お役所の無線ネットワークはホットスポット 57
ストーリー by Oliver
熱い情報の流れる場所 部門より
熱い情報の流れる場所 部門より
yaizawa 曰く、 "
アサヒ・コムの記事よりですが、お役所での無線LANの多くが暗号化等されていないために情報が筒抜けになって運用停止になったようです。みんな便利なので使いたいのは分かりますが、WEPも何も使っていないのはどうかと。不正コピーが分かったのはなんともお間抜けですね。(笑)
せっかくの国の方針ですからIPv6 + IPsecにしておくのはどうでしょう。
v6使っている人はどうせ少ないですから、これでセキュリティレベルはがっちりです。(を"
セキュリティ対策をまったくしてないのは言語同断だが、この様な報道を見ていると、たとえWEPで暗号化されていても、不十分だということが伝わってこない。WEPかけときゃとりあえず大丈夫、という完全に間違った印象が更に広まらないか不安だ。WEPは数時間分のトラフィックである4-600万パケットあれば分析解読されてキーがバレてしまうので、読みたい、と思った相手に対してのセキュリティ的価値はゼロだ。([FSM01]、[SIR01], The Unofficial 802.11 Security Web Page)なので、なので、アクセスポイントに無駄な負荷をかけるずに、別レイヤで実証されているセキュリティメカニズムを導入すべし。
ご参考までに(むしろ、おもしろおかしい?) (スコア:3, 参考になる)
(なお、リンク先の話は、一連の話の流れの中でのコメントです。
ですので、誤解が少なくなるよう、話の発端から展開の過程へと、
一通りの流れの中に位置付けてお読みいただいくとよろしいかも。
リンク先には関連発言へのリンクがありますのでご活用ください)。
# 「面白い」と書きましたが、私の意図としては、笑い転げるというよりも
# 英米語でいうinterestingが近いのかな、と思います。あ、ここは/.jだから、
#「面白いというのは『興味深い』くらいの意味です」で通じるかしら。)
--
Regards, Regards (Slashdot.jp 無粋部)
アクセスポイントの不正設置 (スコア:2, すばらしい洞察)
セキュリティに関心のある管理者はたくさんいるはずですが、
マスコミが騒ぐのも、すべて「無線LANがいかに危険か」と皆同じ
論調で、有線LANの管理しか考慮していないことがいかに危険か
という議論は"まるで"行われていません。ネットで検索をしてみれば
すぐわかります。
自宅で無線LANを構築した場合には無線LANのセキュリティにのみ
関心を持てばよいのですが、複数のユーザを抱える有線LANの
管理者の場合は、「有線LANを安全に管理するためにも、APの不正
設置の可能性を常に考慮しなければならない」ことは常識とすべき
なんですがねぇ。そのためには無線LANの基礎知識は必須。
盗聴器としてAPを不正設置される可能性もありますが、それよりも
悪意の無いユーザが、自分のポケットマネーで買ったAPを管理者に
無断でこっそり設置するケースも、把握されていないだけで非常に多い
ことが予想されます。もちろんWEPや認証は一切無し。
実際に大学などでは、学生が勝手に構内の有線LAN環境にAPを接続して
バックドアを作ってしまうことが、"密かに"問題になっています。
学生に限らず、企業やお役所でもまるっきり同じ話。金を持っている分だけ、
可能性は高いでしょう。
とりあえずの対策として、無線のステーションを1セット用意して
NetStumblerか何かで、定期的にアセスメントをかけるのが有効です
が、そんなこと考えたことも無い"経験豊富な有線LAN管理者"たち
が 世の中の9割以上を占めているのではないか、と。
Re:アクセスポイントの不正設置 (スコア:2, 参考になる)
無線LANのアクセスポイント設置されてたりということで
今回記事になってませんがそういう問題もあったのが事実。
さらに問題なのは管理者も含めたセキュリティなどに
対する意識の欠如。
ホントはもっと書いて欲しいこといっぱいあったんだけど。
工場出荷値のこととかね...ボソボソ...
Re:アクセスポイントの不正設置 (スコア:1, 興味深い)
ネットワークセキュリティ研究を専門に行っている研究員が、無線LANのAPを勝手に設置しやがったことがありましたねぇぇ。
見かけて即撤去&文句を言いましたが、本人はなんか不満げだったのが印象的。
つーかおまえそれで専門家か(゚Д゚)ゴルア! と
# 勿論WEPも未使用で....ばれるとアレなのでAC
誠に申し訳ないのですが (スコア:1)
さらに誠に申し訳ないのですが (スコア:1)
なんて話題で盛り上がりましょうか?
