対策 – y2k

スーパーサイズダイエット日記2021-07-21

タイのコロナ対策の規制強化でYシャツを買いに行った先のユニクロもクローズだよ。うーんめんどくさいなー。またここまでの規制がかかるとは思ってなかったな。。６月にちゃんと１回でもアストラゼネカ打っといてよかったよ。たぶん２回目はなかなかやって来ないだろうけど、この１回受けたという事実がこれから先の行動制限に対して有効に働くはずだわ。

セントラルラマ３のいつもはバイクであふれかえる駐輪場もこの状態。最初建物自体が閉店してるのかと思った。

どうでもいいけど、新しく買ったホンダのPCXはメットイン使う際に開けたシートが２段階でちゃんと固定される仕組みになっている。これ細かい仕様だけど、あるとないとでは結構使い勝手が変わってくる。前のQBIXの時はシート開けてゴソゴソしてたら固定機能のないシートがバッツーんって落ちてきて頭打ったり、手を挟まれそうになったもんです。ただ、PCXはメットイン内の照明が付いてないんだよな。

もっとどうでもいい話だけど、久しぶりに朝はチェーンワタナのイミグレに行ってきた。久しぶりのこの大広場。学校の運動場クラスの広さの空間が建物内にぽっかりとあるのと、天井の格子模様で目がチカチカする感じがいい。やっぱタイは建築物のデザインはピカイチだと思う。

あー、しかしこれからどうなるんだろう？久しぶりに日本に行きたいなあ。東京と大阪で１週間ぐらい滞在したいのう。

スーパーサイズダイエット日記, 旅行2017-09-17

internet, Mac, mobile, スーパーサイズダイエット日記2015-08-192015-08-19

タイの大手ショッピングサイトLazadaにてData Traveler Locker+ G3という暗号化機能のついたUSBメモリを購入。16GBもので999THBでした。商品の発送がよく見ると「International Shipping」となっていて普通にタイでは売ってないのか？とふと考えてしまった。確かにこのモデルは店頭で売ってるのは一度も見たことがない。

ちなみにこのData Traveler Locker+ G3という型番、仕事で異なるお客さんが立て続けに「USBメモリは暗号化できるものでないと。これ見積もり取れる？」って感じで指定してくるものがだいたいこのKingston製なのでLazadaで見つけた時に「高いものではないし、一回自分でも触ってみるか」と思い購入。

発送は香港からでした。極々簡素な包装。パッケージはいつものKingstonのUSBメモリと変わらない。中身のメモリ自体は、何故か金属製。それもアルミとかではなく、ずっしりしたメタル（ヘビーメタル！）。外装をわざわざ金属製にする必要性がわからん。無駄にゴツイ作りをしています。

一番最初にUSBメモリをPCやMacに挿してマウントされる”DTL +G3″というドライブを開き、Windowsならそのドライブのルートフォルダ、Macの場合はルートフォルダ＞ Mac のフォルダの中の暗号化アプリを立ち上げて、暗号化用のパスワードを入力、その入力した暗号化キーで最初にドライブの保存領域をフォーマットして準備完了。

次以降に使う際には、USBメモリを挿して同じく”DTL +G3″というドライブ名のドライブが自動的にマウントされるのでそのドライブ内の暗号化アプリを立ち上げ、パスワード入力。パスワードが正しくて復号化ができれば新たに別に”Kingston”という名前のドライブがマウントされ、そのドライブが暗号化されたドライブとなる。ここにデータを書き込んで使用するという使い方になります。

つまり最初の”DTL +G3″というドライブは暗号化アプリをPC/Macに提供するための役割を持ち、このドライブには他のファイルを書き込めなくて、暗号化アプリに正しいパスワードが入力されて、”Kingston”がマウントされるとそこが本来の暗号化機能を提供するドライブとなるわけです。

