TwitterがDoS攻撃を受けていた件

なにやら帰りにTwitterをしようと携帯からモバツイッターにアクセスすると、取得エラーとのフラグが…。
「何だ、またTwitter落ちてるのか…」とか思っていたら、どうやらDoS攻撃を受けていたようで。

We are determining the cause and will provide an update shortly.
Update: we are defending against a denial-of-service attack.

Twitter Status - Site is down

We are defending against a denial-of-service attack, and will update status again shortly.
Update: the site is back up, but we are continuing to defend against and recover from this attack.
Update (9:46a): As we recover, users will experience some longer load times and slowness. This includes timeouts to API clients. We’re working to get back to 100% as quickly as we can.

Twitter Status - Ongoing denial-of-service attack

［和訳］
現在、我々はDoS攻撃を受けています。手短に状況報告をします。
更新：サイトは復旧しましたが、続けてこのDoS攻撃に対処中です。
更新（AM 9:46）：リカバリ作業のため、更新に時間がかかる予定です。またAPIクライアントのタイムアウトも発生する予定です。できるだけ早く復旧しますのでお待ちください。

年中何かのトラブルで止まってばかりだったTwitterなので、てっきりまた不具合かと思っていたのですが、どうも今回の事態は結構重そうです。


POLAR BEAR BLOG: 今夜の Twitter ダウン、原因はメンテではなくDoS攻撃

……しかし先日は Gawker Media もDoS攻撃喰らってるし、物騒な世の中ですなぁ。Twitter もいろいろな政治的活動に使われて有名になっているので、物騒な連中の標的になっているのかもしれないですね。

POLAR BEAR BLOG: 今夜の Twitter ダウン、原因はメンテではなくDoS攻撃

どうも最近この手のDoS攻撃がちょこちょこ見られるみたいです。
確かにこれまではTwitterはゆるい感じのメディアという位置づけでしたが、これだけ企業や政府までもが介入し始めると、いわゆるテロの破壊対象となってしまう可能性も大いにある気がします。

仮に「対ソーシャルメディア同時多発DoS攻撃」とか仕掛けようとする輩が出てきたらどうなるのでしょうね……。

POLAR BEAR BLOG: 今夜の Twitter ダウン、原因はメンテではなくDoS攻撃

しかし、もしそのような輩が現れたら、一体何を望んでるんでしょうかね。
ネットの住人のけまらしいオフのノリが癪に障ったんでしょうか？それともただの愉快犯なんでしょうか。。。

何にしても、今現在（日本時間：午前3時15分）もなかなかTwitterにつながらないですし少し怖いです。

確かにこれまではTwitterはゆるい感じのメディアという位置づけでしたが、これだけ企業や政府までもが介入し始めると、いわゆるテロの破壊対象となってしまう可能性も大いにある気がします。

仮に「対ソーシャルメディア同時多発DoS攻撃」とか仕掛けようとする輩が出てきたらどうなるのでしょうね……。

POLAR BEAR BLOG: 今夜の Twitter ダウン、原因はメンテではなくDoS攻撃

しかし、もしそのような輩が現れたら、何を望んでるんでしょうかね。
ネットの住人のけまらしい

... Close

「Microsoft IT Security Award 2009」が今日から開始

Microsoft IT Security Award 2009が今日から始まりました。



去年から始まったこの取り組み、今年で2回目です。話によると去年より問題は難しくしたとか。ちなみに期間は2009年1月15日から2009年2月16日までだそうです。

Securityに自信がある方自分を試したい方、ぜひトライしてみてください。またそうじゃない方も、この際やってみてください。

ちなみに去年はこんなのをいただきました。




【関連記事】
IT Security Award 2008 授賞式 - よっぱ主義。
　http://yoppa.blog.shinobi.jp/Entry/27/
IT Security Award 2009
　http://www.microsoft.com/japan/technet/security/award/2009/default.mspx

... Close

Webアプリのセキュリティ

システムのセキュリティってどこまで考えなきゃいけないんでしょうね。
最近、会社生活がめっきり開発色に染まって、Webアプリのセキュリティレベルのバランスを考えながらそんなことを考えてます。

少し前のRubyのまつもとさんのRubyがらみのWebアプリに関する発言が物議を醸しているようですが。

Matzにっき［Attacking PHP］

Webアプリケーションをなめるな

この発言についてとやかく言うつもりなんてありません。
むしろ気になったのは、このまつもとさんの発言と逆の「セキュリティなんて関係ねーよ！」的なコメントがあった次のブログからです。

