Last update 1997/06/11
ここには過去の「MS Watch」が集めてあります。
これより新しい分については、こちらへ。
MSKKはほんとうのことをいわなきゃ
朝日新聞1997年3月28日朝刊では、IEのセキュリティ問題が記事になっています。その中でマイクロソフト(日本法人だろう)は、IE3.02で「問題は完全に取り除かれた」といってますが、もちろん嘘です。フェイルセーフとはいえない対策が取れたのは、わずかに３つ。残りの４つはまだ放置されたままです(うち１つはフェイルセーフではない対策は有効にはなっているようです)。いくらIEとMSのイメージを繕うためとはいえ、マイクロソフト自身が、こういうデマを流してはいけません。メーカとしてユーザに対する背信行為であり、悪質な情報操作になります。朝日の記事においてマイクロソフトは、ユーザが「自分の責任」で使えといっています。つまりマイクロソフトを信じて致命的なことが起きても、彼らには責任を取るつもりがないのです。それはこれだけ大きな穴が次々と見つかっているのに、新聞などで大々的な告知もしないし、回収もしないことからも明らかです。Netscapeを叩き潰し、インターネットビジネスを支配するまでは、こうやってユーザを人質に取る形で、ユーザの財産が危険にさらされるのでしょう。マイクロソフトのいうことを信じて、安心してIE3.02を使って泣くのはあなたです。繰り返しますが、IE3.02は決して安全ではありません。パスワードは盗まれ、操作を誤るとシステムは破壊されます。
現時点での対策は、
とくに企業内では、一人でもうかつなことをやると、パスワードが盗まれ、システムが破壊される危険がありますから、十分周知徹底する必要でしょうね。でも、そんな手間をかけてられないのよ。だからフェイルセーフなものになってないといけないんだけどね。
新たに危険なページ発見
.lnkと.ispを使ったページが新たに発見されています。これで最初のものも含めて３つ見つかりました(最初のはすでに消滅しています)。いずれこれらは.regに変化していくかもしれませんし、ほかのファイルタイプでも危ないのはいくつも考えられます。IE3.02なら安心だと信じ込んでいる人は、残念ながら犠牲者になる可能性が高いと思います。
独り言
Activeドキュメントなんて怖くてやってられないと思うんだが、知らない人多いみたい。まだ仕掛けた奴はいないみたいだし、無知でだまされる奴が馬鹿といわれれば、それまでだけど。MSのActiveモノってセキュリティ上問題が多い技術であることを、どうしてユーザ、とくに初心者に啓蒙しないのかな。MSKKが怖くて、みんな書けないのかな。パソコン関連出版社にとってみれば、何億円、何十億円というビジネスをMSKKとやってるわけだしね。それとも技術的に追いつけないライターばかりなのかな。いっちゃなんだけど、インプレスの田中亘先生の本が大ベストセラーになる世の中なんだもんね。カモりたい放題という気がしてきますね。
もっと便利な .reg ？
IEユーザのシステムを簡単に破壊できる新たなファイルタイプとして報告されているのが、.regです。IE3.02では警告は出るようですが、了解してしまえばおしまいなのは、相変わらずです。報告は、http://www.scv.com.sg/~entea/security/reggap.htmにありますが、現在、認証なしでは入れなくなっています。
これはぼくも.lnkのときにすぐ思いついたやつです。でたらめな.regをおいておけば、システムを２度と起動しないようにもできますし、IEのセキュリティレベルをこっそり下げることもできます。そうやってこっそりセキュリティレベルを下げられたIE3.02で知らずにアクセスすると、次はどかんという次第。
IE3.02でも直らないパスワード筒抜け問題
例のNT4.0でパスワードが盗める問題。セキュリティ対策を施したという触れ込みのIE3.02じゃ、ちっとも直っていないというので警鐘が鳴らされています。MSは３つのセキュリティホールを解決したといっていますが、実際は、大きなものだけでもすでに７つあるんですね。そのうちの３つだけ対策を取っただけで、残りの問題はユーザに知らせず、すべての問題が解決したかのように、自社のホームページでは宣伝しているので、「なめてんのか、この馬鹿」ということになっているようです。
最初に報告されてから、すでに半月も経っていますが直っていません。パスワードの問題は、なかなか直せないんだろうというのが、詳しい人の意見です。ファイル共有の基本的な問題であり、認証メカニズムの弱さを突いたものだからとのこと。それにしても、アクセスしただけで、こちらが気づかないうちに、ユーザ名とパスワードを相手に渡してしまう、というのは、ひどすぎます。これじゃ、クラッカーに侵入してくれといってるのと同じです。
さて、1997/03/21に「NT4.0で運営しているサイトは、パスワードを盗んでいるんじゃないかと、みんな疑われるよね。対策はNTを捨ててUNIXにしろということだったけれど、NTだと実際盗めるわけだから笑いごとじゃない。それにしても、この報告をしたサイトってどこなんでしょうね」と書いていますが、これを訂正します。UNIX上のSMBサーバであるSambaを改造すれば、UNIXでも同様のことができるだろうと友人たちと話していたのですが、MSのセキュリティの脆弱なネットワーク機能に詳しい人たちの間では、とっくに常識だったのです。したがって、NTを使わなくてもパスワードを盗むことができます。やりようによっては、Sambaの改造すらありません。つまり世界中のサイトは、パスワードを盗んでいると疑えるわけです(爆笑)。だって、全然気づかれずにパスワードを盗めるんだから、クラッカーにとってこんなにおいしい話はありません。
