OpenSSLに再び脆弱性

若干古い記事だが引用。
＜
OpenSSLに再び脆弱性、MITM攻撃につながる恐れ
http://www.atmarkit.co.jp/ait/articles/1406/06/news037.html
オープンソースのSSL/TLS実装「OpenSSL」に、新たに複数の脆弱（ぜいじゃく）性が発見された。中にはMITM攻撃につながるおそれのある問題も含まれており、修正版0.9.8za／1.0.0m／1.0.1hへのアップグレードが呼び掛けられている。

オープンソースのSSL/TLS実装「OpenSSL」に、新たに複数の脆弱（ぜいじゃく）性が発見された。中にはMan-in-the-Middle（MITM）攻撃によって、暗号化通信の内容を第三者（＝攻撃者）が読み取ったり、改ざんしたりすることができる深刻な脆弱性も含まれている。

　開発元のOpenSSLプロジェクトは米国時間の2014年6月5日、セキュリティアドバイザリを公開し、6つの問題を修正したバージョン0.9.8za／1.0.0m／1.0.1hへのアップグレードを呼び掛けた。Ubuntu、FreeBSD、RedhHatといった各ディストリビューションも修正版の配布を開始している。

　このうちMITM攻撃につながる脆弱性（CVE-2014-0224）は、「ChangeCipherSpec （CCS） Injection Vulnerability」と呼ばれており、日本のネットワーク／セキュリティ技術・研究開発企業、レピダムの菊池正史氏が発見した。公開されたブログによると、この脆弱性はOpenSSLの最初のリリースから存在しており、16年もの間発見されてこなかった。原因は「TLS/SSLを実装したことのある経験者が十分にレビューできてなかったこと」にあるという。

　脆弱性はOpenSSL 0.9.8y以前の全てと1.0.0～1.0.0l、1.0.1～1.0.1gに存在する。OpenSSLのハンドシェーク中に、不適切な状態でChangeCipherSpecを受理してしまうことが原因となって、第三者が知ることのできる「弱い鍵」を使用させるよう仕向けることができる。この結果、本来ならば適切に暗号化されるはずの通信内容や認証情報など重要な情報を、攻撃者によって詐取／改ざんされる恐れがある。プロトコルや暗号アルゴリズムには依存せず、影響を受ける恐れがあるという。

　MITM攻撃を実行するには、クライアント側とサーバー側がともに脆弱性が存在するOpenSSLを利用しており、しかもサーバーがバージョン1.0.1以降である必要がある。

　ただ、「最近、Heartbleed対策でサーバー側のOpenSSLが更新された結果、攻撃可能な範囲が広がった可能性が高い」（レピダム）。同社は、MITMという攻撃の性質上、状況次第であるとしながらも、場合によっては「Heartbleedと同等か、それ以上深刻な問題となる可能性がある」と考えているという。

　また、サーバー側だけが脆弱性が存在するOpenSSLを利用している場合は、クライアントの偽装攻撃が行われる恐れがある。
【6月6日21時追記】

レピダムは脆弱性に関する情報を更新し、上記の、サーバー側のみに脆弱性が存在する場合に起こり得るとしていた「クライアントの偽装攻撃」（被害者のクライアントになりすましての認証ハイジャック）の可能性はないことを明らかにした。

この脆弱性について検証したIIJ-SECTは、攻撃が成立するには「条件がある」ことを踏まえ、「使用しているOpenSSLのバージョンやSSL/TLS通信の利用の仕方に応じて、アップデートの緊急性を個別に検討する余地がある」と述べている。

　対策は前述の通り、脆弱性を修正したバージョンにアップデートすること。回避策などは公開されていない。なお、この脆弱性を悪用した攻撃を受けても形跡は残らないため、過去に攻撃を受けたかどうかを確認することは困難だ。ただ、不正侵入検知システム（IDS）などで、通常と異なるタイミングで送信されるChangeCipherSpecパケットを検知するよう構成すれば、攻撃の検知は可能と思われる。

　OpenSSLについては2014年4月に、サーバーのメモリ上の情報を読み取られる恐れのある脆弱性「Heartbleed」が存在することが指摘され、多くの管理者が対応に追われたばかりだ。
＞

実際の指摘記事を見てみる。
＜
CCS Injection脆弱性(CVE-2014-0224)発見の経緯についての紹介 - OpenSSL #ccsinjection Vulnerability
http://ccsinjection.lepidum.co.jp/blog/2014-06-05/CCS-Injection/index.html

