パスワードを忘れた？ アカウント作成
Close
7239 story

SSLを採用したSoftEther Beta3リリース 118

ストーリー by Oliver
live-or-die-with-it 部門より

znc 曰く、 "ここ数年では最凶クラスのVPNソフトと評判のSoftEtherですが、2004/01/14よりBeta3の配布を開始するとの事です。今回のバージョンからは暗号通信プロトコルにSSLを採用し、Keep Aliveパケットの仮想HUB側からの発信やProxy/SOCKS/SSH経由接続に対応したセション再接続機能など使い勝手が向上している様です。
企業ではSoftEther禁止令の発動やダウンロードページ・公開HUBへのアクセス禁止、SoftEtherを名指しして規制対象にしているFWソフトの登場など周辺もにぎやかになってきています。今回のバージョンはSSL対応という事で今までの規制方法では対応できない可能性がありますが、各企業・FWベンダはどう対応していくのでしょうか…"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

SSLを採用したSoftEther Beta3リリース More

  • One Point Wall SoftEther はどうなるの？ (スコア:3, 興味深い)

    by mass (8786) on 2004年01月13日 19時54分 (#471348)
    タレコミにもリンクがありますが、1月27日発売予定の
    One Point Wall SoftEther [netagent.co.jp] はどうなるんでしょうね。
    パケット内容を見てブロックしているそうなので、
    従来の SoftEther プロトコルの開始文字を見ていると
    思われるのですが、SSL 化によって完全に https と
    見分けがつかなくなるはずです。

    旧版のみ対応、とかそういう但し書きがついて
    発売を強行するのでしょうか……

  • SoftEtherが危険というのは．．． (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2004年01月13日 20時39分 (#471384)
    たしかに数多くあるVPNソフトをさしおいてSoftEtherが
    特別に危険というのは偏見かもしれないのですが、企業組織
    などの管理者にやさしい、柔軟に様々なレベルのセキュリティ
    ポリシーに適応させることのできる、別の意味での柔軟さが
    求められると思います。
    場合によってはWinnyのように厄介者扱いされることにも
    なりかねないように思います。
    「ユーザにAdministrator権限をあたえなければいいだけだ」
    というのも、セキュリティはそんなに単純じゃないとか理想
    論にすぎないじゃないかと現場の声が聞こえてくるのは空耳
    ではないと思うのですが。

    • Re:SoftEtherが危険というのは．．． (スコア:3, すばらしい洞察)

      by Anonymous Coward on 2004年01月13日 21時10分 (#471409)
      >柔軟に様々なレベルのセキュリティ
      >ポリシーに適応させることのできる、別の意味での柔軟さが
      >求められると思います。

      SoftEtherを使ってることがあえてわかるようなセッションの張り方してもらえないですかねぇ。技術的にそれを隠蔽することが可能ってことはみんなわかってるです。わかるんだけどさ……。

      紳士協定みたいなのを汲み取ってほしーなー＞作者様。

      SoftEtherは優れたソフトだと思います。だから、こんなことで厄介もの（名前だけで使用禁止にされるような）扱いされて欲しくありません。これからも開発を続けて欲しいし、どんどん高機能になっていくのが楽しみです。

      ネットワークユーザからもネットワーク管理者からも「扱いやすい」ソフトウェアこそ、大きく広まる有用なソフトと言えるんじゃないでしょうか。

      # なんとなくAC
      シェア
      親コメント
      • ＞SoftEtherを使ってることがあえてわかるようなセッションの張り方してもらえないですかねぇ。技術的にそれを隠蔽することが可能ってことはみんなわかってるです。わかるんだけどさ……。
        ＞紳士協定みたいなのを汲み取ってほしーなー＞作者様。

        　発想が根本から違うと思う。
        　単に、新たな通信手段をユーザに提供しただけで、これが問題になるとすれば、元から大穴が空いていたということ。
        　ユーザ操作で可能なことは、殆ど、ウィルスやワームで可能なことであり、むしろ、アングラ化、特にウィルス化して氾濫する前に、穴を塞ぐ機会が出来たことを喜ぶべきかと。
        --
        -- Buy It When You Found It --
        シェア
        親コメント
      • >紳士協定みたいなのを汲み取ってほしーなー＞作者様

        そこらへんのバランス感覚がないのが非難される所以なのですが、
        ないからこそこういうソフトを作れたわけで……

        誰かBayesian Filteringとか使ってキラー作ってくれないかな……

        • Re:SoftEtherが危険というのは．．． (スコア:2, すばらしい洞察)

          by Anonymous Coward on 2004年01月13日 21時43分 (#471448)
          紳士協定なんて意味ないですよ。
          SoftEther がソース公開した時点でそこを改変したツールが出回るだけですから。
          # ソース公開は実施計画書に明記されていることなので、いずれ実施されるはずです。