↑ H:ドライブが上記で書いてる”Kingston”に該当するドライブ。ドライブ名をその後自分で変更しました。

これって、オープンソースのディスク暗号化ツールTrueCrypt使って同じようなものを作れるんじゃない？もしくは今ならMicrosoftのWindowsについてくるBitLocker To Goとか。このBitLocker To GoはHDD暗号化機能のBitLockerの暗号化機能をUSBメモリにも適用できるもの。Windows標準の機能でUSBメモリ暗号化して、それ以降WindowsマシンでUSBメモリ使うときには挿した直後にパスワードを聞いてきて認証されればファイルが読めるようになる。WindowsのBitLocker To GoはWindows 7までは高機能版のUltimateやEnterpriseでないと使えなかったがWindows8～10ではHomeからひとつ上のProで使うことができるようなのでこれも低コストで暗号化USBメモリを実現出来るんじゃないかと思う。

TrueCrypt – Wikipedia
BitLocker – Wikipedia
BitLocker To GoでUSBメモリを暗号化する－＠IT

ちなみにBitLocker To GoはWindows専用。TrueCryptはMac版もあってUSBメモリにMac版のプログラムも仕込んでおけるけど以前テスト的にこれで暗号化メモリ作った時にはWin<->Macの両方で使っているとすぐに暗号化されたファイルが不整合起こして読めなくなったような気がする。Windowsだけで使ったほうが無難ですな。

さらにはTrueCryptは去年あたりからプログラム上の問題でセキュリティホールがあると開発者自身から指摘されていて開発が中止されている様子。でも再度有志が集まり別途開発を進めてる動きもあるみたいでちょっとややこしい。

開発が停止したと思われていた暗号化ソフトTrueCryptが復活に向けて動きだす – GIGAZINE

TrueCryptの暗号化の問題はちょっと横においておくとして、TrueCryptを使えば通常の暗号化機能のないUSBメモリでもUSBメモリを挿したあとにTrueCryptを立ち上げ、パスワードなどを入力、その後別途マウントされる暗号化対象のドライブにファイルを読み書きすることができるようにセットアップすることが可能である。

ほとんど機能的に一緒ではあるが、ここで異なるのは単純にTrueCryptで作った暗号化USBメモリはTrueCryptの実行ファイルを置いている非暗号化領域にもファイルが書き込めてしまう点が問題か（アクセス権限をちゃんと設定すれば書き込み禁止にできるような気もするが）。

仕事で急いでいる時とかパスワード入れるのめんどくさくなってついつい暗号化領域ではなく、この非暗号化領域にファイルを書き込んで使ってしまうことは想像に難くない。こんな運用をしていてUSBのメモリをなくすと元も子もない。非暗号化領域に保存したファイルは拾った人間が自由に読めてしまう。

その点、ほぼ同じ機能ではあるが、このKingstonのUSBメモリなら非暗号化領域もアクセスの権の設定によってファイルが書き込めなくなっているのでユーザーはめんどくさくてもパスワード入力して暗号化ドライブをマウントしてから使うことになる。ということは通常のUSBメモリとこのKingstonの暗号化機能付きのUSBメモリの価格差はこの「非暗号化領域に書き込めないように”よりセキュア”に作ってます」ってところなのだろうか？

といろいろ考えたKingstonのUSBメモリでした。ま、他にも暗号化強度やパフォーマンス、使い勝手などいろいろ考えないといけないポイントはあるんでしょうけど。てか、ちょっと今からTrueCryptでの非暗号化領域を書き込み不可にするアクセス権設定をいろいろやってみたくなった。これができれば基本的に暗号化USBメモリってわざわざ買うこともないのかとも思ってしまいますな。。。

キングストン 16GB セキュリティUSB3.0メモリー DataTraveler Locker+ G3 DTLPG3/16GB

posted with amazlet at 15.08.19

キングストンテクノロジー
売り上げランキング: 69,773

Amazon.co.jpで詳細を見る

↑ 珍しくタイで購入した価格のほうが安い。。。

Android, internet, iPad, iPhone, mobile, スーパーサイズダイエット日記2014-08-272014-08-28

“Line powered by Naver Japan NHN by Jon Russell, on Flickr”

LINE乗っ取りの実情聞いてるとどうもパスワードの設定とか、モバイル側での設定とかそんなのじゃなくサーバーが脆弱性もっててサーバー側で丸ごと乗っ取られてるんじゃないかという気がしなくもない。

＊つい先日の知り合いの事例
1. パスワードはランダムに発生させた文字列12文字以上
2. そのパスワードはLINE専用、他のサービスで使っていない
3. PIN CODEは設定済みとのこと
4. Email設定済みで他のPCでログインは可能

