Alice Carroll problem in Tohoku IT Security study session.

第2回東北情報セキュリティ勉強会に行ってきました。

講演したのは、HASHコンサルティングの徳丸浩さんと、MS09-047脆弱性の謝辞の犯人のnig_luceさん。
あと、お菓子。
講演の後にディスカッションなんかも行ったり。
それとあと、お菓子とか。

徳丸さんの講演内容は、この記事を読んでもらう方が早かったり → 発注者のためのセキュリティ http://www.hash-c.co.jp/d/20090906.html

一応、記憶をつらつらと書き出してみる。

Webアプリケーションのセキュリティとかって、契約に十分に盛り込まれていなかったりする。発注側としてはもし問題が起きた場合に責任の所在が曖昧になるのは避けたい。
ただし、「脆弱性が全くないこと」なんて契約に盛り込めるわけが無い。抽象的な記述のくせに、不可能だと一発で分かる記述なんて、どうしようもない。そもそもそれは、バグの範疇だったりする。
対応策としては、具体的な実装・検収方法を指定するなどある。ただし、諸刃の剣。コストが高くなってしまう。発注側が実装まで指定してしまうのは、開発側のノウハウを潰すことになったりするので。

では、他にコストを下げられる箇所があるか。
仕様策定時に、情報資産を個々にいちいち洗い出したりするが、それって毎度毎度やる必要があること？ セキュリティに関する脅威とか、いちいち再確認してもどうせ決まりきってる。
また、絶対問題が起きない製品を作るなんて不可能。ならば、逆にリスクの許容範囲はどこまでか、を考える。問題を起点にして考えるのではなく、ベストプラクティスなセキュリティ対策でどこまで対応出来るのか、から考える。そして、ベストプラクティスなセキュリティ対策なんてのも、決まりきっている。

開発側としては、安全対策を施したライブラリを使ったり等々、開発標準を決めておけば良い。（IPAなどが開発標準のモデルを公開している）

そして、セキュリティに関して発注側が直接負担しなければならないコストは大したことがなかったりする。
（面倒くさくなったので残り割愛）


nig_luceさんの講演は、所謂ID3v2タグのアリス・キャロル問題（全然所謂じゃない点に付いてはご愛嬌）。

フザケた呼び方してますが、実は結構深刻だったりする。
講演では実際に、タグ情報に細工をしたMP3ファイルを再生しようとするとどうなるか、というのも行ってくれた。結果、Windows Media Playerが死亡。
ExplorerでもファイルアイコンにマウスオーバーしただけでMP3ファイルのタグ情報を読みにいくし、詳細表示モードでもそう。そして、内部ではタグ情報を得るためにWindows Media Playerと同じ処理をしようとするので、Explorerも死亡。

ちなみに言うと、報告から対応パッチが出るまで、8ヶ月経過してたそうな。


ディスカッションは殆ど雑談。でも、一応内容はセキュリティのこと言ってたよ！

というわけで、とても有意義な勉強会でした。
主催したまっちゃだいふくさん、スタッフの方々、他の参加者の方々、ありがとうございました。

第3回が楽しみだなぁ！！

参考：アリス・キャロル（Alice Carroll）ARIAの登場人物 - Wikipedia

GoogleChrome/Firefox3/InternetExplorer7のレンダリング速度を比較

タイトルのとおり、話題のGoogle Chromeを試してみた。
そもそもChromeはSafariなんかと同じWebKit使ってるので、レンダリングに関しては新しい技術を使ってるって訳でもないから、「Chrome速い！」とか言ってる記事を見て「本当にそんなに違うのかよ？」と私は疑ってました。なので、やっぱり自分で試さなきゃというわけでこのエントリです。

まぁ、読み込みの速度を体感で比較しただけだし、そもそもWindowsXP on VirtualBox on Ubuntuな環境で試したのであまり信頼できないと思う。
なので、このエントリはテキトーに読んでください。

キャッシュなしからの読み込みを比較した方がいい気がするけど、我が家の回線はほっそーいのでレンダリングよりページのDLに時間がかかってしまう(T_T)
なので、一度ページを読み込んだ状態で再読み込みした場合を比べてみた。

