Chromeデバイス上で、croutonを使うとChrome OSとLinuxを切り替えて利用できる。いちいち切り替えるのが面倒だという人に、GoogleのFrançois Beaufort氏がChrome OS画面の中でLinuxを動かすことが可能になる方法を伝授してくれた(G+)。Googleのインターンが、Chrome OSの一ウィンドウでCroutonが動作するようCrouton Chrome拡張を作ったそうだ。これで切り替えずにLinuxを利用できる。
ドイツの大学で学術研究開発の文書を作成するのにどれが効率が良いのかを見極めるため、LaTeXとMicrosoft Wordを比較したそうだ。調査用の文書にはシンプルな文書、表題付き表がある文書、数式がある複雑な文書を用いたそうだが、LaTeXユーザはWordユーザよりも書き上げるのが遅く、誤植、文法ミス、フォーマットエラーが多かったそうだ。しかも、熟達したLaTeXユーザはWordの初心者よりも悪かったそうだ。ただ、LaTeXユーザはソフトウェアを使うのを楽しんでいるとのこと。LaTeXを使う場合、経験豊かなユーザでさえ生産性が劣るという結論となった。
WYSIWYGの方がいいということかな...
1000万/秒のクエリを処理できるような高速なDNSサーバを作ろうという「robdns」。1000万というのは既存の高速なDNSサーバの10倍、BINDの100倍以上の能力らしい。ただ、GitHubのlatest commitを見ると、開発が進んでいるのか気になるところ。
これは高速なスーパースレーブDNSサーバで、インターネットにおいて絶えず攻撃にさらされることを念頭に設計されている。目的はファイアウォールの背後に隠されているマスターサーバを保護することである。主な特徴は、CPUコアあたり百万/秒のDNSクエリを処理できる内蔵カスタムTCP/IPスタックである。
現在、このツールはプロトタイプステージである。ポート53へのクエリを記録し、応答できるが、ダイナミックアップデートのような重要な機能はまだ無い。
Googleの2段階認証でFIDO U2Fセキュリティキーが使えるようになったので、セキュリティキーを登録してみた。セキュリティキーはYubicoから直接購入。価格は1個18ドル、送料5ドルを含め計23ドル、1週間程度で国際郵便で届く。セキュリティキーは、今のところChromeブラウザで利用する必要がある(Chromebookで実施)。セキュリティキーの登録は、Googleのアカウント設定のページ(https://myaccount.google.com)を開き、ログインしたのちログイン項目の2段階認証プロセスをクリックし、タブから「セキュリティキー」を選択する。
Cisco PressからIPルーティング本「IP Routing on Cisco IOS, IOS XE, and IOS XR: An Essential Guide to Understanding and Implementing IP Routing Protocols」が出版された(電子本が先行)。第3章のサンプルがある。
Part I Networking Fundamentals
Chapter 1 Introdcution to the Operation Systems
Chapter 2 IPv4 Addressing
Chapter 3 How a Router Works
Part II Routing Protocols
Chapter 4 Static Routing
Chapter 5 EIGRP
Chapter 6 OSPF
Chapter 7 Advanced OSPF
Chapter 8 IS-IS
Chapter 9 Advanced IS-IS
Chapter 10 Border Gateway Protocol (BGP)
Part III Advanced Routing Techniques
Chapter 11 Route Maps and Route Policy
Chapter 12 Advanced Route Manipulation
Chapter 13 Route Redistribution
Part IV Advanced BGP
Chapter 14 Advanced BGP
Chapter 15 BGP Best Path Selection
Part V Multicast
Chapter 16 IPv4 Multicast Routing
Chapter 17 Advanced IPv4 Multicast Routing
Part VI IPv6
Chapter 18 IPv6 Addressing
Chapter 19 IPv6 Routing
Chapter 20 IPv6 Multicast Routing
Part VII High Availability
Chapter 21 High Availability
Appendixes
Appendix A Decimal to Hex to Binary Values
Appendix B BGP Attributes
有料メールサービスを展開しているFastMailが、IMAPを置き換えることを目指しているメッセージアクセスプロトコル「JMAP」を開発している(Hacker News)。ステートレス、HTTP/JSONベースを特徴にしていて、一つのHTTPリクエストに複数のコマンドを塊(JSON)で送ることで効率よくしているそうだ。デモを見ると、IMAPより劇的に速くメールボックスの同期ができている。
シュナイアー氏がソニー・ハックへの今までの考えをまとめたエッセイをウォールストリートジャーナルに寄稿した。その超訳を。
今月はじめ、自身をガーディアンズ・オブ・ピース(平和の守護者)と名乗る謎のグループがソニー・ピクチャーズ・エンターテーメントのコンピュータシステムをハックし、未公開映画の情報、恥ずかしいメールの数々 (とりわけ、ソニー幹部のオバマ大統領の映画の好みについての人種差別的なメモ)、従業員の給与や勤務評定などの個人データなど、ハリウッドスタジオの機密情報の多く暴露し始めた。FBIは、北朝鮮が攻撃の背後にいるという証拠があると語り、そして、ハッカー集団がテロ脅迫したから、ソニー・ピクチャーズは北朝鮮の独裁者をパロッた映画「The Interview」の公開を延期した。
とても有名な企業の大規模なハッキングへの反応は、あなたがITセキュリティをよく知っているかどうかで決まってくる。あまり詳しくないなら、どうして世界でこんなことが起こったか不思議に思うだろう。詳しければ、このようなことがどんな企業でも起こっていることを知っているはずだ(ソニーが非常に簡単にハッキングされたことは驚きではあるが)。
ハッキングの出来事を理解するには、誰があなたの敵かを理解する必要がある。私は数十年間インターネットハッカーに取り組んできた(私の現在の仕事もそうだ)。そして、標的への攻撃と日和見的攻撃(opportunistic attacks)に分けられることが分かった。
攻撃者を「スキルと焦点」の2つの軸に沿って特徴付けることができる。ほとんどの攻撃 (世界中のネットワークで行われている攻撃の中で一般的なハッキングツールを使う人々)はスキルが低く、焦点もぼけている。これらの低レベルの攻撃は、誰かが引っ掛かって毒のリンクをクリックしてくれることを期待するというような、数百万のメールアドレスにスパムを送る行為も含んでいる。私は、それらをインターネットの背景放射のようなものと考えている。
高いスキルはあるが焦点がぼやけた攻撃はより深刻である。これらはソフトウェア、システムやネットワークのゼロデイ脆弱性を新しく発見するための洗練された攻撃を含んでいる。我々がかつて聞いたことがあるJPモルガン・チェイスや多くの商業ネットワークであったように、標的が影響を受ける攻撃の類である。
しかし、さらに恐ろしいのは高いスキルで焦点がはっきりしている攻撃で、今回のソニーへの攻撃のタイプである。これには、ReginやFlameといったスパイツールを使った国家諜報機関による洗練された攻撃も含んでいる。IT世界の疑わしいものの多くは米国によって作成されたものだし、マルウェアの一部にロシア政府が関与しているTurlaがある。そして、大規模なスパイ活動を行っていたGhostNetと呼ばれるマルウェアは、ダライ・ラマやアジアの政府系機関をスパイしており、私の同業者の多くは中国を非難している(我々はこれらの攻撃の発生源についてほとんど想定はつくが、政府はこの問題にコメントを拒絶している)。中国は2010年にもニューヨーク・タイムズの中でハッキングを試みたことを非難され、5月にエリック・ホルダー司法長官が米民間会社へのサイバー攻撃で中国人民開放軍将校5人の起訴を発表した。
このカテゴリーにはプライベートアクターやインターネットセキュリティベンダーHBGary Federalへのソニー風の攻撃を仕掛けたAnonymousと知られるハッカーグループ、AppleのiCloudから卑猥なセレブの写真を盗んで、掲示板に投稿した未知のハッカーらも含んでいる。もし、ITセキュリティの専門用語に「アドバンスド・パーシステント・スレット (APT攻撃)」を聞いた事があるなら、これがそれにあたる。
これらのハッキングには重要な違いがある。最初の2つのカテゴリーは、攻撃者がオポチュニストである。ホーム・デポのネットワークに侵入したハッカーは、ターゲットがホーム・デポであることを気をしていなかった。彼らは単に大量のクレジットカード番号が載ったデータベースが欲しかっただけである。どの巨大小売店も起こりうるものだ。
しかし、熟練した強い意志を持つ攻撃者は特定の被害者を攻撃したいと考える。その理由は政治的なもので、戦争に巻き込んで政府や指導者を痛めつけることにある。または、倫理的なもので、大手石油会社あるいは大手製薬会社のようなハッカーが忌み嫌う業界を痛めつけることである。または、被害者がハッカーが憎らしいけど好きな会社の場合もある。(ソニーがこのカテゴリーにあたる。ソニーはコピーを防ぐため、CDに悪意のあるソフトウェアを入れた。この試み失敗したが、2005年以来ハッカーを怒らせている)
焦点がぼけている攻撃者は防御が簡単である。もし、ホーム・デポのシステムがうまく防御されていたら、ハッカーはより簡単なターゲットに移っていただろう。高いスキルを持ち、焦点を絞っている攻撃者でも、肝心なのは標的となった企業のセキュリティが攻撃者のスキルよりすぐれているかどうかで、単に企業のセキュリティ基準ではない。しばしば、そうではないケースもある。我々が絶対的に安全であるかということよりも相対的に安全である方が良いということだ。
それが、セキュリティ専門家がソニーの事件に驚かなかったのか理由である。我々は生活のために侵入テストを実行している人々、しつこく徹底した攻撃を模倣するルールや制限の無い攻撃、熟練した攻撃者、そしてそのような専門家が常に集まっていることを知っている。スキル、資金や動機を持つハッカーに対抗するには、すべてのネットワークは脆弱である。しかし、良いセキュリティというのは攻撃をより難しく、犠牲が大きく、リスクが高いものにすることである。十分にスキルの無い攻撃者に対しては、完全に保護してくれる。
セキュリティにお金の価値を引き出すことを難しくするには、恥ずかしいメールや個人情報をオンライン上に置かないことで十分に安心を得ることできるのだが、ソニーはここで明確な失敗をした。そのセキュリティは基準以下ということが判明した。彼らは無防備になった情報をそのままにしておく必要はなかった。そして、セキュリティ侵害を検出するのはそれほど遅くなかったのだが、攻撃者に歩き回る行動の自由を与えてしまい、たくさんの材料を持って行かれてしまった。
ソニーに起こったことはあなたにも起こるのを心配するなら、2つ忠告がある。まず、組織に向けてのもので、慎重に道具を集めること。セキュリティは、保護・検知・レスポンスの連携である。焦点のぼけた攻撃に対する防御に備え、標的型攻撃をより困難なものにする必要がある。通過した攻撃者に必ず気付く検出装置が必要だ。そして、ダメージを最小限にして、安全を取り戻し、その影響を管理するためのレスポンスが必要となる。
始まったのは攻撃に遭う前からである。ソニーは、幹部らがオバマ大統領についての人種差別的なジョークやスターへの侮辱をしていなければ、あるいは彼らのレスポンスシステムが、全てを手に入れられる前にハッカーを素早く追い出していれば、ずっとマシな状態だったろう。
2番目のアドバイスは個人に向けてのものだ。ソニーの最悪のプライバシー侵害は、幹部らまたはスターには起こらなかった。むしろ、会社のメールシステムを使っていた罪のない従業員に対して起こった。何より個人の会話、ゴシップ、病状、性生活などが晒されてしまったのだ。報道機関はこの情報を暴露しなかったが、友人や関係者はそれを知ってしまった。数百の個人的悲劇が今尚広がっている。
