Last modified: Mon Apr 13 17:01:32 2015 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 EU行動ターゲティング広告業界団体の自主規制案が大苦戦中 (『情報社会と共同規制』ブログ, 12/28)
》 中国:バス運転手 鳥インフルに感染して死亡 (毎日, 12/31)。「広東省深セン市のバス運転手の男性(39)」が H5N1 に感染して死亡。
》 2011.12.29民主党税制調査会総会での私の発言 (ひらがな5文字の「はたともこ」ブログ, 12/30)
》 原発事故:放射性物質放出量の予測システムが故障 (毎日, 12/31)。緊急時対策支援システム ERSS。
保安院によると、30日正午前、志賀原発(石川県志賀町)の検査官がERSSの表示システムが機能していないことに気付き、他の原発に問い合わせたところ、システム全体で不具合が生じていたことが分かった。31日午後2時半ごろに復旧したが、作動していなかった期間や不具合の原因は不明という。
(中略)
保安院は、ERSSの不具合を30日に把握していたが、丸1日公表しなかった。保安院の担当者は「重要なシステムが活用できない状況にあったことは遺憾で、ERSSを管理する『原子力安全基盤機構』に原因究明と再発防止を指示した。申し訳ないの一言しかなく、今後は気を引き締めていく」と話した。
何このグダグダぶり……。
関連: 全54基の原発監視システムが停止! 原因不明 またも保安院が隠蔽。 (ざまあみやがれい!, 12/31)
》 Networked Printers at Risk (McAfee Labs Blog, 12/30)。28th Chaos Communications Congress (28c3) での発表。
》 Winny事件無罪報告会 (壇弁護士の事務室, 12/29)。2012.01.09、東京都渋谷区、無料。
》 タンザニアでサバンナを歩くゾウやキリン、思い描いていたアフリカに到達 (gigazine, 12/31)
》 福島原発事故:「日本は終わりかと考えた」陸自前司令官 (毎日, 12/31)。宮島俊信・陸自中央即応集団 前司令官インタビュー。
》 検証・大震災:日米政府、防衛協力指針修正検討 大規模災害適用、調整所常設も (毎日, 12/29)
》 検証・大震災:トモダチ作戦 米のアジア太平洋戦略、鮮明 (毎日, 12/29)。軍事作戦としてのトモダチ作戦。
》 検証・自衛隊員10万人史上最大の作戦 (毎日, 4/22)。記事本体は毎日から消えてしまっている。 ぐぐるとコピペページがいろいろ出てくる。 これ とか。
》 Samoa moves to the other side of the world - and misses a day! (Sophos, 12/30)。Timezone ねた。
昨日、MS11-100 が定例外で出ました。
.NET Framework 1.1 / 2.0 / 3.5 / 3.5.1 / 4 に 4 つの欠陥。
ハッシュテーブルの衝突がサービス拒否を引き起こす可能性のある脆弱性 CVE-2011-3414
Effective DoS attacks against Web Application Plattforms ? #hashDoS [UPDATE2] の件。Exploitability Index: 3
.NET フォームの認証の安全ではないリダイレクトの脆弱性 CVE-2011-3415
.NET Framework 1.1 には影響しない。 Exploitability Index: N/A
ASP.Net フォームの認証バイパスの脆弱性 CVE-2011-3416
Exploitability Index: 1
ASP.Net フォームの認証のチケットをキャッシュする脆弱性 CVE-2011-3417
Exploitability Index: 2
関連:
セキュリティ アドバイザリ (2659883) の脆弱性を解決する MS11-100 を定例外で公開 (日本のセキュリティチーム, 2011.12.30)
More information about the December 2011 ASP.Net vulnerability (Microsoft Security Research & Defense, 2011.12.27)。 MS11-100 が出る前に (セキュリティ アドバイザリ (2659883) ASP.NET の脆弱性により、サービス拒否が起こる の公開にあわせて) 書かれたもの。
ASP.NET security update is live! (Microsoft Security Research & Defense, 2011.12.29)
December 2011 Out-Of-Band Security Bulletin Webcast Q&A (MSRC blog, 2011.12.30)
VU#723755: WiFi Protected Setup PIN brute force vulnerability
回避するには、WPS を無効にする、ということで。関連:
Most Wi-Fi routers susceptible to hacking through security feature (Sophos, 2011.12.30)
Wi-Fi Protected Setup (WPS) PIN Brute Force Vulnerability (SANS ISC, 2011.12.30)
To sum up, millions of devices worldwide might be affected and it will take months (or years - think on WEP) to fix or mitigate this vulnerability... so meanwhile, it is time to start a global security awareness campaign:
Disable WPS!!
》 巨大津波の謎を探る〜解き明かされる新メカニズム (NHK サイエンス ZERO, 12/24)。9/10 放送分の再放送。関連:
GPS 波浪計関連:
津波は三陸沿岸で7波襲来-釜石沖GPS波浪計のデータ回収・分析結果- (港湾空港技術研究所, 3/28)。 観測された波形、第一波の特異さがよくわかる。
平成23年(2011年)東北地方太平洋沖地震による津波のGPS波浪計による観測結果について (港湾空港技術研究所, 3/28)
GPS波浪計全地点における津波の観測結果について (港湾空港技術研究所, 5/16)。 その他の港湾空港技術研究所発の資料は、 平成23年東北地方太平洋沖地震 から参照できる。
「東日本大震災調査報告会」開催報告: 観測された津波の特性について (国土交通省国土技術政策総合研究所, 4/26)。
他の資料は、東日本大震災(東北地方太平洋沖地震) 被災地派遣状況・災害調査報告 (国土交通省国土技術政策総合研究所) で読める。
GPS波浪計の津波情報への新たな活用開始等について (気象庁, 10/7)。GPS 波浪計は全国で 15 か所しかない。
平成23年(2011年)東日本大震災に関する情報提供 (国土地理院)、 電子基準点1秒データによる平成23年(2011年)東北地方太平洋沖地震の地殻変動 (国土地理院)
ダイナミック・オーバーシュート (動的過剰すべり)
東北沖地震の二面性 — 浅部のすべり過ぎと深部の高周波震動 — (東京大学, 5/20)。井出准教授による発表。
Shallow Dynamic Overshoot and Energetic Deep Rupture in the 2011 Mw 9.0 Tohoku-Oki Earthquake (Science, 6/17)、 Special: The Tohoku-Oki Earthquake, Japan (Science, 6/17)。
サイエンスゼロ見ました。「ダイナミックオーバーシュート」が連呼されて、いったいどういう結論になるかと思いましたが、古村さんが最後うまくまとめてくれました。時間と局からしてどれくらいの人が見たかわかりませんが、協力して良かったです。 (Satoshi Ide @seiside Satoshi Ide, 9/10)
「すべり過ぎ」で津波巨大化 東大解明 (産経 MSN, 5/20)
》 木語:新羅以来の中国漁船=金子秀敏 (毎日, 12/29)
事件を起こした中国漁船は「魯文漁15001」。魯は山東省の略称、文は文登市の略、漁は漁船。つまり山東省文登市に登録している漁船15001号である。
(中略)
山東半島の新羅人海民にとって黄海は韓国領海も中国領海も自分たちの漁場だった。その伝統的権利を韓国も認め、毎年一定量の漁獲割り当てをしている。
中国外務省は、事件を起こした漁船に伝統枠の証明書がないのを確認してから、遺憾の意を表明した。
中国漁船は多く、伝統枠の割り当ては少ない。しかも中国側の海は乱獲で魚が少ないから違法を承知で韓国側漁区に入り込む。そのうえ中国漁民の心の底には、先祖伝来の漁場に入ってなぜ悪いという意識があるだろう。
》 「NHK 追跡!真相ファイル 低線量被ばく 揺らぐ国際基準」のまとめのまとめ (togetter.com, 12/29)、2011/12/29(木) (田崎晴明, 12/29)。悪い意味で話題になってしまう番組だったようで (録画したけどまだ見てない)。
》 福島第1原発:1号機非常用電源部屋、91年に浸水事故 (毎日, 12/29)。喉元過ぎれば……
双葉郡に設置要請 汚染土の中間貯蔵施設 環境相 (河北新報, 12/29)
東日本大震災:福島第1原発事故 中間貯蔵施設、「30年以内」を確約 環境省「政権交代しても」 (毎日, 12/29)
》 北朝鮮、写真改ざんか ロイターが配信取り消し (河北新報, 12/29)。不都合な人達が写ってしまった模様。
シー・シェパード、無人機で日本捕鯨船団を発見 (AFPBB, 12/25)、 反捕鯨団体、日本船妨害へ無人偵察機を導入 (CNN, 12/28)。CNN 記事には当該の無人機の写真も掲載されている。
シー・シェパード抗議船、大波で船体に亀裂 (AFPBB, 12/29)。アディ・ギル号の後継船、ブリジット・バルドー号に亀裂。
》 【第205回・最終回】堕国論 III (週刊・上杉隆, 12/22)
》 「早野黙れ」と言われたけど……科学者は原発事故にどう向き合うべきか (Business Media 誠, 12/29)
こんなことをやっていますが、Twitterをすることによって私の家庭生活も、研究生活も見事に破壊されました。私は実は大学では管理職なので、4月になったらやめたかったんですね。3月中にやめたかった。
私がそのころに言っていたのは「餅は餅屋である」と。私は最初に言ったように、これらの何の専門家でもありません。「餅は餅屋のはずだったのに、何で僕がいまだにこんなことをやっているんだろう。本来の餅屋はどこにいるんだろう」ということを疑問に持ちながら毎日、ただ暮らしています。
餅屋は留守みたい。
》 もしも「もしドラ」の作家がもうすこしドラッカーを読んでいたら (大西宏 / BLOGOS, 12/27)。 佐藤秀峰さんの本やマンガへの考え方について (岩崎夏海 / BLOGOS, 12/25) の件。
やはりドラッカーが、『未来への決断』のなかで企業の5つの大罪について触れています。日本の放送業界や出版業界にあてはまりそうなのは、そのなかのふたつの大罪,「明日の機会の無視」と「機会の軽視」です。
とくに「機会の軽視」では、「問題に餌をやり、機会を飢えさせることである」としていますが、放送業界が放送利権をかたくなに守るために裁判を起こしたこと、また今回の自炊代行業者を提訴したことは、「問題に餌をやる」行為そのものではないかと感じます。
》 3号機 ベントで水素逆流し爆発か (NHK, 12/29)
東京電力が、最近になってベントの配管から枝分かれして原子炉建屋につながる別の配管を調べたところ、ベントで放出された水素を含む気体が流れ込んだ跡があることが分かりました。この配管には、弁と気体の逆流を防ぐ装置がついていましたが、弁は、電源がなくなると自動的に開く構造になっていたほか、逆流を防ぐ装置も気密性が低く、ベントで放出された水素が配管を逆流して、建屋に入り込み水素爆発を起こした可能性があるとみています。
》 南相馬市の放射能検査をやめさせた総務省 官僚の論理を最優先、被災地の健康問題は二の次、三の次 (JBPress, 12/28)
当該「最終報告書」はこれ: http://www.chinasafety.gov.cn/newpage/newfiles/7.23sgdcbgsw.doc。 もちろん中国語。
中国:高速鉄道脱線 「制御システムに欠陥」 政府、前鉄道相ら54人処分 (毎日, 12/29)
中国:鉄道事故調査報告 体質にメスも改革に具体性乏しく (毎日, 12/29)
ただ、今回の処分は、前任者に責任が負わせることで、現指導部にまで責任問題が及ぶのを避けた形となった。調査結果は9月中旬に発表される予定だった。3カ月遅れとなった背景について、鉄道事故を取材している中国紙記者は「誰が責任をとるべきなのか激しい綱引きが続いていた」と指摘した。
さらに、報告書は鉄道省に対して安全管理体制などの見直しを求めたが、具体性に欠ける内容で、「独立王国」と呼ばれる鉄道省の改革が今後どのように進むかも不透明なままだ。
中国:鉄道事故の処分内容にネットで批判集中 (毎日, 12/29)
微博では「処分内容は免職や降格で誰も刑事責任を問われていない。主要な責任も前任者2人と病死した1人。もし民間企業でこんな大事故を起こせば必ず何人かは刑務所行きだ」「悲劇が茶番劇になってしまった。民衆は何も言えないから官僚の恥知らずな行為が起きるのだ」などと、“トカゲのしっぽ切り”とも言える処分内容に批判が集まっている。
Web で使われるプログラミング言語やフレームワークでは、入力を自動的にハッシュテーブルに設定する (例: PHP の $_POST) ことがよく行われる。 そこで、ハッシュ衝突が発生するようなデータばかり選んで入力として与えると、Web サーバに高い負荷を与えることができ、DoS 攻撃が成立する。 報告者によると、Core i7 + PHP で処理時間は次のようになったという。
POST データ 8MB で 288 分
POST データ 500kB で 1 分
POST データ 300kB で 30 秒
この問題は Perl を除く代表的な Web プログラミング言語・フレームワークの多くで発生する (Perl は 5.8.1 で修正済)。oCERT Advisory #2011-003 multiple implementations denial-of-service via hash algorithm collision に各言語・フレームワークでの状況がまとめられている。また ASP.NET については、 MS11-100 - 緊急: .NET Framework の脆弱性により、特権が昇格される (2638420) (Microsoft) で修正された。
関連:
n.runs-SA-2011.004 - web programming languages and platforms - DoS through hash table (nruns.com, 2011.12.28)。詳細情報。
回避策として、CPU 時間の制限、最大 POST サイズの制限、最大パラメータ数の制限、の 3 つが挙げられている。
Denial of Service via Algorithmic Complexity Attacks (Rice 大学 Scott A. Crosby & Dan S. Wallach, 2003)。 おおもとのネタ。
oCERT Advisory #2011-003 multiple implementations denial-of-service via hash algorithm collision (ocert.org)。PHP 5.3.9、Ruby 1.8.7-p357 / 1.9.x、JRuby 1.6.5.1、Apache Tomcat 5.5.35 / 6.0.35 / 7.0.23、Rack 1.4.0 / 1.3.6 / 1.2.5 / 1.1.3 では修正されている。 PHP 5.3.9 は現在開発中。
VU#903934: Hash table implementations vulnerable to algorithmic complexity attacks (US-CERT, 2011.12.28)
MS11-100 - 緊急: .NET Framework の脆弱性により、特権が昇格される (2638420) (Microsoft, 2011.12.30)。
関連: セキュリティ アドバイザリ (2659883) の脆弱性を解決する MS11-100 を定例外で公開 (日本のセキュリティチーム, 2011.12.30)
Large percentage of websites vulnerable to HashDoS denial of service attack (Sophos, 2011.12.28)。PHP + ASP.NET で 9 割越えますか。
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策 (徳丸浩の日記, 2011.12.30)。php.ini での回避策、mod_security を使った回避策が紹介されている。
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策 (徳丸浩の日記, 2011.12.30) が改訂され、suhosin パッチを使った回避策が紹介されている。
PHP 5.3.9 Released! (php.net, 2012.01.11)
RHEL および互換 OS 用修正パッケージ。
RHSA-2012:0019-1 - Moderate: php53 and php security update (Red Hat, 2012.01.11)。RHEL 5 / 6 用。
[CentOS-announce] CESA-2012:0019 Moderate CentOS 6 php Update (CentOS, 2012.01.11)。まだ CentOS 6 用しかないみたい。
Security ERRATA Moderate: php53 and php on SL5.x, SL6.x i386/x86_64 (Scientific Linux, 2012.01.12)
あと、関連記事:
チェックしておきたい脆弱性情報<2012.01.12> (日経 IT Pro, 2012.01.12)
HashTableのアルゴリズムを突いたDoS攻撃 (水無月ばけらのえび日記, 2012.01.18)
[CentOS-announce] CESA-2012:0033 Moderate CentOS 5 php Update (CentOS, 2012.01.18)。CentOS 5 用も出ました。
AdaCore Security Advisory SA-2012-L119-003 Hash collisions in AWS (bugtraq, 2012.01.27)。2012.01.21 に修正済。
Oracle 方面 (WebLogic, iPlanet, Containers for J2EE):
Security Alert for CVE-2011-5035 Released (The Oracle Software Security Assurance Blog, 2012.01.31)
Oracle Security Alert for CVE-2011-5035 (Oracle, 2012.01.31)
PHP5.4.8までにhashdos攻撃の危険性? (togetter, 2012.11.23)。mbstring.encoding_translation=On の場合 (デフォルトは "0")、 hashdos 対策コードが効かない状況だった模様です。PHP 5.3.19 / 5.4.9 で対応されています。
PHP で mbstring.encoding_translation=On で hashdos の件、PHP 5.4.9 と同時にリリースされた PHP 5.3.19 でも修正されているので、昨日のエントリを修正しました。 榎本さん情報ありがとうございます。
》 Android OSから見たセキュリティ対策ソフトの制約 (ITmedia, 12/26)
》 Android Security 本 販売開始 (Taosoftware, 12/28)
》 辻伸弘 as セキュリティ・ダークナイト 第8回 攻撃はまるでレーザービーム (@IT, 12/26)
どこにあるどのようなものを守るのかが分からなければ、どれくらい守ることができているのかを把握できず、それに対してかけるべき投資を算出することはおろか、考えることすらできない。
そうならないためにも特に大切なことは、「どこにある何を守るのか」をはっきりと把握することだろう。これがセキュリティ対策の第一歩ともなる。
ハッカー集団が情報機関の顧客リストを暴露、日本の大手企業名も (ITmedia, 12/27)
Stratforの顧客リスト流出は誰の仕業? Anonymous名の声明相次ぐ (ITmedia, 12/28)
antisec teaser 12/25 (Pastebin, 12/25)
Press Release: Stratfor hack NOT Anonymous (Pastebin, 12/25)
On Stratfor (Pastebin, 12/26)
antisec teaser 12/26 (Pastebin, 12/26)
Emergency Christmas Anonymous Press Release (Pastebin, 12/26)
antisec teaser 12/27 (Pastebin, 12/27)
Anonymous Anonymous Claims Anonymous is Not Anonymous (F-Secure blog, 12/27)。 日本語版: AnonymousなAnonymousがAnonymousはAnonymousではないと主張 (エフセキュアブログ, 12/28)
》 警視庁、“振り込め詐欺”の音声ファイルを多数公開……再現と実録の両パターン (RBBToday, 12/28)
》 「2011年を考える」藤波心 (マガジン9, 12/28)
》 楽天 IDの不正利用相次ぐ (NHK, 12/28)。ネクソンの楽天あんしん支払いサービスで、楽天ポイントが勝手に使用されてしまい... (YAHOO! Japan 知恵袋, 12/25) の件。
関連: 楽天あんしん支払いサービス利用者が大量にポイント奪われまくってる件 (ホームページを作る人のネタ帳, 12/28)
》 衝撃の安定ヨウ素剤の服用基準について@被ばく医療分科会の件。 (おしどりマコ・ケンの「脱ってみる?」, 12/16)
そして、次の安定ヨウ素剤に関する課題「投与指標について」で、目が点になるのです。
現状: 小児甲状腺等価線量で100mSv
課題: IAEAのGSG-2(安全基準ガイドライン)やBSS(国際基本安全基準)で示された、「小児甲状腺等価線量で最初の7日間で50mSv」の参考レベルを適用すべきではないか?
え!? そこからしくじってたのね!?
(中略)
つまり、世界では50mSvが安定ヨウ素剤の投与指標になっているところが多い、と。そしてWHOは小児に関しては10mSv。日本は回避線量ではなく、100mSvに予測ということで動くことになるだろう、という判断をしていたのですね。
しかし、実際は予測のSPEEDIは公開されず、生かされなかったわけです。
ひでぇ……。
鈴木先生は「小児に関しては安定ヨウ素剤の副作用は聞いたことがない、なので、副作用を恐れて事前に飲ませないのはおかしい」といったことを度々おっしゃっておられました。
そして副作用についても、
鈴木先生「重篤なものは喘息のような口腔内の粘膜腫脹に伴う喘息発作、アナフィラキシー、これにほとんど限られてくると思います。それは現場に医療者がいるかどうかというよりは、後方搬送の手段をとるか、あるはエピペンのようなある程度非医療者でも使えるようなボスミン皮下注(射)、鎮痛薬か、そういうものを同時に配備するかとか、何かそういうふうなもっと具体的な考え方をとっていく必要があるのかと思います」
とのこと。
つまり副作用を恐れて投与しないのは本末転倒で、服用指標は50mSvに下げて、アレルギー対応をきちんとすればアグレッシブな投与もありでは? というように受け取れました。
副作用副作用言うのは、使わない言い訳キャンペーンだったということか。なんてこった。
》 2012 McAfee Threat Predictions: A look at the latest threats that could affect consumers this coming year (McAfee, 12/27)。 よいお年を!
》 「情報化白書2012」発刊記念シンポジウム in 大阪 (JIPDEC)。2012.02.15、大阪府大阪市、無料。
》 青森・六ケ所村の核燃再処理工場:原燃、試験再開へ 知事、緊急対策を了承 (毎日, 12/27)。大間原発や使用済み核燃料中間貯蔵施設の建設も再開か。 関連:
六ケ所再処理試験 知事が実質承認 (asahi.com, 12/27)
原燃、再処理試験再開を決定 (ashi.com, 12/28)
大間原発安全策を了承 青森県知事 工事再開近づく (北海道新聞, 12/27)
原子力施設 知事、緊急安全策を了承 (読売, 12/27)
青森県知事お墨付き「六ヶ所再処理工場・大間原発・使用済み核燃料中間貯蔵施設」再開へーー各報道の差異まとめ (ざまあみやがれい!, 12/27)
》 エディオンに課徴金40億円命令へ (NHK, 12/28)
》 【号外】辺野古アセス評価書、未明に搬入 県「手続き完了していない」 (琉球新報, 12/28)
》 東日本大震災:伊方原発事故想定、初の広域訓練実施へ 9市町参加で2月16日 /愛媛 (毎日 / Yahoo, 12/17)
》 中央防災会議:国の防災基本計画を改定 津波対策を新設 (毎日, 12/27)。 第29回中央防災会議 (内閣府, 12/27) の「防災基本計画の修正について」の件。 「第2編 地震災害対策編」の第4章 (2ページ) というオマケ的扱いだった津波災害対策を「第3編」として独立させ、予防・応急対策・復興の 3 章で記述。
》 地震調査研究:国が指針見直し決める (毎日, 12/27)。 地震調査研究推進本部 の 地震調査研究推進本部政策委員会 第24回総合部会 における、「新たな地震調査研究の推進について」の見直しに係る検討について の件。地震調査研究推進本部政策委員会 第24回総合部会では各論も示されている。
》 「南海トラフの巨大地震モデル検討会」、中間とりまとめを発表。 東日本大震災の教訓・知見を取り入れ、 「あらゆる可能性を考慮した最大クラスの巨大な地震・津波を想定」することにした。具体的には、従来よりも震源・波源域が広くなり、想定規模も M8.7 から M9.0 と 2.8 倍 (2√2 倍) となった (M9.0 は暫定値、最終報告では変わる可能性あり)。
中間とりまとめ(平成23年12月27日公表) (南海トラフの巨大地震モデル検討会, 12/27)
中間とりまとめのポイント (南海トラフの巨大地震モデル検討会, 12/27)
中間とりまとめ 参考資料集(委員提供資料集) (南海トラフの巨大地震モデル検討会, 12/27)。堆積物や、津波で動いたと言われる巨大な岩、遺跡の液状化跡などを調査し、 過去の巨大津波の痕跡を探る事例あり。
中間とりまとめ 参考資料集(委員提供資料集) (南海トラフの巨大地震モデル検討会, 12/27)
関連報道:
南海トラフ巨大地震 規模M9、震源域2倍に 内閣府が想定引き上げ (産経, 12/27)
南海トラフ:震源域を2倍に拡大 内閣府検討会 (毎日, 12/27)
クローズアップ2011:南海トラフ巨大地震 自治体の対策急務 (毎日, 12/28)。津波の具体的な想定はこれからですが、ダイナミック・オーバーシュートといった、東日本大震災の知見も加わるので、 想定津波波高は倍どころでは済まないかも。
今回、震源・波源域が広がったわけですが、この記事では、もっと先があるんじゃないかという話が紹介されている:
内閣府の検討会が示した南海トラフの巨大地震像は、東海、東南海、南海の3地震に連動する領域として静岡県の富士川河口断層帯と宮崎県沖の日向灘南部などを加えた。しかし、その外側の領域まで連動する可能性を指摘する声もある。
その一つが、南海トラフの南西につながる琉球海溝を震源とする地震との連動だ。 (中略)
南西諸島周辺では、津波で打ち上げられたとみられる津波石の痕跡や、1771年の八重山地震津波などの記録が残る。島が点在する地形のため地震計が少なく、海溝付近の調査も十分には行われてこなかったが、最近の調査で、沖縄本島南方の琉球海溝付近に巨大地震を引き起こすひずみが蓄積されていることが分かってきた。
東でも:
一方、検討会は震源域の東端を富士川河口断層帯とした。その先の断層は「地震発生のメカニズムが異なる」と判断したからだ。ただ、今秋の日本地震学会で、石橋克彦・神戸大名誉教授(地震学)は、日本列島を東西に分ける糸魚川—静岡構造線断層帯(長野、山梨県)との連動を指摘している。専門家の中には「今後議論の対象になるだろう」との声もある。
南海トラフ巨大地震の想定M9、震源域2倍、最悪死者約2万4700人超ーー各報道の差異まとめ (ざまあみやがれい!, 12/27)
WiFi Protected Setup (WPS) (例: NEC Aterm の場合) の PIN 方式は、実は力まかせの攻撃 (brute force attack) に弱いという話。PIN は数字 8 つなので 8 桁分 (10^8) の強度があるかと思いきや、WPS の仕様上の欠陥のため、実は数字 4 桁 + 3 桁分 (10^4 + 10^3 = 11,000) の強度しかない模様。複数回失敗時でもアクセス制限をかけない無線 LAN ルータの場合は、攻撃はさらに容易となる。
回避するには、WPS を無効にする、ということで。関連:
Most Wi-Fi routers susceptible to hacking through security feature (Sophos, 2011.12.30)
Wi-Fi Protected Setup (WPS) PIN Brute Force Vulnerability (SANS ISC, 2011.12.30)
To sum up, millions of devices worldwide might be affected and it will take months (or years - think on WEP) to fix or mitigate this vulnerability... so meanwhile, it is time to start a global security awareness campaign:
Disable WPS!!
