2008年12月1日(月曜日)
森の生活 12日目: リセット監視センターとイトウと
公開: 2024年5月20日21時10分頃
街へいこうよ どうぶつの森 (www.amazon.co.jp)
リセット監視センターに潜入!
リセット発見時はサイレンが鳴って、後ろの椅子に座ってサンダーバードっぽく出動するのでしょう。たぶん。
それから、ムカデをゲット。
岩を叩いたら、ぼよーんと出てきました。ダンゴムシはかなり大量に捕っていましたが、ムカデは初めて。かなり低確率なのではないかと思います。
ムカデは体長がかなりあるようで、ひょっとするとムシの中で最大かも。
それから、冬の夜と言えばこの魚ですね。
幻の魚、イトウ。シーラカンスと並ぶ高額魚ですが……ひとまずは寄贈で。
- 「森の生活 12日目: リセット監視センターとイトウと」にコメントを書く
関連する話題: ゲーム / Wii / 任天堂 / どうぶつの森 / 街へいこうよ どうぶつの森
証明書の内容についての記載は必要なのか?
公開: 2024年5月20日17時35分頃
「SSLを過信していませんか――ネットバンキングに潜む誤解とは (1/2) (www.itmedia.co.jp)」。
しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。
(～中略～)
ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。
いまいち意味が分からないのですが……そのような掲示に、何か意味があるのでしょうか?
ここでは、攻撃者が自サイトの証明書を持っているケースを想定しているのですよね。であれば、攻撃者も「当サイトのSSL証明書には次の様に記載されております」として証明書の内容を記載する事が可能です。よって、その掲示自体が本物なのか否かを確認しなければならないはずですが……この掲示が本物であると確信できる状況なのであれば、証明書の内容に関する掲示は必要ないですよね。
……ちなみに、証明書の名義について記載しているサイトは国内にも実在しています。たとえば、十八銀行の「ＥＶ ＳＳＬサーバー証明書の採用について (www.18bank.co.jp)」を見ると、このように書かれています。
(2) SSL暗号化通信を表す鍵マークと共に、ウェブサイトを運営している組織名(※)（NTT DATA CORPRATION [JP]）とEV SSLサーバー証明書を発行した認証局（VeriSign によって識別）が表示されますので、それぞれを確認してください。
(※) 当行のインターネットバンキングはNTTデータ社のシステムを利用していることから、組織名には同社の名称が表示されます。
※まあ、この記述が攻撃者の用意した偽物という可能性もありますが。
この手の記述はたいてい「当サイトは○○社に運営委託していますので、証明書は○○社のものになります」というような形になっています。攻撃者が「このたび、委託先を○○社に変更しました」と表示したら、あっさり騙されかねない気がするのですが……。
個人的には、こういう記載がある事自体が不自然に感じますし、こういう記載があったら「怪しい」と思ってもらった方が良いのではないかと思います。
ハッカー志願者?
公開: 2024年5月20日17時15分頃
「ハッカー志願者にどう対応する？ (slashdot.jp)」。
「ハッカーって何ですか?」という話になるのがお約束ですが……ここでは、「情報セキュリティの分野に強くなりたい」というような事で良いのですかね?
講演で喋ったときなどにそういう質問をされることがありますが、私は「とりあえずセキュリティホールmemo (www.st.ryukoku.ac.jp)を毎日見るようにすると良いでしょう」と答えるようにしています。簡単に実践できると思いますし。
関連する話題: セキュリティ
ニフティのパスワードを入力させるフィッシング
公開: 2024年5月20日14時40分頃
ログインIDとパスワード抜き取りの恐れ：ニフティの偽サイトが再発見 複数の個人情報を抜き取る手口に (www.itmedia.co.jp)」。
この偽サイトは、@niftyメールのログイン画面に似せた作りで、@niftyのログインIDとパスワードを入力する項目がある。これらを入力すると、パスワードが違うとして再度情報の入力を促す画面が表示される。「違うパスワードを入力させることで、@nifty以外のIDやパスワードを抜き取ろうとする手口」（ニフティ広報）という。
@niftyのログイン画面で「@nifty以外のIDやパスワードを抜き取ろうとする」? うーむ、意味が良く分かりません……。
写真左が偽サイトのイメージ（ニフティ提供）で写真右が通常のログイン画面。「デザインなどはほぼ同じ作りをしている」（ニフティ広報）ため見分けが付きにくい。通常のログイン画面では現在、「やめよう！同じパスワード」という呼び掛けとリンクが掲載されている
いちおう突っ込んでおくと、「呼び掛けとリンクが掲載」されているのが本物、という見分けかたはダメですので……。ニフティ広報にはちゃんとした見分け方をアナウンスして欲しいところですが。
ところで、ニフティからは「【再掲】 フィッシングサイトにご注意ください (support.nifty.com)」というお知らせが出ていますが、驚愕したのはこの記述。
※@niftyのログインパスワードおよびメールパスワードに有効期限はありません。
な、なんだってー!!
昔は「別途定める一定期間に、会員がパスワードの変更を行った形跡が認められないと判断した場合」は退会させられるという規約があったのですが、今はもうなくなっているのですかね。
- 前(古い): 2008年11月30日(Sunday)のえび日記
- 次(新しい): 2008年12月2日(Tuesday)のえび日記
