はてなブックマーク

兵庫県警が「不正指令電磁的記録に関する罪（刑法１６８条の２および３）」について起こした無限アラート事件について、前回の続きです。 今回は、兵庫県警ではなく最高裁判所へ情報公開請求をしました。そのためナンバリングを（その1）と振り直しました。二つは並列して進めていきます。これまでの動きを追いたい方は、Twitterのmomentにまとめてあるのでこちらで追ってください。 https://twitter.com/i/moments/1145015327027154944 今回の概要 - 最高裁判所への情報公開請求 前回の記事、（その6）兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしましたでも書きましたが、今回の無限アラート事件のひとつの要因は法務省が曖昧すぎる法律の条文を放置しているという点もあります。 現在の「不正指令電磁的記録に関する罪」は、この曖昧な条文を「運用でカバー」し

2019/03/11(月)に、簡易書留で公文書公開請求書を送付しました(前回の記事参照)。郵便追跡で到着は確認していたのですが、念のため兵庫県警へ電話して受理を確認したので記録します。 なお、本記事の最後に「必ず知って欲しいこと」を付けておりますので、できれば最後まで読んでください。 到着確認の電話 兵庫県警察本部県民広報課　情報センターへTELしました。 電話のやりとり はじめに広報担当の方が出て、情報センターの方に代わって頂いたため、その部分は省略します。また、各所に「えー」「あー」がお互い入っておりますが、それは省略します。 ozuma「わたくし、○○○○と申します。一昨日に公文書公開請求書をご送付いたしましたが、そちらに届いているか確認したく、お電話させて頂きました」 ご担当「はい、届いております。現在、作業に入っております」 ozuma「了解いたしました、よろしくお願いします。そ

（追記）これまでの活動を時系列にまとめたTwitterのモーメントを作りました。記事はこちらで追えますので、合わせてご覧ください。 Twitter Moment: 兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました はじめに 先日、「forループでalertウィンドウを出すだけ」という、いわゆるジョークプログラムへのリンクを張った3人が、兵庫県警によって1名(未成年)が補導、2人が書類送検される予定という事案が発生しました。(for文無限ループURL投稿で補導された件についてまとめてみた) この事案について、兵庫県警に対し兵庫県情報公開条例に基づいて以下の情報公開請求を行いましたので記録します。 なお本記事については、以前に同様に神奈川県警に対して情報公開請求を行った 梅酒みりん 様へお願いし、文面について利用させて頂くことを快諾頂きました。この場を借りて感謝を申し上げます

以前から気になっていた「次世代 Web カンファレンス 2019」を、ようやく聴きに行くことができました。 たくさんのトークがありましたが、ここではHTTPS (hashtag: #nwc_https)をメモしておきます。なお、このセッションが間違いなく一番アツく、一番面白かったです! 当日の動画 https://www.youtube.com/watch?v=_8dCa8wj8QY togetter https://togetter.com/li/1268794 以下、当日参加した、もしくは動画を見たという前提でのメモなので、見てない人はぜひ見ましょう。 PKI 「低レイヤから行きましょう」ということで、はじめはPKI絡み。Symantecのdistrustと、日本のGPKIの話でした。 トーク中に何度か出てきましたが、認証局(厳密にはCAとRAを分けて書くべきですが、どうせみんな一緒な

先日、東京五輪ボランティア応募サイトを検証したら予想以上にヤバかった（語彙力）という記事を読んでいたところ、日本語をid属性に使うことが槍玉に挙げられていました。 しかし日本語だろうがギリシャ語だろうがASCII文字だろうが、Unicodeの1文字であることに変わりはありません。最近は多言語対応が十分に進んでおり、今さらASCII文字しかダメなんて時代遅れなこと本当にあるの? と思い少し調べました。 先に結論 id属性に日本語を使うことは何も問題ありません。 調べてみる 件のボランティアサイトは、HTML 5で記述されています。 ということで、W3CのサイトでHTML 5の仕様書を確認してみましょう。現在の最新版は、HTML 5.2です。 https://www.w3.org/TR/html/ id属性 id属性は、DOMのところに記述があります。 HTML 5.2: 3. Semanti

先日、Windows7にVMware Workstation Proを入れていた自宅のデスクトップ機のWindowsを潰して、ESXi 6.5を導入しました。この際にNICがRealtekであったため少々手こずったため、そのメモです。 なお同様に困っている人は多くいますので、そんなに目新しい記事ではありません……作業の際は、以下の雑木林さんの記事を参考にさせて頂きました。 http://zokibayashi.hatenablog.com/entry/2017/05/22/001131 ちなみにESXiというのはVMware vSphere Hypervisorに含まれるコンポーネントのひとつでしかない(らしい)ので、本来は「VMware vSphere Hypervisor(ESXi)」と書くのが正しいようです。が、いちいち書くと長いので、以下単に「ESXi」と書きます。 環境 マザーボ