攻略プログラム登場。
Could hackers break into your Wi-Fi wireless router? (ESET Threat Blog, 2011.12.30)
reaver-wps。 最新は v1.2。
JVNVU#723755: Wi-Fi Protected Setup に脆弱性 (JVN, 2012.01.04)。日本の各社の情報がある……かと思いきや、何もない。
reaver-wpsでWPAのキーをクラックしてみたよ (bogus press, 2012.01.07)。NEC Aterm WR4100N での WPS クラック事例。
》 「日本の警察は信頼低い?」龍谷大の研究グループが発表 (産経 MSN, 12/27)
》 Facebookに対する欧州当局の監査結果はシロ。それでもプライバシー改善を推進 (techcrunch, 12/22)
》 ポルノ用.xxxドメインをめぐってバチカンが憤慨?「第三者がVatican.xxxを買った」—しかし多分勘違い (techcrunch, 12/22)
》 農水省 家畜伝染病の警戒強化 (NHK「かぶん」ブログ, 12/27)
》 FTC、顔認識技術とその使用に関して意見公募を開始 (日経 IT Pro, 12/27)
》 「標的型攻撃は社内サーバーを狙う」——内閣官房が注意喚起 (日経 IT Pro, 12/27)、 冬休みスペシャル: 猛威をふるった「標的型攻撃」 (日経 IT Pro, 12/27)
》 時論公論 「八ッ場ダム『事業を継続』 検証は十分か」 (NHK 解説委員室, 12/22)
私が問題だと思うのは、2年もかけた検証で、ダム反対派の専門家たちの指摘をきちんと受け止めて議論を深めることがまったくなかった点です。公聴会やパブリックコメントという意見表明の機会はありましたが、いわば「お聞きしました」という形式的なものだったと言わざるを得ません。
》 時論公論 「原発事故収束宣言 今後の課題」 (NHK 解説委員室, 12/16)。水野“みずのん”倫之 解説委員。
確かに事故直後の危険な状態は脱出し、放射性物質が大量に放出される恐れはなくなってきているように見えるが、原発が完全に安全になったわけではなく、事故は収束したという言い方には疑問を感じざるを得ない。
今、一番知りたいのは溶けた燃料や冷却水の温度。
しかし1号機では、燃料の大部分が格納容器にまで落下して、原子炉にはほとんど残っていない可能性が高い。この状態で、原子炉の底の温度にどれほどの意味があるか。
本来ならば格納容器の底の温度で判断すべき、ここには温度計がない。
関連:
「冷温停止」 最後の合同会見で世紀の大ウソ (田中龍作ジャーナル, 12/17)
細野大臣は「合同本部の記者会見打ち切り」の理由として「マスコミの皆さんから『そろそろ止めてもいいんじゃないか』という意見が出た」と答えた。「マスコミとは誰か?新聞かテレビか、それとも記者クラブか?」と追及されると「メディアの人たちとの信頼関係があるから言えない」。語るに落ちた、とはこのことだ。合同本部記者会見の打ち切りは、記者クラブが提案したのである。フリーランスが「記者会見を止めてもいいんじゃないか」などと提案するはずがないからだ。第一フリーをマスコミとは言うまい。
あいかわらずの癒着ぶり。結局、何も変わってない。
「合同記者会見の打ち切り発表」には頭がチルドしそうになったが、その後、怒りで体中の血が沸騰する出来事があった。会見開始から1時間15分後のことだった。細野大臣が途中退席すると、西澤俊夫社長までスタスタと会見場を出て行ったのである。
『ふざけるな』という怒りが筆者の胸にこみ上げた。「どうして西澤社長まで退席するんですか?」と声を挙げた。場内は騒然となった。フリーランスが中心になって西澤社長の無責任さを追及したのである。「最高責任者が先に帰るとは何ごとか」と。西澤社長の行動は原発事故に対する東電の姿勢を象徴していた。
東電もあいかわらず。結局、何も変わってない。
「なぜ収束」課題山積 除染手つかず 住民ため息 (福島民報, 12/17)
冷温停止宣言:海外メディアは厳しい見方 (毎日, 12/17)。一方、日本メディアは上記のとおり。
東電社長、予告なくスルリ会見退席 記者「バカにしているのか!」 (産経 MSN, 12/16)
福島第1冷温停止宣言 再生実感程遠く、住民に諦め (河北新報, 12/17)
》 ウィキリークス、いまだ死なず —2011年末時点での概観 (小林恭子の英国メディア・ウオッチ, 12/27)
》 大阪府における教育基本条例案に対する会長声明 (日弁連, 12/27)
》 日本国内でのストリートビュー撮影車による WiFi データ誤収集について (Google Blog, 12/22)、 oogle、無線LAN通信の傍受問題を謝罪 (ITmedia, 12/22)
》 インドネシアは世界第3のCO2排出国か (IDE-Jetro, 12/15)。
2010年8月、2年前にユドヨノ大統領が組織した閣僚・官僚・有識者から成る気候変動国家評議会(議長は大統領)は、調査研究の末、インドネシアは世界第3の温室効果ガス排出国である、と自ら認める報告書(注1)を発表したのである。
報告書によれば、インドネシアが排出する温室効果ガスは2005年にCO2換算で21億トンであった(図1)。 (中略)
しかし、と報告書が強調するのは、ここからである。それほどコストのかからない5つの対策を適切に講じれば、ガス排出量は2030年に19億トン減らせるという。その対策とは、(1) 森林伐採の抑制、(2) 泥炭地の火災防止、(3) 泥炭地の改良、(4) 持続可能な森林管理、(5) 劣化森林の再生である。
》 ASEAN交通分野協力を巡る最近の情勢:第17回ASEAN交通大臣会合を踏まえて (IDE-Jetro, 12/27)
MPACでは15件の優先プロジェクトが合意されているが、そのうち、交通分野に関するものが、と、4件含まれている。また、ASEAN単一航空市場(ASEAN Single Aviation Market: ASAM)、ASEAN単一海運市場(ASEAN Single Shipping Market: ASSM)なども重要戦略に位置づけられており、交通分野の協力はASEAN共同体構築の鍵となっていることが分かる。
- ASEANハイウェイ・ネットワーク未接続区間の完成およびトランジット輸送ルートの改善
- シンガポール・昆明鉄道の未接続区間の完成
- RoRoネットワークおよび短距離海運に関する調査
- 交通円滑化協定の運用開始
》 「警戒区域及び計画的避難区域内での大規模火災の影響評価に関する調査」の原子力災害現地対策本部への中間報告について (原子力安全基盤機構, 12/23)
》 原子力施設運転管理年報 平成23年版(平成22年度実績) (原子力安全基盤機構, 12/26)。平成24年版(平成23年度実績)が楽しみだな。
》 速報!ストーカー容疑の統一協会信者に執行猶予付き有罪判決! (やや日刊カルト新聞, 12/27)
》 サイエントロジー関連団体世話役が講演予定の慶応大薬学フォーラムが中止に (やや日刊カルト新聞, 12/21)
サイエントロジー教会関連団体の”市民の人権擁護の会”日本支部世話役の小倉謙氏(42)が登壇し講演をすることになっていた。
》 [動画]幸福の科学学園問題で住民が建築確認取消を請求&記者会見 (やや日刊カルト新聞, 12/12)、 幸福の科学学園問題で住民8331人が建築確認取消を請求 (やや日刊カルト新聞, 12/12)
「建築確認取消の審査請求は全国で行われており、たとえば京都で3000人規模で行われたケースもある。しかし8000人規模というのは、我々が知るかぎり過去に例がない。全国初と言って差し支えない」(飯田昭弁護士)
大津市においては、建築確認取消の審査請求自体が初めてとのことです。
》 幸福の科学に北朝鮮・金正恩(霊)が降臨!! 父親殺しを告白 (やや日刊カルト新聞, 12/23)
》 時論公論 「日韓 競争と共存の時代」 (NHK 解説委員室, 12/15)
》 ここに注目! 「ロシア WTO加盟へ」 (NHK 解説委員室, 12/16)、 WTO、露の加盟を承認 交渉18年「最後の主要国」 (産経 MSN, 12/17)
》 ピックアップ@アジア 「2011年 激動の中東」 (NHK 解説委員室, 12/22)
関連:
時論公論 「制裁強化 イラン核問題の行方」 (NHK 解説委員室, 12/20)
アラブ世界の民衆蜂起とアサド体制 ─その国際的・国内的条件─ (IDE-Jetro, 12/13)
チュニジア暫定内閣が発足…イスラム政党主体 (読売, 12/25)
イラン ホルムズ海峡で軍事演習 (NHK, 12/25)、イラン海軍の大軍事演習 (イランラジオ, 12/25)。軍事演習「ヴェラーヤト90」だそうで。
ロシア情報機関のシリア政府への警報 (中東の窓, 12/27)
ハマスの再評価に関するイスラエル紙ネットの意見 (中東の窓, 12/27)
》 2011年に最も読まれた記事は「Carrier IQ」 INTERNET Watc年間アクセスランキング (Internet Watch, 12/27)、 2011年アクセスランキング発表! [セキュリティ]スマートフォン関連がトップ3を独占 (日経 IT Pro, 12/27)
》 やじうまWatchで振り返る2011年 (Internet Watch, 12/27)
》 ナイジェリアでの爆破テロを非難:事務総長 (国連情報誌SUNブログ対応版, 12/26)
》 ホリデー シーズンに Web を安全に利用するための 5 つのヒント (Internet Explorer ブログ (日本語版), 12/27)
》 ホリデー シーズンのプライバシー強化 (Internet Explorer ブログ (日本語版), 12/27)。「他人のコンピューターを使用する場合は、InPrivate ブラウズ モードを使用する」
》 ネクソンの楽天あんしん支払いサービスで、楽天ポイントが勝手に使用されてしまい... (YAHOO! Japan 知恵袋, 12/25)、 ポイントチャージ決裁方法: 楽天あんしん支払いサービス (NEXON)、 ネクソン、「楽天あんしん支払いサービス」導入 (ascii.jp, 12/22)。 つまりは、楽天のアカウント取られてます、ということだよなあ。tanaka さん情報ありがとうございます。
》 不正アクセス防止対策に関する官民意見集約委員会(官民ボード) (警察庁)。第3回会合の資料が掲載されたみたい。
それにしても、不正アクセス防止対策って何。 「不正アクセス防止策」か「不正アクセス防止・対策」とすべきなのでは。 「不正アクセス防止/対策」の方がいいかな。
》 【お詫び】spモード不具合に伴うお客様への影響と今後の対応について (NTT ドコモ, 12/27 更新)。影響を受けた人数が確定した模様。
(1)メールアドレスが別のメールアドレスに置き換えられたお客様(A) : 6,878人
※上記のうち、メール送受信を行なっておらず、メールアドレスの置き換えのみであったお客様: 4,097人
(2)お客様(A)から受信したメールの送信者欄に別のメールアドレスが表示されたお客様(B) : 2,909人
(3)お客様(A)のメールアドレスに置き換えられたお客様(C) : 6,894人
※上記のうち、メール受信等を行なっておらず、メールアドレスの置き換えのみであったお客様 : 4,110人
(4)お客様(C)が圏外や電源断などでメールを受信できない間に、お客様(C)宛に送信したメールの一部を、お客様(A)に受信されたお客様(D) : 2,017人
》 「ネットワーク基盤高度化対策本部」の設置 (NTT ドコモ, 12/26)。sp モードの件。
体制
本部長 : 代表取締役社長 山田 りゅうじ
副本部長 : 代表取締役副社長 つじむら 清行
メンバー : 取締役常務執行役員以上、および各関連組織長
(合計 : 38名)
外部の人は入れなくていいんですかねえ。
》 取材後記・原発メルトダウン (山崎淑行記者) (NHK「かぶん」ブログ, 12/27)。真摯な番組づくりが窺える。
今回、取材の過程で私自身が感じたのは「最悪を想定しないことの罪深さ」です。
「直流バッテリーを失うことはない」という日本の前提が、全電源喪失では使えないマニュアルとなり、安全装置の弁の挙動に誰も意識が向かない結果につながります。(中略) 「原発は安全です」との触れ込みで原発導入をした日本では「事故が起きる可能性はあります」という、ある意味当然なことを誰も言い出せなくなっていきました。結局、バッテリーを含めた「全電源喪失」の想定は日本ではタブー視されてきたのです。
問い合わせを多くいただいたのは「津波ではなく地震の揺れによる建屋などへの影響はどうだったのか?」というご質問です。その可能性については4月のニュースで伝えたところですが、まだ白黒をつけるだけの情報が集まっていないのが正直なところです。東電と国がこれまでに公表した機械の動作記録や冷却水の流量変化といった膨大な数字とデータ、そして発電所で対応にあたった複数の幹部の証言からは、津波が来るまでは通常決められた冷却操作ができていたようです。もし地震の揺れで一気に大量の水が原子炉から無くなったなら、制御室での操作にも影響を与えます。しかし一方で、小さなズレや隙間が発生し、それが起因となって津波後に思わぬ影響を及ぼしていた恐れは未だ否定できないと私は考えています。最終的には線量の高い配管などを直接調査する必要があり、断定には時間がかかりそうですが、引き続き取材を続けます。
》 電源促進交付金、予算案見送りへ 敦賀原発増設見通せず (福井新聞, 12/23)、 電源促進公金見送り、財政に影響 7市町76億“前借り” (福井新聞, 12/23)。敦賀原発 3、4 号機の件。全ては金のため。
》 大垣本を読んで「バリデーションはセキュリティ対策」について検討した (ockeghem(徳丸浩)の日記, 12/26)
》 アムネスティ・インターナショナルの英国サイトにJavaエクスプロイト (エフセキュアブログ, 12/23)。www.amnesty.org.uk、今は直っているのかな。
》 Androidマーケットの詐欺アプリ (エフセキュアブログ, 12/23)
》 ウイルスバスター モバイル for Androidでオンラインユーザ登録が行えない現象について (トレンドマイクロ, 12/27)。対応作業中だそうで。
》 性犯罪被害者の情報、ネット上に 担当弁護士のミスか (asahi.com, 12/26)
被告の弁護人を務めた弁護士が大手検索サイトの掲示板を使った際、「非公開」に設定すべきところを誤って誰でも見られる状態にしていた可能性が高いとみられる。
関連: 弁護士の情報漏えい事件 (壇弁護士の事務室, 12/26)
》 武器輸出三原則:政府、緩和を決定 国際共同開発参加など (毎日, 12/27)。ようやく来ましたね。
包括的な例外措置として、(1)平和貢献・国際協力に伴う装備品の海外移転(他国への供与)(2)日本と安全保障協力がある国との国際共同開発・生産——を可能とする。
(1) は、たとえばインドネシアへの巡視船艇3隻供与みたいな話かな。ソマリア方面でも同様な取り組みが必要だろうし。
》 東京電力福島原子力発電所における事故調査・検証委員会 中間報告 (東京電力福島原子力発電所における事故調査・検証委員会, 12/26)。畑村委員会の中間報告。元旦のお共に。
当委員会では、今回中間報告をとりまとめたところですが、平成24年夏頃を目途に最終報告をまとめる予定としております。
国民の皆様から中間報告の調査内容、調査結果等について、ご意見・感想を頂き、今後の最終報告に向けた検討、活動に活かしていきたいと考えております。
このため、平成24年1月末までを集中募集期間として、下記メールアドレスにてご意見を募集しております。
関連:
原発事故 謎は解明されたの (NHK スペシャル, 12/27 放送予定)
記者の目:福島原発事故検証委が中間報告=奥山智己 (毎日, 12/29)
》 福島第一「最悪シナリオ」。3/25 提出。
福島第1原発:「最悪シナリオ」原子力委員長が3月に作成 (毎日, 12/24)
最悪シナリオは、1〜3号機のいずれかでさらに水素爆発が起き原発内の放射線量が上昇。余震も続いて冷却作業が長期間できなくなり、4号機プールの核燃料が全て溶融したと仮定した。原発から半径170キロ圏内で、土壌中の放射性セシウムが1平方メートルあたり148万ベクレル以上というチェルノブイリ事故の強制移住基準に達すると試算。東京都のほぼ全域や横浜市まで含めた同250キロの範囲が、避難が必要な程度に汚染されると推定した。
福島第1原発:「最悪シナリオ」…防災指針、再考が必要 (毎日, 12/24)
》 PDF Malware Protected by AES-256 (Symantec, 12/23)。 邦訳版: AES-256 で保護された PDF マルウェア (シマンテック, 12/26)
》 平成23年版犯罪白書 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/24)
最初に目を引いたのは、平成14年に369万3928件にまで達した刑法犯の認知件数が、その後、減少に転じて、平成22年には227万1309件にまで減少してきていることでしょう。
》 内閣官房 標的型攻撃対策としての適切な管理者権限管理について (まるちゃんの情報セキュリティ気まぐれ日記, 12/23)
》 ルワンダの新しい国づくり、「ジェノサイドの悲劇」から「アフリカの奇跡」へ (gigazine, 12/25)
Amebaユーザー5万人分が不正アクセスで強制退会、スタッフブログに5400件以上のコメント殺到 (gigazine, 12/25)
※追記あり 一部、退会状態になる(ログイン出来ない)トラブルについての復旧完了のお知らせ (アメーバスタッフ スタッフブログ, 12/26)
【お知らせ】AmebaIDが退会状態になるトラブルに関する対応 (アメーバピグ スタッフブログ, 12/26)
》 Anonymous、米民間調査機関 Stratfor に侵入か
Merry LulzXmas (imagebin)。nice boat.
ハッカー集団「アノニマス」、米調査機関を攻撃—窃盗金をXマス寄付 (ウォール・ストリート・ジャーナル日本版, 12/26)
動画投稿サイト「ユーチューブ」に掲載されたストラトフォーの会社概要によると、同社は米テキサス州オースチンを本拠地とし、リスク管理を目的とした政治・経済・軍事情報の分析を行っている。ウェブや電子メール、動画を介して会員に有料でリポートや分析データを配信している。
米調査機関ストラトフォーのサイトに攻撃、顧客リスト流出 (CNN, 12/26)
About Anonymous, Donations and Charities (F-Secure blog, 12/26)。 邦訳版: 「Anonymous」、寄付および慈善団体について (エフセキュアブログ, 12/26)
ストラトフォー (ウィキペディア)
【重要】地政学コンサルタント、ストラトフォアのジョージ・フリードマンがエジプト情勢について『バロンズ』のインタビューに応える (MarketHack, 2/6)
》 低線量被ばく 揺らぐ国際基準(仮) (NHK 追跡! 真相ファイル, 12/28 放送予定)。 これはチェックしておかないと。
関係者に取材を進めると、1980年代後半、ICRPが「政治的な判断」で、被ばくでガンになるリスクを実際の半分に減らしていた事実が浮かびあがってきた。
アメリカでは原発から流れ出た微量の放射性トリチウムが地下水を汚染し、周辺地域でガンが急増。
25年前のチェルノブイリ原発事故で、大量の放射性セシウムが降り注いだスウェーデンでは、ICRP基準を大きく上回るガンのリスクが報告されている。
福島第二原発、緊急事態宣言解除へ (読売, 12/22)
経済産業省原子力安全・保安院は22日、東京電力福島第二原子力発電所に対する原子力緊急事態宣言の解除に向け、「災害拡大防止を図る応急対策の必要がなくなった」とする評価報告書を内閣府原子力安全委員会に提出した。
安全委が近く評価の妥当性を判断し、26日にも野田首相が解除宣言を行う見通し。
福島第2原発の緊急事態を解除 政府、9カ月半ぶり (河北新報, 12/26)
》 「『脇役』たちがつないだ震災医療」を読んで (JANJAN blog, 12/22)
》 SPEEDI データ提供先を拡大 (NHK「かぶん」ブログ, 12/24)、SPEEDI、岐阜と滋賀にも導入へ (中日, 12/25)。岐阜、滋賀、富山、福岡、山口。
》 原発 異例の状態で本格的な冬 (NHK, 12/25)。もうすぐ全停止。
》 【要塞勝俣屋敷】 テルアビブの米国大使館よりも堅牢 (JANJAN blog, 12/25)、 報告:東電解散!!リアリティツアー2011「会長・勝俣さんちにお手紙を届けよう」 (レイバーネット, 12/25)。BGM「いぬのおまわりさん」
》 CentOSが早くも「CentOS 6.2」を公開 (sourceforge.jp, 12/22)。RHEL に追いついた。
》 最近のマルウェア感染の痕跡 - 画像ファイルへの偽装 (エフセキュアブログ, 12/26)
》 九電社長、3月末までに辞任へ 会見で表明 (asahi.com, 12/26)。真部利応社長(66)。
自らの進退について「問題の解決の道筋について見極めた後に引き継ぎとなる。それは1カ月、2カ月でできると思う」と述べた。
天下り先の道筋についても見極めた後に引き継ぎとなるのかな。
》 VSE8.7i Patch 5, VSE8.8 Patch1 あるいは HIP 8.0 Patch1 と DLPE 9.1/9.2が動作している場合、断続的なBugchecks(ブルースクリーン)エラーが発生する可能性があります (マカフィー, 12/21)
DLPE 9.1/9.2 が 動作しているシステム上へ VSE または HIP をインストールされる場合、下記のバージョンへはアップグレードしないでください。
VSE 8.7i Patch 5
VSE 8.8 Patch 1
Host IPS 8.0 Patch 1
》 ハッカー集団Anonymousが米大手シンクタンクを攻撃、個人情報流出 (日経 IT Pro, 12/26)。Stratfor の件。nice boat.
》 国民生活センター、放射線測定器5製品を追加試験〜ロシア、ウクライナなどの製品をテスト (家電 Watch, 12/26)
》 そこが知りたい家電の新技術 開発者に聞く、ニッケル水素電池「eneloop」がやっぱりスゴい理由 (家電 Watch, 12/26)
》 世界最大のレジストラGo Daddyが大炎上、SOPA支持表明で (GEEK なぺーじ, 12/26)。BGM「燃えろよ燃えろ」。
Twitterを見る限り、現時点でもGo Daddyへの批判は続いていますが、こういうときに「狙いやすいところに批判が行く」というのは万国共通なのかも知れないと今回の炎上を見て思いました。
》 ロシア、また衛星打ち上げ失敗 「宇宙大国」に暗雲 (asahi.com, 12/24)。さすがに続きすぎ。
》 踏みにじられた未来 御殿場事件、親と子の10年闘争 (幻冬舎, 12/26 発売)。 関連: 御殿場事件。疑わしきは罰する、の典型だなあ。
》 韓国行きパトリオットミサイル69発、フィンランドの港で抑留 (中央日報, 12/23)。貨物船 Thor Liberty の件。
船内にあったミサイルは、ドイツ政府から韓国国防部が購入した米国製の中古パトリオットミサイル。国防部の関係者は「その間、ドイツに配置していたパトリオットミサイルの一部を輸入して、国内で使用してきた」と説明した。 (中略)
事態が広がると、韓国防衛事業庁とドイツ政府が急いで収拾に乗り出した。ドイツ政府は「23日にフィンランドへコンテナを送り、爆薬を包装し直す」と明らかにした。包装作業が支障なく進む場合、この貨物船は26日にフィンランドを出発する計画だ。
》 【記者の7つ道具】生存戦略とはなんだったのか (ITmedia, 12/24)。なんだったんでしょうね。
S1500をさまざまな紙文書の電子化に活用しており、特に「自炊」には必須。(中略)
正直言うと本を踏むのもためらう性格だったため、愛書にカッターを入れるのはなかなか勇気のいることだった。だが保存状態の悪さからしみや黄ばみが生じて古書特有の臭いもする漫画本が、スキャン後にiPadで見ると新品のように読めるのは爽快だ。ある種のデジタルリマスターのようなものであり、段ボール箱にしまいっぱなしの本に再び息を吹き込むものとして、今は積極的に取り組んでいる。
岩崎夏海さんはわかりましたか。
》 真.女神転生IMAGINE を騙るフィッシング(2011/12/26) (フィッシング対策協議会, 12/26)。 これか: サイト megatenonline.com.zh-acf.in の調査結果 (aguse.jp)
5 つ出ました。いずれも patch あり。
FreeBSD-SA-11:06.bind - Remote packet Denial of Service against named(8) server (FreeBSD.org, 2011.12.25)。BIND 9 Resolver crashes after logging an error in query.c の件。CVE-2011-4313
FreeBSD-SA-11:07.chroot - Code execution via chrooted ftpd (FreeBSD.org, 2011.12.25)。chroot() した環境で nsdispatch() すると変なことになっていた模様。
FreeBSD-SA-11:08.telnetd - telnetd code execution vulnerability (FreeBSD.org, 2011.12.25)。 FreeBSD の TELNET 実装は暗号化に対応しているが、telnetd において暗号鍵の長さを検証していないため、remote から任意のコードを実行される恐れがある。 CVE-2011-4862
FreeBSD-SA-11:09.pam_ssh - pam_ssh improperly grants access when user account has unencrypted SSH private keys (FreeBSD.org, 2011.12.25)。 pam_ssh は nullok を指定しないとパスフレーズなしの接続を許可しないはずなのだが、 暗号化されていない SSH プライベート鍵が使われている場合、 ダミーのパスフレーズを使って接続できてしまう。
FreeBSD-SA-11:10.pam - pam_start() does not validate service names (FreeBSD.org, 2011.12.25)。openpam trickery (C-skills, 2011.11.08) の件。CVE-2011-4122
Telnetd encrypt_keyid: Remote Root function pointer overwrite (exploit-db, 2011.12.26)
関連:
Fun with BSD-derived Telnet Daemons (Metasploit blog, 2011.12.27)
More Fun with BSD-derived Telnet Daemons (Metasploit blog, 2011.12.28)
Metasploit Updated: Telnet Exploits, MSF Lab, and More (Metasploit blog, 2011.12.28)
複数ベンダのtelnetdのlibtelnet/encrypt.cにおける任意のコードを実行可能な脆弱性(CVE-2011-4862)に関する検証レポート (NTTデータ先端技術, 2012.01.17)。FreeBSD 8.2 および Debian 6.0.2 で検証。
telnetd 関連:
Cisco IronPort Appliances Telnet Remote Code Execution Vulnerability (Cisco, 2012.01.26)。Cisco IronPort ESA / SMA は FreeBSD ベースなのだそうで。
MITKRB5-SA-2011-008 (MIT, 2011.12.26)。MIT krb5 1.8 未満 / krb5-appl-1.0.3 未満に影響。krb5-appl-1.0.3 で修正されている。
2012-01-10 - telnet vulnerability client and server (Heimdal, 2012.01.10)。 patch は https://github.com/heimdal/heimdal から入手するしかないのかなあ。 https://github.com/heimdal/heimdal/commit/931cb52294961d191971fd25f0411af3c7e56a00
New Vulnerability in Windows 7 64 bit (SANS ISC, 2011.12.21) の件の関連:
[Update] Windows 7 (64-Bi-Version) & Apple Safari: Details zur Schwachstelle (Chief Security Advisor Blog - Deutschland - Michael, 2011.12.23)。 ドイツ語で書かれている。Google 翻訳で英語に変換
LaserJet 用の更新版ファームウェア出ました: HP LaserJet Firmware Update Now Available (HP, 2011.12.23)
》 佐藤秀峰さんの本やマンガへの考え方について (岩崎夏海 / BLOGOS, 12/25)。うへぇ。
関連: ハックル野郎こと岩崎夏海氏がフルスロットルで電波放出中 (やまもといちろうBLOG, 10/20)。げぇ。
》 ※追記あり AmebaIDが退会状態になる(ログイン出来ない)トラブルに関しまして (ameblo.jp, 12/25)
昨日12月24日(土)21時31分に、第三者による不正アクセスを受け、 一部ご利用のみなさまのAmebaIDが退会状態(※)になる状況が発生しております。
アメーバのページにはなぜか人数が記載されていないのだが、 アメーバに不正アクセス 5万人退会状態になるトラブル (asahi.com, 12/25) によると 5 万人だそうで。
》 シリーズ 大震災発掘 第2回 巨大津波 新たなる脅威 (NHK ETV 特集, 12/25)。津波の痕跡を探す研究者達と、その成果の紹介。 関連:
岡村土研。 高知大学・岡村眞研究室のページ。
平川 一臣 (北海道大学)。平川特任教授のページ。
北海道十勝沖・根室沖連動の件は「500年間隔地震」と呼ばれているようです。
巨大地震、北海道東方沖が要注意 (日経サイエンス, 12/23)。日経サイエンス2012年2月号に詳細があるそうで。
焼尻に大津波の痕跡 北大の平川教授が調査【羽幌、初山別】 (北海道ニュースリンク, 10/11)
日本海溝・千島海溝周辺海溝型地震に関する 専門調査会(第10回) (中央防災会議, 2005.06.22)。 500年間隔地震、 500年間隔地震について
500年間隔地震「切迫」 沈降続く海岸 (十勝毎日新聞, 8/8)
海岸の段丘には3月の東日本大震災や十勝沖地震(1952年、2003年など)の津波の痕跡はなく、それらを上回る過去の大津波の痕だけが見られた。今回の観察会でも晩成の海岸から約100メートル内陸の標高12メートル地点で17世紀初頭の津波などの痕跡を確認した。平川教授は「これまで経験した十勝沖地震の津波などをはるかに超える巨大津波で、十勝沖で地震が発生した場合には約15分で内陸数キロまで津波が来襲する。高齢者や子供が地震発生直後に徒歩で避難する場合、約1キロが限界。家の近くに避難ビルなどの設置が急務だ」とした。
発見相次ぐ巨大津波の痕跡〜日経サイエンス2011年11月号より (きょうの日経サイエンス, 10/1)。詳細は日経サイエンス2011年11月号に載っているらしい。
内閣府は8月28日,南海トラフ沿いで発生が想定される東海・東南海・南海の3連動地震について検討する「南海トラフの巨大地震モデル検討会」(座長・阿部勝征東京大学名誉教授)の初会合を開いた。(中略) この検討会では16人の委員の中に「津波堆積物」の専門家3人が参加した。北海道大学の平川一臣特任教授(名誉教授)と高知大学の岡村真教授,そして産業技術総合研究所活断層・地震研究センターの岡村行信センター長だ。
南海トラフの巨大地震モデル検討会 (内閣府 防災部門)
》 地殻のひずみ解消、3割だけ 房総南方沖、M8地震でも (asahi.com, 12/16)
》 「鳥インフル論文、テロ悪用も」 米研究所が非公表勧告 (asahi.com, 12/21)
》 NICTの公開NTPサービス、ほぼ連日障害発生 (slashdot.jp, 12/23)。あらら。
》 PSNのクラスアクション放棄条項に対してクラスアクションが提起される (slashdot.jp, 12/23)。PSN、あいかわず話題にはこと欠かきませんね……。
》 カタログハウスのCMはなぜ拒否されたのか (videonews.com, 12/24)
》 Winny開発者・金子 勇氏、担当弁護士 壇 俊光氏に聞く 逮捕から8年、やっと“一歩前進”——「Winny」無罪確定で (ascii.jp, 12/23)
》 “ライブ映像”が生む新ビジネス (TV 東京 WBS, 12/15)。後半、遠隔監視ねた。
》 九電・玄海原発でまた隠蔽発覚。保安院も公表遅れか。——4号機、配管溶接を検査せず記録も改ざん。 (ざまあみやがれい, 12/23)
ストールマン、オープンソースの流行に複雑な心境 Linuxには一定の評価 (ZDNet, 12/21)
ストールマン、現代の電子書籍に抗議 企業が規定した読書体験しか得られない (ZDNet, 12/22)
ストールマン、著作権のあるべき姿を提案--「Facebookに私の写真を公開しないで」とも (ZDNet, 12/24)
》 京都府警:ネット犯罪への注意を呼びかける漫画製作 (毎日, 12/24)、 防犯マニュアル「マンガで学ぶサイバー空間の落とし穴」 (京都府警)
》 放射線と原子力発電所事故についてのできるだけ短くてわかりやすくて正確な解説 (学習院大学 田崎晴明)。とても誠実でていねいな文章。
敦賀市議会が原発推進意見書可決 もんじゅ研究継続など (福井新聞, 12/22)。全ては金のため。
敦賀原発 建設開始見送る方針 (NHK, 12/22)。2012.03 に建設開始予定の 3 号機、4 号機の件。
敦賀原発2号機 1次評価週明け提出方針 福井 (産経 MSN, 12/22)
敦賀原発:1号機ぼや 電気ケーブル誤接続が原因 /福井 (毎日, 12/20)
【敦賀】原子力交付金、若挟町1.5億円減 (読売, 12/14)
》 アラブの春の発端から1年(個人的感想) (中東の窓, 12/18)
》 「GALAXY NEXUS SC-04D」バージョンアップ
「GALAXY NEXUS SC-04D」バージョンアップ、緊急地震速報に対応 (ITmedia / Yahoo, 12/21)
「GALAXY NEXUS SC-04D」機能バージョンアップ一時中断のお知らせ (NTT ドコモ, 12/21)
》 記者の目:福島第1原発の「収束宣言」=中西拓司 (毎日, 12/22)
》 金正日氏死去に便乗したスパムメールを確認。脆弱性の悪用も (トレンドマイクロ セキュリティ blog, 12/21)
》 初公開! 玄海原発事故SPEEDI、1時間で有明海・佐賀市・福岡市汚染の可能性 (グリーンピース, 12/22)。こういうのは、全ての原発について公開すべきだよね。
》 Android 上のトロイの木馬が革命のメッセージを広める (シマンテック, 12/20)
》 No-privilege Android remote shell demonstrated by researcher (H Online, 12/21)
》 Twitter releases TextSecure as open source (H Online, 12/21)
》 4割はAdobe Reader未更新、2割は対策ソフトなし——危険な実態が判明 (日経 IT Pro, 12/21)、 「2011年度 情報セキュリティの脅威に対する意識調査」報告書について (IPA, 12/20)
》 オホーツク海域でロシアのガスプロム系プラットフォームが遭難 (JANJAN blog, 12/18)
》 APT攻撃から企業システムを守れ セキュリティ製品が相次ぎ日本上陸 (日経 IT Pro, 12/22)、 「アプリの安全はアプリ層で守れ」、F5がITセキュリティを説明 (日経 IT Pro, 12/21)
偽物のブラウザ拡張をインストールさせて「Facebook」アカウントを乗っ取る詐欺が横行 「アカウントが乗っ取られてスパムの踏み台に」——セキュリティ研究者が注意を呼びかけ (ComputerWorld.jp, 12/22)
Facebookのタイムラインにトラブルの噂 (エフセキュアブログ, 12/20)
FacebookとTwitterでChatSendスパム・キャンペーン (エフセキュアブログ, 12/21)
》 Installing Metasploit Community Edition on BackTrack 5 (Rapid7, 12/19)
》 上杉隆「3.11から少なくとも5日間以上の、マスコミが政府と一体となって何をやったかというメモが私の手元に。それを全部明かします」12/21(5) (ざまあみやがれい!, 12/22)。上杉リークス、 週刊ポストで開始。
細野原発事故担当相ご乱心 「福島を日本で最もガン発生の少ない県にする」 (田中龍作ジャーナル, 12/20)
【検証】細野大臣は「低線量被曝WG」の御用学者らに寄ってたかって洗脳された (田中龍作ジャーナル, 12/21)
》 sutegoma2 JNSA賞受賞 (てっじーの丸出し, 12/21)。おめでとうございます。
ウィニー開発者、無罪確定へ 最高裁「著作権侵害、容認せず」 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/21)
結論としては無罪となり妥当なものにはなりましたが、その理論構成を見ると、大阪高裁判決よりは後退し、中立的行為に関する幇助犯の成立に適切な絞りをかけ切れず、ソフト公開、提供といった行為については今後も萎縮的効果が生じる恐れが残る面があり、めでたさも中位、という印象を受けるものがあります。
伝説が終わり、歴史が始まる。 (壇弁護士の事務室, 12/22)
最後に、これから日本でチャレンジしていく技術者に向けて一言だけ。
「この日本で、世界中が驚くような突き抜けたものを作ってみろ、逮捕されるぐらい凄いものを発表してみろ。それで、捕まったときは壇を呼べ。」
あ、貯金も忘れずにね。
【備忘Log】 Winny無罪判決を受けての知財・法律系クラスタの反応 (togetter)
社説:ウィニー無罪確定 勇み足の捜査だった (毎日, 12/22)
Winny等規制法(改)「電磁的記録自動複製流通の適正化に関する法律(私案)」 (高木浩光@自宅の日記, 12/21)
》 サイバーセキュリティ注意喚起サービス「icat」の公開 (IPA, 12/21 更新)。@ICATalerts ができました。
》 講演会「2011年7月22日のテロでノルウェーの刑事政策は変わるのか〜犯罪者の更生と社会安全〜」 (弁護士落合洋司 (東京弁護士会) の「日々是好日」, 12/20)
》 南スーダンの食糧不足で250万人が飢餓状態に (国連情報誌SUNブログ対応版, 12/16)
第三者委員会 委員メンバー選任のお知らせ (ミログ, 10/18)
橋田浩一博士(就任予定)
産業技術総合研究所 社会知能技術研究ラボ 研究ラボ長
自然言語処理、人工知能、認知科学、セマンティックコンピューティングなどを専門とする。言語処理学会会長、日本ソフトウェア科学会副理事長、情報処理学会理事。
*橋田委員については、所属する団体の内部手続が完了した時点で正式就任となります。
しかし橋田氏は結局加わらないことになった模様。
第三者委員会 委員メンバー確定のお知らせ (ミログ, 10/24)
第三者委員会にて検討した結果、今回の調査は法的な観点からの事実解明及び評価を主題とすることとし、技術担当委員の設置を見送り、公認会計士山下氏が新たに委員に就任致しました。なお、今回の問題に関する技術的事項が多岐にわたるため、技術的な事項については、第三者委員会が専門分野に応じ複数名の有識者から意見を聴取しつつ検討を進めることといたしました。
第三者調査委員会の調査結果に関するお知らせ (ミログ, 12/16)
ミログ第三者委員会の「提言」を許してはならない (高木浩光@自宅の日記, 12/18)
これだけの話であれば、「第三者委員会」というのは名目だけで中立性はなく、結論ありきで書かれた弁護目的の文書なんだろうと、感想で終わる。
しかし、この報告書はそれだけではなかった。冒頭の「結論と提言」の章に、「ユーザーからの同意取得に関する提言」として、AppLogやapp.tvから離れた一般論として、同意取得のあり方を社会一般に向けて提言している。
ところが、その内容が著しく非常識なものとなっているのである。これは放置できない。
(中略)
第三者委員会は、ミログのやったことに対する調査が目的であるはずなのに、なぜか、ミログがやってもいないもっと酷いことを、正当化するよう社会に呼びかけるという謎の行動に出ている。 (中略) この「第三者委員会」とやらは、情報収集の手段が問題(事前の有効な同意が必要)とされていることをまるでわかっていない。
》 イラン国籍理由に入学拒否、違憲 東工大が敗訴 (壇弁護士の事務室, 12/20)
》 【年末特別企画】 やじうま大掃除ウィーク:ケーブル周り編 (家電 Watch, 12/16)。へぇ。
》 弁護士過疎「ゼロワン地域」解消 北海道紋別市に事務所 (壇弁護士の事務室, 12/20)
実際のところ、ゼロワン地域は、日弁連が怠けていただけのことである。現在のような過大な増員をしなくても、解消していたのである。(中略) 経済が失われつつある過疎の町に、何人もの弁護士がやっていける程のマーケットはない。ゼロワン地域も3人弁護士が行けば弁護士過多である。
》 TPP交渉に「守秘合意」 発効後4年間、内容公開せず (しんぶん赤旗, 12/22)、【ミスリードか?追記】スクープ記事『TPP交渉に「守秘合意」/発効後4年間、内容公開せず』の意味ってこれであってる? (ざまあみやがれい!, 12/22)。闇鍋か。
》 シマンテック、2011年のインターネットセキュリティ脅威の動向まとめ (Internet Watch, 12/22)
》 中国・上海行き貨物船からパトリオットミサイル 69 発発見。英国船籍の貨物船 Thor Liberty。
上海行きの船舶からパトリオットミサイル69発、フィンランド (AFPBB, 12/22)