結果としては大して変わらん。という印象。

初めはYahoo Japanのトップページを見てみたのだが、速度に差が出ないので重ったーいGizmode Japanにしてみた。FLASHばっかりなので、サンプルには不適格じゃね？と後から思ったがまぁｷﾆｼﾅｲ。
どのブラウザもだいたい15秒で表示し終えた。ただ、体感的にはChromeが他より少し早い気がしたのは確か。でも、実際の時間に違いがないんじゃなぁ。
レンダリングの仕方に違いがあるのも関係してるのかな。Chromeでは読み込んでから一気に一発で描き出し、Firefoxでは読み込みながら順次描き出し、という感じ。

javascriptのエンジンの違いなんかは他に試してる記事がググりゃいくらでも出てくると思うのでやらなかった。

まぁ、レンダリングがある程度速ければどのブラウザ使ってたっていいだろうし、それよりも＋αの部分のほうをもっと見るべきだと思う。とこのエントリ自体を否定するようなことを言ってみる。
Firefoxはカスタマイズ出来るし、Chromeはタブごとに別プロセス立ち上げてるのでクラッシュに強い、などなど。
そもそも、ライトユーザにしてみれば基本的な機能だけのIEで構わないんだろうし。

とりあえず、Linux版のChromeが出たらまたいろいろやってみよう。

UbuntuでMTPデバイスを扱う[Amarok][mtp-tools][mtpfs]

20081216編集
注意：Ubuntu8.10上で同期できるっぽいです。

---------------------

以前のエントリでも書いたように、Ubuntuでもgigabeat(MTPデバイス)を使うことができる。

その時に試したのはRhythmboxでだった。そのエントリ中でも書いたように、IDv2タグをgigabeatが見てくれないという問題があるのだが、実はさらにアルバムアートが同期できないという問題もあった。

後者の問題に対して、他のプレーヤで何とかならないだろうかと思い、Amarokを導入してみた。

$ sudo apt-get install amarok

本体だけでは肝心のmp3など音楽ファイルが再生できないので、Amarokが自動でlibxine1-ffmpegパッケージをインストールしてくれる筈なのだが、私の場合は手動でインストールした。つか、インストールしないと固まる固まる。
（"amarok mp3"とかでググると、libxine1-pluginsをインストールする、という記事が見つかるが古い情報なので注意。libxine-pluginsをapt-get installしようとしたら「それ古いからlibxine1-ffmpeg入れてね」とメッセージが出た。）
Amarokの初回起動時には、楽曲コレクションの初期設定などのダイアログが表示されるので、お好みでデータベースを選んだりする。

Amarokにgigabeatを認識させるにはまず、Amarokのメディアデバイスの設定画面で「メディアデバイスを追加」から現れるダイアログで、プラグインにはMTPデバイスを選択、適当な名前を付けて「OK」ボタンを押す。

マウントポイントなどさらに詳細に設定できるようだが、とりあえずこれで下準備は完了。

MTPデバイスを接続した状態で、デバイスブラウザで接続ボタンを押せば自動で認識してくれる筈。（完了まで多少もたつくが我慢我慢）


そして、さっそくファイルを転送してみよう…………出来ない orz
手順は間違っていない筈なのに何故だろう？ と思い、さらに他の手段を探すことに。

そこで今度はSynapticsでmtp-toolsというのを見つけて、インストールしてみた。

$ sudo apt-get install mtp-tools

これは端末でMTPデバイスと通信出来るコマンドをいくつも提供してくれる。

mtp-albumart     mtp-files        mtp-newfolder    mtp-thumb
mtp-albums       mtp-folders      mtp-newplaylist  mtp-tracks
mtp-connect      mtp-format       mtp-playlists    mtp-trexist
mtp-delfile      mtp-getfile      mtp-reset
mtp-detect       mtp-getplaylist  mtp-sendfile
mtp-emptyfolders mtp-hotplug      mtp-sendtr

例えば、mtp-detectを使うと、MTPデバイスの詳細情報を検出してくれる。

しかし、gigabeatをPCに接続して一番最初の接続しかgigabeatが受け付けてくれない、という妙な症状が起こってしまった。
mtp-detectをやった後に他のコマンドでgigabeatと通信しようとしてもエラーが出て、接続できない。これはAmarokも同じ様で、一度接続を解除するとUSBケーブルを一度外してからでないと接続しなおせなかった。

mtp-toolsもAmarokもMTPデバイスとの通信にlibmtpというライブラリを利用しているのだが、libmtpの設定ファイル(/etc/udev/rules.d/45-libmtp7.rules)がおかしいのか、libmtp自体のバグか何かなのかは分からない。Rhythmboxもlibmtpを使っている様なのだが、同じ症状は現れない。。。
Rhythboxで同期した楽曲ファイルが、何故かgigabeatのPicturesフォルダに入るのと関係があるのだろうか？