以前に、個人でEV SSL証明書は取れるのか (1) - ろば電子が詰まっているとして、個人でEV SSL証明書をなんとか取れないかという話を書きました。 結局その後、ローカル認証局を立ててFirefoxのソースをビルドしてEV SSL証明書を作る……ということをやって勉強会で発表しました。 【スライド】個人でEV SSL証明書が欲しい話 が、スライドに書いてある通り、結局EV SSL証明書として認識させることはできず歯切れの悪い感じになっちゃいました。その続きです。 なぜダメだったのか その後も色々いじっていたのですが、@angel_p_57さんが見事に解決してくださいました。ありがとうございます! FirefoxでオレオレEVSSL証明書 結論から言うと、FirefoxではOCSPレスポンダへの問い合わせを省略する設定があるのですが、これをすると全てのEV SSL証明書がEVと認識され

Ghostscriptの脆弱性が、Google Project ZeroのTavis Ormandy氏により公開されました(CVE番号はまだ無し)。openwallのoss-securityメーリングリストにもクロスポストされたので、こちらを見た方も多いでしょう。 https://bugs.chromium.org/p/project-zero/issues/detail?id=1640 http://openwall.com/lists/oss-security/2018/08/21/2 基本的な情報は以下のJPCERTアナウンスから出ているので、ここではもうちっと細かいTopicsをいくつかまとめます。 JPCERT: Ghostscript の -dSAFER オプションの脆弱性に関する注意喚起 概要 PostScriptは、単なるドキュメントファイルの一型式ではなく、描画コマンドな

いろいろとやる必要があり、Chromiumを手元でコンパイルしたのでその記録。 (2018-06-23) @tzik_tackさんに指摘いただき、一部修正しました。ありがとうございます。 ChromeとChromium まず、予備知識。 Chromiumはオープンソースプロジェクト名であり、そのプロダクトがChromiumというWebブラウザ。そして、ChromiumをベースにGoogleが固有機能を追加したものが、我々がふだん使っているGoogle Chromeである。 https://www.chromium.org/ もっとも、Chromiumプロジェクト自体Googleが深く関わっているし、普通にそこでの実装の意思決定もGoogleのエンジニアによるものが多いので、実質どっちもGoogleがやってるという理解でおおむね問題ない。 Google Chrome自体はGoogleの著作物

それなりにSSL証明書マニアなので、昨日から、「個人でEV SSL証明書を取るにはどうすればいいか」というアホなことを調べている。 まず、認証局が厳密に従っている(はずだよね?)の、CA/Browser Forumのドキュメントを確認した。EV SSL証明書の発行プロセスについては、Baseline Requirementsの方では無く、「About EV SSL」として以下に分かりやすくまとめられている。 https://cabforum.org/about-ev-ssl/ ここで発行対象を見ると.... Certification Authorities (CAs) may only issue EV SSL Certificates to Private Organizations, Government Entities, Business Entities and Non-Com

長い間のブランクをあけてしまいましたが、主催しているすみだセキュリティ勉強会を久々にやりました。 すみだセキュリティ勉強会2018その1 私のお話は、emoji(絵文字)を使ったパスワードの話です。 長くて覚えやすくて複雑なパスワードとemojiの話 / Speaker Deck 前々から日本語もパスワードに許せばいいのにと思っていたのですが、どうせUnicodeなんだったら絵文字も突っ込んじゃえばどうだろ? と思ったのが元ネタです。理屈上は、Unicodeを正しく扱っていれば、日本語だろうがASCII文字だろうが絵文字だろうが単なる「1文字」なので、最近のモダンな環境なら普通に通るはずですね。 なおemojiなどの面0(BMP)以外のUnicode文字は、既知の通りMySQLで多くの地雷が埋まっています。寿司ビール問題くらいならまだいいのですが、INSERT時にemoji以降が切り捨てら

昨日(2018/02/27)に、JPCERTからmemcached のアクセス制御に関する注意喚起が出ていました。 ということでmemcachedのポート(11211/tcp, 11211/udp)が開放されていないかの確認方法についてメモしておきます。 memcached開放により起きる問題 はじめに、memcachedのポートを外部から接続可能にしてしまうと何が問題か整理しましょう。 内部情報の漏洩 1つはすぐに思い付くことですが、内部情報の漏洩です。memcachedは認証の無いプロトコルであるため(正確にはあるけど、誰も(?)使ってない)、外部から接続できれば即キャッシュ上の値を取得することができます。 たとえばphp.iniで以下のように設定していれば、 session.save_handler = memcached session.save_path = "localhost

