<前の日記(2005年07月22日) 次の日記(2005年08月02日)> 最新 編集

高木浩光@自宅の日記

目次 はじめに 連絡先:blog@takagi-hiromitsu.jp
訪問者数 本日: 2110   昨日: 3209

2005年08月01日

「セキュリティ屋」がセキュリティを駄目にした

先日のスパイウェア感染を招く指示が警察庁サイトなどに書かれていた話や それに類似の事案を多数見るにつけ、 いったいどうしてこんなことになってしまったんだと、 崩れおらずにはいられない。

そもそも、ActiveXコントロールを使うにあたってセキュリティ設定は変える 必要がない。初期設定のままで普通に動くからだ。 たとえばIBMの「らくらくWeb散策」の説明ページを見ても、次のように書かれ ている。

らくらくウェブ散策の動作環境

JavaScript、CSS(Cascading Style Sheets)、署名済みActiveXコントロールを 利用できるようになっている必要があります。(通常は既に利用でき るようになっています。)

お客様の安全に関わることといったら、事業者達にとって発言に慎重にならざ るを得ないはずだ。先日、東急ハンズにワイヤーロープを買いに行ったときの こと、端にループを作るための圧着金具の取り付けに専用工具の購入が必要か と尋ねたところ、「ここで圧着できますよ」と工具を取り出してくれたのだが、 それはあくまで自分でやれということなのだという。万が一のことがあっても 責任を取れないから、工具は貸すけども自分でやれというのだ。 IT以外の世界を見ると、いたるところで安全の理由から注意書きがある。 コンビニで「お〜いお茶」の取っ手付きペットボトルを買ったら、再利用するなと書かれている。 取っ手の耐久性を保証できないからなのだろう。客に危険な使い方を推奨しな がら説明もないなんてことが平然と行われているのは、IT業界だけだろう。

必要のないはずの設定変更の手順を、ご丁寧にも図解入りで解説するサイトが これほどまでに多いというのは、ActiveXコントロールを「無効にする」にし ていて「動かない」と苦情を言ってくる人が実際に多いから、説明せざるを得 ないということなのだろうか?

たしかに、ActiveXコントロールをひたすら「無効にする」に設定している人 はいるようだ。先日の日記へのトラックバックやリンク元の反応を見ても、 警察庁がActiveXコントロールを使わせていること自体を糾弾している勘違い な人たちが多数目につく。問題はそこではない。 「署名済みActiveXコントロールのダウンロード」の設定で署名確認をスキッ プさせているところに 問題があるのであって、ActiveXコントロールの使用自体の問題ではない。

「とりあえずActiveXは切っておけ」みたいな解説は巷に氾濫している(事例)。 そういう半可通な人が増えてしまった原因は、一時期のセキュリティ屋の言動 にあるのではないか。たとえば次の記事を見てみる。

  • もう 知らないでは済まされない! ネットワークセキュリティその全容と対策 AtoZ, 特別編 クライアントが危ない IEのセキュリティ設定, 日経 BizTechスペシャル

    ◆IE6のセキュリティ設定項目

    (略)…… (4)「署名済みActiveXコントロールのダウンロード」,(5)「未署名の ActiveXコントロールのダウンロード」の五つのセキュリティ・オプションが ある。これらのオプションは,すべて絶対に無効にすべきである。 前述の通り,ActiveXは悪用されやすい技術である。有効にしておい た場合のリスクは非常に大きい。

    (略)

    しかし,このような安全機能を回避し,ユーザに被害をもたらすモバイル・コー ドが出現する可能性は否定できない。AxtiveXを無効にすると,動きのあるビ ジュアルなコンテンツを閲覧できなくなるが,セキュリティを確保するために筆者はすべて無効にすることを推奨したい

たしかに、セキュリティホールが発覚すると、その回避策として、ActiveXコ ントロールをオフにすることや、アクティブスクリプト(JavaScriptやVBScript) をオフにすることが有効であることが少なくない。

私も、脆弱性を発見した際に、その危険性と対策を人々に伝える際に、 ActiveXをオフにするとか、アクティブスクリプトをオフにするとか、Javaを オフにする方法を示したことがある。だが、それはあくまでその脆弱性につい ての回避策なのであって、恒久的に「使うな」と言っているものではない。

現実にActiceXのオフで回避できる脆弱性が多数見つかっている状況では、 一般ユーザに対して「とりあえず切っとけ」と啓蒙するしかないというのかも しれないが、その結果、かえって危険な設定をさせるサイトを増やすことになっ てしまった。