はてな匿名ダイアリー［初心者はPHPで脆弱なウェブアプリをどんどん量産すべし］

趣味でやってるプログラミング初心者の立場で言わせてもらう。だいたいな、あんたらプロのプログラマが小難しい顔してセキュリティセキュリティ言うもんだから初心者プログラマのセキュリティ意識がまったく向上しないばかりか、よけいに低下するんだよ。ごちゃごちゃ言われたり叩かれるのはイヤだけど、眼前の問題はプログラムで解決したいってヤツは耳塞いで黙ってPHPでやりたいようにやるんだよ。何が「楽しいRuby」だよ。「Webアプリケーションをなめるな」ってその時点でもう全然楽しくねーだろが。

ぼくはまちちゃん！(Hatena)［セキュリティ過敏症］

きみが作りたいものを作るのが一番だいじ。
　　
きっと喜んでくれる人たのしんでくれる人ほめてくれる人がいるよ！

セキュリティのことは、全く考えなくていいよ。

いつもセキュリティの話だとかオブジェクト指向だとかの小難しい話をしている彼等より、へたくそプログラムでも、面白いものつくっちゃうきみのほうが偉い。

入社してから、ただ闇雲に「セキュリティは重要だ！」という考えのもと開発やら設計やらやってきましたけど、こういう視点もあるんだなぁと。何か少し新鮮な気持ちです。


■Webアプリのセキュリティ
そもそもWebアプリのセキュリティって何でしょう？
まぁ単にSQLインジェクションやクロスサイトスクリプティングを回避する仕組みを組み込んでおくだとか、セッションハイジャックできないようにGUID化＋ハッシュ化を行うだとか。ちょっと考えるだけでもいろいろ出てきます。
他にも複数のサーバーを乗っ取ることで、DDoS攻撃を他のサーバにかけられちゃったりします。

まぁ要するにセキュリティが甘いと何でも出来ちゃうんですよ。

じゃあどうしてWebアプリなのか。

昔のWinアプリを作っている環境では使うユーザーも限定されるのでそれほどセキュアな設計にしなくて良かったものが、Webアプリでは不特定多数の人がアクセスすることが可能になってしまいます。
サバンナに置き去りにされた羊みたいなもんです。どこから野生の動物が襲ってくるかわかりません。寝てる間に襲われるかも知れませないのでおちおち寝てもいられません。

これまでのWindows上で動かしていたアプリケーションは性善説を元に作られていたのに対し、上述のWebアプリは性悪説に基づいて作られているから、こんな違いがでてきてしまうわけです。



■開発者、設計者、利用者、それぞれの視点の違い
はまちやさんの

きみが作りたいものを作るのが一番だいじ。
　　
きっと喜んでくれる人たのしんでくれる人ほめてくれる人がいるよ！

セキュリティのことは、全く考えなくていいよ。

いつもセキュリティの話だとかオブジェクト指向だとかの小難しい話をしている彼等より、へたくそプログラムでも、面白いものつくっちゃうきみのほうが偉い。

この文章にはとてもに納得しました。
何よりも「つくりたいものを作りたい」とか「楽しみながら作りたい」ってのはどんな活動であっても必要ですよね。

…ただ、これって何視点で考えてるんだろう？と。
ここでの話はいろいろな視点から捉えようがあると思うのです。

例えば、
　・プログラマー視点
　・プランナー視点
　・システムエンジニア視点
　・経営者視点
　・利用者視点
などなど。

おそらく増田の意見は、書いている通り初心者のプログラマーさん視点なんでしょうね。
そしてはまちやさんの話は、どちらかというとプランナー視点なのかなぁと。

ちなみにまつもとさんのお話は、察する感じだとプロのプログラマーとして「安全なものを世の中に！」という意思を感じました。
俗に言うプロ意識というものなんでしょうか？

何にしてもそれぞれの視点でこうも違うとは面白いなぁ…と感じました。



■エンターテインメントを作っているのかインフラストラクチャーを作っているのか
さて、ここからは先ほど挙げたうちのひとつ、システムエンジニア視点で書きます。

もし、自分が仕事をお願いした人が「好きなように作りたい！」「セキュリティなんて知ったこっちゃない！」なんてことを言って、自分勝手にモノを作ったらどうなんでしょう。
…惨劇が脳裏をよぎります。

そのWebアプリを踏み台にしたDDoSが原因で他社のサーバを破壊したなんてことになったら、誰が責任負うんだろう…とか。
穴だらけのアプリを作ってサービス提供していて、そのアプリのセキュリティホールが原因で個人情報の漏洩したらどうするの？とか。
やっぱり安全なモノがいいです。

