高木浩光＠自宅の日記(2005-08)

2005年08月01日

■ 「セキュリティ屋」がセキュリティを駄目にした

先日のスパイウェア感染を招く指示が警察庁サイトなどに書かれていた話やそれに類似の事案を多数見るにつけ、いったいどうしてこんなことになってしまったんだと、崩れおらずにはいられない。そもそも、ActiveXコントロールを使うにあたってセキュリティ設定は変える必要がない。初期設定のままで普通に動くからだ。たとえばIBMの﹁らくらくWeb散策﹂の説明ページを見ても、次のように書かれている。らくらくウェブ散策の動作環境 JavaScript、CSS(Cascading Style Sheets)、署名済みActiveXコントロールを利用できるようになっている必要があります。(通常は既に利用できるようになっています。) お客様の安全に関わることといったら、事業者達にとって発言に慎重にならざるを得ないはずだ。先日、東急ハンズにワイヤーロープを買いに行ったときのこと、端にループを作るための圧着金具の取り付けに専用工具の購入が必要かと尋ねたところ、﹁ここで圧着できますよ﹂と工具を取り出してくれたのだが、それはあくまで自分でやれということなのだという。万が一のことがあっても責任を取れないから、工具は貸すけども自分でやれというのだ。IT以外の世界を見ると、いたるところで安全の理由から注意書きがある。コンビニで﹁お〜いお茶﹂の取っ手付きペットボトルを買ったら、再利用するなと書かれている。取っ手の耐久性を保証できないからなのだろう。客に危険な使い方を推奨しながら説明もないなんてことが平然と行われているのは、IT業界だけだろう。必要のないはずの設定変更の手順を、ご丁寧にも図解入りで解説するサイトがこれほどまでに多いというのは、ActiveXコントロールを﹁無効にする﹂にしていて﹁動かない﹂と苦情を言ってくる人が実際に多いから、説明せざるを得ないということなのだろうか？たしかに、ActiveXコントロールをひたすら﹁無効にする﹂に設定している人はいるようだ。先日の日記へのトラックバックやリンク元の反応を見ても、警察庁がActiveXコントロールを使わせていること自体を糾弾している勘違いな人たちが多数目につく。問題はそこではない。﹁署名済みActiveXコントロールのダウンロード﹂の設定で署名確認をスキップさせているところに問題があるのであって、ActiveXコントロールの使用自体の問題ではない。﹁とりあえずActiveXは切っておけ﹂みたいな解説は巷に氾濫している︵事例︶。そういう半可通な人が増えてしまった原因は、一時期のセキュリティ屋の言動にあるのではないか。たとえば次の記事を見てみる。 ●もう知らないでは済まされない！ネットワークセキュリティその全容と対策 AtoZ, 特別編クライアントが危ないIEのセキュリティ設定, 日経 BizTechスペシャル ◆IE6のセキュリティ設定項目︵略︶…… ︵4︶﹁署名済みActiveXコントロールのダウンロード﹂，︵5︶﹁未署名の ActiveXコントロールのダウンロード﹂の五つのセキュリティ・オプションがある。これらのオプションは，すべて絶対に無効にすべきである。 前述の通り，ActiveXは悪用されやすい技術である。有効にしておいた場合のリスクは非常に大きい。︵略︶しかし，このような安全機能を回避し，ユーザに被害をもたらすモバイル・コードが出現する可能性は否定できない。AxtiveXを無効にすると，動きのあるビジュアルなコンテンツを閲覧できなくなるが，セキュリティを確保するために筆者はすべて無効にすることを推奨したい。たしかに、セキュリティホールが発覚すると、その回避策として、ActiveXコントロールをオフにすることや、アクティブスクリプト︵JavaScriptやVBScript︶をオフにすることが有効であることが少なくない。私も、脆弱性を発見した際に、その危険性と対策を人々に伝える際に、 ActiveXをオフにするとか、アクティブスクリプトをオフにするとか、Javaをオフにする方法を示したことがある。だが、それはあくまでその脆弱性についての回避策なのであって、恒久的に﹁使うな﹂と言っているものではない。現実にActiceXのオフで回避できる脆弱性が多数見つかっている状況では、一般ユーザに対して﹁とりあえず切っとけ﹂と啓蒙するしかないというのかもしれないが、その結果、かえって危険な設定をさせるサイトを増やすことになってしまった。脆弱性は修正すれば直るのであって、直ったら回避策は不要になる。啓蒙するならまず Windows Updateを徹底させることが先だろう。その上で、パッチが未リリースのときの一時的な回避策として、各機能をオフにすることを教えるしかない。重要なのはその区別を明確にして教えることである。正常な状態のときの話と、異常事態の話を分けて説明する。それを理解して自己の判断でActiveXをオフに設定した人たちは、ActiceXをオンにする必要が生じたとき、解説コンテンツなどなくても自力で元に戻せるはずであり、また、自力で元に戻せなくなるような設定変更の解説︵安全側に倒す設定であってもだ︶をするべきでない。そうなっていたなら、設定を有効にするに変更せよなどと指示するような説明は本当にいらなくなる。この区別ができていないと、﹁利便性と安全性は相反する﹂などというチープな発想で止まってしまう。そういう人たちが、﹁利便性のためには安全性の犠牲もしかたないじゃないか﹂だとか、﹁セキュリティ屋は現実を無視しているだけだ﹂などと考えて、警察庁などに見られたActiceXコントロールを有効にする設定の指示を書いているのかもしれない。あるいは、警察庁などに見られた事例は、それが危険な設定であるという認識がなかったためにやってしまったミスなのかもしれないが、そうした混乱が生じたのはなぜだろうか。﹁セキュリティ屋は非現実的なことばかりを言うが、みんな平気で使ってるじゃないか﹂と考えたなら、﹁どんな設定に変更してもたいして危険じゃないはずだ﹂という誤った思考に陥るのも理解できなくもない。いずれにせよ、﹁セキュリティ設定﹂という安全にかかわる指示をするにあたって、自分の言っていることの意味をたいしてわからないまま説明を書くなんてことが、そもそもあり得ないことだ。書き手に知識があるかないかは関係がない。﹁セキュリティの設定﹂という言葉が理解できるなら理解して当然のことであり、それが理解できない企業や官公庁があるということが異常な事態である。こいういう愚かな行為は、見よう見まねで広がっていく。どこかで﹁設定を有効にしてください﹂という説明を見たことのある人が、自分もそういう説明を書くのが普通だと思ってしまう。こういうのは特に役所で広がりやすい。無断リンク禁止教の拡大や、無意味なプライバシーポリシーのコピーと同じ構造だ。こういうのは一度どこかが損害賠償訴訟でも起こされると、ササーっと変わっていくだろう。何も書かないのが正しい。