菊池です。CCS Injection脆弱性(CVE-2014-0224)発見の経緯について紹介します。
バグの簡単な解説

OpenSSLがハンドシェーク中に不適切な状態でChangeCipherSpecを受理してしまうのが今回のバグです。 このバグはOpenSSLの最初のリリースから存在していました。

Message flow for a full handshake

通常のハンドシェークでは、右の図のような順序でメッセージを交換します(RFC5246 The Transport Layer Security (TLS) Protocol Version 1.2 §7.3より作成)。

ChangeCipherSpecは必ずこの位置で行うことになっています。OpenSSLもChangeCipherSpecをこのタイミングで送信しますが、受信は他のタイミングでも行うようになっていました。これを悪用することで、攻撃者が通信を解読・改ざん可能です。
＞

なるほど、全然分からん。
ハンドシェイク時のプロセスの下位にChangeCipherSpecがあるが、これが上位で発生させられてしまうことに伴う脆弱性を利用した攻撃があるらしいが、どうして上位で発生するのよ、という部分が分からない。というか記事に書いてない。
こういうのって、通信時に上位プロセスのチェックとかってないのかな？　

上記とは別ラインで、Googleが動いている模様。
＜
グーグル、OpenSSLの新たなforkとして「BoringSSL」発表 - ＠IT
http://www.atmarkit.co.jp/ait/articles/1406/23/news117.html

グーグルがOpenSSLのforkを発表、独自の実装にOpenSSL側の変更をマージする体制を採る。OSSでの展開はしない方針だという。

　米グーグルが、オープンソースのSSL/TLS実装「OpenSSL」から新プロジェクトの「BoringSSL」を派生させた。同社の研究者アダム・ラングリー氏が2014年6月20日、自身のブログ「ImperialViolet」で明らかにした。

　ラングリー氏によると、グーグルでは「Heartbleed」と呼ばれる重大な脆弱性が発覚する以前からOpenSSLのコードを検証し、何年にもわたって多数のパッチを使用してきた。この中にはOpenSSLのメインレポジトリに採用されたものもある一方で、OpenSSLが保証するAPIやABIの安定性とかみ合わないものや、やや実験的過ぎるものも多かったという。

　しかし、AndroidやChromeなどの製品でそうしたパッチのサブセットが必要になる中で、パッチの数は70を超え、複数のコードで横断的に管理する作業は手に負えなくなってきたという。

　そこでモデルを切り替えて、OpenSSLの上に変更を積み重ねるのではなく、OpenSSLから変更を取り込む「BoringSSL」をスタートさせることにした。BoringSSLはまずChromiumで着手し、いずれAndroidやグーグル社内のプロジェクトにも採用したい意向だという。

　BoringSSLのコードではAPIやABIの安定性は保証せず、OpenSSLの代替となるオープンソースプロジェクトを目指すつもりもないとラングリー氏は説明する。今後もOpenSSLの変更は取り入れ、バグを見つければ報告する方針。

　OpenSSLの派生プロジェクトとしては、OpenBSD Foundationも4月に「LibreSSL」を発表しているが、BoringSSLではLibreSSLからの変更も取り入れやすくなるといい、LibreSSLがグーグルの変更を取り入れることも歓迎するとした。

　OpenSSLなどのオープンソース技術を資金面で援助する「Core Infrastructure Initiative」や、OpenBSD Foundationへの資金提供は今後も続けると表明した。
＞

学歴について

＜
「日本は学歴にとらわれ過ぎ」　グーグル、ＭＳでは学歴は関係なし！ (3/7ページ)
http://www.sankeibiz.jp/econome/news/140803/ecd1408031707002-n3.htm
　だが、夢は叶わなかった。師匠と仰ぐジャーナリストが、「物書きよりも、モノを作って生きていくほうが、あなたには向いている」とさとす。そして、シリコンバレーにある、グーグル社を紹介した。師匠は、グーグルのウェブサイトで記事を書いていたこともあり、コネクションがあった。石井氏は自動車ジャーナリストに未練を残しつつも、グーグル社で働くことにした。３０歳になっていた。

　もともと、英語は堪能だった。プログラムにも長けていた。防大や航空自衛隊で管制塔に勤務している頃から、パソコンを始めとした通信機器、さらにそのシステムや複雑な仕組みには精通していた。