もちろん「面白いものや楽しいものを作る」と言う考えはとても大事だと思うんですよ。
だけどこの視点で考えたときに、クリエイティブさよりも安心感の方に重きを置くと思うのです。
お客さんの「うわあぁぁぁぁぁぁっ☆」を作ると言うよりかは「ほっ…」を作るとでも言うんですかね。

そんなわけで自分は「Webアプリ」＝「インフラ」だと思っています。

橋や道路って、ある特定の人間しか使えないわけではなくすべての人が平等に使えるものです。
特にインターネット上に公開されてるWebアプリの場合、URLさえわかればアクセスできます。

いつも使っている電車で免許証が盗まれる事件が多発しているなんて聴いたら、使いたいものも使いたくなくなりますよね？

不特定多数が利用する場は安全であるべきだと思いませんか？

... Close

善意の手紙は不幸の手紙

ちょっと前からこんなメールや日記を見ることが多いです。
ここ1週間くらいで同じ内容のメールが３件ほど来たんでちょっと掲載してみます。




------------------

友人からのメール転送です。心辺りがありましたら、連絡願います。

誰か知り合いでRHマイナスB型の人知りませんか？
私の知人の三歳の子が急性リンパ性白血病になってしまって、昭和医大に入院してるそうです！
ＲＨマイナスＢ型の血液不足にて手術受けれない状態で、誰かＲＨマイナスＢ型の方いませんか！？
是非協力おねがいします！
１人の幼い子の命がかかっていて、とても危険な状態だそうです！
最寄りの献血センターで献血できるようなので、是非是非協力おねがいします！
分からないことあればいつでも連絡ください！
よろしくおねがいします！　
友人の携帯：090-****-****

友達にまわしまくってもらって結構ですなかなかない血液みたいなので、私だけの人脈だと間に合わないのでご協力おねがいします！

------------------




まぁ簡単に言うと、読み手の善意に漬け込んだチェーンメールってやつですね。
そういえば昔、この手のチェーンメール流行ってましたね、○○人に転送しないと不幸になるとかいう素敵なフラグが立っちゃうメールが。実際まわしても他人から嫌がられて不幸になるというのがドラえもんでもちびまるこちゃんでも相場でしたが。
そもそも「昭和医大なんて大学、今あったっけ？」ってところと「何でネットで携帯の番号どうどうと転送できるの？」ってところに気がいったのでまるまる無視していましたが、案の定、昭和大学と日本赤十字社で業務に支障をきたすぐらいの酷い騒ぎになってるみたいですね。



JRC：B型Rhマイナスの血液に関するチェーンメールについて
http://www.jrc.or.jp/info/1350.html

東京都赤十字血液センター
http://www.tokyo.bc.jrc.or.jp/tmpfile/brh-080222/brh-080222.htm

昭和大学病院：当院の名前が記載されたチェーンメールについて
http://www.showa-u.ac.jp/hospital/hatanodai/SUH/notice_20080221.html

献血募る偽チェーンメール　日赤や病院に照会殺到
http://www.iza.ne.jp/news/newsarticle/event/124800/



まぁなんにしろこういうものに反応する日本人のやさしさを見るたび「日本も捨てたもんじゃないなっ！」って気持ちになりますが、簡単にだまされてしまうのを見ると激しく「日本ｵﾜﾀ＼（＾o＾）／」という気持ちになるわけで。



以下Wikipediaより転載。



-----

チェーンメール
出典: フリー百科事典『ウィキペディア（Wikipedia）』
チェーンメール（英:chain mail, chain letter）は、連鎖的に（チェーン）不特定多数への配布をするように求める手紙である。かつて「不幸の手紙」や「幸福の手紙」と呼ばれたものが典型的な例である。チェーンレター、チェンメとも。掲示板などにもそういった「チェーン書き込み」「チェーンカキコ」と呼ばれるものが存在する。
その後電子メールや携帯電話が一般的になったことによって、広まる速さが加速した。
不特定多数への配布が特徴的な天使の手紙（独語：Himmelsbrief）と呼ばれるものは中世にもあり、チェーンメールの元祖と目されている。

（中略）

■チェーンメールが招いた悪影響

チェーンメールは、特にインターネットなどのコンピュータネットワーク上では、迷惑メールの一種とされ、ネットワークに高い負荷（トラフィック）を与える原因となる。また、最近ではチェーンメールをきっかけに周囲が大きく振り回されるという悪影響が発生することもある。以下にその例を示す。（中略）

