(2003/04)
|
[ IPv6アプリコンテスト2003 ]
|
http://www.v6pc.jp/apc/jp/invitation.html
2003/04/30(Wed)
|
|
|
[ Flashour.com ]
|
オープニングコンテスト
フラッシュのコンテストです。
応募期間は6月30日（月）当日消印有効
応募資格
個人、プロ、アマ、国籍問わず。
応募方法はSWFファイルをメディアにコピーして郵送。
http://www.flashour.com/contest/index.html
2003/04/25(Fri)
|
|
|
[ シグマリオン3 ]
|
ついに出てきましたねー。
シグマリオン。
さらばゼロハリバートンって感じで、モバイルツールよろしく機能的っぽくなっています。
肝心の機能はもう、ホントすぐ立ち上がるノートパソコンみたいな感じで、タイピングをメインにするなら、こっちの方がいいんじゃないのってかんじ。
でもどうみてもタッチパネルのショートカットは頂けないような気がするんだけどな。
http://www.nttdocomo.co.jp/info/products/sigmarion3/index.html
2003/04/23(Wed)
|
|
|
[ 京セラ ]
|
京セラの携帯電話・・・やっちゃいました。
SONYの505と形状そっくりです。
どーなの？コレ・・・。格好いいけど・・・
http://www.deadend.ne.jp/files/de_column/hf/030422.htm
2003/04/22(Tue)
|
|
|
[ トロンプロジェクト ]
|
http://www.tron.org/
2003/04/20(Sun)
|
|
|
[ Flash AD に CSS 脆弱性 ]
|
この脆弱性は、匿名の第三者が発見したものを、SCAN編集部が提携先である
イスラエル SecuriTeam とともに検証を行ったものである。
匿名の方およびイスラエル SecuriTeam に誌面を借りてお礼申し上げます。
>> この問題についての発表内容の相違に関する説明
この問題については、マクロメディア社、SecuriTeam、Scan Daily EXpress
が公表を行っている。
それぞれの意見の違いにより、内容が微妙に異なる。
脆弱性の説明にあたり、3者（マクロメディア社、 SecuriTeam、Scan Daily
EXpress ）の関係者の間の基本的な意見の相違を説明する。
・影響範囲に関する意見の相違
マクロメディア社：影響を受けるサイトは少数の大手広告配信事業者に限定
される。
SecuriTeam：この件については特に言明なし
Scan Daily EXpress：大手広告配信事業者以外の大手サイトにも同種の問題
を発見しているため、影響を受ける範囲は大手広告配信事業者に限定されない
可能性がある。
・リスクの評価に関する意見の相違
マクロメディア社：大手広告配信事業者のサイト上には重要な個人情報はほ
とんどないと考えられる。そのため、個人情報漏洩などのリスクは低いといえ
る。
SecuriTeam ：機構上、クロスサイトスクリプティング脆弱性がある以上、
リスクは確かに存在している。
Scan Daily EXpress：大手広告配信事業者以外の大手サイトにも同種の問題
がある以上、個人情報漏洩の可能性は否定できない。このリスクは大きい。
大手広告配信事業者以外のサイトに危険性を知らせるためには、起こりうる
可能性とリスクについて明記すべきである。
>> 問題の概要
マクロメディア社が推奨している Flash AD の方法には、任意のスクリプト
をインジェクションできる問題があった。
この問題を悪用することで、クロスサイトスクリプティング（CSS）などの
攻撃を行うことが可能となっていた。
cookie の盗用、セッションハイジャック（Persistent Cookie のみでのセ
ッション管理をしている場合）が可能である。
マクロメディア社の発表したこの問題の内容
＊マクロメディア社の説明は、広告管理に関するものに限定して説明を行っ
ている。そのため、同じドメインで発行されている cookie の盗用のリスクに
ついての説明が抜けている。管理者は、同じドメイン上の他の cookie 盗用に
ついても注意が必要である。
http://www.macromedia.com/support/flash/ts/documents/clicktag_security.htm
修正された Flash AD 制作ガイド
http://www.macromedia.com/resources/richmedia/tracking/designers_guide/
