2007/05/16(水)水曜日ー。（perl -e "die qx else"）
[セキュリティ] * Unicode悪用の不正トラフィック、ファイアウォール通過も (ITmedia)
IDS/IDP/WAF などの、HTTPトラフィックをスキャンするシステムにおいて、%uffxx によってスキャンを回避することが出来る evasionテクニックについての警告。 葉っぱさんの 『* それ Unicode で
』 の HACK #4 の“似たような文字変換”（関連：* 2006/02/08 の日記20060208#p04
）の方が怖いなぁｗ関連： * HTTP content scanning systems full-width/half-width Unicode encoding bypass (US-CERT)
[出来事] * 「フレッツ」「ひかり電話」の障害復旧 NTT東 (ITmedia)
**[追記]** * ルータ2000台が3秒でダウン 「フレッツ」「ひかり電話」大規模障害 (ITmedia)
[雑談] * 蔵出しセキュリティ: なぜ「シックスクリックは詐欺にあらず」なのか？
例の、* コメント欄が紛糾した(笑)
、前回の話の続きが出ました〜。(^-^;[セキュリティ] * ウェブアプリセキュリティとバッドノウハウ、そしてグッドラッパーの関係
by金床さん。 「セキュリティ研究者」は、別に、IE のバグを非本質的なセキュリティ上の問題と思っているわけでも、毛嫌いしているわけでも無いと思うし、また、グッドラッパーの存在を有害だと決め付けているわけでも無いと思う。 ただ、Webアプリのセキュリティの話をするときには、個々のブラウザの脆弱性の話は切り分けて考えがちなのは否定が出来ない。 （これは、個々のブラウザの脆弱性の話を完全に無視してしまっているわけではなく、それはそれで、Webアプリのセキュリティとは別の次元で修正に向けて動かそうとしているはず。 とはいえ、修正はすぐに行われるとは限らないので、影響の大きさに応じて Webアプリ側での対処を考えることもあると思う。 とはいえ^2、（個人で作成している Webアプリならともかく、仕事で作った Webアプリで納入済みのものについては、）ブラウザに新しい脆弱性が見つかるたびに（あるいは、あるブラウザのシェアが大きくなるたびに）Webアプリを修正するわけにもいかないのが悩ましいところ？） グッドラッパー（フレームワークも含む）がもっとこなれてきて、多くのセキュリティ上の対策を自動化してくれて、新しい脆弱性が見つかった場合にも Webアプリ側の更新無しに、ラッパーのみを更新することで対策が完結する（←理想ｗ）ようになったら、みんな幸せになれると思う。(^-^;
IDS/IDP/WAF などの、HTTPトラフィックをスキャンするシステムにおいて、%uffxx によってスキャンを回避することが出来る evasionテクニックについての警告。 葉っぱさんの 『* それ Unicode で
』 の HACK #4 の“似たような文字変換”（関連：* 2006/02/08 の日記20060208#p04
）の方が怖いなぁｗ関連： * HTTP content scanning systems full-width/half-width Unicode encoding bypass (US-CERT)
[出来事] * 「フレッツ」「ひかり電話」の障害復旧 NTT東 (ITmedia)
textileネット接続サービス「フレッツ」とIP電話「ひかり電話」が、北海道と東日本14都道県の一部という広い範囲で利用できない状態になっていたが、障害発生から7時間経って全面復旧した。復旧までに７時間。 Bフレッツ約119万契約、フレッツADSL約150万契約、フレッツISDN約16万契約、ひかり電話約59万契約に影響。 原因は、故障によるルータ交換に伴って、大規模な経路情報の書き換えが発生し、これが個々のルータの処理能力を超える量だったため、連鎖的に落ちていったらしい。関連： * 「フレッツサービス」および「ひかり電話」をご利用できない状況について（第８報）
**[追記]** * ルータ2000台が3秒でダウン 「フレッツ」「ひかり電話」大規模障害 (ITmedia)
textile管内の全ルータが処理しているルート情報は約1万5000。再接続したルータが持っていたルート情報は約80。再接続の際、各ルータは1万5000のルートから80のルートを探し出す処理を行ったが、…処理が追い付かず、機能を停止した。都内の1台のルータの障害が、わずか3秒で北海道まで伝わり、2000台が一斉にダウン。(汗[セキュリティ] * Googleによるマルウェア論文 (Geekなぺーじ)
textile外部サービスによるアクセスログカウンタがマルウェア配布プログラムに変身してしまったという事例があったそうです。お！ 実際に事例として そういうのがあったのね〜。(@_@)関連： * The Ghost In The Browser - Analysis of Web-based Malware (Google)
[雑談] * 蔵出しセキュリティ: なぜ「シックスクリックは詐欺にあらず」なのか？
例の、* コメント欄が紛糾した(笑)
、前回の話の続きが出ました〜。(^-^;[セキュリティ] * ウェブアプリセキュリティとバッドノウハウ、そしてグッドラッパーの関係
by金床さん。 「セキュリティ研究者」は、別に、IE のバグを非本質的なセキュリティ上の問題と思っているわけでも、毛嫌いしているわけでも無いと思うし、また、グッドラッパーの存在を有害だと決め付けているわけでも無いと思う。 ただ、Webアプリのセキュリティの話をするときには、個々のブラウザの脆弱性の話は切り分けて考えがちなのは否定が出来ない。 （これは、個々のブラウザの脆弱性の話を完全に無視してしまっているわけではなく、それはそれで、Webアプリのセキュリティとは別の次元で修正に向けて動かそうとしているはず。 とはいえ、修正はすぐに行われるとは限らないので、影響の大きさに応じて Webアプリ側での対処を考えることもあると思う。 とはいえ^2、（個人で作成している Webアプリならともかく、仕事で作った Webアプリで納入済みのものについては、）ブラウザに新しい脆弱性が見つかるたびに（あるいは、あるブラウザのシェアが大きくなるたびに）Webアプリを修正するわけにもいかないのが悩ましいところ？） グッドラッパー（フレームワークも含む）がもっとこなれてきて、多くのセキュリティ上の対策を自動化してくれて、新しい脆弱性が見つかった場合にも Webアプリ側の更新無しに、ラッパーのみを更新することで対策が完結する（←理想ｗ）ようになったら、みんな幸せになれると思う。(^-^;