筆者の課題の1つに「セキュリティに興味を示さない人々に、いかにしてセキュリティの情報を伝えるか」があります。例えば、このコラムを連載している＠IT Security&Trustフォーラムの読者は“セキュリティにすでに興味を持っている人々”が大半のはずです。では、そうでない人にどうアプローチすべきでしょうか。
2009年4月22日、Perlユーザーグループのイベント「Shibuya Perl Mongers テクニカルトーク #11」が開催されました。Perl Mongers（パールモンガース）は、プログラミング言語であるPerlのユーザーグループのことで、地域ごとにコミュニティが形成されているという特徴があります。ニューヨークが発祥で世界各地に存在し、日本では Shibuya.pmやKansai.pm、Yokohama.pmなどがあります。
先に開催されたShibuya.pmのイベントでは、情報セキュリティの業界を中心に活動している人々が何人もスピーカーを務めていました。彼らは、誰に、何を伝えようとしていたのでしょうか。ここにセキュリティ情報の伝え方のヒントがあるかもしれません。
実は筆者も第7回（2006年10月20日開催）の同イベントで、自分のPHSの位置情報を外部に公開して、誰でも私（の位置情報）と勝手にマッシュアップできるという「俺とマッシュアップ」というテーマで登壇したこともあります（セキュリティはまったく関係がないネタですが）。
「no Perl; use x86;」
Shibuya Perl Mongers テクニカルトークはPerlユーザーグループのイベントですので、当然話題はPerl中心になるわけですが、今回は「no Perl; use x86;」がテーマでした。
事前のイベント募集の注意書きには、以前のイベントより“低レベル”になるので、使っているプログラミング言語を問わず、Perlに詳しくない方でも安心して聞けるとうたっていました。そのとおり、まさに“低レベル”なアセンブラが話題の中心です。「sandbox特集」「x86 binary hacks」「Perl Internals」のバイナリ中心の第1部〜第3部と、5分で行われるライトニングトークの第4部の構成で、14セッションを見ることができました。
スピーカーにはShibuya.pmの2代目リーダー竹迫良範氏をはじめ、小飼弾氏などPerlで著名な方々が登壇する中、情報セキュリティ関係で著名な園田道夫氏、福森大喜氏、そしてBlack Hat Japan 2008でもスピーカーを務めた愛甲健二氏やはせがわようすけ氏などがスピーカーとして名を連ねていました。
【関連記事】
技術は言葉の壁を越える！
Black Hat Japan 2008＆AVTokyo2008（前編）
http://www.atmarkit.co.jp/fsecurity/column/ueno/55.html
技術は言葉の壁を越える！
Black Hat Japan 2008＆AVTokyo2008（後編）
http://www.atmarkit.co.jp/fsecurity/column/ueno/56.html
Perlのユーザーグループなのに、テーマは「no Perl; use x86;」、そしてセキュリティな面々によるセッションが行われたこのイベントを、セキュリティに関連する話題を中心にご紹介します。
あの「Kindle」をハッキング
Kindleは、Amazon.comが販売する電子ブックリーダーです。視認性がよく、コンテンツが豊富な電子ブックリーダーが欲しい筆者としてはぜひ手に入れたい1台なのですが、残念ながら日本ではまだ発売していません。
そんなKindleはAmazonのDRMによって閲覧可能なコンテンツが制限されています。それをAmazon以外が提供するコンテンツも見られるようハッキングした過程を紹介したのが、obra氏による「Kindle hacking」のセッションでした。
Kindleの通信パケットを解析していくと、任意のファイルを送り込めることが分かったそうです。Linux端末なのでBusyBox経由でtelnetdを動作し、試行錯誤した結果、最終的にはKernelの再構築をして目的を達成することができたという内容でした。
セキュリティコンテスト“Capture the Flag”にPerl Mongersの力を
CTF（Capture the Flag）は、セキュリティに関連する技術や知識を競うコンテストで、難読化されたバイナリの解析やフォレンジック、Webアプリケーションから雑学まで幅広い分野の問題が出題されています。
世界的なセキュリティイベントDEFCONをはじめとして、世界各地で開催されていますが、日本から参戦しているチームは上位に食い込むことができていないのが現状です。
「世界のセキュリティコンテスト（Capture the Flag）に挑戦しよう！」というテーマで発表した愛甲健二氏は、過去のCTFから何問か取り上げ、それぞれ回答までの過程を紹介していきました。
バイナリを解析する問題に苦戦する傾向があるので、「no Perl; use x86;」のテーマで集まった人々に参戦を呼びかけ、世界のエンジニアと切磋琢磨しようと語っていました。
【関連記事】
チーム「dumbtech」、Sexy Hacking Girlsへの挑戦！
http://www.atmarkit.co.jp/fsecurity/special/129defcon_cd/defcon_cd01.html
サンドボックスを取り戻せ
福森大喜氏は「Native Client Hacks」というタイトルで、サンドボックスの1つである「Google Native Client」を破るまでの過程を紹介しました。サンドボックスというのは、保護された領域でプログラムを動作させることで外部に悪影響を及ぼさないというセキュリティの仕組みです。