これは我々のうちの誰かかもしれない。我々は、メール、フェイスブック、テキストなどなど、我々の親密な会話を企業に委ねる以外に道はない。我々の金融細目を利用する小売業者に委ねる以外に道はない。しかし、iCloudやGoogle Docsのようなクラウドサービスは、わずかではあるが選択肢はある。
リスクを理解して、賢くなろう。データは脆弱であること理解しよう。できるだけオプトアウトしよう。そして、企業があなたのデータを保護することを保証しようとする政府の介入に反対しよう。ハイテク世界の多くの領域のように、これは市場が解決できるものではない。
Googleは、誰でもメールを暗号化できるようにOpenPGPをベースにしたChromeブラウザのプラグインを開発中と発表し、そのコードがGitHubに公開された(TechCrunch)。PGPをベースにしたブラウザのプラグインは既に存在しているのだが、そもそも暗号メールが広まらないのは、利用の面倒くささ、公開鍵をどのように配布するのかという難問があるからである。Googleは、暗号鍵の配布が重要と考えていて、鍵配布に関するドキュメントも一緒に公開されているので、それを超訳してみた。
要旨
鍵の配布はエンドツーエンドの暗号化の中で特に難しい問題である。これは、ボブのみが読めるメッセージの暗号化に必要な鍵を、アリスが取得する方法である。伝統的に、OpenPGPはユーザが友人の友人を信用していくという「信用の輪 (Web of Trust)」と呼ばれる分散鍵配布システムの方法によってこの問題を対応している。これはユーザにとってかなりの仕事量を要求するし、平均的なユーザにとって概念を理解するのは難しい。
過去20年間、ブラウザで利用されているTLSのような他の鍵配布と照合システムは広く一般的になった。これらは世界中にあるたくさんの認証局を信用することをユーザに(無条件に)要求するという致命的な欠陥がある。我々はセキュリティ侵害を受ける認証局があることを知っている。そのような問題の結果、この問題を緩和するために、例えば「Convergence」や「Certificate Transparency (透かし入り証明書) RFC 6962」のような代替システムがPKIモデルの上に作られている。
エンドツーエンドにとって、鍵配布の現行のアプローチは「Certificate Transparency」と同じモデルを使うことで、Gossipプロトコルとして電子メールメッセージ自身を利用し、公正な中央オーソリティを維持することをユーザ自身に与える。このアプローチは、ユーザが鍵について知る必要は無いし、同時にサーバは、ユーザの背後に悪意のあるものが関わっていないことを確認できる。
システムが簡単に複数のアイデンティティープロバイダをまたがって分散可能にするには、鍵サーバは既存のフェデレーションアイデンティティプロトコル(例えば、OpenID)を経由してユーザを証明できる。透明性のあるバックエンドを持つ鍵サーバのモデルは、ユーザは中央型サービスのセキュリティを信用しても構わないという前提をベースにしており、公開審査を受けさえすれば、もしセキュリティ侵害があっても簡単に発見できる(それでも、まだユーザのアカウントをセキュリティ侵害する可能性はあるが、ユーザは可能であればすぐに知ることができる)。
注目に値するのは。エンドツーエンドがまだ開発途上だからであって、我々はこのモデルの弱点を見つけたら、もしくは簡単に利用できる別の方法が見つかって、やってみたいと思えば、鍵配布のアプローチを変更するだろう。我々がこのドキュメントを書いた理由の一部は、必要に応じて、コミュニティからいち早くフィードバックを求めるためである。
我々が指摘したいのは、システムが長い間あること、我々が提案したもより歴戦を重ねたものだということを理解しているので、鍵をマニュアルで管理し検証したい既存のOpenPGPユーザもサポートし続けたいと考えている。
詳細
説明の目的で、アリスがボブに暗号メッセージを送りたいと仮定する。
登録
第一段階として、ボブはボブの使うメールプロバイダが運用している鍵ディレクトリに登録する必要がある。Googleも鍵ディレクトリを運用する予定だ。この登録はボブが電話帳に自身を登録するのと似ていて、その方法はメールプロバイダ(フェデレーションアイデンティティプロトコルをサポートする)が自動的に鍵ディレクトリに彼あるいは彼女を識別する署名を送ることである。
これが完了したら、鍵ディレクトリはボブのメールアドレスと公開鍵(誰でもボブに暗号メールを送るのに使える)を発行する。この鍵ディレクトリの独特な点は、ディレクトリの中に書かれているものは決して何も変更できない。つまり、サービスダウンさせなければ、そこから如何なる変更も不可能、もしくは変更されたことが全ての人に伝わってしまうことである。
もう一つ、ボブが登録した時に起きたことは、我々が「モニター」と呼ぶ独立した第三者機関が、全てのエントリーが有効かを確認するため、鍵ディレクトリの全エントリーを調査する。鍵ディレクトリ自身は、ディレクトリに有効なデータを加えるだけで検査しなければならない。しかし、万が一、鍵ディレクトリにバグがある、あるいはセキュレティ侵害を受けていれば、モニターが確認のためにダブルチェックを行う(信用のみで検証はしない)。
検索
今、ボブが鍵ディレクトリに登録し、アリスが彼にメールを送ろうとしている。そのためには、アリスはローカルの鍵ディレクトリに接続して、ボブの公開鍵を取得する。アリスはデータがパーマネントログ中にあることを示す鍵ディレクトリから証明を取得し、メールを暗号化する。
ボブに送るメッセージの中に、アリスは140文字からなる鍵ディレクトリの超圧縮版(Signed Tree Headsの略であるSTHと呼ばれる)を含める。この超圧縮版は、鍵ディレクトリのバージョンを確認するのに、あとで利用できる(実際は、彼女が知っている全鍵ディレクトリのSTHを含むだろう)。
アイデンティティプロバイダによって管理される鍵ディレクトリの場合、お互いに同期され、欠落しているエントリーを交換する(これをピアリングと呼んでいる)。鍵ディレクトリは、信頼できるソースから与えられたメールアドレスの鍵を取得して、検索操作の間に鍵ディレクトリにインポートしようとすることも可能である。
検証
ボブがアリスからメッセージを受け取ると、彼はそれを復号し、アリスの署名を検証する(ボブはアリスのメッセージの信ぴょう性を検証するため鍵ディレクトリにチェックしようとするだろう)。そして、ボブはアリスが送ったディレクトリの超圧縮版を使って、ボブが今日知っているディレクトリのバージョンと同じか少なくとも古いかを検査する。
もし。ボブが鍵ディレクトリに接続できない場合、その時、彼がその日に送った全メッセージで、アリスが彼に送った超圧縮ディレクトリを含めるだろう。最終的には、鍵ディレクトリに接続できれば、有効性と一貫性を検証できる。
ボブも第三者機関(モニター)や他のクライアント(例えば、ブラウザ、あるいはチャットクライアント)に超圧縮ディレクトリを通信し、HTTPサーバあるいは他のチャットユーザにGossipすることで、セキュリティ侵害された鍵ディレクトリを隠すことが非常に困難になる。そして、標的となった被害者へのインターネットアクセス全てを停止することが必要となる。
取り消し(リボケーション)
リボケーションは鍵を無効として印付ける行為である(鍵が盗まれたり、失くしたりした場合)。Certificate Transparencyモデルでは、全ての鍵(かつての古い取り消された鍵も)が鍵ディレクトリの中にとどまる(追加のみということを思い出してほしい)。鍵ディレクトリは、検証可能マップ(Verifiable Map)と呼んでいるものと共に、最新版を持っていることの証明を与える。そして、鍵ディレクトリによって返される鍵がボブの最新の鍵と証明することになる。
加え、ユーザに与えられる鍵ディレクトリの全エントリはお互いにリンクされていて、全ての今後の鍵は最新の鍵を指さなければならない。これは、単純なクエリでログの中の彼の全鍵(かつての古い鍵)をすぐに列挙する機能をユーザに与える。同様に、全ての鍵が存在していること検証するモニタ機能も提供する。
この方法で、ユーザはいつでも彼の最新の鍵、使い始めてから、またはエンドツーエンドの利用開始以来の全鍵を知ることができる。
不一致(矛盾)
バグあるいはセキュリティ侵害で、鍵ディレクトリが問題のあるエントリーを保持することは考えられる。その場合、Monitorsとユーザが鍵ディレクトリを利用できないようにする(不完全、悪意のある、またはセキュリティ侵害があった場合)。第三者機関の独立したモニタ機能は、注意深くそれらの状況を把握しようと準備するし、起こった事を理解しようと鍵ディレクトリメンテナーと一緒に動くだろう。鍵ディレクトリメンテナーは、可能な限りオープンで積極的であることが求められる。
鍵がユーザの自覚なしにローテートする可能性もある。これはユーザのアカウントのセキュリティ侵害(フィッシング、またはマルウェア経由)、またはアイデンティティプロバイダのセキュリティ侵害を示している。この問題から守るには、Monitorが鍵がローテートしたらユーザに通知して、ユーザに鍵を取り消して再度ローテートする機会を与えるべきだろう。
透明性
システムが透明性を持つことについて語る場合、二人のユーザに異なる振る舞いをすることが鍵ディレクトリには困難であることを意味する。すなわち、鍵ディレクトリに置かれている全てのものが、誰にも同じものでなければならない。このモデルでは、アカウントのセキュリティ侵害が古い暗号メールを侵害せず(潜在的に新しいメールだけ)、ユーザは侵害が起きたら通知を受け、すぐに取り消すことができる。
このドキュメントの中で想定されているモデルは、まだアカウントを安全に(例えばフィッシングに対抗できる)、デバイスを安全に(例えばマルウェア対策)維持できるユーザに限定しているし、現存するアカウント上で動く簡単な鍵発見メカニズムを提供しているだけだ。特別なセキュリティが必要なユーザには、我々はマニュアルでフィンガープリントを検証することを推奨していて、将来はより簡単になることを目指している(例えばビデオやチャットでも使える)。
攻撃
我々が上に提出したモデルは簡単に見える。そして、ユーザは鍵の発見について知っておくべきことは何もないが、重要な注意点がある。
- ユーザの鍵ディレクトリはオフラインかもしれない。クライアントはオフラインになってもいいように複数の鍵ディレクトリと話しができなければならない。もし、全てがオフラインになったら、ユーザがSTHを検証せず、一度も連絡したことがないユーザ(鍵が取り消されたり、期限切れの場合も含む)へのメールは送られないようする。また、サービスのオンラインの維持や複数の冗長性を持つことは重要である
- ユーザは期限切れの鍵を使うかもしれない。この問題を解決するには、ユーザに問い合わせ(メール、鍵、STH)をgossipさせるつもりである。長期的には、「検証可能マップ」を使う、その方がより簡単だ
- ユーザは鍵ディレクトリあるいはアイデンティティープロバイダに攻撃されるかもしれない。鍵ディレクトリは、そのユーザに属さないログに鍵を挿入できる。そのようなことを避けるには、ユーザあるいはモニターが可能な限り何度も最新の更新鍵を鍵ディレクトリに問い合わせ、クライアントが新しい鍵あるいは更新鍵があれば警告する。ユーザが新しい鍵を生成したなら(新しいデバイスを登録した場合も)、警告は除外される。もし、ユーザがクライアントのアクティブユーザでないとか、モニターの通知をサインアップしていないなら、これを検知できない。これを避けるには、ユーザは 鍵のローテーションが起きないような方法で鍵ディレクトリへの登録を選択する(全ての新しい鍵は以前の鍵によって署名されなければならない)。しかし、鍵のバックアップや全てのコピーを失った場合、回復ができなくなる
- ユーザは全てが一貫性があると思い違いをしてしまう。これは「分割ビュー (split view)」問題として知られていて、本来はユーザのフルインターネットアクセスがフィルタされ制御されるような攻撃を言う。彼の連絡先に書かれている全てのSTHやアサーションが悪意のあるまたは強力な敵によってコントロールされてしまう。このリスクは実際にあるが、実施はかなり難しいし、SSLサイトを含、チャットの会話や全てのメールトラフィックなどの全gossipチャンネルをMITMすることが必要で、偏執狂ユーザでなければ起こらないだろう
- ソフトウェアに脆弱性があり、メンテナーがセキュリティ侵害を受ける、または他の弱点が存在する。残念ながら、これは全てのソフトウェアで真実で、ハードウェアでも同じだ。HTML5の暗号化メディア拡張や同様の技術を使うことが可能だし(我々のコードには届かない)、透明化モデルにはオペレーティングシステムやパッケージマネージャの多くの将来性があると信じているので、たとえ使われるコードやハードウェアに何があろうと、常にユーザ信用係数がある。とにかく、ユーザに要求される信用をとても最小限に抑えるよう動いているし、我々が作る全てのコードは常にオープンソース版で提供するつもりだ。