■ Google、読売新聞社、Mapion、Yahoo! JAPAN、ソフトバンク!BB、早稲田大学図書館、三洋電機、NEC、Oracle、マイクロソフトらがスパイウェア感染を招き金融被害をもたらしている可能性

Googleの指示がスパイウェア感染を招き金融被害をもたらしている可能性

●GoogleツールバーFAQ Windows 2003 Server に Google ツールバーをインストールする方法を教えてください。 ●次のオプションを有効にします。 ●署名済み ActiveX コントロールのダウンロード

読売新聞社の指示がスパイウェア感染を招き……

●YOMIURI ONLINE インストールに関する質問 : FAQ : ツールバー Q5 Windows Server 2003にツールバーをインストールするにはどうすればよいですか？ A5 Windows Server 2003 (Internet Explorer のみ) にツールバーをインストールする手順は、以下の通りです。 [署名済み ActiveX コントロールのインストール] 、[ActiveX コントロールとプラグインの実行]、[アクティブスクリプト] を有効にし、[OK] をクリックします。

Mapionの指示がスパイウェア感染を……

●マピオンツールバーインストールヘルプＱ6.﹁ご利用規約﹂のページで﹁同意する﹂ボタンを押すと、次のようなアラートメッセージが表示されるＡ．このメッセージは、︵略︶﹁スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行﹂および﹁署名済みActiveXコントロールのダウンロード﹂を共に有効にしてください。

Yahoo! JAPANの指示がスパイウェアを……

●Yahoo! JAPAN, 2002 FIFA ワールドカップヘルプ各オプションを次のとおり設定します。 1. ActiveXコントールとプラグイン‥﹁署名済みActiveXコントロールのダウンロード﹂、﹁ActiveXコンとロールとプラグインの実行﹂、﹁スクリプトを実行しても安全だとマークされている ActiveXコントロールのスクリプトの実行﹂をそれぞれ﹁有効にする﹂に設定します。

