A painter and a black cat: Trend Micro CTF 2016 Writeup
マクロ include の実行中にエラーが発生しました (ページが見つかりません)
ニュース
A painter and a black cat: Open Source unConference 2016 Chiba を賑やかしに行きました
Open Source unConference 2016 Chiba を賑やかしに行きました!
Open Source unConference 2016 Chiba (2016/07/23 15:00〜)
飲食物が出ます!
ビールを飲みながらのLTは最高ですな～。
印象に残った面白そうな話¶
不正アクセスを検出して、iptablesにアクセス禁止を加えるというfail2banを参考に、に更にIPv6に対応したもの。イカス。
どんな話が繰り広げられているのか気になったw
車の話とか、女子トイレの話とか、あと、女子トイレの話とか
A painter and a black cat: katagaitai CTF勉強会#5 - 関東|med に参加してきました
5周年、おめでとうございます。今回も良い勉強会でございました。
katagaitai CTF勉強会 #5 - 関東|med : ATND
場所は安定の、人員の許容量が宇宙ヤバい秋葉原UDXで開催。広い。
途中、スピーカーへの音声インジェクション(混線とも言う)でpwnされるというハプニングがあって笑った。
trmrさんの部¶
スライド中でご紹介頂き、ありがとうございます～。
ハッシュ面白い～。
MD5をもう使うなって件は、単にハッシュ値が短くて、衝突しやすいから使うのやめようって話だと、ずっと思ってた。
実は総当りよりも遥かに少ない回数で衝突させることが出来るとは、ちょっと衝撃でした。
ツール(HashPump,FastColl,HashClash)も幾つか教えて頂いたので試してみようかと思っています。
暗号学の偉人伝は、実はかなり面白かった。
レトロハッカーズを思い出した。
bataさんの部¶
私が今一番知りたかったヒープの話があって、良かった。ありえん良さみが深かった。
たぶん、初めて参加した1年ぐらい前だと全然理解できなかったと思うんですが、今はお話が解るようになりました。
わ、私にも解かる、解かるぞ！(問題が解けるとは言っていない)
「全ての複雑なものは、単純なものの組み合わせで出来ている」
っていう私の好きな言葉があるんですが(誰が言ったか覚えていない)、今回まさにそれでした。ただ、、複雑過ぎて笑った。
個々の単純な部分まで分解して、説明して貰ったので、とても解りやすかったです。
発表したスライドは、後々slideshareで公開されるようなので、参加しなかった方も乞うご期待!!
ま、それが組み合わさって、解答に辿り着くまでの道筋は、なんというか、常軌を逸していたけれどw
ほんと、こんな問題よく作ったな。。。そしてよく解いたな。。。
ヒープについては、自分の勉強ノートに書けていないのですが、整理して書く良いきっかけになりました。
延長戦でのDWARFの話も大変興味深かったです。
頂きもの¶
ノートとペンを頂きました。ありがてぇ・・・ありがてぇ・・・
ノートはCamiApp対応で重宝しそう。
スマホで写してDropBoxへ転送。。捗る。
このペン実は、前回も前々回も頂いているんですが、隠れた高性能っぷりを発揮しておりまして、
普通の貰い物ボールペンは、途中でよくインク出なくなって終了したりするんですが、これはインク切れが無いんですよ!!