- 誰かが偽メールで鍵サーバを汚染するかもしれない。これはサービスがうまく動き続けるので、監視が非常に難しいということを意味している。それを避けるには、一般的な不正使用防止メカニズムが鍵ディレクトリによって採用される。加えて、クライアントから支持がある鍵ディレクトリは、ユーザが使うことができる他の鍵ディレクトリがあるので、常に必要ならゼロから再起動する
- 誰かが鍵ディレクトリからメールアドレスを取得しようとするかもしれない。システムの多くの部分はメールアドレスを含ことをユーザに要求している。例えば、もしメールを削除して自己署名を二つに分割する必要があるなら(一つはメタデータ、もう一つは身元情報)、OpenPGP Key BlocksはユーザIDやその他のメタデータを含む自己署名が必要となる。これを実行できるが、まだ約束はできない(メールのチェックサムを保持する必要があるし、チェックサムとメール自身を保持する利点が今の所まだ明確ではないし、ブルートフォースのコストは高いが、ほとんどのユーザにとってまだ危険性がある
我々は他の攻撃を議論したり、より詳細を検討したり、このアプローチを選択するわけを議論することを大いに歓迎する。もし、プライベートに我々と議論したいとか、投稿で警告をしたければ、ここに知らせてほしい。
共通線信号No.7 (SS7) と呼ばれる電話網のルーティングプロトコルにセキュリティ上の脆弱性が見付かったとのこと(Slashdot, Schneier)。この脆弱性を利用すれば、携帯電話の盗聴がどこでも大規模に可能になるという。欠陥を発見したドイツの研究者によると、SS7を使って電話の盗聴する方法には二つの方法があるそうだ。一つは、多くのキャリアがサービスしている携帯電話の転送機能をハイジャックする方法で、密かに転送することで電話をどこでも盗聴できる。もう一つは、物理的に電波塔の近くでなければならないが、広範囲に網を張ることができる。まず、ハッカーは電波塔近くにアンテナを立ててエリア内の電波を収集する。ただし、3Gの通信では強力な暗号化が施されているので、そのままでは解読できない。そこで、ハッカーは、通信を保存した後に、SS7を通じてキャリアに対して一時的に暗号鍵をリリースするようリクエストを行い、その暗号鍵を使って暗号化された通信を解読するというもの。
電話網は、インターネットと違って、制御信号用のネットワークは分離されていて、ユーザからはアクセスできないと思っていたのだが、どこかを通じてアクセス可能なんだとしたら破られても仕方がないか...
Googleのセキュリティチームが、NTP (ntpd) 4.2.8より前のバージョンに任意のコードを実行できる複数の脆弱性を見付けたとのこと(SANS Diary)。対策の基本は、NTP 4.2.8へのアップグレードだが、既にアクティブなエクスプロイトが存在するらしいので、Autokeyを使っている、またはコントロールメッセージを制限していない(通常ローカルホストのみ許可)場合は、早めに修正版にアップデートするか、Autokeyの無効化およびntp.confに"restrict default nomodify noquery"を入れておく。
ちなみに、リモートからサーバのNTPバージョンを知りたい場合は、nmapを使う方法がある (但し、モード6のコントロールメッセージが許可されていないと表示されない)。
nmap -sU -pU:123 -sV <NTPサーバ> --script=ntp-info.nse
| CVE | Impact | Details |
| CVE-2014-9293 | authentication | ntp will create a weak key if none is provided in the configuration file. |
| CVE-2014-9294 | authentication | ntp-keygen uses a weak seed to create random keys |
| CVE-2014-9295 | remote code execution | A remote attacker can send a carefully crafted packet that can overflow a stack buffer and potentially allow malicious code to be executed with the privilege level of the ntpd process. |
| CVE-2014-9296 | missing error message | In the NTP code, a section of code is missing a return, and the resulting error indicates processing did not stop. |
CentOS、Red Hat(RHSA-2014-2024)はパッチをリリースした。
ntpdの代替ソフトウェアには、OpenNTPDやNtimedがある。
スノーデン氏がアマゾンへの接続を暗号化すべしという指摘(ワシントンポスト)。確かに、アマゾンは購入ページに移らないとSSL/TLS化されないんだよなぁ。
金曜の晩のエドワード・スノーデン氏は、政府が市民が何の本を読んでいるのか探ろうとするのを防ぐため、顧客への暗号化機能の提供を、世界最大の小売業の一つであるアマゾンに呼びかけた。
スノーデン氏は、リバタリアンのシンクタンクであるケイトー研究所での監視シンポジウムにビデオリンクで出演し、暗号化しないで本や品物を閲覧することを顧客に強いるアマゾンのやり方に対して、「道義的に無責任」だとした。
元NSAのスノーデン氏によって、いかにNSAや海外の同盟国が世界中の人々の個人データを大規模に収集していたかを詳細に示す文書の山が公表され、その後グーグル、フェイスブックやヤフーのような多くのポピュラーなオンラインサービスは大規模に新しい暗号戦略に着手している。
アマゾン創立者でCEOのジェフ・ベソス氏が所有するワシントンポストは、顧客が入力したクレジットカード情報や他の購入情報などのトランザクションを暗号化している。しかし、製品の検索には専門家にはプレーンテキストと呼ばれるものが存在し、政府などがインターネットトラフィックにアクセスすれば検索結果をモニターできることを意味している。職場やコーヒーショップやホテルの無線LAN環境でコンピュータを使った場合に、雇用者やインターネットプロバイダもそれが可能になる。
スノーデン氏は、ジョージ・オーウェルの小説「1984」に見られる主人公を例に、全てを見ている監視状態の生活、あるいは政治的アクティビズムの本を閲覧することについて示した。
『たとえ、あなたがどこにいようと、司法権がどこにあろうとも、彼らはあなたが読んでいる本が何かを知ることができるのです』と、ワシントンのダウンタウンにあるケイトー研究所本社で巨大なビデオスクリーンに映し出されたスノーデン氏は語った。『これは道義的に無責任だし、ビジネスとしても安全な通信を提供する能力を持っているにもかかわらず、依然このままであることには問題があります。あなたが本を購入してすぐに、支払いが終わってすぐに、彼らは暗号化を外してしまうんですよ』
彼はこう付け加えた。『ウェブページの閲覧を暗号化しましょう。世界中のライブラリを暗号化しましょう』
アマゾンにコメントを求めたが、回答はない。
先日起こったBGP経路ハイジャックを防ぐため技術として、IPプレフィックスとAS(自律システム)との適切な関連性を検証することができるRPKI (リソースPKI)という技術がある。Packet Pushersによれば、ARINがオペレータに「Relying Party Agreement (依拠当事者規約と訳すようだ)」(PDF)なるものを受け入れるよう要求しているそうだ。
RPKIというのは、IPプレフィックスとその起点となるAS番号が正しいことを保証する証明書データ「Route Origin Authorizations (ROAs)」と、ROA情報を使って実際に広報された経路との検証を行うプロセスからなる。ROA情報は、5つの地域レジストリに置かれているTrust Anchor Locators(TALs)からrsyncを使って集められる(RFC 6490)。検証を行うプログラムがRPKI Validatorで(主にルータに実装される)、ARINを除く地域レジストリ(RIR)がアクティブあるいは準備中のTALが利用できる。ところが、ARINはTALを利用するのに、先ほどのRPAを受諾するよう各プロバイダに求めているが、プロバイダはこの契約に納得できないため、足踏み状態とのことだ。
法律用語はわからんが、ARINは何か問題があっても責任は取らないし、二次利用に制限があるようなものには同意しかねるということかな。
ブルース・シュナイアー氏がソニー・ピクチャーズへのハッキング事件にコメントしている。
私はソニーハッキングについて語ることは多くないが、まだ継続していると思われる。私は次のポイントを強調したい。この件は広がり続けているので、もっと多くの情報が出てくると確信している。
- 現段階では、攻撃は北朝鮮政府ではなく、いく人かのハッカーだと思われる(私は内部犯行でもないと思う)。今までのサイバー攻撃がどこの外国政府あるいは犯人グループが行ったかが分からない世界に住んでいるという事が、我々にとって恐ろしいことだ。
- ソニーは、ハッカーに愛される会社だったが、ここ数年は憎まれている(2005年のrootkit事件を思い出してほしい)。我々は既にこの立場に自身を置くことが悲惨な結果をもたらすことを知っている(HBGary事件を思い出してほしい)。再びそのことを知ったわけだ
- 私はどうしてソニーが攻撃者に向けて、全く助けにもならないDDoS攻撃を行ったのか分からない
- この攻撃の結果、リークされたほとんどのセンシティブな情報は未公開の映画、幹部の電子メールあるいはセレブのゴシップだった。それは任意の社員から手に入るつまらない話である。
〜略〜
これらの人々は隠すべきものは何も持っていなかった。彼らは有名人ではない。詳細は世界のどこにでもニュースになるべきものではない。しかし、彼らのプラバシーが犯され、検索されたり記事を読まれて彼らが関係する友人や身内が取り上げられ、次々明らかになるまさに多数の個人的な悲劇がある。
〜略〜
Gizmodoはこの件で100%正しい。そして、これはなぜプライバシーが誰にとってもとても重要かを示している
追記(12/12): このポストへの二つのコメントスレッドがある: RedditとHacker News
米当局がソニー・ピクチャーズへのサイバー攻撃は北朝鮮が関与と断定(Slashdot)。そして、ソニー・ピクチャーズは映画「The Interview」の公開を中止すると発表。
「The Interview」のクリスマス上映決定、オンラインでの有料配信も同時に行われる。
セキュリティ専門家、本当に北朝鮮が攻撃したのかという懐疑的意見が多数(スラッシュドット)。
知らなかったのだが、「Password Hashing Competition (PHC)」は、推奨標準として認められる強いパスワードハッシュ関数を選出するためのオープンなコンテストがあるそうだ。そして、12月8日にファイナリストが発表された。24の提案から選ばれたのは、Argon、battcrypt、Catena、Lyra2、Makwa、Parallel、POMELO、Pufferfish、yescryptの9つ。
12月9日、シリアの国営通信会社シリア・テレコム(STE: Syrian Telecommunications Establishment)が経路ハイジャックを行ったようだ(ソース: BGPmon)。ハイジャックされた時間は8:33 UTC(17:33 JST)から5分程度だったようだが、影響は1481プレフィックス、306のASに及んでいた。STEの上位は、PCCW Global(AS3291)、ドイツテレコム(AS3320)とテレコム・イタリア(AS6762)で、イタリアから流れてしまったそうだ(STEがイタリアののみ広報したか、PCCWとドイツはフィルタされていた)。BGPmonによると、原因は明確ではないが、このような大規模で短い時間のハイジャックは、悪意のあるハイジャックというよりは、設定ミスが原因ではないかとのこと。
今年は、プリンスのロックオペラ映画とサウンドトラック『パープル・レイン』が公開・リリースされ、30周年にあたる。ローリング・ストーン誌編主任、ヴィアヴ誌・スピン誌の編集長を歴任してきたアラン・ライト氏が製作過程を記した本『Let's Go Crazy: Prince and the Making of Purple Rain』(アマゾン)が発売された。The Vergeが独占で第1章を掲載している。
MD5はSHA2にスイッチすべきだということは誰もが認識しているが、まだまだMD5が使われているという話(ソース:Hacker News)。
* Cisco、Juniperでは認証キーチェーンが利用できる(IBGPでも使っているところがあるか...?)