Finland Finds Patriot Missiles In Cargo (huffingtonpost, 12/21)。12/13 にドイツ・エムデンから出港、フィンランドのコトカに入港。
Missile shipment confirmed aboard detained vessel (yle.fi, 12/20)
Missiles listed as "fireworks" on ship manifest (yle.fi, 12/21)。パトリオットミサイルは、積荷目録では「花火」になっていた。 所有者は韓国の個人名。 他にも 150 トンもの爆発物が。
Thor Liberty (marinetraffic.com)
関連かも。
アメリカが、韓国のF−15Kの技術流出疑惑に対し強行調査…韓国がセンサーなどを無 断で分解 (2ちゃん的韓国ニュース, 10/31)。ソースはディスペンス21。
韓国が米国の軍事技術を盗用して自国製として第三国に兵器輸出。米CIA、FBIが調査。 (ちょっとアレなニュース, 11/17)。ソースは日経。
韓国が戦闘機に続き、イージス艦の技術盗用(パクリ)で、米国激怒 (2ちゃん的韓国ニュース, 11/21)。ソースは朝鮮日報。
電気料金原価、6千億円高く見積もり 東電、10年間で (asahi.com, 9/29)
東電、電気料金に上乗せ 保養所維持管理費 高利子の財形貯蓄 (東京新聞, 12/20)
電力料金は「総括原価方式」と呼ばれる方法で算出される。施設の修繕費や燃料費など発電に必要な費用を積み上げ、電力会社の利益を上乗せし、その総額を電力料金で回収する仕組み。
ただ、費用に何を計上するかは電力会社の判断に任されている面が強い。既に、官庁OBを受け入れている財団法人への拠出金や広告宣伝費など発電とは関係のない費用に入れられていたことが判明している。(中略)
発電とは無関係のものが費用計上されていると新たに判明したのは、ハード面では静岡県熱海市など各地にある保養所や社員専用の飲食施設、PR施設などの維持管理費。
ソフト面では、財形貯蓄の高金利、社内のサークル活動費、一般企業より大幅に高い自社株を買う社員への補助、健康保険料の会社負担など。
上杉隆が語る、次号の週刊ポストに爆弾記事掲載と「東電からのテレビの出稿料がまた上がってる」 12/21(1) (ざまあみやがれい, 12/21)
東電の電気料金値上げ、家庭用も求める 米倉経団連会長 (SankeiBiz, 12/22)
》 東野圭吾氏ら作家7人、書籍スキャン“自炊”代行業者を提訴 (Internet Watch, 12/21)。ぶっちゃけ、ショボい。
関連: 自炊代行について。 (漫画 on Web, 12/22)
今回、訴えられたのは、この質問状の「貴社は今後、差出人作家の作品について、依頼があればスキャン事業を行うご予定でしょうか。」という部分に、「はい」と答えた2社です。
そういうことだったのか。
僕は、本を買った後の使い方まで指示されるなら、その作家の本はあまり買いたくありません。
他にも楽しい物はいっぱいありますし、中古で買うな、売るな、漫画喫茶で読むな、自炊するな、と言われたら、本は新刊で買って、読まなくなったら捨てるしかないです。
わざわざ自炊をしてまで、自分の著作を読もうとしている人達を、なぜ閉め出そうとするのでしょうか。
俺もそう思う。
》 木語:そっくりな死に方=金子秀敏 (毎日, 12/22)。金日成の死と金正日の死の発表がそっくりすぎという話。
2回の発表文があまり似ているので不自然な感じだ。金総書記は地方視察の途中、列車内で死去したと発表された。だが韓国情報機関は、衛星写真で金総書記の専用列車が15日から平壌市内の竜城駅を動いていないことを確認しているという。
生前の生活は謎に包まれている北朝鮮の最高指導者なのに、死因だけは解剖所見を発表して透明度が高いのもアンバランスだ。
心筋梗塞だったことを強調するのは、敵対勢力による毒殺や爆殺だというデマが飛ぶことを防ぐためではないか。金正恩(キムジョンウン)・党中央軍事委員会副委員長への権力世襲を安定的にかつ迅速に実行するには、先代の急病死について疑問符がついてはならない。
ドコモ“他人のメアドになる”不具合は解消、10万人に影響 (Internet Watch, 12/21)。Benjamin さん情報ありがとうございます。
「あってはならない」個人情報流出の可能性も——ドコモがspモード不具合の経緯を説明 (ITmedia, 12/21)。 俺的には、電話番号とIPアドレスの不符号が起きるまでの過程 の図で、ようやく状況が理解できた。表面的には「ユーザー管理サーバ」 の不具合なのだろうけど、本質的にはシステム構成の不具合だよなあ。
SPモードメール障害は設計ミス (sonorilo.net, 12/22)
Q. この構成の問題点はなにか
A. ユーザー管理サーバが応答しないとセッション管理サーバの情報が更新されないままとなる
いやいや、問題はそこではないでしょう。 本当の問題は、IP アドレスの発行・解放を行っている「パケット交換機」が、各サーバでの IP アドレス発行・解放処理が正常に行われたか否かをチェックしていないことなのでは。チェックしていれば、たとえば当該 IP アドレスαに未処理フラグをつけて、タイムアウト期間が過ぎるまでは新規に発行しないといった処理が行えるわけで。
》 アメーバ(Ameba)を騙るフィッシング (フィッシング対策協議会, 12/22)
》 憲法ガール 第1話「出会い 〜平成23年の新司法試験その1〜」 (インテグリティな日々。, 12/1)。「平成23年の新司法試験公法系科目第1問」は Google ストリートビューみたいなサービスを行っている事業者が、架空の法律に基づく中止命令を受けてしまう件。
》 東日本大震災に便乗した義援金等の詐欺に要注意! (警察庁, 12/21)
phpMyAdmin 3.4.9 登場。2 件の欠陥が修正されています。
Multiple Path Injection Vulnerabilities in OsCommerce (ver. 3.0.2) (dognaedis.com, 2011.11.22)。 osCommerce の件。 いまだに直ってない。 CVE-2011-4543
JVN#76515037: PukiWiki Plus! におけるクロスサイトスクリプティングの脆弱性 (JVN, 2011.12.22)。PukiWiki Plus! 1.4.7plus-u2-i18n 以前に XSS 欠陥。 更新ファイルが公開されています。 CVE-2011-3990
JVN#25435092: Apache Struts におけるクロスサイトスクリプティングの脆弱性 (JVN, 2011.12.22)。Apache Struts 2.2.x / 2.0.x に、XSS 欠陥入りのアプリを作成してしまう欠陥。 CVE-2011-1772
Apache Struts 2.2.3 で修正されている。 また対応方法が示されている: S2-006
JVNVU#158003: Power2Go にバッファオーバーフローの脆弱性 (JVN, 2011.12.12)。patch はない。EMET を使う等してお茶を濁す。
VU#887409: JasPer memory corruption vulnerabilities (US-CERT, 2011.12.09)。ディストリビュータによる修正 patch を使う。 なければかっぱらう。
New Vulnerability in Windows 7 64 bit (SANS ISC, 2011.12.21)
SA47237: Microsoft Windows win32k.sys Memory Corruption Vulnerability (secunia, 2011.12.19)
https://twitter.com/#!/w3bd3vil/status/148454992989261824。 当該の tweet。
A Siemens SIMATIC conundrum: authentication bypass bungling (SANS ISC, 2011.12.22)
The Siemens SIMATIC Remote, Authentication Bypass (that doesn't exist) (Billy (BK) Rios, 2011.12.20)
VLC Media Player 1.1.13 fixes security vulnerability (H Online, 2011.12.21)
U-063: RSA SecurID Software Token for Windows DLL Loading Error Lets Remote Users Execute Arbitrary Code (JC3-CIRC, 2011.12.16)。RSA SecurID Software Token 4.1.1 で修正されている。 CVE-2011-4141
TYPO3 Security Bulletin TYPO3-CORE-SA-2011-004: Remote Code Execution in TYPO3 Core (TYPO3, 2011.12.16)。PHP において register_globals, allow_url_include, allow_url_fopen の全てが ON の場合に発現。TYPO3 4.5.9 / 4.6.2 で修正されている。 また patch が用意されている。
Pidgin IM client 2.10.1 fixes crashing vulnerabilities (H Online, 2011.12.15)。Pidgin 2.10.1 で修正されている。 CVE-2011-4603 CVE-2011-4602
New Vulnerability in Windows 7 64 bit (SANS ISC, 2011.12.21) の件の関連:
[Update] Windows 7 (64-Bi-Version) & Apple Safari: Details zur Schwachstelle (Chief Security Advisor Blog - Deutschland - Michael, 2011.12.23)。 ドイツ語で書かれている。Google 翻訳で英語に変換
リリースノートのリンク書き忘れてた。
あと Mozilla Japan ブログの記事。
一段と高速になった Firefox の最新版を公開 - Android 版はタブレット端末へ最適化 (Mozilla Japan ブログ, 2011.12.21)
Thunderbird の最新版を公開しました (Mozilla Japan ブログ, 2011.12.22)。 Thunderbird 9.0 は昨日じゃなくて今日公開されたのですね。cadz さん情報ありがとうございます。
……と言っている間に Firefox 9.0.1 が登場したようです。忙しいなあ。 iida さん情報ありがとうございます。
Firefox 9.0.1 Released (Firefox Extension Guru's Blog, 2011.12.21)。 Firefox 9.0 が Mac OS X で crash する不具合の修正だったようで。
Bug 711794 - Firefox 9.0 Crash [@ js::Shape::finalize ] (bugzilla.mozilla.org)
》 違法ダウンロードに対する刑事罰の導入に関する意見書 (日弁連, 12/15)
》 タイ洪水後のHDD価格高騰がひとまず沈静化 SSDの値段も昨年より23%ダウン (ComputerWorld.jp, 12/21)
》 メモリフォレンジックによるマルウェア感染痕跡の調査 (IIJ-SECT, 12/20)
》 Winny 裁判、最高裁が検察の上告を棄却、金子氏の無罪確定
金子勇コメント (壇弁護士の事務室, 12/20)
Winny弁護団コメント (壇弁護士の事務室, 12/20)
社外取締役 金子勇への訴訟に対する最高裁による上告棄却に関して (株式会社Skeed, 12/20)
ウィニー:開発者の無罪確定へ…最高裁、検察の上告棄却 (毎日, 12/21)。しかし、単にばっさり切ったわけではない模様。
最高裁第3小法廷(岡部喜代子裁判長)は19日付で、検察の上告を棄却する決定を出した。裁判官5人のうち4人の多数意見。(中略)
小法廷は、ほう助の罪成立を限定的に解釈した2審判決について「法解釈を誤っている」と指摘。適法にも違法にも利用できるウィニーを中立価値のソフトだとした上で、「入手者のうち例外的といえない範囲の人が著作権侵害に使う可能性を認容して、提供した場合に限ってほう助に当たる」との初判断を示した。
その上で、金子被告については、ウィニーが著作権侵害に利用される可能性が増えてきたことを認識しつつも、利用者の4割程度にまで拡大するとは認識していなかったとして、ほう助の故意はなかったと結論付けた。違法なファイルのやり取りをしないよう注意書きを付記していた点なども考慮した。
大谷剛彦裁判官(裁判官出身)は「ほう助犯が成立する」との反対意見を述べた。
「例外的といえない範囲」がどこからなのかが不明だが、「利用者の4割程度」は「例外的」と言えるという判断なのか? しかしそうなるだろうとは被告は認識していなかったので無罪と?
最高裁判例: 平成21(あ)1900 著作権法違反幇助被告事件 平成23年12月19日 最高裁判所第三小法廷 (裁判所)。最高裁の検察上告棄却判決文。 岡部喜代子裁判長、那須弘平・田原睦夫・大谷剛彦・寺田逸郎の各裁判官。 大谷剛彦裁判官の反対意見も含まれている。
Winny事件最高裁決定 (壇弁護士の事務室, 12/21)
ウィニー開発者、無罪確定へ 最高裁「著作権侵害、容認せず」 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/21)
結論としては無罪となり妥当なものにはなりましたが、その理論構成を見ると、大阪高裁判決よりは後退し、中立的行為に関する幇助犯の成立に適切な絞りをかけ切れず、ソフト公開、提供といった行為については今後も萎縮的効果が生じる恐れが残る面があり、めでたさも中位、という印象を受けるものがあります。
伝説が終わり、歴史が始まる。 (壇弁護士の事務室, 12/22)
最後に、これから日本でチャレンジしていく技術者に向けて一言だけ。
「この日本で、世界中が驚くような突き抜けたものを作ってみろ、逮捕されるぐらい凄いものを発表してみろ。それで、捕まったときは壇を呼べ。」
あ、貯金も忘れずにね。
》 Lax security blamed for 100,000+ sensitive files found on Manning's PC (Sophos, 12/20)
》 fPrivacyはFacebookアプリのパーミッションをコントロールするChromeプラグイン (techcrunch, 12/20)
Chad Selphがこれを作った理由は、かなり前から、がつがつしたFacebookアプリが多くなっているからだ。イチかバチか、まるで釣り堀の釣り餌のようなパーミッションが。
fPrivacyでは、どんなパーミッションを許すか、それともブロックするかを、ユーザが設定できる。
》 Mozilla、Googleとの標準検索エンジン契約を3年延長 (techcrunch, 12/21)。そういえば、Microsoft が Apple に出資した時代もあったよね。
》 総務省 「スマートフォン・クラウドセキュリティ研究会」の中間報告 (まるちゃんの情報セキュリティ気まぐれ日記, 12/20)
》 spモードの不具合について (NTT ドコモ, 12/20)
1.事象の内容
(1)お客様がご自分のspモードのメールアドレスを確認した際、別のアドレスに置き換わっています。
(2)spモードメールを受信した際に、送信者とは別のspモード契約者から送信されたように表示されます。この受信メールに返信すると、表示されている別のspモード契約者に送信されます。
すげぇな……。
2.発生原因・経緯
・12月20日(火曜)午後0時22分に発生した関西地区の中継伝送路の中断によるspモードサーバでのふくそうに起因して、spモードサーバにおける電話番号とIPアドレスの関連付けに不整合が生じました。
・ふくそうについては、通信規制により午後2時25分に回復しましたが、その後、お客様の申告により、メールアドレスが別のアドレスに置き換わる事象が判明しました。
・その後、spモードサーバの自動補正機能により、本事象は午後6時頃には概ね解消したものと思われます。
高負荷時に顕在化するようなバグがあったということか?
》 アニメキャラが行列を作る法律相談所サポートサイト&行政法入門 (アニメキャラが行列を作る法律相談所withアホヲタ元法学部生の日常, 12/17)。どうやら手元にも発送された模様。
》 東海道新幹線 三島〜静岡駅間の上り線で発生した停電の原因について (JR 東海, 12/20)
「割りピン穴 4mm のボルト」と「4mm の割りピン」が付けられるべきところに「割りピン穴 6mm のボルト」と「6mm の割りピン」がつけられた。
ガイシ交換時に、割りピンを「4mm の割りピン」に交換してしまい、 ボルトと整合しなくなった。
経年劣化により割りピン脱落→ナット脱落→ボルト外れ→ショート→停電。
関連:
東海道新幹線:停電、静岡−新富士駅間で2本一時停止 (毎日, 12/18)
弊社運営サイト一時停止について (バンダイビジュアル, 12/20)。 「外部からの不正アクセスの痕跡が確認され」たため、12/19 22:00 から 「.ANIME」「Emotion Family Club」「デジタルビート」「デジタルバンビーノ」を停止。
弊社サイトの運営再開について (バンダイビジュアル, 12/21)。問題ない事を確認、11:30 から再開。
MS11-099 Internet Explorer 用の累積的なセキュリティ更新プログラム で修正されたXSSの話 (葉っぱ日記, 2011.12.20) を追記。
関連:
HPSBPI02728 SSRT100692 rev.1 - Certain HP Printers and HP Digital Senders, Remote Firmware Update Enabled by Default (HP, 2011.11.30)。ファームウェア更新を無効化することで回避できる。 CVE-2011-4161
VU#717921: Hewlett-Packard printers and scanner devices allow remote firmware updates (US-CERT, 2011.12.08)
JVNVU#717921: Hewlett-Packard 製品のリモートアップデート機能に脆弱性 (JVN, 2011.12.09)
Firefox 9.0 / 3.6.25、Thunderbird 9.0 / 3.1.17 出ました。複数のセキュリティ欠陥が修正されています。SeaMonkey 2.6 も出ています。iida さん情報ありがとうございます。
SA 番号 | 重要度 | 概要 | F 9.0 | F 3.6.25 | T 9.0 | T 3.1.17 | S 2.6 |
---|---|---|---|---|---|---|---|
MFSA 2011-53 | 最高 | 様々なメモリ安全性の問題 (rv:9.0) | X | X | X | ||
MFSA 2011-54 | 最高 | YARR 正規表現ライブラリにおける潜在的に悪用可能なクラッシュ | X | X | X | ||
MFSA 2011-55 | 最高 | nsSVGValue の領域外アクセス | X | X | X | ||
MFSA 2011-56 | 中 | SVG アニメーションを通じた JavaScript 不要のキー判別 | X | X | X | ||
MFSA 2011-57 | 高 | プラグイン自体によってコンテンツが削除された場合に生じるクラッシュ (Mac) | X | X | X | ||
MFSA 2011-58 | 最高 | video 要素を極端なサイズに拡大した場合に生じるクラッシュ | X | X | X | ||
MFSA 2011-59 | 最高 | Firefox 3.6 で JAR が実行可能ファイルとして扱われない問題 (Mac) | X | X |
リリースノートのリンク書き忘れてた。
あと Mozilla Japan ブログの記事。
一段と高速になった Firefox の最新版を公開 - Android 版はタブレット端末へ最適化 (Mozilla Japan ブログ, 2011.12.21)
Thunderbird の最新版を公開しました (Mozilla Japan ブログ, 2011.12.22)。 Thunderbird 9.0 は昨日じゃなくて今日公開されたのですね。cadz さん情報ありがとうございます。
……と言っている間に Firefox 9.0.1 が登場したようです。忙しいなあ。 iida さん情報ありがとうございます。
Firefox 9.0.1 Released (Firefox Extension Guru's Blog, 2011.12.21)。 Firefox 9.0 が Mac OS X で crash する不具合の修正だったようで。
Bug 711794 - Firefox 9.0 Crash [@ js::Shape::finalize ] (bugzilla.mozilla.org)
》 米国、テレビコマーシャルの音量制限へ (slashdot.jp, 12/17)
日本の状況:
TR-B32 デジタルテレビ放送番組におけるラウドネス運用規定 (ARIB; 電波産業会)。概要、1.0 版本文。2011.03.28 策定。
NAB技術規準T032「テレビ放送における音声レベル運用規準」 (民放連)。2011.05 制定。
民放連「ラウドネス関連」のページ (民放連)。<T032運用ガイドライン>は「準備中」なのですね。
日本ラウドネスメータ協議会。 2011.04.26 開催の「ラウドネスサミット大阪」の案内がいまだに掲載されていたり……。
技術解説:ラウドネスメータどうなってるの? (ROCK ON PRO, 2010.11.15)。「注意:2010年10月時点での記事となります」。
新しい基準ラウドネスの全て<特集トップページ> (ROCK ON PRO, 1/13)
NAB技術規準T032「テレビ放送におけるラウドネス運用規定」が来年10月1日に適応開始へ、民放連発表 (PRONEWS, 11/18)
【NEWS】民放連 ラウドネス運用規準 全TV番組・CMの音量感を統一 12年10月1日-13年3月31日までの6カ月間をCM搬入における調整期間に (InterBEE Online, 12/10)
「NAB技術規準T032 テレビ放送における音声レベルの運用規準」を 2012.10.01 から適用。
CM に関しては、2012.10.12〜2013.03.31 は猶予期間。
テレビ放送の音量について考える 〜ラウドネスサミット東京 レポート (ユニワールド, 11/12)
技術情報&資料 (日本ポストプロダクション協会)
》 ショップ店員がビビる大木をツイッターで中傷 「フォロワーを増やしたかったから投稿した」 (J-CAST, 12/19)。関連:
代官山のショップ店員がビビる大木のことをTwitterで罵倒 ビビる大木はそれを発見し反撃 (ガジェット通信, 12/18)
ビビる大木を罵倒した代官山のショップ『リアルマッコイズ』店員 店側はブログに謝罪文掲載へ (ガジェット通信, 12/19)
お詫びとご報告 (リアルマッコイズ, 12/19)
》 次期戦闘機 F35に正式決定 (NHK, 12/20)
一川防衛大臣は、記者団に対し「公正・厳正に評価した結果、F35が最高の点数だった。安全保障環境は変化しており、それにしっかりと対応できる性能を有した戦闘機を持ちたいということで、性能面をいちばん重視して選定した。間違いなく納期に納めるという確約を得ており、次期戦闘機の取得に万全を期したい」と述べました。
もはや F/A-18 やタイフーンでは戦えないというわけですが、 日本の航空防衛産業には壊滅的な影響が。 次期戦闘機、F35に正式決定 野田内閣 (asahi.com, 12/20)
防衛省は同日、F35の製造・修理に参画する企業を発表。三菱重工業(機体)、IHI(エンジン)、三菱電機(電気系統)がそれぞれライセンス生産などに関わるが、どの程度参画するかは今後交渉する。
「どの程度参画するかは今後交渉」。予定すら存在しない。
関連:
次期主力戦闘機にF35 16年度導入へ (毎日, 12/20)。空自が導入するのは空軍型 (F-35A) なので、海軍型の写真とか掲載するのはヨクナイと思う。ロッキード・マーチンもそれくらい気を使えよ……。
【特集】日の丸ステルス F35 (時事)。よく書けている記事。
》 KOOBFACE Business Growth Secret: TDS Creation (trendmicro blog, 12/19)。日本となかよしのようで。
- Create and register email addresses. Because the KOOBFACE botnet can no longer automatically create Google accounts for malicious schemes, the gang automated Yahoo! Mail account creation instead. This allowed them to create the Google accounts they would need.
- Create social network accounts. The email addresses the KOOBFACE botnet creates are then used to sign up for social networks such as Twitter, Tumblr, FriendFeed3, FC24, livedoor5, So-net6, and Blogger. Some accounts were also created in altervista.org7. The domains of the blog accounts the botnet creates contained words such as “news” or “2011 news”.
- Collect images. The KOOBFACE gang introduced a new binary component that primarily gathers pornographic images; pictures of celebrities, weddings, tattoos, and cars; as well as desktop wallpaper images from Google‘s image search. These are used in the blog posts the gang members create.
- Create blog posts. The KOOBFACE botnet abuses popular Japanese blogging platforms such as FC2, Livedoor, So-net, Jugem, and Cocolog, apart from good old Google‘s Blogger via a dedicated malware component that creates blog accounts while others retrieve content or blog posts from the proxy command-and-control (C&C) server. The said posts are then automatically uploaded to the target platforms. These contain images, links, and keywords that help increase the sites’ search engine optimization (SEO) ranking, along with an obfuscated JavaScript code that references the botnet’s TDS domain. This allows the TDS to track the number of visits to each blog post and to redirect visitors to the botnet’s affiliate sites. The botnet makes money from the clicks victims make while reading blog posts and from the traffic the TDS directs to designated final landing sites.
- Step 5: Share links to posts via social networks. To further increase traffic to the malicious blog posts, which eventually lead to affiliate sites, the KOOBFACE gang also actively spread related keywords on the Web and promote the said posts via social networks such as Twitter, Tumblr, AOL Lifestream, and FriendFeed. They do so with the aid of several binary components that each caters to a target social networking site.
》 永田町 証言ドキュメント 検証・政権交代2年(仮) (NHK スペシャル, 12/25 放送予定)
政権運営に関わった与党幹部や、野党議員の証言を軸に、なぜ民主党の理想は挫折したのかを検証。その失敗の核心に迫り、新しい政治のあり方を展望する。
》 アニメキャラが行列を作る法律相談所サポートサイト&行政法入門 (アニメキャラが行列を作る法律相談所withアホヲタ元法学部生の日常, 12/17)。どうやら出たようです。アマゾンからは「注文商品の入荷に時間がかかっており、お届け予定日がまだ確定しておりません」というメールが来てしくしくなのですが。 ……その後「12/21〜25」になったとのメールが来た。ふぅ。
<金総書記死去>北朝鮮メディア、後継者は金正恩だと明確に (中央日報, 12/20)
<金総書記死去>不安な後継体制、カギは軍部の支持 (中央日報, 12/20)
<金総書記死去>韓国ネットユーザー「国家情報院は2日間何を?」 (中央日報, 12/19)
突然伝わった死亡のニュースに「金正日総書記は17日午前8時30分頃に死亡したそうだが、今日になって伝えられるなんて、われわれ韓国側の情報力も問題だ」とし「とにかく北朝鮮でもすでに本格的な権力暗闘が生じている可能性が高い」(@paradigm)とするコメントも見える。
「われわれ韓国政府も日本も“金正日死去”を全く知らなかったというのが間接的な証拠になりうる」「17日死亡なのに大統領は日本に? 一体、国家情報院ラインは何をしているのか」というコメントもツイッター上でリツイートされている。
韓国、金正日総書記の死亡でサイバー危機注意警報発令 (ZDNet, 12/19)
http://www.boho.or.kr/dataroom/data_05_dtl.jsp?u_id=223&page_id=6&page=1&TempNum=229 (韓国 KISA, 12/19)。注意警報の件。Google 翻訳:
サイバー攻撃の危険性の増加に伴う、“注意”警報発令 - 2011.12.19(月)14:00
□概要□対応
- 12月19日、北の金正日総書記の死亡のニュースの発表に基づくサイバーテロ発生に備えて注意段階発令
□参照
- マルウェア感染による被害を受けないように、MS Windows、ウイルスプログラムなど、最新のセキュリティアップデートを適用維持
- 出所が不明な電子メールや不正使用のホームページを介して感染被害を被らないように注意
- 関連情報:【注意警報】
- 電話:局番なしの118
Unbound 1.x に 2 件の欠陥があり、攻略 DNS 応答によって crash する。 CVE-2011-4528 CVE-2011-4869
Unbound 1.4.14 で修正されている。また Unbound 1.x 用の patch が用意されている。関連:
Unbound denial of service vulnerabilities from nonstandard redirection and denial of existence [ VU#209659 CVE-2011-4528 ] (unbound.net)
http://www.unbound.net/downloads/patch_CVE-2011-4528_unbound_140-1413.diff。Unbound 1.4.0 〜 1.4.13 用 patch。 1.4.13 に本 patch を適用済の、unbound-1.4.13p2 も用意されている。
http://www.unbound.net/downloads/patch_CVE-2011-4528_unbound_101-134.diff。Unbound 1.0.1 〜 1.3.4 用 patch。
JVNVU#209659: Unbound にサービス運用妨害 (DoS) の脆弱性 (JVN, 2011.12.20)
》 マイクロソフト対ノベルの反トラスト裁判、審理不能に 結局誰得? 7年にわたる訴訟も今回の判決でついに終結か? (ComputerWorld.jp, 12/19)
》 「事故収束は納得いかない」田中耕一・石橋克彦・田中三彦ら国民の代表・福島原発事故調査委員会が会見(動画) (ざまあみやがれい!, 12/19)。政府が設置した「東京電力福島原子力発電所における事故調査・検証委員会」 (畑村委員会) とは別に、国会が法に基づいて設置した「東京電力福島原子力発電所事故調査委員会」の件。「原発震災」の石橋克彦氏、元原子炉製造技術者の田中三彦氏が加わっている。
》 オンライン海賊行為防止法案にインターネットの生みの親たちがダメ出し 「自由の国・米国」が根底から揺らぐと痛烈批判 (ComputerWorld.jp, 12/19)。SOPA の件。
》 小沢茶番裁判すぐ中止しろ (日刊ゲンダイ, 12/17)。前田恒彦受刑者 (元検事) の証言の件。
F35開発遅延、日本側が懸念 米に納期確証求める (産経 MSN, 12/19)
米側はオーストラリアなど同盟国への売り込みの突破口として日本のF35選定に期待を寄せているが、軍事援助に関する米国内法の規定で、その回答は“空手形“になる公算が大きい。
理由は、米政府が価格や納期の決定権を持つ対外有償軍事援助(FMS)の規定の存在だ。米国が開発したにもかかわらず、米軍が運用を開始する前に武器を購入する国に対しては、部品提供などの支援態勢が整わなくても、米政府は免責されると定めている。
米軍のF35の運用開始は当初予定の17年から19年にずれ込む見通しで、16、17年度中にそれぞれ4機導入するとした日本の納入期限に間に合わない可能性が高い。期限内に納入しても米軍の運用開始前はこの条項が適用されるため、不具合が生じても部品交換すらできない危険性がある。
【社説】次期戦闘機 未完成F35で大丈夫か (中日, 12/16)
社説:次期戦闘機 疑問多い「開発途上」機 (毎日, 12/19)
米次世代戦闘機F35、試験段階で技術的問題 (AFPBB, 12/17)
F35 空対空ミサイルとステルス性能に疑問 米国防総省内部資料 (産経 MSN, 12/15)
》 SHODAN検索エンジンとは何か? (IIJ-SECT, 12/19)
》 2011 年 マイクロソフトのセキュリティ公開まとめ (日本のセキュリティチーム, 12/19)。着実な進歩。
》 Google Wallet アプリ、クレジットカード情報の一部をローカルに暗号化せずに保存 (slashdot.jp, 12/19)
》 米無人偵察機、偽のGPS信号に騙されていた (slashdot.jp, 12/18)。RQ-170 の件。
》 従来の標的型攻撃と異なる特徴を持つ「キメラアタック」を報告(ラック) (Scan NetSecurity, 12/16)
》 Handle leak in Svchost.exe when a WMI query is triggered by using the Win32_PowerSettingCapabilities class in Windows 7 or in Windows Server 2008 R2 (Microsoft KB 2639077)。電源ねた。hotfix あります。
》 Microsoft、IEの自動アップグレードを2012年1月から順次提供 (Internet Watch, 12/16)
》 Antivirus software that is not cluster-aware may cause problems with Cluster Services (Microsoft KB 250355)。クラスタを利用する際は、クラスタに対応したアンチウイルスソフトを使用しましょう。
》 インターネットバンキングに係る不正アクセス禁止法違反等事件の発生状況等について (警察庁, 12/15)
北朝鮮の金正日総書記死去 朝鮮中央放送報じる (asahi.com, 12/19)
「北朝鮮軍に異常な動き見られず」 韓国軍 (asahi.com, 12/19)
韓国軍が非常警戒態勢=聯合ニュース (ロイター, 12/19)
北朝鮮:金正日総書記が死亡 (毎日, 12/19)
しかし北の独裁体制は続く……
》 関電管内 冬の節電の呼びかけ開始 (NHK, 12/19)。関連:
関西電力でんき予報 (関電)
再来週以降の需給見通し(12月16日時点) (関電, 12/16)
》 冬期の長期休暇を控えて 2011/12 (JPCERT/CC, 12/19)
Windows 版 Adobe Reader / Acrobat 9.4.7 出ました。
APSB11-30: Windows 版 Adobe Reader 9.x および Acrobat 9.x に関するセキュリティアップデート公開 (Adobe, 2011.12.19)
APSB11-30: Security updates available for Adobe Reader and Acrobat 9.x for Windows (Adobe, 2011.12.16)
》 VirusScan Enterprise 8.7i Patch 5 Repost Known Issues (re-release) (McAfee KB 71785)
》 日本学術会議哲学委員会 公開シンポジウム 「原発災害をめぐる科学者の社会的責任—科学と科学を超えるもの」 (日本宗教研究諸学会連合, 9/18)、 トランス・サイエンスの時代の学問の社会的責任 (大阪大学コミュニケーションデザイン・センター 小林傳司)。
小林先生の「トランス・サイエンスの時代 科学技術と社会をつなぐ」 (NTT 出版) は品切れ中なんですね……。
》 災害ユートピア なぜそのとき特別な共同体が立ち上がるのか (亜紀書房)。発注した。関連:
大惨事でパニックするエリートと機能しない政府 どん底で助け合う普通の人々と機能する市民社会 100年の災害史が示す人間コミュニティの真実とは ——「災害ユートピア」著者レベッカ・ソルニット (ダイヤモンド, 6/23)
——「災害ユートピア」の中では、災害時に一般市民のパニックが起こると想定し実際にパニックするのはエリートたちであり、むしろその“エリートパニック”こそが社会を危険に陥れると説明している。
エリートパニックは、優れた災害社会学者であるリー・クラークとカロン・チェスの言葉だ。
説明するとこういうことだ。われわれの社会制度は競争や利己主義に基づいて作られているので、競争心や利己心の強い人間が成功して、社会のトップに上り詰めるようになっている。彼らの目から見ると、世界全体が競争社会だ。だから、災害時には略奪のような事件が起こると恐れ、その恐怖に駆られた過剰反応からパニックを起こす。
彼らがパニックを起こすことは、一般市民が起こすよりも、重大な影響を社会に与える。なぜなら彼らには権力があり、その高い社会的地位を利用して情報操作を行うことなどができるからだ。
災害ユートピア—なぜそのとき特別な共同体が立ち上がるのか [著]レベッカ・ソルニット (asahi.com, 2/6)
『災害ユートピア─なぜそのとき特別な共同体が立ち上がるのか』レベッカ・ソルニット(高月園子訳)(亜紀書房) (紀伊国屋 書評空間, 3/17)
(付記)
以上のように、本訳書は大変良い本だが、残念なことに、原著にあった「注」が全部削除されてしまっている。したがって本書が引用している、災害社会学の学術論文、災害時の挿話を含む新聞記事、911被災者のネットのブログなどの出所がすべて分からない。これでは、今後本書の内容の学術的な検証が難しくなる。じっさい、個人の経験談に基づくという実証的方法には危ない部分を含んでいる。だから本書にはとりわけ原注は必須である。ぜひ出版社の方で何らかの対応をしてほしい。
こういう翻訳書籍って少なくないんだよねえ。わかってない。
【書評】『災害ユートピア—なぜそのとき特別な共同体が立ち上がるのか』 (シロクマ日報, 3/23)
A Letter from Rebecca Solnit (Japan - Fissures in the Planetary Apparatus, 3/30)。日本語訳あり。
A Paradise Built in Hell: Rebecca Solnit on "The Extraordinary Communities that Arise in Disaster" (Democracy Now, 2009.08.31)
Books of The Times: Delighted by the Joy of Bad Things (NYTimes, 2009.08.21)
》 八ッ場ダム:建設を再開へ 22日までに国交相が最終判断 (毎日, 12/17)。民主党、冷温停止へ。 考えられる批判: 「壊れているものを冷温停止と呼ぶのは不適切だ!」
》 KDDI「au one ショッピングモール」全サービス停止、個人情報流出の可能性あり (gigazine, 12/16)。12/17 に再開。
》 違法中国漁船:「摘発は戦争」韓国警察隊員語る (毎日, 12/18)。This Time Its War.
