カテゴリー: コンピュータ

Web Application Firewall(WAF)とは、サーバーサイドでウェブサイトを守るFirewallの事。

通常のFirewallはポートスキャンを防ぐだけ。
WAFはアプリケーションの脆弱性を利用した攻撃も防げます。
「SQLインジェクション」「クロスサイトスクリプティング」「パラメータ改ざん」を防ぐとのこと。
例えばWordpressの脆弱性を利用した攻撃を防ぐのに使われているようです。

WAFは通信内容を傍受して攻撃に該当するパターンを検出すると不正アクセスと判断して、そのアクセスを遮断。
ウィルス検査と似たような仕組みですね。

ダークパターンとはウェブサイトでユーザーが退会しにくいよう手続きを複雑化したり
アカウント削除フォームをわかりづらい場所に設置するパターンの事。

WHAT ARE DARK PATTERNS?

• 例えばXboxLiveでは入会はウェブで簡単に手続きできるのに、退会はわざわざマイクロソフトに電話しないといけないのです。
• SNSなどで、個人情報収集に同意させるボタンの配色でユーザーを錯覚させるのもダークパターン。

  例えば、個人情報の設定を「始めるボタン」は青いボタンにして、
  具体的な項目について「同意するボタン」も同じ青いボタンにすると、
  ユーザーは思わず青いボタンをクリックしてしまいます。

  アカウント作成時の個人情報の設定を省略してマイページに進むボタンを青いボタンにするのもダークパターン。
  設定の初期値は「同意する」になってるので、設定を面倒だと思う人は次へ進んでしまいます。

• 個人情報収集の利点のみを説明し、リスクは説明しないのもダークパターン。
• 動画の再生ボタンを偽装して「いいね」を押させたり、アフィリエイトリンクをクリックさせるのもダークパターン。
• サイト内に記事が開くリンクと広告が開くリンクを区別できないようなデザインにするのもダークパターン。
• 無料でサービスを提供する代わりに個人情報を入力させるのもダークパターン。
  スマホの無料アプリで電話帳データを送信させるのも同じ。
• 格安商品の支払いの確定時に高額な手数料を提示するのもダークパターン。
  またユーザーがショッピングカートに商品を入れると、自動的にオプションサービスもカートに入ってしまうのもダークパターンです。
• 無料期間が終了すると自動的に継続課金となるのもダークパターン。

これらのダークパターンはユーロでは2014年に禁止されています。
Some Dark Patterns now illegal in UK – interview with Heather Burns
日本では未だに野放しのままです。

ブルーノートとは振動を利用してHDDを破壊する攻撃の事。
パソコンに内蔵のスピーカーから出た超音波や可聴域の音が、
HDDの読み取りヘッドを振動させる事で、HDDを物理的に破壊可能らしいです。

2016年にルーマニアの銀行でシステムが10時間シャットダウンした事件があったそうです。
A Loud Sound Just Shut Down a Bank’s Data Center for 10 Hours
シャットダウンの原因はHDDがぶっ壊れた事。
事件の日、銀行では消火システムの検証を行っていたようです。
消火は不活性ガスを使う物で、電子機器には反応しないはずでした。
ガスが一斉に放出されると、そのノズルから大きな振動が発生したそうです。
振動はHDDに伝わり、HDDの読み取りヘッドが外れてしまったとのこと。

SSDだと可動部分が無いのでブルーノート攻撃は問題ないようです。

サーバーの前で大声を出すだけでも処理の遅延が発生するとの解説動画も。
2008年の動画なので10年前から振動の問題は知られてたんですね。
実験者が大声を出した時に遅延が発生していることがグラフでわかります。

Shouting in the Datacenter

ほんの数秒叫ぶだけで遅延が起きる程なので
振動が数十秒続くだけでどうなるかは想像つきますね。

00000JAPAN(ファイブゼロジャパン)は災害時統一SSIDと呼ばれる公衆無線LAN。
災害時に各通信会社が開放する無料WiFiですがパスワードがなく、誰でもアクセス可能。普通の公衆無線LANと同じで、当然セキュリティはザル。
誰でも同じSSIDでアクセスポイントを立てられます。
緊急時に他の連絡手段がないなら仕方ないのですが
一度使って用が済んだら00000JAPANは削除しましょう。
ほっとくと自分の端末が不正アクセスの踏み台になりかねません。

米朝会議の場で無料のUSB扇風機が記者達に配られたそうです。
その扇風機は恐らくスパイウェアが仕掛けられているだろうとの事。

『無料のUSB扇風機を貰っても絶対に自分のPCに刺しこまないで』セキュリティに関するお話に「スパイ映画みたい」の声も

USBデバイス内部にWiFiチップが入っていて、遠隔操作されるリスクもあるらしいです。