SecuriTeam による発表
http://www.securiteam.com/securitynews/5XP0B0U9PE.html
>> サイト利用者に対するリスク
サイト利用者は Flash AD を掲載しているサイト（広告が表示されているサ
イトではなく、Flash ファイルのおかれているサイト）の cookie を盗用され
るリスクがある。リスクは当該サイト（Flash ファイルのおかれているサイ
ト）で発行している cookie の内容によって異なる。
広告のトラッキングのみに利用している場合のリスクは低い。認証や個人を
特定するための情報を含んだ cookie を発行している場合のリスクは高い。
ターゲットとなる cookie は、 Flash AD を掲載しているページだけでなく、
同じドメインに存在しているすべての cookie が対象となる。
単に外部の広告配信サイトの Flash ファイルを表示している場合は問題な
い。
問題に対する対応はじゃっかん遅かったが、日本と本社との連携も行われて
いた。問題発見後、同社（米国）は主要な広告利用者に個別に連絡を行った模
様である。問題発見後の事後対処体制比較的整備されていると考えられる。た
だし、公表された内容には同じドメインの他の cookie が盗まれる危険性につ
いての記述がない。このため、発表内容からより悪意ある第三者に深刻度の高
い攻撃方法を類推されるという2次的なリスクが生じている。
マクロメディア社では、Flash AD に用いる Flash ファイルをおいているの
は少数の大手広告配信事業者に限定されていると判断している。それらのサイ
トでは、重要な情報を cookie で配布していないため、リスクは低いとコメン
トしている。
Scan Daily EXpress が確認した範囲では、大手サイト内に、Flash AD に用
いる Flash ファイルがおかれていた。例えば、大手サイトの中には、
http://大手サイト/ad/clients/ddip/030414ddip.swf や
http://大手サイト/adv/composite/20030324/y-0324conpojitte_p.swf のよう
に自社のサイト内に Flash ファイルをおいているケースがある。
これらのサイトでは、上記の危険が存在している。また、同様なサイトが他
にも存在する可能性があると考えた。
セキュリティリスク：高
（マクロメディア社では低と判断されている）
マネジメントリスク：低
>> 影響の範囲
すべての Flash プレイヤーに影響がある。
すべての clickTAG を用いていた Flash AD を利用しているサイト（広告が
表示されているサイトではなく、Flash ファイルのおかれているサイト）に影
響がある。
Flash AD を配信もしくは自社サイトに設置している事業者には、迅速な対
応を期待したい。
>> 脆弱な個所
Flash AD では、「getURL(clickTAG)」を用いて広告のトラッキングを行う
方法を推奨していた。
しかし、「clickTAG」に第三者がスクリプトを仕込むことが可能であり、仕
込まれたスクリプトを「getURL()」は、無効化することができない。
そのため、スクリプトを用いたクロスサイトスクリプティングが可能となっ
ている。
>> 想定される悪用方法
サイトＡが、 Flash AD を用いている（サイト上に Flash ファイルを設
置）ケースを想定。
攻撃者Ｂは、攻撃用サイトＣを作り、そこにサイトＡのFLASHに、スクリプ
トをインジェクションして、誰かがサイトを訪れるのを待つ。
サイトＣを訪れたＤという人物がFLASHをクリックすると、インジェクショ
ンされたスクリプトが実行される。
この時、ブラウザは、サイトＡのスクリプトを実行していると解釈する（こ
れはブラウザの脆弱性ではない）。そのため、サイトＡのスクリプトでなけれ
ばできないこと＝Ｄ氏の cookie 盗用、セッションハイジャック（これ以外の
攻撃も可能）などを行うことが可能になる。なお、Ｄ氏が事前にサイトＡの
cookie をもっていなければセッションハイジャックの危険はない。
＊対象となる cookie は、 Flash AD が掲載されているドメイン（サイト上に
Flash ファイルを設置）で発行されているものとなる。そのため当該ドメイ
ンで認証などの重要な情報を cookie を用いて管理した場合、深刻な問題とな
る。単に外部の広告配信サイトの Flash ファイルを表示している場合は問題
ない。
攻撃用サイトＣのページを開いたと同時に、popupウインドウが開く。