関連: 木語:黄海に赤壁の戦法=金子秀敏 (毎日, 12/15)
今回の事件の発端は、韓国軍の演習予告だった。韓国漁船は引きあげたが、中国漁船は立ち退かず、海洋警察庁が実力行使した。
問題は中国漁船団の位置である。もし韓国漁区内だったら韓国の取り締まりは正当で、中国は謝罪すべきだ。しかし、暫定措置水域のなかだったとすると面倒なことになる。中国は自国EEZのなかで外国軍の活動を認めていない。南シナ海では、中国の主張するEEZ内での米軍の行動を妨害し、米国と対立している。
韓国の抗議に対して、中国が遺憾の意を表明するのに時間がかかったのは、漁船の位置確認をしていたのだ。現場が少しずれていたら、軍事問題がからんでくるからだ。
》 前田元検事が検察批判「小沢さんは無罪」 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/16)
従来、ありがちだった、捜査機関の暴走により冤罪が生まれるというパターンに加え、暴走する検察審査会による見当違いな起訴相当議決に裁判所が安易に乗っかってしまうことによる冤罪、というパターンにも、今後、強く警戒する必要性を感じます。
》 弁護士の卵、就職難 修習後の未登録、過去最悪の2割 (asahi.com, 12/15)
一斉登録時の未登録率は年々増加しており、この4年で約18ポイント増えた。今後、就職が決まるにつれて未登録者は減る見通しだが、日弁連は「以前はこの時期にほぼ全員が登録していた。就職先が見つからず、登録したくてもできない状況になっている」とみる。
司法制度改革により、政府は18年ごろに法曹人口を5万人にする目標を掲げているが、新試験合格者が増加した結果、01年に全国で約1万9千人だった弁護士は今年、3万人を突破。一方で裁判官や検察官の数はそれほど増えておらず、期待されていた企業や地方自治体での弁護士需要も当初の想定ほどは伸びていないことなどが就職難の背景にある。
つまり: 大失敗。
関連: 弁護士の卵、就職難 修習後の未登録、過去最悪の2割 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/18)
》 連絡不能な製品開発者一覧の公表状況[2011年第4四半期] 〜広く製品関係者からの連絡を求めるために「製品情報」の公表を開始〜 (IPA, 12/16)
》 SP 800-145 (Draft) NISTによるクラウドコンピューティングの定義 (NIST / IPA, 12/16)
》 SP 800-144 (Draft) パブリッククラウドコンピューティングのセキュリティとプライバシーに関するガイドライン (NIST / IPA, 12/16)
》 2012年の脅威は何か? 12のセキュリティ予測 (トレンドマイクロ セキュリティ blog, 12/16)。おぉっと英語版しかない。
》 中国南部で激しい抗議行動—拘束中の男性死亡で (ウォール・ストリート・ジャーナル日本版, 12/15)、 警察が漁村を「兵糧攻め」、地元当局の不正に抗議数か月 (AFPBB, 12/15)
》 FBI acknowledges more SCADA attacks, increases cyber budget (Sophos, 12/13)
》 「がんばろう!」と言われてもこれ以上がんばれない 被災者・遺族を包む“無邪気で残酷な空気”の正体 (ダイヤモンド, 12/13)
この時期、遺族は「そろそろ、自立しないといけない」「人に頼ってはいけない」と自分を責めるようになる。そして孤立する可能性がある。そこで、私たちは手を放してはいけない。
》 電子書籍「福島原発作業員のツイッター」発売開始のお知らせ (dreamnews.jp, 12/15)
》 刑法犯は9年連続で減少へ 警察庁の犯罪統計 (共同, 12/15)。日本はこの 9 年間、より平和になってきています。
》 教育目標設定:政府「自治体の長に職務権限なし」と答弁書 (毎日, 12/16)。大阪府「教育基本条例案」に赤信号。
》 参院ID・パスワード、1千人分流出か (読売, 12/16)、 「セキュリティー不十分」 参院サイバー攻撃最終報告 (asahi.com, 12/16)
》 シー・シェパード支援者のオランダ人を現行犯逮捕 和歌山県警 (産経 MSN, 12/16)
》 福島第1原発が冷温停止へ—事故収束への一里塚 (ウォール・ストリート・ジャーナル日本版, 12/15)。一歩ずつ前進しているとは思うけど、まだまだ問題山積です。 「冷温停止」を宣言したところで、それは変わりません。
クローズアップ2011:「冷温停止」きょう宣言 除染、厳しい現実 モデル事業、進まず (毎日, 12/16)
ニューヨークタイムズ紙:「冷温停止宣言の裏の疑問」 (EX-SKF-JP, 12/15)
》 ウイルスバスターコーポレートエディション 10.5 Patch 2.2 リパック版公開停止のお知らせ (トレンドマイクロ, 12/15)
■確認されている事象
ウイルスバスター Corp.10.5 Patch 2.2 または ウイルスバスター Corp.10.5 Patch 2.2リパック版 適用後、ウイルスバスターCorp.クライアントのWebインストールが行えない事象
》 原発批判を削除要請、発行直前に出版中止 西日本新聞社 (asahi.com, 12/15)。 まさにマスゴミ。
西日本新聞社にとって九電は、2番目の大株主で22万2千株(3.08%)を持つ。西日本新聞社も九電株を3800株持つ(3月末現在)。川崎隆生社長は九電子会社の西日本空輸の取締役も兼ねる。
使用済み核燃料を再利用するプルサーマル発電をめぐっては、安全性への批判が根強くある。田中氏は今年6月、削除した部分を元に戻し、子どもの未来社(東京)から「地宝論」として発行し、あとがきに出版中止の経緯を記した。
朝日新聞は、西日本新聞社に文書で、川崎社長には面会して、それぞれ取材を申し入れた。だが、ともに「お答えしません」としている。
関連:
お蔵入り寸前、幻の『地宝論』、アマゾンで予約開始! (田中優の'持続する志', 5/16)。著者自身による、顛末の詳細。
地宝論(ちほうろん)———地球を救う地域の知恵 (子どもの未来社)
・ネオニコチノイド系農薬の問題
ミツバチを滅ぼしつつある農薬
ちょっとぐぐると、ネオニコチノイド系農薬のクロチアニジン (商品名ダントツ) やイミダクロプリド (商品名アドマイヤー) が原因で大量死が発生しているという話が出てきます。
t17005#岩手県:水稲カメムシ対策の殺虫剤ダントツでミツバチ大量死#05-10 (反農薬東京グループ, 2006.01.28)。文中の「今年」は 2005年と思われ。
ミツバチはカナリア−−−第29回ミツバチ科学研究会、総合討論より (養蜂レポート)。第29回ミツバチ科学研究会 は 2007.01.14 に開催された。
なぜ斑点米規定の見直しか (米の検査規格の見直しを求める会)
花粉交配用ミツバチご利用のお客様へ (間室養蜂場)
1.「北海道・東北地方で多発している蜂の大量死の原因」
ネオニコチノイド系の農薬はミツバチにはテキメンですぐに死滅してしまいます。
巣箱に直接掛からなくても、例えば、水田の水を飲んだだけで、巣箱の中のミツバチ全部が死滅します。その場合、巣箱の周りや箱の中に蜂の死骸がでるという特徴があります。仮に農薬が巣箱に直接かかったら、箱ごと全部焼却処分になります。
9月2日付けの農業新聞で、北海道で蜂3,000群が謎の死滅したという記事が出ましたが、原因は「ダントツ」「アドマイヤー」に代表されるネオニコチノイド系農薬の散布なのは明らかです。農業新聞はスポンサーなので農薬名を公表出来なかったのだと推測します。
ダントツ、並びに、アドマイヤーの製品に添付されている説明書には、しっかりと「ミツバチを放し飼いしている地域では使用を避けて下さい」や、図解説明にて、「使用から30日以降でミツバチの放し飼い可」と明記されています。例えば、苺に使用した場合、ダントツでは、ミツバチに対する影響が「2000倍散布で25日以上影響あり」との記載もあります。約1ヶ月もの間、ミツバチに影響のあることが記載されている薬なのです。
あらゆる作物の害虫駆除に優れている薬だからこそ、使用方法をよく理解し、使い方を間違えないようにお願いします。誤使用は、ミツバチにも影響を及ぼし、大量死もおきてしまうということも理解してご利用頂きますと共に、近隣の皆様にもお話しして頂けると有り難いです。
ミツバチに影響すると、確かに書かれてますね。
ダントツ水溶液 (グリーンジャパン)
ミツバチを放飼している地域では使用をさけてください。
マルハナバチに影響を及ぼす恐れがあるので注意して下さい。
アドマイヤー1粒剤(ADMIRE Granule) (バイエルクロップサイエンス)
ミツバチに対して影響がありますので、ミツバチの巣箱およびその周辺にかからないようにして下さい。本剤の作物への処理後、ミツバチの訪花活動に影響を及ぼす恐れがありますので注意して下さい。
養蜂が行われている地区では周辺への飛散に注意する等、ミツバチの危害防止に努めて下さい。
蜂群崩壊症候群については、複合原因説も。
ミツバチ大量死の原因、解明か (slashdot.jp, 2010.10.13)。US において、原因はウイルス + カビ、とする研究結果が出たという話。
健康なミツバチから新種のウイルスを発見、大量死の謎解明に期待 (AFPBB, 6/8)
今回の研究で明らかになった感染のパターンから、一つではなくいくつかの要因が相まって蜂群崩壊症候群を起こしていることが疑われるという。これは、ウイルスやバクテリア、寄生虫、殺虫剤、環境破壊に起因した栄養不足などの要因が重なったと見る各国の専門家の意見とも一定している。
Advisory が改訂されました。Adobe Reader / Acrobat 9.x の更新は 2011.12.16 (US 時間) に公開されるそうです。つまり明日。
phpMyAdmin の欠陥 CVE-2011-2505 CVE-2011-2506 を狙った攻撃が流行っているそうです。 この攻撃を回避するには、phpMyAdmin を 3.3.10.2 / 3.4.3.1 以降に更新してください。 (他にもセキュリティ欠陥があり修正されているので、最新の 3.3.10.5 / 3.4.8 に更新してください)
phpMyAdmin を外部からはアクセスできないよう設定するのも効果的です。
関連:
PMASA-2011-5 (phpMyAdmin, 2011.07.03)。CVE-2011-2505
PMASA-2011-6 (phpMyAdmin, 2011.07.02)。CVE-2011-2506
phpMyAdminにて任意のコードを実行可能な脆弱性(CVE-2011-2505, CVE-2011-2506)に関する検証レポート (NTTデータ先端技術, 2011.07.29)
》 米誌タイム、今年の人「抗議者」 世界各地のデモ参加者選定 (東京新聞, 12/15)
》 牛の肝臓内にO157初確認 生レバー禁止の可能性 (東京新聞, 12/15)
》 福島1号機配管 地震で亀裂の可能性 (東京新聞, 12/15)
経産省所管の独立行政法人・原子力安全基盤機構が今月上旬にまとめた「1号機IC作動時の原子炉挙動解析」は、IC作動時の原子炉内の圧力と水位の実測値は、ICや冷却水が通る再循環系の配管に〇・三平方センチの亀裂が入った場合のシミュレーション結果と「有意な差はない」と結論付けた。圧力と水位の急降下は、〇・三平方センチの配管亀裂でも説明できるという。〇・三平方センチの亀裂からは、一時間当たり七トンもの水が漏えいする。
詳細:
安全上重要な機器への地震影響について (原子力安全・保安院 東京電力株式会社福島第一原子力発電所事故の技術的知見に関する意見聴取会(第4回)及び建築物・構造に関する意見聴取会(第5回)—配布資料, 12/9)
福島第一原子力発電所1号機非常用復水器(IC)作動時の原子炉挙動解析 (原子力安全・保安院 東京電力株式会社福島第一原子力発電所事故の技術的知見に関する意見聴取会(第4回)及び建築物・構造に関する意見聴取会(第5回)—配布資料, 12/9)
東京電力株式会社福島第一原子力発電所事故の技術的知見に関する意見聴取会(第4回)及び建築物・構造に関する意見聴取会(第5回)—配布資料 (原子力安全・保安院, 12/9)
東京電力株式会社福島第一原子力発電所事故の技術的知見に関する意見聴取会 (原子力安全・保安院)
関連: 東日本大震災:福島第1原発、津波後1時間内復水器再稼働なら「1号機溶融なかった」 (毎日, 12/9)
》 海兵隊のグアム移転費削除確定へ 米大統領、拒否権行使せず (東京新聞, 12/15)
》 Androidに見つかったパーミッションモデルの欠陥 (日経 IT Pro, 12/15)
》 (12/14 20:00経過報告)弊社Webサイトへの改ざん行為によるサービス停止につきまして (スクウェア・エニックス, 12/14)
》 Windows Phoneにセキュリティ問題、Microsoftが対応表明 (ITmedia, 12/15)。関連:
Windows Phone 7.5 susceptible to SMS hack (Sophos, 12/14)
》 TOMOYO Linux / AKARI をソースからコンパイルして利用されている方へのお知らせ (熊猫さくらのブログ, 12/13)
先日、パス名を計算するために使用している __d_path() という関数に対する仕様変更が発生しました。(中略) この仕様変更は、カーネル 2.6.36 までバックポートされる可能性があり、少なくともカーネル 3.0 と 3.1 へはバックポートされる見込みです。 ccs-patch-1.8.3-20111118.tar.gz および akari-1.0.23-20111118.tar.gz はこの仕様変更に未対応であるため、今後は使用しないでください。この仕様変更に対応したものを、 ccs-patch-1.8.3-20111213.tar.gz および akari-1.0.24-20111213.tar.gz としてアップロードしましたので、そちらをご利用ください。
》 妻と友人ら7人書類送検=落とし穴死亡事故—石川県警 (弁護士落合洋司 (東京弁護士会) の「日々是好日」, 12/13)
》 Malware shuts down hospital near Atlanta, Georgia (Sophos, 12/13)
》 「調査報道をどう進めるか」の論点 (高田昌幸, 12/4)
》 報道企業の寡占化、その先は—。 (高田昌幸, 12/14)
大した根拠は何もないが、いよいよ、「帝国」の姿が見えてくるのかもしれない。朝日新聞社と読売新聞社が共同通信社との契約を解除するというニュースを見て、そんな気分が増している。(中略) いろんな駆け引きや強圧が繰り返される中で、あと5年もしないうちに、全国の新聞はほとんどが、どこかの中央紙の系列になっているかもしれない。(中略)
私は予想屋ではないし、その能力も資格もないが、これだけは断言していいように思う。メディア業界の今後の合従連衡は寡占化のプロセスであり、報道の寡占化とは、報道の多様性を失うプロセスである。寡占下では、媒体の数や種類に多様性があっても、報道内容の多様化には直結しない。報道を担う者の多様性を、報道内容の多様性をどう担保していくか。そんな事柄が近い将来、今よりもっと大きな論点になるに違いない。
》 グーグルは「邪悪」になったのか (Newsweek, 12/13)。スティーブン・レヴィの書籍『グーグル ネット覇者の真実』の紹介。関連:
スティーブン・レヴィの『In The Plex』邦訳『グーグル ネット覇者の真実』が今月出るぞ! (YAMDAS現更新履歴, 12/1)
In the Plex - 書評 - グーグル ネット覇者の真実 追われる立場から追う立場へ (404 Blog Not Found, 12/10)
》 鳩山元首相「福島原発国有化を」 事故解明に必要と論評 (東京新聞, 12/14)。Nature の表紙にふくいちの黒塗り操作手順書が。 Volume 480 Number 7377 pp291-406 (Nature, 12/15)
》 Facebook が収集した個人情報、1 人分で 1,222 ページに (slashdot.jp, 12/15)
》 FTC To Provide Refunds to Victims of Bogus Scareware Scam (US FTC, 12/9)。被害者 30 万人以上ですか……。
Starting this week, more than 300,000 consumers who were victims of a "scareware" scam will receive refunds resulting from Federal Trade Commission settlements with Innovative Marketing and other parties involved in the scheme. (中略)
Approximately 320,000 checks will be mailed by the FTC's settlement administrator, Epiq Systems. Consumers who believe they are entitled to a refund or have questions may call the settlement administrator toll free at 1-877-853-3541 or visit www.FTC.gov/refunds for more information.
》 Google and EFF propose improvements to HTTPS as GlobalSign releases CA breach report (Sophos, 12/15)。 関連:
弊社証明書をご利用のお客様へのご案内 (GlobalSign)
不正アクセスに関する調査と分析についての最終報告 (GlobalSign, 12/14)
それにしても。
GlobalSign の「イラストでわかる SSL とは?」の絵が怖いんだが。
グローバルサイン (ニコニコ大百科)。やっぱりそう思うよねえ。 「僕と契約して、SSLサーバーの電子証明書を手に入れてよ!」 よりは「僕と契約してセキュアなサーバになってよ!」 の方がいいと思うけど。 もちろん、「セキュアなサーバ」の意味が後々問題となるわけだ。
》 【肥田美佐子のNYリポート】米年末商戦初日、最大の売れ筋は「銃」—規制緩和加速が原因か (ウォール・ストリート・ジャーナル日本版, 12/9)。自由! 自由! 銃銃銃銃銃!
》 やっぱり日本の原子力の土台は腐っていた (河野太郎公式ブログ ごまめの歯ぎしり, 12/14)。原子力ムラの様子。
山本一太特命委員会で、自民党本部に九大、東工大のエネルギー、原子力関係の教授を招いて、原子力関連の人材育成についてのヒアリング。
驚いたのは、学界が果たしてきた原子力ムラのなかでの役割について、二人とも、なんら反省もなく、これからこんな開発をやる、こんな研究をやる、だからそのための人材を育てないと云々と、まるで福島の事故など無かったような能天気なプレゼンテーションだったこと。
事故後に原子力の専門家がテレビで、メルトダウンではない、大きな問題ではない云々とまるで真実と違うことを発言していたのはなんだったのかという質問が立て続けに出されたのに対して、全く答えもしない。
原子力ムラの中でも、特に腐敗がひどい分野かもしれない。
》 インターネット上の脅威を調査・分析し、対策情報を提供する トレンドラボ・フィリピンがISO20000を取得 (トレンドマイクロ, 12/15)。ISO/IEC 20000-1:2005 を取得。
ISO/IEC 20000 (@IT)
内容はITILとほぼ同様だが、ITILが単にライブラリ(規範集)として編さんされているのに対して、ISO/IEC 20000は顧客の要求にサービス品質を適合させるためのマネジメントシステムとして構成されている。ISO/IEC 20000では5つのプロセス群と13のサブプロセスを規定(第6〜10章)し、これらをISO 9000などと同様にプロセスアプローチの考え方に基づいて、PDCAサイクルを回して継続的に改善していくことを推奨している。また、要求事項として「経営陣の責任」が明記されている点がITILと異なる。
体験的ITIL攻略法(2) IT管理のあるべき姿とISO 20000 (@IT, 2007.07.18)
》 パレスチナ、UNESCO加盟 (国連情報誌SUNブログ対応版, 12/14)。ようこそ UNESCO へ。
》 JSSEC スマートフォン&タブレットの業務利用に関するセキュリティガイドライン (まるちゃんの情報セキュリティ気まぐれ日記, 12/15)
》 You randomly receive various Stop errors when you change the network adapter teaming configuration in Windows Server 2008 or in Windows Vista (Microsoft KB 2633799)。Windows Vista / Server 2008 でネットワークアダプタのチーミング設定を変更すると、ランダムに STOP エラーが発生するそうで。 Hotfix 出てます。
》 All the TCP/IP ports that are in a TIME_WAIT status are not closed after 497 days from system startup in Windows Vista, in Windows 7, in Windows Server 2008 and in Windows Server 2008 R2 (Microsoft KB 2553549)。Windows 497 日問題の新ネタ。Windows Vista / Server 2008 / 7 / Server 2008 R2 で発生。起動後 497 日経過すると、TIME_WAIT な TCP/IP ポートが閉じられなくなり、ポートが枯渇する。Hotfix 出てます。関連:
Server 2008 - lots of sockets stuck in TIME_WAIT (Network Steve)
497日 (通信用語の基礎知識)
》 The memory usage of an application or a service keeps increasing when it loads and unloads the Netshell.dll module frequently in Windows Vista or in Windows Server 2008 (Microsoft KB 2639845)。Windows Vista / Server 2008 で Netshell.dll のロード / アンロードを繰り返すと、アプリケーションのメモリ使用量が増加しつづける。Hotfix 出てます。
》 「バルス」の瞬間のツイート数は秒間2万5088件、Twitterが「新記録」公式発表 (Internet Watch, 12/14)。永沢茂記者、こだわりの追記が興味深い。
ColdFusion 9.0.1 以前に 2 つの XSS 欠陥 CVE-2011-2463 CVE-2011-4368 。 更新ファイルが用意されているので適用すればよい。
英語版 Advisory: APSB11-29: Security update: Hotfix available for ColdFusion (Adobe, 2011.12.13)
関連:
Inside Adobe Reader Zero-Day Exploit CVE 2011-2462 (McAfee Labs Blog, 2011.12.14)
Adobe Zero-day Vulnerability Installs Backdoor - Another Targeted Attack? (trendmicro blog, 2011.12.08)
》 英BBCが「日本のすごいお弁当」に注目 少しずつ戻ってきた平常モード (goo ニュース, 12/13)。Close-up: Japan's amazing lunchboxes (BBC, 12/11) の件。毎日こーゆーのつくるのはタイヘンだと思う。
》 AndroidのOSアップデート、なぜ提供までに時間がかかる? (マイナビニュース, 12/12)
人気ゲームの海賊版にウイルス、Androidマーケットで公開される (日経 IT Pro, 12/14)
GoogleのAndroid Marketに課金型SMSトロイの木馬 (エフセキュアブログ, 12/13)
Android マーケットに出現した SMS 詐欺 (シマンテック, 12/14)
Malicious cloned games attack Google Android Market (Sophos, 12/12)
「Trojan:Android/SMStado.A」と「Trojan:Android/FakeNotify.A」 (エフセキュアブログ, 12/9)。ロシアから愛を込めて。
》 Yahoo知恵袋で風評被害を受けた誹謗中傷対策会社、同業者を裁判で訴える (gigazine, 12/14)
》 知られざる“都市濃縮” (NHK クローズアップ現代, 12/12)。人口河川、焼却灰。
》 グーグル、東日本大震災の被災地をストリートビューで公開 (Internet Watch, 12/13)、 GoogleのStreet Viewが3.11罹災後の光景を公開 (techcrunch, 12/14)
》 違法操業の中国漁船船長、韓国海洋警察官を刺殺。凶器は当初伝えられていた「ガラス片」ではなく「長さ25センチの」刃物。
<中国の違法操業>韓国海警を死に至らしめた“17センチ”の刃物 (中央日報, 12/14)。当時の状況。
違法操業:海洋警察官刺殺、犯行当時の状況は? (朝鮮日報, 12/13)
違法操業:中国の漁場、環境汚染で枯渇 (朝鮮日報, 12/13)。背景となる状況。環境汚染 + 乱獲。
【社説】根本対策が必要な中国漁船の違法操業 (中央日報, 12/13)
かつては韓国の漁船が日本の海で違法操業をし、拿捕されることが多かった。 当時、韓国の沿岸海域も現在の中国のように乱獲で魚類が減っていた。 このため韓国政府は沿岸漁業の中心を操業から養殖に変えるよう誘導する政策をとった。 同時に沿岸漁業に従事する漁船の数を、政府が補助金を与えながら減らした。 こうした過程を通して、韓国の漁民は他国の海で違法操業をする必要がなくなり、韓日間で漁業紛争も消えた。
この経験を中国に積極的に紹介し、中国政府が一日も早く政策として取り組むよう誘導しなければならない。 時間がかかるしかないことだ。 しかし悪循環を繰り返す中国漁船の違法操業を防ぐためには他に方法はない。 長期的な対策さえもなければ、韓中間の最悪の紛争要因になる危険性が大きい。
違法操業:海洋警察官刺殺めぐり中国側から謝罪なし (朝鮮日報, 12/13)
違法操業:海洋警察の劣悪な装備 「大型警備艦・専門要員の増強が急務」 (朝鮮日報, 12/14)
違法操業:韓国の取り締まり要請を渋る中国 (朝鮮日報, 12/13)。中国は、自国民の違法行為を放置しているようですね。
違法操業:殺人容疑の中国人船長、EEZ侵犯の常習犯 済州島沖合での違法操業で立件も (朝鮮日報, 12/14)。
違法操業:凶暴化する中国漁船、鉄製フェンスで乗船阻止も (朝鮮日報, 12/13)
違法操業:中国漁船、拿捕に備え互助組織 (朝鮮日報, 12/14)
違法操業:ベトナムやフィリピン、中国漁船に発砲も (朝鮮日報, 12/13)
違法操業:「蛮行を糾弾」 中国大使館前で抗議集会 (朝鮮日報, 12/14)
韓国海洋警官殺傷:対中国感情の悪化に政府が苦慮 (毎日, 12/14)
<中国の違法操業>二つの顔を持つ中国の態度に非難 (中央日報, 12/14)
中国漁船事件「やっぱり怖い」 本県や沖縄警戒「起こり得る」 (長崎新聞, 12/14)
》 つながらない、邪魔する、つながせない、あぶない…スマホ普及とオフロード需要爆発で露見する「Wi-Fiの罠」 (ダイヤモンド, 12/14)
》 『デモクラシー・ナウ!』アノニマスの正体〜源流は日本のネット文化にアリ?!〜 (ニコニコ生放送)。12/15 19:00から。
》 不敵な Nitro 攻撃者 (シマンテック, 12/13)。シマンテックを騙る偽メール。
》 イギリス海軍の恐るべき底力と圧倒的なまでの団結力がよくわかるムービー「恋人たちのクリスマス(英国海軍バージョン)」 (gigazine, 12/12)。女王陛下の海軍は、やっぱり一味違います。
》 改正不正競争防止法施行 (壇弁護士の事務室, 12/13)
これまでは「〜可能とする機能のみを有する装置」という定義をしており、他の機能を有する場合についてどうするかが問題で、平成21年のマジコン事件判決では、かなり、「のみ」という意味を広く解する解釈をしたりして、とてもややこしかったのである。今回の改正により、他の機能を有していても、技術的制限手段回避の用途に供するために行えばアウトということでわかりやすくなった。
眺めてみて、Winny事件高裁判決っぽい基準だなぁって感じである。
》 ご当地ヒーロー (壇弁護士の事務室, 12/13)。ご当地ヒーローといえば、やっぱり滋賀ッツマンかな。 でも滋賀は平和なので、 ひこにゃんとか 野洲のおっさんカイツブリ とかの方が存在感があるなあ。
》 日本トイザらスに課徴金3億6908万円 (壇弁護士の事務室, 12/14)
》 清武氏提訴 (壇弁護士の事務室, 12/14)。読売なんだから、行列のできる法律相談所 でネタにすればいいのに。(それができるくらいなら、こんなことになってない)
》 Windows Store 開発者向けブログが始まりました (Windows 開発統括部 Blog, 12/13)
》 京サイバー犯罪対策協議会を設立 〜産官学の連携強化を確認〜 (日刊警察ニュース, 12/14)、京サイバー犯罪対策協議会 (京都府警)
》 KerberosレルムとSambaドメインとのパスワード同期 (だめだめ日記, 12/11)
》 猛追撃に移る「ITpro Active」 (fx-it.com, 12/14)
》 2012年は、端末の多様化がもたらす挑戦の年(フィンランド本社発表資料超訳) (エフセキュアブログ, 12/13)
》 BlackHat Abu Dhabi レポート (エフセキュアブログ, 12/14)。鵜飼さん。
》 自転車:警視庁推奨ルート第1号たどる 相対的に安全 (毎日, 12/14)
二つのルートを比べ、古倉さんは「相対的に推奨ルートの方が安全性は高く、車の圧迫感を受けないので快適性もある」と評価。その上で、急カーブなど危険な場所に注意を促す看板を設けたり、車のドライバーに自転車優先を指導するなどの工夫を求めた。
記者も取り組みは評価すべきだと思う一方、推奨ルートは自転車を遠回りさせ我慢を強いる感じがした。利用を促進するなら通常ルートで車に協力してもらうことも必要ではないか。警視庁が自転車の通行場所を明示するため10月に打ち出した車道左側の青色塗装が効果的だと思った。
古倉さんもこう指摘した。「早く目的地に着こうと通常ルートを走る自転車利用者もいる。電線の地中化や車の制限速度引き下げ、自転車レーン設置など安全性向上の努力を怠ってはいけない」
》 弊社Webサイトへの改ざん行為によるサービス停止につきまして(12/13 20:00経過報告) (スクウェア・エニックス, 12/13)。「スクウェア・エニックス メンバーズ」がハクられて停止中。Ilionさん情報ありがとうございます。
F35の機体に亀裂 日本のFX選定に影響必至 (産経 MSN, 12/3)
米国防総省、F35計画見直しに着手 FX選定で日本「正念場」 (産経 MSN, 12/3)
F35 開発2年延長 米国防総省方針 日本2016年導入困難 (産経 MSN, 12/13)
F35開発延長 FX選定見直し必至 空白埋める代替案必要 (産経 MSN, 12/13)。「F-2生産延長」という最も優れた「プランB」を最初に捨てたのが致命的な間違いだったわけで。まさに「勇猛果敢・支離滅裂」。
F35開発延長 先送り不要論に勢い 財務省、予算削減ターゲットに (産経 MSN, 12/13)
次期主力戦闘機:F35を選定へ 高いステルス性能 (毎日, 12/13)
次期主力戦闘機:F35固まる 中国見すえステルス (毎日, 12/14)
F35の最大の特徴は敵のレーダーに探知されにくい高度のステルス性能だ。空自のF15とF4は07年、沖縄県周辺で行われた米空軍の最新鋭ステルス機F22との戦闘訓練で、相手を発見する前に攻撃され完敗。空自幹部は「大人と赤ん坊ほどの違いだった」と振り返る。防衛省はF22導入を検討したが、技術流出を恐れた米国による禁輸や生産中止を受け09年に断念した経緯があり、ステルス機導入は空自の悲願だった。
まぁ、気持ちはわかる。
防衛省は今回のFX選定で初めて評価基準に「国内企業の製造・修理への参加」を明確に盛り込んだ。だが、ステルス性能など最新技術を備えるF35は、候補3機種の中で非開示情報が最も多い。米国との交渉で、国内企業が生産にかかわれる範囲をどれだけ拡大できるかが課題だ。
(中略)
防衛省が懸念するのが、国内防衛産業の技術基盤の衰退だ。F2生産には主契約者の三菱重工業のほか、下請けも含め約1200社が参画していたが、既存の機種の修理だけでは、防衛産業全体を維持するのは難しい。戦闘機生産から撤退を決めた企業もある。
F-35 では、ぶっちゃけ壊滅でしょう。 米国としては FS-X 独自開発阻止に続く勝利なわけで。
近年はF35やユーロファイターのように、複数国が戦闘機を共同開発・生産して単価を抑えるのが主流となりつつある。だが日本には、防衛装備品と関連技術の輸出を原則禁止する武器輸出三原則の制約がある。F35の共同開発にも、日本は参加できなかった。
いいかげん、武器輸出三原則堅持ではどうにもならなくなってる現実に気がつくべき。
》 放射線ホットスポットを可視化するポータブルガンマカメラ装置の開発について (東芝, 12/13)。ふくいちでも活躍中のガンマカメラですが、可搬型の扱いやすいモノができたそうで。原子力発電で地球環境に貢献する東芝から。
hdk さんの PuTTYjp が 0.62 ベースになってます。
もう 1 個あれば 3 桁だったのに (そういう問題じゃない)。
MS11-087 - 緊急: Windows カーネルモード ドライバーの脆弱性により、リモートでコードが実行される (2639417)
Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 TrueType フォント ファイルの処理に欠陥があり、攻略文書ファイルや攻略 Web ページを閲覧すると任意のコードが実行される。CVE-2011-3402。Exploitability Index: 1
マルウェア「Duqu」のドロッパーは Windows カーネルの 0-day 欠陥を利用していたことが判明 の件。
関連: More information on MS11-087 (Microsoft Security Research & Defense, 2011.12.13)
MS11-088 - 重要: Microsoft Office IME (中国語版) の脆弱性により、特権が昇格される (2652016)
Microsoft Pinyin IME 2010 に欠陥があり、local user による権限上昇が可能。CVE-2011-2010 。Exploitability Index: 1
MS11-089 - 重要: Microsoft Office の脆弱性により、リモートでコードが実行される (2590602)
Office 2007 / 2010、Office for Mac 2011 に欠陥。 Word ファイルの処理に欠陥があり、攻略 Word ファイルによって任意のコードを実行できる。CVE-2011-1983。Exploitability Index: 1