Copyright (c) 2001-2014 Parsley, All rights reserved.
重ねて誠に申し訳ないのですが (スコア:0)
Re:誠に申し訳ないのですが (スコア:0)
すなわち (スコア:0)
管理職の要件に初級シスアドを (スコア:1)
少しはマシになると思われます....
# 逆に試験が簡単になったりして
notice : I ignore an anonymous contribution.
Re:管理職の要件に初級シスアドを (スコア:1, すばらしい洞察)
# 初級シスアドなんてロクに役に立たんし
Re:管理職の要件に初級シスアドを (スコア:1)
上司にこういうのがいます。
まあ元々電子系だったのが情報処理2種取ったのは確かに偉いけどさ、そのあと知識をまともに更新しなきゃだめじゃん。
#その上司が絡んだおかげでトピックみたいな恐怖のシステムを組むことになりそうだが......
#頼むから無線LANはIP FilteringとMAC AccessとESS-IDで充分なセキュリティが保てるなんて勘違いはやめてくれ......
#ついでに帯域4, 5Mbps消費するシステムを無線LANでやろうとか考えるな......
この手の資格で、まっとうな技術レベルで、2年程度で安価な資格更新試験が必要なのが出てくれるとほんの少し幸せになれるのかも。
Re:管理職の要件に初級シスアドを (スコア:1)
「お役所の管理職」には、そこまで期待してないです。(業者のリーダークラスに対しては要求しますが…[笑])
用語と、それが大雑把に何を意味するのか、だけでも理解してくれれば大分違います。
お役所には、PCとワープロ専用機とプリンタの区別が付かない化石のような人種がいまだに生存していますので....
# 『初級シスアド「でも」いいから学んでくれ』>化石共
# 化石相手なら前例踏襲の穴だらけのプランでも判子をついてくれるので楽でしょうけど[笑]
notice : I ignore an anonymous contribution.
Re:管理職の要件に初級シスアドを (スコア:0)
アビバとどっちが役に立ちますか?(w
Re:管理職の要件に初級シスアドを (スコア:0)
# 笑いのネタになるから
Re:管理職の要件に初級シスアドを (スコア:1)
>パソコンに、「ハリー・ポッター」などの映画やドラマ、アイドルの
>ビデオなど多くの不正コピーソフトが蓄積されていた。
>映画ソフトなどについては、同課の係長のパソコン内のもので、
>係長は「私的に利用していた。申し訳ない」と話した。
情報セキュリティ以前の問題だと思うなあ・・・
#仕事してるのか?!
どうやって調べたんだろう? (スコア:1)
Windowsで共有されていたということなんだろうと思うのですが,
どうやって調べたんでしょう?
私の頭の中には電波法違反とか不正アクセス防止法違反
という文字がちらついて離れないのですが………
## 先方に了解取ってからやったのかなぁ?
Re:どうやって調べたんだろう? (スコア:2, すばらしい洞察)
> 特定の相手方に対して行われる無線通信を傍受して
> その存在若しくは内容を漏らし、又はこれを窃用してはならない。
WEP無しの垂れ流し、さらに共有掛けていた以上は
「特定の相手方」と判断出来なかったり。
Re:どうやって調べたんだろう? (スコア:1)
>という文字がちらついて離れないのですが………
やっぱり問われるんでしょうかね?
「ネット上に暗号化もせずに放置」ってことは例の「TBC個人情報だだもれ事件」と同じようなものかなあ、と思ったのですが、物理的に接近して傍受してると扱いが違うんでしょうか?
どなたか詳しい方解説きぼんぬ。(←解説を希望します、という意味の方言)
Re:どうやって調べたんだろう? (スコア:0)
○ 不正アクセス禁止法 [google.co.jp]
Re:どうやって調べたんだろう? (スコア:0)
それ以前に、共有ファイルの出所がMXだかnyだかDeCSSだか知らんけど、そんな知識を手に入れる以前にもっと他の知識を手に入れなきゃいかん様な気もするけどな。
お役所PCのファイルって (スコア:0)
Windows9XでCやDドライブを共有(パスワード無し)とか。
ネットワークに入られたのみならず、ファイル見放題と
いうのはそらおそろしい話ですね。
怖すぎてAC
Re:管理職の要件に初級シスアドを (スコア:0)
>ビデオなど多くの不正コピーソフトが蓄積されていた。
>映画ソフトなどについては、同課の係長のパソコン内のもので、
>係長は「私的に利用していた。申し訳ない」と話した。
職場でMXしてたの?
