アカウント名:
パスワード:
同様の手法でマルウェア散布を試みるＡＰも安価に簡単に作れてしまうことになります。これは従来から指摘されてきた野良ＡＰの危険性と何ら変わるものではありませんが、野良ＡＰの作成とそこへのアクセスを薦めるようなプロジェクトのようですから、ＡＰを設置する者と接続する者の両方に対して、危険性に関する啓蒙活動も同時に行っていただけるようお願いいたします。
将来このようなＡＰの設置が一般化してしまうと、ＡＰをクラックして改竄する攻撃や、ＡＰ作成時に意図せずマルウェアを混入させてしまう危険性、そして悪意をもってＡＰを設置する攻撃者の出現などが、十分に考えられるでしょう。
ただし，マルウエアを流したり，パスワードを拾ったりすれば，物理的にどこのPCから電波出してるかが分かり，足がつきます．インターネット上とは違い，そういった点は警察側の取り締まりで解決するようにも思えます．なので，やるまえから現行犯逮捕されるようなばかなことをする人はいないのではと個人的には楽観視してます．盗聴ではなく，ssid見える状態でビーコンを流してますから，場所の特定はかなり容易です．
ですが，おっしゃる通りだれでもが使えると危険なので，ソフトは公開せずに，コンテ
そういう盗るもんなんかないから家に鍵をかけないソリューションでは駄目だってことでしょ。「盗られたら困るモノは家に置かないで下さい」なんて啓蒙でどうにかなると思いますか？
>「盗られたら困るモノは家に置かないで下さい」なんて啓蒙でどうにかなると思いますか？
家じゃないだろうな。車上荒らしには有効だそうだぞ。場所に適しているか？についての話をしたいのか？場所を問わずに適切であるか？についてを話をしたいのかな？
個人的には、地域コミュニケーションの確立／充実と一般人のリテラシー向上が、今後重要になる思ってます。
今回の話は、正に地域コミュニケーションなので、後二段階ほどハードルを上げて頂きたいです。・参加時に誰かが啓蒙運動を行うようにする。（但し、伝言ゲームになるのを防ぐため、一部コンピュータ学習の機能を取り入れる）・AP新設時には、詳しい人間が啓蒙しつつ設置する
一番目は、他人に教えるには自分が理解する必要があるので、啓蒙効果の向上が期待出来ます。二番目は、学生等をボランタリに引きずり出して、コミュニケーション活性化を狙います。
地域コミュニケーションには、既存の信用関係がそのまま利用出来る利点があります。これをセキュリティ機構に組み込むことで、安易に真似出来ない安全性が得られます。実の所、SNSの仕組みを取り入れるだけのことなのですが、TheNetに繋がってないのが特異な点になります。兎に角、個人間の信頼関係を上手く使うことが、重要かと思います。
無茶な要望の割りに、具体案が出せずで申し訳無いですが、検討して頂きたい所です。
＞二番目は、学生等をボランタリに引きずり出して、コミュニケーション活性化を狙います。
引きずりだされてやらされるのはボランタリーとは言い難いと思うのですが…・
コメントありがとうございます。
sslの使用をしないかぎり、安全な通信は出来ないですよという線で啓蒙用の分かりやすい文面を作ろうと思います。 ありがとうございました。 和田俊和
> ちゃんとしたend-to-endのSSL接続をする場合に、既存のアクセスポイントの現物を> 確認しない限り安全かどうか確認できないような脆弱なパターンって、設定不備と> 未知の脆弱性以外にありうるの？
「ちゃんとした」との事なので SSL 証明書を発行してもらうのだと思うのですが、Verisign に証明書を発行してもらう場合、セキュアサーバでも 85,050 円/年(これ 2048bit 化に伴なってなくなるんでしたっけ？)です。# https://storefront.verisign.co.jp/jp/server/SiCart.sf [verisign.co.jp]サーバ毎のライセンスだった筈なので、クローズしたネットワークと言え、負荷分散とみなされると AP の台数分必要になりますね。# CyberTrust とかコモドとか SECOM とか、条件の異なる認証局があるかも知れない# もしくは、商店街でclosed にしてしまいサーバは一台にすれば良い(あれ？)