「Google Native Client」のサンドボックスを破るべく試行錯誤した結果、教科書どおりの単純な整数オーバーフローを利用することによって、電卓プログラムを起動することができたことを説明しました。また、Googleのほかのサービスの“仕様”を利用することで、Same Origin Policyによる制限を突破し、Google以外のドメインから情報を読むこともできると述べました（どちらもすでに修正されているとのこと）。
広く使われているActive Xもサンドボックスの1つですが、数多くのセキュリティホールがあり、サンドボックスの役目を果たしているとはいいがたいです。福森氏はサンドボックスは皆で破れば強くなるので、破る方法を見つけて報告しましょうと呼びかけていました。
ここに紹介したもの以外にも、マルウェアをいかにして検出するかという技術を紹介し、さらなるアイデアをPerl Mongersから募っていた園田道夫氏による「マルウェアの検出」、2008年にTBSにてドラマ化された「ブラッディ・マンデイ」のハッキングシーンについて解説した、3月まで現役高校生だという石森大貴氏による「ブラマンのブラックな話」などのセキュリティ関係のセッションが行われていました。
セキュリティに興味のない人々にセキュリティを伝えるために
プログラミングとセキュリティは、互いが完全に独立したテーマというわけではありません。しかし、プログラミングのイベントの客層はプログラミング関係の人々が中心、セキュリティのイベントの客層はセキュリティ関係の人々が中心となります。
今回のイベントは、プログラミング関係のイベントというジャンルになると思いますが、参加したセキュリティ関係のスピーカーの方々は、セキュリティを全面に押し出したイベントとは違った客層にアピールできたに違いないと思います。
セキュリティの専門性を前面に押し出した技術系イベントで情報を伝えることも必要ですが、セキュリティが主役ではない技術系イベントで、セキュリティに興味のなかった人々に“○○××セキュリティ”を語り、情報を伝えることでさらに生かされることもあるでしょう。
今後もセキュリティとは一見無関係に見える技術系イベントで、セキュリティが多く語られることを期待しています。
Profile
上野 宣（うえの せん）
株式会社トライコーダ代表取締役
セキュリティコンサルティング、脆弱性診断、情報セキュリティ教育を主な業務としている。
近著に「今夜わかるメールプロトコル」、「今夜わかるTCP/IP」、「今夜わかるHTTP」（共に翔泳社）がある。個人ブログは「うさぎ文学日記」
- 今夜こそわかる安全なSQLの呼び出し方 〜 高木浩光氏に聞いてみた
- 「わざと脆弱性を持たせたWebアプリ」で練習を
- Perl Mongersはセキュリティの夢を見るか？
- 誰がシステムのセキュリティを“大丈夫”にするのか
- 技術は言葉の壁を越える！ Black Hat Japan 2008＆AVTokyo2008（後編）
- 技術は言葉の壁を越える！ Black Hat Japan 2008＆AVTokyo2008（前編）
- キャンプに集まれ！ そして散開！
- 売り上げ重視か、それともセキュリティ重視か!? 「安全なウェブサイト運営入門」
- CeCOS IIにみるネット犯罪のもう一方の側面
- セキュリティ対策の行き着くところは……最終手段？ 京都に究極のセキュリティ対策を見た
- 人はオレを情報の破壊神と呼ぶ せめて、ハードディスクの最期はこの手で……
- セキュリティ社会科見学：インターネット物理モデルでセキュリティを考えた
- セキュリティ自由研究：この夏、グミ指を作ってみないか
- Webアプリケーションを作る前に知るべき10の脆弱性
- セキュリティを教える人に知ってほしい 基本が詰まった1冊
- セキュリティのバランス感覚を養うための1冊
- 暗号化仮想ドライブで手軽にファイルを暗号化
- Windows管理者必携、Sysinternalsでシステムを把握する
- 今夜分かるSQLインジェクション対策
- 「取りあえず管理者アカウントで」という思考停止はもうやめよう
- CSSクロスドメインの情報漏えいの脆弱性「CSSXSS」とは
- 偽装メールを見破れ！（後編）
- 偽装メールを見破れ！（前編）
- メールは信頼できても信用できない
- 危機管理体制を整えよう！ 個人情報漏えい後の対応ガイドライン
- メールアドレスを漏えいから守る方法
- 「Whoppix」を使ってペネトレーションテストをやろう
- 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
- 25番ポートの攻防
- 平田です。届いてますか？
- 魔法の鍵と最後の鍵
- 個人情報保護法を論理的に読み解く
- 安全確保のために東京は明るく！ 大阪は暗く！
- 言論の自由とセキュリティコミュニティ
- 標的にされる無防備なコンピュータ
- セキュリティ担当者には想像力が必要
- 端末を持ち歩くことの危険を意識せよ！ 〜 「ノートPC＝自動車」論 〜
- 脆弱性のあるサイトとセキュリティ技術者の関係
- いまこそ一般教養としてセキュリティを！
- 大事なことは製品でもなく知識でもなく……
- 治安の悪化で改めて痛感したこと
- Blasterがもたらした多くの“メリット”
- 企業でのセキュリティ資格の意味合いは？
- 人はミスをするものと思え、故に事前対策が重要
- オレオレ詐欺に学ぶソーシャル対策
- あらゆる人にセキュリティ教育を
- 猛威を振るうSARSウイルスに思ったこと
- 痛い目に遭って考えた、ビジネス継続性の重要さ
- 責められるべきはMSだけだろうか？
- セキュリティ技術者を「憧れの職業」にするには？
Copyright © ITmedia, Inc. All Rights Reserved.