2017/11/30更新：セキュリティアップデートがリリースされました。 https://support.apple.com/ja-jp/HT208315 このアップデートを当てると、rootユーザを有効にした状態でも強制的に無効にされます。また、改めてrootユーザを有効にしようとすると、新しいパスワードを求められます。 このため本記事に記載した、「パスワードが空のrootユーザ」がいる状態の問題も、自動的に解決されます。 - 本日話題になった、いとも簡単にmacOS High Sierraでrootが取れるという件について、色々落とし穴が多いのでまとめてみました。 対象 High Sierra 10.13.1（2017/11/29現在の最新） 予備知識 通常、High Sierraではrootユーザは無効となっています。これは次のように、「ディレクトリユーティリティ」を使うと「ルートユ

最近はじめてCTF(Capture The Flag)にチャレンジしたので、アセンブラやバイナリに興味が湧いてきてしまいました。ということで、初心者向けとして非常に良書だと思っている、「はじめて読むPentium マシン語入門編」を再読していました。 はじめて読むPentium マシン語入門編 作者: 蒲地輝尚,水越康博出版社/メーカー: アスキー発売日: 2004/07/01メディア: 単行本購入: 21人 クリック: 2,328回この商品を含むブログ (26件) を見るところがこの本は2004年出版で、かなり昔の本ということもあって、学習環境がVisual C++ 2003を前提として書かれています。 ではこの学習環境を今は作れないのかというと……2017年現在は、無償で利用できるVisual Studio 2017 Community Editionがあります。これでほぼ同書内と同じ

あまりに長いあいだこのブログを放置していましたが、大丈夫です。生きています。 ただ、ちょっとメンタル的に色々ありすぎて放置していました。。。さすがに1年以上も更新がないとツラいので、ちょうどクリスマスということで、ポートスキャナツールNmapの、クリスマススキャンについて軽く書いてみることにしました。 Nmapとクリスマス 今日は12月25、クリスマスです。セキュリティ診断の業界では有名ですが、12月25日にnmapで-vオプションを付けてポートスキャンをすると、nmapが、 "Nmap wishes you a merry Christmas!"というメッセージを出してクリスマスを祝ってくれます。 診断業界の皆は、クリスマスに脆弱性診断をするとき、このメッセージを見るとみんなほんわかとした気分になったものです……(んなわけねーだろ! という誰かの声が聞こえる) この際Nmapは、ついでに

このところ、Certificate Transparency(RFC 6962)について調べている。 http://www.certificate-transparency.org/ これについてはまだ日本語で書かれた解説も少なく、なかなかつかみ所が無くて理解に苦労した。 要するに、発行されるSSL証明書すべてをログDB(CT Log)にガシガシ記録し、みんなが見られるようにしておく。そうして監査ログを作っておき、「多数の目による監視」をして、意図しないニセモノ証明書の発行を防ごう……というのが表向きの目的のようだ。 しかしこのCTにはイロイロと突っ込みどころも多くて、あまりスマートじゃないなぁと私は思っている。とりあえず少し調べてみて、私が「これはどうかなぁ……」と思うのは次のあたり。 証明書にCTログのタイムスタンプ(SCT)を付けるために、本物の証明書と同じシリアルIDを持つPrec

また間が開きましたが、すみだセキュリティ勉強会2015#2を開催しました。発表していただいた@inaz2さん、@yasulibさん、ありがとうございました。当日の発表資料は上記の勉強会ブログからリンクしています。 今回の私の発表は、「攻撃を『隠す』・攻撃から『隠れる』」。ポートスキャンをするとsshが100個現れる「ssh分身の術」がメイン(?)です。 当初は、パケットヘッダやプロトコルのすき間にメッセージを隠したり、ファイルを隠すなども考えていたのですが……。あまりに盛りだくさんになりそうだったので、「ポートスキャンをいかに隠れて実行するか・ポートスキャンからどうやって隠れるか」と、ポートスキャンとnmapに絞って発表しました。 発表資料 私の発表資料は以下です。 (PDF)攻撃を「隠す」、攻撃から「隠れる」 発表ノート付きなのでPDFです。以下、落穂ひろいなど。 スキャンするポート数と