とりあえず、Ubuntuのリポジトリのバージョンは0.2.6.1なのだが、最新のものは0.3に上がっているので、次の機会にそちらを手動で導入してみようかと思う。

そして、結局アルバムアートは同期できないまま orz

<おまけ>
mtpfsを使うと、mtpデバイスをマウントできる。

$sudo mtpfs /media/gigabeat/ -o allow_other

(/media/gigabeatディレクトリは先に作成しておくこと)

<追記>
文中でパッケージ名を間違えてたのを修正。

ググって来た人、こちらも見た方がいいかも
mtp-sendtrコマンドでgigabeatSに転送してみた[mtp-tools]
http://mstssk.blogspot.com/2008/09/mtp-sendtrgigabeats.html

<追記2>
一番上にも書き加えましたが、2008年12月16日でUbuntuのリポジトリからDL出来る各ソフトウェア(Ubuntu8.10/Amarok/libmtp)の最新バージョンでは同期できる？
http://mstssk.blogspot.com/2008/12/gigabeats-syncs-with-amarok.html

以前のエントリでスマートフォンが欲しいが、Willcom 03を買うのに逡巡していることについて書きました。ですが、ここで新たなダークホースが現れました。

iPhoneを超越し、日本仕様に完全カスタムして発売予定の高機能携帯電話「OMNIA（オムニア）」、その全貌を探る
http://gigazine.net/index.php?/news/comments/20080728_samsung_mobile_phone/

日本のスマートフォン市場は私から見ると今まであまりパッとしてませんでしたが(iPhoneはただの若者の流行だし)、面白い端末が出てきてくれそうです。
つか、買いますよコレ。

iPhoneのパクリだなんだと声が聞こえてくるのは仕方がないですが、Windows Mobile機だから弄くりまわせるわけですよ。ここが全然違う。

え？ 日本向けに独自プラットフォームにするかもって？ そしたら誰も買いませんって。

Willcom 03に手を出せない

1日1更新！を掲げてみたはいいものの、毎日プログラムやるわけではないから、いきなり記事ネタがなくなりかけている。
ただでさえ、バイトに時間取られるのに orz

Google Notebookに覚書をいろいろ書きためてはいるが、それに安易に手を出すのもどうかと思う。
というわけで、買おうか迷っているWillcom 03の話を。(ぉぃ

買おうか逡巡する理由

1. 家が電波圏内ギリギリ
   いきなり致命的です。はい。
   だってアンテナが600m弱先にあるんですもの。500m圏内なら概ね良好に使えるということをWillcomは言っていますが、我が家は危うい。友達の端末を借りて試してみたんですが、庭では電波がそれなりに入るものの、自分の部屋の中では窓際ギリギリに行かないと辛い様。
   
   
2. つーか行動範囲が田舎
   mstはそれなりな田舎都市に住んでいます。幹線となる大きな国道が通っているので市街地は田舎らしい発展をしてます、つまり田舎です。
   電波サービスエリアについて、Willcomは人口カバー率99%とか言ってますが、サイトに乗っている人口カバー率に関する但し書きを見ると、次のよう書かれています。
   

   人口カバー率 ＝ 開業市町村の総人口※ / 日本総人口
   ※当社の開業市町村は、市町村役場及び市街地をカバーしていることを前提とし、お客さまの利便性を考慮した上で決定しています。

   我が家がある所はまったく市街地でないので、99%という数字が意味をなさないことがよく分かります。
   ちなみに、うちの教授が「mstの自宅をGoogleMapで見てみたらものすごい豪邸だった」とか言ってましたが、田舎の農家なので敷地が大きい&納屋がデカいだけです。。。
   
   
3. ポケベル入力がない
   「お前は何を言っているんだ」という感じでしょうが、mstはかなりのベル打ちユーザです。ぶっちゃけ「QWERTYフルキーボードがあっても、ベル打ちのが早いんじゃね？」とか思ってます。でも、いっぱしの理系学生としてはスマートフォンが欲しいんです(T_T)
   ZERO-3系端末で動作するキーバインドを変更するアプリがあるんですが(ctrlswapmini)、そいつは03では動作しない模様なので。。。
   