いわゆるオレオレ証明書でも物理的な看板にフィンガープリントを書いておいて、接続前に確認すれば良いんじゃないでしょうか。
いや、こういうご当地モノにこそ相応しいソリューションだよそれ。ネット以外の安全な確認手段を、容易に提供できる数少ない例じゃないか。もちろん同じ手段で偽のフィンガープリントばら撒かれる可能性もあるけれど、物理的に証拠が残り得るリスクは相当の抑止力を期待できるだろうし、目に見える形であれば、警察を含む素人衆にも警戒させやすいだろう。
そうやって手に入れたフィンガープリントをどうやって確認するかとか、そんな面倒くさい作業を普通のユーザーがするわけないとかいう意味では、確かにナンセンスだが。
啓蒙に関しては同様のシステムに対して「これこれこういう危険性があるよ」っていうのを地道に一つ一つ指摘していくしかないと思いますね。地道に啓蒙していくうちに、ユーザやシステム提供者におけるコンセンサスが形成されていくものだと思います。それが「危険性はあるけど、許容範囲内だから使おうよ」となるのか、「危険だから使わないようにしよう」となるのかはわかりませんが。
問題ない、大丈夫だ。
十分危険だと思うけど。
そもそも、正しい言い回しは「大丈夫だ、問題ない」だ。# というか、間違ってるから「問題だよ」って指摘なのか、行間が読み切れない。
ホストが信頼できなければ、どんな回線でもホストでも同じことじゃないですか。スラド覗いたってウイルスが仕込まれてる危険があるんですから、ハニーポットがそれより危険ということはないかと。
# シャダイネタを間違えたなんて……!
> # シャダイネタを間違えたなんて……!
90 は最初から言う事を聞かなかった。という事ですね。
> ホストが信頼できなければ、どんな回線でもホストでも同じことじゃないですか。
ホストの信頼性は SSL(正しくは認証局) によるサイト証明で、通信の秘匿性は SSL による暗号化で保証できます。
ま、一例というか物語ですが iPhoneから野良APにアクセスで個人情報が漏えい [impress.co.jp]
たとえばWAN直結でもARP spoofingを仕掛けることはふつう不可能ですが(Macアドレスはルータを超えられないから)、同じサブネットにいれば余裕です。これで十分でしょうか?
なんだから、MITMされたくなけりゃSSL使いましょうよ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
セキュリティに関する啓蒙もお願いします (スコア:4, すばらしい洞察)
同様の手法でマルウェア散布を試みるＡＰも安価に簡単に作れてしまうことになります。
これは従来から指摘されてきた野良ＡＰの危険性と何ら変わるものではありませんが、
野良ＡＰの作成とそこへのアクセスを薦めるようなプロジェクトのようですから、
ＡＰを設置する者と接続する者の両方に対して、
危険性に関する啓蒙活動も同時に行っていただけるようお願いいたします。
将来このようなＡＰの設置が一般化してしまうと、ＡＰをクラックして改竄する攻撃や、
ＡＰ作成時に意図せずマルウェアを混入させてしまう危険性、
そして悪意をもってＡＰを設置する攻撃者の出現などが、十分に考えられるでしょう。
Re: (スコア:4, 参考になる)
ただし，マルウエアを流したり，パスワードを拾ったりすれば，物理的にどこのPCから電波出してるかが分かり，足がつきます．インターネット上とは違い，そういった点は警察側の取り締まりで解決するようにも思えます．なので，やるまえから現行犯逮捕されるようなばかなことをする人はいないのではと個人的には楽観視してます．盗聴ではなく，ssid見える状態でビーコンを流してますから，場所の特定はかなり容易です．
ですが，おっしゃる通りだれでもが使えると危険なので，ソフトは公開せずに，コンテ
