Day「はてなブログ」に移行しました。1日1更新......を目指せなくなってきてるブログ。自分の勉強のために作りました。今は主にUbuntuとAndroidネタが中心です。session.第2回東北情報セキュリティ勉強会に行ってきました。講演したのは、HASHコンサルティングの徳丸浩さんと、MS09-047脆弱性の謝辞の犯人のnig_luceさん。講演の後にディスカッションなんかも行ったり。それとあと、お菓子とか。http://www.hash-c.co.jp/d/20090906.html一応、記憶をつらつらと書き出してみる。Webアプリケーションのセキュリティとかって、契約に十分に盛り込まれていなかったりする。発注側としてはもし問題が起きた場合に責任の所在が曖昧になるのは避けたい。「脆弱性が全くないこと」なんて契約に盛り込めるわけが無い。抽象的な記述のくせに、不可能だと一発で分かる記述なんて、どうしようもない。そもそもそれは、バグの範疇だったりする。対応策としては、具体的な実装・検収方法を指定するなどある。コストが高くなってしまう。発注側が実装まで指定してしまうのは、開発側のノウハウを潰すことになったりするので。他にコストを下げられる箇所があるか。セキュリティに関する脅威とか、いちいち再確認してもどうせ決まりきってる。絶対問題が起きない製品を作るなんて不可能。逆にリスクの許容範囲はどこまでか、を考える。問題を起点にして考えるのではなく、ベストプラクティスなセキュリティ対策でどこまで対応出来るのか、から考える。ベストプラクティスなセキュリティ対策なんてのも、決まりきっている。開発側としては、安全対策を施したライブラリを使ったり等々、開発標準を決めておけば良い。(IPAなどが開発標準のモデルを公開している)そして、セキュリティに関して発注側が直接負担しなければならないコストは大したことがなかったりする。(面倒くさくなったので残り割愛)nig_luceさんの講演は、所謂ID3v2タグのアリス・キャロル問題(全然所謂じゃない点に付いてはご愛嬌)。フザケた呼び方してますが、実は結構深刻だったりする。講演では実際に、タグ情報に細工をしたMP3ファイルを再生しようとするとどうなるか、というのも行ってくれた。ExplorerでもファイルアイコンにマウスオーバーしただけでMP3ファイルのタグ情報を読みにいくし、詳細表示モードでもそう。Playerと同じ処理をしようとするので、Explorerも死亡。ちなみに言うと、報告から対応パッチが出るまで、8ヶ月経過してたそうな。ディスカッションは殆ど雑談。一応内容はセキュリティのこと言ってたよ!というわけで、とても有意義な勉強会でした。主催したまっちゃだいふくさん、スタッフの方々、他の参加者の方々、ありがとうございました。