          次期バージョンの SoftEther に管理ツールをつけて、
          同一セグメント上の SoftEther の存在を発見・管理できるようにする、
          というアイデアを登さんはもっていらっしゃるようなのですが
          それもソースをちょっと改変すればどうにでもなることなので
          そういう方向性は何か違う気がしています。

          結局は、本質的に Firewall だけでどうにかできる問題じゃない、
          というのが動かしがたい真実なのではないのでしょうか。
          今までは、たまたま顕在化していなかっただけで、
          現在のネットワークの仕組みにずっと存在していた問題でしょう。
          SoftEther が特別な手段を講じているわけでは決してありませんし、
          第２・第３の同様のツールはすぐに出てきそうです。

          対策コストを考えると頭が痛くなりますけどね……。
          まずは、Admin 権限がないと実行できないような
          不良アプリの撲滅からはじめないといけませんか。
          シェア
          親コメント

          • Re:SoftEtherが危険というのは．．． (スコア:1, すばらしい洞察)

            by Anonymous Coward on 2004年01月13日 21時48分 (#471457)
            全く同意です。

            > 結局は、本質的に Firewall だけでどうにかできる問題じゃない、
            > というのが動かしがたい真実なのではないのでしょうか。
            > 今までは、たまたま顕在化していなかっただけで、
            > 現在のネットワークの仕組みにずっと存在していた問題でしょう。
            > SoftEther が特別な手段を講じているわけでは決してありませし、
            > 第２・第３の同様のツールはすぐに出てきそうです。

            上手くかけなくて困っていたところです。実際いくつかのVPN技術
            を比較しているのですが、いずれにせよ、
            従来のようなLANに対するセキュリティの問題点が
            浮き彫りになったように感じられます。

            SoftEtherの作者はこれを作った。それ（セキュリティ）を
            考えるのはまた別の人、、てところですかね。今までも
            そうやってやってきたんだし。
            シェア
            親コメント
          • 結局、１利用者にadmin権限を与えないといけないような
            Windowsで動く行儀の悪いソフト達の存在、それを
            許してきたWindows使いと開発者の無知と怠慢が問題なのでは
            ないでしょうか。

            WindowsNT以降、OSとしてはUNIXのようなアクセス権・実行権
            などの概念を持ったユーザモデル(こういう言い方でいいんだろうか?)
            が組み込まれたにも関わらず、多くのソフトウェア開発者は
            アクセス権なんぞお構いなしの旧来のユーザモデルに基づいた
            ソフトウェアを作り続けました。

            ユーザ＝マシン管理者であった牧歌的な時代であればこれで良かったの
            でしょうが、今やPCは必ずしも'Personal'なものとは言えません。
            むしろ、企業などにおける、守られるべき様々な財産にアクセスできる
            PCは'Public Computer'と呼ぶべきでしょう。それにインストール
            されるソフトウェアもPCが'Personal'なものであった時代と同じ
            ではマズイのではないでしょうか。

            願わくは、今回の出来事をきっかけに、もう少し多くのマルチユーザ
            環境に考慮したWindowsソフトウェアが作られるようになって欲しいものです。

            今回のSoftEther騒動の肝はVPNやレイヤー2がどうこうじゃなくて、
            Windows周りのこういういろいろなものの管理不備の問題なんだと
            思います。それ以上のものではありません。
            シェア
            親コメント
          • > 紳士協定なんて意味ないですよ。
            > SoftEther がソース公開した時点でそこを改変したツールが出回るだけですから。

            ソースを改変できるくらいの技術があれば他に方法はいくらでもあるので、SoftEtherについて議論することこそ意味ないと思います。それほどの技術を持たない人に限定した議論では、紳士協定も意味を持つことがあるかもしれないと考えましたが、それも

            > 第２・第３の同様のツールはすぐに出てきそうです。

            という事態になるまでの時間稼ぎでしょうね。初心者にも解りやすいソフトが出てきた時点で後戻りできないことは決まっていたのでしょう。

            初心者をいかに思いとどまらせるかという観点で考えれば、
            「SoftEtherをネットワーク管理者の許可を得ずに使うことは犯罪です。」（使用許諾違反)
            くらい強い文言は公式サイトの良く見える場所にあっても言いと思います。
            シェア
            親コメント
          • >まずは、Admin 権限がないと実行できないような
            >不良アプリの撲滅からはじめないといけませんか。

            とは言っても、事実SysフォルダにDllをぶち込まなきゃ
            動かない有用なソフトも多々ありそうなわけで、
            難しいところがあると思います。

            有用なオンラインソフトが使えないならば、業務に
            支障（というか遅延やら負担）が出るのは必死。

            ならば、いっそWin環境と比べてまだ、気
        • とすると、James Yonan も非難されちゃうのかなぁ。
          いち早く、SSL化/HTTP proxy対応してたけど。
        • モラルのない技術者≒キチガイに刃物　ですな。