MS11-090 - 緊急: ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (2618451)
Windows XP / Server 2003 に欠陥。Microsoft Time のコンポーネント (DATIME.DLL) の Active X コントロールに欠陥があり、攻略 Web サイトを閲覧すると任意のコードが実行される。 ただし IE 7 / 8 / 9 ではこの欠陥は影響しない。 CVE-2011-3397。 Exploitability Index: 1
あわせて、3rd party 製 Active X コントロール 4 つに kill bit が設定される。
関連: More information on the December 2011 ActiveX Kill Bits bulletin (MS11-090) (Microsoft Security Research & Defense, 2011.12.13)
MS11-091 - 重要: Microsoft Publisher の脆弱性により、リモートでコードが実行される (2607702)
Publisher 2003 / 2007 に 4 つの欠陥。
Publisher の関数ポインター上書きの脆弱性 - CVE-2011-1508
脆弱性の悪用を成功させるには、過度のユーザー操作とソーシャルエンジニアリングが必要となるため、この脆弱性の深刻度は「警告」と評価されています。
どんな操作なんだろう……。 Exploitability Index: N/A
Publisher の境界外の配列のインデックスの脆弱性 - CVE-2011-3410
Exploitability Index: 1
Publisher の無効なポインターの脆弱性 - CVE-2011-3411
Exploitability Index: 1
Publisher のメモリ破損の脆弱性 - CVE-2011-3412
Exploitability Index: 2
MS11-092 - 緊急: Windows Media の脆弱性により、リモートでコードが実行される (2648048)
Windows XP / Vista / 7 に欠陥。Window Media Player / Windows Media Center に欠陥があり、攻略 Digital Video Recording (.dvr-ms) ファイルを開くと任意のコードが実行される。CVE-2011-3401。Exploitability Index: 1
Windows XP / Server 2003 に欠陥。OLE オブジェクトの扱いに欠陥があり、攻略 OLE オブジェクトを開くことで任意のコードが実行される。 CVE-2011-3400。Exploitability Index: 1
MS11-094 - 重要: Microsoft PowerPoint の脆弱性により、リモートでコードが実行される (2639142)
PowerPoint 2007 SP2 / 2010 gold、Office 2008 for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック SP2、PowerPoint Viewer 2007 SP2 に 2 つの欠陥。
PowerPoint の安全でないライブラリのロードの脆弱性 - CVE-2011-3396
対象は PowerPoint 2007 SP2 / 2010 gold のみ。 DLL 読み込みに関する脆弱性の件。まだあったのか。Exploitability Index: 1
OfficeArt の図形の RCE の脆弱性 - CVE-2011-3413
対象は PowerPoint 2007 SP2、Office 2008 for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック SP2、PowerPoint Viewer 2007 SP2。PowerPoint 2010 gold は対象ではない。 owerPoint ファイルの扱いに欠陥があり、 攻略 PowerPoint ファイルによって任意のコードが実行される。 Exploitability Index: 2
PowerPoint 2007 SP3 / 2010 SP1、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック SP3、PowerPoint Viewer 2007 SP3 にはこの欠陥はない。
MS11-095 - 重要: Active Directory の脆弱性により、リモートでコードが実行される (2640045)
Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 (Itanium-based を除く) に欠陥。Active Directory、Active Directory Application Mode (ADAM)、Active Directory Lightweight Directory Service (AD LDS) に欠陥があり、ドメインログオン後に攻略アプリケーションを実行することで、任意のコードを実行される。CVE-2011-3406。Exploitability Index: 1
MS11-096 - 重要: Microsoft Excel の脆弱性により、リモートでコードが実行される (2640241)
Excel 2003、Office 2004 for Mac に欠陥。Excel ファイルの処理に欠陥があり、攻略 Excel ファイルによって任意のコードが実行される。 CVE-2011-3403。Exploitability Index: 1
MS11-097 - 重要: Windows クライアント/サーバー ランタイム サブシステムの脆弱性により、特権が昇格される (2620712)
Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。クライアント/サーバー ランタイム サブシステム (CSRSS) の Csrsrv.dll に欠陥があり、local user による権限上昇が可能。 CVE-2011-3408。Exploitability Index: 1
Windows XP / Server 2003 / Vista / Server 2008 / 7 の、いずれも 32bit 版に欠陥。Windows カーネルに欠陥があり、local user による権限上昇が可能。64bit 版にはこの欠陥はない。CVE-2011-2018。Exploitability Index: 1
MS11-099 - 重要: Internet Explorer 用の累積的なセキュリティ更新プログラム (2618444)
IE 6 / 7 / 8 / 9 に 3 つの欠陥。
XSS フィルターの情報漏えいの脆弱性 - CVE-2011-1992
対象は IE 8 のみ。Exploitability Index: 3
Internet Explorer の安全でないライブラリのロードの脆弱性 - CVE-2011-2019
対象は Windows 7 / Server 2008 R2 上の IE 9 のみ。 DLL 読み込みに関する脆弱性の件。これもか。Exploitability Index: 1
Content-Disposition の情報漏えいの脆弱性 - CVE-2011-3404
technet.microsoft.com/security/bulle… 「Content-Disposition の情報の漏えいの脆弱性」(CVE-2011-3404)の詳細については金床本のP.84に詳しく書いてあります ← 徳丸メソッド (@hasegawayosuke Yosuke HASEGAWA, 2011.12.14)。 Exploitability Index: N/A
つづき: MS11-099 Internet Explorer 用の累積的なセキュリティ更新プログラム で修正されたXSSの話 (葉っぱ日記, 2011.12.20)
関連: MS11-099: Cumulative Security Update for Internet Explorer: December 13, 2011 (Microsoft KB 2618444)。 本更新プログラムにおける、既知の不具合や、非セキュリティな修正一覧が掲載されている。
関連:
2011 年 12 月のセキュリティ情報 (月例) (日本のセキュリティチーム, 2011.12.14)
「マイクロソフト セキュリティ アドバイザリ 2588513: SSL/TLS の脆弱性により、情報漏えいが起こる」の問題について、事前通知の際のブログでは、今月のセキュリティ リリースで対応するとお伝えしましたが、セキュリティ更新プログラムの品質テストの過程でサードパーティ製ソフトウェアに影響する互換性の問題が見つかったため、今月の公開は見合わせることになりました。なお、このセキュリティアドバイザリ 2588513 で説明している脆弱性の悪用を試みる攻撃は現時点では確認していません。
SSL/TLS 話は今回は未対応。
2011 年 12 月のマイクロソフト ワンポイント セキュリティ (日本のセキュリティチーム, 2011.12.14)。もうすぐクリスマス。
December 2011 Microsoft Black Tuesday Summary (SANS ISC, 2011.12.13)。久しぶりに PATCH NOW があります。
Assessing the risk of the December 2011 security updates (Microsoft Security Research & Defense, 2011.12.13)
マイクロソフト月例パッチ(Microsoft Patch Tuesday)- 2011 年 12 月 (シマンテック, 2011.12.14)
MS11-099 Internet Explorer 用の累積的なセキュリティ更新プログラム で修正されたXSSの話 (葉っぱ日記, 2011.12.20) を追記。
昨日、MS11-100 が定例外で出ました。
.NET Framework 1.1 / 2.0 / 3.5 / 3.5.1 / 4 に 4 つの欠陥。
ハッシュテーブルの衝突がサービス拒否を引き起こす可能性のある脆弱性 CVE-2011-3414
Effective DoS attacks against Web Application Plattforms ? #hashDoS [UPDATE2] の件。Exploitability Index: 3
.NET フォームの認証の安全ではないリダイレクトの脆弱性 CVE-2011-3415
.NET Framework 1.1 には影響しない。 Exploitability Index: N/A
ASP.Net フォームの認証バイパスの脆弱性 CVE-2011-3416
Exploitability Index: 1
ASP.Net フォームの認証のチケットをキャッシュする脆弱性 CVE-2011-3417
Exploitability Index: 2
関連:
セキュリティ アドバイザリ (2659883) の脆弱性を解決する MS11-100 を定例外で公開 (日本のセキュリティチーム, 2011.12.30)
More information about the December 2011 ASP.Net vulnerability (Microsoft Security Research & Defense, 2011.12.27)。 MS11-100 が出る前に (セキュリティ アドバイザリ (2659883) ASP.NET の脆弱性により、サービス拒否が起こる の公開にあわせて) 書かれたもの。
ASP.NET security update is live! (Microsoft Security Research & Defense, 2011.12.29)
December 2011 Out-Of-Band Security Bulletin Webcast Q&A (MSRC blog, 2011.12.30)
Chrome 16.0.912.63 出てます。15 件修正。PDF がらみの修正が 4 つですか。
》 「原発カバー工事」完遂への道を開いた技術者 (日経 KEN-Plats, 12/13)
》 日経メディカル2011年12月号「スペシャルリポート」(転載) 復興へ道険し、南相馬の医療 (日経 Medical Online, 12/12)
》 タイの排水作業が完了へ、水位を1.5m低下 (日経 KEN-Plats, 12/8)
》 オリンパスの闇「上場廃止を避ける空気」が「どのように作られる」か ——東電に引き続き暗躍する「闇の利害関係者」を全部書く (日経 BP, 12/9)
》 「三方よし」の情報システム ホンダが解いた「連立方程式」 (日経 IT Pro, 12/12)
インターナビのメリットは、「買い手」と「売り手」だけに限定されない。走行データに含まれる加速度データを分析することで、ユーザーが頻繁に急ブレーキをかける地点をリストアップできたのだ。これが、三方よしの最後、「世間よし」につながった。
ホンダは自治体や警察などと共同で、急ブレーキ多発地帯を調査。見通しを悪くしていた街路樹を剪定するなど、安全対策の向上にデータを生かしている(図3)。2009年度に埼玉県内の16カ所で対策を講じたところ、急ブレーキ回数が約7割減少するなど、効果を上げているという。
》 軍事研究 2012年1月号 (軍事研究)。『米軍・国防総省の「スマートフォン戦争」』が興味深かった。狙撃計測アプリなんてあるんだ。
》 平成 23 年版 警察白書 (警察庁)。そういえば本文見てなかった。
》 Java 6u30 released (SANS ISC, 12/12)。セキュリティ修正はないようです。 パフォーマンスと安定性の強化、および RHEL 6 対応。
》 見本市…トロイの木馬の (エフセキュアブログ, 12/9)。考えてみれば「武器見本市」なんてのはそこらじゅうにふつうにあるわけで (韓国でもやってます)、サイバー戦の武器見本市があっても不思議ではないよなあ。
[SA47109] Struts2 SessionAware / RequestAware Session Manipulation Weakness (secunia, 2011.12.11)。 [#WW-3631] Implementing SessionAware allows session tampering を参照。
[SA47059] Asterisk Enumeration Weakness and Denial of Service Vulnerability (secunia, 2011.12.10)。Asterisk 1.6.2.21 / 1.8.7.2 で修正されている。 CVE-2011-4598 CVE-2011-4597
MIT krb5 Security Advisory 2011-007: KDC null pointer dereference in TGS handling (MIT, 2011.12.06)。krb5-1.9 以降の欠陥。patch が添付されている。 CVE-2011-1530
PuTTY 0.59〜0.61 に欠陥。SSH keyboard-interactive 認証において、パスワードがメモリ内に保存されてしまうため、メモリアクセス可能なプログラムから取得されたり、dump ファイルに書き込まれたりする恐れがある。
PuTTY 0.62 で修正されている。ただし、PuTTY vulnerability password-not-wiped にはこんな記載もある。
However, it is still unavoidably very dangerous if malicious software is in a position to read the memory of your PuTTY processes: there is still a lot of sensitive data in there which cannot be wiped because it's still being used, e.g. session keys. If you're using public-key authentication and malware can read a Pageant process, that's even worse, because the decrypted private keys are stored in Pageant! This fix somewhat mitigates the risks, but no fix can eliminate them completely.
PuTTY 0.62 においても、セッション鍵をはじめとして、大量のセンシティブ情報がメモリ上に存在する。また Pageant を使って公開鍵認証を行う場合には、復号されたプライベート鍵が Pageant プロセス内に保存される。
なお、有志による日本語版の状況はこうなってます:
hdk さんの PuTTYjp は 0.61 ベース
蛭子屋 双六さんの PuTTY ごった煮版 は 0.60 ベース
iceiv+putty は 0.61 ベース
hdk さんの PuTTYjp が 0.62 ベースになってます。
2011.12.29 付で iceiv+putty が 0.62 ベースになってます。
Winamp 5.622 に欠陥。integer overflow によって heap-based buffer overflow が発生、攻略 AVI ファイルによって任意のコードを実行できる。CVE-2011-3834 CVE-2011-4857
Winamp 5.623 で修正されている。
》 A fire lit in Tottenham that burned Manchester: the rioters' story (Guardian, 12/5)
》 情報の「金庫」、データベースを守れ/標的型攻撃に対して「真ん中」を守ること (EnterpriseZine, 12/12)
》 大飯原発 緊急対策設備を初公開 福井 (産経 MSN, 12/11)
初公開されたのは、全電源喪失状態になっても、原子炉で自然発生する水蒸気を使ってタービンポンプを回し、冷却水を送って炉心を冷やす「タービン動補助給水ポンプ」。
タービン動補助給水ポンプはいいんだけど、これ、各号機に 1 台しかないんだよね。冗長性なし。たびたび故障してたりもするんだよね。
美浜3号炉事故の全体像と課題 (京都大学, 2004.10.07)。配管破断で作業員が死亡した事故の件。 このとき、タービン動補助給水ポンプの流量調整弁が制御不能となる事態が発生していた。
原子力発電所の運営状況について (関電, 2008.12.12)。美浜1号機のタービン動補助給水ポンプを定期検査したら不具合が発生した事例。つまり、いざという時に役に立たない状態だった。
伊方発電所1号機 タービン動補助給水ポンプの不調について (四国電力, 2004.01.17)。運転させてみたら、1 時間半で白煙を吐いた事例。
こんなんで大丈夫だと思います?
》 Google Chromeが最も安全なWebブラウザ——Accuvant LABS調べ (ITmedia, 12/12)
Googleの出資で実施されたAccuvantの三大Webブラウザ(Chrome、IE、Firefox)のセキュリティに関する調査では、Googleが最も安全で、問題が多かったのはFirefoxという結果になった。
》 Apple、ドイツでの特許訴訟でMotorolaに一敗——iPhoneおよびiPadに販売差し止め命令 (ITmedia, 12/12)
》 東北電力、新仙台火力発電所1号機の発電再開〜太平洋岸の被災発電所として初の復旧 (家電 Watch, 12/12)
》 首相問責決議案で「ルパン三世」? (slashdot.jp, 12/11)
最も強い官僚との戦いを逃げ、最も弱い国民へ矛先を向けているといえ、強い者には厳しいが弱い者には優しいルパン三世なら絶対しない
モンキー・パンチ「お前が言ってるルパンは『カリ城』だ!」
東電、汚染水の海洋放出を計画 本県漁業者ら反発 (岩手日報, 12/9)
東電:汚染水の海洋放出を計画から除く−原子力安全・保安院に提出 (ブルームバーグ, 12/9)
保管タンクを作っても作っても、高線量の水が建屋の地下に溜まっていくのだ 東電は「行き場のない汚染水8万t」 どうするのか (現代ビジネス, 12/9)
「タービン建屋地下の壁には、震災前からひび割れがあり、原発事故以降、そのひび割れが大きくなったのでしょう。9月の時点で、毎日200〜500tの地下水が流入していると言われるようになりました」(前出・原発作業員)
「地下水の流入を防ぐために、タービン建屋に止水工事を行っていますが、現在でも完全に止めることはできていません。今のところ、はっきりとした解決策はない状態です」(東電広報部)
海洋への汚染水放出は基準値内でも政府が止める気なら簡単に止められる! (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 12/9)
》 トンデモ裁判、呆れた論理 東電弁護団それを言っちゃあ、おしめえよ 「セシウムは誰のものでもない! だから除染の責任はない」だって (現代ビジネス, 12/12)
》 津田大介×鈴木謙介、3.11後のメディアと若者(1):何が問題なのか? メディアにころがる常識 (Business Media 誠, 12/9)
》 Introducing DNSCrypt (Preview Release) (OpenDNS)。関連:
Secure DNS? Encrypt the last mile (ESET Threat Blog, 12/8)
DNSCrypt - Not Fundamental Enough (trendmicro blog, 12/8)
》 3月に降ったセシウム、過去最高の50倍超 気象研観測 (asahi.com, 12/2)
核実験の影響を監視するため、気象研は1954年から放射能を観測してきたが3月末、今年度予算が突然凍結され、観測中断を迫られた。今回の結果は、それを無視して観測を続けた研究者の努力で得られたものだ。
関連:
朝日新聞:〈プロメテウスの罠〉で気象庁データを公開に尽力したのは森ゆうこ議員! (傍観者の独り言, 11/19)
「環境における人工放射能の研究2011」について (気象庁 気象研究所)
東京電力福島第一原子力発電所事故に伴う 放射性物質の移流拡散について (気象庁 気象研究所, 7/8)
》 海洋警察官が中国漁船乗組員に腹刺され死亡 取締り中にガラス片で (産経 MSN, 12/12)。韓国での話。
》 金、女…マル暴刑事はこうして墜ちていった (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/12)
》 速報!神世界事件、元神奈川県警警視に懲役2年・執行猶予4年の判決! (やや日刊カルト新聞, 12/9)
》 グーグルとマイクロソフト、プライバシー担当組織の規模を明らかに (ComputerWorld.jp, 12/9)
》 マイクロソフト、Windows 8に“キル・スイッチ”を搭載か (ComputerWorld.jp, 12/9)
》 オリジナルのadm/admxを使用して Adobe Acrobat(Adobe Reader)を制御しよりセキュアにする方法 1 (インフラ管理者の独り言(はなずきん@酒好テム管理者), 12/10)
》 超小型衛星 国際共同開発へ (NHK「かぶん」ブログ, 12/10)、超小型衛星センター
》 時論公論 「ロシア下院議会選挙・プーチン与党敗北の衝撃」 (NHK 解説委員室, 12/6)
首都モスクワでは50%を切り46%、さらにプーチン首相とメドベージェフ大統領の故郷で地盤であるべきサンクトペテルブルクでは32%にとどまりました。
次に中部ヨーロッパの農村地帯、そしてウラルシベリアの工業地帯、さらに極東でも統一ロシアは大幅に得票率を減らし、場合によってはロシア共産党に第一党を奪われた地域もあります。
それでも統一ロシアが全体で得票率50%近くを維持したのは、タタルスタン、チェチェン、ダゲスタンなど地域の指導者の行政的な管理が効きやすい民族共和国で80%から90%という大量得票をしたからです。
この大量得票が無ければ議席においても過半数を維持することは難しかったでしょう。
(中略)
今回の選挙結果については野党から統一ロシアに有利なように票の操作がされたという深刻な疑念が出されています。
一つは民族共和国での大量得票です。
もう一つは投票数を与党有利に操作した疑いです。
関連: ロシア連邦 : 選挙に対する抗議で、数百人が拘束される (アムネスティ・インターナショナル日本, 12/5)
》 時論公論 「どうなるアフガニスタン 撤退後も長期関与へ」 (NHK 解説委員室, 12/7)。泥沼。
》 時論公論 「ノーベル平和賞 "平和構築と女性"」 (NHK 解説委員室, 12/8)
iPhone/Androidなどスマートフォンの通信・通話をすべて盗聴可能にする「FINSPY MOBILE」 (gigazine, 12/11)
USBメモリを挿すだけで相手の情報を誰でも簡単に全部コピーできる「FINUSB」 (gigazine, 12/11)
ログインパスワードを解析して監視ソフトをインストールできる「FinFireWire」 (gigazine, 12/11)
メールアドレスしか分からない相手のPCを遠隔支配できる「FinFly WEB」 (gigazine, 12/11)
アップデートに偽装してリモート監視ソフトをインストールしてくる「FinFly ISP」 (gigazine, 12/11)
インターネットやLAN経由でリモート監視ソフトを送り込む「FinFly LAN」 (gigazine, 12/10)
USBメモリを挿すだけでPCのリモート監視が可能になる「FinFly USB」 (gigazine, 12/10)
アンチウイルスソフトに検知されずあらゆる行動を記録する「FinSpy」 (gigazine, 12/10)
無線LANを2分〜5分で解読して突破、メールやツイートなどの書き込みを盗聴する「FinIntrusion Kit」 (gigazine, 12/10)
》 Metasploit Framework Updated: H.323, FastLib, and More (Metasploit, 12/11)
》 How to secure your computer and surf fully Anonymous BLACK-HAT STYLE (cyberguerrilla.info, 11/24)
》 Debian GNU/Linux 5.0 "Lenny" approaches end of life (H Online, 12/7)。2012.02.06 で終了。
》 New TYPO3 Security Guide (TYPO3, 12/6)
》 RFC6302: Logging Recommendations for Internet-Facing Servers (IETF)。ログに関する推奨事項。
It is RECOMMENDED as best current practice that Internet-facing servers logging incoming IP addresses from inbound IP traffic also log:
- The source port number.
- A timestamp, RECOMMENDED in UTC, accurate to the second, from a traceable time source (e.g., NTP [RFC5905]).
- The transport protocol (usually TCP or UDP) and destination port number, when the server application is defined to use multiple transports or multiple ports.
関連:
Logging Remote Port Numbers in the Apache HTTP Server for Carrier Grade NAT (scyphus.co.jp)。リモートポート番号は %{remote}p で取れるみたい。
関連:
The Real Issues About Carrier IQ (trendmicro blog, 2011.12.08)
こちらの方が詳しい: FFFTP 1.98c以前に存在する脆弱性について(2011年12月09日) (sourceforge.jp, 2011.12.09)
公衆無線LANのConnectFree、利用するとTwitter IDとFacebookをMACアドレスと紐づけられ、いつどこでどのサイトを閲覧したか収集されるらしい
公衆無線LANによる通信傍受、改竄のリスク (水無月ばけらのえび日記, 2011.12.11)
TrendMicro Control Manager 5.5 に欠陥。CmdProcessor.exe サービスに欠陥があり、攻略 IPC パケットによって buffer overflow が発生、remote から任意のコードを実行できる。
Trend Micro Control Manager 5.5 の Critical Patch - Build 1613 (trendmicro, 2011.11.10) で修正されているのがこの欠陥のようなのだが、日本のダウンロードページには Build 1613 はまだ存在しないようだ。
2012.01.16 に出てました: Trend Micro Control Manager 5.5 Critical Patch (ビルド 1613)公開のお知らせ (トレンドマイクロ, 2012.01.16)
「犯す前に言うか」田中防衛局長 辺野古評価書提出めぐり (琉球新報, 11/29)。これが第一報。この時点では琉球新報のみが「オフレコ」を破って報道。 他社が追いつくのはこの後。
普天間移設:沖縄防衛局長が不適切発言 厳しく処分へ (毎日, 11/29)
沖縄不適切発言:田中防衛局長の聴取内容全文 防衛相発表 (毎日, 11/29)
沖縄不適切発言:「これが国の本音」地元に怒りとあきらめ (毎日, 11/29)
沖縄不適切発言:仲井真知事「口汚れる」 (毎日, 11/30)
クローズアップ2011:普天間問題・田中局長発言 信頼回復、ぶち壊し (毎日, 11/30)
防衛局長更迭 沖縄は陵辱の対象か/露呈した政府の差別意識 (琉球新報社説, 11/30)
これはひとり田中氏だけの問題なのか。基地政策に携わる官僚の意識の中には、多かれ少なかれ「沖縄は永久に被害者であり続ける」という差別感覚が潜んでいる。だから、大多数の県民が普天間飛行場の県外・国外移設を求めても沖縄に基地を押し付けるという結論しか導き出さない。
懇談会の後、沖縄防衛局は琉球新報の取材に対し「発言の有無は否定せざるを得ない」と誠意のないコメントで切り抜けようとした。都合の悪い面に口をつぐむのは政府の常とう手段だ。
藤村修官房長官は29日の記者会見で「事実なら看過できない」と早々と処分する考えを示した。一川防衛相は同日の参院外交防衛委で「沖縄の皆さんに大変な思いをさせ、心からおわびしたい」と陳謝している。その前に本人から謝罪の言葉を聞きたかった。
沖縄防衛局は米軍再編を含め防衛省の施策を地元に丁寧に説明することを主要業務の一つに掲げている。実態は「丁寧な説明」など、お題目にすぎない。
伝聞系か、断言か?更迭・田中聡氏の発言、報道各社を一覧化。 (見えない道場本舗, 11/30)
「暴言」の本質 沖縄蔑視の構造化を危惧 (琉球新報社説, 12/2)
常軌を逸した今回の暴言について、本紙は防衛局側へ通告の上、通常は伏せるオフレコ情報の報道に踏み切った。編集局長名で「政府幹部による人権感覚を著しく欠く発言であり、非公式の懇談会といえども許されていいはずがない。公共性・公益性に照らして県民や読者に知らせるべきだと判断」したことをコメントとして発表した。
日本新聞協会が96年2月にまとめたオフレコ取材の見解に基づけば、メディアにはオフレコを守る信義則と国民の「知る権利」の両方に応える道義的責任がある。
本紙は今回の暴言報道に、高い公共性、公益性を見いだした。沖縄への差別意識を赤裸々に表した暴言は極めて重大なニュースであり、悪質性において過去の問題発言、舌禍事件とは比較にならない歴史的な暴言と捉えた。
田中・前沖縄防衛局長:不適切発言 停職40日に (毎日, 12/9)
防衛相に問責決議 低姿勢も聞く耳なく 政府、評価書提出強行へ (琉球新報, 12/10)
防衛省処分 問われているのは差別構造 (琉球新報社説, 12/10)
オフレコ取材:議論が活発化 前沖縄防衛局長発言報道で (毎日, 12/10)
「犯す前に…」発言、琉球新報のオフレコ破りを考える (産経 MSN, 12/4)
佐藤優の痛烈な批判と分析!「犯す」暴言の田中聡・前沖縄防衛局長は「国家公務員法99条信用失墜行為の禁止」違反で処分せよ。 (ざまあみやがれい!, 12/3)
この田中さんっていうところから浮かび上がるのは、カギカッコ付きの『沖縄通』なんですよ。しかも、前の戦争で沖縄がどういう目にあったかってことにも思いが及ばないと。
カテゴリーアイコン 一川防衛相を辞任に追い込む田中防衛局長「不適切発言」を報じたのは琉球新報だけーー官僚・メディアがもたれ合う「オフレコ」取材の構図
(現代ビジネス, 12/5)本当に県民を愚弄しているのは誰か。谷津憲郎朝日新聞那覇総局長の「防衛局長発言」コラムが明かす朝日沖縄報道の「構造的差別」 (現代ビジネス, 12/7)
オフレコ破りを支持する (東京新聞, 12/7)
》 土地連、コピー回収要求 米軍用地契約更新 (琉球新報, 12/8)
NPOが測定し明治側へ連絡 (NHK, 12/7)。「TEAM 二本松」による測定が契機だった。 しかしこの測定画面はなんだか変だと話題に。 (測定装置に付属するソフトウェアが変な模様)
セシウム混入粉ミルクを発見した市民放射能測定所 (videonews.com, 12/10)。TEAM 二本松は明治に連絡したがなしのつぶて。
このため、TEAM二本松は外部の検査機関に測定を依頼したところ、自らの測定と同様の30〜40ベクレル/kgを検出した。そこで同検査機関に取材に来ていた共同通信の記者が明治に問い合わせたところ、セシウム混入の事実と無償交換が発表された。
二本松の市民測定所の粉ミルク測定結果を検証する (togetter, 12/6〜)
》 学校の「備え」一冊に 岩沼の教諭ら体験・教訓つづる (河北新報, 10/24)。岩沼市教育委員会「学校の危機管理 〜東日本大震災から学ぶ 次への備え〜」。
関連: スタジオパーク 「被災学校の体験を教訓に」 (NHK 解説委員室, 12/9)
》 【PowerShell】証明書を使用してパスワードを暗号化する (フィールドSEあがりの安納です, 12/3)
》 ゴッホの本当のすごさを知った日 (asada's memorandum, 10/12)。多くの人間はヴァン・ゴッホが描いたものを正しく理解できていなかったのか。
そこで僕はふっと気が付いた。もしかしたらゴッホは、弱度の色覚異常だったのではないか?それなのに強度の色覚異常のシミュレーションで見るからうまく見れないのでは?正常色覚と2色覚の中間の見え方をシミュレーションして、それでゴッホの絵を見てはどうだろう?
