パスワードを忘れた? アカウント作成
4612 story

お役所の無線ネットワークはホットスポット 57

ストーリー by Oliver
熱い情報の流れる場所 部門より

yaizawa 曰く、 " アサヒ・コムの記事よりですが、お役所での無線LANの多くが暗号化等されていないために情報が筒抜けになって運用停止になったようです。みんな便利なので使いたいのは分かりますが、WEPも何も使っていないのはどうかと。不正コピーが分かったのはなんともお間抜けですね。(笑)
せっかくの国の方針ですからIPv6 + IPsecにしておくのはどうでしょう。 v6使っている人はどうせ少ないですから、これでセキュリティレベルはがっちりです。(を"

セキュリティ対策をまったくしてないのは言語同断だが、この様な報道を見ていると、たとえWEPで暗号化されていても、不十分だということが伝わってこない。WEPかけときゃとりあえず大丈夫、という完全に間違った印象が更に広まらないか不安だ。WEPは数時間分のトラフィックである4-600万パケットあれば分析解読されてキーがバレてしまうので、読みたい、と思った相手に対してのセキュリティ的価値はゼロだ。([FSM01][SIR01], The Unofficial 802.11 Security Web Page)なので、なので、アクセスポイントに無駄な負荷をかけるずに、別レイヤで実証されているセキュリティメカニズムを導入すべし。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • この報道に関してはこの話 [thinkpad-club.com]が面白うございました。
    (なお、リンク先の話は、一連の話の流れの中でのコメントです。
     ですので、誤解が少なくなるよう、話の発端から展開の過程へと、
     一通りの流れの中に位置付けてお読みいただいくとよろしいかも。
     リンク先には関連発言へのリンクがありますのでご活用ください)。

    # 「面白い」と書きましたが、私の意図としては、笑い転げるというよりも
    # 英米語でいうinterestingが近いのかな、と思います。あ、ここは/.jだから、
    #「面白いというのは『興味深い』くらいの意味です」で通じるかしら。)

    --
    --
    Regards, Regards  (Slashdot.jp 無粋部)
  • by KASHIDA (10695) on 2002年12月26日 11時00分 (#225721)
    無線LANは怖いので、しばらくは導入するつもりは無いという
    セキュリティに関心のある管理者はたくさんいるはずですが、
    マスコミが騒ぐのも、すべて「無線LANがいかに危険か」と皆同じ
    論調で、有線LANの管理しか考慮していないことがいかに危険か
    という議論は"まるで"行われていません。ネットで検索をしてみれば
    すぐわかります。

    自宅で無線LANを構築した場合には無線LANのセキュリティにのみ
    関心を持てばよいのですが、複数のユーザを抱える有線LANの
    管理者の場合は、「有線LANを安全に管理するためにも、APの不正
    設置の可能性を常に考慮しなければならない」ことは常識とすべき
    なんですがねぇ。そのためには無線LANの基礎知識は必須。

    盗聴器としてAPを不正設置される可能性もありますが、それよりも
    悪意の無いユーザが、自分のポケットマネーで買ったAPを管理者に
    無断でこっそり設置するケースも、把握されていないだけで非常に多い
    ことが予想されます。もちろんWEPや認証は一切無し。

    実際に大学などでは、学生が勝手に構内の有線LAN環境にAPを接続して
    バックドアを作ってしまうことが、"密かに"問題になっています。
    学生に限らず、企業やお役所でもまるっきり同じ話。金を持っている分だけ、
    可能性は高いでしょう。

    とりあえずの対策として、無線のステーションを1セット用意して
    NetStumblerか何かで、定期的にアセスメントをかけるのが有効です
    が、そんなこと考えたことも無い"経験豊富な有線LAN管理者"たち
    が 世の中の9割以上を占めているのではないか、と。
    • by kazzy (13180) on 2002年12月26日 11時31分 (#225770)
      実際の話、庁内LANの管理者が知らぬ間に各課で勝手に
      無線LANのアクセスポイント設置されてたりということで
      今回記事になってませんがそういう問題もあったのが事実。
      さらに問題なのは管理者も含めたセキュリティなどに
      対する意識の欠如。
      ホントはもっと書いて欲しいこといっぱいあったんだけど。
      工場出荷値のこととかね...ボソボソ...
      親コメント
      • by Anonymous Coward on 2002年12月26日 22時02分 (#226452)
        某シンクタンクの話ですが....
        ネットワークセキュリティ研究を専門に行っている研究員が、無線LANのAPを勝手に設置しやがったことがありましたねぇぇ。
        見かけて即撤去&文句を言いましたが、本人はなんか不満げだったのが印象的。
        つーかおまえそれで専門家か(゚Д゚)ゴルア! と