          ＃言葉狩りのマイナスモデなら謹んで遠慮しておく。
          • ＞モラルのない技術者≒キチガイに刃物　ですな。

            つーか、作者が組織内の責任ある立場においてネットワーク管理を
            したことがない、単なるバカガキというこった。

            いずれこのようなソフトは出回ることは判っていても、影響力を
            考えた場合は対応策思いつくまで踏み止まるだろうよ、良識ある
            管理経験者なら。

    • Re:SoftEtherが危険というのは．．． (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2004年01月13日 21時13分 (#471414)
      ＞数多くあるVPNソフトをさしおいてSoftEtherが特別に危険というのは偏見かもしれないのですが

      一般的なVPNソフトというのは「管理者が設置して」使用するものですが、SoftEtherは「ユーザでも（管理者の監視をかいくぐって）設置できる」のですから「特別に危険」というのはあながち偏見とも言えないでしょう。
      SoftEtherが「唯一特別に危険なソフト」ではないかもしれませんが。

      元々がPolicy Violationを企図したものですし、レイヤ2レベルでダダ漏れさせるという事は、トラフィックに対してPolicyもへったくれも無い（通すか通さないかの二者択一しか無い）のですから、管理する側からすれば危険であるというのは間違い無い。
      銃器や刃物のように、危険であっても利用価値のあるものもある訳ですから、「危険＝絶対使用不可」では無いでしょうが、危険と承知の上で使うか使わないかを判断すべきですね。

      シェア
      親コメント
      • 上のコメント [srad.jp]に対する作者の意見が聞いてみたい。
        やっぱり「危険視するのは間違っています」と言うんだろうか？
        シェア
        親コメント
      • > レイヤ2レベルでダダ漏れさせる（中略）Policyもへったくれも無い
        ？？どういう意味ですか？
        管理者が VPN として使いたいときもコントロールできないってことですか？

        SoftEther 自体は仮想 LAN カードとして振舞うだけなので
        ダダ漏れするのはブリッジ接続しているのが問題なのでは？
        ルータとしてちゃんと設定すれば、普通に使えると思いますが……

        ユーザが勝手にブリッ
    • 場合によってはWinnyのように厄介者扱いされることにも
      なりかねないように思います。
      もう手遅れじゃない？

  • 社内通達 (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2004年01月13日 22時17分 (#471490)

    セキュリティ強化、情報漏洩防止のため、以下のプロトコルを
    使用禁止とします。

    ・HTTP
    ・HTTPS

    なお、FTP/SMTP/POP3/IMAPなどのプロトコルについては従来通り禁止とします。

    　　　　　2004/0x/xx　セキュリティ管理部門


    便利になるどころかどんどん制限が多くなっていくのだろうなぁ

    • Re:社内通達 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2004年01月13日 22時30分 (#471507)
      >便利になるどころかどんどん制限が多くなっていくのだろうなぁ
      別に仕事場だったらいいんじゃない?
      家庭で禁止されるならいやだけど。
      口先ばかりの通達を何度も繰り返されるなら、きちんとシステム的に塞いだ方が良いと思う。

      #一部の通達を守れていないのでAC
      シェア
      親コメント

  • SSL対策が仮に出来たとして (スコア:0)

    by Anonymous Coward on 2004年01月13日 21時08分 (#471406)
    次はIPSecに対応する罠。

    ＃ネタなのでAC
    • > 次はIPSecに対応する罠。

      IPSec だとフィルタリングで簡単にはじけますよね。

      そもそもそれ以前に、テキトーなルータだとどう設定しても IPSec が通らないという事実の方がよっぽど罠っぽい……
      シェア
      親コメント
    • クライアント同士がEnd-EndでIPSec使うような場面はかなり限られて来ますから、そっちの方がフィルタリングしやすいかと。
      SSLは「塞ぐとクライアントに影響が大きい」という意味で困ったちゃんな訳で・・・
      • となるとSSLも今後は宛先登録制になるのですかね？
        サイトアドレスの登録をどこかの一般サイトに依存するか、
        もしくはファイヤーウォール系のメーカーに依存するか、
        自前で登録するか、などのような。

        まあ会社ならSSL通信が必要なサイトは事前申請という運用で可能かな？
        面倒なのは最初だけかもしれませんし。
        • IPベースだと akamai を利用している WindowsUpdate の対応が大変なので、
          接続先が正しいサイト証明書を持っているかどうかでとりあえず
          フィルタリングできないでしょうかね。
          コネクションが張れるまでやたら重くなりそうですけど。

          発行者を基にフィルタリングするようにするとか……
          そういう FW 製品って存在するのでしょうか。
typodupeerror

アレゲは一日にしてならず -- アレゲ研究家