2008年5月 Archives

SELinux上でAndroidの動作検証に成功、日立ソフト － ＠IT

AndroidにはLinuxカーネルやJava VMが含まれるが、「Androidはあまりセキュリティのことを考慮していない」（説明担当者）ため、Javaアプリケーションからデータベースやファイルといったリソースにアクセスできてしまう。
　日立ソフトはSELinux上でAndroidを稼働させることで、セキュアな環境が実現できることを検証。悪意のあるアプリケーションに対してOSや重要なファイルを防御する仕組みを実装した。

ぐわしのライブの時間が変更になった。
2008/05/31 (土) OPEN: 20:00/START: 20:30
￥2000 (w/1 Drink)

CHICKEN SHACK チキンシャック
197-0011 東京都福生市福生876
042-552-4826
http://phussa.net/cs.html
JR青梅線・福生駅（東口）下車、徒歩約５分。

ところで今回は久しぶりにパワー炸裂サザンロックのLAYD☆BACK☆YARD
とご一緒。
ナナちゃん相変わらず元気なんだろうなあ。

ロンドンで開かれたセキュリティ会議で報告される予定の内容。
SQLインジェクションでDBサーバのリソースを使って管理者バスワードのブルーとフォースをかけるデモをする。
「つまりSQLインジェクションでWebアプリを攻撃すれば、DB内のデータを奪取するだけでなく、DBMSが稼動しているホストの会話型アクセスを得ることもできるってことだ。」
SQL Injection Attack Helps Hack OS - Application and Perimeter Security News Analysis - Dark Reading
"This means that if I can attack a Web application through a SQL injection, I am not limited to access the data stored on the database, but I can try to get an interactive access to the host where the DBMS resides," he says.

brute-force hacking of the system administrator password using the database CPU resources, uses the Web app as an initial stage of the attack.

Revelli also plans to release this week a new version of his Sqlninja hacking tool, which he'll use in his demo.
http://sqlninja.sf.net/

ぐわし、久しぶりのライブです。
基地の町、福生に初登場。
いつもと違う夜をすごしましょう。

2008/05/31 (土) OPEN: 20:00/START: 21:00
￥2000 (w/1 Drink)

CHICKEN SHACK チキンシャック
197-0011 東京都福生市福生876
042-552-4826
http://phussa.net/cs.html
JR青梅線・福生駅（東口）下車、徒歩約５分。

どうやら僕たちの1週間前（つまり今度の土曜)には、元子供バンドのやまとゆうさんがやってるバンドGRANITE HOUSEが出るらしい。

横田や座間など、米軍基地内のクラブでのライブイベントを、チキンシャックで再現します！

Webサイト不正アクセスによる個人情報漏洩。
規模は最大2万件 （例によって特定できていないか）。
SQLインジェクションによる。
ネットゲーでのカード不正使用が数十件発生している。

株式会社オズ・インターナショナル

ホーム ＞ 不正アクセスに関するお詫びとお知らせ(2008/05/20) 2008年5月20日

お客様各位　

1. この度、弊社運営ショッピングサイト「アイドラッグストアー」「アイビューティーストアー」が中国から今年1月、3月に不正アクセスを受け、過去に「アイドラッグストアー」「アイビューティーストアー」をご利用になったお客様のクレジットカード番号と有効期限の組みあわせが一部流出した可能性が高いことが判明いたしました。漏洩内容は名前、住所、ログインパスワード、メールアドレス、電話番号、カード番号、有効期限です。弊社は「お客様の被害を最小にする為にカード漏えいの可能性のある方全員」に5月20日メールにてお知らせをお送りしました。又、お客様の被害を最小限にする為に出来るだけ多くのお客様に伝えるために、同日マスメディアにも全面公表しました。

2. クレジットカードご利用のお客さまには、本件に起因する不正使用が発生した場合は全て弁償致しますのでこの点はご安心ください。クレジットカード会社から連絡がありますのでそれにしたがってください。流出は今年1月、3月に起きておりますので最近数ヶ月万が一クレジットカード「ご利用代金請求書」にお心当たりのない請求がございましたら、該当カード会社コールセンター宛ご連絡いただきますよう、お願い申し上げます。クレジットカード使用のお客様には大変なご心痛ならびにご迷惑をおかけいたしますこと、心よりお詫びを申し上げます。

3. 「アイドラッグストアー」「アイビューティーストアー」では直ちにクレジット番号及び有効期限の保持を止め現在は安全なPayPalの決済システムも採用しました。その他の決済も安心してご利用いただけます。

