月刊MS 2010/3増刊号

絵でみるセキュリティ情報 : MS10-018 : Internet Explorer の重要な更新 - Microsoft
マイクロソフト セキュリティ情報 MS10-018 - 緊急 - Microsoft
今日(3/31)、IEの累積修正プログラムが緊急リリースされました。既にIE6/7では該当するセキュリティホールが悪用されているとの事。可及的速やかにMicrosoft Updateを実施しましょう。

HYBRID W-ZERO3に機種変更した

前の記事の続き、昨日早速「HYBRID W-ZERO3」に機種変更してきました。

一昨日（3/23）の時点で、某家電量販店で「残り2台」と言われ、昨日の時点で残り1台と言われたら……ねぇ(マテ)。
(「多分今日(3/25)まで待っていたら売り切れる」と考えていた人がもう1人いたという事ですなw)

機種変更と同時に電話帳のデータを移行してもらい、それ以外のデータ(特にブックマーク)を自宅で移行。で早速使ってみましたが……気になる点はあるものの、概ね満足。

(良くなった点)

画面が大きく、綺麗になった

タッチパネルのお陰で、直感的な操作が可能

テンキータイプなので、今までの文字入力方法と殆ど変わらず入力する事ができる

PHS回線の利用だけなら、旧機種より安価に済ませられる(この前の料金改定が大きい)

色々な点でカスタマイズできる幅が広い(スマートフォンだからこそ!!)

(ちょっと「うーん」な点)

ブラウジングの際、キー入力だけでの操作には限界がある(十字キーがマウスカーソルの操作に割り当てられいるため、スクロール等が面倒）

文字入力の際、逆にローテートする機能(※1)が無いため、入力したい文字が行き過ぎた時のリカバリがやや面倒(※2)

同様に、半角英文字が何故か大文字・小文字別のモードとなっているため、切替が面倒

接続コネクタが「MicroUSB」に切り替わったため、手持ちの外付けバッテリによる充電を行うためには、HYBRYD ZERO-3専用の「MiniUSB→MicroUSB変換コネクタ」が必要(※3)

もちろん「慣れ」の問題もあるので、もう暫くゆるゆると使い続けてみますしとますか。
---
(※1)例えば「あ」「い」……「ぇ」「ぉ」と入力する場合、旧機種の場合「ぉ」「ぇ」……「い」「あ」と逆戻りする事ができた。
(※2)ただしIME(ケータイShoin)の「ワンタッチ変換」機能を使うと、かなり楽に入力、変換できるとの事……まだ試していませんが
(※3)電源仕様により、HYBRYD ZERO-3専用(対応)のモノでないと充電ができないとの事、購入する際には要注意

そろそろ携帯(PHS)を変えようかと……

未だに京ぽん2(WX310K)を使っているんですが、そろそろバッテリーが保たなくなってきた(※1)事もあり、そろそろ新しい機種に変更しようかと思っています。
まぁ、先立つモノが出てから(と言ってもあと数日後)なんですけれど。

現時点での最有力候補は「HYBLID W-ZERO3」。
スマートフォン好きな人からするとQWERTYキーボードが無い時点で邪道なのかもしれませんが、個人的には逆にそれが嬉しかったりするのですよ。
決定打は先日行われた「新ウィルコム定額プランG」の料金改定、PHSデータ通信を使っている限りは、かなり安く抑えられるというのが……。

多分今週末には機種変更の手続きを行っているかと思います。
---
(※1)2回バッテリーは新品に交換しています。

IPA「安全なSQLの呼び出し方」を公開

安全な実装方法を解説、IPAが「安全なSQLの呼び出し方」公開 - Enterprise Watch
資料(PDF)はIPAの「安全なウェブサイトの作り方」からダウンロードできます(同名資料の別冊という扱い)。

最近はWebアプリへの攻撃の主流はGumbler型に変わっていると言われていますが、それでもWebアプリへの攻撃方法の主流である事に変わりはなく、発生した場合の被害も大きいし、直すのも大変なのも変わりはないです。

……やはり執筆に関わった人が人だけに、かなりシッカリとした資料ですね。DBの操作を伴うWebアプリを開発している人/これから開発している人は是非読むべきです。
つーか、この程度の資料を読んで理解できない時点で、Webアプリを作る資格がn(ry