この人はセキュリティ対策もわかってる人なのでちゃんとパスワードはランダム関数で発生させた意味をなさない文字列のパスワードで12文字以上のものを設定していた。そして他のサービスではこのパスワードは使ってないらしい。

乗っ取りのひとつの理由として他のサービスで同じパスワードを使っていて、それが情報流出で乗っ取り犯に情報が渡り、そのパスワードでログインされるというもの。しかし、今回の場合それには当たらないし、パスワード情報が流出しようがほとんどの場合はパスワード情報自体はハッシュ値で保存されているだろうから、それはそのまま使えない。そのハッシュ値のもとになる文字列を探し当てるために再度総当りが必要になってひとつひとつのパスワード解析に時間がかかりすぎる気がする。

9-1. パスワードの取り扱い : IPA 独立行政法人情報処理推進機構：情報セキュリティ

結局パスワードの総当たりなどで突破しようとすると一件一件に時間がかかりすぎて、その後のiTunesカードを買って送ってくれ作戦の成功率を考えてもそれだけ時間をかけるメリットがない。パスワード解析の暁には確実に騙して金を手に入れることができるのであれば時間かけてもやるだろうが、その後のメッセージの送り方、騙し方を考えると成功率は全然高くないはず。

セキュリティ調査レポート Vol.3／パスワードの最大解読時間測定【暗号強度別】 | サービス | ディアイティ

上記のリンクではPC上で総当りの手法でzipファイルのパスワードやMS Officeファイルのパスワードの突破を試みるときにかかる時間について実験してるが、英文字大小、数字、記号が入力できるパスワードで10桁のものが設定されていた場合すべてのパスワードのパターンを試すまでに341年かかる。これをネットワーク越しにやるなら時間的には何倍、何十倍とかかるはずなので、こんなことをやるぐらいならもっと金になる話がいっぱいあると思う。

今回のパスワードが突破されたことを考えたら、逆にサーバー側になんらかの脆弱性があって、乗っ取る時はサーバー丸ごと一台分、ユーザ数は何十万人分とかを一気に乗っ取って、それに対してiTunesカード買ってくれメッセージを一斉送信、返答のあるアカウントだけ、人が個別対応、とするなら効率的なんである程度やっても意味があるかなと思う。

LINEの他端末でのログインを不可にすれば乗っ取られの実績はないみたいだが、サーバー側が乗っ取られるのであれば、その対策も簡単にサーバー側で設定が書き換えられてしまう可能性があってすぐに他のPCでログインされてしまうと思う。とすればユーザ側でパスワード変更やらの設定で対策しようが何も意味がなく、サーバー側で脆弱性対策をしっかりやってもらわないといつまでもなくならいということになる。ネットでも「サーバー側に問題あるんじゃない？」的な事を書いてる記事が出てこないんだけどホントにユーザ側設定が原因で乗っ取られてるのかな？100%がそうじゃないと思うんだが。。。

まあ上記のような勘ぐりをしてしまう。ただ、個人的にはこういうセキュリティハッキング的な話なんて職場の人間とするようなこともとんとなくなっており、そういうニュースも最近は全然読まないので全然見当外れの内容を書いてしまってるかもしれない。なんか具体的にこんな形でハッキングしてんだよ、ってな面白い話を知ってる方はぜひご教示ください。。。

んで、結局現状LINE使ってる人はどうしたらいいの？って質問の答えは、「使わない」がいいんじゃないでしょうか。。。通常の使い勝手は別に悪くないんだが端末リセットした時とか、他の端末に乗り換えた時にメッセージ引き継げないのが(絶対サーバー側にメッセージ残してると思うんだけどなぜにユーザーに見せないのか？それともホントにサーバー側に残してないの？)どうもめんどくさくてイマイチ好きじゃないんだよなあ。それ考えるとFacebookメッセンジャーのほうが使いやすい。メッセージデータはサーバーにあってマルチデバイス対応ですもん。LINEと同じぐらいに使ってるユーザー多いし。ですが、他のサービス使おうが本質的に乗っ取りのリスク自体はLINEと一緒ですな。SMS使うか。。