(中略)
普通に見ただけでは、正常色覚ではわからないし、2色覚でもきっとわからない。きっとゴッホはP型かD型の色覚異常だったのではないか。その程度は、2色覚と正常色覚の中間くらいで、自分の目で最適になるような絵の具の選び方、使い方の法則や癖があったのではないだろうか。
》 Microsoft releases Windows Defender Offline tool beta (H Online, 12/9)
》 Microsoft releases new Security Essentials beta (H Online, 12/1)。入れてみた。特に問題なさげ。
》 EFF、著作権局にジェイルブレイク合法化の拡張を要請 (P2Pとかその辺のお話, 12/9)、 アップル(ソニー、アマゾン、マイクロソフト)がジェイルブレイクを支持しなければならない理由 (P2Pとかその辺のお話, 12/9)
》 Facebookが一部の広告主にダウンストリームコンバージョン追跡を秘かに提供している (techcrunch, 12/8)。2010.09に廃止されたはずだったのだが。
》 デモやストなしの平穏な青空の下でも感じるギリシア危機 (gigazine, 12/10)。2010年3月ごろのギリシャ。
》 ボツになった「テレビ産業壊滅の真相」記事 凋落の兆しは2004年からあった (JBpress, 12/7)。驕る平家は久しからず。
筆者が気づいたテレビメーカー凋落の予兆は、2004年に遡る。日立製作所から(紆余曲折を経て)同志社大学に転職し、社会科学研究者として上記3社を訪問した。そして、事業責任者や開発責任者などにインタビューした。その時に、最初の予兆を感じたのである。
まず、「半導体メモリDRAMは、韓国勢に追い抜かれ、日本はエルピーダ1社を残して撤退しました。薄型テレビは大丈夫ですか?」と聞くと、「薄型テレビでは、技術力、コスト競争力ともに日本が圧倒的だ。DRAMとはまったく事情が違う」と自信を持った答えが返ってきた。
ところが次に「営業利益率を見てみると、サムスンは常に約30%なのに、なぜ、貴社は数%しかないんですか?」と聞いてみると、「そうなんだ、営業利益率がなぜ10倍も違うのか、自分にも分からないんだ」と言われた。これには驚いてひっくり返りそうになった。
営業利益率がサムスンの10分の1しかない。しかも、その理由が分からない。ということは、利益率を向上させるために、どのような対策をしたらいいかも分からないということだ。
》 ロシア全土に反政府デモ拡大、ソ連崩壊後で最大規模 (ロイター, 12/11)
茶筌の件、2.4.4 用の patch が出ています。また Debian では Advisory 出てます: DSA-2361-1 chasen -- バッファオーバフロー。やまねさん情報ありがとうございます。
》 セブンスポットは特定ドメイン宛の通信をブロックする。電気通信事業法違反としか思えないのだが。ブロックする先がセコすぎるし。
セブン&アイ、無料の公衆無線LANサービス「セブンスポット」 を開始 (slashdot.jp, 12/6)
7SPOTを利用してみた (楽天ブログ, 12/3)
これで、晴れてインターネット接続できたので、楽天ブログを更新しようとしたところ...(中略)
「サービスポリシーに反するサイト」と言われてしまいました... orz どうも通販系のサイトはダメみたいです。
Amazonもあかんらしい
12月8日のtwitterセキュリティクラスタ (twitterセキュリティネタまとめ, 12/9)
7SPOTについて調べてみた。 (togetter, 12/7〜)
》 Site of Dutch CA Gemnet Offline After Web Server Attack (threatpost, 12/8)。KPN の子会社 Gemnet がハクられた模様。
関連: Second Dutch security firm hacked, unsecured phpMyAdmin implicated (Sophos, 12/8)
》 明治、セシウム情報を2週間放置 粉ミルク問題 (47news.jp, 12/9)
11月中旬にセシウム混入の情報が3件同社に寄せられていたのに、約2週間にわたり放置し、詳しい検査に乗り出さなかった (中略) 明治は12月になって、市民団体の通報と共同通信の取材をきっかけに製品の詳細検査を始めた。
》 福井事件再審決定 検察が異議申し立て (壇弁護士の事務室, 12/5)
しかし、今回伝えたいのは、そういうことではない。
受刑者に与えられた現実である。
(中略)
おそらく、拘禁反応であろう。人は、拘束下に長期間いると、精神を病むことがある。
世間ではあまり取り上げられないことであるが、珍しいことではない。
裁判所は、自らが判断を誤っていれば、彼の人生や人格を奪ったことにもなる。刑事補償すれば良いというような問題ではない。彼に有罪判決を書いた裁判官は、無言を貫くのであろうか。
裁判官だけではない。弁護士は、自らの力不足が、取り返しつかない結果を生むことになるのである。私たちは、そういう気持ちで事件に対峙しているのだろうか。
そして、彼が罪を犯したとして、刑罰は矯正教育になっているのだろうか?もし、刑罰が教育刑を本旨とするのであれば、犯罪者の矯正は、国家に課せられた義務でもあろう。
検察官は、安易に施設内矯正と言うが、本件みたいに精神を蝕んで、それは矯正なのだろうか。
》 How to keep Mac OS X's safe downloads list up-to-date (Sophos, 12/5)
》 米国ステルス無人偵察機 RQ-170、イランに捕獲される。数日前から話題になってましたが、ついに画像が公開されたそうで。
イラン、「撃墜した米無人偵察機」の映像を初公開 (AFPBB, 12/9)。誰がどう見ても RQ-170 です。
米国では、この無人機から獲得した先端技術をイランが利用するのではないかとの懸念が出ていると報じられている。しかしある匿名の米当局者は7日、イランには無人機から得た情報を活用できるほどの技術力はないだろうと米政府は考えていると述べた。
そうだとしても、活用できるほどの技術力を持っている、他の国をひっぱってくればいいだけじゃん。
完全に無傷のままだった!イラン、捕獲した米軍最新鋭ドローン「RQ-170」の初映像を公開(動画) (gizmodo, 12/9)
RQ-170 (ウィキペディア)
BREAKING: Iran claims RQ-170 kill (The DEW Line, 12/4)
イラン、アフガン国境付近で米軍無人機を撃墜 (イランラジオ, 12/5)
米、イラン領内での米無人機撃墜を認める (イランラジオ, 12/6)
アメリカ当局が、偵察機を取り返そうと画策 (イランラジオ, 12/7)
イランによるアメリカ無人偵察機の撃墜 (イランラジオ, 12/7)
イランを領空侵犯した、米無人機の詳細を発表 (イランラジオ, 12/8)
撃墜の米偵察機、中露がイランに調査依頼 (読売, 12/8)
RQ-170 Stealth Drone Used in Bin Laden Raid (defensetech.org, 5/18)
サイバー攻撃の話 (Security, time after time, 12/9)
第179回国会 議院運営委員会 庶務小委員会 第5号 平成23年11月14日(月曜日) (衆議院, 11/14)。 衆議院トップ からたどる場合は、会議録 → 第179回国会:議院運営委員会 → 議院運営委員会庶務小委員会 で。
今回の調査においては、まず、端末Aが一次感染、議員アカウントサーバー四台及び運用管理端末二台への感染を二次感染、二十五名の議員端末への感染を三次感染と整理しております。
なお、悪意のあるメールを送信された三台の端末のうち二台については、メールの添付ファイルは開かれずに削除されたため、一次感染とはなりませんでした。
》 乳児用粉ミルクの放射性セシウム汚染について心配しておられる 妊娠・授乳中女性へのご案内 (日本産科婦人科学会, 12/8)
尚、今回、検出された粉ミルク中の放射性物質の量は、粉ミルクが希釈されて用いられるものであることを考慮すると、平成23年5-6月に行われた厚生労働科学研究費補助金・成育疾患克服等次世代育成基盤研究事業「東日本大震災に伴う東京電力福島第一原子力発電所事故による母乳中の放射性物質濃度評価に関する調査研究」班による母乳中の放射性物質濃度等の調査1) の際、母乳中にセシウムが検出された方の結果(108人中7人から放射性セシウムが1.9から13.1ベクレル/kg検出)に近い水準と考えられます。従って、平成23年6月8日付のお知らせ(「母乳中放射性物質濃度等に関する調査」についてのQ&A)2)と同様、「通常の授乳期間、授乳を続けても、お子さんの健康に影響することはありません。」とお伝えすることが可能だと判断いたします。
》 おしどりマコ・ケンの「脱ってみる?」 (マガジン9)。おしどりさんすげぇ。
第32回 第116回放射線審議会、ほっといても2年後に40%下がるのに除染するの? の件。 (おしどりマコ・ケンの「脱ってみる?」, 12/2)。政府方針は「2年で50%減」なわけですが、
文科省・伊藤審議官「22日のあの、放射線審議会でのやりとりについては、私自身承知をしておらない訳でございますが。ご質問にありました、今後福島県におけるその、線量低減の見通し、というご質問だったと思います。 あの、私が答えるのもあれですが、8月26日に原子力災害対策本部の方で『除染に関する緊急実施基本方針』というのを出しておりまして、まあそこではですね、今後2年後をめどに、一般公衆の被曝線量をまあ50%減少した状態を実現すると。
50%の内訳なんですけども、放射性物質などの物理的減衰、あるいは風雨など自然要因による減衰、ウェザーリング効果(風雨などによる自然要因による減衰効果)というものによって2年間でまず40%減少する。除染によって更に10%を削減して50%を達成する、というのが政府全体としての目標として掲げられてるところであります」
人力除染では高々 10% 減しかできません、残り 40% は自然任せです、と明言。いやはや、本当にこうだったのね。意味がわからない人は、3年で半減する放射線量/「原発なくせ」を世界に (長谷部あつし, 10/4) とか見てみてね。
福島県の自治体の役人の方にお聞きしたのですが、福島県の自治体というのは現在、とても矛盾している、とのこと。住民の幸せを考えるのがそもそも自治体の仕事なんだけど、住民が避難して移住してしまうと、税収が減るでしょう? 自治体にとって住民はお客さまの側面があるのです。自治体の収入は、税収と行政からの予算なので、だから、多額の予算がつき、住民を移住させない除染政策にのっとってるんだ、自分の家族は避難させていても、ですって。
「避難した住民は市民、村民として扱わない」と明言した自治体の長までいらっしゃいます。
ひでぇ……。
文科省・伊藤審議官「先ほどの質疑の中で、疑問だったんだけど、除染をしたくない、っていう住民の方がいるってどういうことなの? 避難したいってこと?」
——もちろん、避難、移住したいという希望もありますが、それだけではなく、ほっといても2年後に線量が40%下がるなら、今から急いで除染するのではなく、2年間どこかに避難して2年後に戻ってきてそこから除染するとか、2年後にもう一度考えるとか、もしくは高齢の方なら除染しても10%しか下がらないのなら、庭の木や山の木を切り刻んで除染したくない、とか、本当に様々なのです。せっかく2年後に40%自然に下がるのに、この2年間で何億もつぎ込んで10%下げる意味はあるのか? もっと他のことに予算を使わせてもらえないのか? など、今の「除染して住む」政策には疑問の声が多いんです。
文科省・伊藤審議官「なるほど、よくわかりました! それはおっしゃるとおりですね、そうお考えになるのもよくわかります。しかし自治体の長の声と全然違いますね。」
——そうなんです! 自治体は予算の関係からか、除染政策一辺倒なのですが…
文科省・伊藤審議官「その自治体の長を住民が選んだ、ということですからね… うーむ、なんというか、そこは民主主義の悩ましいところなんですよね! 」
複数の選択肢を示して、お好きなものをお選びください、としないと駄目なのだろうなあ。誰にでも通用する「たった 1 つの冴えたやりかた」があるわけではないのだ。
第33回 NNSAの生データその後、計4回の会見の件。 (おしどりマコ・ケンの「脱ってみる?」, 12/7)
この日のぶら下がりで安全委員会の加藤審議官に「NNSAの生データ、ご覧になりました? いかがでした?」とお聞きしてみました。
加藤さん「実は、あんまりまだじっくり見てないんです」
——えぇー残念、ご見解をお聞きしたかったですのに!
加藤さん「ごめんなさいね、役所のパソコンでは見れないんですよ、家に帰ってからじゃないと見れないからなかなか見れなくって」
なんと、文科省では NNSA がフィルタリングされてて見れないらしい。 他にもさまざまなサイトがフィルタリングされているようで、
安全委員会の若い方「ショッピングサイトが見れない、ということは新幹線や飛行機のチケットも取れないので、急な出張で手配を頼まれたときとか本当に困るんですよ!」
加藤さん「ねー、ほんと、ブログ見にくいのは不便だよねぇ」
安全委員会の若い方「いまどき、市町村の自治体でブログで広報やっているところもありますからね、そこも見れないことがあるのです」
本来業務に支障が出ているのでは、本末転倒じゃなイカ。
——じゃぁ、このNNSAのサイトも見れない、ということなんですか?
加藤さん「はい、ほんと日本の仕事用というわけで、海外のサイトは見れないんですよ」
——わーびっくり。どこの省庁でもそうですか? だから、DOEやNNSAのサイトはみなさんチェックしておられなかったってことですか?
加藤さん「そうかもしれません。少なくとも私は役所のパソコンでは見れませんでしたから。家のパソコンで見て、プリントアウトしてゆっくり見ようかと思ったけど、すごいデータ量でビックリしてあきらめちゃった」
駄目すぎる。
第34回 過去の内部被曝の評価に関する追及、その後の件。 (おしどりマコ・ケンの「脱ってみる?」, 12/8)。園田政務官はつまり、とりあえず何もしないと言っているわけですね。放置プレイかよ。
第35回 平成23年度の患者調査で宮城県の一部と福島県が除外される件。 (おしどりマコ・ケンの「脱ってみる?」, 12/9)。 読みながら、役所に質問するときは、担当部署名を聞き出すことが重要なのだなあ、と思った。 結局、この記事の時点では、なぜそうなったのかよくわからない模様。 一口に福島と言ってもずいぶん広いのだが、内陸部まで除外されている理由がわからない。
他で手一杯だからどうしよ? と思いましたが、やっぱり気になることが2点。
(1)福島県庁がどういう判断をして、厚労省の患者調査に協力しなかったか。
(厚労省の方との電話取材の中で生じた疑問)
(2)患者調査への原発の影響というのはどういった判断をしたのか
(統計分科会の議事録の中の発言、「福島県は特に地震だけの影響ではなくて、原発の影響もあって、平時でない状況」という意味)
少なくとも、福島県庁への取材と、過去、患者調査が除外された地域というものはあるのか、そして「原発の影響」の意味をご発言された早川統計企画調整室長にお聞きしたいものです。
》 シーシェパードをついに裁判で訴えることが決定、今までの妨害の写真と映像まとめ (gigazine, 12/9)
》 「地震で炉心損傷なら、復旧着手に4年」 英の指摘、触れず導入 (東京新聞, 12/9)。UK も US 東海岸も、地震には縁遠い地域ですからね。
》 英高速増殖炉:解体完了に半世紀 費用は3500億円にも (毎日, 12/9)。解体を開始してから 30 年が経過。いまだに終らないどころか、あと 20 年かかるという。
》 What to do if your BIND or DHCP server has crashed (ISC, 5/17)。BIND や DHCP サーバが落ちたらこうしてね。
》 「国立大学法人群馬大学と独立行政法人日本原子力研究開発機構との連携協力に関する協定」の締結について (JAEA, 3/5)。早川教授を撃つ理由なのか。
関連: ツイッター発言で教授処分 群馬大、被災地の農家批判 (産経 MSN, 12/8)
》 週刊ポスト12月9日号(153〜154頁)「福島第一原発はロシアにサイバー攻撃されていた」について (東電, 12/8)
》 内柴正人「準強姦と強姦」どこが違うのか?酩酊の基準は? (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/8)
》 law:消費者安全法の改正論議 (Matimulog, 12/6)
消費者庁の最大の問題点は、大量の消費者事故に適切に対処できるほどの人員を備えておらず、行政処分をやろうにも調査一つおぼつかないというところである。
例の安愚楽牧場の処分なども、さんざん被害が出て破産までした後になってようやっと、であるから、被害の拡大防止という役割を果たせないでいるのである。
》 MAPP Partners with Updated Protections (Microsoft)。マイクロソフト セキュリティ アドバイザリ (2639658) TrueType フォント解析の脆弱性により、特権が昇格される に対して 48 時間以内 / 48〜96 時間以内に対応したパートナー企業の一覧。
》 流行語大賞が発表されたが、今年は呆れた。 (金曜日, 12/9)。俺も「ただちに人体に影響はない」がいいと思う。
》 八ッ場ダム:国交省の方針尊重 官房長官、建設再開を容認 (毎日, 12/9)。まさに「デモクラシー以後」だな。
遺体—震災、津波の果てに— (新潮社)
関連: 『遺体』について大切なお知らせ (石井光太−旅の物語、物語の旅−, 12/9)
「僕はしゃべるためにここ(被災地)へ来た」 (フジテレビ, 11/1)。とくダネ! の笠井アナの手記。
「震災取材での筆舌に尽くしがたい経験は、何かの形で残さなければいけないと思っていました。誰か他のジャーナリストが書くだろうとも、思っていました。あの時、あの現場で何が起きていたか、テレビや新聞では伝えられなかった事実を…。しかし、出版されたのは被災者の皆さんの思いをつづった本や原発事故・放射能関係の本が大半でした。そこで、自分で書こうと決意したのです。“ここまで書いて大丈夫ですか”と、読んだ方に感想をいただきましたが、答えは一つです。中途半端な手記なら無理に出版する必要はない。被災地で報道人として、1人の人間として、どう生きればいいのかという悩みや葛藤も含めて、被災地の真実と報道人の本音を正直につづりました。よろしくお願いします」
》 Googleの2段階認証が日本でも使えるようになった (Web屋のネタ帳, 12/8)
》 Sophos Endpoint Protection 10 では、次の 3 つのアドオンが用意されるそうで。
Patch Assessment add-on がどのくらい使いものになるものなのか、興味があるなあ。
》 TUP速報930号 アフガニスタンの「殺人部隊」によって明かされた真実 《シリーズ「マラライ・ジョヤとアフガニスタンの今」第4回》 (ニューズマグ, 12/8)。Guardian 3/30 記事の翻訳。
Flash Player 11.1.102.55 以前に 0-day 欠陥。既に PoC も公開されている。 Adobe からの情報はまだない。
14 件 (緊急 x 3、重要 x 11) を予定。 IE あり、Office あり。 SA 2639658: TrueType フォント解析の脆弱性により、特権が昇格されるの件、 SA2588513: SSL/TLS の脆弱性により、情報漏えいが起こるの件も修正される予定。
Sykipot による攻撃の詳細 (シマンテック, 2011.12.09)
Download.com "apologises" for bundling (H Online, 2011.12.08)
関連:
The Mystery of Duqu: Part Six (The Command and Control servers) (Kaspersky, 2011.11.30)
FinFisher 関連:
エジプト、FinFisher侵入ツールそして倫理 (エフセキュアブログ, 2011.03.08)
Apple Took 3+ Years to Fix FinFisher Trojan Hole (Krebs on Security, 2011.11.23)
サードパーティCookieの歴史と現状 (最速転職研究会)
サードパーティCookieの歴史と現状 Part1 前提知識の共有 (最速転職研究会, 2011.11.25)
サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題ockeghem (green) (最速転職研究会, 2011.11.30)
サードパーティCookieの歴史と現状 Part3 広告における利用、トラッキング、ターゲティング広告におけるプライバシーリスク (最速転職研究会, 2011.12.02)
GNUTLS-SA-2011-2 (GNU.org)。GnuTLS に欠陥があり、クライアントが非標準的な手順で動作した場合に、サーバ側から DoS 攻撃を受ける。 ドキュメントどおりの手順を使っていれば、この攻撃は受けない。 CVE-2011-4128
GnuTLS 3.0.7 / 2.12.14 で修正されている。
Maintenance Release - Foxit Reader 5.1.3 (foxitsoftware.com, 2011.12.07)。Foxit Reader 5.1.3 にはセキュリティ修正が含まれるようです。
Foxit Reader 5.1.3 fixes an issue of Foxit Reader when opening certain PDF files. This issue was caused by the cross-border assignment of an array which may result in memory corruption vulnerabilities or potential memory corruption vulnerabilities.
JVNVU#713012: CA SiteMinder にクロスサイトスクリプティングの脆弱性 (JVN, 2011.12.08)。更新版があるそうです。
New Yahoo Messenger 0-Day Exploit Hijacks User's Status Update (malwarecity.com, 2011.12.02)、Yahoo Closes Zero-Day YIM Hole (malwarecity.com, 2011.12.07)。Yahoo メッセンジャー 0-Day の件、サーバ側で対応されたようです。
iTunes 10.5.1 で修正されたものと同様の欠陥が Java にもあり、こちらはまだ修正されていない、という指摘。
FFFTP 1.98c 以前のファイル読み込み処理に欠陥があり、任意のコードを実行される恐れがある。 CVE-2011-4266
FFFTP 1.98d で修正されている。
こちらの方が詳しい: FFFTP 1.98c以前に存在する脆弱性について(2011年12月09日) (sourceforge.jp, 2011.12.09)
オリンパス取締役会形骸化 第三者委「縦割り意識極端」 (asahi.com, 12/8)
「芯まで腐っていた」オリンパスが日本の企業統治の代表に (goo ニュース, 12/7)
》 「絵文字」文化が米国でも広がる iPhone普及で (ITmedia, 12/8)
早川教授への訓告文書 (ow.ly)
早川由紀夫群馬大教授に対する「訓告」に関しての渡邊先生のツイート (togetter, 12/7)
》 放射線教育:文科省、電力系財団に副読本委託 (毎日, 12/8)。いまだにこんなことをやっているという。
》 私が加害者とされているキャンパスハラスメントについて (Y.AMO (apj) Lab)
グルーポンの中国進出失敗の背景にある4つの過ち (Startup Dating, 12/8)
グルーポンに賠償求め提訴へ「契約より多く販売し損害」 (asahi.com, 12/7)。「北九州市小倉南区の飲食店」
》 小出裕章「ベントが水素爆発の引き金になった可能性すらある」東電社 員が「地震」でベント配管破損を指摘 12/7(3) (ざまあみやがれい!, 12/8)。 東京電力株式会社福島第一原子力発電所の事故に係る保安調査に関連する文書の公開について (経産省, 12/6) の件。
》 小出裕章「そん時になんで報道しなかったんでしょうね」ーー美浜2号停止。ひと月前から「冷却水」漏れ続ける事故。福井県が隠蔽に加担か 12/7(1) (ざまあみやがれい!, 12/8)。11/9 に水漏れ事故が始まっているのに、「電力供給を確保するため、関電は美浜2号機の定期検査入りを11月29日から法定期限いっぱいまで遅らせ、今月18日に運転を停止する予定だった」そうで。
》 google+にアップされた衝撃の写真=文革かと見紛う弾圧の光景—チベット(tonbani) (KINBRICKS NOW, 12/7)
》 罠にはめられたアップル?!全面敗訴で中国でのiPad商標を失う (KINBRICKS NOW, 12/6)
》 激動 中東はどこへ(3) トルコ モダンイスラムの挑戦 (NHK クローズアップ現代, 12/7)。EU への加盟を拒否されたのは、今から思えば幸運だったとしか言いようがないなあ。
》 シリーズ原発危機 メルトダウン 〜福島原発事故あの時何が〜(仮) (NHK スペシャル, 12/18 放送予定)
》 トラブルをわざと発生させサーバ問題解決能力を鍛える「Trouble-Maker」 (gigazine, 12/8)。「顧客が変なことを言ってくる」という機能はないのだろうなあ。
》 無料とは思えないほどパワフルな機能満載のFTPクライアント「FTP Rush」 (gigazine, 12/7)。文字コード変換機能はなさそうだけど……。
》 スマートフォン化で変化するビジネスモデルとキャリアの責任 (ITmedia, 12/7)。3G と Wi-Fi とではフィルタリングの様相が異なる件。 3G は義務だが Wi-Fi はそうではない。
》 モンサントに「2011年の最悪の企業」の烙印 (カレイドスコープ, 12/8)。遺伝子組み換え作物や、除草剤ラウンドアップでおなじみのモンサント。使ったが最後、一生モンサント漬けの楽しい人生が待っています。
TPPに加盟すれば、S.510食料安全法案を盾にして、あらゆる規制の撤廃を求めてくるでしょう。
そして、その後にはモンサントが乗り込んでくることは100%確実なことです。
》 三上晴子 欲望のコード (NTT インターコミュニケーション・センター)。12/18 まで。関連:
カメラ追尾、「監視社会」体感する展覧会 (asahi.com, 12/8)
三上晴子 / Seiko Mikami「Desire of Codes|欲望のコード」公開直前映像 (YouTube)。2010 年、山口情報芸術センターでの「欲望のコード」。 今回のものは、これのアップグレード版だそうで。
三上晴子『欲望のコード』 (TOKYO ART BEAT, 11/21)
開戦 いまも痛む心 真珠湾 魚雷放った元搭乗員 (東京新聞, 12/8)。97艦攻搭乗員。(加賀)
戦争の記憶語り続ける 70年前ゼロ戦で真珠湾出撃した長野の95歳 (信濃毎日, 12/8)。零戦パイロット。(蒼龍)
空母沈没「兵隊の死はただ惨め」 元乗組員堀本さん (神戸新聞)。整備兵。(瑞鶴)
旧 海軍の暗号方式 真珠湾前に解読 米軍史料発見で新説 (東京新聞, 12/8)
原氏は「開戦前に解読していたと明記した史料はこれが初めて。どこまで旧海軍の指示が明らかにできていたかは、検証する必要がある」と話している。
真珠湾攻撃:開戦1時間前、「知られざる開戦」を証言 (毎日, 12/8)。マレー作戦: コタバル強襲上陸 (ウィキペディア)
小松原師団長はソ連のスパイ?=ノモンハン事件で新説 (asahi.com, 12/8)
》 滋賀: 美浜/大飯原発で福島並み事故 (asahi.com, 11/26)
福島第一原発事故を受け、地域防災計画の見直しのために県が設置した検討委員会の3回目の会合が25日にあり、県独自で作成した放射性物質の拡散予測図の詳細データが公表された。福井県にある関西電力美浜原発で重大事故が起きた場合、県内の半分以上の範囲で屋内退避か、甲状腺の被曝(ひ・ばく)を防ぐ安定ヨウ素剤の服用が必要になる可能性が示された。
「第3回滋賀県地域防災計画(原子力災害対策編)の見直しに係る検討委員会」の件。 asahi.com 記事では図入りで説明されている。 防災危機管理局 (滋賀県) にも、そのうち概要が掲載されるはず。 (2012.02.03 追記: 第3回地域防災計画(原子力災害対策編)の見直しに係る検討委員会の概要について (滋賀県, 2011.12.13) の資料2)
関連: 第3回滋賀県地域防災計画(原子力災害対策編)の見直しに係る検討委員会で、唯一の「プロレスショー」が開催一時間後にあった… (twitpic, 11/27)
》 「鎌倉へ14mの津波」 神奈川県が想定大幅引き上げ (asahi.com, 12/7)。神奈川県の新しい津波浸水想定、今日発表されるそうなのだが、 防災・災害情報 (神奈川県) にはまだないみたい。関連:
津波が鎌倉大仏まで至った「明応地震」検証へ (読売, 9/3)
県土整備局 河川下水道部 流域海岸企画課 津波浸水想定検討部会 (神奈川県)。ここで検討されてきたみたい。
ISC DHCP 4.x に欠陥。DHCP サーバにおける正規表現の評価に欠陥があり、 DHCP サーバにおいて正規表現による評価を行うよう設定していると、 攻略 DHCP Request パケットにより ISC DHCP サーバを crash させられる。
ISC DHCP 4.1-ESV-R4 / 4.2.3-P1 で修正されている。おおかわさん情報ありがとうございます。
CNET が運営する download.com から Nmap をダウンロードすると、なぜか download.com 独自のインストーラが勝手に組みこまれている。実行すると、ツールバーがインストールされたり検索エンジンが Bing になったりホームページが MSN になったりする。 うへぇ。関連:
ダウンロードサイトがセキュリティツールにマルウェアをバンドル? 開発者が苦言 (ITmedia, 2011.12.07)
Popular network tool Nmap in CNET security brouhaha (Sophos, 2011.12.06)
Cnet de-trojans Nmap, but outrage continues (CSO, 2011.12.08)
Download.com "apologises" for bundling (H Online, 2011.12.08)
プロトコルの欠陥だそうです。CBC モード時のみ発現。
ISC のアドバイザリが改訂されている。
観測された事象 (named クラッシュ) は、攻撃ではなく事故であった。
named をキャッシュ DNS サーバとしてのみ運用している場合には、named.conf に minimal-responses yes; を追加することで回避できることが判明した。 CVE-2011-4313 FAQ and Supplemental Information を参照。 アップデートが推奨されているのは変わらない。
関連:
(緊急)BIND 9.xのキャッシュDNSサーバー機能の実装上の問題による namedのサービス停止について - バージョンアップを強く推奨 - (JPRS, 2011.12.07 更新)
CVE-2011-4313 BIND9 キャッシュサーバの脆弱性について (続報) (IIJ-SECT, 2011.12.07)
U3D (ユニバーサル 3D) というのは、3D データのためのファイル形式の 1 つなのですね。これを PDF ファイルに埋め込めると。
APSA11-04: Adobe Reader および Acrobat に関するセキュリティ情報 (Adobe)
U3D メモリ破損の脆弱性(CVE-2011-2462) により、アプリケーションが強制終了する、または影響を受けるシステムが攻撃者によって制御される可能性があります。この脆弱性を悪用し、Windows 版 Adobe Reader 9.x を対象として攻撃が行われているという事例が報告されています。この脆弱性を悪用した攻撃は、Adobe Reader X の保護モードおよび Acrobat X の保護されたビューにより防止することができます。
PRC および U3D 変換形式について (adobe)
U3D は ECMA インターナショナルで採用されているオープンスタンダード形式で、主に表示と公開のために使用されます。U3D 設定は、デジタルコンテンツ作成アプリケーションで作成されたほとんどの CAD ファイルの場合に使用できます。これらの設定は、機械工学アプリケーションで作成されたほとんどの CAD ファイルでも使用できます。
Attackers Hit New Adobe Reader, Acrobat Flaw - bit.ly/tHFcrK SH: this is perfect vector to compromise ICS / SCADA hosts. (@SCADAhacker Joel Langill, 2011.12.07)。なるほど、ICS / SCADA 狙いにちょうどいいですか。
その他:
Adobe Reader のゼロデイ脆弱性の悪用 (シマンテック, 2011.12.08)
》 SHARP製Android端末にあるLifeLogServiceの謎 (togetter, 10/24〜)
「明治ステップ(850g缶)」のお取り替えに関するお詫びとお知らせ (明治, 12/6)。更新されてます。検査済み製品が増えました。 Cs 検出は、あいかわらず「明治ステップ(850g缶)」のみの模様です。 >
粉ミルクの放射性物質に関する報道について (雪印メグミルク, 12/7)。不検出。
弊社粉ミルクにおける放射性物質について (ビーンスターク・スノー, 12/7)。不検出。
乳児用調製粉乳の放射性物質検査結果について (日本乳業協会, 8/26)。各社の検査の結果、検出せずでしたという件。しかし明治は「ほほえみ」しか検査していなかったのだ。
「粉ミルク製品」の放射性物質検査について (アイクレオ, 8/26)
乳児用調製粉乳の放射性物質検査について (和光堂, 9/2)
育児用粉乳の放射性物質検査について (森永乳業, 8/30)
》 ウィキリークスに豪ウォークリー賞、ジャーナリズムへの貢献を評価 (AFPBB, 11/28)
》 藤本健のソーラーリポート 最新の太陽電池が集う「PV Japan 2011」を見る(後編) (家電 Watch, 12/7)
》 標的型攻撃を防ぐには最新のパッチが有効、ゼロデイ攻撃は多くない (日経 IT Pro, 12/7)。ミッコ・ヒッポネン氏インタビュー。
》 EMETを利用した標的型メールの防御 (日経 IT Pro, 12/7)
》 アップル 電子書籍で不正協定か (NHK, 12/7)、 アップルと出版5社、電子書籍販売を巡りEUの調査対象に--反競争的行為の疑い (CNET, 12/7)
Appleと、Harper Collins、Simon & Schuster、Penguinを含む出版社5社は、「欧州経済領域(EEA)における電子書籍の販売に影響を与える反競争的行為に関与」している可能性があるとして、欧州委員会(EC)による調査の対象となった。
》 Facebook上の非公開写真、バグにより他人が閲覧できる状態に--現在は対応中 (CNET, 12/7)。↓のとは違う話。
》 Facebookは非公開設定でも直リンで誰でも写真が見れる上に、削除しても永遠に写真は消えないようです。 (村上福之の誠にデジタルな話, 12/6)。正しい実装だとは私は思わないけど、 現にそうなっているという事実。
》 MicrosDft Corporationのニセアプリ「MSN 2012」から学ぶAndroidアプリのセキュリティ (AndroidSmart, 12/5)。これほどあからさまなニセアプリですら通ってしまうとは。Android Market って心底ザルなのですね。
》 私は元気です。 鈴木宗男氏(新党大地代表) (The Journal, 12/7)
》 Apple対Samsung訴訟、黒塗り判決文からうっかり見えた“秘密情報” (ITmedia, 12/6)
》 KDDI、災害時に出動する車載型移動基地局の訓練を公開 (マイナビニュース, 12/6)
》 Android脅威が急速に拡大、Android向けマルウエアは前年比90%増加、iOS向けは25%増 (日経 IT Pro, 12/7)。Fortinet 調べ。
》 米シマンテック、「スパムの数が3年ぶりに減少した」と調査結果を発表 電子メールからソーシャル・メディア・サイトへ標的を変え、成功を収めたスパム業者 (ComputerWorld.jp, 12/7)。spam は SNS へ。
》 なんだって? Paypalが恵まれない子供たちへのクリスマス・プレゼントを盗んでいるって? (techcrunch, 12/7)、不可解なアカウント凍結が相次ぐPayPalはユーザの信頼を失う (techcrunch, 12/7)。わけがわからないよ。
》 V8 as an Alternative to SpiderMonkey for JavaScript Deobfuscation (SANS ISC, 12/7)。JavaScript 難読化の「SpiderMonkey ではないもうひとつの方法」としての V8。
SpiderMonkey and V8 will be installed in the upcoming update to the REMnux Linux distribution. If this topic interests you, check out the Reverse-Engineering Malware course I'll be teaching at SANS on-line in January-February 2012.
