2005年04月04日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet何か新しいハードなりソフトを導入すると安全になるというのは、大体において幻想だ。ActiveXは確かに、お客様はUFJカードホームページ画面の起動ボタンをワンクリックするだけで、安全な環境で各種サービスをご利用いただけます。2005年4月4日[http://www.ufjcard.com/release/release081.html]「ワンクリックするだけ」かも知れないが、裏ではアプリケーションのダウンロード、インストール、そして実行という何でもありの事が起きている。悪意あるいはセキュリティホールのあるActiveXプログラムをインストールしたが最後、その端末はどのページにアクセスしようと常に危険に晒され続ける訳だ。一昔前にはこれを悪用して、ダイヤルアップ接続先を、ダイヤルQ2や国際電話に勝手に変更して、高額な課金をさせるという犯罪がずいぶん横行して、社会問題になった。今ではこの方法は、ダイヤルアップ接続自体が少なくなっているので犯罪として成り立ちにくいが、キーロガーを仕込んだりしてクレジットカード番号やパスワードを盗み出す犯罪や、証明書やDNSを勝手に書き換えて、完璧なフィッシングサイトを作る出す事に悪用される心配がある。いう訳で、ActiveXをインストールするのは非常にリスクを伴うので、普段は必ずダイアログを出す設定にして、例え署名付きActiveXでも出所をきちんと確認する様にすべきだ。ActiveXとは無縁のブラウザを使った方が安心だ。トップページに「ウイルスや不正アクセスからガード!」という案内が出ている。Explorerのお使いの方は、セキュリティーレベルを一時的に「中」に変更するか、信頼するサイトにこのサイトを追加してください。セキュリティレベルを「中」に[http://nprotect.netmove.co.jp/service/npnv4/ufj_card/nprotect/other.php]という表示が出てくる。これは、ActiveXを実行しない様に設定しているからで、仕方がないので「中」に設定してアクセスしてみる。これは危険なので、後で忘れない様に戻さないといけない。インストールできません以下の点についてご確認ください。以外のブラウザではインストールできません。セキュリティポリシーは「中」または「低」になっていますか?セキュリティポリシーが「高」になっているとActiveXのダウンロードができないため、インストールできません。インストールが正常に行えない場合があります。お使いの他社製品のマニュアルを参照し、設定を変更してください。良く関係が分からないアドレスになぜか接続される。これを信用してActiveXをインストールする人は、フィッシング詐欺に引っかかる人なので要注意だ。いう時は、ActiveXの署名を確認すると良い。ActiveXの場合、自由に動作するプログラムを組み込むわけだから、プログラムの配布者が署名をする仕組みになっている。信用できない配布者が配布しているActiveXプログラムはたとえ署名されていても、インストールしてはいけない*3。わたしはダレ?:セキュリティ警告が出てくるので、発行者を確認してみる。Ltd.」という会社名が表示されるのだけど、これは一体どういう会社だろうか。Netizen(エヌプロテクトネチズン)」をホームページに導入いたしました。2005年4月4日[http://www.ufjcard.com/release/release081.html]プレスリリースには全く登場しない会社である。Points:URI:http://crl.thawte.com/ThawteCodeSigningCA.crlとか出てくる。「www.nprotect.com」にアクセスしても白紙ページが出てくる。www.nprotect.comが白紙ページなのは...:FireFoxでアクセスしてたのがいけなかった様で、トップページの言語振り分け用のJavaScriptが、FireFoxを想定していない作りだったのが原因の様だ。このActiveXを導入しても安全でしょうか?:全く安全に思えなかったので、導入は断念。どこが作って、誰の責任で配っているか分からない様なActiveXプログラムを導入するためには、VirtualPCか何かで捨てても良い環境を作るしかない。アドレスが予め登録されています。アドレスの中にそのアドレスが見つからない場合はメッセージダイアログを表示させます。※ご利用には毎回起動が必要です。本物と見せかけ、大事な個人情報を横取りしようとするウェブサイトを「フィッシングサイト」と呼びます。Netizen」を起動させたウェブサイトとは関係のない「フィッシングサイト」等のURLをブラウザが開こうとした際に注意を促すメッセージダイアログを表示させます。このメッセージにて、お客様は上記サイトが正規のサイトかどうかを、簡単に判断することができます。登録されているIPアドレスの中にそのアドレスが見つからないので、メッセージダイアログを表示するんじゃないかという気がしてきた。そんな筈はないと思うけど。昨今、問題となっているフィッシング詐欺に対しての有効な対策機能である「フィッシングブロック」機能も備えております。フィッシング対策機能がついた製品は他社にもありますが、それらは警告を促すだけにとどまり、最終的にはお客様の意思決定に委ねられているため、抜本的な問題解決には至っておりませんでした。Netizen」の「フィッシングブロック」機能は、お客様がアクセスしようとしているサイトが、正規のUFJカードのサイトであるかどうかを自動的に検知し、簡単に判別する画期的なツールです。2005年4月4日[http://www.ufjcard.com/release/release081.html]このプレスリリースを書いた人は、「フィッシング詐欺」が何か分かっているのだろうか。売り込み文句をスルーしてプレスリリースにしている筈はあるまい。こんなことができたら確かに「画期的」だと思うのだけど、前述の事情でインストールしていないので試しようがない。PCを用意するしかないか。管理者権限のないアカウントでインストールできますか?管理者権限(Administrator権限)のないアカウントでは、インストールができません。権限を変更の上、ご利用ください。質問一覧[http://nprotect.netmove.co.jp/service/npnv4/ufj_card/support/qalist.html]なので、結構な覚悟が必要だ。ツールバーなど)をインストールしている場合、正規のサイトを開いているにもかかわらず、フィッシングブロックのメッセージダイアログが表示されることがあります。これは、ツールバーが独自の通信を行おうとするために発生する現象で、毎回発生するとは限りません。メッセージダイアログが表示された後、ダイアログを閉じてページを再読み込みし、メッセージダイアログが再び表示されなければ、そのページは正規サイトになりますのでご安心ください。質問一覧[http://nprotect.netmove.co.jp/service/npnv4/ufj_card/support/qalist.html]この手の警告ソフトを作る時に気を付けないといけないのは、「偽の警告」をしてしまわないことだ。警告がでてOKを押したという事さえ忘れてしまう様になる。勇気あるヒトバシラー:な方がいらしたら、ぜひトラックバックやコメントなんかで教えて下さい。Exploler上でWebサイトのサービスをご利用になる際、キーボードから入力する時点で内容が暗号化されるようになります。「キーロガー」など入力内容を記録する不正プログラムがパソコン内に潜伏していても、記録内容を解読できず、情報流出を無力化できます。「ランダムな文字とバックスペースを交互に送り込んでるんだけなんじゃないのか」とか、色々興味は尽きません。UFJカード不正利用事件[http://www.ufjcard.com/news/cont_sashikae.html]:深読みすると、不正利用事件があったから、「何か対策しないといけない」と思ったのかも知れないけれども、実施する対策は慎重に評価すべきだ。関連記事[http://www.nantoka.com/~kei/diary/?200504a&to=200504073S8#T200504073S8]:2005年4月8日付記。この記事に関連するリンク。ActiveXなのでFireFoxには対応していない。プログラムにセキュリティホールがあったら当然ダメだし、署名はそんなことは証明してくれない。その会社が配布しているかどうかしか検証できない。ことがあるから、証明書自体の信頼性も検討しないといけない。PKIの世界にはなっていない気がする。当然のことだが、例えば、サーバからの情報漏洩の危険は全く小さくならないし、改竄のリスクも全く小さくならない。