ソフトバンクBBの指示がスパイウェアを……

●Yahoo! BB 光 - 無線TVBOX簡単セットアップガイド Windows XP Service Pack 2をお使いの方へ﹁おてがるセットアップCD-ROM﹂のご使用前に、必ずActiveXコントロールに関する設定をご確認ください。設定の確認および変更方法は、次のとおりです。︵4︶﹁ActiveXコントロールとプラグイン﹂︵画面4︶のなかの次の項目をすべて﹁有効にする﹂にチェックを付けてください。 ●ActiveXコントロールとプラグインの実行 ●スプリクトを実行しても安全だとマークされているActiveXコントロールのスプリクトの実行 ●署名済みActiveXコントロールのダウンロード ●プロ野球アニメーションLive - よくあるご質問 Q1 アプリケーションがうまくインストールされません。 A本サービスをお楽しみいただくためには、ActiveXコントロールのダウンロード及びインストールを行っていただく必要があります。下記の説明をお読みになってActiveXコントロールに関する設定のご確認をしていただき、変更が必要な場合には作業をお願いいたします。 ●ActiveXコントロールとプラグインの実行 ●スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行 ●署名済みActiveXコントロールのダウンロードの3項目に関して設定が﹁無効にする﹂になっていないか確認してください。そのなかのどれかの項目、または3項目ともに﹁無効にする﹂になっている場合は、3項目すべてを﹁有効にする﹂にチェックを付けて設定を変更してください。

早稲田大学図書館の指示が……

●早稲田大学図書館, データベースへの接続方法 Q ActiveXコントロールの実行が許可されず、GOをしても何もおきない ActiveXコントロールを使用可能に変更する方法がわからない A以下の項目を設定してください。 ●︻ActiveXコントロールとプラグイン︼ツリーの下の︻署名済み ActiveXコントロールのダウンロード︼を︻無効にする︼以外に設定します。推奨値は︻ダイアログを表示する︼。 ●︻ActiveXコントロールとプラグイン︼ツリーの下の ︻未署名のActiveXコントロールのダウンロード︼を ︻無効にする︼以外に設定します。推奨値は︻ダイアログを表示する︼。 ●︻ActiveXコントロールとプラグイン︼ツリーの下の︻スクリプトを実行しても安全だとマークされていないActiveXコントロールの初期化とスクリプトの実行︼を︻無効にする︼以外に設定します。 推奨値は︻有効にする︼。ここの図書館員は﹁安全だとマークされていない﹂という日本語表現の意味さえわからないのか。ちなみにここのサイトで未署名のActiveXまで無効以外に設定しなくてはならなくなっているのは、単に署名の有効期限が2004年1月1日で切れているためのようだ。

三洋電機の指示が……

●期間限定無料ダウンロードキャンペーンのご案内この度は、弊社﹁デジタルメモリプレーヤー﹂をお買い上げ頂き誠にありがとうございます。[SSP-PD10/20]をお買い上げの皆様に、音楽配信の体験をしていただけるコーナーです。︵略︶このMy Music Centerを使用するためには、以下の様に項目がセットされている必要があります。署名済みActiveXコントロールのダウンロード: 有効にする

NECの指示が……

●NEC ソフトウェアリリースセンターご利用時の注意事項︵2︶﹁セキュリティ﹂の画面でWebコンテンツのゾーンとして﹁インターネット﹂を選択し、﹁レベルのカスタマイズ﹂をクリックします。以下の項目を﹁有効する﹂に変更します。 ●ActiveXコントロールとプラグインの実行 ●スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行 ●署名済みActiveXコントロールのダウンロード︵略︶

Oracleの指示が……

●Oracle Direct iSeminar‥よくあるご質問 Q Oracle Direct iSeminarへ正常に参加できません。 A Internet Explorer のセキュリティの設定を確認します。﹁署名済みActiveXコントロールのダウンロード﹂を﹁ダイアログを表示する﹂または﹁有効にする﹂にします。