BPG (Better Portable Graphics)という新しい画像形式があるそうな(ソース:Hacker News)。目的は、画質とファイルサイズの問題でJPEGを置き換えること。主な利点は次の通り。
プラグインが不要というのがいいな。
レナのテストイメージでJPEGと比較。
スラドのタレコミだけでは残念ながら分からない。スコット・ローゼンバーグの(長い)ブログを読むしかないか・・・
「プログラマのジレンマ」の著者スコット・ローゼンバーグ氏が、AppleのSwift、GoogleのGoや他の新しいプログラミング言語を、彼らはなぜ作り、それらの違いは何か、そして、プログラマに何をもたらすのかを分析している。『とても具体的の方法で、GoとSwift双方が作った会社の特質を例に示しながらまとめてみると: サーバファームとパーソナルデバイス、オープンウェブとアプリストア、クロスプラットフォーム世界とカンパニータウンとなる。プログラミング言語を違いを区別するものは、コンパイラなのかインタプリタなのか? 静的・動的変数の入力は? メモリ管理/ガーベジコレクトのあるなし、これらが今日ではもっとも重要なことかもしれない』
地球・太陽系は天の川銀河に含まれ、位置的には中心から2万8千光年ほど離れた場所にある(銀河中央は、いて座の方角)。このサイトによると、肉眼で暗い天の川銀河を見るには、晴天、月明かりに邪魔されない(新月がいい)、街の明かりに邪魔されないな場所を選ぶ。見るときは少なくとも15〜20分は暗闇に目を慣らしておくと目の感度がよくなるそうだ。時期的には、夏の終わりあるいは冬の夜がいいとのこと。
今週の「The Joy of the Tech」は、スターウォーズ最新作「STAR WARS: The Force Awakens」の予告公開への反応を揶揄。
裁判官: J・J・エイブラムス、君は「スターウォーズ」に対する罪で裁判にかけられている。
JJ: (ため息)ジョージが僕にこんな日があると警告してたよ
裁判官: 一番目の罪: 非現実的なクロスガードで不恰好なライトセーバを作ったこと。有罪!
裁判官: 二番目の罪: センサーディフレクターを円形から長方形に変更することで、ミレニアム・ファルコンの空間力学的にそぐわないひどいものに改ざんしたこと。有罪!
裁判官: 三番目の罪: ネット全体が君に警告したにもかかわらず、シーンの中でレンズフレアを挿入したこと。有罪!
裁判官: 我々はここにあなたへ判決を下す...
まもなく映画が公開!
裁判官: もう待てない!
JJ: (うーむ)オタクイズムの目覚め(AWAKENING)を感じたよ
日本が誇る古楽オーケストラ・合唱団、鈴木雅明率いるバッハ・コレギウム・ジャパン(BJC)演奏のモーツァルトの未完の作品「レクイエム」のCDを購入。レクイエムは未完なので、どの補筆版を使うかが一番気になるところ。補筆稿はかなりの数あるようだが、CDになっている代表的なものは次のようなもの。
今回、BCJが採用したのが、鈴木雅明さんのご子息の鈴木優人さんが補筆校訂したもの。ライナーノーツによると、ジェスマイヤー版をベースに、最初に補筆を行ったアイブラーのオーケストレーションを取り入れ(怒りの日)、更にラクリモサの後にアーメン・フーガを挿入している。パッと聴いて、驚いたのがラクリモサの最後が「アーメン」と歌われて終わるのではなく、「レクイエム」と歌われる点。続くアーメン・フーガを考えてのことなのかもしれないが、これはアーメンで良かったように思った。アーメン・フーガはやはりあった方がいい。
未完の「レクイエム」はモーツァルト自身が完成させることはできないので、今後も補筆校訂版が作られることだろう。
日本時間11月27日の9時から10時半頃まで、AmazonのCloudFront CDNが、DNSの問題で日本を含む大規模障害があったそうだ。障害は約90分ほど続き、数千のWebサイトに影響があった。大きいところでいうと、Instagram、Voxメディア系(The Vergeなど)。落ちてはいけないサービスは、CDNは複数必要という事か...
TurboBytes blog、Hacker News threads
アメリカでは11月、5万単語の小説を一ヶ月で書いて投稿しようという「NaNoWriMo (National Novel Writing Month」なるプログラムがあるんだそうだ。小説を書いてみたいけど、発表するのはちょっと...と、ためらう人に向けたプログラムとか。限られた時間で決められた量を設定することで、書くことに集中できるそうだ。恥ずかしながら知らなかった。
そんな中、The Vergeによると、コンピュータプログラムに小説を書かせるというプログラム「NaNoGenMo (National Novel Generating Month)」も行われているそうだ。このプログラムは昨年ダリウス・カゼミ(Darius Kazemi)氏によって発案されたもので、完成した小説とコードを一緒に公開する。昨年作られた中の傑作の一つに、Nick Montfort氏の「World Clock」があり、たったの165行のPythonコードで書かれている。なんと、印刷本として発売されているのには驚いた。
Aeonのシミュレーション仮説話の超訳(Hacker News)。シミュレーション仮説は、タイムパラドックスのようなものなのかも。ジェインウェイ艦長も言っていた。「タイムパラドックスを解消する方法は簡単よ。考えないこと」。まさに、シミュレーション仮説も「考えないこと」なのかも。
人類は永遠には続かないだろう。いずれにせよ、人類は宇宙から消えることになるだろうが、その前に詳細なまで鮮明な人間としての体験をエミュレートできる十分な計算能力を集めようとするかもしれない。哲学者や物理学者は、すでにそれがあり得るかどうか考え始めている。我々はコンピュータシミュレーションの中にいて、経験する現実はただのプログラムの一部なのかもしれない。
現代のコンピュータ技術は非常に洗練されており、量子コンピュータの到来で、さらに洗練されていくことだろう。より強力なマシンで、我々は完全な生命体(人間でさえ)を含む複雑な物理システムの大規模シミュレーションを実行することができるだろう。しかし、どうしてそこでやめるのか?
その考えはそれほど馬鹿げているわけではない。ある哲学者は、我々がコンピュータハードウェアの最終的な複雑さを認めるなら、我々は既に「アンセスター・シミュレーション」(人間の過去の仮想施設)の一部である可能性が高いと主張した。その一方で、原子核物理学者らは、あらゆる科学的なプログラムは仮定を単純化しているという考えに立ち、この仮説を検証する方法を提案している。もし、我々がシミュレーションの中に生きているなら、その考え方は、これらの仮定を検知するための実験に利用できるだろう。
しかし、これらの論理的かつ実験結果の見方として、我々が違いを見分けることができず、シミュレーション内に生きているという可能性を残している。確かに、提案されたシミュレーション実験の結果は、可能性としてシミュレーション世界に住んでいないことを説明できるかもしれない。とはいっても、疑問が残る: 我々はシミュレートされた人生を生きているのか生きていないのかどうかを知る手段はあるのだろうか?