それともny?
Re:管理職の要件に初級シスアドを (スコア:0)
価値はあると思いますよ (スコア:1, 興味深い)
協力が不可欠なのだから、無駄にはならないと思いますよ。
逆に「素人はすっこんでろ」「中途半端に知識をつけると却って面倒」等というのは管理者・技術者の甘えでしょう
Re:管理職の要件に初級シスアドを (スコア:0)
Re:管理職の要件に初級シスアドを (スコア:0)
Re:管理職の要件に初級シスアドを (スコア:1, すばらしい洞察)
市民の立場から責任を問うべき相手は、役所で間違いないと思います。
もちろん、適切な仕事をする業者を選ばなかった責任もコミで。
請負業者の責任を問うのは、発注者(役所)の仕事。
あと、業界の立場から、杜撰な仕事をする同業者の責任を問うのもアリですが。
#スラドは市民の立場?業界の立場?さあどっち?
Re:管理職の要件に初級シスアドを (スコア:0)
自称市民、いわゆるクソサヨ系プロ市民によって乱用(濫用?)された言葉は
避けたほうがいいと思った。
彼らの「市民的感覚」は、かなりあやしい。
そして、活動として目立つNGO/NPOはそんなんばっかりなのが悲しい。
Re:管理職の要件に初級シスアドを (スコア:0)
Re:管理職の要件に初級シスアドを (スコア:2, 興味深い)
基本要求要件の応札としてのネットワークの仕様書をみせてもらったことがあるのですが、VLANやWEPの概念など何もあったものではありませんでした。 当然指摘しましたけど、業者の担当者は馬耳東風。 基本要求要件に書かれていない事はどうでもいい、という態度。
例えばVLANについては単にL3スィッチのネットワークセグメントのルーティング単位として機能しているだけで、実情はどこのネットワークとも通信できる状態だったりする。
私の教官を通して業者へ質問を投げたところ、業者から「問題ない」という回答。何が問題ないのか具体的な説明もなく、その案件はそのまま通ってしまった。
役人ばかり批判されているけれど、業者の中にも本当にダメダメな所が多いのではないかと思う。
これ以上具体的な話をしだすと私が誰か分かる人には分かるし、立場上やばいのでACで勘弁。
Re:管理職の要件に初級シスアドを (スコア:0)
Re:管理職の要件に初級シスアドを (スコア:0)
Re:管理職の要件に初級シスアドを (スコア:0)
自己防衛のために、ガチガチに書こうとすると、「自分の裁量の枠組みが狭まる」ことを恐れて、「書かせない」「打ち合わせに参加しない(=後
Re:管理職の要件に初級シスアドを (スコア:0)
> VLANやWEPの概念など何もあったものではありませんでした。 当然指摘しましたけど、
> 業者の担当者は馬耳東風。基本要求要件に書かれていない事はどうでもい
Re:管理職の要件に初級シスアドを (スコア:1)
>すれば、仕様にない要件を提案しても費用がかさむだけです。
>#下手すると技術審査落ちするかもしれないし...
その要求仕様を書いているのは誰?
はい、別の業者さんですね。
Re:管理職の要件に初級シスアドを (スコア:0)
> それは要求仕様にそういう要件を書かないからです。入札する側からすれば、仕様にない要件を提案しても費用がかさむだけです。
> #下手すると技術審査落ちするかもしれないし...
要求仕
Re:管理職の要件に初級シスアドを (スコア:0)
> でもね、世の中のSI屋さん 追加料金が発生しない程度の設定変更とかでより良いのが
> 納入できる時は提案するのが良心だと思うのですけどね。まだ出会った事が無い。
より広く募集をかけて多くのSI業者に入札参加を促すというぐらいしか思いつきません。
Re:管理職の要件に初級シスアドを (スコア:0)
趣旨は賛成ですが, 現状のシスアドが合っているかというと…
# 学校出や資格持ちで、安易に「ああ、自分は知ってますから」的な考えで何も学ばず何も変わらずな人が怖い。
Re:管理職の要件に初級シスアドを (スコア:1)
その為に『強制的に』学んでもらおうと…
# 出世の条件として組み込めば嫌でも憶えるでしょ?(講習費用は我々の税金なんだけど)
>現状のシスアドが合っているかというと…
あんまし合ってないけど、他に使えそうな資格が無い....
