すべてのフェーズでミスが重なった ―全銀ネットとNTTデータ⁠⁠、全銀システム通信障害の詳細を説明 全国銀行資金決済ネットワーク（以下、全銀ネット）とNTTデータは12月1日、2023年10月10日～11日にかけて全国銀行データ通信システム（以下、全銀システム）で発生した通信障害に関する報道関係者向けの説明会を開催しました。本件についてはNTTデータが11月6日に行った途中経過報告の内容をもとにレポートしましたが、今回、全銀ネットとNTTデータが揃って会見を行ったことで、より詳細な障害の原因が判明したので、あらためてその内容を検証してみたいと思います。 説明会の登壇者。左から、全銀ネット 企画部長 千葉雄一氏、事務局長兼業務部長 小林健一氏、理事長 辻松雄氏、NTTデータ 代表取締役社長佐々木 裕氏、取締役副社長執行役員 鈴木正範氏 なお、全銀ネットとNTTデータは、今回の障害に関して金融

バグは“数千パターンのテスト”をすり抜けた ―NTTデータ「2023/10/10 全銀ネット障害」について説明 NTTデータグループは2023年11月6日、10月10日に発生した全国銀行データ通信システムの障害に関する記者説明会を実施、現時点で判明している障害の概要について説明を行うとともに、再発防止策に向けたタスクフォースの設立などについて明らかにしました。会見の冒頭、NTTデータグループ 代表取締役社長 本間洋氏は、今回の障害により全国の預金者や金融機関をはじめとする社会全体に大きな混乱をもたらしたことを謝罪し、今後の原因究明と再発防止に向け、全国銀行試験決済ネットワーク（以下、全銀ネット）とともに全力をかけて取り組むことを明言していました。 本記事では会見の内容をもとに、現時点で判明している10月10日の事故の原因についてレポートします。 2023年10月10日 ―なにが起こったのか

2019年9月26日紙版発売 2019年9月26日電子版発売 林高勲　著，川合秀実　監修 B5変形判／736ページ 定価4,048円（本体3,680円＋税10%） ISBN 978-4-297-10847-2 Gihyo Direct Amazon 楽天ブックス honto ヨドバシ.com 電子版 Gihyo Digital Publishing Amazon Kindle ブックライブ 楽天kobo 本書のサポートページサンプルファイルのダウンロードや正誤表など この本の概要 現在広く普及している，x86系CPU搭載のコンピュータ。 本書はOSの機能を実装しながら，その姿を明らかにしていきます。 第1部ではまず，ハードウェア，ソフトウェアの基本概念や，CPUとOSの関係など，コンピュータの核となる理論を丁寧に解説します。 第2部では，x86系コンピュータに対象を絞り，レジスタの構成や，

長かった法廷闘争がようやく本当に幕を閉じた。2月26日（米国時間⁠）⁠、米ユタ連邦裁判所は2003年から続いていたThe SCO Group（すでに破産）とIBMの一連の係争への最終通告となる文書を公開、SCOからIBMに対する訴えのすべてを棄却するとの判決を両者が受け入れたことを発表した。2月9日にSCO側とIBMに対してなされた通告の回答期限が26日だったことを受けての発表となる。 Groklaw - SCO v. IBM 1162（PDFファイル） SCOが「IBMはSCOの知的財産（UNIXソースコード）を不当に開示して利益を上げている。GNUやLinuxはSCOの知的財産を不法に引用し、成長しようとしている」というトンデモ主張を勢いよく掲げ、SCOがユタ州の地方裁判所に最初の訴えを起こしたのが2003年3月のこと。以来、何度も「お前（SCO）の負け」という判決をつきつけられ、つい

2013年8月22日紙版発売 2013年8月22日電子版発売 愛甲健二　著 A5判／320ページ 定価3,058円（本体2,780円＋税10%） ISBN 978-4-7741-5918-8 ただいま弊社在庫はございません。 Amazon 楽天ブックス honto ヨドバシ.com 電子版 Gihyo Digital Publishing Amazon Kindle 楽天kobo この本の概要 「シューティングゲームをチートから守るには？」 「リバースエンジニアリングされないためには？」 「脆弱性を見つけ，権限を奪取するには？」 普通のプログラミングだけでは意識しない低レイヤーの世界は，コンピュータを自在に操れる楽しさでいっぱい。アセンブラの読み方から最新の応用事例まで，技術と考え方が実例を通じてわかります。 こんな方におすすめ コンピュータの仕組み／低レイヤーに興味がある方 セキュリティ