未来のある時点で、知っての通り人類は消滅するだろう。我々は進化した子孫がいなくなって絶滅するか、あるいは一人もしくは複数のポスト・ヒューマン種を我々の継承者として委ね、我ら人類は最終的にいなくなるかどちらかだろう。しかし、もし我々が子孫を残せば、子孫がアンセスター・シミュレーション(意識ある人間が居住する仮想宇宙)を作りたいと思うかもしれない。そして、そのようなシミュレーションを作る技術が十分に一般的なら、シミュレーションの一人の経験が実際に現実の中で存在している人類の一人の 経験を数で圧倒するということが非常に急増するだろう。
あなたが偶然にも一人の意識的経験を持っていることを自分自身で見つけたら、面白い問題を提示する: どのようにあなたは、自分が現物の人間の一人なのか、アンセスター・シミュレーションなのか、特に後者がはるかに多く存在するような場合、それを知るにはどうするのか? 哲学者のニック・ボストロム氏はこの問題についての考え方の枠組みを提供している。彼は三つのうち一つが真実であると判断しなければならないと主張している。人類もしくは人類類似の種がシミュレーションの開発技術レベルに達する前に滅亡している、またはポスト・ヒューマン文明がこの技術を作りまた使用することに関心を持たない、あるいは我々自身がおそらくシミュレーションの一部である、のいずれかである。おそらくなぜなら、万物は平等で、意識的経験がシミュレートされた経験であることの方が確率は大きい。他の二つの条件(消滅または無関心)が間違いなら、より多くの手段があるだろう。
提案されたシミュレータの本質は非常に多様だが、ボストロム氏ははじめに我々の知覚された現実が仮想である可能性を検討していない。哲学的で科学的なルミネーション(反芻)に加えて、人間の意識がシミュレートされているという考えはSFの世界では不可欠な要素である。映画「マトリックス (1999)」で始まる三部作の中では、生体の化学反応がエネルギーとして収穫されながら、我々の知る世界が人間の脳の活動を維持するためのコンピュータシミュレーションという設定である。マトリックスの中で、人間は完全に没入型の仮想現実環境の中にアバターとして世界を体験する。しかし、シミュレーションは、心構えができた精神がその異常を見破ることができるという欠陥があり、現実の世界から人々がマトリックスをハッキングできた。
ボストロム氏の考えはいくぶん異なる: 彼の考えでは、単に人類だけでなく全宇宙がシミュレーションである。人生の全ての側面がコードの一部であって、それは我々の心やプログラムの非知覚部分との相互作用を含んでいる。しかし、ボストロム氏は、すべてのレベルでの現実の完全なエミュレーションは、強力なコンピューティングシステムでさえ、非現実的だろうと認識している。ちょうど、我々の科学的シミュレーションが抽象化のレベルを含んでいるように、過剰なディテールは要求されない。シミュレーションはおそらくいくつかのルールと仮定を利用しているのだろう。そして、全てのディテールがシミュレーションされる必要はないのだろう。これらは我々が実験を行った時、関わってくるだろう。例えば、「人間が微視的世界を観察することについて考えてみると、シミュレーションは必要な場合に応じて、シミュレーションの適切な領域の中で十分なディテールを伝えることができる」。ボストロム氏は論文「あなたはコンピュータ・シミュレーションの中を生きているのか? (Are You Living in a Computer Simulation?) (2003)」の中で書いている。そのように、プログラムはディテールの中にすべての粒子あるいは銀河を追っていく必要はないが、それらのデータが呼ばれた際、プログラムの中の宇宙は完全に一貫性のある現実を提供する必要がある。人間でさえ常にすべてのディテールの中でエミュレートされる必要はなく、「自分自身」の主観的な認知度が環境によって変化する。漫画「ピーナッツ」の中のライナスと違って、我々は必ずしも自分の舌に気づいているとは限らない。従って、シミュレーションはフォアグラウンドで動作する「舌」のサブルーチンを維持する必要がない。
計算能力の問題にぶつかることなしに、一つの惑星の文明がシミュレートできるということが事実だろう。これらの哲学的な暗示以外に、シミュレーション仮説はいくつかの科学的問題に答えるのを手助けできる。地球に似た惑星がそれほど稀ではないことから、恒星間の通信あるいは旅行が可能な宇宙では文明が生まれることが十分に可能である。我々は今までのところまだそれに出会っていないので、どこに宇宙人がいるのか?という疑問を残すことになる。しかし、もし我々がシミュレーションの中に生きているなら、単純に宇宙人はプログラムの一部というだけではないかもしれない。事実、計算能力の問題にぶつかることなしに、一つの惑星の文明がシミュレートできるということが事実だろう。
同様に、力の統一理論を見つけることを物理学者が失敗しているのは、シミュレーションの中では不適当なためかもしれない。シミュレーション仮説が「ファインチューニング(微調整)問題」を解決することもできる: 我々の宇宙パラメータは生命を許しているが、それらを変更したことが生命のない宇宙を持たらすかもしれない。シミュレートされた宇宙は最終的に生命の発生が設計されている、あるいは生命が可能になった前には多くの可能なパラメータがテストされ、成功した実験結果の成果なのかもしれない。宇宙論者は、我々の宇宙がどのようにランダムな開始条件から発生したのかを理解するために、同じような(より単純とはいえ)シミュレーションを実行している。
ボストロム氏は、シミュレーション議論を一歩前進させ、「プログラムの中ではエラーが起きてしまうため、ディレクターはシミュレーションを台無しにする前にアノマリーに気付く脳の状態を簡単に編集することができる。あるいは、ディレクターは数秒戻して、問題を回避できるように体験を戻すだろう」。しかし、もし我々が生きているシミュレーションにリアルタイムエラー訂正機能がある場合、見方によっては厄介である。確かに、潜在的に科学活動全体に疑問を投げ掛けることができてしまう。シミュレーションの物理法則を気まぐれに変更してしまうのを防ぐには何をしたらいいのか? テストパラメータ、あるいは単純に我々の頭に干渉することか? そのスキームでは、プログラマはその存在が決して検知されることがなくても、気まぐれでひょとしたら意地の悪い神様になってしまうだろう。
ボストロム氏は、我々がシミュレーションの中に生きていないことより、もっとありそうなことを示すことに主な興味を持っているが、この問題に直面する科学者らは別の疑問を持っている。主な差異は、科学は実験と観察によって検証できるという事実から導き出したものだ。そして、結局のところ、我々が住んでいるかもしれないシミュレーションを推測できる方法があるということだ。
まず、我々がシミュレーションの中に生きているなら、それは明確に定義された法則に従い、それらの法則へのいかなる動的な変更も相対的に小さいはずだ。それは数世紀に渡る科学的アプローチの圧倒的な成功に基づいている。事実、シミュレーション仮説は潜在的な説明能力を持っている。例えば、我々の宇宙が比較的単純な法則に従っている理由は、それがそうするようにプログラムされているからだ。プログラムの実行としてシミュレータを変更する場合、それが2011年に起こった光より速いニュートリノの解決法であったのだ。プログラムはエラーを含んでおり、我々はそのエラーに基づいた何かを計測してしまった。そして、バグはその後に修正された(アノマリーが平凡な説明かつ劇的な代案が無かったため、光より速い結果が事実だったと考える理由は今では無い)。
真相は我々がシミュレーションの中に生きているということかもしれない。しかし、非人間的な神の存在のように、この事実はどのように我々が人生を振る舞おうが関係無いということだ。しかし、我々がシミュレーションの中にいるのかいないのかを我々に教えてくれるこの宇宙の正当性は何もない。もし、プログラムが明白な「イースター・エッグ」あるいは、デザイナーによって残された隠れたメッセージが存在しない十分な理由であるなら、我々が行ういかなる実験でもシミュレートされた宇宙にいてもいなくても同じ結果を返すだろう。このシナリオでは、どのように哲学者を納得させるかどうかに関わらず、我々が仮想世界にいるかを見分ける手段が無い。真相は我々がシミュレーションの中に生きているということかもしれないが、非人間的な神の存在のように、この現実がどのように我々が人生を振る舞おうが関係無いということだ。
我々はシミュレーションの中に生きている、しかしプログラマーの世界とは異なるという可能性もよく考えてみるべきである。結局のところ、科学者らは現実世界にそのまま一致はしないが、理論を改良することを手助けるモデルをずっと作り出し続けている。そして、そのようなシミュレーションが不完全なエミュレーションなら、コンピュータコードがその存在を示すのかもしれない。もし、宇宙が現代の原子核物理学者によって実行される数値シミュレーションと同じようなものなら、プログラムの必要な単純化が基礎物理学の予測する可能性なのかもしれない。
クォークで作られている陽子と中性子、それらで作られた原子核を考えてみる。全体の乱雑さは、全てを結びつける核の強い力を理解することを要求するが、複雑な相互作用は電子のような単体粒子の一貫性のある処理ではない。しかし、同時に二つ以上の粒子間の作用を、特に高エネルギー下の核の内部に関連する計算は物理学者にとっては非常に難しい。
どんな場所でも移動することを考慮に入れる代わりに、原子核物理学者は、固体結晶の中の原子のように、粒子が三次元格子上で存在するかのように考える。クォークが接近することでエネルギーが増加するので、数値を扱いやすくしておくために固定距離で離れるようし、我々が実験的に見る挙動を再生する。この手の数値計算法は格子量子色力学(LQCD)として知られている。
LQCDの単純な原理が、クォークを記述する方法を考え出した唯一の一貫した方法であるが、アルバート・アインシュタインによって提示された相対性理論を破ってしまう。相対論の中の時空は連続性があり、特別な方向は定義されていない。他方、LQCDの一つとして格子が特別なポイントで特別な方向(ノード間の接続に沿って)を持つ。宇宙線によって生成されるような高エネルギーの衝突が、相対論の予測よりもむしろLQCDに近い振る舞いを示すなら、プログラマーが現代原子核物理学者がやっているのと同じ近似を行っており、我々がシミュレーションの中にいるというサインである。
ドイツのボン大学のサイラス・ビーン教授(現在はワシントン大学)とその同僚らは、これらの道筋に沿って、他の試験可能な偏差を考慮した(重い電子の従兄弟分であるミュー粒子による変則な振る舞いを含む)。しかし、それらのスキームがうまく働かない可能性がある。シミュレーションを書いた人は必ずしも原子核物理学者がするような同じタイプのコードを使うとは限らないので、予想された偏差が現れないかもしれない。偏差は、予測可能な未来にそれらを発見できないような高エネルギー段階で起きていることもあり得る。最後に、時空はシミュレーションの中で生きていることとは違った理由で、格子のように振る舞うかもしれない(多くの物理学者によって真面目に可能性が検討されている)。
公平の立場でいうとで、ビーン氏、ダヴォウディ(Davoudi)氏、サベージ氏ら、原子核物理学者らは、これを承知の上でシミュレーション仮説を検証する方法を提案しているが、彼らのライフワークの中心だと考えるのは誤りである。INSPIREレポジトリ(高エネルギ物理学情報システム)でビーン氏の文献リストを見ると、彼がこの主題で書いた論文はただ一つであることがわかる。残りは標準的なLQCD研究である。私は彼と彼の同僚らは真面目に宇宙シミュレーションに関する研究をしていると確信しているが、ほとんどの研究者がそうである。そして、これらの疑問を興味深いと感じるかも知れないが、答えを調査するために研究生活を捧げてはいない。
一部それが現実的なことだからだ。現代物理学の標準パラダイム内で研究するために資金を得ることができるが、結論が出ないような哲学的な問題として解釈されるような研究にお金を払うのは難しいことである。また一方、問題自身が全く信用できないので、明確になんらかの利益を生むことを示すことはできない。その影響にも関わらず、しばしばポピュラーサイエンスで記事を読むことがあり、人生、宇宙やその他もろもろについての大きな疑問にあなたの人生を捧げるほどの成功のチャンスはほとんど無いといっていい。1920年代の量子力学革命のような大躍進がまれな理由は、それが困難だからである。科学はほとんど段階的に発展を遂げるもので、つまらない内容に見えたとしても、それは決して悪いことではない。
シミュレーションとしての宇宙を調査することの困難さは、求めるべき正しい科学的な疑問を探しだすことで、検証可能な結論を導けるものでなければならない。プログラム管理者が介入して問題をリアルタイムに修復するという宇宙のシミュレーション仮説では、我々は現実の宇宙とエミュレートされた宇宙を区別することができないかも知れない。同じことは検知可能な欠陥の無いシミュレーションにも当てはまる。我々が裏付けが取れる実験の証拠を得ることができなければ、コンピュータプログラムの中で我々が生きているという反論が難しい哲学的なテーマでは虚しく感じる。
我々はシミュレーションの中に生きているのか? 私の直感では「ノー」だ。反対も賛成もない、あるいは必要以上に不快なプログラムが知性の存在であることを信じたくないせいだけではない。(楽園はシミュレーションではないのか?)