日々愛用させて頂いております。
A painter and a black cat: Trend Micro CTF 2016 (1コメント)
今年も
セキュリティ技術の競技大会「Trend Micro CTF 2016」を開催
～全世界の技術者が、IoTや制御システム関連のセキュリティ技術を競う～
http://www.trendmicro.co.jp/jp/about-us/press-releases/articles/20160701042341.html
Trend Micro CTF 2016
http://www.trendmicro.co.jp/jp/sp/ctf2016_jp/index.html
しかしkatagaitai勉強会#6 - 関東|easyと被ってしまってるぅぅぅぅ。
うわぁああぁぁぁあああああああああああああああああ
A painter and a black cat: シェル芸人のためのJupyter環境
マクロ include の実行中にエラーが発生しました (ページが見つかりません)
A painter and a black cat: 技術書典に行ってキマシタワー
技術書典に行ってきました。
技術書の同人誌販売な感じのイベント。
小生、コミケとかそういうの行ったことがないのだけれど、初めてそれっぽいイベントに行ってきました。早めに行ったから早めに入れたんだけど、めっちゃ並んでた。
初めて薄い本を買いました¶
めっちゃ人いる!これがコミケか…
以下を買いました。読むのが楽しみ。
O'Creilly - ソフトウェア技術書同人サークル supported by NCC
- KIJAK'SAY(きじゃくせい)
セキュリティ関係の本(うっすら変態仮・・・げふんげふん)
秋葉原は、ありえん肉みが深い。¶
久しぶりに秋葉原に来たら、肉度がかなり上がっている。
とんかつ - 商店 - ケバブ - 商店 - ラーメン - 商店
という感じである。異常事態である。何が起きたんだ。その中で会場にほど近い肉汁麺ススムに行ってきました。
味が濃いのだけれど癖になる。これでレベル２(レベル４まである)ありえん肉みが深い。完飲。
A painter and a black cat: 「シチズンフォー スノーデンの暴露」を見てきました (1コメント)
シチズンフォー スノーデンの暴露というエドワード・スノーデンを題材にしたドキュメンタリーを見てきました!
ここの記事を事前に読んでおくと更に楽しめます。
THE ZERO/ONE - 正義の告発者か買収されたスパイか スノーデンの素顔に迫るドキュメンタリー映画『シチズンフォー スノーデンの暴露』¶
正義の告発者か買収されたスパイか スノーデンの素顔に迫るドキュメンタリー映画『シチズンフォー スノーデンの暴露』
https://the01.jp/p0002479/
THE ZERO/ONE - ハッカーの系譜 エドワード・スノーデン¶
米国で繰り返される「諜報」と「内部告発」の歴史(1/6)
https://the01.jp/p0001924/
米諜報機関が生んだハッカーの葛藤(2/6)
https://the01.jp/p0001950/
闇に葬られないための入念な「告発準備」(3/6)
https://the01.jp/p0001968/
世界に衝撃を与えた米国の盗聴プログラム「プリズム」(4/6)
https://the01.jp/p0001998/
「世紀の告発者」への第一歩を踏み出す(5/6)
https://the01.jp/p0002027/
香港からの脱出、そしてロシアへ(6/6)
https://the01.jp/p0002038/
THE ZERO/ONE - ハッカーの系譜 ジュリアン・アサンジ¶
ウィキリークス「反骨」の原風景(1/6)
https://the01.jp/p0002395/
少年ハッカー「メンダックス」の冒険(2/6)
https://the01.jp/p0002414/
サイファーパンクスとの出会い(3/6)
https://the01.jp/p0002449/
少年ハッカーから国家と戦うハクティビストに(4/6)
https://the01.jp/p0002464/
※連載中(2016.6.18現在)
いちエンジニアとしての感想¶
当初より、エドワード・スノーデンさんのリークした情報の真偽が疑われたりしています。
また、現在に至るまで名だたるIT関連企業は、関与した事実を認めていません。
映画はドキュメンタリーでしたので、エドワード・スノーデンさん自身が、ものすごく、ものすご～く、情報の取り扱いに気を使っていたのを生で見ることが出来ました。(VOIP電話のコード抜いたり、スマホを冷蔵庫に入れたり、全てPGPで暗号化したり)
さてさて、信じられないような情報が数々がリークされた訳ですが、いちエンジニアとして、その真偽について感想を述べたいと思います。
まず、
- 技術的に矛盾した話は無かった。
- ちょっと、大げさに情報漏えいを恐れていたようにも感じたが、(VOIP電話のコード抜いたり、スマホを冷蔵庫に入れたり)、技術的には盗聴が可能という側面と、自分の命がかかってるので解る。
- 逆にそこまで気にしないといけないNSA怖い。