4. 弊社はこの事件を危機管理として捉え、お客様の被害が最小になることに全面投入しており、全ての情報を公表しておりますので、ご質問・御詳細は御遠慮無く弊社までご連絡ください。私、代表取締役社長、大関和樹と直接お話になりたい方はその様にご要求ください。

5. サイト、携帯、その他で「同一パスワードを使用している人」は2重、3重のパスワード管理が無意味になりますので、出来るだけ早く全て違うパスワードに変更することをお勧め致します。又パスワードは複雑であれば、ハッカーの自動乱数による攻撃が難しくなりますので、英数字（大、小）、数字の長い組み合わせが、数学的に一番発見の確率が累進的に少なくなりますのでご面倒ですが、ご採用をお勧め致します。

6. 今回の不祥事は一切私代表取締役社長、大関和樹の監督責任であり、お客様の信頼に背く形となりました事を、真摯にお詫び申し上げます。この件を受けまして米国最高の強固なハードウェア、ソフトウェアを採用し、強化をいたしました。引き続き改善に全力投入してまいります。弊社はいつでもお客様をお守りするのが基本であり、今回の事件を深く反省し顧客満足の向上を今後更に頑張って参ります。

大関和樹
代表取締役社長
アイドラッグストアー| www.idrugstore.com
アイビューティーストアー| www.ibeautystore.com

東京新聞:最大２万件の個人情報流出　オズ・インターナショナル:社会(TOKYO Web)

流出は最大２万件に達する可能性があり、カードがオンラインゲームで不正に利用されたケースが数十件に上っているという。

オズ・インターナショナルの通販サイトで個人情報漏洩 - カードの不正利用も：Security NEXT

同社が運営する「アイドラッグストアー」「アイビューティーストアー」がSQLインジェクション攻撃を受けたもので、クレジットカード番号や有効期限、ログインパスワードの流出を確認した。攻撃は中国国内から行われており、カードの不正利用も発生しているという。

asahi.com：ジャパネット情報流出　元社員に１億１千万円賠償命令 - 社会

判決によると、男性は同社に勤務していた９８年ごろ、別の元社員と共謀。５１万３９４０人分の顧客情報（住所、氏名、性別、生年月日、電話番号など）をＣＤ―Ｒにコピーするなどして流出させ、同社の信用を失墜させた。さらに、９７年ごろから商品のパソコンを倉庫からたびたび盗み出して転売や質入れし、会社に損害を負わせた。同社は流出の損害額について、過去の判例を基に１人当たり５千円と見積もり、計約２５億７千万円に上ると試算している。

被告は否認したけど今回の裁判で賠償命令。
だけど、事件から10年もかかってるのね、ここまでで。
しかも、

情報流出の発覚直後、同社は通販番組の放映を休止するなど営業を一時自粛。同社はその間の減収は約１５０億円に上ると推定している。

という間接も含めた被害額からしたら、会社としてはもうどうでも良いだろうな。
せめて抑止になれば良いけど。

Google AppsにPostiniのセキュリティ機能を追加。 マルウェア防御とURLフィルタ、ポリシー管理とレポート機能。
Web Security for Enterprise is $36 per user per year, and the remote protection feature is $12 per user per year.
http://www.networkworld.com/news/2008/050908-google-web-security-remote.html

来週は化石バンドのイベント。
この書き方すると、Blues Creationがトリってことでしょうか。最後まで見てられるかな…
POPS

『伝説のROCK BAND、BLUES CREATIONが最初で最後の再結成！！必見！！』 DEAD FLOWER PRESENTS J-ROCK LEGEND JAPAN ROCK BAND FES. 2008 『新しい歴史が始まる日！』 “新しい歴史が始まる日”―。 日本の70年代のロックシーンを彩った強力バンドたちが帰ってくる！ 69年に竹田和夫を中心に結成された伝説の「BLUES CREATION」。 同じく69年結成で、ショッキングなパフォーマンス、アジ演説、レコード発禁処分などで注目を集めた、PANTA率いるカリスマ・バンド「頭脳警察」、 75年結成で最強のライブバンドといわれた「めんたんぴん」。 そして、70年に沖縄で結成され、ロックバンドとしては驚異的なトップ・セールスを記録させた「紫」も参戦。 今なお、ニューアルバムをリリースするなどそれぞれに精力的な活動を続ける彼らが、パワーアップして我々の前に勢揃いする！

めんたんぴん、って聴いたことねえなあ、と思って探したらこんなのあったけど。

日本ロックの70年代を代表する伝説のバンド「めんたんぴん」のリード・ボーカル、佐 々木忠平の初のソロ・アルバム「日本競馬狂想曲」からの「行け！川崎帝王号」です。各 マスコミでも大絶賛のアルバム。競馬ファンにはたまらない魅力満載。