科学の力はしばしば一般化、抽象概念化、単純化にある。たとえプログラムの基本的な原則が単純であっても、意識を含む十分にディテールを持つ全宇宙をシミュレートすることは複雑なことである。より単純なものから同じだけを学ぶことができるなら、それと同じ複雑さを持つものをプログラムすることは無駄でいびつに見える。
しかし、それらは直感的な考えであって、正しいかどうかを示すことができるわけではない。より良い避難所はエンピリシズム(経験主義)で、空想的な考えを持たないことだ。科学的視点で、もしシミュレートされた宇宙と現実の宇宙とを識別できなければ、シミュレーションの中に住んでいるという疑問は空論であり、この現実が我々なのであって、我々が全てなのだ。
スタートレックTNGのシーズン6の12話「甦ったモリアーティ教授」はシミュレーション仮説のような話である。
Sandvineが公開した北米のインターネットトラフィックレポートによると、Netflixがビデオストリーミングの王者で、続いてYouTube。この2つのサービスでトラフィック全体のほぼ50パーセントを占めているが、ストリーミングで遅れを取っていたアマゾンが上昇しているとのこと(ソース:re/code, arstechnica)。アップストリームでは、Netflixが10パーセント近いシェアを占めるようになってきており、これはACKパケットだとのことだ。
ACKが増えているとすれば、ABRビデオストリーミングによるチャンク化やモバイルからの視聴が影響しているのかな。
| 昨年 | 今年春 | 今期 | ||||
|---|---|---|---|---|---|---|
| # | アプリケーション | シェア | アプリケーション | シェア | アプリケーション | シェア |
| 1 | Netflix | 31.62% | Netflix | 34.21% | Netflix | 34.89% |
| 2 | YouTube | 18.69% | YouTube | 13.19% | YouTube | 14.04% |
| 3 | HTTP | 9.74% | HTTP | 11.65% | HTTP | 8.62% |
| 4 | BitTorrent | 4.05% | iTunes | 3.64% | 2.98% | |
| 5 | iTunes | 3.27% | SSL | 3.42% | BitTorrent | 2.80% |
| 6 | MPEG - Other | 2.60% | BitTorrent | 3.40% | iTunes | 2.77% |
| 7 | SSL | 2.05% | MPEG | 2.85% | MPEG | 2.66% |
| 8 | Amazon Video | 1.61% | 1.99% | Amazon Video | 2.58% | |
| 9 | 1.31% | Amazon Video | 1.90% | SSL | 2.14% | |
| 10 | Hul | 1.29% | Hulu | 1.74% | Hulu | 1.41% |
| 76.23% | 76.24% | 74.89% | ||||
| 昨年 | 今年春 | 今期 | ||||
|---|---|---|---|---|---|---|
| # | アプリケーション | シェア | アプリケーション | シェア | アプリケーション | シェア |
| 1 | BitTorrent | 36.35% | BitTorrent | 24.53% | BitTorrent | 25.49% |
| 2 | HTTP | 6.30% | HTTP | 14.27% | Netflix | 9.48% |
| 3 | SSL | 5.87% | SSL | 6.54% | HTTP | 7.18% |
| 4 | Netflix | 4.44% | Netflix | 6.44% | SSL | 7.05% |
| 5 | YouTube | 3.63% | YouTube | 5.52% | YouTube | 6.14% |
| 6 | Skype | 2.76% | Skype | 2.23% | iCloud | 4.41% |
| 7 | QVoD | 2.55% | 2.17% | Skype | 2.77% | |
| 8 | 1.54% | FaceTime | 1.50% | 2.60% | ||
| 9 | FaceTime | 1.44% | Dropbox | 1.20% | FaceTime | 2.38% |
| 10 | Dropbox | 1.39% | iTunes | 1.15% | Dropbox | 1.48% |
| 66.00% | 64.40% | 68.98% | ||||
IPv6ネットワーク内のルータ間のアドレスをグローバルあるいはユニークローカルアドレスではなく、リンクローカルアドレス(LLA)のみを使う際の注意点をまとめたRFC 7404「Using Only Link-Local Addressing inside an IPv6 Network」が公開された。
インターネットエクスチェンジポイント(IXP)は、インターネットの中でも特別に重要な場所であり、高いレベルのセキュリティが求められる。これには、プレフィックを広報 しないことと、リモートからIXPプレフィックス宛のトラフィックをドロップする方法がある。これをやってしまうと、uRPFを実施している場所では、tracerouteやPMTUDパケッ トを落としてしまうこととなり、特にPMTUDを落としてしまうのは非常にまずい。また、IXPのアドレスは/48よりも大きくなってしまうため、経路広報がフィルタされてしまうこ ともある。
IXPでリンクローカルを使うことで、この状況を救うことができる。この場合、何の設定をすることもなく、ICMPv6パケットはループバックのアドレスが使われるため、IXP上 のルータを攻撃するのが難しくなる。IXPの全ループバックアドレスはtracerouteで調べることはできるが、かなり大変だ。
複数の接続ポイントを持つサービスプロバイダは、IXPのアドレスを自網内にIGPで広報することで、トラフィックエンジニアリングを実施している場合がある。リンクローカ ルはこの目的には合わない。トラフィックエンジニアリングには別の手法を採用する必要がある。
EFF、Mozilla、Akamai、Cisco、IdenTrust、ミシガン大学の研究者が共同で、2015年夏に認証局「Let's Encrypt」を立ち上げ、無料でサーバ証明書が発行することが発表された(ソース:TechCrunch)。無料で最新の暗号技術を使った自ドメインのサーバ証明書が、自動処理で発行され、証明書の発行と取り消しの全記録を誰でも見ることができるそうだ。この発行・更新処理のプロトコル(ACME)はオープンソースで開発される。
素晴らしい取り組みだと思う。サーバだけじゃなく、メールアドレス(個人)に対しても発行してくれれば、S/MIMEが自由に使えるのに...
EFFブログ、Slashdotスレッド、Hacker Newsスレッド
ACMEがターゲットにしているSSLサーバ証明書はドメイン認証(DV)で、企業実在認証(OV)やExtended Validation (EV)ではない。DV証明書の発行が正しくドメイン名の所有者からの行われていることの検証が求められるが、そのサーバ上で行うことで、オンライン処理が可能ということなのだろう。
OS X 10.10.1、iOS 8.1.1、Apple TV 7.0.2がリリースされた。バグ修正としか書かれていないが、ISC SANSによると下記の脆弱性が修正されているそうだ。
| CVE | 影響 | ISC評価 | 内容 |
| CVE-2014-4459 | Remote Code Execution | Critical | A vulnerability in Webkit could allow a malicious site to execute arbitrary code |
| CVE-2014-4453 | Information Leakage | Important | The index Spotlight creates on a removable drive may include content from other drives. This vulnerability was recently discussed publicly in a blog and the author discovered e-mail fragment in the Spotlight index created on a USB drive. |
| CVE-2014-4460 | Information Leakage | Important | Safari may not delete all cached files after leaving private browsing. If a user visits a site without private browsing after visiting the same site with private browsing enabled, then the site may be able to connect the two visits. |
| CVE-2014-4458 | Information Leakage | Important | The "About this Mac" feature includes unnecessary details that are reported back to Apple to determine the system model |
| CVE | 影響 | ISC評価 | 内容 |
| CVE-2014-4452 CVE-2014-4462 | Remote Code Execution | Critical | Webkit issues that will lead to arbitrary code execution when visting a malicious webpage |
| CVE-2014-4455 | Unsigned Code Exeuction | Important | A local user may execute unsinged code |
| CVE-2014-4460 | Information Leakage | Important | Safari doesn't delete all cached files when leaving private mode |
| CVE-2014-4461 | Privilege Escalation | Important | A malicious application may execute arbitrary codes using System privileges. |
| CVE-2014-4451 | Security Feature Bypass | Important | An attacker may be able to exceed the maximum passcode attempt limit to bypass the lockscreen. |
| CVE-2014-4463 | Information Leakage | Important | The "leave message" feature in Facetime may have allowed sending photos from the device. |
| CVE-2014-4457 | Code Execution | Important | The debug feature would allow applications to be spawned that were not being debugged. |
| CVE-2014-4453 | Informtion Leakage | Important | iOS would submit the devices location to Spotlight Suggestion servers before the user entered a query |
| CVE | 影響 | ISC評価 | 内容 |
| CVE-2014-4462 | Code Execution | Critical | A memory corruption in WebKit may be used to terminate applications or run arbitrary code. |
| CVE-2014-4455 | Code Execution | Important | A local user may execute unsigned code |
| CVE-2014-4461 | Privilege Elevation | Important | A malicious application may be able to execute arbitrary code with system privileges. |
著名なベンチャー投資家フレッド・ウィルソン氏が、自身のブログ『AVC.com』にラストワンマイルを持つケーブル通信事業者モデルとインターネットモデルの違いを「The Cable Model and The Internet Model」に書いている(HN)。その超訳。
米国のケーブル業界は産業を大きくするため、次のモデルを利用した:
- ケーブルオペレータは、全ての家庭へのラストワンマイルネットワークの拡大のためのインセンティブにローカル独占を与えられた
- ケーブルオペレータは、どのチャンネルをネットワークで運ぶか運ばないかを決めるため、このラストワンマイル独占を活用した
- ケーブルオペレータは、しばしばネットワークで運ぶことを引き受けるのにチャンネルに巨大な投資を求めた
- ケーブルがデジタル化しても、ケーブルシステムはネットワークに1000チャンネル以上を運ぼうとはしない
一方、インターネット業界はその産業を大きくするため、全世界で次のモデルを利用した:
- インターネットは既存の通信インフラの上に作られた。最初は電話回線にデータを運ぶダイアルアップモデルであった
- 非独占がネットワーク大きくするインセンティブとして与えられ、それに起業家が飛び付き、ベンチャーキャピタルや他の自己資本市場が資金提供した
- 誰もがグローバルインターネット上にサーバを置くことができ、誰にでもサービスを提供できる。ゲートキーパー(管理者)がいなかった
- 起業家はグローバルなパブリックインターネットで通信するため、自分たちの投資を渡す必要がなかった
- グローバルインターネットには概算でアクティブなドメインが7億5千万から10億ある
これらは2つのとても異なるモデルですが、ある意味では一つにまとめられます。ラストワンマイルをもつ電話会社とケーブル会社は、ダイアルアップからブロードバンドへの移行のおかげで、インターネットアクセス(のラストワンマイル)市場を牛耳っています。そして、今日ではほとんどのローカル市場を複占化しています。これらのインターネットアクセスプロバイダがインターネット業界をケーブルモデルに進化させていることを示しています。
それでは、なぜテッド・クルーズ議員の言ったことがまちがっているのか(3分50秒付近):
全てのネット中立性のポイントは企業間、巨大な会社たちの一方と他方との間の戦いだ。実際は、10億のアクティブドメインと、米国内のインターネットアクセス市場を所有する6、7の有線・ワイヤレスキャリアとの間の戦いなのです。これはダビデとゴリアテの争いで、ダビデは市場の中でゴリアテと肩を並べる能力を持っていません。そういう理由からネット中立性は慎重な(保守的な)考え方なのです。インターネット業界が、ケーブルモデルに移るのを許さず、インターネットモデルを維持していきましょう。そういう事です。チャンスがあれば、すぐにでもテッド・クルーズ議員と彼の保守的な同僚に自分の意見を伝え、行動したいと思っています。
なるほど、こういう事だったのか...