そしてIEとNTがらみでパスワードが筒抜けになる問題を報告をしたサイトがわかりました。これは齋藤正さんから、http://www.security.org.il/を教えてもらったので、わかりました。Thanks > 齋藤さん
これがぼくが探したところです。NTだとユーザ名とパスワードを盗めるというもの。すでにこのサイトでは、数千個収集しています。うち５００個以上は５分以内に解読可能なものらしいです。NTだとNavigatorでも盗まれているのが気がかりですね。
上とは違う方式ですが、これもNTのパスワードが盗めることを報告したサイトです。ぼくが最初に試したサイトです。ほんとにパスワードを渡してしまいます。
NTではなく、Win95でもユーザ名とパスワードが盗めることを実証するサイトです。これ実際にやってみたら、ほんとに盗みにきます。Navigatorだから大丈夫でしたが。
それぞれのところに対策が載っていますが、ざっくりいってしまうと、「IEをやめてNavigatorにする」「ファイアウォールでポート137, 138, 139をふせぐ」「NTをやめてUNIXにする」といったところでしょうか。繰り返しますが、それぞれのところにいって必ず自分で対策を確認してください。
例のNT4.0でパスワードが盗める問題。IE for NTで例のサイトにいってやったら、ほんとにパスワード渡してしまいました。解読は失敗してましたけれど、そんなのは辞書が大きくなれば解決する問題ですから、これ、ほんと、どうするんでしょうね。しかもユーザには気づかれずにパスワードを盗めるんですから、タチが悪いです。
IEはとりあえずセキュリティ対策を施したという触れ込みの3.02が、ダウンロード可能になったようです。日本語版は知りません。^^; ともあれ、セキュリティ騒動の影響もあって、Windows97は98年にずれこむ可能性が大きくなってきました。OEM各社には今年中は無理だろうと連絡しているようです。日本語版はすでに無理といわれていたから、英語版も遅れて両方ともWindows 98になるんだったら、英語版が97で日本語版98という分裂状態にならずに、すんでよかったですね(苦笑)。もうNECが万歳している様がありありと浮かびますね。「98には98」(Win98はPC98でという意味)というコピーが出回るんでしょうね。
3.02にしろ、セキュリティの問題は解決してないことにご注意ください。対策はとったものの解決にはなってないんです。なんにせよ、Win98が、DOSやWin95がそうであるように、セキュリティがほとんどないOSになるのなら、そのデスクトップをインターネットと統合しようというのは、よっぽどうまく考えないと危険ですね。
またもというか、当然予想された通りというか、IEのセキュリティ上の欠陥が報道されています。これも凶悪なことがやりたい放題なだけに大変な問題ですが、MSはexplorereオブジェクトを参照できないようにすることで対処するようです。詳しくは、
http://www.infoworld.com/cgi-bin/displayStory.pl?970324.eiebug.htm
を参照してください。
何度もいうようですが、元々設計段階で何にもセキュリティのことを考えてなくて、実装も考えずに作っていたのですから、いくらでも出てくるのは当たり前といえば当たり前です。いままで問題になっているのはいずれもWindowsの基本メカニズムに深くかかわる部分ですから、根本的には直しようがなく、お茶を濁すしかありません。ほかにMSにできることといったら、大丈夫大丈夫とメディアに大合唱させてイメージダウンを防ぐくらいでしょう。そういう合唱に引っかかるユーザも少なからずいるはずですから、効果はあるでしょう。実際にぼくがもらったメールでも、MSが万全かつフェイルセーフのセキュリティ対策をIEに追加したと信じてしまった人がいました。おめでたいというか、かわいそうというか。信じる信じないは自由ですが、それで被害を被っても、MSは補償してくれないことは確実でしょう。あくまでユーザの責任を強調していますから。
酒井法雄さんが作ってくださったページhttp://www.int21.co.jp/pcdn/misc/が復活したと、酒井さん直々にメールを頂戴しました。圧力があったわけでもなくて、ちょっと思うところがあったそうですが、ともかく復活しているということです。
それにしても、NT4.0のあれは怖いなあ。NT4.0で運営しているサイトは、パスワードを盗んでいるんじゃないかと、みんな疑われるよね。対策はNTを捨ててUNIXにしろということだったけれど、NTだと実際盗めるわけだから笑いごとじゃない。それにしても、この報告をしたサイトってどこなんでしょうね。
ShockWaveのセキュリティホール
これは主にNavigatorに影響があります。場合によっては、IEにも影響があるのがあります。３つほどあるんですけれど、一番話題になっているのは、ShockWaveプラグインに抜け道があるので、ディスクにあるファイルを読み出せるということです。それを使って、Netscapeメールのメールを読み出してどこかに送るとかができるようです。詳しくは、
NT4.0とNT用IEの致命的欠陥
これもすごい話です。鵜川彰人さんから教えていただきました。詳しく書いている暇がないので、簡単にいいますが、LANで使っているユーザ名やパスワードが筒抜けになるようです。大きく２つの話なんですが、ひとつはNT用IEとNT4.0。もうひとつはNT4.0単独でも起こるようです。しかもNT4.0で悪さされると、Navigatorでもだめみたいですね。つーことは、NT4.0で運営しているサイトには、近づかないほうがいいということでしょうかね。これもMSKKのサポートに電話すると、知らなかったりしてね。