脆弱性は修正すれば直るのであって、直ったら回避策は不要になる。啓蒙する ならまず Windows Updateを徹底させることが先だろう。その上で、パッチが 未リリースのときの一時的な回避策として、各機能をオフにすることを教える しかない。

重要なのはその区別を明確にして教えることである。正常な状態のときの話と、 異常事態の話を分けて説明する。それを理解して自己の判断でActiveXをオフ に設定した人たちは、ActiceXをオンにする必要が生じたとき、解説コンテン ツなどなくても自力で元に戻せるはずであり、また、自力で元に戻せなくなる ような設定変更の解説(安全側に倒す設定であってもだ)をするべきでない。 そうなっていたなら、設定を有効にするに変更せよなどと指示するような説明 は本当にいらなくなる。

この区別ができていないと、「利便性と安全性は相反する」などというチープ な発想で止まってしまう。そういう人たちが、「利便性のためには安全性の犠 牲もしかたないじゃないか」だとか、「セキュリティ屋は現実を無視している だけだ」などと考えて、警察庁などに 見られたActiceXコントロールを有効にする設定の指示を書いている のかもしれない。

あるいは、警察庁などに見られた事例は、それが危険な設定であるという認識がなかったため にやってしまったミスなのかもしれないが、そうした混乱が生じたのはなぜだ ろうか。「セキュリティ屋は非現実的なことばかりを言うが、みんな平気で使っ てるじゃないか」と考えたなら、「どんな設定に変更してもたいして危険じゃ ないはずだ」という誤った思考に陥るのも理解できなくもない。

いずれにせよ、「セキュリティ設定」という安全にかかわる指示をするにあたっ て、自分の言っていることの意味をたいしてわからないまま説明を書くなんて ことが、そもそもあり得ないことだ。

書き手に知識があるかないかは関係がない。「セキュリティの設定」という言 葉が理解できるなら理解して当然のことであり、それが理解できない企業や官 公庁があるということが異常な事態である。

こいういう愚かな行為は、見よう見まねで広がっていく。どこかで「設定を有 効にしてください」という説明を見たことのある人が、自分もそういう説明を 書くのが普通だと思ってしまう。こういうのは特に役所で広がりやすい。無断 リンク禁止教の拡大や、無意味なプライバシーポリシーのコピーと同じ構造だ。

こういうのは一度どこかが損害賠償訴訟でも起こされると、ササーっと変わっ ていくだろう。何も書かないのが正しい。

Google、読売新聞社、Mapion、Yahoo! JAPAN、ソフトバンク!BB、早稲田大学図書館、三洋電機、NEC、Oracle、マイクロソフトらがスパイウェア感染を招き金融被害をもたらしている可能性

Googleの指示がスパイウェア感染を招き金融被害をもたらしている可能性

  • GoogleツールバーFAQ

    Windows 2003 Server に Google ツールバーをインストールする方法を教えてください。

    • 次のオプションを有効にします。
      • 署名済み ActiveX コントロールのダウンロード

読売新聞社の指示がスパイウェア感染を招き……

  • YOMIURI ONLINE インストールに関する質問 : FAQ : ツールバー

    Q5 Windows Server 2003に ツールバーをインストールするにはどうすればよ いですか?

    A5 Windows Server 2003 (Internet Explorer のみ) にツールバーをインストールする手順は、以下の通りです。

    [署名済み ActiveX コントロールのインストール] 、[ActiveX コントロール とプラグインの実行]、[アクティブ スクリプト] を有効にし、[OK] をクリッ クします。

Mapionの指示がスパイウェア感染を……

  • マピオン ツールバー インストールヘルプ

    Q6.「ご利用規約」のページで「同意する」ボタンを押すと、次のようなアラートメッセージが表示される

    A.このメッセージは、(略)「スクリプトを実行しても安全だとマークされ ているActiveXコントロールのスクリプトの実行」および「署名済みActiveXコ ントロールのダウンロード」を共に有効にしてください。

Yahoo! JAPANの指示がスパイウェアを……

  • Yahoo! JAPAN, 2002 FIFA ワールドカップヘルプ

    各オプションを次のとおり設定します。

    1. ActiveXコントールとプラグイン:「署名済みActiveXコントロールのダウ ンロード」、「ActiveXコンとロールとプラグインの実行」、「スクリプトを 実行しても安全だとマークされている ActiveXコントロールのスクリプトの実 行」をそれぞれ「有効にする」に設定します。