えらく長いことかかってしまいましたが、Linuxの入門書を書きました。「新しいLinuxの教科書」というタイトルで、友人の三宅氏(id:mollifier)との共著です。 新しいLinuxの教科書 作者: 三宅英明,大角祐介出版社/メーカー: SBクリエイティブ発売日: 2015/06/06メディア: 単行本この商品を含むブログ (6件) を見るLinuxの入門書にも色々な切り口がありますが、本書は「CLI（コマンドラインインタフェース）」と「シェル(bash)」を中心としました。というか、ほぼそれしか書いていません。後半は、ページを多く割いてシェルスクリプトについて入念に解説しています。マウスを使う場面はほとんど出てきませんから、本書を読む際にはマウスを窓から投げ捨ててしまっても問題ありません。 目次については、SBクリエイティブのページに掲載されていますので参照ください。 http:/

終了後にメモするのをサボっていたら1週間経ってしまいましたが、主催している「すみだセキュリティ勉強会」を久々に開催しました。 すみだセキュリティ勉強会2015#1 発表者の@inaz2さん、@furandon_pigさん、ありがとうございました。 今回の発表内容 私の発表は、最近ちょっと気になっているCertificate Transparencyについてでした。発表資料は以下です（パワポ資料を、ノート付きPDFにしています）。 俺とお前とCertificate Transparency 内容については資料を見てもらうとして、以下、時間内で話せなかった部分などを補足します。 復習と用語整理 まず、用語を思い出しておきましょう。 CT: Certificate Transparency。CTログサーバに発行した証明書を登録することで、証明書発行の「透明性」を確保する仕組み。 SCT: Sig

最近はSSL/TLSのセキュリティ問題が多発しているため、自分で運用しているサーバのSSL/TLSの設定をテストしたいという人は多いと思います。 SSL/TLSの状態をチェックするには、Qualys SSL LabsのSSL Server Testがよく使われます。しかしこれは外部から第三者にスキャンさせるわけですから、(心理的・社内政治的な)敷居が高いという点もありますし、そもそもインターネット側から直接接続できない環境のテストが行えません。 そこで、IPアドレスを指定するだけでよろしく対象のSSL/TLSサーバの状態をチェックしてくれるツールがあると便利だな、ということになります。本稿では、このような目的に利用されるsslscanというコマンドを紹介します。 sslscanはLinuxで動作し、ペネトレーションテスト用に使われるKali Linuxにもインストールされているお手軽なSS

以前、CentOS 7 (7.0.1406)およびRed Hat Enterprise Linux 7のssコマンドが腐っていたことにビックリして、「ssコマンドはバグと地雷の塊なのでnetstatの代わりにならない」という記事を書きました。 これはどういうお話かと言うと： RHEL 7からはnetstatコマンドなどが収録されているnet-toolsパッケージが非推奨となり、デフォルトではインストールすらされなくなりました。 しかしnetstatコマンドの代替であるssコマンドはかなり雑な感じで、UDPポートを「tcp」と表示するひどいバグがあります というお話でした。 このssコマンドのバグは、2014年2月にRed Hat Bugzillaにも上がっていました。 https://bugzilla.redhat.com/show_bug.cgi?id=1063927 というわけで、さす

最近、どうもGoogleマップが重いなぁと困っていたのだが、ライトモードにすると早くなるらしいと聞いてさっそく試してみた。 これがライトモード。このモードのときは上の画像のように、画面下部のメニューバーのところに「ライトモード」と小さく表示されている。3D表示などの余計なコンテンツを読み込まないので軽くなる、という原理のようだ。 一方、ライトモードでない重い方(正式な呼び方が分からない)は、以下のように「ライトモード」の表示が無い。 さて、肝心のモードの切り替え方法だが、これが面倒くさい。基本的に重いモードを使うか軽いモードを使うかは自動決定されるため、メニューなどから選ぶことはできないのだ（なんと不親切）。 しかし、以下のURLを叩いてforceパラメタを明示的に指定することで、モードを強制することができるようだ。 重い地図(フル3Dモード) https://www.google.co.

何がしたいかと言うと。普通はこんな感じで、POSTでパラメタを引き渡すのだけど。 #!/usr/bin/perl use strict; use LWP::UserAgent; my $ua = LWP::UserAgent->new; my %param = ( "id" => "ozuma", "type" => "12", ); my $res = $ua->post("http://localhost/~ozuma/param.cgi", \%param); print $res->as_string; 今回はSOAPっぽいインタフェースで、Request Bodyにパラメタ名を付けず、無造作にXMLをそのまま送りつけたかった。HTMLでformを作るとパラメタとしてPOSTしてしまうし。 これがちょっと迷ってしまったのだけど、HTTP::Requestのインスタンスにconten