日本のNTユーザーズグループのホームページで紹介されています。詳しくはJWNTUG NewsLetterの３月17日号をご覧ください。ただし、まだドメインで引けてないので、IPアドレスになってます。４月になればドメインに移行できるようです。
ぼく知らなかったんですけど、NTっていまクラッカーの狙いごろみたいですね。RASポートとかDNSポートとか、穴がいろいろあるんですね。具体的なことは、自分で調べるか、MSKKのサポートに問い合わせてください。だいぶフィックスされたみたいですけれど、まだまだインターネットサーバとして使うには、信用できないというのも納得できます。
FrontPageのセキュリティホール
FrontPageにも穴があったそうです。もうだんだんどうもよくなっているので(苦笑)、どこでみたか忘れましたが、たぶんPC WeekかInfoWorldかどちらかのここ数日のニュースです。これもMSKKのサポートの問い合わせてみるといいでしょうね。知らないかもしれないから(苦笑)。
例のURLはなくなっていました
凶悪なコマンドを入れてあった例の.lnkは、今日現在存在しなくなっています。ほかで馬鹿が出ないことを望みます。
NT4.0のユーザ管理のバグ
セキュリティの話がこんなに増えるとは思わなかったので、バグの情報も少しはと思っていたんですが、これも多すぎてやってられないので、たまたまメモが残っていたのをひとつだけ。
ユーザ管理がおかしくて、関連するファイルが全部消えてしまうことがあるようですね。これはPC Weekのサーバでもみたし、PC Week-Wire(PC Week日本版がやっている電子メール情報サービス)にも載ってました。それこそ、MSKKのサポートにどうなってるか問い合わせてください。そんなバグは知らないと返事をするほうに、ぼくは賭けます(笑)。
なかなか更新できずにすみません。ちょっと、ぐちっていいですか。
---愚痴はじまり---
「成毛、お前、少しはサポートに気のきいた奴を使えよ」
なんでおれが、使いもしないIEのサポートをここで、しかも無償で本業の合間をみてやらないといけないわけ？ おれんとこにくるメールで、お前んとこのサポートがいかに使えない奴が多いかというのが、よくわかるよ。とくにNTなんか、みんな泣いてるぜ。NTをわかっている奴が、ほとんどいないんじゃないかというくらいひどいみたいね。NT 4.0はドライバがボロボロですとか、あれが動かない、これが動がないといっても取り合ってくれませんとか、バグが再現することを認めさせるだけで２ヵ月もかかりましたとか、信じられない話ばかりだよ。こんなことやってたんじゃ、日経コンピュータが書いていた通りに、NTバブルは崩壊しちゃうよ。実体が伴ってない人気だから、一度崩壊したほうがユーザにとっても、ほんとはいいんだけどね。ってなわけで、NTを導入すると得かどうかは、よく考えてやってくださいね。中小企業で基幹業務をやりたいんだったら、NT+PCよりもオフコン(AS/400は最近、Notes DominoやJavaも動くそうですね。なんだかなあ)でも入れたほうが、トータルで考えるとはるかに幸せという考えもあるわけです。考えた上でNTを選ぶのはいいんです。なんとなく営業がそういうからなどというのが、何億もどぶに捨てることになる一番の原因ですからね。
メール読んでてわかるのは、みんなNTには苦労してますね。でも、おれに何かいってもNTが直るわけじゃないし、MSKK(MSの日本法人)のサポートがまともになるわけではないですから。いや、もちろんみなさんは、そんなこと百も承知で、それでも悔しくて、おれんとこに愚痴を書いてくるんでしょうけれど、やはりMSKKのサポートを鍛え上げる必要があるので、どんどん電話やファックスをしてください。だってそのために年間何十万円から何百万円ものサポート料をMSKKに払っているわけでしょう。でも「こっちはNTを仕事に使おうと思って導入したのに、金を払ってバグ出しをやらされて、さらに金を払ってMSKKのサポート教育までしてやれというのか」という、もっともなご意見がありますよね。そこなんですね。つまり現状では、それがNTを使うということなんです。自分がNTを使える技術レベルがないと金と時間がかかるんです。金で解決しようとしてもMSKKが頼りにならないから、解決できない。金を払ってMSKKの連中にNTについて教えてやらないといけないような状態。こういう仕掛けだからMSKKは丸儲けだけど、ユーザの不満は増大しているわけです。そして、サポートが分離されているというより、ロクでもないから分離せざるを得ない。これがNT+PCがオフコンやメインフレームより安い最大の原因になってるんです。導入コストは安い。でも維持管理その他は自分でやらないといけない。MSKKもSI業者も責任とってくれないしね。本来はそうではないはずなのに、いまは安かろう悪かろうだから、苦労して当然なんですね。
NTに関して、野村武秀さんという方から、Computer Report（日本経営科学研究所発行）という経営者や情報システム部門向けの雑誌があって、1997年１月号に「WNT(Windows NT)は本当に基幹業務を支え得るか」という覆面座談会が掲載されていると、教わりました。読むとすごいっすね。おれなんか、ほんと甘ちゃんだと思います。ほんの一部だけ引用させてもらいますと、
---愚痴おわり---
ファイアウォールの件