》 Cain & Abel v4.9.43 released (oxid.it, 12/3) だそうです。
》 「ひこにゃん」がしめ縄作り (NHK, 12/7)。ひこにゃんサボり疑惑。
》 「うどん県」で郵便物届けて “副知事”要潤さんが郵便会社に要望 (産経 MSN, 12/6)
要さんは会談後、「郵便番号をしっかり書けば届くかもしれないということで、(要望は)成功したといえば成功した」と述べ、満足げだった。
「特殊な交渉術」は使用されなかった模様。関連:
香川県:「うどん県」でも郵便物届けて 郵便会社に要望 (毎日, 12/6)
県内などでは、キャンペーンに呼応する動きも広がりつつある。関西と高松を結ぶ高速バス「フットバス」(高松市)の行き先表示には「うどん県」の文字が。高松—神戸間を運航するジャンボフェリー(神戸市)も、ホームページにあった事務所所在地などの表記を「うどん県」に変更した。両社の担当者は「香川を訪れたことのない観光客を呼び込むには良い機会」と今後も同調する考えだ。
うどん県は本気だ。
「うどん県旅ネット」開設/県観光協会サイト一新 (四国新聞, 12/1)
うどん県×年賀状スペシャルサイト。「うどん県からのお年玉企画」が 12/9 に発表されるそうで。
関連:
Carrier IQにキーロガーの機能なし--Linuxハッカーが分析 (CNET, 2011.12.06)
CarrierIQ: The Real Story (Security Research by Dan Rosenberg, 2011.12.05)
Carrier IQの本当の話 (yebo blog, 2011.12.06)
Carrier IQ批判の高まり--その妥当性と問題点を検証 (CNET, 2011.12.07)
しかし、Carrier IQが最も深刻な嫌疑であるキーロギングを行っていないからといって、プライバシーに関する懸念が全くないわけではない。
通信事業者がインストールするように設計されている同社のソフトウェアが、実行中のアプリケーションや訪問先のURLの記録を送信できることをCoward氏は認めた。これらの決定を下すのはCarrier IQではない。同社は設定変更が可能なソフトウェアを販売しているのであって、どのオプションを有効にするかを決めるのは通信事業者だ。
「その情報を収集するかどうかは通信事業者次第だ」(Coward氏)
今回のケースでは、通信キャリアやCarrier IQのデータセンターに直接データを送信するように同ソフトウェアを設定することが可能だ。「どのモデルを使用するかに関係なく、そのデータをコントロールしているのはわれわれではない。データの権利はわれわれにはなく、販売、リース、貸与、共有することはできない。お気づきだと思うが、事業者はこのことに極めて厳格だ」(Coward氏)
Sprintは12月1日、「われわれは、ネットワーク上でのデバイスの顧客体験を把握し、あらゆる接続問題への対処方法を理解するのに必要な情報を収集している。ただし、このツールを使ってメッセージや写真、動画の中身を見ることはしていないし、それは不可能だ」と述べた。
これだけの情報では、実際に何が起きているのかを理解することはできない。AT&Tの声明も同様で、Carrier IQはAT&Tのプライバシーポリシーに基づいて使用されている、とだけ書かれている。
しかし、Al Franken上院議員(民主党、ミネソタ州選出)が1日、どのようなデータが収集されているのかを尋ねる書簡(PDFファイル)を書いたが、その宛先はSprintとAT&Tではなかった。両社はおそらくワシントンDCで最も影響力のあるロビー活動を行っているのだろう。Ed Markey下院議員(民主党、マサチューセッツ州選出)の2日付の書簡(PDFファイル)も、両社宛てのものではなかった。
残念なことだ。通信事業者はもっと積極的に情報を開示すべきだ。そして、政治家と集団訴訟弁護士(合計で2件の集団訴訟が提起されていた)は、誤った標的に狙いを定めている。
Carrier IQのスキャンダル化は自業自得—惨事を避ける方法はあった (techcrunch, 2011.12.07)
iPhone/iPadでCarrier IQのプライバシー問題が気になる人は診断情報の自動送信を切ろう (lifehacking, 2011.12.07)。iPhone / iPad では設定変更で無効化できるそうで。
「問題はCarrier IQでなく、キャリアとメーカー」著名研究者が解析結果 (Internet Watch, 2011.12.06)
Carrier IQ“覗き見”ソフト、auのHTC製端末には埋め込みなし (Internet Watch, 2011.12.06)
Adobe Reader / Acrobat 9.x / 10.x に任意のコードの実行を招く 0-day 欠陥。標的型攻撃に悪用される事例が確認されている。確認されている標的は Windows 版 Adobe Reader 9.x。 CVE-2011-2462
patch はまだない。Windows 版 Adobe Reader / Acrobat 9.x については、2011.12.12 の週が終るまでには patch が用意される。Adobe Reader 10.x (Adobe Reader X) の保護モード、Acrobat 10.x (Acrobat X) の保護されたビューはこの欠陥を突いた攻撃を防御できているため、これらについては次回の定期更新 (2012.01.10) において修正される予定。 Mac 版 / Unix 版 Adobe Reader / Acrobat についても、2012.01.10 に修正される予定。
というわけなので、Windows 版 Adobe Reader / Acrobat 9.x は、可能であれば今すぐ 10.x (最新は 10.1.1) に更新するのがよいだろう。関連:
日本語抄訳版: APSA11-04: Adobe Reader および Acrobat に関するセキュリティ情報 (Adobe)
Background on Adobe Reader and Acrobat Ship Schedule \u2013 CVE-2011-2462 (APSA11-04) (Adobe, 2011.12.06)
U3D (ユニバーサル 3D) というのは、3D データのためのファイル形式の 1 つなのですね。これを PDF ファイルに埋め込めると。
APSA11-04: Adobe Reader および Acrobat に関するセキュリティ情報 (Adobe)
U3D メモリ破損の脆弱性(CVE-2011-2462) により、アプリケーションが強制終了する、または影響を受けるシステムが攻撃者によって制御される可能性があります。この脆弱性を悪用し、Windows 版 Adobe Reader 9.x を対象として攻撃が行われているという事例が報告されています。この脆弱性を悪用した攻撃は、Adobe Reader X の保護モードおよび Acrobat X の保護されたビューにより防止することができます。
PRC および U3D 変換形式について (adobe)
U3D は ECMA インターナショナルで採用されているオープンスタンダード形式で、主に表示と公開のために使用されます。U3D 設定は、デジタルコンテンツ作成アプリケーションで作成されたほとんどの CAD ファイルの場合に使用できます。これらの設定は、機械工学アプリケーションで作成されたほとんどの CAD ファイルでも使用できます。
Attackers Hit New Adobe Reader, Acrobat Flaw - bit.ly/tHFcrK SH: this is perfect vector to compromise ICS / SCADA hosts. (@SCADAhacker Joel Langill, 2011.12.07)。なるほど、ICS / SCADA 狙いにちょうどいいですか。
その他:
Adobe Reader のゼロデイ脆弱性の悪用 (シマンテック, 2011.12.08)
Sykipot による攻撃の詳細 (シマンテック, 2011.12.09)
関連:
Inside Adobe Reader Zero-Day Exploit CVE 2011-2462 (McAfee Labs Blog, 2011.12.14)
Adobe Zero-day Vulnerability Installs Backdoor - Another Targeted Attack? (trendmicro blog, 2011.12.08)
Advisory が改訂されました。Windows 版 Adobe Reader / Acrobat 9.x の更新は 2011.12.16 (US 時間) に公開されるそうです。つまり明日。
Windows 版 Adobe Reader / Acrobat 9.4.7 出ました。
APSB11-30: Windows 版 Adobe Reader 9.x および Acrobat 9.x に関するセキュリティアップデート公開 (Adobe, 2011.12.19)
APSB11-30: Security updates available for Adobe Reader and Acrobat 9.x for Windows (Adobe, 2011.12.16)
APSB12-01: Adobe Reader および Acrobat に関するセキュリティアップデート公開 (Adobe, 2012.01.10) で Adobe Reader / Acrobat 9.5 / 10.1.2 出ました。修正されてます。
Adobe ReaderおよびAcrobatにおけるU3Dの処理の脆弱性(CVE-2011-2462)に関する検証レポート (NTTデータ先端技術, 2012.01.17)。Windows XP SP3 + Adobe Reader 9.4.6 での検証結果。
》 不正アクセスの次なる標的は複合機? 専門家が指摘 (ITmedia, 12/5)
山崎氏によれば、アンダーグラウンド市場で「SHODAN Hacking」というインターネット上に公開された複合機を検索できるツールが出回っているという。このツールは、国別やメーカー別などの条件で検索結果を絞り込むことも可能。攻撃者が脆弱なパスワードを悪用して複合機の遠隔保守機能などに不正アクセスした場合、複合機の設定情報や機器に保存されたドキュメントのイメージデータなどを盗み取ることができてしまう可能性がある。
関連:
シリア軍の演習 (中東の窓, 12/5)
ハマスはシリアを撤退する? (中東の窓, 12/5)
シリア情勢(シリアの策動?) (中東の窓, 12/6)
》 混乱する給食食材検査の現場 (Explore our Forest with Wisdom, 12/5)。「宮城県産ジャガイモからセシウムを検出」は誤検出だった可能性が高いと思われるのだが、改訂版マニュアルの存在は通知されていないし、再測定もされていない、という事例。
さっそく見学会に同席していた栗原市危機管理室の室長さんとお話をしたところ、カリウムを多く含む食品が放射性セシウムとして誤検出してしまう現象があることは、把握しておられました。
ただ、メーカーからマニュアルの改訂版としてその対策が通知されていることについて、メーカーからは何も連絡を受けていないとのことでした。
とりあえず、突然現れたどこの馬の骨とも知らないわたしが勝手に栗原市の検査機器のセッティングを治していくわけにもいかず ^^ メーカーに問い合わせてもらうようお伝えしておきました。
》 DNS浸透の都市伝説を斬る〜ランチのおともにDNS〜 (JPRS, 12/6)。Internet Week 2011 ランチセミナー資料。
》 ウイルス罪についてNHKが再び誤り解説を放送、無理解は深刻な状況 (高木浩光@自宅の日記, 11/19)。11/29 追記あり。
》 何が正しいのかを考える際は、正しさの基準が必要 (ockeghem(徳丸浩)の日記, 12/3)。「暗黙の型変換」は敵。
》 支援物資の物流で基本方針 (NHK, 12/5)。あらかじめ決めておく。
》 RSA、標的型攻撃をリアルタイムに検知する「RSA NetWitness」を販売開始 既存のセキュリティ対策では“漏れ”ていた脅威を可視化 (ComputerWorld.jp, 12/6)、 EMCジャパン、買収したNetWitness製品を日本で発売 (日経 IT Pro, 12/6)
》 「ハイパーバイザー管理者の権限が強すぎる」、ネットワン山崎氏が仮想化セキュリティを解説 (日経 IT Pro, 12/5)。仮想マシンの管理ルールをつくろう、ハイパーバイザーの管理者権限は強すぎるので権限を分離したり保護を強化したりしよう、物理的に分離すべき部分は分離して仮想化にたよりすぎないようにしよう。
関連: PCI DSSの仮想化セキュリティ・ガイドラインが示す「11の仮想化リスク」 仮想化は新たなリスクを生むことを認識し、運用管理ルールの改正を (ComputerWorld.jp, 12/6)
》 薄型または長方形のスマートフォンやタブレットは作るな!——アップルのサムスンへの言い分 (ComputerWorld.jp, 12/6)。 いつもの Apple じゃん。 他人のアイデアは俺様のアイデア。俺様のアイデアは俺様のアイデア。 Think Different!
》 貧困と戦うオンラインゲーム公開:WFP (国連情報誌SUNブログ対応版, 12/1)、 Online Game “Food Force” Puts Players On Front Lines Of Hunger (WFP, 11/30)。WFP とコナミが組んでつくった、Facebook 上で動くゲーム。日本語版もあるそうです。
》 オウム家族の会が、死刑執行回避の署名活動 (やや日刊カルト新聞, 12/6)
》 埼玉県議連が動員 「八ッ場建設」賛成意見 (東京新聞, 12/6)。八ッ場はやっぱりヤラセ。
》 「警視庁で2ちゃんねる撲滅作戦」 『週刊朝日』報道で賛否 (ニコニコニュース, 12/6)
》 第三者委員会調査報告について (オリンパス, 12/6)
》 「明治ステップ(850g缶)」のお取り替えに関するお詫びとお知らせ (明治, 12/6)
当社製品「明治ステップ(850g缶)」の一部の製品から、わずかながら放射性物質が検出されました。同物質の値は、食品衛生法に基づく乳児の飲用に関する暫定規制値(牛乳・乳製品で放射性セシウム134及び137の合計値200Bq/kg)以下で、22から31Bq/kgであり、毎日飲用されましても健康への影響はないレベルとされております。(中略) お取り替えをご希望のお客様におかれましては、新たな製品と取り替えさせていただきます。
また、「明治ほほえみ」、「明治ステップ」については、今後すべての製造日の製品で放射性物質の検査を行い、その結果を順次当社ホームページで掲載してまいります。
乾燥茶葉と同様、数値が高くなりがちな製品なのかな……。他社製品はどうなんだろう。あとクリープみたいな奴とか。関連報道:
放射性セシウム:明治の粉ミルクから検出 無償交換へ (毎日, 12/6)
明治の粉ミルク「ステップ」からセシウム、40万缶無償交換 (ロイター, 12/6)
詳細データ出ました「ほほえみ」については検出限界 (5Bq/kg) 未満だったそうです。
製品名 明治ステップ850g(缶) (明治)。特定のロットでのみ検出されているのがわかる。賞味期限「2012.10.03」「2012.10.04」「2012.10.05」 「2012.10.06」「2012.10.21」「2012.10.22」 「2012.10.23」「2012.10.24」 が交換対象品。
製品名 ほほえみ850g(缶) (明治)。全て未検出。
NHK「Bizスポ」の堀 潤氏によると、原料自体は原発事故前に生産されたものだそうで。
【16:00 明治、セシウムで粉ミルク交換(3)】会社側によると原料となる脱脂粉乳は全て東日本大震災の前に生産されたもので一部は北海道産だが大半は豪州などオセアニア地域から輸入されたもの。今回交換の対象となる製品は埼玉県春日部市の工場で震災後3月14日から20日までの間に加工された。 (@nhk_HORIJUN 堀 潤 Jun Hori, 12/6)
【16:35 明治、セシウムで粉ミルク交換(4)】((3)から続く)このため明治では「原因は特定できていないが、工場で外気を取り入れて乾燥させる加工工程で、東京電力福島第一原発の事故による大気中の放射性セシウムが入り込んだ可能性がある」と話している。 (@nhk_HORIJUN 堀 潤 Jun Hori, 12/6)
「埼玉県春日部市の工場で震災後3月14日から20日までの間に加工された」ですか……。
関連:
明治 (製造所固有記号データベース)、 明治乳業/生産工場(4/8情報更新) (放射能汚染食品情報)
森永乳業 (製造所固有記号データベース)、 森永乳業/生産工場(3/25情報更新) (放射能汚染食品情報)
新生児のお母さんに知っておいて欲しい母乳と粉ミルクについて (製造所固有記号データベース)。「放射能検査は特にしていない」というメーカーが多いなあ。
安心ミルク、森永「はぐくみ」「E赤ちゃん」「チルミル」ができるまで (森永乳業 妊娠・育児情報ホームページ 「はぐくみ」)。 どのメーカーでも似たような工程だろうということで。 「噴霧乾燥 (MD ドライヤー)」というのが疑われているのか。
》 グリーンピースがフランスの原発に“侵入”している本当の理由 (グリーンピース, 12/5)。実証実験。1 原発で成功。関連:
仏原発:グリーンピースが侵入、逮捕 「警備脆弱」と声明 (毎日, 12/6)
仏メディアやグリーンピースによると、9人は発電所内の2基ある原子炉のうち1基の外壁を登り、「安全な原子力は存在しない」との横断幕を掲げた。グリーンピースの原子力関係の担当者はAFP通信に「メンバーは有刺鉄線など四つの防御線を誰にも会うことなく突破した。原子炉の中枢や核燃料がある場所まで約15分で到達した」と話した。
15 分で十分ですよ。
原子力発電所を運営するフランス電力公社は「監視システムで侵入を把握、追尾をしていたが、あえて取り押さえなかった」との説明文を発表。
しかし他の原発では侵入を阻止しているわけで、苦しいなあ。
Greenpeace breaches French nuclear plant security (AFP, 12/5)
The dawn raid saw nine activists sneak past security at the Nogent-sur-Seine plant, 95 kilometres (60 miles) southeast of Paris. Most were quickly arrested but two managed to evade capture at the plant for nearly two hours, authorities said.
仏 原発に環境団体メンバー侵入 (NHK, 12/6)
一方日本は……
福島原発チョ〜危険!ネットで話題の潜入男性が告発“誰でも入れる” (ZAKZAK, 10/19)。山岡俊介氏が侵入に成功、「福島第一原発潜入記」を出版。
山岡氏は、こうした一部始終を、今月上梓した『福島第一原発潜入記』(双葉社)で詳細につづっている。
20キロ圏内への許可なき立ち入りは、災害対策基本法により10万円以下の罰金又は拘留。同原発への侵入は、建造物侵入となり、3年以下の懲役または50万円以下の罰金が課せられる。だが、「今回の潜入が刑法に抵触するのは承知しているが、この現実を放っておいていいのか。迷った末にリポートすることにした」(山岡氏)。
》 「浪江・小高原発」中止を決議 (NHK, 12/6)。南相馬市市議会決議 (12/5)。
》 巨人と読売グループ本社が清武氏提訴 1億円の損害賠償請求 (壇弁護士の事務室, 12/5)。 これにあわせて、12/6 の読売紙面がすさまじい状況になっている模様。
》 「スマホの写真で自宅が特定された」……GPSトラブルで東京都が注意喚起 (RBBToday, 12/2)。ジオタグの件。
》 MIAUは12月17日(土)に、仙台で『MIAU Presents ネットの羅針盤』インターネット公開生放送を行います。 (MiAU, 12/5)
》 共産党が民主党政権と広島3区・橋本博明議員に「死刑宣告」 (JANJAN blog, 12/4)
》 三鷹事件の「再審勉強会」開催 (JANJAN blog, 12/2)
この国鉄3事件がGHQと国家権力の「ヤラセ・デッチアゲ・謀略」の可能性が指摘されているのは当然であり、足利、布川事件を見ても検察の持つ「全証拠開示」が必須である。
》 相次ぐWebサービスの不正利用、パスワードを盗まれて悪用される ウイルス感染やフィッシング詐欺、使い回しが原因 (日経 IT Pro, 12/6)。パスワード使いまわし問題。
Android アプリは明示的に得られた権限の範囲のみで動作を許可される……はずなのだが、実際には、できないはずのこともできてしまう模様。
研究者らが4社・8種の Android スマートフォン、具体的には HTC(Legend / EVO 4G / Wildfire S)、モトローラ(Droid / Droid X)、サムスン(Epic 4G)、Google(Nexus One / Nexus S)を実際に調べたところ、すべての端末において、パーミッションを持たないアプリであっても、一部の権限を利用できたとのこと。どの権限が利用できたかは端末によりますが、たとえばHTC端末3種では音声の記録(通話データの記録も可)や SMS 送信、Epic 4G では端末データのクリアといった、ちょっと見過すことはできないようなことが実行できてしまっています。
Google Nexus One (Android 2.3.3) / Nexus S (Android 2.3.3) も含まれていることに注意。
原論文: Systematic Detection of Capability Leaks in Stock Android Smartphone (ncsu.edu)。Woodpecker というツールを作成して検査したそうで。
JVNVU#576355: Support Incident Tracker に複数の脆弱性 (JVN, 2011.12.05)。patch なし。
[Namazu-users-ja 1230] 日本語全文検索システム Namazu 2.0.21 リリース (namazu.org, 2011.07.19)。namazu 2.0.20 以下の namazu.cgi + IE 6 / 7 で XSS 。Namazu 2.0.21 で修正されている。 CVE-2011-4345
Zabbix <= 1.8.4 SQL Injection (Zabbix, 2011.11.24)。Zabbix 1.8.9 で修正されている。 CVE-2011-4674
JVN#61695284: PowerChute Business Edition におけるクロスサイトスクリプティングの脆弱性 (JVN, 2011.12.02)。更新版あり。 CVE-2011-4263
Geeklog 1.8.1 (geeklog.net, 2011.10.09)。XSS 欠陥 CVE-2011-4647 が修正されている。
APSB11-25: Security update available for Flex SDK (Adobe, 2011.11.30)。Flex SDK 3.x / 4.x (4.5.1 以下) に欠陥があり、XSS 欠陥のあるアプリケーションが作成されてしまう。CVE-2011-2461。
アプリケーションを個別に対応させることも可能だが、Adobe は SDK を更新した上で再ビルドすることを推奨している。Flex Security Issue APSB11-25 参照。
日本語抄訳版: APSB11-25: Flex SDK に関するセキュリティアップデート公開 (Adobe)
Flex SDK の件。
Flexのセキュリティ問題(APSB11-25) (Adobe)
2011年に確認済の脆弱性「CVE-2011-2461」が抱えるリスク (トレンドマイクロ セキュリティ blog, 2015.04.08)。 「依然として特定の影響を Webサイトへ及ぼしていることが判明」
Webサイトの管理者は、テストツール「ParrotNG」を使用して Webサーバの Flash ファイルをスキャンすることができます。脆弱性を抱えたファイルが確認された場合、2つの選択肢があります。
- 修正されたバージョンの Adobe Flexを使用して Flash ファイルを再コンパイルする
- 再コンパイルを避けたい場合は、Adobe より提供されたツールを使用して脆弱性を抱えた SWFファイルを修正する
Opera 11.60 (マグロ) 出ました。セキュリティ修正も含まれています。
- Fixed a moderately severe issue; details will be disclosed at a later date
- Fixed an issue that could allow pages to set cookies or communicate cross-site for some top level domains; see our advisory
- Improved handling of certificate revocation corner cases
- Added a fix for a weakness in the SSL v3.0 and TLS 1.0 specifications, as reported by Thai Duong and Juliano Rizzo; see our advisory
- Fixed an issue where the JavaScript "in" operator allowed leakage of cross-domain information, as reported by David Bloom; see our advisory
CVE-2011-4687 CVE-2011-4686 CVE-2011-4685 CVE-2011-4684 CVE-2011-4683 CVE-2011-4682 CVE-2011-4681
関連: 11.60 goes final (MyOpera, 2011.12.06)
》 イランのミサイル施設破壊 開発大きく後退と米紙 (産経 MSN, 12/5)。11/12 の「大爆発」の件。
》 インフルエンザ 流行の兆し (NHK「かぶん」ブログ, 12/2)。今日ワクチン打った。
》 ウィキリークス、内部告発用の新プラットフォーム開発へ 監視製品の開発企業を追った調査報告も発表 (ComputerWorld.jp, 12/2)
》 エフセキュアがAndroidセキュリティソフトを拡充、マルウエア対策がクラウド対応に (日経 IT Pro, 12/2)
》 Compiler Security Enhancements in Visual Studio 11 (Microsoft SDL blog, 12/2)
》 米連邦地裁、サムスン製品の販売差し止めを求めたアップルの仮処分申請を棄却 (ComputerWorld.jp, 12/5)
同連邦地裁のルーシー・コー(Lucy Koh)判事のこの決定により、Samsungは、「Galaxy S 4G」、「Infuse 4G」、「Droid Charge」、「Galaxy Tab 10.1」の米国での販売継続が可能になった。
》 アップル、従業員のSNS利用に関する社内ポリシーが流出 (CNET, 12/5)
》 米国 サイバー攻撃情報共有法案? (まるちゃんの情報セキュリティ気まぐれ日記, 12/5)
》 「科学的思考」のレッスン (水無月ばけらのえび日記, 12/4)。最近トランス・サイエンスという言葉を耳にしたのは、「白熱教室 JAPAN」大阪大学 小林傳司教授 (NHK)。
》 Three Great New Metasploit Books (Metasploit, 11/28)
》 Metasploit and PTES (Metasploit, 12/2)。Penetration Testing Execution Standard (PTES)。
》 電気も値札もないウガンダでアフリカがいつまで経っても貧しい理由を理解 (gigazine, 12/3)
ロシアの対シリア対艦ミサイルの供与 (中東の窓, 12/2)
シリア情勢(ロシアの絶対的なシリア支持?) (中東の窓, 12/2)
なお、もう一つ気になることは、このネットにしろ、aljazeerah にしろ、最近はシリア政府と言う言葉を使わずに、sirian regime に該当するアラビア語を使っていることで、それだけアラブのマスコミの世界でもシリア政府の正当性を否認する気持ちが強くなっているのではないでしょうか?