　グーグル社では、サーチ・セクションで働いた。検索を繰り返しては、あるテーマについて調べていた。部署は、約４０～５０人。アジアやヨーロッパなど各国から来ていた。石井氏は、学歴を感じることは１度もなかったという。

　「話題にすらなったことがない。日本や韓国、中国などアジアの国では学歴が重視されるが、アメリカ企業の現場ではあまり重要視されていないと思う。むしろ、その人が何をどのくらいできるのか、そのことで評価される」
＞

答えはYesでNoだ。
Googleは学歴を採用時に重視している。人材発掘にその方が効率がいいからだ。
だが、会社での仕事をしている際には、学歴は関係が無いので話題に出ないだけだろう。

問い：韓国の脅威は偽者か？

予想も兼ねて。

＜
「嫌韓」の人は日本を過小評価　逆に韓国をあまりに肥大視している 評論家・古谷経衡さんに聞く
http://topics.jp.msn.com/wadai/j-cast/article.aspx?articleid=5298955

　「『日本は韓国・在日に乗っ取られている』と主張する彼らこそ、日本を過小評価する『反日』なのではないか」――そう語るのは、『ネット右翼の逆襲』（総和社）などの著作で知られる評論家・著述家の古谷経衡さんだ。

　ネット、最近では書店などでも「嫌韓」論を目にすることが少なくない。しかし古谷さんは保守派言論人としての立場から、こうした「嫌韓ブーム」は長くは続かないと予測する。いったいなぜなのか。

■「最前線」鬱陵島で見た韓国人の姿は…

――古谷さんは李明博大統領（当時）の竹島上陸から間もない2012年9月、韓国、そして竹島を訪れたそうですが。

古谷　僕は身構えて行ったんですよね。ところが、結果は超フレンドリーでした。竹島に最も近い鬱陵島では、日本人は監視されるというような話も聞いていたが、そんなこともなく、何も緊張感とかなかった。波止場で竹島行きのフェリーを待っていた時も、国民学校出身でベトナム帰還兵だという老人から日本語で、「よく来たね、楽しんで来いよ」。鬱陵島の「独島展望台」でも、居合わせた夫婦に飴やジュースをもらいました。僕はゲストハウスなどで事あるごとに「日本から来た」と言っていたんですが、みんな「へえ、自分も九州に行ったぜ」ぐらいで特に無反応でした。

――「反日」というイメージとはかなり違いますね。

古谷　一人だけ、「日本は嫌いだ」という大学生くらいの若者に会いましたが、彼も日本のアニメが好きで、日本人の普通のアニオタよりよっぽど詳しいし、小説家の森見登美彦が好きだと言う。世論調査の数字などを見ても、韓国は「反日」というのは僕も否定しないが、実際には憧れ・関心半分、嫌い半分の「半日」だと思う。

――対して先日、アルピニストの野口健さんが「韓国のタクシーで日本人とわかった途端に下ろされた」とツイッターで過去の「反日」体験談を語り、ネット上で話題を呼びました。

古谷　野口さんの言うようなことはもちろん本当にあったとは思います。僕が嫌な思いをしなかったのは、単に「たまたま」かもしれない。一方で、「韓国は嘘つきだ、反日だ」と騒ぐ人たちは、そもそも韓国に行ったことがない、また在日の人と触れ合ったこともない、というのが経験上8割くらい。実際行ったという人からも、野口さんみたいな目に遭った例は聞いたことはない。そうした人たちに、野口さんの体験談が「韓国＝反日」の論拠として使われているのには、少し引っかかるものがあるんです。

■韓国は小さな国でネットが言う「謀略」する力なんかない

――たとえばこの話が韓国ではなく別の国なら、ほとんど騒ぎにならなかったのでは。

古谷　ヨーロッパでもアメリカでもアジアでも、海外どこでもこういう話はあるものです。ネットでは「マスコミは特亜（※特定アジア。韓国・中国・北朝鮮を指すネット用語）ばかり取り上げる、偏向報道だ」とよく言いますが、ネットこそむしろ特亜、特に韓国の話しかしていない。韓国を嫌いすぎるあまりに彼らの中では、韓国をあまりに肥大視してしまっている。行けばわかりますけど、韓国は小さな国ですよ。ネットが言う「謀略」をする力なんかない。そこにいちいち構い続ける余力を、たとえば中国の軍拡への警戒など、もっと他に振り分けるべきでしょう。

