こそ新しい暗号化標準が必要だ」 http://www.itmedia.co.jp/enterprise/articles/0408/20/news063.html?c

	【Re:25】	eclipse 【HOME】	2004年08月21日(土) 11時57分JST-9 【修正】
	[ rlXyaYg2rMk ]	> 一方向ハッシュ関数は、2つの特性を持っているとされる。1つは一方向性だ。 > メッセージからハッシュ値を計算するのは容易だが、 > ハッシュ値から元のメッセージを復元するのは不可能だ > （ここで言う「不可能」とは、「相当の時間をかけないとできない」という意味だ）。 > 2つ目はコリジョンフリーだ。 > 2つの異なるメッセージから同じハッシュ値が計算されることはあり得ない。 上の記事でこんなことが書かれていますが… ハッシュ関数は可変データ列を受けとって固定データ列を返すんだから 確実に情報量は欠落するわけで、相当の時間をかければ復元できるなんて発想 はどこから湧いてくるんだろうか。 ハッシュ値だけで元のデータを特定することは無限の時間があってもできない、 文字通りの不可能でしょう。 2番目も同様、ハッシュ関数の定義域は無限だが値域は有限なので、 コリジョンが絶対に起きないなんてあり得ない。 もしコリジョンが絶対に起きないならそれはハッシュ関数じゃないですよね。 すみません、つっこまずにはいられませんでした。

	【Re:26】	成瀬ゆい 【HOME】	2004年08月21日(土) 16時34分JST-9 【修正】
	[ GDqzJTJswmI ]	どうも、わかってない人が書いてるなぁ、という印象を受ける記事ですよね。 * ‘メッセージがある程度限定されていれば’ハッシュ値からメッセージを‘特定’することは可能 * ‘実用上及び意図して’二つの異なるメッセージから同じハッシュ値が‘計算されてはならない’ ってのは確かなのですけれども・・・ 相当の時間をかければ復元でき、コリジョンが絶対に起きない、ハッシュ関数が存在すれば、 それは、ハノイの塔アーカイバですね。 存在すれば面白い話ですが（笑

	【Re:27】	eclipse 【HOME】	2004年08月22日(日) 11時24分JST-9 【修正】
	[ rlXyaYg2rMk ]	わかって書いてて暗黙の了解を求めているのかもしれませんけど、 定義に関する部分は特に正確性に注意すべきだと思いますね。 ハノイの塔アーカイバ、THCompですか。初めて知りました。 なかなか面白い話ですね。

	【Re:28】	ボヤッキー	2004年08月22日(日) 20時09分JST-9 【修正】
	[ sbkSeeISCU. ]	>「今こそ新しい暗号化標準が必要だ」 シュナイアー先生ですか。暗号技術大全はぜひ欲しいんですが。 >ハノイの塔 漸化式のあれですね……冗談です。 iPod予約したのでiTunesをDLして使ってみたんですが……なにこれ？　って感じですね。さっぱり使い方が分かりま千円ｗ

	【Re:29】	成瀬ゆい 【HOME】	2004年08月23日(月) 00時56分JST-9 【修正】
	[ GDqzJTJswmI ]	話題が「新たな規格を」という突飛な話なのですから、その文注意深く書いてほしいですよねぇ・・・。 暗号技術大全は立ち読みしたことがあるのですが、あれはいいですよね。 あとお勧めは「はじめての数論」かな、RSAの数学的背景を学びたい時は、これ。 ハノイの塔アーカイバは、‘開発者’のNorthさん曰く、超ハッシュ関数らしいですね。 そんなのも、念頭においていたり。 iTunesはRipして転送、だけですね。 UIも機能もいまいちですし。 PC上で再生するならfoobar2kのほうが便利ですな。

	【Re:30】	成瀬ゆい 【HOME】	2004年09月29日(水) 00時01分JST-9 【修正】
	[ GDqzJTJswmI ]	「暗号化標準「DES」の引退」 http://www.itmedia.co.jp/enterprise/articles/0409/28/news057.html 題名を見て「今こそ新しい暗号化標準が必要だ」を思い出して、警戒しながら読んでいたのですが、どうもおかしい。 話がきちんとしすぎています。 読み進めると・・・“私が開発したアルゴリズム「Twofish」”・・・（汗

	【Re:31】	eclipse 【HOME】	2004年10月03日(日) 11時09分JST-9 【修正】
	[ rlXyaYg2rMk ]	あれ？　前回のもシュナイアー氏だったんですか！ 素人が書いてるのかと思っちゃった… > もっと知りたいという読者には、私ブルース・シュナイアーの著書『Applied Cryptography（邦題：暗号技術大全）』をお勧めする。

	【Re:32】	成瀬ゆい 【HOME】	2004年10月03日(日) 13時34分JST-9 【修正】
	[ GDqzJTJswmI ]	今回のは「Bruce Schneier，ZDNet/USA」、 前回のは「IDG Japan」ですから、やっぱり別の方が書いているのかと～。

	【Re:33】	eclipse 【HOME】	2004年10月05日(火) 00時02分JST-9 【修正】
	[ rlXyaYg2rMk ]	はっきり、「私ブルース・シュナイアー」と仰ってますが。 騙ってるということですか？ 流石にありえないですよね…

	【Re:34】	成瀬ゆい 【HOME】	2004年10月05日(火) 00時31分JST-9 【修正】
	[ GDqzJTJswmI ]	ありゃ、たしかに（汗 訳の問題だったんですかねぇ、、