輸血騒動
「珍しい血液型の患者が手術を受けることになり、同じ血液型の人間を探している」というもので、不定期に見られるチェーンメールである。大半は虚偽の病院名が書かれているなど実体がない物だが、2000年5月に流されたメールには実在の病院名が書かれていたため問い合わせが殺到し、業務が滞る事態となった。また、2003年4月、2008年2月にも同様のチェーンメールが出回り、チェーンメールに記述があった昭和大学病院や日本赤十字社に問い合わせの電話が殺到し、それぞれのホームページで単なるチェーンメールである旨のお知らせを載せるまでの騒動となった。

（後略）

----------




ということで、早速掲載されてました。

良かれと思ってこのようなチェーンメールをまわしている人が多いのかもしれませんが、それによってどんな影響が出るのか、本当に考えて行っているんでしょうか？というか本当に助けたいと思う気持ちがあれば、身近にいるRH(-)B型の知り合いを探すと思うんですが。自分の場合なら家族にも友達にもいますし。
何にしろこのメールをまわすことで「いいことをした！」「これで一人の命が助かった！」と思ってしまうのはちょっとお門違いな気さえします。

そして問題なのはここで書かれている携帯番号。実際に献血を待ちわびている方が背後にいたのであれば、いたずらに電話がかかってくるのが気の毒でなりません。なんせ下手したら日本中に個人情報がばら撒かれたのも同然なんですから。
変なことに利用される前に携帯番号を変更できるといいですね。

個々人が自由に情報を発信できるようなシステムが広まって、情報提供の双方向性が広まりつつあるっていうのに、こういうことが簡単に起こってしまうことを考えると、ユーザーレベルで変えないといけないものがあるのかもしれないなぁと。本当に発信者一人ひとりがしっかりと考えながら情報を発信しないと、それによってたくさんの人が不幸になるかもしれないわけですしね。

ユーザーレベルで個人情報の保護や漏洩に対する策を考えないといけない時代がやってきているのかもしれませんねぇ。


ところでこのメールを今マジマジ読んでいて思ったんですけど、
そもそもRH(-)B型ならば、RH(-)O型の血液も輸血すること出来るのに…何で転送してる人はそこに気づかないんだろう。

RH(-)の両親を持つ人間のつぶやきでした。
ところで自分はRh因子どっちだったっけ。。。

IT Security Award 2008 授賞式

先日、Microsoft本社で開催されていたIT Security Award 2008の授賞式に参加してきた。もちろん会社にはオフレコ。上司には軽いギャグのつもりで伝えていました。


今回はその授賞式に参加をして、参加前から参加後を通じて感じたことをまとめてみる。


当日、、、授賞式10分前にMicrosoft本社到着。
受付を済ませた後で、授賞式の受賞者が自分だと知らされる。
受賞が自分だと聴いて率直な自分の感想としては『本当に自分でいいのか？』と言うこと。しかもコメントしないといけないらしい。プレスの時間もあるらしい。もちろん適切な言葉も浮かばない。

授賞式開始。『本当に自分でいいのか？』やはり言葉はまとまらない。しかし式は関係なく進行する。

しょうがなく自分の中で割り切って言葉をつむぐ。受賞のコメントは終了。
その後、プレス…頭の中が真っ白になりながらも無理矢理まとめて話をして、…結果的に話しながら感じたのは「早口だな…」「分かりにくいな…」「まとまってないな…」の３つ。（…案の定伝わっていませんでした。）
急な振りがあると冷静に対処できなかったり早口になったりすることについては、今後も継続的に改善していかないといけない懸案事項ですね。


そんなこんなで授賞式は終わり、その後数時間は開放感と達成感に浸っていました。


しかし半日ほど経過して感じ始めたのがやはり『そもそも自分でよかったのか？』、『知識も技術ももっと適切な人材が他に居たのでは？』と言うこと。

このようなことを感じるということは、やっぱり違和感を感じているからなんでしょうね。


実際、素人に毛が生えた程度しかSecurityの知識はないと言っても間違ってない。ましてや技術力については毛も生えてないくらいのレベル。そんな素人がこのような賞をもらうこと自体が非常にあつかましい。。。一瞬でも悦に浸った自分が恥ずかしいです。



そして今思うことは、

何よりもこれに見合うだけの知識がほしい。応用力がほしい。そう思っています。
たぶん今回のこの受賞があったからこのように思うのではなく、きっといづれ同じような気持ちを感じる日が遅かれ早かれやってくるはずだったんだと思う。たまたまそれが少し早かっただけなんだろうなぁと。
これを少しでも早く感じられたのは自分にとってプラス。そう思って次の一歩、またその次の一歩を記していきたいと思っています。

この賞に恥じないよう今後も継続して、知識やら技術力やら人間力やらを高められるよう努力していこうと思います。