popup では、盗もうとしている cookie の発行元（サイトＡ）の flash フ
ァイルの clickTAG に cookie を盗むスクリプトを仕込んである。
Ｄ氏がクリックすると、サイトＡがＤ氏に発行した cookieが、攻撃者のサ
イトＣに渡される。
また、フレームを用いて、下部に Flash AD を表示させることにより、違和
感なく利用者を誘導することも可能である。
>> 対処方法
マクロメディア社では、Flash にスクリプトを無効化する機能をつけないと
明言しているため、「getURL(clickTAG)」の利用による危険は続いている。
事前に、「clickTAG」で与えられるパラメータが "http://" ではじまって
いないものを排除する処理をマクロメディア社では推奨している。
一般的に、不正なコードに対する措置には、サニタイジング（クロスサイト
スクリプティングに利用される可能性のある文字列を無効化する方法）を用い
ることが推奨されている。「clickTAG」で与えられる文字列に対するサニタイ
ジングの方法が確立されれば、さらに安全な利用が期待できる。
なお、もっとも単純で有効な対処方法は、Flash ファイルを置くためだけの
サブドメインを用意することである。これにより、攻撃者が奪取できる
cookie は、当該サブドメイン上のもののみとなり、ほとんどの危険は回避で
きる。
また、利用者の自衛策として javascript をオフにすることも有効である。
オフであれば、クロスサイトスクリプティングは動かない。オフであっても
「clickTAG」は正常に動作する。
>> 当該ベンダへの連絡と対処状況
マクロメディア社の発表したこの問題の内容
（ここにある内容には前述した同じドメイン上の他の cookie 盗用の危険性
が記述されていないので注意）
http://www.macromedia.com/support/flash/ts/documents/clicktag_security.htm
修正された Flash AD 制作ガイド
http://www.macromedia.com/resources/richmedia/tracking/designers_guide/
2003/04/15(Tue)
|
|
|
[ 505シリーズ登場!! ]
|
505iシリーズ6機種が発表されました。
全機種でQVGA相当の液晶、外部メモリスロット、テレビの
リモコン機能を採用。100万画素以上のカメラを内蔵した
端末も3機種用意されるようです。
SO505デザイン格好いいです。
僕、sony製の携帯しか今まで使った事なくて、今回は久々に
購入って感じです。
でもSONYのジョグダイヤルって使いやすいけど、壊れやすいん
ですよね。
http://www.zdnet.co.jp/mobile/0304/08/n_505i.html
あと、ソニーエリクソンのサイトで吉田かばんとのダブルネーム
のカバンがソニーエリクソンユーザーに当たるキャンペーンやってます。
http://www.sonyericsson.co.jp/
2003/04/09(Wed)
|
|
|
[ ボーダフォン ]
|
いよいよ充実してきましたね。
ボーダフォン。
はっきりいってSANYOのV-SA701なんて結構気合いはってますよね。
あとNOKIA6650なんかも通常ラインナップにはいってほしい感じ。
TVコールや高速パケット通信、デジタルデータ通信などまさにマルチメディアなケータイ。
僕のなかで結構注目。
http://www.j-phone.com/japanese/service/vgs/product/index.html
2003/04/08(Tue)
|
|
|
[ Tシャツ売っているサイト ]
|
http://www.youfuku.com/
2003/04/03(Thr)
|
|
|
[ アンケート ]
|
ハイホー・マーケティングサービスさんのやっているアンケート面白い。参加してみよっと。
http://research.hi-ho.ne.jp/market/
2003/04/02(Wed)
|
|
|
[ VISUALOGUE ]
|
知らない間に新しいデザインになってました。
『行こう名古屋へ』
...なんだろうこれは。
http://visualogue.com/
VISUALOGUEでやっている
「国際学生ポスターコンペティション・NAGOYA」
しかし、これはすごいよ。
グランプリ １点100万円！学生はガンバレ！
http://www.visualogue.com/design_fair/jp/student_poster/index.html
2003/04/01(Tue)
|
|