オンラインビデオ市場で競合するコンテンツオーナー、プロバイダ、ネットワークベンダーなどが集まって「ストリーミング・ビデオ・アライアンス」を結成したとのこと(ソース:StreamingMediaBlog)。設立メンバーは次の通り。オンライン・ビデオ・エコシステムの事例、アーキテクチャ・ガイドライン、標準化などを作っていくそうだ。
今週始め、セキュリティ調査会社FireEyeが、「Masque Attack (マスクアタック)」という脆弱性が存在すること報告していたが、米政府(US-CERT)がiPhoneとiPadユーザに警告を発したとのこと(ソース:MacRumors)。
Appleは、企業ユーザや開発者向けにApp Storeを経由せずにアプリを配布できるエンタープライズ/アドホック・プロビジョニング機能を提供しており、利用するにはユーザはプロビジョニングプロファイルをインストールしなければならない。ところが、同じバンドルIDを持つアプリは、認証が行われないという欠陥が見つかった。この脆弱性を利用すると、インストールしたアプリと同じバンドルIDを持つ偽アプリ(マルウェア)が、App Storeや本来配布されるべき場所以外からインストールさせて置き換えることが可能となる。
App Storeの外からマルウェアをインストールできるといっても、ユーザに偽アプリのインストールを誘導する必要があるのと、Appleの開発者として登録しないと、更に「信頼できない開発者」と警告されてしまうため、攻撃成功の敷居は高そうな気がする。
この脆弱性が修正されるまでの軽減策は、
マスクアタックによって偽アプリがインストールされたかは、プロビジョニングプロファイルがインストールされているかを確認する。iOS 7の場合は設定アプリで「一般〜プロファイル」を見れば確認できるのだが、iOS 8ではプロファイルは表示されないのが難点で、確認には「iPhone構成ユーティリティ」あるいはXcodeを使わなければならない。
電子フロンティア財団(EFF)が、プロバイダが顧客の電子メールの暗号化を妨害しているとレポートしている。つい先頃、Verizonがユーザのウェブリクエストを改竄して、super-cookieと呼ばれる新型クッキー(X-UIDHを利用)を挿入することで、1億人以上の顧客の行動追跡を行っていることが明らかになった。今度は、アメリカのプロバイダとタイで、SSL/TLSで暗号通信に切り替えるために使われるSTARTTLSを妨害し、通信の安全性を脅かす行為をしているプロバイダの存在が明らかになった。STARTTLSフラグを除去することで、TLSでの接続を失敗させ、暗号化されていない状態で電子メールが送信されるように仕向けていた。
AT&TがUIDHの挿入をやめるそうだ(ソース:ProPublica)。
欧州宇宙機関(ESA)の彗星探査機ロゼッタが10年65億キロの旅を経てチュリュモフ・ゲラシメンコ彗星(Comet 67P/Churyumov-Gerasimenko)に到達。ロゼッタから切り離された小型着陸機フィラエが彗星に着陸した。NYTimes載の写真が素晴らしい(Flickr)。
今年始め、エリック・レイモンド氏がGNU Emacsのソース管理をしているBazaarが死にかけているので、Gitに移すべきと主張していたが、本日その移行が完了したとのこと。
Welcome, New Emacs Developers: Emacsに新しい開発者を呼び込めるか。
アイザック・アシモフの「ファウンデーション(銀河帝国の興亡)」は、何度か映像化(映画化)の噂が上がって来た。今回、HBOとワーナー・ブラザーズ・テレビジョンがテレビ・シリーズとして映像化するとのことだ。そして、クリストファー・ノーラン監督の弟で、脚本家のジョナサン・ノーラン氏が製作に加わると報じられている(ソース:Slashdot)。
ファウンデーションの映像化については、最近だと2009年にソニー・ピクチャーズがローランド・エメリッヒ氏とともにオークションで権利を獲得、その2年後に脚本製作にダンテ・ハーパー氏も雇った。しかし、結局プロジェクトは失敗し、HBOが大金を出して権利を購入したそうだ。果たして・・・
アマゾンが「Echo」というBluetoothスピーカー兼据え置き型Siri/Google Nowのような製品を突如発表したが、それを受けてなのか、また独り善がりのガラクタを作ったというDustin Curtis氏のエッセイ「Amazon's Echo Chamber」。内容はかなり手厳しい。以下、その超訳。
以前はアマゾンのコンシューマーハードウェア戦略を善意に解釈してきたものだ。初代のe-インクを使ったKindleは、チープなプラスチック製だったが私は好きだった。最初のKindle Fireタブレットはポンコツだったけれど、多少は納得できた。しかし、Amazonが過去数年たくさんのガラクタを発売するにつれ、私はアマゾンへの信頼を失ってしまった。例えば、Fire Phoneは単にダメだというだけでなく、アマゾンのいいかげんさが出ている本当に酷い製品だ。Android携帯の代わりにFire Phoneを手に入れた方が幸せになれると思う人は、地球上に誰もいないだろう。大げさに言っているわけではなく、触ってみれば、あなたは理解できる。ハードウェアはとてもひどくて、ソフトウェアは厄介だ。Fire Phoneを発売し、皆によくできた携帯電話だと伝えるマネージャーと同じくらい誤った考えを持っているとみるべきだろう。アマゾンの消費者へのブランドと戦略について何かを言うべきではないだろうか?
アマゾンのコンシューマーハードウェア戦略を理解することは私にはかなり難しいことだ。会社が私の理解できない戦略を持っている場合、じっくり考え、従業に尋ね、あるいは会社の動きを推進しているかすかな目的を得るために、マーケットを分析する。しかし、アマゾンではそれができない。単純に、製品の合理的な説明が無いのだ。唯一私がこれを考え出した: アマゾンはおもねるということを知らない、そして根本的にメディアを理解していないので、ハードウェアを作り続けるのだ。Amazon.comでは、大量に上手に製品を宣伝して販売する。そして、誤った成功の尺度を与えているのだ。
それがエコーチェンバーなのだ。製品を作り、Amazon.comで売り出され、Amazon.comの顧客に売り、誤った成功の感覚を得て、カスタマは商品を引き出しに押し込んだきり、決して使わない。その後、Amazonは次の製品に取り掛かるのだ。結局、Fire Phoneで、カスタマは反発した。Fireタブレットと同じように、携帯を買われず、孤独な引き出しに押し込み、決して二度と使わない。携帯はユーザのアイデンティティーの一部になるので、くだらない携帯を販売することで顧客を騙すことはできないのだ。
モバイルの消費デバイス(アマゾンのメディアストアやプライムビデオ/ミュージックを備えた)を作るというジェフ・ベゾスを動かしているように見えるメディア戦略には欠陥がある。もはや、誰も消費を目的としたメディアの販売で利益を出していない。そのマーケットは急速にそして容赦なく終わろうとしている。メディアマーケットは今、全ての利益がかろうじて収支が合うポイントと消費配信システムで得られる時間によって、利益を吸い出せるようとても効率よくなっている。巨大な利益(Apple)でデバイス自体を販売すること、あるいはより大きなメディア体験(映画シアターあるいはナイスなスピーカ)を提供することで、メディアで利益を出すことができるだけなのだ。安価でつまらないタブレットや携帯電話は、どこにもその方程式に適合しないのだ。
たとえ、アマゾンの目的がタブレットや携帯電話を売ること、皆がアマゾンからたくさんの小売物を買うことであったとしても、私はどのくらいそれが将来にわたって機能するのか分からない。その戦略は、何百万の人々がアマゾンの小売物を買うためにアマゾンデバイスを使うような極めて大きなスケールで働くだけだ。アマゾンの投資は合計何百万ドルというハードウェア戦略で作られている。そもそも最初の段階で小売利益が無いのに、どのように投資を回収するつもりなのだろう? まず人々が欲しがるものを作らなければならないだろう。そして、アマゾンの過去の実績を考えると、それを期待して待つ気にはなれない。
利益を得ることが苦手というアマゾンの小売戦略は、ハードウェア生産に向かうことを説明できない。人々は生活にフィットするハードウェアを買い、どのように世界で自分たちを確認するかということの一翼を担うのだ。もし、ハードウェアを売りたければ、2年前のサムスンがやった、あるいはAppleが常にそうであるように、ファッショナブルでなければならない。アマゾンはファッションを理解できないのだ。なぜなら、アマゾンには味気がなく、そのハードウェアは完全にダサく、品がない。
アマゾンは、自身のエコーチェンバーを通して、決してつじつまが合わず、決してうまくいかないような戦略に取り組む事で、ゆっくりと内と外から自分自身を崩壊させているのだ。
備忘録。ルータにインターネットのBGPフル経路を注入したくて、ググっていたら、いくつかツールが見つかった(1, 2, 3)。その中で、RouteViewsプロジェクトのMRTデータ(RFC 6396)とExaBGPを使ったやり方を試してみた。プラットフォームはメインメモリ4GBのXeonサーバで、OSはCentOS 6.5。Exabgpは「BGPの十得ナイフ」と名乗るだけあって、色々なことができそうだ。
ExaBGPの最新版は、Python 2.7が必要なので、Python 2.7系最新版を次の手順でインストールする。CentOSに開発キットをインストールし、Pythonで必要になる開発ライブラリを入れて、Pythonをmakeするだけ。
# yum groupinstall "Development tools" # yum install zlib-devel bzip2-devel openssl-devel ncurses-devel sqlite-devel \ readline-devel tk-devel # curl -O https://www.python.org/ftp/python/2.7.8/Python-2.7.8.tgz # tar xfz Python-2.7.8.tgz # cd Python-2.7.8 # ./configure --prefix=/opt/local # make; make altinstall
このまま、ExaBGPを使ってもいいが、MRTデータ変換はPypyがあった方が速いということで、続いて、PIPとPypyをインストール。Pypyのインストールは鬼のように時間がかかるので注意。
# curl -kL https://raw.github.com/pypa/pip/master/contrib/get-pip.py | \ /opt/local/bin/python2.7 # pip install greenlet sphinx # wget https://bitbucket.org/pypy/pypy/downloads/pypy-2.4.0-src.tar.bz2 # tar xvfj pypy-2.4.0-src.tar.bz2 # cd pypy-2.4.0-src # python2.7 rpython/bin/rpython --opt=jit pypy/goal/targetpypystandalone.py # mkdir -p /opt/local/pypy/bin # cp pypy-c /opt/local/pypy/bin/pypy # cp -r LICENSE README.rst include lib-python lib_pypy site-packages \ /opt/local/pypy
これで準備完了。次にインターネットのフル経路の準備をする。RouteViewsプロジェクトで、毎日のMRTデータが公開されているので、mrtparseというツールを使って、ExaBGPのconfigを吐き出させることができる。ファイルサイズは88MBほどになる(小さくするため、AGGREGATORやATOMIC-AGGREGATEのような属性を削除する方法がいいかもしれない)。
# git clone https://github.com/YoshiyukiYamauchi/mrtparse.git # cd mrtparse # pypy setup.py install // MRTデータをダウンロード # curl -O http://archive.routeviews.org/bgpdata/2014.11/RIBS/rib.20141106.0000.bz2 // フル経路を含むExaBGPの設定ファイルを作成 # pypy ./exabgp_conf.py rib.20141106.0000.bz2 > full.conf
ちなみに、pypyでは3分40秒ほどで終わったが、Python 2.7だと26分掛かる。
ここまで準備ができたら、フル経路を注入するルータを設定し、ExaBGPを起動するだけでよい。作成された設定をいじらないなら、ルータ側(IOS-XR)の設定は次のようになる。
router bgp 64512 bgp router-id 192.168.0.10 bgp enforce-first-as disable address-family ipv4 unicast ! neighbor 192.168.1.20 remote-as 65000 address-family ipv4 unicast route-policy all-permit in route-policy all-drop out soft-reconfiguration inbound alwaysExaBGPを起動する。