ファイアウォールについては、日本IBMの西林さんほか、何人かの方が試して報告してくださいました。予想通りというか、原理からして当然というか、何の役にも立ちません。.lnkなどは単なるバイナリデータと思って素通りします。でも、ファイアウォールソフトの中には、ファイル名のパターンによってフィルタリングもできるようなものがあるそうで、そういうのだと、.lnkなどを通さないようにすればいいかもしれません。でも、元々Windows95/NTの世界では、ショートカット(リンク)ファイルは、.lnkの拡張子なんか必要ないんですよね。だから、.lnkでないショートカットを作っておいて、それにIEでアクセスしたときに、ショートカットだと認識するなら、拡張子パターンのフィルタリングは通用しなくなりますね。これもどなたか実験してくださるといいんだけど(だんだん、厚かましくなっている、おれ)。
メールとニュースに対するパッチの有効性について
クレオの内田さんほか、3/17時点でのパッチは、メールとニュースにある.lnkなどをクリックしても、確認ダイアログが出るということです。つまり、ぼくがInfoWorldだかで読んだと書いたことは、すでに対処されたということです。少し安心ですが、了解しちゃうと、ヤバイことには変わりありません。
IEを捨てられない場合
パッチをあててもうっかり了解されると危険は危険なので、すでにIEを使用禁止にしてNetscape Navigatorに切り替えているところもありますが、実際にIEをアンイントールするのは数が多いと大変です。もうちょっと楽な方法は、(当然ファイアウォールを使っているのが前提)IEのProxyの設定をやめて、外に出られないようにすることでしょう。これでIEは外に行けないようにして、外に行く用事は、Navigatorを使うように社内指導したところがあります。
やっぱりどういうことなのか知りたい
ヤバイというのは、どういうふうにヤバイのか疑似体験でもいいから、試してみたいとお考えの方がだいぶいらっしゃるようです。警告のために、実際にどういう理屈でどうなるのかを疑似体験できる場所を作ってくださった方が、いらっしゃいます。それを紹介します。注意としては、あんまり殺到するとあちらのサーバに負荷がかかりすぎると思うので、節度をもってやってくださいということと、何があっても(まちがってほんとにディスクがパーになったとか)ぼくもそうだし、これを作った人も責任はもちませんということです。自分の責任でやってください。
紹介するときのお名前について
いろいろと有益な情報をみなさんから頂戴しているんですけれど、お名前を紹介するときのルールを決めてしまいます。原則は、実名と所属先を書きます。だから、ぼくならソフトヴィジョンの中村正三郎になります。これがデフォルトで、暗号名が「松」です。実名はいいが、所属先はまずいという場合は、名前は「竹」でお願いしますとメールに書いてください。実名もまずいという匿名希望は、「梅」でと書いてください。無指定の場合は、「松」扱いになります。
リンクや転載の許可願いのメールがきてますけれど、index.htmlの最後に書いてあるように、リンクは自由です。転載については、非営利かつ私的なBBS(たとえば、社内掲示版)に対しては、オリジナルがここにあることと著作権がぼくにあることがわかる形であれば、MS WatchのIEのセキュリティホールに関するものに限って、転載を認めます。会議の資料として使いたいというものについては、転載に準じます。会社の会議が非営利かといわれれば、営利目的に決まってるんですけれど(笑)、ぼくの文章を勝手に売って商売するわけじゃないんで、会議の資料にしてくださってけっこうです。
「こんな危険なものをばらまくのは犯罪じゃないのか」「テロを誘発する土壌を作っている」という意見もありましたが、普通の社会常識だとそうかもしれませんが、パソコン業界は違うんですよ。だからパソコン業界は異常だともいわれるんですけれどね。
これだけ危険なものだと、他の業界では普通はメーカが回収措置を取ります。それが企業の社会的責任というものです。しかしマイクロソフトは、やめろといわれてもNetscape Navigatorを叩き潰すまでは絶対にIEのタダ配りをやめないでしょう。ライバルを潰すためには手段を選ばないのがマイクロソフトです。それでのし上がった会社ですから、簡単にいえば、ユーザのハードディスクの中身が消えようがそんなことは知ったこっちゃないんでしょうね。同じことはIEを組み込んでパソコンを出荷しているハードメーカや、付録CD-ROMに収録しているパソコン雑誌にもいえて、彼らが回収しているという話を聞きません。いままでウィルスに感染したソフトをCD-ROMに収録した場合、出版社が回収し、お詫びを出していたんですが、IEについてはやる気配ありませんしね。
つまりユーザに被害を与える状況をどんどん作りながら、みんな無責任なんですよ。薬害エイズは、厚生省とメーカと政治家の鉄のトライアングルが引き起こした大事件ですけど、IEも同じ構造で、MS(マイクロソフト)とメーカと出版社が被害の拡大を黙認しているのが現況といえますね。「だれかが訴訟を起こしてほしい」などというメールもありましたが、そうでもして勝たない限り、この無責任は直らないだろうなあと思います。でも、日本人はおとなしいし、長いものにはまかれるし、自分の財産が危機にさらされてもノンキだから(もう少し正確にいうと、危機にさらされているという情報を封じられて無知な状態におかれているからノンキでいられるんです)、望み薄でしょうけれど。
ともかく、自分の身は自分で守らないと、だれも責任取ってくれないと思って行動したほうがいいです。
IEの致命的欠陥(一応、セキュリティホールというのは止めてみました)について、問い合わせが増えていて、しかもですね、みなさん、同じ勘違いをなさっているのではないかと思えるので、ご説明申し上げます。
まず言っておかなければならないのは、ぼくはセキュリティの専門家ではない、ということです。ぼくのように甘くて頭の回転が遅い人間では、本気のクラッカーは相手にできません。だからぼくが、これから書くことはとっても甘いと思ってください。