――ネットでは韓国などの「反日プロパガンダ」が国際社会に与える影響を懸念する声も強い。

古谷　でも、BBCなどの調査からもわかりますが、日本の国際的評価は全然下がっていないし、訪日外国人の数は今過去最高ですよね。それが何よりの証拠で、世界は韓国の言っていることなんて無視しているんですよ。韓国の「反日」をいいたてる人ほど、日本を過小評価している。「日本人はもっと自信を」と言っている当人が日本に自信がない。「嫌韓」「陰謀」を言えば言うほど、日本人は日本の姿を客観視できなくなる。日本が小さくなってしまう。本当は日本の方がずっと大きな国なのに、海外からも「日本人は韓国をライバル視している。韓国ってすごいんだ」って思われてしまう。「陰謀が、工作員が」とか言う人こそ最も「反日」ですよ。

――一方で、「嫌韓本」はブームが続いていますが、この状況をどうご覧になりますか。

古谷　「嫌韓ブーム」は、昔の「UFOブーム」と似ていると思うんです。最初は読者も真面目に驚いていたのが、やがてネタは消費しつくされてしまうし、話自体も検証の仕様もないものばかりだし、最後には「UFO」と言っただけで笑われるようになる。今の「嫌韓本」も底堅い、ある程度は確実に売れるけれど、100万部売れるということはない。しかも買うのは同じ人ばかり。読者はより強い刺激を求めるけど、そうそう大きなネタが出てくるわけでもなし、いつかはしぼんでいく。UFOと同じで、なくなりはしないでしょうが。むしろこれからは、中国情勢の専門家や中国ウォッチャーの人がどんどん出てくるのでは。韓国と違い、中国はまさに現実的な脅威ですから。
＞

問い：韓国の脅威は偽者か？　
答えはNo。彼らに対して決して油断してはならない。
確かに私の周囲の韓国人は皆いい人だった。だがそれと外交とは全く違う。
確かに日本を侵攻する為の軍備には不足がある。だが彼らには恐るべき浸透能力、簒奪、蚕食能力があることを忘れてはならない。
現に、親韓の民主党政権になったことはもう忘れたのだろうか？　そしてその財産の流出の中で、韓国に通貨スワップを5兆5000億円出したのを忘れたのだろうか？　

アサヒビール名誉顧問の中條高徳さんは書く。
「人類は事ある毎に戦争を繰り返してきた。戦争程、人類にとって悪いものはない。一九二七年ケロッグ米国務長官、ブリアン仏外相の二人が立ちあがり戦争反対を訴えた。
　多くの国々がそれに応えて通称「ケロッグ・ブリアン協定」いわゆる「不戦条約」が結ばれた。その二人も国家の役割を（一）領土（二）国民の生命（三）国民の財産の保全の三つと定め、これが犯される時は「自衛の戦争」を認めているのが地球上の現実なのである。」
（文藝春秋２０１４年６月号　Ｐ３４０　安倍総理の「保守を問う」）

かの昔なつかしのゲームソフト「ドラゴンクエスト」においての呪文では、冒険中に使える魔法として、マヌーサ（闘う敵を幻惑させる呪文）やバイキルト（一時的に味方攻撃力を二倍にする呪文）があるが、韓国は日本や世界に対してこの呪文をかけるのが大得意だ。
この件についても相手が幻惑の呪文を唱える厄介な対象として認識した方が良さそうだ。
しかも呪文を唱える為の魔法の力を回復させるアイテム「まほうのせいすい」を日本から手渡している始末で、今までの日本というプレイヤーは、あまり頭の良いプレイヤーではなかったのだと考えざるを得ない。

これからは各方面においてきっちり締め上げざるを得ない。

韓国は韓国できっちり締め上げる必要があるが、それと同時に一つ予想しておきたい。
この韓国に国民の敵意を向けることで得をするところが一つある。それはどこか？　
答えは日本政府。

例えば消費税を上げるというのは、ケインズ型公平分配（一視同仁（すべてを平等に慈しみ差別しないこと）的思考）ではなく、ハイエク型傾斜分配主義構造路線を取った形となる。
一見気づきにくいが、貧乏人と金持ちから同額の税金を取る、というのと、貧乏人と金持ちから同比率の税金を取る、というのはどちらがより公平であるか？　こうしたことを新聞は報じない。

ある種の見方から消費税増税を実施した安倍政権、あるいはＴＰＰ加入が規定路線と見られる安倍内閣は一定の批判を免れないものであるが、しかし政権情報の蛇口をキュウっと捻ってマスコミのコントロールに成功した安倍内閣は、その批判情報をも表に曝さぬことに成功した。
マスコミのキャンペーンであった特定秘密保護法による民衆の注意喚起も不発に終わった。

