2005年02月28日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet録画を見直してみた。1850万円の預金が不正に引き出されるという事件が起きた。供述調書によれば手口は以下の様ものだ。銀行を装って電話を掛け、口座番号を聞き出す偽造カードを作成して、全額を引き出す1については、最近は目隠しを立てる様になってきているし、自分自身は以前から気を付けているけれども、確実に大丈夫かと聞かれると自信がない。混んでいる時など後ろの人が盗み見る積もりになれば読み取れるのでは無いかと思うし、ショルダーハックと比較して、テンキーを盗み見るのはかなり簡単だろう。3でソーシャルな手法を使っているが、そもそも口座番号は秘密情報では無いので、聞き出すのは簡単だろうし、聞き出すまでも無く知る事ができる場合が多い。事業をやっている場合は、請求書に普通に印刷されていたりするし、名刺に印刷されているものも見た事がある。前までは、公共料金などの領収書に引き落とし口座が印字されていたものだし、今でも印字している例は多いかも知れない。やって、預金を引き出された法人が、銀行を相手取って民事訴訟を起こした訳だが、その中で銀行側が主張したのが冒頭の言葉だ。23の金融機関のキャッシュカードの磁気データを分析したところ、チェックコードを設けていないと考えられるものは8金融機関もあり、全体の3分の1以上ある状況に照らせば、1桁のチェックコードがある被告のセキュリティ技術が一般水準以下であるとは到底言えない。1桁のチェックコードがあるのは安全な方だ「1桁で安全」という主張にも驚くが、これが一般水準だったら、キャッシュカードは恐くて使えない。番組でも「銀行カードに詳しい技術者」に大手7金融機関のカードを分析を依頼していたが、チェックコード無しが1行、チェックコード1桁が4行、チェックコード2桁以上が2行という結果だった。番組中、技術者は「チェックコード」ではなく「チェックサム」と言っていた。チェックサムだとすると、2桁以上あっても全く安心できない。枚数をある程度集めれば、計算式が推測可能だからだ。桁数を多くしてもサンプルが多く必要になるだけの話だ。キャッシュカードを使わない様にするとATMが使えないということになるので、実際は相当に不便になる。自分自身も対策をしなければいけないと思いつつ踏み切れていない。ネットバンキングに切り替えて、キャッシュカードを持つのを止めるというのも考えているところだ。バランスの問題だけれども、ネットバンキングはキャッシュカードに比べると、利用者が努力すればまだ安全性を確保できそうだ。暗証番号では無くて長いパスワードが使えるし、フィッシングもオレオレ証明書も自分で気を付ければ、ほぼ被害を無くす事ができる。問題は銀行のシステムに穴があった場合だが、その場合に、被害者が自分一人ということはほとんど無いだろうから、比較的安心できる。残念な事に、キャッシュカードを持たないでネットバンキングを利用することができない銀行もある様な気がする。Tweetウチのドメインいつの間にか乗っ取られたかと思ってびっくりしますから、お願いしますよ。それから、メールアドレスの正当性チェックと称して、「nantoka」を含むドメインをはじくのも勘弁して下さい。スクリプトを配布される作者の方は、サンプルには、bad.example.com等を使って下さる様にお願いします。あたりをお勧めします。実際に配送してみるまで(配送してみても)、メールアドレスが正しいものであるかどうかを確認する方法はありません。いう厳密な確認が必要な時は、セションキーを割り当てて、メールにアクセスすべきURIを書いて送って、そのURIへのアクセスを確認する方法がありますが、もちろん、そのアドレスが将来にわたって有効である保証はありません。Tweetついに九州寝台特急の歴史に幕が下りたわけです。ノスタルジーだけではやっていけないけど、鉄道旅行の楽しみが食堂車についで消えたのは寂しい限りです。すると、いつか他の寝台車両が九州まで来る事はあるかも知れない。トワイライトエクスプレス[http://www.nantoka.com/~kei/TwilightExpress/]:はまだ現役。