        # 勿論WEPも未使用で....ばれるとアレなのでAC
        親コメント
  • NRAが今年のセキュリティ10大ニュースを発表 [srad.jp] で、すでに 投稿させていただきました。
  • 役所の管理職の条件に、最低でも初級シスアド、課長クラス以上なら情報セキュリティの資格を必須要件にしてはどうでしょうか?

    少しはマシになると思われます....

    # 逆に試験が簡単になったりして
    --
    notice : I ignore an anonymous contribution.
    • by Anonymous Coward on 2002年12月25日 23時20分 (#225245)
      この手の人が資格を持つと「オレは資格持ってんだ文句言うな!」と余計に話が拗れそうな予感

      # 初級シスアドなんてロクに役に立たんし

      親コメント
      • #元々は自分のタレコミ [srad.jp]でねたにしようとしてたんだけどさ。
        上司にこういうのがいます。

        まあ元々電子系だったのが情報処理2種取ったのは確かに偉いけどさ、そのあと知識をまともに更新しなきゃだめじゃん。
        #その上司が絡んだおかげでトピックみたいな恐怖のシステムを組むことになりそうだが......
        #頼むから無線LANはIP FilteringとMAC AccessとESS-IDで充分なセキュリティが保てるなんて勘違いはやめてくれ......
        #ついでに帯域4, 5Mbps消費するシステムを無線LANでやろうとか考えるな......

        この手の資格で、まっとうな技術レベルで、2年程度で安価な資格更新試験が必要なのが出てくれるとほんの少し幸せになれるのかも。
        親コメント
        • >2年程度で安価な資格更新試験が必要なのが
           「お役所の管理職」には、そこまで期待してないです。(業者のリーダークラスに対しては要求しますが…[笑])
           用語と、それが大雑把に何を意味するのか、だけでも理解してくれれば大分違います。
           お役所には、PCとワープロ専用機とプリンタの区別が付かない化石のような人種がいまだに生存していますので....
          # 『初級シスアド「でも」いいから学んでくれ』>化石共

          # 化石相手なら前例踏襲の穴だらけのプランでも判子をついてくれるので楽でしょうけど[笑]
          --
          notice : I ignore an anonymous contribution.
          親コメント
      • > # 初級シスアドなんてロクに役に立たんし

        アビバとどっちが役に立ちますか?(w
    • アサヒコムより
      >パソコンに、「ハリー・ポッター」などの映画やドラマ、アイドルの
      >ビデオなど多くの不正コピーソフトが蓄積されていた。

      >映画ソフトなどについては、同課の係長のパソコン内のもので、
      >係長は「私的に利用していた。申し訳ない」と話した。

      情報セキュリティ以前の問題だと思うなあ・・・

      #仕事してるのか?!
      親コメント
      • この映画ソフトとかが蓄積されていたという話.
        Windowsで共有されていたということなんだろうと思うのですが,
        どうやって調べたんでしょう?

        私の頭の中には電波法違反とか不正アクセス防止法違反
        という文字がちらついて離れないのですが………
        ## 先方に了解取ってからやったのかなぁ?
        親コメント
        • by jl4cvb (4926) on 2002年12月26日 11時34分 (#225773)
          電波法59条から要旨を抜粋。

          > 特定の相手方に対して行われる無線通信を傍受して
          > その存在若しくは内容を漏らし、又はこれを窃用してはならない。

          WEP無しの垂れ流し、さらに共有掛けていた以上は
          「特定の相手方」と判断出来なかったり。
          親コメント
        • >私の頭の中には電波法違反とか不正アクセス防止法違反
          >という文字がちらついて離れないのですが………

          やっぱり問われるんでしょうかね?