問題のURLに関して。
昨日消した問題のURLを教えてほしいという問い合わせが多くあります。それは興味本位ではなく、システム管理者とおぼしき方々が、社員にそのURLにアクセスしないよう通達を出したいので、教えてくれというものです。それも、みなさん、ご自分の所属や身分を明らかにし、「もしURLを当社に教えたことで当社が被害にあっても責任はこちらでもつ、絶対に口外しない」などと、いろいろと気を配ってくださっています。お気持ちはよくわかるのですが、一言申し上げます。「そのURLにアクセスしないように社内通達を出しても、そんなのはほとんど効果がない」ということです。これは肝に銘じておいてください。以下を読んで、それでもなお必要だと思うのなら、お手数ですが、もう一度メールをください(ただし、3/15の時点で要望があった方のみとします。あとはASAHIネットのjouwa/salonやinter/salonで探すなり、ほかで探すなりしてください。それに例のURLって、実験用みたいなアドレスですから、フツーの人はいかないと思います。なんでそんなところに迷い込んだのか、よーわからんなというのが、ぼくの最初の感想でしたし、まんまとハメられたかなとも思いましたけど、それがあるのは事実でしたから、お知らせすることにしたわけです)。
なぜほとんど効果がないかというと、
繰り返しますが、件のURLだけが凶悪なのではなく、たまたまいま見つかったのがそこだったというだけのことです。しかもそこへのリンクもすでにあると。WWWの技術はほんとに世界中をくもの巣のようにリンクしますから、凶悪なURLのリストをいくら増やしても大した抑止力にはなりません。
前回も書きましたが、現在MSが出しているパッチはほとんど対策になっていません。確認を求められて了解すると、もうおしまいです。保存するにしても、保存したものをダブルクリックして起動すれば、もうおしまいです。
さらに、MSのパッチは不完全だそうです。InfoWorldだかで、読んだんですけど、ニュースやメールでは、あのパッチは有効ではないそうです。つまり、メールやニュースに凶悪なURLを流されると、クリックした途端、もうおしまいだそうです。IEのニュースとメール、それにExchangeクライアントがいかにいままで問題を引き起こしてきたか、それなのにマイクロソフトは知らぬ顔で押し通してきたかは、こちらをご覧ください。
ファイアウォールに関して
ファイアウォールについて質問が来ています。我が社はファイアウォールを築いているので安全だと思うのですが、どうでしょうか。というものです。
ぼくはIEを使ってないので試していませんが、ファイアウォールは今回のアタックに対しては、何の役にも立たないはずです。というのは、HTTPが通ってファイルのダウンロードさえできればいいんですから。IEは .lnk、.url、.ispを見つけると、ダウンロードして実行します。普通は、HTTPが通ってファイルのダウンロードができるようにファイアウォールを設定しますよね。だから簡単にファイアウォールを素通りするはずです。どなたか、試して報告してくださるとありがたいですけれど。
てなわけで、パッチを社員全員のIEに当てて、件のURLだけではなく、ヤバそうなURLはクリックしない(少なくとも.lnk、.url、.ispの拡張子)ことを徹底させないといけません。これをいちいち社員全員に徹底できますか？ しかもヤバイところに、勝手に飛んで行っちゃうことあるんですよ。結局、IEを使わないのが一番安上がりで効率的で安全だと思うんですけどね。
「上司がIEに統一したんですが、どうしたらいいんでしょう」というシステム管理者の方もいます。それは上司や社長やらを、「結局、IEを使わないのが一番安上がりで効率的で安全だ」ということを説得するしかないですね。それでもIEを使うのなら、会社はそれだけのリスクを自分で負うと決めたんですから、あとは野となれ山となれです。そのときに重要なのは、自分はIEの危険性を報告し、使わないように進言したことを、記録しておくことです。それに反対してIEの使用継続を決めたのがだれかということも記録しておきます。単に自分のメモだけではなく、できれば会議の議事録などの公的記録として残しておくほうがいいです。被害が出たときに、システム管理者であるあなたが責任を取らされるかもしれません。場合によっては損害賠償の話になるかもしれません。そういうときのために、せめてこれくらいの自己防衛はしておかないとやってられないと思いますよ。
IEのセキュリティホールの話は、どんどん深みにはまっていて、すでに３つセキュリティーホールが見つかっています。IE3.0/3.01だけではなく、一部は2.0でも発生します。すでにMSはパッチを出しています。日本語版もあります。詳しいことは、http://www.microsoft.com/ie_intl/ja/security/update.htmを参照してください。
ただちにパッチをあてるか、IEを使わないようにしてください。私はIEを使わないことを強く勧めます。なぜなら、IEのセキュリティパッチは、ほとんどセキュリティガードにはならないからです。
先に、MSの対処が迅速だったとほめましたが、あんまりほめられません。このセキュリティパッチは、実にいい加減。単にだまって実行するのではなくて、一度ユーザにお伺いを立てるだけ(私はIEは怖くて使ってないので、実際にパッチを試していませんが、パッチをあてると、こうなると聞いています)。これじゃ、ActiveXと同じで、知らずに了解したらもうおしまいです。道理でパッチが早いはずです。結局、MSは根本的対策が取れないんだね。だから、小手先だけになって、ユーザがデータ消失の責任をかぶらなければならなくなるんだよね。これじゃ、セキュリティ対策とは呼べません。やはり、MSは無責任だなあと思います。インターネット経由で、ユーザのディスクの中身が簡単に消されても、それは了解したユーザの責任になるんですからね。