マイクロソフトまでもが……

●Windows確認アシスタントについてよく寄せられる質問 [今すぐ確認] ボタンをクリックしましたが何も起きません。以下のことを確認してください。 ●インターネットに接続されており、オフライン作業になっていない。 ●Internet Explorer の設定で、署名済みの ActiveX コントロールのダウンロードが有効になっている。 IE 6.0 の場合、[インターネットオプション] >> [セキュリティ] >> [レベルのカスタマイズ] >> [署名済み ActiveX コントロールのダウンロード] で設定できます。 ●Microsoft オンラインクラッシュダンプ解析サービス - FAQ 3. [インターネット] アイコンをクリックしてから、[レベルのカスタマイズ] をクリックします。 4. 以下の項目が [有効にする] または [ダイアログを表示する] に設定されていることを確認します。 ●署名済み ActiveX コントロールのダウンロード ●ActiveX コントロールとプラグインの実行 ●スクリプトを実行しても安全だとマークされている ActiveX コントロールのスクリプトの実行

■ 茨城県、愛知県、和歌山県、愛媛県などの電子申請システム利用者がスパイウェア感染しやすい設定に変更している恐れ

茨城県、愛知県、和歌山県、愛媛県などが、それぞれの電子申請システムの利用者にインストールを促している、﹁EUR Form Client﹂というソフトウェアのFAQのページには次の記述がある。 ●HITACHI: FAQ︵回答︶: EUR Form Client Q1. EUR Form Clientをインストール︵ダウンロード︶できません。 Internet Explorerをお使いの場合、Internet Explorerのセキュリティの設定によりCABファイルのダウンロードが抑止されている場合は、EUR Form Clientのインストール︵ダウンロード︶は行われません。以下の手順でInternet Explorerの設定を確認してください。 3. ﹇セキュリティ﹈タブで、Webコンテンツのゾーンとしてインターネットゾーンを選択し、﹇レベルのカスタマイズ﹈ボタンをクリックする。 4. ﹇セキュリティの設定﹈ダイアログで、﹇署名済みActiveXコントロールのダウンロード﹈の設定を確認する。﹇署名済み ActiveXコントロールのダウンロード﹈が﹁無効にする﹂に設定されている場合、EUR Form Clientのインストールは行われません。﹁有効にする﹂または﹁ダイアログを表示する﹂に設定を変更した後、再度 EUR Form Clientのインストールを行ってください。︵次回予定‥ Windows XP SP2の場合︶

本日のリンク元 TrackBacks(100)

2005年08月02日

■ ActiveXをやめてセキュリティを後退させてしまったWebUD

4月のJVN#A7DA6818 ﹁WebUD における任意のプログラムが実行される脆弱性﹂は、7月に発表されたIPAの定例発表資料の以下の記述によると、ベンダー自身による届出だったそうだ。 ≪﹁WebUD﹂における任意のプログラムが実行される脆弱性≫︵項番4︶は、製品開発者自身から脆弱性およびその対策情報の連絡を受けたものです。なるほど、対処方法などの説明がずいぶん出来栄えよいなと思った︵たとえば﹁﹃信頼された発行元﹄から削除﹂の手順を忘れなかったことなど︶ *1のだったが、そういうことだったのか。当時は、asahi.com などでは一旦ダウンロードを中止していた。その中止されたダウンロードが7月になって再開された。 ●︿ＷｅｂＵＤ﹀ダウンロード再開のお知らせ, 朝日新聞社から, 2005年7月4日現在の配布ページを見に行ってみると、﹁WebUDsetup.exe﹂というインストーラプログラムの配布という形式になっている。以前は署名済みActiveXコントロールによる自動インストールだったはずだが、それをやめて、.exe ファイルの配布という方式に変わったようだ。これは、﹁ActiveXは危ない﹂という認識からだろうか……？ところが、7月から配布されている﹁WebUDsetup.exe﹂にはデジタル署名がない。﹁インストール手順﹂の説明にも書かれていないが、これを Windows XP SP2 の Internet Explorerでダウンロードして WebUDsetup.exe をダブルクリックすると、図1の警告が現れるはずだ。