2010年9月24日・25日に開催された「PHPカンファレンス2010」にあわせて、PHP開発者のRasmus Lerdorf氏が来日されました。日本を訪れるのは2度目という氏に、PHPの現状とその根底にある思想についてお話を聞きました。 現在の仕事について 大垣：昨年 Yahoo! Inc.を退職されましたね。現在はどのような仕事をされているのでしょうか？ Rasmus：WePayという起業したばかり小さな会社にいます。WePayはカリフォルニアにある、グループで支払いを行う処理を行うベンチャー会社です。 大垣：グループで支払いを行う、というのは、どういうことですか？ Rasmus：グループで何かを買いたいときに、グループとしてお金を管理したいですよね。例えば、大学で学生が集まってプレゼントを買いたいという場合があります。どんなものでも構わないですが、10人が集まって共同でオンラインショ

文字コードが引き起こす問題点は、これまで説明したような比較の一致・不一致といったソフトウェアの処理上のものだけでなく、人間に対する視覚的な効果という点でも強く影響を与え、攻撃者にとっての強力な道具となることがあります。 今回および次回で、そのような文字コードが引き起こす視覚的な問題点を紹介します。 視覚的に似た文字 見かけのよく似た文字は、フィッシングなどによく利用されます。典型的な例としては、アルファベット小文字のl（エル）と数字の1などがあります。たとえば、http://bank1.example.jp/ というURLのオンラインバンクがあったとすると、攻撃者は http://bankl.example.jp/ というURLを使ってフィッシングを企むということは容易に想像できると思います。 もちろん、収録している文字数が増えれば増えるだけ、このように見かけのよく似た文字が存在する率も高

文字コードが引き起こすセキュリティ上の問題として、もっとも興味深いもののひとつである、Unicodeから他の文字コードへの「多対一の変換」で引き起こされる問題点について、今回と次回で説明します。 ご存じのとおり、Unicodeには非常に多数の文字が収録されていますが（現在最新版のUnicode 5.1.0では100,713文字が収録されているそうです⁠）⁠、Unicodeから他の文字コードへの変換においては、互換性や可読性の維持のためか、複数のUnicodeの文字が他の文字コードでは単一の文字に変換されることがあります。 この「多対一」の変換が、開発者も想定していなかったような問題を引き起こす原因となることが多々あります。 具体的な例として、Windows上でのUnicodeからの変換について説明します。 Windows上でのUnicodeからShift_JISへの変換 Windows上で

今回は、「⁠不正なバイト列の埋め込み」という攻撃方法について紹介します。 文字列を入力とするソフトウェアにはさまざまなものがありますが、それらの処理系によっては、入力として与えた文字列中に、その文字コード上は不正となるようなバイト列を埋め込んでいたときに、それらのバイト列が無視されたり、想定外の文字に変換されてしまうことがあります。 たとえば、とあるソフトウェアにて （1) 処理A ＝ 文字列中に特定の文字（あるいは文字列）が含まれていないか検査 （2) 処理B ＝ 処理Aから受け取ったデータを処理。その際に不正なバイト列が無視あるいは別の文字に変換される という流れになっていた場合、後続の処理にて本来はフィルタリングされるべき文字列が含まれてしまうことになります。 このような流れを引き起こす具体的な例をいくつか紹介します。 Mozilla Firefoxにおける0x80の無視 Mozil

今回は、文字コードに関連するセキュリティの話題では古参ともいえるUTF-8の冗長なエンコードというテーマについて紹介します。 UTF-8とは UTF-8は、各文字を1～4バイトの可変長で表現するUnicodeの符号化方式のひとつです。 U＋0000からU＋007Fの範囲の文字を0x00から0x7Fの1バイトで表現しているため、US-ASCIIと互換性がある、バイト列の途中からでも文字の先頭バイトを簡単に検出できる、多バイト文字の途中に0x00や0x5C（\⁠）⁠、0x2F（/）などが現れない、などの特徴があります。 UTF-8での文字のビットパターンは表1のようになります。 表1　UTF-8でのビットパターン