その点、頭脳警察は大丈夫だろ。

これは万物流転の映像だよな、ということは1990年の演奏。万物流転は家の中を探したけど、VHSのケースだけあって中身がみつからない。DVDでいっぺん出たようだが、もう売ってなくて、中古20,000円で売っている人がいると。万物流転 そりゃかわねえなあ。

紫は、今年の映像があった。
http://www.youtube.com/watch?v=yQpOiC3t2MM
Vocal 宮永英一って、チビ、だよな。ドラムじゃないんだ、びっくり。 ドラムの人は、妙にフラットにセッティングして叩いてる。ハードロックのドラムがそれじゃ、駄目でしょ。 ジョージ紫はジョンロードみたいな風貌にしてくれないと、感じ違うなあ。

SaaS向けSSOと銘打ったサービス。
多要素認証のTriCipherがSxipを買収して得た技術を活かして強化された。
myOneLogin - A secure, single sign on to web-based applications.

Salesforce.com, Google Apps and WebExその他多数のアプリケーションをサポート。
サポートリスト

サービスプロバイダ向けのページに、

myOneLoiginでは簡単なコンシューマモジュールをWebサーバーにのせることでSAML連携を導入できる。このモジュールがmyOneLoginサービスと通信して、複数店舗間のSAML連携ができる。

ギアナ高地の
ギアナ高地 - Wikipedia
ムービー。
すばらしい。行きたいと思ってもいけないんだけど、旅行屋さんも力はいってるなあ。
フラッシュで見るギアナ高地の魅力　エンジェルフォール　ベネズエラ　カナイマ　カラカス　クケナン　ロライマ　遊覧飛行　ツアー　旅　旅行　観光　サンタエレナ　ハスペ　カバック　アウヤンテプイ　遊覧飛行
それでもロライマ登山は載ってないんだ。やっぱり難度高いんだなあ。

で、ロライマ山…
ロライマ山 - Wikipedia
（Wilipediaにこんなに情報が載ったのって最近じゃないのかなあ。数ヶ月前に検索したときには引っかからなかったと思うんだけど）
ロライマに登った人のスライドショー

6日間の行程だそうで。大変そう。

ひょんなことで、オーストラリアのCarlottaという歌手(?)のページが目に留まった。
Carlotta
何だコリャ、とさっさと消そうとしたら、説明に、プリシラのモデル、と書いてある。

◎1994年度アカデミー賞衣装デザイン賞受賞

現在は、オーストラリアのクラブを回って’CARLOTTA’S PRISCILLA SHOW’’を上演中だそうで。
現在はっていっても、いつからやってるんだかわからないけど。
ラスべガススタイルの2時間のショー。
見てえ。
もうキャリア40年だそうだから、そう長くは続かんだろうなあ。

TCGがネットワークアクセス制御のフレームワークTNCの中で新規格IF-MAPを発表。
Interop NAC Dayでのデモ参加企業はJuniper、Aruba、ArcSight, Microsoftなど。
IF-MAPサーバはInfoblox。

Trusted Computing Group: Interop Las Vegas 2008

IF-MAP is a central nervous system for network security. It provides a standard way for network security components to securely share information about users, devices, and security incidents on the network. By sharing information, security components can act in a more intelligent manner. For example, peer-to-peer file sharing may be normal and permitted for one group of users but not for another.

MAPはMetadata Access Pointの略らしい。
標準仕様としては、
TNC IF-MAP binding for SOAP
という文書で公開されている。
https://www.trustedcomputinggroup.org/specs/TNC/TNC_IFMAP_v1_0_r25.pdf
Specification Version 1.0 Revision 25 28 April 2008 Published

SOAPなんだ。
データもXMLで、IF-MAP Schemaというものが規定されている。

動き方としては、検疫エージェントなどが端末の状態を検査した結果をIF-MAPサーバに送って、IF-MAPサーバはMAC、IPアドレス、ユーザ認証情報などとともに保存する。 ポリシー違反などがあればIF-MAPサーバを介してflow controllerと呼ばれる機器(ファイアウォールなど)に通知し、その端末をブロックする。

面白いなあ。
これで、シスコが失敗したNACのビジョンが出来上がってくるかもしれない。

ニュージーランドでつかまった巨大なイカ。
Wired News - AP News
目玉だけで11インチ、っていうと、28cmくらいですか。動物の中で最大だそうで。
ディナー皿より大きい、と表現されてる。
そりゃあ、よく見えるだろう。