          「ネット上に暗号化もせずに放置」ってことは例の「TBC個人情報だだもれ事件」と同じようなものかなあ、と思ったのですが、物理的に接近して傍受してると扱いが違うんでしょうか?

          どなたか詳しい方解説きぼんぬ。(←解説を希望します、という意味の方言)
          親コメント
        • × 不正アクセス防止法
          不正アクセス禁止法 [google.co.jp]
        • パスワードさえかけてなかったから、不正アクセスではない……ってオチかも。

          それ以前に、共有ファイルの出所がMXだかnyだかDeCSSだか知らんけど、そんな知識を手に入れる以前にもっと他の知識を手に入れなきゃいかん様な気もするけどな。
      • ぜんぜんアクセス制限とかしないんでしょうかね。
        Windows9XでCやDドライブを共有(パスワード無し)とか。
        ネットワークに入られたのみならず、ファイル見放題と
        いうのはそらおそろしい話ですね。

        怖すぎてAC
      • >パソコンに、「ハリー・ポッター」などの映画やドラマ、アイドルの
        >ビデオなど多くの不正コピーソフトが蓄積されていた。
        >映画ソフトなどについては、同課の係長のパソコン内のもので、
        >係長は「私的に利用していた。申し訳ない」と話した。

        職場でMXしてたの?
        それともny?
    • by Anonymous Coward on 2002年12月26日 0時25分 (#225314)
      セキュリティの確保は最終的にはエンドユーザの
      協力が不可欠なのだから、無駄にはならないと思いますよ。

      逆に「素人はすっこんでろ」「中途半端に知識をつけると却って面倒」等というのは管理者・技術者の甘えでしょう
      親コメント
    • 社内のシステム部員にもネットワーク管理者の資格をと 思うのだけど、それを課したら要員がゼロになるのは 目に見えているし ...
    • この記事を読んでふと思ったのですが、役人が設定しているのでしょうか?大体はどこかの業者が納入&設定していると思うのですが。 構築を請けおった業者の責任が問われるべきではないでしょうか?
      • by idiot (11859) on 2002年12月26日 1時27分 (#225375)
        「誰が問う」かの問題かと。
        市民の立場から責任を問うべき相手は、役所で間違いないと思います。
        もちろん、適切な仕事をする業者を選ばなかった責任もコミで。

        請負業者の責任を問うのは、発注者(役所)の仕事。

        あと、業界の立場から、杜撰な仕事をする同業者の責任を問うのもアリですが。

        #スラドは市民の立場?業界の立場?さあどっち?
        親コメント
        • この場合の「市民の立場」って、言いたいことはわかるけど
          自称市民、いわゆるクソサヨ系プロ市民によって乱用(濫用?)された言葉は
          避けたほうがいいと思った。

          彼らの「市民的感覚」は、かなりあやしい。
          そして、活動として目立つNGO/NPOはそんなんばっかりなのが悲しい。
      • 要求仕様にあれば、業者責任も問えるでしょうけど。 仕様になければ、業者はサービスは作業はいたしません。
    • 必要なのは意識、認識、興味 だと思います。
      趣旨は賛成ですが, 現状のシスアドが合っているかというと…

      # 学校出や資格持ちで、安易に「ああ、自分は知ってますから」的な考えで何も学ばず何も変わらずな人が怖い。
      • >必要なのは意識、認識、興味 だと思います。
         その為に『強制的に』学んでもらおうと…
        # 出世の条件として組み込めば嫌でも憶えるでしょ?(講習費用は我々の税金なんだけど)

        >現状のシスアドが合っているかというと…
         あんまし合ってないけど、他に使えそうな資格が無い....
        「利用者側がチェックするための公的な資格」って他になさそうなので。

        >安易に「ああ、自分は
         古人いわく『馬鹿につける薬はない』
         セキュリティに穴のある仕様書に受領印押した管理職に責任取らせるのが一番の薬か?
        # 資格再取得まで降格、とか。
        --
        notice : I ignore an anonymous contribution.
        親コメント
  • by hkt (2602) on 2002年12月26日 0時42分 (#225340)
    等という誤ったメッセージが伝わらないかどうか不安です.