図1: WebUDsetup.exeをIEでダウンロードしてダブルクリックした様子

アイコンが赤く﹁×﹂になっており、﹁発行元を検証できる有効なデジタル署名がありません﹂とある。 ActiceXコントロールの場合には、一部の事業者が、未署名のものを配布して、閲覧者に危ない設定︵未署名のActiveXコントロールを有効にする︶に変更させようとしたことがあったが、それは稀であり、それがよくないことだというのは誰でも理解できるところだろう。しかし、.exe ファイルをダウンロードさせてインストールさせる場合には、デジタル署名をしない事業者がかなり多い。未署名のActiceXコントロールを配布してしまったところは、何らかの理由で証明書を取得できなかった︵しようとしなかった︶ためだろう。証明書を買うお金がないとか、証明書を買うための社内手続きが整備できていないとか。だが、以前のWebUDには既に﹁FUJITSU LIMITED﹂のデジタル署名が施されていたのであり、証明書は手元にあるはずではないか。署名しない理由がない。実行ファイルの改竄攻撃︵通信路上での改竄や、配布元コンテンツの改竄︶に対する安全性という点では、WebUDは、理由もなくセキュリティレベルを後退させてしまったことになる。ちなみに、もしデジタル署名された .exe ファイルであればどうかというと、ユーザがWindows XPの SP2を使用していて、かつ、ダウンロードに InternetExplorerを使うという前提が成立するならば、ActiceXコントロールによる配布より安全性は高まったといえる。ただし、その前提が成り立たない場合には、ダブルクリックしたときに図1の警告が出ないので、ダウンロードした .exe ファイルのデジタル署名をユーザが確認しないで起動してしまう可能性が高く、改竄攻撃に対してという意味では、むしろActiceXコントロールの方が安全だといえる。

■ どんなにセキュリティ機能を追加してもそれを設定で殺させる虫が湧いてくる

スパイウェアがActiveXコントロールの形で配布されるという現実に対して、 Microsoftがその危険性を認め、改善として打ち出した回答が、Windows XP SP2からセキュリティ設定に追加された「ActiveXコントロールに対して自動的にダイアログを表示」という設定項目だ。

この項目はデフォルトで「無効にする」に設定されており、「無効にする」のときに安全機能が働く。「無効にする」にすると機能が働くという、ひねくれた命名になっているので、ここで混乱してはいけない*2。

この項目が「無効にする」になっていれば、署名済みActiveXコントロールをインストールさせる画面にアクセスしたとき、図2のように、画面上部の黄色い部分（「情報バー」と呼ばれる）が現れるようになっている。

図2: ActiveXコントロールをインストールさせるページで「情報バー」が現れた様子

ここには次のなどように書かれている。

以前のサイトには*3、次の ActiveX コントロールが必要な可能性があります: 'Microsoft Corporation' からの 'Office Update'。インストールするには、ここをクリックしてください...

ここで言われたとおりにクリックすると、図3のメニューが現れる。

図3: 情報バーをクリックすると現れるメニュー

ここで、「ActiveXコントロールのインストール」を選ぶと、図4の確認画面が現れる。

図4: 署名済みActiveXコントロールの確認警告

この図4の「セキュリティの警告」のダイアログウィンドウは、Windows XP SP2 で初めて目にするデザインのものになっているが、役割や機能は、 Windows 98のころからWindows XP SP1 までに存在していて見慣れてきた図5のものに相当する。セキュリティ設定で「署名済みActiveXコントロールのダウンロード」を「ダイアログを表示」とするときの、「ダイアログ」とはこれらのことだ。

図5: 旧来の確認警告

SP2では、図3のステップと図4のステップがあるため、インストールしたい場面では、2つの﹁インストール﹂というボタンをそれぞれ押さないといけなくなった。これを﹁単なる二度手間じゃないか﹂と考えるのは早計である。図4︵や図5︶のウィンドウはダイアログウィンドウであるため、いずれかのボタンを押すまで、他の作業が続行できなくなる。つまり、Webページの閲覧を続けるとか、戻るボタンを押すだとか、別のページへ移動するということができない。それに対し、図2の﹁情報バー﹂では、表示されていてもそのまま作業を続行できる。危ないサイトだと感じたら、そのまま別のページへ移動して立ち去ることができる。悪意あるActiveXコントロールを用いたスパイウェア等の攻撃では、図5のダイアログウィンドウを繰り返し表示させるというものがあった。つまり、﹁いいえ﹂ボタンを押しても、また同じダイアログが現れ、﹁いいえ﹂を押しても押しても止まらないという攻撃だった。ひとたび悪意あるWebページを表示してしまうと、その罠から容易には抜けられず、手が滑って﹁はい﹂を押してしまいかねないというものだった。それが、SP2で導入された﹁情報バー﹂によって、そうした攻撃は回避されるようになった。なぜなら、罠ページにアクセスしただけでは攻撃は発動せず、閲覧者が自分の意思でメニューを表示させて﹁ActiveXコントロールのインストール﹂を選ばない限り、その攻撃は開始されない。このように、この﹁情報バー﹂は、有効なセキュリティ向上効果をもたらしている。ようするに、ようやくMicrosoftが、ActiveXコントロールインストール機能のユーザインターフェイスをまともなものに改善することができたものだ。ところがである。早くもこの機能を殺す設定をユーザに指示する輩が登場してきているのである。﹁ActiveXコントロールに対して自動的にダイアログを表示﹂を﹁有効にする﹂に設定変更するということは、﹁自動的にダイアログを表示﹂することになる、つまり、Windows XP SP1以前と同じ動作に逆戻りになってしまう。 ●徳島県電子申請システム, Windows XP Service Pack 2をご利用の場合お使いのパソコンのOSがWindows XP SP2︵Service Pack 2︶の場合、以下の設定を行ってください。