被害範囲の拡大 今回は最終回ということで、Webのセキュリティがどのように変化しているのか、また今後どのように変化していくのかということを考えてみます。 Web2.0という言葉が生まれてから、いろいろなものがWebを用いて提供されるようになってきました。従来のように、ブラウザを起動しアドレスを打ち込み、Webサーバにアクセスするという形態だけではなくなっています。さまざまな場面でWebが使われるようになっており、中にはユーザが気づかない所で使われていることもあります。ここでは、見落とされがちな部分を中心にいくつか例を挙げて説明していきます。 デスクトップとの連携 Googleデスクトップ（図1）は、ユーザのPC内のファイルやネットワーク共有されているファイルを検索できるソフトウェアです。これによりGoogleが持つ強力な検索機能をユーザPC内のファイルに対しても適用することができるようにな

ガジェットは小物か？ ガジェットやウィジェットという言葉を聞いたことがあるでしょうか。デスクトップやWebに表示された時計やカレンダーのような小さなソフトウェアのことです。大規模なことを行うソフトウェアではなく、かゆい所に手が届く小物といった位置づけです。HTMLやJavaScriptを使って作られるため、開発もインストールも容易であることが広まった理由だと思います。元々は、「⁠Window + Gadget = Widget」という関係にあったようですが、現在はどちらも同じ意味で使われることが多くなっています。そのため、この記事でも同じ意味として用いることにします。 Windows VistaではWindowsサイドバーという名称でデフォルトでインストールされています。図1の画面右側に表示されているのがサイドバーで、1つ1つのパーツをガジェットと呼びます。 図1　Windowsサイドバー

RSSでWebページの更新情報を提供することが多くなりました。ブログソフトウェアやCMS（コンテンツ管理システム）では自動的にRSSフィードを生成してくれます。また、RSS情報を取得し見やすく整形して表示するRSSリーダーを使用してWebサイトの巡回をしている人も多いと思います。今回は、RSSフィードを提供する場合のセキュリティとRSSリーダーのセキュリティについて考えていきます。 RSSフィードのフォーマット RSSにはいくつかのバージョンが存在します。RSS1.0、RSS2.0、Atomがよく使われています。たとえばRSS2.0は以下のようなXML形式のファイルです。このようなRSSフィードをWebサイト運営者が作成し、RSSリーダーがRSSフィードを読み込み、整形して表示するという流れになります。 <?xml version="1.0" encoding="utf-8"?> <rss

今回は、ブログサービスを提供する場合のセキュリティを考えてみます。ブログには前回説明したWikiと似ている部分がありますので、共通点と相違点という観点から見ていきたいと思います。 Wikiとブログの共通点 両者の共通点はユーザ参加型、つまりユーザにHTMLを編集させるという点です。そのため、ブログにおける懸念事項やそれに対するセキュリティ要件もWikiと似ています。 Wikiで使われるWiki記法は、セキュリティを確保する一方で表現の自由度が落ちるという欠点がありました。ブログの場合は、より幅の広い表現ができたほうがユーザの満足度も高くなり、多くのブログユーザを獲得できるため、表現の自由度を落としたくはありません。そのためHTMLを直接編集する機能も備えておきたいというケースもあると思います。さらにスクリプトも許可したいケースもあると思います。しかしどんなHTMLやスクリプトでも許可するわ

○:実行される ×:実行されない (バージョンは執筆時点での最新版, OSはWindows XP) ご覧のとおり、ブラウザによって異なる結果になっています。HTMLの構文解析はブラウザによって解釈の異なる部分もあるため、解析しきれないというのが現実です。また、今後各ブラウザがいつ仕様変更されるかもわかりません。 次に以下をご覧ください。攻撃者は以下のようなHTMLを挿入してくることが考えられます。 <H2/onmouseover=alert('xss')>見出し</H2> <H2 onmouseover=alert('xss')>見出し</H2> <H2 style="{javascript:expression(alert('xss'))}">見出し</H2> <H2 style="{a:expression(alert('xss'))}">見出し</H2> <H2 style="{ja