勿論読む事も重要ですが、一番重要なのは(安全な環境(※1)にて)実際に手を動かして試してみて、どういうモノなのかを体感する事なのではないかと。
(結局の処、セキュリティホールと言えども、バグである事に変わりは無いですし。)
---
(※1)ローカルの開発・検証環境の事。勿論本番環境で試すのは論外だし、ましてや人様の環境に対して行うのは、不ア禁法でとっ捕まっても文句は言えませんがな。

KVMと言ってもKernel-based Virtual Machineの方

KVMを使う（インストール編） - さくらインターネット研究所
まっちゃさんの処経由、KVM(Kernel-based Virtual Machine)は少しだけ触った事があります。
確かにXenと比較しても(CPUの仮想化支援機能を活用するとは言え)仮想マシンのパフォーマンスは高いように思いました。
(何せその時はテストという事もあり、GUI(X Window system)を有効にし、且つVMイメージをファイルとして作成した(※1)にも関わらず、CUIのみ、余分なモジュールを導入せず、かつVMイメージをLVM上に作ったXenより動作が軽いように感じたのですから。)

とは言え……KVMは日本語情報が極端に少ない!!、これがネックでちょっと触るのを断念したというのがオチ。o... rz
(事情が事情で、ちょっとゆっくり調べながら触る訳にはいかなかったというのがありまして(だめだめ)。)

Xenの場合は、某殿等が執筆した参考書籍(※2)があるお陰で楽なんですが……、将来的には積極的に活用したいVMMの1つですね(メインストリームとして採用されていますし)。
---
(※1)Xenの場合、VMのイメージファイルをファイルにしてしまうと、LVM上に作成した場合と比較して、かなりパフォーマンスが落ちてしまうというデメリットが発生します。
(※2)初版を持っているにも関わらず、第2版も買いました……いや欲しい情報があったもので(汗)。

ATMスキマーはこんな感じで仕掛けられる

ATMスキマーはどのように設置されるか？ - エフセキュアブログ
セキュmemo経由、日本だとなかなか見かけられない「ATMスキマー」ですが、海外では比較的身近な犯罪なようで。

で、リンク先の画像のように、結構簡単に仕掛けられるようで。海外に行かれる方はご用心を……。

月刊MS2010/3号

2010 年 3 月のセキュリティ情報 - Microsoft
1日遅れですが、昨日(3/10)がリリース日でした。計2本、Excelとムービーメーカーに対するモノです。

基本的には再起動は発生しない……はずなんですが、未適用の修正プログラムの状況によっては再起動が発生する事があるので、作業前には開いているファイルを閉じておくのは基本ですね。

(matcha445)まっちゃ445勉強会#11

今回は青山にあるOracle青山センターさんよりお送りしております。
随時まとめを投稿していきたいと思います。

(2010/3/6 13:07追記)
スタートしました。まずは恒例のご挨拶＆自己紹介から。

(2010/3/6 13:50追記)
自己紹介終了、只今1回目の休憩中。休憩終了後はいよいよ本編の開始です。

(2010/3/6 15:05追記)
Session1:「Security Development Lifecycle(MS ジョン・ルー氏)」
MSにおけるSDLの考え方については、ココを参照。
英語Onlyですが、ココも参照されると良いでしょう。

