セキュリティ＆プログラミングキャンプ・キャラバン2008＠金沢工大のメモ

午後から参加。メモなので、敬称略です（しかも途中から）。
講演中に入った上、他人様のノートの電源ケーブルを蹴散らしながらの入場でした。他人様というかid:Nagiseのだけどw

塩月さん

USBメモリ経由の感染が増えてるよ。

• 某大学の事例
  • USB経由でワームが侵入
  • 2ヶ月間で広がる
  • 学生が持ち帰り、自宅PCで発覚
    • ご丁寧にも（笑）ログファイルを残していたので、活動履歴が判明
• 手口
  • WindowsのAuto-run機能により、ドライブをダブルクリックでプログラムを実行してしまうパターンが多いのではないか。
    • 挿入後表示される「Windowsが実行する動作を選んでください。」の中にも記述できる。コンテキストメニューにも追加できる。
    • XPでは、ネットワークドライブでも自動実行することもある。
    • U3規格のUSBメモリはCDドライブ扱いとできるので、挿入即自動実行の場合もある。
• 対策
  • PCでAutorunを無効にする
    • レジストリ設定が確実。
    • VistaではWindowsUpdate、XPでは手動アップデートでパッチ。
  • USBメモリ
    • 書き込み禁止できれば。
    • autorun.infという「フォルダ」を作っておく。確実じゃないけど。

DNS汚染の話

DNSキャッシュサーバのIPアドレス情報を書き換えることで偽サーバにアクセスさせる手法で、ファーミング詐欺とよばれたりするらしい。

• DNSリプライ詐称
  • 正規の権威DNSサーバが返信する前に攻撃者が偽情報を返信する方法。
  • リプライの内容を正しく詐称
  • クエリ内容、クエリID => 以前は連番、最近はランダム
• 偽造リプライパケット挿入確率 => RW/NPI => 通常は0.4%程度。
• Kaminsky型リプライ詐称
  • DNS種別によっていくつかの手法がある。たとえば：
    • 攻撃者はクライアントとして、存在しないホスト名をキャッシュさせる。
    • CNAMEを使い、存在しないホスト名のIPアドレスを実在するホスト名のものとさせる。
• 対策
  • ポートのランダマイズにより成功確率を下げる。
  • 外部からの再帰問い合わせを禁止する。
  • 連続問い合わせを禁止する。
  • DNSSEC対応。ただし、まだ広まっていない。

まとめ

• USBには気をつけろ
  • オートランは禁止すべき
  • 隠しファイルも表示すべき
• DNSには気をつけろ
  • 確率の問題だから用心が必要
  • SSLをつかうとか

天野さん

プログラミングの魅力とか、コミュニティの魅力とかの話。

自由なコーナー

2月に金沢でFlexの勉強会やります。

• ←コレ
• 質問じゃないw

社会的に許容される「高度なセキュリティ」の程度は？

• 暗号化とともに、鍵と同時に紛失していなことが確認できれば十分ではないか。

DNS汚染への対策は？

• SSL、より高度なSSL証明書を使う傾向がある。

情報セキュリティの魅力とは？

• 暗号、マネジメント、技術論など、多岐にわたるのが魅力かな。

就職や転職する場合のアピールポイントは？(id:katzchang)

• 吉岡さん
  • 得意なこと、好きなことがある
  • 訓練、基礎体力を付ける一方でキャッチボールする情熱
  • 商品価値として技術と経験
  • 発見していく力
  • 勉強会による出会いや本音トーク重要
  • OSS活動は絶対おすすめ
    • 技術とコミュニケーション能力が保証される
    • Rubyはおすすめ。日本語だし。
    • ちょっとしたバグ修正、機能追加を続けたりしてる人はアピールできる。
• 天野さん
  • 「勉強会就職」ってあるよね。
  • 楽しそうに話する人はいいよね。
  • 面接の場でノートPCで見せられるもの、実物があると強いよね。
• 園田さん
  • ブログ転職しましたw

ブログにコメントをつけるテクニックは？(id:ad2)

• 天野さん
  • 話題に乗っかる。はてなブックマーク話題とか
  • CNETのプレスリリースとかをいち早く紹介とか
  • トラックバック送ってアピールとか
• 塩月さん
  • 海外のニッチなものを紹介とか
  • 間違った情報を流すとかw
• 吉岡さん
  • 自分のために書くからコメントなくてもいーや的スタンスですよ
  • Netscapeのコードが公開されたからその話を書いてたら、10年後に「見てました」とか言われたり
  • 自分が面白いと思うものを書き続けると、いつかどこかに結びつく
    • 「セキュリティー＆プログラミングキャンプキャラバン金沢 - 未来のいつか/hyoshiokの日記」にて詳しく
• 園田さん
  • 自作自演とかw

今日のレポートのトラックバック先は？

• 下記まで。（と言いつつトラックバック）
  • id:sonodam(園田)
  • id:hyoshiok(吉岡)
  • id:amachang(天野)
    • IT戦記

プログラムの仕事を依頼する場合にモチベーションをあげさせる方法

• 自分が書かないようにした、つまらないところを引き受けた、仲良く。（天野）
• 自分はプログラムに興味がない人と仕事したことないから、参考になるかどうか。コミュニティ活動でヒントを探すとか。「腹割って話すのがいいんじゃないかな」（吉岡）
• 「プログラミングを楽しむ」より「仕事を楽しむ」。褒めるとか、工夫をさせるような環境づくりと、お客を喜ばせていることがわかるようにする。（園田）

勉強会で人を集めて盛り上げるコツは？(id:Nagise)

• 今回は金沢工業大学のお陰で過去最高に多く集まった。学生多い。頼んでたら上手くいった的な。活発なコア・コミュニティを作る。（園田）
• 勉強会勉強会とか。小さい勉強会からノウハウを付ける。社会人と学生が混ざればなおよし。スモールスタートで。（吉岡）
• mixiコミュニティで飲み会からとか。（天野）
• 具体的メリットがわかるよう。資料を公開する。（塩月）
• 食べ物で釣るとかw（園田）

北陸は車社会で会場セッティングが難しい。地方におけるコミュニティ活動のポイントは？(id:shiget84)

• 福岡や札幌だと飲み会で重要な話したり。東京だと終電で終わりだけど、福岡はタクシーで帰れるから、時間を気にせずガッツリ話せる。プログラマだけではなく、デザイナや企画屋など幅が広いコミュニティが出来るメリットはある。地域に合わせたメリット、特性がある。自治体や大学を巻き込んだりしやすい。（勉強会評論家の吉岡氏）
• 公民館とか安い。泊まり込みイベントの誘致とか。（天野）
• 食べ物で釣るとかw（園田）