そして民衆の「限られた政治的憤怒の枠」は、韓国に向けられている。これは危険だ。無論韓国は韓国で注意せねばならない国だが、しかしそれと同時に安倍内閣の挙動もきちんと把握しておかなければならないのである。現在のマスコミが政府批判に向かって稼働できていない現状を見れば尚更だ。

ブラッド・ハラスメント思い出譚

私は血液型占いが嫌いだ。

小さい頃から「あんたは＊型だからね～」とさんざんに言われた私は、私自身に備わっている先天的に拭い去れない負の特徴があると刷り込まされ、自分自身に自信を無くした。

さて、時は経ち。血液型占いによってなされる各血液型の性格分類に問題があるという指摘がなされた。実に素晴らしいことではないか。

世の中は広く、血液型占いの分類上ではＡ型でも実際にはＢ型の人がいたり、あるいはＢ型っぽいＯ型の人もいた。Ｂに似たＡもいたし、ＯっぽいＡＢもいてさながらよく分からない。
Ｂ型の女の子に「えっ？　全然Ｂっぽくない。どちらかというと絶対Ａだと思ってた」と言ったら「よく言われるんですよー」と言いつつも嬉しがっていた。
あるいは別の女の子に「私の血液型何型だと思います？　」と言われ、血液型分類はＡ・Ｂ以外はよく分からないので、適当に「うーん、ＡＢかな」と言ったら「っ失礼なっ！　」と言われた。
どうやら血液型に序列があるらしいのだが、誰かその序列をご存じないか。

Ａ／Ｂ／Ｏ／ＡＢのそれぞれで付き合う人間がグルーピングされるという話しも聞くが、これも嘘だ。見事に一人ずつの4人グループになっていた私の同期の女性たちがいる。

さて、そんな中、私はＢ型だけ何かが違うと思う。血液型占いが本当に当てはまるとするならば、Ｂ型とそれ以外に分かれるのではないかと思う。

Ｂ型とは異能な集団だ。何かしらの特技や性質があってそれが顕著に現れる。
しかしこれにも例外がある。以前勤めていた会社で、こうしたことを話していたら、どうにも仕事ができそうにない先輩が「ボクもＢ型なんだけどお～」と言ってきた。これを、私がＭＡＸの音量で「嘘ぉ！　」と発声してしまったことがあるがそれはさておき。

このＢ型であるが、時として不意に集団化する。そうした事態に私は３度出くわした。

なぜ集団化するのか分からないが、しかしその集団内にいると、その人たちの異能ぶりというものが見えてこないというのも不思議な現象だった。

さて、こういう私は一体何型なのでしょうか？　

ＮＨＫ、久々にいい仕事をする

＜
中国 ウイグルで海外メディア強制排除
7月31日 6時16分
http://www3.nhk.or.jp/news/html/20140731/k10013422811000.html

中国の新疆ウイグル自治区で地元政府の施設などが襲われ、数十人が死傷したと伝えられた事件で、中国当局は、現場周辺の立ち入りを制限し、海外メディアも強制的に排除するなどして社会に動揺が広がらないよう神経をとがらせているものとみられます。

中国国営の新華社通信によりますと、今月２８日、新疆ウイグル自治区のカシュガル地区ヤルカンド県で、刀などを持ったグループが地元政府や警察の施設を襲い、数十人が死傷し、公安当局が、襲撃に加わったとされる数十人を射殺しました。
ＮＨＫの取材班は２９日、事件の起きたヤルカンド県に入りましたが、現場付近には、武装した警察官が検問所を設けていて、強制的に排除されました。
その際、カメラや携帯電話は一時、取り上げられ、撮影していた映像のほとんどが削除されました。
現場周辺はインターネットも遮断されているとみられ、中国当局としては、事件の詳細が伝えられ、社会に動揺が広がらないよう、神経をとがらせているものとみられます。
また、現場周辺に集まっていた大勢のウイグル族の地元住民に対して、銃を持った漢族の警察官が「立ち止まるな」と激しくどなりつけるなど、緊迫した状況が続いています。
新疆ウイグル自治区では、ウイグル族に対して中国当局が高圧的な姿勢を強めるほど、ウイグル族が反発し、死傷者が出る事件があとを絶たないという悪循環に陥っています。
＞
ＯＫ。素晴らしい仕事だ（上から目線）。