（５）（４）の操作後、画面をスクロールさせ「アクティブXコントロールに対して自動的にダイアログを表示」項目の「有効にする」にチェックをいれます。

なぜそんな設定が必要なのか？・福島県市町村共同電子申請システム, Windows XP SP2をお使いの方へ︵略︶そのためシステムをご利用いただくためには、 ●ポップアップブロックを無効にする ●﹁ファイルのダウンロード時に自動的にダイアログを表示﹂を有効にする ●﹁ActiveXコントロールに対して自動的にダイアログを表示﹂を有効にする 必要があります。下記の手順にしたがって、利用されるパソコンの設定を行ってください。︵略︶

「ActiveXコントロールとプラグイン」の設定に
・「ActiveXコントロールに対して自動的にダイアログを表示」
があります。
・「有効にする」
にチェックをします。

おまえは本当にその設定が必要なものだと確認したのか？と。・富山県電子入札システム, FAQ︵よくある質問︶ A5 使用するパソコンのＯＳがwindowsＸＰの場合、設定変更が必要だと聞きましたが、どうすればよいのですか？ WindowsXP SP2(ServicePack2)でインターネットエクスプローラを利用していらっしゃる場合は、電子申請、電子入札に際しては、以下の設定をお願いします。︵2︶セキュリティ設定

（エ）［ActiveXコントロールに対して自動的にダイアログを表示］を「有効にする」に設定します。

そんな質問が本当に「よくある質問」なのか？

横浜市電子申請サービス, WindowsXP Service Pack2の設定

「ActiveXコントロールに対して自動的にダイアログを表示」を「有効にする」にチェックをします。

どこからそのフレーズをコピーしてきたんだ？・Yahoo! JAPAN Chat, ﹁Java﹂﹁JavaScript﹂﹁ActiveX﹂を有効にするには︵Java版・DHTML版の場合︶ (2)　[ActiveXコントロールとプラグイン]項目の[ActiveXコントロールとプラグインの実行]、[ActiveXコントロールに対して自動的にダイアログを表示]、[スクリプトを実行しても安全だとマークされている ActiveXコントロールの初期化とスクリプトの実行]で、それぞれ[有効にする] にチェックを入れます。なんでもかんでもぜーんぶとりあえず﹁有効にする﹂にしとけばいいと？・UFJ銀行, Windows XP Service Pack2をインストールされたお客さまへ 2004年9月2日Microsoft社より提供開始された﹁Windows XP Service Pack2﹂のセキュリティ強化機能の中にActiveX コントロール︵*︶のインストールの抑制やポップアップのブロック、自動ダウンロードを一時的に停止させるといった機能が追加されています。﹁Windows XP Service Pack2﹂が適用されたパソコンでMicrosoft Internet Explorerのセキュリティの設定やポップアップフィルタレベルの設定内容によっては、U-LINE Web の一部機能が動作しない事象が発生しますので 下記内容をご確認のうえ、ご利用いただきますようお願いいたします。 (略) ﹁セキュリティの設定﹂ウィンドウの﹁設定(S)﹂の中から﹁ActiveX コントロールに対して自動的にダイアログを表示﹂を﹁有効にする﹂に設定します。ここに挙がった人たちは先進的な人たちだ。まだこれを書いているところは少ないようだ。 UFJ銀行が言うには、この設定をしないと﹁一部機能が動作しない事象が発生します﹂というのだが、それは事実無根だろう。なぜなら、図2のところで、情報バーをクリックしてメニューを出し、﹁ActiveXコントロールのインストール﹂を選べば、ちゃんとインストールできるのだから。これを書いた人たちは、黄色い情報バーに書かれている﹁インストールするには、ここをクリックしてください﹂という文章が目に入らないのか？最初の1行を読んだところでもう脳が固まってしまったのというか？こういう人たちが居なくならない限り、どうやっても安全にはならない。はっきり言う。あなた方はもうこの仕事をしないでくれないか。何も書くな。まだ﹁先進的﹂でない他の人たちにも言う。こういうのを真似しようとするな。﹁サイトを立ち上げたらとりあえず、必要な設定方法を書かないとね﹂などといった愚かな習慣を忘れろ。セキュリティの設定について何も書くな。何も書く必要がない。それが正解だ。書く必要があるような状況の方が誤っているのだ。書けば害になるだけだ。既に書いたものがあるなら全部消してくれ。﹁間違ってました﹂と書かなくてもいいから、とにかく消せ。