・各種S/W、特にWebAppについてはオンラインという特性上、常に悪意ある攻撃に対する危機に晒されていると言える。
・しかも攻撃のルート・方法は多岐に渡る。
・例え内部でしかアクセスできないモノであっても、様々なルートから攻撃が来る以上、対策する必要がある。
・セキュリティ対応は「パッシブ」と「プロアクティブ」の2種類がある。
・パッシブは従来型の対応、基本何かあったら都度対応(パッチとかパッチとかパッチとか(笑))。
・対してプロアクティブは、先に対応してしまおうという方法、ベストプラクティスを普及し、それに従い開発等を行い、脆弱性の芽を潰すという考えである。
・SDLとは言え、基本はソフトウェア開発ライフサイクルの延長線上でしかない……各段階でセキュリティの事を考慮するというエッセンスを加えているに過ぎない。
・例えはトレーニング段階では、通常のトレーニングに加え、セキュリティのトレーニングを加えると言った感じ。
・従来のソフトウェア開発ライフサイクルでは機能を重視していたが、SDLの場合、更にセキュリティの三要素(CIA)を考慮する必要がある。
・MSでは実現するために、体制を組んでいる。セキュリティアドバイザはセキュリティに関する技術・知識を伝達する事が役目で、1～数名存在する。各チームにセキュリティチャンピオンと呼ばれている人が存在し、チーム内のプロダクトに関するチェックを行っている。
・プロジェクト開始時……全員セキュリティトレーニングを実施する。
・勿論その際、上層部に対してこれらの対策を施すには十分なリソースが必要である事を申し送る事も重要である。
・設計段階では、採用するモジュールのメリット・デメリットを十分に検討する。
・今回はトレーニング、脅威モデル、Verificationについて説明を進める。
・セキュリティチャンピオンはプロジェクトの各段階において、チェックシートに対して必要事項を入力し、可否を確認しながら作業を進めている。MSでは全チェックがクリアになるまでリリースできない規定になっているとの事。
・トレーニング段階では、全員が受けるモノ、開発者が追加で受けるモノ、テスターが追加で受けるものがある。全員で受けるモノはセキュリティに関する基礎を、開発者追加版はコーディング時における危険性と対策を学ぶ事になる(例えば各種脆弱性を作りこまないようにするにはどうすればよいかというベストプラクティスを学ぶ事になる)。テスター追加版は、如何に脆弱性を見つけ、開発者に報告するかについて学ぶ。
・脅威モデルについては、この辺が参考になるかも。
[Web アプリケーションの脅威モデル - MSDNライブラリ]
http://msdn.microsoft.com/ja-jp/library/ms978516.aspx
・評価にはSTRIDE脅威モデルを用いる(ココ参照)。
・これらを設計段階で十分に検討する事になる。その際、単純に技術的に検討するのではなく、そのアプリの目的・特性も考慮する事になる。それによって、特に注意するポイントも見えてくる。
・注意するポイントを特定したら、次に対策を検討する。検討では作用・副作用両方と、アプリの目的・特性を考慮した上でどの対策を採用するか検討する事になる。
・結局リスクアセスメント・マネジメントを人力で地道に行う事で実現できている。
・実施はデータフローを用いてブレインストーミング形式で行う。勿論技術的な話だけでなく、コストも考慮する必要がある。
・マネジメントを説得する場合、攻撃を受けた場合の予測被害額と、それに対する対策にかかる金額を示す事で行っている。
・イニシャルコストは確かにかかるが、繰り返しが効くので、結果としてペイ可能との事。
・また既に外部事業者からのチェックを活用している場合でも、SDLを導入した方が良い。

(2010/3/6 15:47追記)
お菓子タイム終了～。後で写真上げます。

(2010/3/6 16:20追記)
Session2:「アクセス制御の共通化を考える（XACMLの話）(Oracle 澤井氏)」
・アクセス制御部分の一元管理→意外と難しい(できる処とできない処がある)
・アクセス制御→認証と認可の2要素で成り立っている
・なぜ共通化が難しい?→「1.それぞれに実装している」「2.共通化するための条件を満たしていない(共通項が存在し、標準化・正規化できないと辛い)」
・XACML(ザクムルと読む)、現在はVer2.0、XMLベースのアクセス制御ポリシーの標準化とプロトコルを規程している。

古い情報だが、この辺りが参考になるかも。
[PKIとPMIを融合させる次世代言語XACML - @IT]
http://www.atmarkit.co.jp/fsecurity/rensai/webserv05/webserv01.html

・SAMLとXACML……排他するものでなく、両方一緒に使うケースもある。
・実装の考慮点
　・実現性……適用範囲が狭すぎると対費用効果が低い←JavaAPI/RMI、.NET API、SOAP API、特定のアプリ
　・性能面……セキュリティ強化(認可の徹底)のために性能を犠牲にしてはいけない←PEPの実装(キャッシュ、プロトコル)、PDPの配置を工夫する
　・ポリシー管理……どのようにポリシーを管理するか?(運用できないシステムに意味はない)←使いやすさ(視覚化)、運用効率、展開計画
・XACML実装例(ココで図が表示された)
・ポリシー設定例(が示されたが割愛)
・動向:NIST RBACに対する認識→スタンダードはあるが、現実に即していない?
・動向:Access Control Model
・ソフトウェア開発とセキュリティ要件の話
　・構築フェーズ(既知の問題を潰す)と運用フェーズ(新たな問題を潰す)の違いとか
　・機能(コントロールの精度)とポリシーの違い(コントロールの鮮度)とか

(2010/3/6 16:35追記)
　　　
お菓子はこんな感じでした～。

今週は……

半年に一度の忙しい週間……なのだが、資料の準備はほぼ完了。
年々慣れていくのか夜遅くまで頑張る事が少なくなっています。

まぁ、本番まで気は抜けないのは確かなんですが。