Re:セキュリティに関する啓蒙もお願いします (スコア:-1, 荒らし)
Re:セキュリティに関する啓蒙もお願いします (スコア:3, 参考になる)
この一方で、店の宣伝を行いたいのだけれど、壊れたpcで宣伝できるならやりたいという人は潜在的に多い訳です。このような要望はあり、サービスが開始されるのは時間の問題です。ですから、安全な形で技術を提供し、かつ啓蒙もしなければと思っています。ですが、啓蒙はかなり難しい問題です。今のところ、頑張りますとしか言いようがないです。良いアイデアがあったら、アドバイス下さい。
和田俊和
Re:セキュリティに関する啓蒙もお願いします (スコア:1, すばらしい洞察)
そういう盗るもんなんかないから家に鍵をかけないソリューションでは駄目だってことでしょ。
「盗られたら困るモノは家に置かないで下さい」なんて啓蒙でどうにかなると思いますか？
Re:セキュリティに関する啓蒙もお願いします (スコア:1)
>「盗られたら困るモノは家に置かないで下さい」なんて啓蒙でどうにかなると思いますか？
家じゃないだろうな。
車上荒らしには有効だそうだぞ。
場所に適しているか？についての話をしたいのか？
場所を問わずに適切であるか？についてを話をしたいのかな？
対人コミュニケーションが肝 (スコア:1)
個人的には、地域コミュニケーションの確立／充実と一般人のリテラシー向上が、今後重要になる思ってます。
今回の話は、正に地域コミュニケーションなので、後二段階ほどハードルを上げて頂きたいです。
・参加時に誰かが啓蒙運動を行うようにする。
（但し、伝言ゲームになるのを防ぐため、一部コンピュータ学習の機能を取り入れる）
・AP新設時には、詳しい人間が啓蒙しつつ設置する
一番目は、他人に教えるには自分が理解する必要があるので、啓蒙効果の向上が期待出来ます。
二番目は、学生等をボランタリに引きずり出して、コミュニケーション活性化を狙います。
地域コミュニケーションには、既存の信用関係がそのまま利用出来る利点があります。
これをセキュリティ機構に組み込むことで、安易に真似出来ない安全性が得られます。
実の所、SNSの仕組みを取り入れるだけのことなのですが、TheNetに繋がってないのが特異な点になります。
兎に角、個人間の信頼関係を上手く使うことが、重要かと思います。
無茶な要望の割りに、具体案が出せずで申し訳無いですが、検討して頂きたい所です。
-- Buy It When You Found It --
出来れば自発的に (スコア:1)
＞二番目は、学生等をボランタリに引きずり出して、コミュニケーション活性化を狙います。
引きずりだされてやらされるのはボランタリーとは言い難いと思うのですが…・
屍体メモ [windy.cx]
Re: (スコア:0)
ちゃんとしたend-to-endのSSL接続をする場合に、既存のアクセスポイントの現物を
確認しない限り安全かどうか確認できないような脆弱なパターンって、設定不備と
未知の脆弱性以外にありうるの？
設定に問題がないSSL接続であれば、相手が正しい通信相手かは検出できるんだから
AP云々って話が出てくる時点でよくわかっていないのでは？
もちろん、暗号化されない通信に関しては現状の公衆無線LAN通信でも信頼性は無いけど、
それは究極にはすべてのインターネットを経由した通信に言える話であって、
無線だから云々という話ではなくなるし。
Re:セキュリティに関する啓蒙もお願いします (スコア:1)
コメントありがとうございます。
sslの使用をしないかぎり、安全な通信は出来ないですよという線で啓蒙用の分かりやすい文面を作ろうと思います。
ありがとうございました。 和田俊和
Re:セキュリティに関する啓蒙もお願いします (スコア:1)
> ちゃんとしたend-to-endのSSL接続をする場合に、既存のアクセスポイントの現物を
> 確認しない限り安全かどうか確認できないような脆弱なパターンって、設定不備と
> 未知の脆弱性以外にありうるの？
「ちゃんとした」との事なので SSL 証明書を発行してもらうのだと思うのですが、