*1 「不具合」と称していた問題を除いて。

*2 どうしてこう、 Microsoftはセンスのない名前付けをするのだろうかという話は、もはや口にする気さえしない。

*3 「以前のサイトには」って……、あいもかわらずマイクロソフトの翻訳は……本当に人が翻訳してるのかと疑いたくなる。いっそ「ここにかちりと鳴らしなさい」にしたらどうか。

本日のリンク元 TrackBacks(100)

2005年08月03日

■ 「スパウェアデザインコンテスト」受賞作品

「スパウェアデザインコンテスト」受賞作品[toray.co.jp] が発表されていた。

本日のリンク元 TrackBacks(2)

2005年08月05日

■ 滋賀県浅井町の温泉施設にフィッシングサイト

中日新聞にこんな記事が出ていた。

温泉施設近くの草野川にフィッシングサイト浅井町, 中日新聞2005年7月20日

追記（8月13日）

上のリンク先が消えていた。そこには次のような内容の記事があった。

フィッシングサイトは延長約二百メートルで、草野川漁業協同組合がニジマスを放流する。営業時間は午前十時から午後五時までで、釣った魚は河原で焼いて食べることもできる。

温泉施設近くの草野川にフィッシングサイト浅井町, 中日新聞2005年7月20日

本日のリンク元 TrackBacks(78)

2005年08月12日

■ フィッシング対策協議会のサイトが右クリック禁止を実施

AntiPhishingJapan フィッシング対策協議会 [antiphishing.jp] のサイトを訪れたところ、どのページに行っても、右クリックでメニューが現れない。

<body oncontextmenu="return false">

アホですか。曰く、

フィッシングサイトではないとの確認方法その2 銀行のインターネットバンキングの画面を表示すると“錠前”のアイコンがブラウザの下のバーに表示されます。この錠前が表示されている場合には“確かに「名無し銀行」です”と証明している証拠です。しかし、錠前が表示されない場合には面倒ですが、画面の何も無い部分へマウスポインタ（画面の矢印）を乗せ Windowsパソコンの場合は右クリックを行い、メニューを表示させ“証明書を確認する”を選択します。

図1: フィッシングサイトではないとの確認方法, フィッシング対策協議会（原寸大）

だそうだ。文字が豆粒サイズ。誰がこんなのを読むのか。

図2: フィッシング対策協議会の画面（原寸大）

文字潰れを起こしていて読めない。﹁フィッシングとは﹂の図解ページなんかは、図に書かれた文章からして文字が米粒大になっている。パッと見で勝負。中身は読んでもらう必要なし。という方針で作られているのだろう。

■ 「常に新しい」新銀行東京は時代に取り残されていた

﹁都民になったことだし、新銀行東京*1 に口座でも作るか﹂とサイトを訪れてみたところ、なんと、インターネットバンキングのログイン画面は、アドレスバーを隠したポップアップウィンドウになっていた。古いシステムを今から作り直すお金がないというのならわかるが、今年新たに開業した銀行がのっけからフィッシング詐欺の基礎対策をしないというのは、わけがわからない。いったいどこの業者が作ったのだろうか。しかも﹁右クリックは禁止です﹂と得意げだ。