「利用者側がチェックするための公的な資格」って他になさそうなので。
>安易に「ああ、自分は
古人いわく『馬鹿につける薬はない』
セキュリティに穴のある仕様書に受領印押した管理職に責任取らせるのが一番の薬か?
# 資格再取得まで降格、とか。
notice : I ignore an anonymous contribution.
無線は危険,有線は安全 (スコア:1)
結局のところ,有線にしろ無線にしろ,安全を確保する方策は大して
変わらないと思うのですけどね.
私の印象ではIPsecをかけた無線LANなら,暗号化していない
有線LANによりもマシだと思うのですが…
有線の場合,IPsecをハードウェアで処理できるNICが増えているのだから,
個人情報を扱うような部署ではIPsecが常識になって欲しいなぁ.
Re:無線は危険,有線は安全 (スコア:0)
等という誤ったメッセージが伝わらないかどうか不安です.
無線の方が危険なのは明らかだが。どこが「誤り」?
結局のところ,有線にしろ無線にしろ,安全を確保する方策は大して
変わらないと思うのですけどね.
それでは
・有線でWEPを使う方法を述べよ
・無線でIPsecを使う方法を述べよ
Re:無線は危険,有線は安全 (スコア:1)
鼻血出てますよ。
ティッシュ(・∀・)ノ◇ ドゾー
建物全体を有線のみでカバーしていても、公共スペースの陰にハブが一個
おいてあったりしたら、誰かがそこに小さなLinux Box一個くっつけることなんて
WEP解読するより簡単です。
すべてにおいてIPSecで固めていても、ホストのセキュリティが甘くて
Trojan放り込まれたり、それこそ、サーバ室の鍵がシリンダーロックで
簡単にピッキングできるようであれば、物理的にHDD抜き取られてダンプ
取られる可能性だってあるし。
# 結局はポリシーの問題、っていう陳腐な結論に収束します。
Re:無線は危険,有線は安全 (スコア:0, 参考になる)
>無線の方が危険なのは明らかだが。どこが「誤り」?
は同意します。
でも、データリンク層上位においての「危険性」を論じるならば、同意しかねますね。
例:
「当サイトではSSLによって通信を暗号化していますから、お客様の個人情報は安全です。」 は、アプリケーションのデータのやりとりにおける、第三者の傍受について
Re:無線は危険,有線は安全 (スコア:0)
WEP=Wired Equivalent Privacy
佐藤文一・経済産業省情報システム厚生課長補佐賛江 (スコア:0)
そりゃ放っておけば色々な所から有意義な指摘がたくさん来て簡単に調べが付くだろうけどナァ
役所のネットワークをいじる人って (スコア:0)
業者がそれをやっているにもかかわらず、というような事は無いよなぁ、と信じたいのですけど実際はどうなのでしょう?
Re:役所のネットワークをいじる人って (スコア:2, 参考になる)
者には手に追えない問題ですね。設計運用にポリシー設定もない
ので、仕様にだって盛り込みようがないというのが現実かと。
設計やヒアリングにつき合っても、それがお金になるわけではな
いですし、受注が取れる保証もない。それで仕様には他社が入れ
ない仕込みをしたりするのですが、最近はそこまでコストをかけ
ることさえも出来なかったりするようです。
発注側にエキスパートがいるか、設計や運用費用を計上してくれ
ないとどうにもならないですよ。仕事でのつき合いはボランティ
アじゃないんだし、ボランティアするなら担当者の PC 環境を面
倒見てやるほうが効果が高いですしね... それが役場の現実です。
そのへんの会社とか学校と何も変わらないのですよ。むしろ業者
的には納品レベルでは楽かもね。値段さえ下へくぐれば取れる物
件も多いですし。後の面倒や担当フォローがイヤだけどね。他社
提案をさらったのであれば、仕様通り納品していますので通せる
しね...
Re:役所のネットワークをいじる人って (スコア:0)
# サービスでよりよくするなんて考えちゃ出入り禁止よ。
Re:役所のネットワークをいじる人って (スコア:0)
その一文で全てが分かっちゃうのが切ないというか、なんというか。