実は今朝届いたメールで、実際にハードディスクの中身を消された被害者が発生したことがわかりました。ASAHIネットのinter/salonとjouwa/salonに書いたものに加筆したものを掲載します。こういうことが起きると、とくに企業のシステム管理者は、全社的にIEの使用を禁止しないとまずいでしょうね。たとえパッチをあてていてもうっかり了解する社員がいますから。
> IEのセキュリティホールを悪用したページが、 >日本にありました。 > これは非常に危険です。セキュリティパッチをあてて >ないIEでアクセスすると、そのページにいっただけで、 >ハードディスクの中身を全部消されてしまいます。 > セキィリティパッチをあてたIEでも、結局は、 >death.lnkというリンクを実行するかどうか質問 >されるだけなので、そこで、YESと答えると、 >ハードディスクの中身がなくなります。 > やばいURLは、 > 中村注: 昨日はここにURLを書いていましたが、やはり初心者を そこに誘導する馬鹿がいたので、とりあえず消しておきます。 ぼく個人は、そういうのに引っかかってディスクの中身が なくなってはじめて、IEがいかに物騒なものか骨身にしみる だろうと思っていますが、あんまり被害者が増えてもかわい そうなので。 > >です(警告警告。どういうことをやっているか、調べたい >人のためにURLを示しましたが、実際にアクセスして何が >起こってもそれはあなたの責任です。技術知識のない人 >や自分が何をやっているか、やろうしているかわからない >人は、決して上記URLにアクセスしないでください)。 > このページは、METAタグのRefreshで、death.lnk >というリンクを送り付けようとします。IEの場合、 >このリンクファイルを実行してしまいます(セキュリティ >パッチなしの場合。セキュリティパッチがあっても、 >ワンクッションあるだけで、了解すれば実行されてしま >います)。 > で、このdeath.lnkの内容が凶悪そのもの。 >早い話が、deltree /y c:\ になってます。 >これは、ドライブ C のルートディレクトリから以下を >全部消去しろ、しかも確認なしで一気にやってしまえ >という命令です。そしてうかつにIEでアクセスしたが >ために、きれいにハードディスクの中身がなくなり、 >大騒ぎになったわけです。 > Netscape Navigatorなど他のブラウザを使っている人は、 >こういうことは起こりません。しかし、このページに >アクセスすると、death.lnkをダウンロードするか訊か >れると思いますが、ダウンロードしないほうが身のため >です。 > なぜならダウンロードしたdeath.lnkを >うっかりダブルクリックすると、このリンクが >実行され、ディスクの中身が全部消えるからです。 > >中村(show) >p.s. これは、今朝、私宛てにきたメールで知りました。 >その人の友人がこのページにアクセスしたら、 >ハードディスクの中身がなくなったけれど、 >これはWindows95のバグなのでしょうかなどという >質問でした。やはり、セキュリティホールの存在を >知らない初心者のほうが多いんですね。
こういうお粗末なセキュリティ対策しかしてないIEが、まもなくIE4.0として登場してActive Desktopだとかいって、パソコンのメイン画面になります。そしてWindows 97はさらにIEと統合するわけですから、こんな有様で突き進むつもりなら、もう怖くてWin97なんか、使えなくなっちゃいますよね。
IE3.0/3.01でとんでもないセキュリティバグが発見されました。ここ数日はこの話題で持ち切りです。このバグは、めちゃめちゃヤバイです。というのは、IE3.0/3.01を使っていて、知らずに悪意か偶然か知らんが、あるリンクをクリックすると、あなたのマシンで勝手にソフトが動き出し、あなたのマシンがやりたい放題される、という代物だからです。
しかもIEのセキュリティガードのレベルを最高にしていても、勝手にプログラムが動くし、しかもしかも、IEのキャッシュを利用してバッチファイルも実行可能というから、なんでもありあり。リンクをクリックしたら、いきなりディスクのフォーマットが始まったりしてね。ActiveXも危険で、神経まともな人は使いませんが、このバグはActiveXとは関係なく、なんでもやられ放題になります。
詳しい説明は、
http://www.cybersnot.com/iebug.html
にあります。
海外のメディアが大騒ぎしたので、MSは突貫工事ですでにバグフィックスを行ないました。迅速な対処は大いにほめられるべきです。IE3.0/3.01を使っている人は、すぐパッチをあてるべきでしょう。
パッチは、以下で入手可能です。ただし、英語版だけで日本語版はまだみたいです。
http://www.microsoft.com/ie/security/update.htm
原因は、仕事がずさんだからなのか、元々の設計からして無理があったからなのか、品質管理やテストが不十分だからなのか、答はその全部でしょうが、いずれにせよ、人騒がせなことです。ちなみにNetscape Navgigatorはこのバグとは関係ありません。
もうひとつ、書き忘れていましたが、ActiveXがめちゃめちゃヤバイという、専門家なら最初のActiveXの構想をMSが発表したときから、わかりきっていたことが、実演されて大騒ぎになっています。