国家規模の盗聴に関して言うと、
- 実現するには、国家規模で、ものすごいリソースの用意が必要。(特にディスクとメモリが。どの位必要なのか想像もできない。)
- さらに、IT関連の複数の大企業の協力が必要(顧客のプライバシーを守ると声高に宣言している企業の協力が)。
- さらに、国家間で秘密裏に協定を結んだり、もしくは勝手に他国へもネットワークを広げることが必要。
という、普通なら実現不可能に思えました。
特に、「IT関連の複数の大企業の協力が必要」というあたりは、CEOだけが墓場まで持って行けばよいという訳でもなくて、そんな工事・作業するのにも複数人の関係者が必要になります。彼らの口を全て塞ぐのは難しいんじゃないんですかね。まさか
でも、でも、もしかしたら国が本気出せばできるのかもしれません。。
2016.6.21追記
と、思ったんだけど次のコンボで特に疑われずにNSAは動けるね。コメント欄に書いたTEDの動画見て思った。
米国には裁判所の命令があれば、合法的に盗聴できる。→それを理由に盗聴する仕組みを各IT企業に作る。→(本当は裁判所の命令がないと盗聴できないけど)後は、勝手に盗聴する。
盗聴されると、どうなるのかしら¶
そんな訳で、国家規模で盗聴されていると仮定すると何がどうなるか想像してみます。
まず日常的に使っている検索エンジンやメール、ネットショッピングの内容が全て筒抜けになります。
普通に生活している分には、データ収集されても、あまり影響がないような気もしますが、技術的には改竄も可能なので、
- 「検索語A」で検索したのに「検索語B」の結果が返ってきたり
- メールに書いてある待合せ場所と時間を書き換えられたり
- クレジットカードの番号を盗まれて勝手に買い物される
そんなリスクまで考えられます。国がやろうと思ったら、ですけど。
「自分ネットする時、絶対HTTPS(SSL/TLS)しか使わないんで大丈夫っすよ」
と思われる方もいるかもしれませんが、HTTPSは、みなさんのPCとサービスを提供する企業の入り口までを暗号化しているのであって、それ以降は筒抜けになります。ここから抜かれるとどうしようもありません。
┏━━━━━━━━━━ IT企業のデータセンタ ━━━━━━━━━┓
┃ ┃
自分のPC(ブラウザ) <---------->[HTTPSをHTTPに複合する機能]<---------->[ロードバランサ等]<---┃
HTTPS ┃ HTTP ┃
暗号化して┗━━━━━━━━━━━━━━━┯━━━━━━━━━━━━━━┛
安全な区間 │
この区間で盗聴されると平文
(普通の常識だとデータセンターの中なので、盗聴は無理)
個人でできる情報の秘匿 - PGPを使う¶
こんな情報筒抜けな世の中だとしても、誰にも内緒で情報を伝える手段は存在します。
エドワード・スノーデンさんも頻繁に使っておりましたが、公開鍵暗号方式で暗号化して送ればいいんですね。
映画ではPGPを使っておりました。
日常的に使うには、ちょっと面倒なんですが、届いた相手のPCでしか複合できない仕組みなので確実です。
余談ですが、PGPを使う際には鍵長は最大(恐らく2048bit)を設定しましょう。短い鍵長だと、計算能力が高いコンピュータで割り当てられてしまうかもしれません。ちなみに鍵破りコンテストが随時開催中で、640bitの鍵長までは破られています。
スノーデンさんの件に関しては、真偽についても賛否についても、ご意見ある方いらっしゃると思いますが、いちエンジニアとして技術的に大変興味深く拝見させて頂いた映画でした。
なんか書いてて怖くなってきた。
あれ、誰か来たみたい。
コメント¶
参考情報追加。映画を見た後に見るとより面白い。
TED - エドワード・スノーデン: インターネットを取り戻すために
http://ted.com/talks/edward_snowden_here_s_how_we_take_back_the_internet.html
TED - リチャード・レジェット: エドワード・スノーデン氏のTEDにおけるトークに対するNSA(米国国家安全保障局) の反論
http://ted.com/talks/richard_ledgett_the_nsa_responds_to_edward_snowden_s_ted_talk.html
A painter and a black cat: ニコナレで公開されているスライドをpdfでダウンロードするコマンド
マクロ include の実行中にエラーが発生しました (ページが見つかりません)
A painter and a black cat: 動的リンクの実行ファイルを静的リンクに変換する
statifierというのを使ってみました。
マクロ include の実行中にエラーが発生しました (ページが見つかりません)
A painter and a black cat: WAFを知らない人に説明する試み
仕事で使うかもしれんのでまとめてみた。
WAFとIPSとFireWallとウィルス対策ソフトと何が違うの?
とか、確かに説明しづらい気がする。WAF知らない人に対しても、できるだけ簡潔に説明したい。
詳細は、Security#WAF参照。
WAF～＞＜
他の形式にエクスポート: Atom