Verisign に証明書を発行してもらう場合、セキュアサーバでも 85,050 円/年(これ 2048bit 化に伴なってなくなるんでしたっけ？)です。
# https://storefront.verisign.co.jp/jp/server/SiCart.sf [verisign.co.jp]
サーバ毎のライセンスだった筈なので、クローズしたネットワークと言え、
負荷分散とみなされると AP の台数分必要になりますね。
# CyberTrust とかコモドとか SECOM とか、条件の異なる認証局があるかも知れない
# もしくは、商店街でclosed にしてしまいサーバは一台にすれば良い(あれ？)
看板にフィンガープリントを書いておく (スコア:1)
いわゆるオレオレ証明書でも物理的な看板にフィンガープリントを書いておいて、接続前に確認すれば良いんじゃないでしょうか。
屍体メモ [windy.cx]
Re: (スコア:0)
いや、こういうご当地モノにこそ相応しいソリューションだよそれ。
ネット以外の安全な確認手段を、容易に提供できる数少ない例じゃないか。
もちろん同じ手段で偽のフィンガープリントばら撒かれる可能性もあるけれど、
物理的に証拠が残り得るリスクは相当の抑止力を期待できるだろうし、
目に見える形であれば、警察を含む素人衆にも警戒させやすいだろう。
そうやって手に入れたフィンガープリントをどうやって確認するかとか、
そんな面倒くさい作業を普通のユーザーがするわけないとかいう意味では、
確かにナンセンスだが。
Re: (スコア:0)
啓蒙に関しては同様のシステムに対して「これこれこういう危険性があるよ」っていうのを地道に一つ一つ指摘していくしかないと思いますね。
地道に啓蒙していくうちに、ユーザやシステム提供者におけるコンセンサスが形成されていくものだと思います。それが「危険性はあるけど、許容範囲内だから使おうよ」となるのか、「危険だから使わないようにしよう」となるのかはわかりませんが。
なんであれWANより危険ではない、ので (スコア:2)
問題ない、大丈夫だ。
(オフトピ)Re:なんであれWANより危険ではない、ので (スコア:1)
十分危険だと思うけど。
そもそも、正しい言い回しは「大丈夫だ、問題ない」だ。
# というか、間違ってるから「問題だよ」って指摘なのか、行間が読み切れない。
ハニポから攻撃を受けるのならハニポ以外からも受ける (スコア:2)
ホストが信頼できなければ、どんな回線でもホストでも同じことじゃないですか。スラド覗いたってウイルスが仕込まれてる危険があるんですから、ハニーポットがそれより危険ということはないかと。
# シャダイネタを間違えたなんて……!
Re:ハニポから攻撃を受けるのならハニポ以外からも受ける (スコア:1)
> # シャダイネタを間違えたなんて……!
90 は最初から言う事を聞かなかった。という事ですね。
> ホストが信頼できなければ、どんな回線でもホストでも同じことじゃないですか。
ホストの信頼性は SSL(正しくは認証局) によるサイト証明で、
通信の秘匿性は SSL による暗号化で保証できます。
ま、一例というか物語ですが iPhoneから野良APにアクセスで個人情報が漏えい [impress.co.jp]
Re: (スコア:0)
たとえばWAN直結でもARP spoofingを仕掛けることはふつう不可能ですが(Macアドレスはルータを超えられないから)、同じサブネットにいれば余裕です。
これで十分でしょうか?
HTTP自体がインセキュア (スコア:2)
なんだから、MITMされたくなけりゃSSL使いましょうよ。
どこを危険だと考えるか (スコア:0)
「アクセスポイントが正規かどうかを判定する仕組みがない」
ってこと?
既存の公衆無線LANアクセスポイントでも同様の問題がある。
一般的な問題をどうして取り立てて扱うのか理解に苦しむ。
視点がズレてますねぇ・・・
/*
実証実験でマルウェア配布する輩がいるなら見てみたいね
*/