ソフトバンクBBの指示がスパイウェアを……

  • Yahoo! BB 光 - 無線TVBOX簡単セットアップガイド

    Windows XP Service Pack 2をお使いの方へ

    「おてがるセットアップCD-ROM」のご使用前に、必ずActiveXコントロールに関する設定をご確認ください。設定の確認および変更方法は、次のとおりです。

    (4) 「ActiveXコントロールとプラグイン」(画面4)のなかの次の項目をす べて「有効にする」にチェックを付けてください。

    • ActiveXコントロールとプラグインの実行
    • スプリクトを実行しても安全だとマークされているActiveXコントロールのスプリクトの実行
    • 署名済みActiveXコントロールのダウンロード
  • プロ野球アニメーションLive - よくあるご質問

    Q1 アプリケーションがうまくインストールされません。

    A 本サービスをお楽しみいただくためには、ActiveXコントロールのダウンロー ド及びインストールを行っていただく必要があります。下記の説明をお読みに なってActiveXコントロールに関する設定のご確認をしていただき、変更が必 要な場合には作業をお願いいたします。

    • ActiveXコントロールとプラグインの実行
    • スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行
    • 署名済みActiveXコントロールのダウンロード

    の3項目に関して設定が「無効にする」になっていないか確認してください。そのなかのどれかの項目、または3項目ともに「無効にする」になっている場合は、3項目すべてを「有効にする」にチェックを付けて設定を変更してください。

早稲田大学図書館の指示が……

  • 早稲田大学図書館, データベースへの接続方法

    Q ActiveXコントロールの実行が許可されず、GOをしても何もおきない
    ActiveXコントロールを使用可能に変更する方法がわからない

    A 以下の項目を設定してください。

    • 【ActiveXコントロールとプラグイン】 ツリーの下の 【署名済み ActiveXコントロールのダウンロード】 を【無効にする】 以外に設定します。 推奨値は 【 ダイアログを表示する】。
    • 【ActiveXコントロールとプラグイン】 ツリーの下の 【未署名のActiveXコントロールのダウンロード】 を 【無効にする】 以外に設定します。 推奨値は 【ダイアログを表示する】。
    • 【ActiveXコントロールとプラグイン】 ツリーの下の 【スクリプトを実 行しても安全だとマークされていないActiveXコントロールの 初期化とスクリプトの実行】 を 【無効にする】 以外に設定します。 推奨値は 【有効にする】

ここの図書館員は「安全だとマークされていない」という日本語表現の意味さ えわからないのか。

ちなみにここのサイトで未署名のActiveXまで無効以外に設定しなくてはなら なくなっているのは、単に署名の有効期限が2004年1月1日で切れているための ようだ。

三洋電機の指示が……

  • 期間限定無料ダウンロー ドキャンペーンのご案内

    この度は、弊社「デジタルメモリプレーヤー」をお買い上げ頂き誠にありがと うございます。[SSP-PD10/20]をお買い上げの皆様に、音楽配信の体験をして いただけるコーナーです。

    (略)

    このMy Music Centerを使用するためには、以下の様に項目がセットされてい る必要があります。

    署名済みActiveXコントロールのダウンロード: 有効にする

NECの指示が……

  • NEC ソフトウェアリリースセンター ご利用時の注意事項

    (2)「セキュリティ」の画面でWebコンテンツのゾーンとして「インターネット」 を選択し、「レベルのカスタマイズ」をクリックします。

    以下の項目を「有効する」に変更します。

    • ActiveXコントロールとプラグインの実行
    • スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行
    • 署名済みActiveXコントロールのダウンロード
    (略)

Oracleの指示が……

  • Oracle Direct iSeminar:よくあるご質問

    Q Oracle Direct iSeminarへ正常に参加できません。

    A Internet Explorer のセキュリティの設定を確認します。

    「署名済みActiveXコントロールのダウンロード」を「ダイアログを表示する」 または「有効にする」にします。

マイクロソフトまでもが……

  • Windows確認アシスタントについてよく寄せられる質問

    [今すぐ確認] ボタンをクリックしましたが何も起きません。

    以下のことを確認してください。

    • インターネットに接続されており、オフライン作業になっていない。

    • Internet Explorer の設定で、署名済みの ActiveX コントロールのダウン ロードが有効になっている。 IE 6.0 の場合、[インターネットオプション] >> [セキュリティ] >> [レベル のカスタマイズ] >> [署名済み ActiveX コントロールのダウンロード] で設定できます。
  • Microsoft オンライン クラッシュ ダンプ解析サービス - FAQ