    結局のところ,有線にしろ無線にしろ,安全を確保する方策は大して
    変わらないと思うのですけどね.
    私の印象ではIPsecをかけた無線LANなら,暗号化していない
    有線LANによりもマシだと思うのですが…

    有線の場合,IPsecをハードウェアで処理できるNICが増えているのだから,
    個人情報を扱うような部署ではIPsecが常識になって欲しいなぁ.
    •  無線は危険,有線は安全
       等という誤ったメッセージが伝わらないかどうか不安です.

      無線の方が危険なのは明らかだが。どこが「誤り」?

       結局のところ,有線にしろ無線にしろ,安全を確保する方策は大して
       変わらないと思うのですけどね.

      それでは
      ・有線でWEPを使う方法を述べよ
      ・無線でIPsecを使う方法を述べよ

      • > ・有線でWEPを使う方法を述べよ

        鼻血出てますよ。
        ティッシュ(・∀・)ノ◇ ドゾー

        建物全体を有線のみでカバーしていても、公共スペースの陰にハブが一個
        おいてあったりしたら、誰かがそこに小さなLinux Box一個くっつけることなんて
        WEP解読するより簡単です。

        すべてにおいてIPSecで固めていても、ホストのセキュリティが甘くて
        Trojan放り込まれたり、それこそ、サーバ室の鍵がシリンダーロックで
        簡単にピッキングできるようであれば、物理的にHDD抜き取られてダンプ
        取られる可能性だってあるし。

        # 結局はポリシーの問題、っていう陳腐な結論に収束します。
        親コメント
      • by Anonymous Coward
        データリンク層において、第三者が通信を傍受できるか?という観点においては、無線の方が行いやすいでしょう。という意味で、

        >無線の方が危険なのは明らかだが。どこが「誤り」?

        は同意します。

        でも、データリンク層上位においての「危険性」を論じるならば、同意しかねますね。

        例:
        「当サイトではSSLによって通信を暗号化していますから、お客様の個人情報は安全です。」 は、アプリケーションのデータのやりとりにおける、第三者の傍受について
      • >・有線でWEPを使う方法を述べよ

        WEP=Wired Equivalent Privacy
  • by Anonymous Coward on 2002年12月25日 23時15分 (#225241)
    お願いですから「無線LANの危険性を調べる」のであれば自力でやってください。
    そりゃ放っておけば色々な所から有意義な指摘がたくさん来て簡単に調べが付くだろうけどナァ
  • by Anonymous Coward on 2002年12月25日 23時32分 (#225259)
    無知ですいませんが、役所のネットワークの構築・変更って誰がやっているのでしょうか。
    業者がそれをやっているにもかかわらず、というような事は無いよなぁ、と信じたいのですけど実際はどうなのでしょう?
    • 発注毎にバラバラなので、全体の管理や整合性なんかは単独の業
      者には手に追えない問題ですね。設計運用にポリシー設定もない
      ので、仕様にだって盛り込みようがないというのが現実かと。

      設計やヒアリングにつき合っても、それがお金になるわけではな
      いですし、受注が取れる保証もない。それで仕様には他社が入れ
      ない仕込みをしたりするのですが、最近はそこまでコストをかけ
      ることさえも出来なかったりするようです。

      発注側にエキスパートがいるか、設計や運用費用を計上してくれ
      ないとどうにもならないですよ。仕事でのつき合いはボランティ
      アじゃないんだし、ボランティアするなら担当者の PC 環境を面
      倒見てやるほうが効果が高いですしね... それが役場の現実です。

      そのへんの会社とか学校と何も変わらないのですよ。むしろ業者
      的には納品レベルでは楽かもね。値段さえ下へくぐれば取れる物
      件も多いですし。後の面倒や担当フォローがイヤだけどね。他社
      提案をさらったのであれば、仕様通り納品していますので通せる
      しね...
      親コメント
    • 決めるのは誰でしょうかってこと。

      # サービスでよりよくするなんて考えちゃ出入り禁止よ。
typodupeerror

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

読み込み中...