マッシュアップサイトの仕組み 前回まで、WebAPIやJSONPのセキュリティについて見てきましたが、これらWebAPIやJSONPが活躍する場といえるのが、マッシュアップです。 マッシュアップとは、複数サイトの情報を組み合わせて1つのサービスを提供することで、新たな価値を生み出すことです。たとえば、地図情報と不動産情報を組み合わせることで、視覚効果の高い不動産検索サービスを提供するものなどがあります。 WebAPIという形で、情報にアクセスするためのインターフェースを提供する企業が増えたことで、簡単にマッシュアップサイトを作ることができるようになりました。 それではまず、マッシュアップサイトの仕組みを説明します。 図1　マッシュアップサイトのイメージ マッシュアップサイトを構成する元となる情報を提供するサイトをコンテンツプロバイダ、マッシュアップによって作られたサイトのことをマッシュアッ

WebAPIの公開 APIとは、何らかの機能を提供するプログラムのことです。WebAPIとは、Webで提供されたAPIということです。たとえば、地図データを提供するAPIや商品の検索結果を提供するAPIが有名です。なるべく多くの人にアクセスしてほしい情報を持っている企業は、WebAPIとして情報を提供することが多くなりました。WebAPIという便利なインターフェースを用意することで多くのユーザにアクセスしてもらい、広告ビジネス等につなげていくのが狙いです。 またWebAPIは、多くの形式に対応していたほうが、多くのユーザに利用してもらうことができるため、なるべく多くの出力形式に対応しようとする傾向があります。以前はSOAPという形式が多く使われていましたが、実装方法が煩雑であったため、現在ではREST、JSON、JSONPのように実装がシンプルな形式のものが多く使われています。 WebAP

世界最大のコンピュータセキュリティカンファレンス Black Hat 今回は少し脱線して、Black Hatというカンファレンスからおもしろいトピックをいくつか紹介したいと思います。 Black Hatはコンピュータセキュリティに関するカンファレンスとしては、世界最大クラスのカンファレンスです。2007年は8月1、2日にラスベガスで開催され、世界中から5,000人以上が参加したそうです。コンピュータセキュリティについて幅広く発表が行われ、その内容はカーネル、ネットワーク、フォレンジック、プライバシー等多岐に渡ります。 そうは言ってもこの連載でWebと関係のない話をするわけではなく、Webのセキュリティに焦点を当てて紹介していきます。2004年ごろからWebアプリケーションの話題が多くなっており、今年もApplication Securityという分野で一部屋が取られていました（今年は全部で

Flashを用いたクロスドメインアクセス 前回までは、クロスドメインアクセスを行うための方法として、リバースProxyを使う方法とJSONPを使う方法を紹介しましたが、どちらの方法も少し変わった方法だったと思います。なにか無理やりのように感じた方もいるのではないでしょうか。今回紹介するFlashを使った方法では前回までの方法とは違い、自然な形でクロスドメインアクセスを行うことができます。 Flashでは、呼び出される側で設定を行うことでクロスドメインアクセスが可能になります。 設定といっても非常に簡単で、呼び出される側のWebサーバにcrossdomain.xmlというファイルを設置するだけです。このときのURLは http://www.example.com/crossdomain.xml となります。 ファイルの内容は以下のようになります。 crossdomain.xmlの内容 <cr

JSONPの動作原理 前回はAjaxに存在するセキュリティモデルであるSame-Originポリシーを紹介し、そのSame-Originポリシーを迂回する方法とセキュリティについて見てきました。また、回避する方法の1つめとしてリバースProxyを用いた方法を紹介しました。リバースProxyを用いた方法ではセキュリティ的な問題点もありましたが、そもそもProxyサーバを用意しなければならないため、この方法は手軽に使うことはできませんでした。 そこで考え出されたのがJSONP（JavaScript Object Notation with Padding）という方法です。 それではまず簡単にJSONPについて説明します。 Ajaxで使われるXMLHttpRequestオブジェクトには前回説明したとおりSame-Originポリシーがありクロスドメインアクセスはできません。一方、SCRIPTタグ