図3: 新銀行東京のログイン画面で右クリックした様子

いまどきの若者風に言えば﹁新銀行ヤバいです﹂といったところか*2。やはり口座を作らねば。一方、三井住友銀行が﹁三井住友銀行アクセシビリティガイドライン﹂というものを公開していた。ここには注目すべき項目がある。 ●13. ブラウザの基本的な機能を無効にしたり︵右クリックの禁止等︶、アドレスバー、ステータスバー等のコントロールを変更しないようにする。すばらしい*3。項目一覧表の記述によれば、この第13項は﹁関連するJIS﹂が﹁なし﹂となっており、 JIS X8341-3 にも、右クリック禁止にしないとかアドレスバーを消したりしないといった考え方は存在しないらしい。

*1 キャッチフレーズは﹁常に新しい銀行﹂。 *2 ﹁ご利用環境について﹂を見ると、対象ブラウザがIEの他は﹁Netscape Communicator 4.75／4.78﹂になっているところが常に新しい銀行だ。ヤバい。 *3 しかしなぜか、このガイドラインのページの文字サイズはわざわざ縮小設定されている。︵読めない程ではないが。︶

本日のリンク元 TrackBacks(5)

2005年08月23日

■ フィッシングサイトが8月17日で閉鎖

フィッシングサイト [fishing-site.com] が8月17日で閉鎖になっていた。

この度、釣具・釣り用品の通信販売としてご愛顧いただきましたフィッシングサイトは、 2005年8月17日をもちまして閉店させていただく運びとなりました。

まさか、名前が悪いと言われて閉鎖……なんてことはなかろうとは思うが。

■ 携帯電話の「フルブラウザ」は何を約束する言葉か

職場では隣の席にいる大岩さんの、自宅の日記で、携帯電話のいわゆる﹁フルブラウザ﹂の https:// 対応の話が書かれていた。携帯電話の世界では、一般的に言って、セキュリティに標準として求められる仕様があまり明確になっていないという状況がある。携帯電話のWebブラウザがSSL対応したのは比較的最近のこと︵といってもDoCoMoではもう4年前︶だから、全員がSSL対応電話を使っているとは限らないと言うことができてしまう。いわゆる公式サイトであれば電話会社から専用回線で通信しているので︵全部がそうかは知らないが︶、SSLによる暗号化があまり必要でないというのが、かつての考え方だったのかもしれない。SSL非対応電話で﹁非公式サイト﹂に接続するのは安全でないという主張に対して、携帯電話会社ならたぶんこう答えるだろう。﹁非公式サイトへのアクセスはお客様の自己責任ですので﹂と。非公式サイトの閲覧はたまたまできるにすぎないのであって、電話機の機能ではないと言い張ることはできてしまう。これは、セキュリティ以前に、そもそも単に閲覧することさえままならない程度の代物だったので、ユーザ側もそのことを承知の上で、それでもなお使いたいときがあるから使ってきたという、暗黙の合意ができていたのだと思われる。そこへきて﹁フルブラウザ﹂の登場である。その言葉が何を意味するものかを明確に記した公式文書があるかどうかわからないところだが、 ●フル・ブラウザ標準搭載機が続々機能やパケット定額の対応に違い, ケータイ on Business, 2005年4月28日といった記事が出始めた現在では、一般の消費者感覚では、﹁フルブラウザ﹂と銘打たれているものはPCと同等のものとして理解されるであろう。となると、もはや﹁非公式サイトの閲覧は保証外です﹂と言ってはいけないはずである。たしかに、かねてより、携帯電話から使わせるのを意図して作られたネットショップで、SSLが使われていないことはよくあることだった。そのサイトのサーバが、インターネット経由で電話会社と接続しているなら、盗聴される危険はこれまでもあったわけだが、そのショップはそれを承知でサービスを提供していたとも言える。しかし、PCで使われることを想定しているネットショップで、https:// のページでサービスが提供されているならば、それを無視してはいけない︵暗号化なしで https:// ページへ接続してはいけない︶だろう。銀行のPC向けサイトなどが、﹁SSLに対応していないブラウザは使用しないでください﹂といった注意書きをしていることがあるが、まさに、暗号化しないでの https:// 接続を許すようなフルブラウザは、﹁使わないでください﹂ということになる。 Wikipediaの﹁フルブラウザ﹂の﹁アプリブラウザの機能比較﹂表には、﹁SSL﹂が﹁○﹂と書かれている部分があるが、こうした表を作るときには、当該ブラウザのベンダーが﹁SSLを使用したサイトはご利用いただけますが、携帯電話と弊社サーバ間は暗号化されません。﹂としているものについて﹁○﹂としないよう、注意が必要だ。