   
4. 不具合出まくり？
   03に関する2chスレやmixiなんかの書き込みを見てると、どうも初期不良が出てる端末が幾つかある様。それに加えてメニュー周りがあまり作り込まれていない、とかなんとか聞きます。
   いずれにしろ初期ロットはスルーしようと思ってるのですが、ヨドバシ行ったら売れ残りまくりだったぞオイ。
   

こんな感じで、今なかなか03に手を出せずにいます。
本当はこのブログで03弄り日記を付けようと思ったのですが、まだまだ先になりそうです。

1番じゃなきゃ嫌だという駄々っ子なWindowsをgrubで騙す

昨日に続いてまたgrubネタです。
昨日のエントリーで授業で自作したマシンにLinuxを突っ込んだという話をしましたが、実は面倒なことが起こってたのです。

マシンを自作したというのは実はけっこう前の話で、既にWindowsとFedoraを突っ込んでデュアルブート環境を作ってありました。そこに、いらなくなった他のマシンからHDDを持ってきて増設し、ついでに何かOSをインスコしてみようという流れでした。

既存HDD - WinXP、Fedora
増設HDD - 各々が選んだLinuxディストリビューション
という具合にしたのですが、ここで面倒な事が起こりました。

インストール時に既存HDD上のOSを認識していなかったため、grubの起動メニューにWinとFedoraが出てこなかったり、
そもそも増設HDDはBIOSで2番目になってるので、既存HDDの方のgrubが起動して新しく入れたLinuxが起動できなかったり、e.t.c...
ディストリのインストール時に、grubメニューについて訊いてくるのでちゃんと既存OSを設定しておけばいいんですけど、皆何も知らずにOKボタン連打 orz
Ubuntuだけはちゃんと既存OSを認識してたのには、やっぱこだわってるんだなぁ、と思いました。

まぁ、grubのmenu.lst(grub.conf)を書き変えて解決！と思いきや、1台面倒なことになってるのがありました。

既存HDD側のgrubがおかしなことになっていてgrubが起動しなかったので、ちょっとLiveCDで中を覗いてみたら、、、なんじゃこりゃ？？

既存HDDのパーティションが何故か、WinのNTFS領域とあとは全部LVMの中。
grubが入ってる/bootパーティションもおそらくLVMの中。
素のままじゃアクセス出来ないLVMの中。。。 orz
これが、grubが起動出来なかった原因なのか、MBRの方が書き換わってしまっていたのかよく分かりませんが。このマシンを組んだ奴がとちりやがったということはよく分かりました。（＃＾ω＾）

マシンを作った時に、
・/bootは別の基本パーティションにすること。
・Win、/boot、Fedoraのルート、SWAP、WinとFedoraの共有領域、で5つになるので拡張パーティションを使うこと。(基本パーティションは4つまで)
ということを教授に言われた筈だったんですがね。
学生がそれぞれ1台ずつ作ったんですが、危なっかしいのがいたしなぁ。
まぁ正直、MBRとかパーティション回りのことあんまり知らないので、ここいらで文句はやめときます。

んで、来週の授業でWinを使わなきゃならないそうなので、Winだけでも起動するようにしたい。
起動順序を増設HDDを1番にして、こっちのgrubからWinが呼ばれるようにすればいい、と考えたのですが。。。Windowsたんってば1番目のHDDじゃなきゃ起動してくれないのね。。。T T

何とかしてLVMの中が見えないものかと、GpartedのLive CDなんかを使ってみると、、、
おぉ、Live CDの中のgrubがパーティションを指定して起動出来るようになってる〜。
試しにWinが入ってるパーティションを指定してみると、久しぶりのWin起動画面が！
HDDが2番のままでも起動出来る方法があるわけね。

Live CDのgrubのWinのパーティションを起動するオプションの内容をみてみると、

map (hd0) (hd1)
map (hd1) (hd0)
rootnoverify (hd1,0)
chainloader +1

普通、hd1からWinは起動できませんが、hd1とhd0を仮想的に入れ替えて、Winを騙せるようです。
あとはこいつを増設HDDのgrubに書き込んで、作業完了！
とりあえずWinが起動するようになりました。

後に残ったLVM領域は……今度考えることにします。 orz