》 ここに注目! 「ロシア下院議会選挙 プーチン与党苦戦」 (NHK 解説委員室, 12/2)
》 ピックアップ@アジア 「韓米FTA 韓国の思惑は」 (NHK 解説委員室, 11/30)
》 権力者の犯罪をめぐる繰り返し: グロリア・マカパガル・アロヨ前大統領の逮捕 (IDE-JETRO, 12/2)
》 Carberp + BlackHole = growing fraud incidents (ESET Threat Blog, 12/4)
》 オウム裁判終結、オウム家族の会などが「麻原以外の死刑回避」求める (やや日刊カルト新聞, 11/22)
》 神世界事件、教祖隠匿の元神奈川県警警視に懲役2年求刑 (やや日刊カルト新聞, 11/26)
》 幸福の科学学園予定地で住民が反対デモ・大津市に不服申立てへ (やや日刊カルト新聞, 11/29)
》 Gleg releases Ver 1.8 of the SCADA+ Exploit Pack for Immunity Canvas (SCADAhacker, 11/27)
》 息子が逮捕された大王製紙の顧問、井川高雄氏(74)顧問を解任されても勝手に顧問を名乗り活動中 (渋谷陽一の「社長はつらいよ, 12/5)、 大王製紙前会長の父、経営に関与の意向 (読売, 12/6)
》 関西電力、12月1日から節電目的の「でんき予報」をスタート (家電 Watch, 11/28)、関西電力でんき予報
》 藤本健のソーラーリポート 太陽光発電の今が分かる「太陽光発電シンポジウム」イベントレポート〜“太陽光発電は高コスト”のウソ、初期費用なしで導入する方法とは (家電 Watch, 11/29)
》 「間違えないこと」「前例踏襲」の作法は減点評価法から生まれている (保坂展人のどこどこ日記, 11/27)
このような集積の中でまとめた本が今も集英社文庫から出ている『いじめの光景』です。発売から何度も版を重ねて10数万部が売れました。ここで、強く打ち出したのは「自分いじめからの解放」という部分です。
苦しんでいる若者数千人の声を聞いていくうちに、「自分いじめ」とよべる強い自己否定衝動にさらされ、やがて外に一歩も出られなくなってしまう経験をしていることを重く見たからです。現在は、教育や心理の場で「自尊感情」などと呼ばれていることと同一です。
このことに気づいたのは、17〜18年前に流行となっていた早期教育を取材した時でした。
「叱られたことしかないから、ほめ方が判らない」
というお母さんの言葉から、自己肯定基盤が脅かされ、つねに叱咤激励されてきた「優等生」の姿をみます。日本は年間3万人もの人々が生命を落としていく自殺大国です。そのことと、この「自己肯定基盤」の脆弱性は深い関連があるのではないかと思います。
》 やじうまミニレビュー 日立アロカメディカル「PDM-122」 (家電 Watch, 12/1)。記事には携帯電話で誤計数の件が記載されていない。 放射線線量計 マイドーズミニ PDM-122 (sailorshop.jp)
電波による誤計数防止のため、携帯電話等を5cm以内に近づけないでください。
》 【Windowsお悩み相談室】 第25回 Windows Sysinternals FAQ 3選 (ComputerWorld.jp, 12/3)
全国紙元社員、昏睡強盗で退職金など1650万円被害 中国人女2人きょう逮捕 退職送別会後、連れ去られる (産経 MSN, 11/24)
睡眠導入剤、強い酒…昏睡の全国紙元社員から退職金など1650万奪う 中国籍の女2人再逮捕 (産経 MSN, 11/24)
大手新聞社元社員昏睡強盗 中国人の女 他人名義の口座も悪用か ATM限度額“回避”し奪う (産経 MSN, 11/25)
“逆ナン”されて酩酊、記憶も途絶え… 行方不明になった大手新聞社元幹部、悪夢の2日間 (産経 MSN, 12/3)
》 記者会見オープン化に消極的な「北電」 枝野大臣が異例の「改善指示」 (ニコニコニュース, 12/3)。枝野大臣の「指示」によって、ようやく改善された模様。
》 児童ポルノのブロッキングと「DNS RPZ」/悩ましい「DNS運用の現実」 (Internet Watch, 12/2)。RPZ (Response Policy Zones) はおもしろそうなのですが、現時点では安定していないようで。
民田氏は、この表を示しながら、「割合として出してしまうとゼロではあるが、いまだにBIND 4がこれだけあることに驚いた」としながら、「BIND 9.3が多い」という点に注目してほしいと述べた。BIND 9.3系は、例えばRedHat Enterprise Linux 5.xやSolaris 10に含まれているバージョンであり、ベンダーのサポートのみに頼って運用していることが多いと言える。
民田氏は、古いBINDの問題点を挙げ、古い実装がいつまでも使い続けられ、そのままになる現実を何とかしたいという。DNSSEC時代のDNSサーバーは新しい実装を使うことが必須とされるばかりでなく、仕様や実装にかかわる問題を抱えたバージョンや、脆弱性を抱えたままのバージョンを使い続けることの危険性を訴えて発表を終えた。
関連:
スマホ覗き見問題で米Carrier IQが反論「プライバシーは守られている」 (Internet Watch, 2011.12.05)
米で話題の“スマホ覗き見”問題、国内3キャリアの端末は「確認中」 (Internet Watch, 2011.12.05)
Carrier IQ問題は「携帯ビジネスモデルの一面」〜米プライバシー擁護団体 (Internet Watch, 2011.12.05)
「カレログ」よりエゲツない? 米国議員、FTCにキャリアIQの調査を要請 (ComputerWorld.jp, 2011.12.05)
Carrier IQ問題続報 - 当事者やグーグルなどから声明、ほか(編集担当メモ) (wirelesswire.jp, 2011.12.02)
Carrier IQ問題 - 「ユーザーのキー入力記録や送信はない」と米セキュリティ専門家(wirelesswire.jp, 2011.12.03)。Dan Rosenberg 氏。
いっぽう、Computerworldでは、このローゼンバーグ氏による分析に関し、同氏の「あの動画に写っているのは、キーをタイプするといったイベントにCarrier IQのソフトが反応しているところだ。トレバーはあれを目にして、どんなキーストロークでも記録され、携帯通信キャリアに送られている、と早とちりしたのだろう。仮にそうした行為が行われているとすれば重大なプライバシーの侵害にあたるだろうが、しかし私が分析したところではそうしたことは行われていない(ことがわかった)」というコメントが紹介されている。
なお同氏によると、Carrier IQのソフトウェアは、「一部のスマートフォンにはデフォルトでインストールされており、それを削除 することは(ユーザー側では)誰にもできず、また(端末自体に関する)データを収集したり、それを携帯通信キャリアに送るといったことは実際に行っている」とし、「悪用される恐れが潜在的にある」という。
Carrier IQ問題 - 米では集団訴訟、独ではアップルなどに情報提供の要求 (wirelesswire.jp, 2011.12.03)
Oracle Java SE Critical Patch Update Advisory - October 2011
関連:
Java SE を対象とした既知の脆弱性を狙う攻撃に関する注意喚起 (JPCERT/CC, 2011.12.05)
Exploit for critical Java vulnerability added to Metasploit (Metasploit, 2011.12.04)
Oracle Java SE JDKおよびJREのRhinoスクリプトエンジンの脆弱性(CVE-2011-3544)に関する検証レポート (NTTデータ先端技術, 2011.12.02)
タダで使えるのにはワケがある……としても、めちゃくちゃすぎるなあ。
お客様情報の取得に関するお詫びとご説明 (コネクトフリー, 2011.12.05)
公衆無線LANによる通信傍受、改竄のリスク (水無月ばけらのえび日記, 2011.12.11)
》 選管サイトハッキング、犯人は与党議員秘書 (朝鮮日報, 12/3)
議員秘書は投票前日の10月25日、賭博サイトの運営を計画中のIT業者代表に「選管のウェブサイトを攻撃してほしい」と依頼し、IT業者代表はさらに2人にDDoS攻撃の実行を指示していた。議員秘書は攻撃依頼の容疑を否認しているが、警察は、補選で当選した朴元淳(パク・ウォンスン)氏のウェブサイトが投票当日に攻撃を受けた事件も議員秘書らの犯行だったという供述を得ている。
イラン:デモ隊が英大使館乱入 別施設の6英国人一時拘束 (毎日, 11/29)
イラン:英首相が報復措置を示唆 英国大使館襲撃で (毎日, 11/30)
英国:イランに大使館閉鎖命令 外交官退去も…襲撃に報復 (毎日, 12/1)
イラン:英大使館襲撃 独仏も大使召還 イラン、英に対抗姿勢 (毎日, 12/1)
イラン:英大使館襲撃 反大統領派、存在感 イラン国会議長、強硬発言繰り返す (毎日, 12/2)
イランのテヘランで先月29日に起きた英国大使館襲撃事件を巡る国際社会の非難に対し、アフマディネジャド大統領が沈黙を続ける中、ラリジャニ国会議長を頂点とする反大統領派が強硬発言を繰り返し、国内での存在感を誇示している。今回の事件を「反大統領派の画策」とする見方が浮上しており、事件の背景には、国内の苛烈な権力闘争が反映されている可能性がある。
尖閣を思い出した。
同盟か石油か 米、イラン産原油輸入削減要請 日米関係に新たな火種 (産経 MSN, 12/2)。イラン革命以後、ずーっと同じネタなわけですが。
英国から退去のイラン大使館一行、テヘランに到着 (AFPBB, 12/3)
対イラン軍事力行使、辞さぬ構え 米国防長官 (asahi.com, 12/3)
イラン、欧州にイランとの関係を損なわないよう勧告 (イランラジオ, 12/3)
》 核燃再処理:電事連でも撤退主張…東電、経産省首脳 (毎日, 12/3)
会議に出席していた電力首脳の一人は「(東電役員は)大きな声で何度も撤退を主張した。しかし、巨費を投じており『後に引けない』と思い賛成しなかった」と振り返った。そのうえで「いまだに再処理工場は完成していない。電気料金の値上げさえ避けられない今、電力会社には(さらに料金の値上げにつながる)核燃サイクルにこれ以上、金をかけるのは難しい」と語った。
》 福島原子力事故調査 中間報告書の公表について (東電, 12/2)。関連報道:
東日本大震災:福島第1原発事故 地震被害、再度否定−−東電中間報告 (毎日, 12/3)
解説:福島第1原発事故 東電中間報告 「結果的に」多用、甘さ露呈 (毎日, 12/3)
》 サイバー攻撃:偽「日常メール」ご用心 会議資料など装う (毎日, 12/3)
関連じゃない: Eテレで アニメ「日常」(Eテレ版)放送決定! (NHK, 11/26)。再編集版なのか。
》 防衛産業の浮沈のカギ握るFX選定(前編) 予算削減の影響で中小企業の“退場”が相次ぐ (日経ビジネス, 11/30)、 防衛産業の浮沈のカギ握る次期主力戦闘機選定(後編) F-35を選べば戦闘機の国産政策は貫けない (日経ビジネス, 12/1)。現 F-X の次 (新新 = 心神) は国産で、という話がありますが、その時には国内産業が壊滅していて、つくりたくてもつくれない可能性。
》 米国 F35、日韓の受注に期待 共同開発国の財政難で機数減 (SankeiBiz, 11/21)。ただでさえ価格高騰な上に経済危機で機数減?
》 F35の調達計画、さらに先延ばしも 品質管理理由に (日経, 12/3)
国防総省の開発計画責任者のベンレット海軍中将が「AOLデフェンス」のインタビューで「過去1年で見つかったF35の不具合はその量と費用で我々を驚かせるものだ。すべての対応が終わるまで生産ペースを落とすべきだ」と指摘。試験飛行と生産を同時進行させるF35のビジネスモデルは「根本的に間違っていた」と明言した。
AOLデフェンスによると、国防総省はすでに2011会計年度での発注数を42機から30機に減らしている。ベンレット中将は今後どの程度、生産を減らすかについては明確にしていないが、さらに減産された場合、1機当たりの生産コストが上昇する可能性もある。
関連: F35の機体に亀裂 日本のFX選定に影響必至 (産経 MSN, 12/3)
》 早野東大教授「福島で,信じられないような貴重なデータに遭遇」 (togetter, 11/28)
今日の発見.福島にあるGe搭載のホールボディーカウンターが,事故直後からずっとスペクトルを取っていた事を今日始めて知った.I131/132, Cs134/137などが,いつ福島を汚したかがよく見える.
精査が必要だが,データを見ると福島市がCsで汚染されたのは3/21のようだ.3/15の夜ではない.I-131も3/21以降が高い.
》 東電の元顧問2人、退任の翌日に嘱託採用 (読売, 12/1)
》 東電、東通原発を断念…工事中断の1号機 (読売, 12/1)、 12月1日付読売新聞1面「東電、東通原発を断念」について (東電, 12/1)
》 斉羽家のセキュライフ! 第 2 話: メールにご用心 (Microsoft)。つづきつくらなきゃ。 ……つくった: 斉羽家のセキュライフ!第2話 勝手につづき。
》 核燃再処理:経産と東電02年に「六ケ所」から撤退で一致 (毎日, 12/2)。毎日新聞は、再処理関係のスクープが続きますね。
トラブルの続発や2兆円超に建設費が膨らんだことを受け、東電の荒木浩会長、南直哉社長、勝俣恒久副社長と経産省の広瀬勝貞事務次官(いずれも当時)らが撤退の方向で検討することで合意し、再協議することを決めた。しかし3カ月後、東京電力トラブル隠しが発覚し、荒木、南両氏が引責辞任したことから実現しなかったという。
東京電力トラブル隠し後の引責辞任は、いろんな方面に影響していたんだなあ。
東電の反応: 12月2日付毎日新聞1面「「核燃再処理撤退」02年一致 東電・経産首脳協議」について (東電, 12/2)
》 モロッコ選挙(穏健イスラム党の勝利) (中東の窓, 11/27)
》 不審な爆発(イランのイスファハン) (中東の窓, 11/29)
》 非常事態の再延長(チュニジア) (中東の窓, 11/30)
》 シリア:トルコ アサド政権に対する経済制裁措置を決定 (毎日, 12/1)、シリア情勢(トルコ・シリア関係) (中東の窓, 11/30)
ロシア北方艦隊の艦船 シリア沿岸へ (ロシアの声, 11/30)
空母「アドミラル・クズネツォフ」は対潜哨戒艇「アドミラル・チャバネンコ」と共に遠征に出発し、その後、哨戒艇「ラドニー」が加わる。遠征では、シリア沿岸部から十分に離れた海域で演習が実施される。艦船の甲板から航空機の飛行も予定されている。
シリア情勢(ロシア空母の地中海派遣) (中東の窓, 12/1)
アドミラル・クズネツォフ (空母) (ウィキペディア)
》 携帯の電磁波有害説はデマから正しい学説に変わってきた - 各国政府も本気で対策 (techcrunch, 11/30)
》 Webサイトのプライバシーポリシーの現状を調査 - 長すぎること以外にも問題がいくつか (techcrunch, 12/1)。TRUSTe による調査。
SpyEyeボットによるリソースデータの使用 (IIJ-SECT, 11/10)
SpyEyeボットの通信からの検出について (IIJ-SECT, 11/11)
Zeusbot/Spyeye の新しい P2P 型亜種の分析 (シマンテック, 11/30)
Merry Christmas, ZeuS (trendmicro blog, 11/28)
》 PCだけじゃない、スマホ対応のワンクリック詐欺に注意 (Internet Watch, 12/1)
》 Anonymousによる NYSEへの DDoS攻撃 (IIJ-SECT, 10/12)
》 TPPでも東電問題でも迷走し、橋下市長が当選したらあわててすり寄る——政策のない自民党は、もはや存在理由を問われている (現代ビジネス, 12/2)
》 水野解説:原発1号機で溶け落ちた燃料は (NHK「かぶん」ブログ, 12/1)
》 SOPAがFlickr、ビデオ共有サイト、マーケットプレイスにもたらす影響は? (P2Pとかその辺のお話, 11/25)
》 ソフトバンクに断固反対を宣言、eo光のケイ・オプティコムなど9社 (gigazine, 11/30)
》 最新型原子力発電所「AP1000」と東芝とアメリカの関係がよくわかるムービー (gigazine, 12/1)。原発をつくる企業、東芝。
》 フィリピン警察、AT&Tを攻撃したハッカーとテロ組織のつながりを示唆 フィリピン人ハッカーらがサウジアラビアのテロリスト・グループに軍資金を提供しているという (ComputerWorld.jp, 11/29)
》 Google Secures Searches, Shuts Out BHSEO Scammers (trendmicro blog, 11/25)
》 2011年、これまでの事例にみる脅威とその対策 第5回 (日本のセキュリティチーム, 11/29)
》 Microsoft releases new Security Essentials beta (H Online, 12/1)
》 企業の通信の0.6%は「ウイルスの疑い」、ブルーコートが調査 (日経 IT Pro, 11/28)
》 GoogleやYahoo!など大手Webメールサービス4社、フィッシング対策サービスAGARIと協力 (日経 IT Pro, 12/1)。脳内 BGM がどうにもスシ食いねェ! なのだが (違)。
》 情報セキュリティシンポジウム道後2012 スマホから考える情報セキュリティ (まるちゃんの情報セキュリティ気まぐれ日記, 11/29)。 2012.02.16〜17、愛媛県松山市、8000円。上原先生は、このネタを 45 分で終えられるのだろうか。
》 FTCとFacebook、Privacy問題で和解。。。 (まるちゃんの情報セキュリティ気まぐれ日記, 11/30)。関連:
Facebook、FTCとプライバシー問題で和解—ザッカーバーグ、FTCが「いいね!」を要求しているのに喜ぶ (techcrunch, 12/1)
FacebookとFTCの和解の影響--専門家からは疑問の声 (CNET, 12/2)
》 経済産業省 「営業秘密管理指針(改訂版)」 (まるちゃんの情報セキュリティ気まぐれ日記, 12/2)
》 ナイジェリア上院、同性婚を懲役14年の刑とする法案を可決 (みやきち日記, 12/1)
》 「神がウイルスを追い出す」教会の非科学的アドバイスで英国のHIV感染者6人が死亡 (みやきち日記, 12/1)
》 刑事が捜査をストライキ 韓国で検察指揮強化に反発 (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 12/1)
》 Expanding Safe Browsing Alerts to include malware distribution domains (Google, 12/1)
》 【WP for ITPro】Windows Phone とルート証明書の関係、自己署名証明書のインストール方法 (フィールドSEあがりの安納です, 11/29)
》 【WP for ITPro】Windows Phone から直接 Active Directory 認証を行うには 〜その2 (フィールドSEあがりの安納です, 11/29)
》 「競合企業間の連携がOpenID普及の鍵」、OpenID Summit Toyko基調講演 (日経 IT Pro, 12/2)
》 WikiLeaks、民衆監視の実態を暴く「The Spy Files」プロジェクト開始 (日経 IT Pro, 12/2)
》 本日(12/2)セブン銀行を騙るフィッシングの報告を多数受けております。フィッシングメールは週末に送信されるケースが多いのでご注意ください。 (@antiphishing_jp フィッシング対策協議会, 12/2)
》 「『新しいタイプの攻撃』の対策に向けた設計・運用ガイド改訂2版」を公開〜新たな設計対策を盛り込んだ改訂第2版の公開〜 (IPA, 11/30)
》 IIJ、セキュリティ情報統括室スタッフによるブログ「Security Diary」公開 (Internet Watch, 12/1)、Security Diary (IIJ)
》 海の向こうの“セキュリティ” 第63回:韓国、オンラインストレージ事業者を登録制に ほか (Internet Watch, 12/1)。水道システム攻撃の件。
ところがその後、意外な展開がありました。
イリノイ州での事件を捜査していた国土安全保障省(実際にはICS-CERT)とFBIは、水道システムのポンプが故障した原因がサイバー攻撃によるものであることを示す証拠は見つからなかったと発表したのです。
それでは、当初発表された「攻撃の発信源はロシア」「制御システムのソフトウェア開発企業から盗み出したIDとパスワードが使われた」「9月から攻撃を受けていた」といったかなり具体的な情報は一体、何だったのでしょうか?
これについて関係者らは、当初の発表はあくまで可能性を示したに過ぎないとしていますが、ここまで具体的だった情報がすべて否定されてしまった(正確には「証拠が見つからなかった」「確認できなかった」)ことに、逆に極めて不自然なものを感じます。
今回の発表により、イリノイ州の事件については今後これ以上の情報が公表されることはなくなってしまったわけで、釈然としないものばかりが残る結末を迎えたのです。
どこかで大ポカが見つかったのか、外交上の理由なのか、……。
》 ファイル共有ソフトを使用した著作権侵害、全国一斉摘発で30人を逮捕 (Internet Watch, 12/2)、全国47都道府県警察によるファイル共有ソフト等を使用した著作権法違反事件の一斉取締の実施について (警察庁, 12/1)
》 RFC6441: Time to Remove Filters for Previously Unallocated IPv4 /8s (IETF)。「未割当 IPv4 アドレスをフィルタする」という行為が広く行われた時代がありましたが、時代が変わりましたのでもう止めましょう。
》 完全銃所持マニュアル。 日本人が合法的に銃を所持するにはどうすればよいか、この 1 冊でよくわかる模様です。
》 気象庁 津波第1波の発表見直しへ (NHK, 12/1)。多分この件: 「津波警報の発表基準等と情報文のあり方に関する検討会」(第2回)の開催について (気象庁, 11/22)。12/1 に開催された。 関連:
津波警報の発表基準等と情報文のあり方に関する検討会 (気象庁)。第2回検討会の資料も掲載されました。
津波警報・注意報の改善に関する最近の取り組み (気象庁)。3.11 より前の話。
》 ごめんなさい。 原子力安全神話は僕たちが形成した (森達也 リアル共同幻想論, 11/30)
》 DNSの「浸透問題」は都市伝説——正しいサーバー引っ越し法を解説 (Internet Watch, 12/1)
JPRSの調査では、インターネットにおけるBIND 9.2系までのシェアはBIND 9全体の約33%もあるという。また、引っ越しの際に他の新しいデータや新しいサーバーのNSレコードを設定させてもらえないプロバイダーの存在も、浸透問題が発生する大きな原因となっている。(中略) 森下氏は、「古いBINDが無くならない限り、リスクは無くならない。古いBINDは捨てるべきだ」とし、その上で「正しい知識の浸透が浸透問題の発生を減らす」とした。
古いBINDは他にも問題を起こすので、とっとと入れかえませう。(参照: リリース5以前のRedHat Enterprise Linuxおよびその互換OSをセカンダリサーバとして用いるゾーンへのDNSSECの導入にあたっての注意喚起)
子どもが体験するべき50の危険なこと (オライリー・ジャパン)
Hacking:美しき策謀 第2版——脆弱性攻撃の理論と実際 (オライリー・ジャパン)
ついでに、ラベイユではちみつを買った。 イタリア ルリジシャ 250g。
2009 年以前の HP LaserJet プリンタは、ファームウェア更新時にデジタル署名をチェックしない。これを利用して攻略ファームウェアをインストールさせることで、プリンタを乗っ取ることが可能。こんなデモが公開されたそうで:
フューザーを過熱させて用紙を焦がす
確定申告書を攻撃者のコンピュータに送信
書類をスキャンしてTwitterに公開
ここで紹介されているのは「外部の攻撃者が攻略ファームウェアをインストールさせる」というシナリオだけど、プリンタを買ったときにそういうファームが最初から入っていたら、同じようなことをされ得るんだよね。 「プリインストールの OS は使わない、全部入れ直して使う」という人はいると思うけど、「プリインストールのファームは使わない、全部入れ直して使う」という人はどれだけいるのだろう。
本件の関連記事:
HP LaserJet printers at risk of fiery hacker attack (Sophos, 2011.11.29)
FLAMING RETORT: Putting out the HP printer fires (Sophos, 2011.11.30)
Exclusive: Millions of printers open to devastating hack attack, researchers say (MSNBC, 2011.11.29)
Hacking HP Printers for Fun and Profit (SANS ISC, 2011.11.29)
関連:
HPSBPI02728 SSRT100692 rev.1 - Certain HP Printers and HP Digital Senders, Remote Firmware Update Enabled by Default (HP, 2011.11.30)。ファームウェア更新を無効化することで回避できる。 CVE-2011-4161
VU#717921: Hewlett-Packard printers and scanner devices allow remote firmware updates (US-CERT, 2011.12.08)
JVNVU#717921: Hewlett-Packard 製品のリモートアップデート機能に脆弱性 (JVN, 2011.12.09)
LaserJet 用の更新版ファームウェア出ました: HP LaserJet Firmware Update Now Available (HP, 2011.12.23)
HP patches printer firmware flaw, but leaves customers guessing (Sophos, 2012.01.05)。HP のニュースリリースからはセキュリティ欠陥の詳細情報がわからないよ、こんなの絶対おかしいよ、という話。
HPSBPI02728 SSRT100692 rev.4 - Certain HP Printers and HP Digital Senders, Remote Firmware Update Enabled by Default (HP, 2012.02.17 更新)。対応ファームウェアが増えてます。
Android 携帯や Nokia 携帯、BlackBerry にプリインストールされているという Carrier IQ というソフトは、実は rootkit だ、という話。
Carrier IQ社は、このソフトはキー入力を記録するものではないと述べている。しかしエッカート氏がこのほど公開した17分間の動画は、この主張をくつがえすものだ。
この動画では、エッカート氏がオンラインで「hello world.」という語句を検索するのを、このソフトが記録していることが示されている[動画の14:25くらいから]。注意すべきは、同氏がHTTPS版の『Google』を利用していることだ。こうすれば、ユーザーとGoogleのやり取りをスパイが傍受しようとしても、検索履歴を見られないようにできるとされるやり方だ。
動画の中で、エッカート氏の指が電話番号を入力すると、それが直ちに記録されているのを見れば、寒気がするだろう[11:31くらいから]。
「ダイヤル画面でボタンを押すと、それはすべて、通話の発信よりも前に、IQ社のアプリケーションに送られる」と、エッカート氏は動画の中で説明している[12:09くらい]。
Carrier IQ社は11月16日、エッカート氏に対して、法的措置も辞さない構えで、多額の損害賠償を求める可能性があると圧力をかけた。ところが21日に、電子フロンティア財団(EFF)がエッカート氏を支持する立場を表明すると、同社は当初の主張を取り下げた。
真っ黒な模様。その後 iOS 3〜4 にも含まれていることが明らかになっている (iOS 5 は除去済)。関連:
「Carrier IQ」ソフトウェア問題、米通信キャリアや端末ベンダーを巻き込んだ騒動に (wirelesswire.jp, 2011.12.02)
国内キャリアのCarrier IQ対応状況(12/2 18:00 update) (wirelesswire.jp, 2011.12.02)。調査中。
What is Carrier IQ? (Android Security Test)。発見者 Trevor Eckhart 氏による報告。
Carrier IQ Information - Part #2 (Android Security Test)。発見者 Trevor Eckhart 氏による報告。
そのAndroid携帯(iPhoneも?)、あなたの操作を無断で全部記録してますよ、Carrier IQで(動画) (gizmodo, 2011.12.01)
携帯キャリアSprintがユーザに無断でプリインストールした診断ソフトの恐ろしさ(ビデオ) (techcrunch, 2011.11.30)
キャリアが仕込むプライバシー侵害アプリ、Carrier IQの発見、対処法—iPhone版も存在した (techcrunch, 2011.12.02)
デバイスにCIQがインストールされているかどうかをチェックするのは比較的簡単だ。ただし、最初にデバイスのルート〔管理者権限〕を取る必要がある。その後、Eckhartの無料のロガー・テスト・アプリ(最新版はv7)をダウンロードしてインストールしたらCIQ Checksというボタンを押す。即座に結果が出る。
Carrier IQが発見された場合、削除するにもルート権限が必要だ。ルートを取るのはある機種ではごく簡単だが、かなり厄介な場合(多くは新しい機種)もある。「機種名 root」でGoogle検索すれば情報が得られるだろう。
Apple曰く:弊社はCarrier IQを使用しない…ほぼ全製品で…今後は。 (techcrunch, 2011.12.02)
つまり、〈そう〉、Appleはある時点ではCarrier IQをサポートしていた。しかしiOS 5以降はやっていない。少なくとも同社の殆どの製品では。そして他の多くの企業と同じく、キー入力、メッセージ他個人を特定する情報は送信されていないことを全員に請け合っている。研究者たちがこれまでに明らかにしたところ(およびAppleの上記声明)によると、Carrier IQは、iOSデバイスで診断オプションを手動でオンにした時にのみ作動する(このオプションはiOS 5以前は設定画面の奥深くに埋もれていた。iOS 5からは、初期設定時に提示される)。
Carrier IQ: Researcher Trevor Eckhart Outs Creepy, Hidden App Installed On Smartphones (VIDEO) (UPDATE) (huffingtonpost, 2011.11.30)
ユーザー情報を収集する「Carrier IQ」、Appleも使用認める---米報道 (日経 IT Pro, 2011.12.02)
Carrier IQ問題、各社の反応--アップルやRIMなどが声明 (CNET, 2011.12.02)
Android端末で見つかったCarrier IQソフト、「iPhone」にもか--ユーザー情報を送信 (CNET, 2011.12.02)
Carrier IQ busted on video: records keystrokes, web traffic (android community, 2011.11.30)
Verizon and Rogers don’t use Carrier IQ, Vodafone and O2 “don’t collect info” (android community, 2011.11.30)
Senator begins Carrier IQ investigation, demands answers by December 14th (android community, 2011.11.30)
Android permissions glitch allows eavesdropping, data theft (Sophos, 2011.12.01)
CarrierIQ, keylogging and mobile payment systems (ESET, 2011.12.01)
関連:
スマホ覗き見問題で米Carrier IQが反論「プライバシーは守られている」 (Internet Watch, 2011.12.05)
米で話題の“スマホ覗き見”問題、国内3キャリアの端末は「確認中」 (Internet Watch, 2011.12.05)
Carrier IQ問題は「携帯ビジネスモデルの一面」〜米プライバシー擁護団体 (Internet Watch, 2011.12.05)
「カレログ」よりエゲツない? 米国議員、FTCにキャリアIQの調査を要請 (ComputerWorld.jp, 2011.12.05)
Carrier IQ問題続報 - 当事者やグーグルなどから声明、ほか(編集担当メモ) (wirelesswire.jp, 2011.12.02)
Carrier IQ問題 - 「ユーザーのキー入力記録や送信はない」と米セキュリティ専門家(wirelesswire.jp, 2011.12.03)。Dan Rosenberg 氏。
いっぽう、Computerworldでは、このローゼンバーグ氏による分析に関し、同氏の「あの動画に写っているのは、キーをタイプするといったイベントにCarrier IQのソフトが反応しているところだ。トレバーはあれを目にして、どんなキーストロークでも記録され、携帯通信キャリアに送られている、と早とちりしたのだろう。仮にそうした行為が行われているとすれば重大なプライバシーの侵害にあたるだろうが、しかし私が分析したところではそうしたことは行われていない(ことがわかった)」というコメントが紹介されている。
なお同氏によると、Carrier IQのソフトウェアは、「一部のスマートフォンにはデフォルトでインストールされており、それを削除 することは(ユーザー側では)誰にもできず、また(端末自体に関する)データを収集したり、それを携帯通信キャリアに送るといったことは実際に行っている」とし、「悪用される恐れが潜在的にある」という。
Carrier IQ問題 - 米では集団訴訟、独ではアップルなどに情報提供の要求 (wirelesswire.jp, 2011.12.03)
関連:
Carrier IQにキーロガーの機能なし--Linuxハッカーが分析 (CNET, 2011.12.06)
CarrierIQ: The Real Story (Security Research by Dan Rosenberg, 2011.12.05)
Carrier IQの本当の話 (yebo blog, 2011.12.06)
Carrier IQ批判の高まり--その妥当性と問題点を検証 (CNET, 2011.12.07)
しかし、Carrier IQが最も深刻な嫌疑であるキーロギングを行っていないからといって、プライバシーに関する懸念が全くないわけではない。
通信事業者がインストールするように設計されている同社のソフトウェアが、実行中のアプリケーションや訪問先のURLの記録を送信できることをCoward氏は認めた。これらの決定を下すのはCarrier IQではない。同社は設定変更が可能なソフトウェアを販売しているのであって、どのオプションを有効にするかを決めるのは通信事業者だ。
「その情報を収集するかどうかは通信事業者次第だ」(Coward氏)
今回のケースでは、通信キャリアやCarrier IQのデータセンターに直接データを送信するように同ソフトウェアを設定することが可能だ。「どのモデルを使用するかに関係なく、そのデータをコントロールしているのはわれわれではない。データの権利はわれわれにはなく、販売、リース、貸与、共有することはできない。お気づきだと思うが、事業者はこのことに極めて厳格だ」(Coward氏)
Sprintは12月1日、「われわれは、ネットワーク上でのデバイスの顧客体験を把握し、あらゆる接続問題への対処方法を理解するのに必要な情報を収集している。ただし、このツールを使ってメッセージや写真、動画の中身を見ることはしていないし、それは不可能だ」と述べた。
これだけの情報では、実際に何が起きているのかを理解することはできない。AT&Tの声明も同様で、Carrier IQはAT&Tのプライバシーポリシーに基づいて使用されている、とだけ書かれている。
しかし、Al Franken上院議員(民主党、ミネソタ州選出)が1日、どのようなデータが収集されているのかを尋ねる書簡(PDFファイル)を書いたが、その宛先はSprintとAT&Tではなかった。両社はおそらくワシントンDCで最も影響力のあるロビー活動を行っているのだろう。Ed Markey下院議員(民主党、マサチューセッツ州選出)の2日付の書簡(PDFファイル)も、両社宛てのものではなかった。
残念なことだ。通信事業者はもっと積極的に情報を開示すべきだ。そして、政治家と集団訴訟弁護士(合計で2件の集団訴訟が提起されていた)は、誤った標的に狙いを定めている。
Carrier IQのスキャンダル化は自業自得—惨事を避ける方法はあった (techcrunch, 2011.12.07)
iPhone/iPadでCarrier IQのプライバシー問題が気になる人は診断情報の自動送信を切ろう (lifehacking, 2011.12.07)。iPhone / iPad では設定変更で無効化できるそうで。
「問題はCarrier IQでなく、キャリアとメーカー」著名研究者が解析結果 (Internet Watch, 2011.12.06)
Carrier IQ“覗き見”ソフト、auのHTC製端末には埋め込みなし (Internet Watch, 2011.12.06)
関連:
The Real Issues About Carrier IQ (trendmicro blog, 2011.12.08)
関連:
Some Facts About Carrier IQ (EFF, 2011.12.13)
Carrier IQ finds bug that has been saving SMS texts (H Online, 2011.12.13)
Sprint、すべての端末 OEM 供給先に対し Carrier IQ の削除を要求 (slashdot.jp, 2011.12.20)
Analyzing Carrier IQ Profiles (EFF, 2011.12.21)
CVE-2011-3607 CVE-2011-4415 Apache HTTPD 正規表現処理の脆弱性について (IIJ, 2011.11.03)
MS11-083 TCP/IP の脆弱性により、リモートでコードが実行される (2588516) (IIJ, 2011.11.09)。IIJ では再現実験 (crash) に成功しているそうです。
CVE-2011-4313 BIND9 キャッシュサーバの脆弱性について (IIJ, 2011.11.17)
Oracle Java SE Critical Patch Update Advisory - October 2011
CVE-2011-3544 の exploit が出回っているそうです。
CVE-2011-3544 / ZDI-11-305 - Oracle Java Applet Rhino Script Engine Remote Code Execution (sourceforge.net)
Feature #6023: Implement CVE-2011-3544 (Metasploit Framework)
Public Java Exploit Amps Up Threat Level (Krebs on Security, 2011.11.30)
BlackHole Exploit Kit にも CVE-2011-3544 の脆弱性を狙ったと思われるコードの追加を確認しました。Java を狙った攻撃の増加が懸念されます。Java のパッチの適用状態について確認をすることをお勧めします。^HT (@jpcert_ac Analysis Center, 2011.12.01)