サーバ管理者日誌サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet禍福はあざわらうわなの如し(うそ)。飛行機に乗り遅れたりしたおかげで、当初の予定では全然見れなかった中国をほんのちょっぴりだけど体験できたのは良い経験だったかと。いう指摘がなされていた。これを防ぐために、「チェックコード」というものが導入されている銀行もあるという。分かっても、「チェックコード」が一致しないとカード偽造ができないから安全だと言うのだ。ところが、この「チェックコード」なるもの、あっても1桁か2桁。そんなものは、恐らくチェックデジットに過ぎない。秘密情報であっても、突破できるレベルだ。実際、偽造カードを作ったという犯行が起きているのだから、口座番号などから算出できる数字を使っていたに違いない。新たに口座毎にランダムなキーを割り当てて、それを照合する仕組みにはなっていなかったのだろう。実際にそうするのならば、それで安全性を確保しようとする意図があって設計するのだから、もっと多くの桁数を割り当てる筈だ。カードが正常に読めたかどうか判断するための、単なる「チェックサム」あるいは「チェックデジット」を「セキュリティコード」等と名付けて、「これで安全性が確保できています」と主張していたということだ。「チェックサム」や「チェックデジット」は、読み間違いを検出するためにあるもので、番号の真正性を確認するために使うことはできない。計算方法を秘密にしても、セキュリティを確保することはできない。方法を秘密にすることによって、欠陥は見えにくくなるけれども、見えない穴は開いたままなのだ。欠陥を見えなくして利用者には「安全ですよ」と主張しておいて、問題が起きたら責任を利用者に転嫁するシステムは許されてはならない筈だが、たいていの銀行のキャッシュカードは、現状、そういう状況にある様だ。いった中で自分の預金を守るためには、キャッシュカードを利用するための口座を別に作って、大きい金額が入った口座は別に持つ様にするしかない。番組によれば1/3の銀行は、この情報だけでカードが作れるという。Tweet日記以外からも。“抗議牛”高値で落札[http://www.zakzak.co.jp//top/t-2002_02/3t2002022605.html]:心配してたんですが、良かったですね。234万円ワイン飲み、銀行員クビ![http://www.zakzak.co.jp/top/t-2002_02/3t2002022709.html]:自分で払ったのにクビですか。解雇を免れた人はおごってもらったので大丈夫だったのか知らん。試験結果が95件くらいになりました。試験した95件中、25件が未対策でした。台数ベースではありません。実数にしたら相当数のサーバが未対策なままで稼動しているということは確かな様です。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。