twitterセキュリティネタまとめ

昨日から気にしていたユニクロの件は、大ごとになってしまったので「UNIQLO LUCKY LINEがtwitterのユーザー名とパスワードをだだ漏れしてるかもしれない件について」にまとめておきました。

で、高木先生の電突が終わった後の反応ｗ

tommy_nezy: 「たかぎひろみつと申します」という電話があったらアラートが鳴り響き赤ランプが回りだしステータス画面には緊急事態の文字が流れ各部署の精鋭が一斉にビル館内のパイプを通って集合し複数の２００インチ大画面を前にして彼の一挙手一投足に反応する、みたいな演出があっても良い時期だと思う。

ikepyon: どこかで、「たかぎひろみつ」先生から電話がかかってきたら、専用シフトが組まれるという組織があるという噂を聞いたことあるような無いような？

そして、某F5社の記事について、名言と突っ込みが。ちょくちょく関わってる某社の記事じゃないですか。うーん、、

yumano: うーん RT WAFの導入によって脆弱性を残したまま、早期リリースが可能になった。 RT @ikepyon: うーん、うーん・・・ http://it.impressbm.co.jp/e/2010/05/25/2294

ntsuji: @yumano 「WAFの導入によって脆弱性を残したまま、早期リリースが可能になった。」ここまできたらもはや名言です。

yumano: F5流の言い方が何か根本的なところを間違えているわけですね。文章を起こした人のせいと思ったり・・・ RT @vulcain: @ntsuji 潜在的に脆弱性が残っていたとしても一定の安全性を担保してリリースする事が出来る様になった。をF5流に言うとこうなるって感じですね。

ockeghem: 『セッション固定化で104日、不適切な認証で125日ほどかかる。』出典は? セッション固定なんて、直すだけなら1分ですむでしょ。104日というのは、取りかかりが遅かったんじゃないの? それに、この2つ、BIG-IP ASMで対策できるのかなぁ

ockeghem: 『ユーザーが気付かないところでWebブラウザからリクエストを発行するCSRF（Cross Site Request Forgery）攻撃などへの対策機能を強化した』って、本当かなぁ。トークン埋め込み? Refererチェック?

そして、図書館のWebサイトに１秒に１回アクセスしてタイーホされてしまったかわいそうな人について。ぼくのhttp://p.bogus.jp/にはgoogleさんが毎日このくらいやってきたりするのですが…　月500円のレンサバですらこれくらいのアクセスじゃびくともしませんが何か？

ymzkei5: “１秒に１回程度の速度”　←これで落ちるとしたら、市販のWebアプリ診断ツールはかけられないな・・・。（＾ー＾；　RT @connect24h @yamatoya @yositosi: 図書館ＨＰにアクセス３万３千回 業務妨害容疑で男逮捕　http://bit.ly/azTQbI

ikepyon: 確かにw 以前計ったら、毎秒10から20ぐらいはリクエスト投げてる RT: @ymzkei5: “１秒に１回程度の速度”　←これで落ちるとしたら、市販のWebアプリ診断ツールはかけられないな・・・。（＾ー＾；

bugbird: 今時、この程度の負荷で落ちるハードなんてないっしょ。アプリが酷いとしか思えん＜岡崎私立中央図書館

ikepyon: ですねぇ。いったいどこの誰が作ったのやら・・・それか未だにサーバーがPentiumだったりして^^; RT: @bugbird: 今時、この程度の負荷で落ちるハードなんてないっしょ。アプリが酷いとしか思えん＜岡崎私立中央図書館

ockeghem: @ikepyon IIS/6.0だから、XPと言うことはない…とマジレス

bakera: @ockeghem: @ikepyon DBもOracleのようですし、それなりの構成のように見えるのですけどね……。

connect24h: 岡崎市図書館HP IIS6.0かぁ。http://ow.ly/1PVYE

yohgaki: 図書館ＨＰにアクセス３万３千回　業務妨害容疑で男逮捕 http://ow.ly/1PV6N この件、納得できないので岡崎署の捜査本部に電話して意見を述べておいた。捜査中なので報道発表以上の事は言えないそうです。意見のある方は岡崎署へどうぞ。

実はこの図書館サイト、robots.txtでクローラを弾く仕様だったようで、もしかすると個人でインデックスを作ろうとしていただけではないか疑惑がわき上がっています。

rryu2010: 図書館の業務妨害のあれは、検索システムが遅くて使えないので独自のインデックスを作ろうとしてクロールしていたとかだっりして。

ockeghem: User-AgentをGoogle BOTに偽装していれば、「あぁ、これは検索エンジンですよ」とかでお目こぼしだったとか? RT @rryu2010: 図書館の業務妨害のあれは、検索システムが遅くて使えないので独自のインデックスを作ろうとしてクロールしていたとかだっりして。

ockeghem: 業務連絡:岡崎市立図書館事件、独自インデックス作成の動機と思われる状況証拠が発見されました http://j.mp/bFXHiS http://j.mp/9OTxor

yumano: DBを引っこ抜くクローラー作ると怒られるのか・RT @ikepyon: www RT: @mugeso: @ikepyon 問題はあんまりいっぱい借りる気もないのに検索しすぎると業務妨害で逮捕される可能性があるってぐらいです。

そして、サーバーがヘボいだけだとよかったのですが…　脆弱性まで発見されてしまいました。

ikepyon: 件の図書館の検索のURLにやばそうなパラメーター（RetPage=../Newbook /0210y.asp）があるのだけど、きっと大丈夫だよね。RetPageだから、戻る先かな？

bakera: @ikepyon これ駄目ですね。orz

ikepyon: とりあえず、O'Reillyで検索してみたけど、件数が0件だったｗさすがに、 O'Reillyは大丈夫だよね？

bakera: 届け出ておきました。他にもいっぱいありそうですが2件のみ指摘。

その他気になるWebサイト。

laccotv: 川口洋のつぶやき 第１４回を公開しました。 「知らずにあなたもダマされる～CAPTCHAにご注意！」 ～ 今回は増殖し続けるウィルス配布サイトにあなたも加担しているという怖いお話 http://www.youtube.com/watch?v=T6m7Uvg2WuA

ripjyr: I'm reading now:Google Analyticsへの情報送信を止めるブラウザーアドオン、Googleが公開 http://internet.watch.impress.co.jp/docs/news/20100526_369534.html?ref=rss

mincemaker: P2Pでトロイ入りのエロゲ配布してた人捕まったのか。 http://www.yomiuri.co.jp/national/news/20100526-OYT1T00076.htm

お(・∀・)め(・∀・)で(・∀・)と(・∀・)う！

ockeghem: 皆さん、聞いてください。弊社もついにbogusnewsに取り上げられました(^o^) http://bogusne.ws/article/151092564.html

テーマ : セキュリティ
ジャンル : コンピュータ