これはドイツのクラッカー(*1)が、インターネットを通じて他人のマシンに降っていって、その人のマシンにある会計ソフトのデータを読み取って、その人の口座から金を別の口座に勝手に送金してしまうActiveXコントロールを作り、それをテレビ番組で実演してみせたことで、大騒ぎになったものです。
詳しくは、
http://www.pcweek.com/news/0203/06ehack.html
を読んでください。
MSはセキュリティに関する啓蒙ページなどを用意したそうですが、ActiveXが危険だというイメージ(でも実際に非常に危険なのです)を払拭したいのでしょう、Javaも同様に危険だといってるところが、MSの醜さ、卑劣さだよね。Javaにも危険がないとはいわないし、実際にあります。しかし、Javaは最初からネットワーク上でのセキュリティを考えて設計されていて、現在のアプレットでは、砂場モデル(sand box model)といって、システムから隔離された場所でしか実行できないようになっています。だから、偶然であれ悪意であれ、システムにちょっかいを出すのは、相当に困難です。
一方、ActiveXコントールは、元々はOCXというWindowsの部品規格を、インターネットに乗り遅れたMSが、大慌てでインターネット用に拡張したものですから、元々はセキュリティを考えていません。それじゃあんまりだからというので、ちゃんとしたActiveXコントロールかどうか調べて、合格したものには電子署名を与えて、どこの誰が作ったものかぐらいは、わかるようにしています。ActiveXをダウンロードするときに、それをみてダウンロードするかどうか「ユーザが決めろ」という態度です。でも、ほとんどの人は知らずに、OKしますよね。そうすると、ActiveXは、何も制限がないから、システムのファイルを消す、ディスクをフォーマットする、マシンをリブートする、電源を切るなど、あらゆる悪いことが簡単にできてしまいます。
しかもですね、実際にActiveXがいかに危険なものかを知らせるために、マシンをリブートするActiveXコントロールを作った人がいるんですが、このActiveXコントロールが、認証を通って正式な電子署名をもらえているんです(最新版は、APMが付いているマシンならいきなり電源も切ってくれる!!)。つまり、審査なんかロクでもないわけですよ。だから電子署名があるといっても、非常に危険なActiveXコントロールでない保証は一切ありません。
てなことで、まともな人ならActiveXはインターネット経由では怖くて使えません。せいぜい使っていいのは、イントラネットの中で、システム管理者が問題ないと判断したものについてのみです。まともなシステム管理者なら、インターネット経由のActiveXは全面禁止にするはずです。それに使い終わったら勝手になくなってくれるJavaアプレットと違って、ActiveXコントロールは、ハードディスクにインストールされるから、クズがばんばんたまって大変。これも管理者が、ActiveXを禁止したい大きな理由です。
*1 こういう破壊行為を行なう者を、ハッカーと呼んではいけない。クラッカーと呼ぶべし。とくにマスコミ関係者、クラッカーという言葉をちゃんと使うべし。計算機屋の間では、ハッカーはポジティブなイメージをもつ言葉である。天才に対する尊称というべきか。たとえば、モーツァルトは音楽ハッカーだ、などというニュアンスである。
予想通りというか、期待を裏切らないというか、NTのクラスタリング技術、Wolfpackが遅れているようです。NTを基幹に使う怖さのひとつは、性能がUNIX機の中位か下位クラスで頭打ちになることです。SMPもスケーラビリティがないと批判され、改善策がWolfpackだったのですが。
現在開発中のWolfpackはフェーズ１で、これは負荷分散ができません。負荷分散ができるフェーズ２は来年以降となってます。元々フェーズ１は、今年の第１四半期出荷だったのが、今年前半に延びて、いまではどうやら夏以降になりそうです。フェーズ１がこんな調子ならフェーズ２はもっと遅れそうです。結局、NTは1999年以降にならないと、基幹で使える性能を保証できないと考えるのが自然です。だから、基幹には性能面で選択肢が多く、先も保証されているUNIXを選ぶんですよね。メインフレームもコストパフォーマンスはすごくよくなってるしね。どうしてもNTでやりたいんだったら、DECやNECが出している各社専用のハード向けのクラスタリング技術もいいかもね。DECやNECならサポートも安心だろうから。でも、現状のNTは4から8CPU程度が限界だから、性能向上のクラスタリングというより、バックアップマシンとしてもクラスタリングのほうがメインでしょうね。
詳しくは、
NT Cluster Effort Wolfpack Delayed Til Summer
を読んでください。
そんなこんなのNTの問題がわかっている会社は、ソニーみたいにNTで全国展開していたシステムを、性能が出ないためにUNIXに置き換えたり、東北電力みたいにNTのドメインは時代遅れでサーバが増えると管理が破綻するので、NDSという優れたディレクトリサービスを持っているNetWare4.1で全国規模のシステムを作ったり、武富士みたいにNTだとOS/2に比べて費用がかかり、マイクロソフトの技術力やサポート力が信頼できないといって、NTをやめてOS/2でシステムを展開したりしているわけです。
たびたびいうけれど、いくつかの条件付きながら、ぼくはNTはいいOSだと思ってます。でも、ムードに煽られてろくにほかを調べもせずに入れて、泣きをみるのは馬鹿らしいですよね。業務に使うシステムは、よーく考えていれましょう。とくにパソコン雑誌の宣伝文句を信じて入れるなんてのは、どのOSを入れるにしろ、論外。ところがそういう会社が案外多いそうですね。