    3. [インターネット] アイコンをクリックしてから、[レベルのカスタマイズ] をクリックします。

    4. 以下の項目が [有効にする] または [ダイアログを表示する] に設定され ていることを確認します。

    • 署名済み ActiveX コントロールのダウンロード
    • ActiveX コントロールとプラグインの実行
    • スクリプトを実行しても安全だとマークされている ActiveX コントロールのスクリプトの実行

茨城県、愛知県、和歌山県、愛媛県などの電子申請システム利用者がスパイウェア感染しやすい設定に変更している恐れ

茨城県愛知県和歌山県愛媛県などが、それぞれの電子申請システムの利用者にインストールを促している、「EUR Form Client」というソフトウェアのFAQのページには次の記述がある。

  • HITACHI: FAQ(回答): EUR Form Client
    Q1. EUR Form Clientをインストール(ダウンロード)できません。

    Internet Explorerをお使いの場合、Internet Explorerのセキュリティの設定によりCABファイルのダウンロードが抑止されている場合は、EUR Form Clientのインストール(ダウンロード)は行われません。以下の手順でInternet Explorerの設定を確認してください。

    3. [セキュリティ]タブで、Webコンテンツのゾーンとしてインターネットゾー ンを選択し、[レベルのカスタマイズ]ボタンをクリックする。

    4. [セキュリティの設定]ダイアログで、[署名済みActiveXコントロールの ダウンロード]の設定を確認する。

    [署名済み ActiveXコントロールのダウンロード]が「無効にする」に設定さ れている場合、EUR Form Clientのインストールは行われません。「有効にす る」または「ダイアログを表示する」に設定を変更した後、 再度 EUR Form Clientのインストールを行ってください。

(次回予定: Windows XP SP2の場合)

本日のTrackBacks(全100件) [TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20050801]
過去と未来とセキュリティと (2005年08月03日 02:10)

「セキュリティ屋」がセキュリティを駄目にした情報セキュリティ業界の大久保彦左衛門高木センセイです。先生のサイトに新しい記事が載る度に今度は何を斬ってくれるんだろうかと楽しみに読んでいます。攻撃的な論調を取ることが多いですが、やはり情報セキュリティの最前..

「セキュリティ屋」がセキュリティを駄目にした情報セキュリティ業界の大久保彦左衛門高木センセイです。先生のサイトに新しい記事が載る度に今度は何を斬ってくれるんだろうかと楽しみに読んでいます。攻撃的な論調を取ることが多いですが、やはり情報セキュリティの最前..

4*9=89:傲慢なのか怠慢なのか (2005年08月03日 02:48)

高木浩光氏のBLOGより 高木浩光@自宅の日記:「セキュリティ屋」がセキュリティ...

高木浩光@自宅の日記:セキュリティ屋」がセキュリティを駄目にした より Goog

検索

<前の日記(2005年07月22日) 次の日記(2005年08月02日)> 最新 編集

最近のタイトル

2016年08月23日

2016年07月23日

2016年07月16日

2016年07月02日

2016年06月12日

2016年06月03日

2016年04月23日

2016年04月06日

2016年03月27日

2016年03月14日

2016年03月06日

2016年02月24日

2016年02月20日

2016年02月11日

2016年02月05日

2016年01月31日

2015年12月12日

2015年12月06日

2015年11月23日

2015年11月21日

2015年11月07日

2015年10月20日

2015年07月02日

2015年06月14日

2015年03月15日

2015年03月10日

2015年03月08日

2015年01月05日

2014年12月27日

2014年11月12日

2014年09月07日

2014年07月18日

2014年04月23日

2014年04月22日

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|08|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|12|
2007|01|02|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|08|09|10|11|12|
2009|01|02|03|05|06|07|08|09|10|11|12|
2010|01|02|03|04|05|06|07|08|09|10|11|12|
2011|01|02|03|05|06|07|08|09|10|11|12|
2012|02|03|04|05|06|07|08|09|
2013|01|02|03|04|05|06|07|
2014|01|04|07|09|11|12|
2015|01|03|06|07|10|11|12|
2016|01|02|03|04|06|07|08|
<前の日記(2005年07月22日) 次の日記(2005年08月02日)> 最新 編集