ところで、NTの話題にかき消されて、話題にならないし、IBMがしきりにネットワーククライアントだといって売ってるから知らない人が多いようだけど、OS/2 Warp 4って、WWW、FTP、TelnetなどのUNIXにあるような各種サーバは、タダでてんこ盛りで入っているから、かなり本格的な部門サーバになるんだよね。すでに面倒をIBMにみてもらっている企業は、OS/2 Warp 4やOS/2 Warp Serverは一番素直な選択肢になるでしょう。NTみたいにライセンスの制限もないし(そういえば、最強のイントラネットOSはNT Workstationだとかいってる雑誌や書籍があるそうですが、それって、ライセンス破り、違法行為を奨励しているんじゃないか)。これでアップグレードで１万円(実売で7000円くらいだった)だから、OSオタクにはかなりのバーゲンです。OS/2 Warp Serverになると、SMPもあって、NTより性能がリニアに出るという報告もありましたね。
でも、企業にとっての肝は、チボリを買収して手にいれた管理ツール群と、DSS(Directory and Security Server)が、OS/2やAIXで動くことでしょう。NetWareが実際に管理している連中、プロに評価が高いのも、NDS(NetWare Directory Service)があるからなんですね。これらは大量のパソコンを管理するには、必須ですからね。Microsoftは、大規模システムの経験がほとんどないから、こういうの持ってないし、弱点なんです。だからNTやWin95をたくさん入れると、管理が破綻するんですね。それでコストがかかりすぎるというので、NC陣営がアメリカのITマネージャの間で注目されるようになったんですね。でも、Microsoftの巧みなことは、自分の弱点は知られないようにして売り込んでいることですね。売ってしまえば勝ちだからね。
こういうことって、企業のシステム管理者やインテグレータなら常識だと思っていたけれど、そしてぼくがお世話になっているような方々はみなさん常識として知ってらっしゃるわけですが、日本の一般企業じゃ、案外そうじゃないみたいですね。やっぱり金におおらかな、お人好しが多いということでしょうか。
Microsoftが、「JDK1.1で作られたソフトがIEで動かない、わざと動かないようにした」などとJavaSoftを非難しています。しかしこれは、一度書けばどのOSでもプログラムが動くというJavaの美点をなくすために、勝手にWindowsでしか動かないようにJavaのVMを拡張していたMicrosoftがそもそも悪いので、何を身勝手なことをいってるんだと思います。MicrosoftがJavaに対してデタラメをはじめたので、Sun, IBM, Netscape, Appleなどが100% Pure Javaキャンペーンを始めたわけです。Microsoftは、いつもこういう調子で、ちょっと自分に都合が悪いことがあると、相手を罵り、脅し、ビジネスを自分が有利になるようにねじ曲げることで、伸びてきた会社です。評伝などを読む限り、この手法は、多分にビル・ゲイツ自身の性格ややり口が投影されていると思えます。
ということで、Microsoftが改良しない限り、今後JDK1.1で作られたソフトのうち、OS依存のものは、MicrosoftのIEでは動かなくなるでしょう。
SunというかJavaSoftもタイミングを狙っていたというか、MicrosoftがNetscape用のJavaVMをばらまいたりしたあとで、JDK1.1の正式リリースを始めて、Microsoft製JavaVMが使い物にならないようにしたんでしょうね。JavaSoftもMicrosoftのやり口を真似たんですね。Microsoftを相手にすると、こういう陰険なことをやらざるを得ません。こういう権謀術数が渦巻いていて、しかもそれが開発者のみならず一般ユーザまで巻き込むことがよく起こるのが、コンピュータ業界、とくにパソコン業界です。そんなわけで、自分の身を自分で守れない人は、パソコンを使うのは大変だと思います。
詳しくは、
Microsoft, JavaSoft swap accusations over JDK 1.1
や
JDK 1.1 code erupts into war of words between JavaSoft, Microsoft
を読んでください。
もうだいぶ古い話で恐縮ですが、NT 4.0のService Pack 2のトラブルが先月ありました。知らずに被害にあった人もいる？
詳しくは、
Microsoft fixes one problem, bobbles another
や
Microsoft to offer more thorough service-pack testing
を読んでください。
Windows 95のユーザが、95が宣伝通りではないからMicrosoftにだまされたといって、訴えてますね。これが集団訴訟に広がっていくと面白いですが。くわしくは、 Windows 95 user sues Microsoft for OS-related damages, seeks class-action status を読んでください。
Microsoftが不公正なインターネットビジネスをやっている疑いで、調査されています。いつものことだから、またかという感じですけどね。詳しくは State of Texas scrutinizes Microsoft's Internet business practices を読んでね。そういえば、PC Watchだっけ。この件で裏にはNetscapeの影がちらほらなんて憶測を書いていたけれど、彼らの記事がMS寄りであるとし、そのバックにマイクロソフトの影を見ている読者がいることに気づいているんだろうか。