# wget https://github.com/Exa-Networks/exabgp/archive/3.3.2.tar.gz # tar xvfz 3.3.2.tar.gz # cd exabgp-3.3.2 # ./sbin/exabgp ../full.conf
BGPがEstablishedになったら、対向ルータ側でExaBGPから広報した経路が確認できる筈だ。
Neighbor Spk AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down St/PfxRcd 192.168.1.20 0 65000 2107466 2326 3202719 0 0 1d12h 541658
EFF(Electric Frontier Foundation)が、Facebook chat、Google Hangouts、iMessageなどメッセージ・アプリ/サービスの安全性を次のカテゴリでランク付けしたリストを公表した。
パーフェクトだったのが、ChatSecure+Orbot、CryptoCat、Signal/RedPhone、Silent Phone、Silent Text、TextSecure。一方、全滅なのがMxit、QQ。残念ながら、LINEは評価されていない。
備忘録。インターネットのルーティング情報データベースであるIRR(Internet Routing Registry)の検索は、歴史的な経緯でwhoisプロトコルが使われている。単純にプレフィックスやAS番号で検索するのが一般的だが、クエリフラグを使うともっと便利な検索ができる。
$ whois -h whois.ra.net -- "-s RADB 8.8.8.0/24" [Querying whois.ra.net] [whois.ra.net] route: 8.8.8.0/24 descr: Google origin: AS15169 notify: radb-contact@google.com mnt-by: MAINT-AS15169 changed: radb-contact@google.com 20140828 source: RADB
企業内でのコミュニケーションツールがまだ電子メールだけなんてところはまだ多いかも知れない。最近、チャットをメインにしたサービスが、メールに代わるコラボレーションツールとして使われている。わざわざ、Microsoftのエンタープライズ向けサービスを導入しなくても、企業向けのコラボレーションサービスが色々とある。例えば、Campfire、ChatWork、chatter (Salesforce)、Flowdock、HipChat、Slack、Yammer (Microsoft)などがそれだ。これらのサービスは、メールで出来る事はほぼ全て可能で、マルチプラットフォーム(iOS、Androidにも対応)、検索機能、スニペットやMarkdownが使えたり、他のサービス(Twitter、Github、Dropbox、Googleなど)との連携も容易であるという特徴がある。また、チャットツールに対応したボットも開発されていて、Hubotのようなフレームワークとの連携もできたりして、独自のボットを作成することもできる。
今週のThe Joy of Techは、新聞を読むとどんな感じか、そしてオンラインでニュースを読むとどんな感じか。最初は暖炉の前でくつろいで、誰にも邪魔されずに新聞を広げている絵、次はタブレットを使ってニュースを読んでいるが、背後霊のように様々なサービス(Yahoo!, Google, Twitter, Facebook, Amazon, NSA, ...)があなたを監視しているという絵。右下には、あなたの閲覧履歴をチェックする配偶者の存在を忘れないように、とのこと。
HyperCardよもう一度という話がSlashdotに出ていた(関連:Hacker News)。
Hypercard (1987年にApple Macintosh向けにリリースされたアプリケーション・プログラムおよびプログラミング・ツール)は、自分自身のソフトウェアをプログラムし、作成し、自分のマシンで動作させ、プリビルドされたソフトウェアを使わずにできる「みんなのコンピュータの利用(computing for the people)」という哲学を体現していた。『Macユーザは、税の精算、スポーツの統計管理や音楽を作るといった、便利で楽しい様々な個人ソフトウェアのミニプログラムを作るためにHyperCardを使ってきた』、ジャー・ソープ氏は、HyperCardの終了が、簡単に利用できる場、コンピュータユーザが自分でツールを作ることを再度普通の行為にさせるような直感的なツールといった、どうしても埋める必要がある大きなギャップを残した。ソープ氏によれば、この手の普通の言葉によるプログラミングは、とりわけプログラマではない人向けに設計されたアプリケーションでは当然のことである。『私は、初心者の最大の懸念事項はプログラムを書くという概念的な障害ではなく、複雑で紛らわしい文法要求のせいだということを感じている。JavaScript、JavaあるいはC++のような複雑な言語への円滑な道筋として、私は学生にHyperTalkを教えることが好きだ』。創作のツールを通して、広大なユーザベースの手に、少数の例外は除いて、今日存在しない具体性を持つ個別のアプリの作成を可能にするだろう。
HyperTalkは単に簡単というだけではなく、極めて強力な言語である。複雑なオブジェクト構造は込み入ったタスクを処理するために使えるし、ベース言語は今のプラグインの先駆けともいえる多様な外部コマンドや関数(XCMDやXFCN)によって拡張することができる。しかし、最終的に、HyperCardは90年中頃にはMacから消え、WebブラウザやHyperCardに影響を受けたアプリケーションによって影が薄くなった。HyperCardの最後のコピーは2004年にAppleが販売したものだ。この数十年に変化したことは、ホビーストが大部分が隅に押しやられてしまったということだ。「今は、ユーザあるいは一人前の開発者のどちらかで、大きな隔たりが以前より広がってしまった」とピーター・コーエンは書いている。「今では本当に無くなってしまって、私はMacが軽くなったと思う」
アレックス・ガーランドが脚本監督したSFスリラー映画「Ex Machina」(米で2015年4月10日公開予定)の予告が公開された(ソース:geektyrant)。
インターネットの検索大手の会社でプログラマとして働くカレブ・スミス(ドーナル・グリーソン)は、コンテストで勝ち、隠遁生活をおくるCEOのネイサン・ベイトマン(オスカー・アイザック)が所有する山荘で一週間を過ごす権利を手にいれる。カレブが山荘に到着すると、ネイサンの最新研究である人工知能のチューリングテスト(機能の評価、最終的には意識を持つかどうか)の評価を担当させられることを知る。その実験では、優雅でしかし人を欺く感情ある知性を持つエバ(アリシア・ヴィキャンデル)がいた。
M-Labのデータを使って、プロバイダの相互接続の通信がどのようにエンドユーザーのパフォーマンスに影響を与えているかの研究結果(PDF)を発表した(ソース:M-Labブログ, HackerNews)。米国内のアクセス系ネットワークとトランジット系プロバイダの相互接続はエンドユーザーへの通信パフォーマンスの低下に直接関連しており、その原因は通信容量が十分ではないからとのこと。レポートと同時に、「Internet Observatory」というデータ可視化ツールも公表した。
Dan Rayburn氏もブログでこのM-Labのレポートを取り上げている。このレポートから分かる事は、
マーベル・スタジオが、第3フェーズの映画タイトル、公開日、ロゴアートを発表した(ソース:Slashfilm,Geektyrant)。フェーズ3に入ると、キャプテン・アメリカ、ソー、ハルク、ブラック・ウィドウは参加せず、その代わりにアントマン、ドクター・ストレンジ、ミズ・マーベルが入ってくる。そして、アベンジャーズ3は2部に分けて公開されるとのこと。
「キャプテン・アメリカ: Civil War」では、アイアンマンとしてロバート・ダウニー Jr.も参加、ブラック・パンサー役のチャドウィック・ボーズマンのデビュー作となる。より詳細な内容な「エイジ・オブ・ウルトロン」で明らかになる。ドクター・ストレンジ役はまだ決まっていないようだが、カンバーバッチが候補に挙がっている。「ソー: ラグナロク」では、トム・ヒデルストンがロキ役で出演、アベンジャーズ2の後を描き、その後に続くシリーズの全てに影響を与える内容になる。「キャプテン・マーベル」は初の女性ヒーローになる。「インヒューマンズ」では多くの新キャラが登場する。「アベンジャーズ: インフィニティ・ウォー」ではサノスの脅威に対峙することになる。
キャプテン・マーベルを誰が演じるのかが気になるところ。SlashfilmとGeektyrantがそれぞれ候補を挙げている。Geektylantの方は、1-4が自由にキャスティングした場合、5-8が分かりやすいキャスティングとのこと。
| # | Slashfilm | Geektyrant |
|---|---|---|
| 1 | ケイティ・サッコフ | マッケンジー・デイビス |
| 2 | エミリー・ブラント | アナ・トーヴ |
| 3 | ナタリー・ドーマー | ブリット・マーリン |
| 4 | ゾーイ・ドゥイッチ | キャサリン・ウィニック |
| 5 | ニコール・べハリー | ケイティ・サッコフ |
| 6 | ブリー・ラーソン | エミリー・ブラント |
| 7 | シアーシャ・ローナン | ナタリー・ドーマー |
| 8 | サミラ・ウィレイ | イヴォンヌ・ストラホフスキー |
| 9 | マッケンジー・デイビス | |
| 10 | ローサ・サラザール |
マン・オブ・スティールの脚本を手掛けた脚本家のデヴィッド・ゴイヤー氏が、「Krypton (クリプトン)」と呼ばれるテレビシリーズを構想中とのこと(Slashfilm)。ゴッサムの成功に刺激を受け、内容はスーパーマンの前日譚的なもので、スーパーマンは登場せず、クリプトン星を舞台にエル家、ブレイニアック、クリプトン人の神話を描いたものになるかも知れないとのこと。
Googleは、新しいメールサービス「Inbox」を招待制で開始したが、彼らは5年以内にGmailを終了する(置き換える)のではないかという記事(ソース:ComputerWorld)。
電子メールは、仲介が入らない直接ユーザ間でやり取りが行われるコミュニケーションメディアで、通信サービスの中では土管(dumb pipe)と言われるものだ。Googleにとって、土管であることが問題で、Gmailよりも賢いものに置き換え、積極的にコミュニケーションの仲介に入りたいと考えている。「Inbox」はそのためのテストであって、うまくいけばGmailを置き換えるのだろうと見ている。
クルーグマン教授が、 NYタイムズで「Amazonのモノプソニーは悪い」という論説カラム(Op-Ed)を寄稿していた。普通、独占企業(支配的売り手)は価格を吊り上げるものだが、アマゾンはモノプソニー(買い手独占)の立場を利用して、価格下げの圧力を掛けることで独占を維持している。それは、アシェットとの間の争いで採るアマゾンの厳しい戦略から分かるとのこと。アマゾンは出版社に圧力を掛けることで、著者にも読者にも害を与えている。アマゾンは巨大な力を持ち、それを乱用している。
マーク・アンドリーセンは、典型的なクルーグマンのマヌーバーとコメントしている...(GENIUS)。クルーグマンにとって他のネット通販サイトを利用する不便さは受け入れられない。
最近、「アマゾンを止めなければならない」(NEW PUBLIC, Hacker News)という記事もあったなぁ。アマゾンへの批判が増しているような気も...
Googleの2段階認証では、今までHOTP(RFC 6238)のソフトウェアトークンを利用してきたが、FIDO Allianceの「FIDO Universal 2nd Factor (U2F)」と呼ばれるオープンスタンダードに準拠したハードウェアトークン(USBセキュリティキー)が利用できるようになった(ソース:Hacker News)。Chromeバージョン38以降で対応している。FIDO U2FのUSBキーの入手先は、YubiKeyが代表的だが、US Amazonで販売されているとのこと。一番安価なセキュリティキーは、Plug-upで$5.99で購入できる。FAQによると、一つのセキュリティキーで複数アカウントが利用可能。
HOTPは共通鍵方式だが、FIDO U2Fは公開鍵方式というところが強固な理由かな。
Mashableに、OS X Yosemiteのインストール用USBドライブの作り方が出ていた。
$ sudo /Applications/Install\ OS\ X\ Yosemite.app/Contents/Resources/createinstallmedia --volume /Volumes/Untitled --applicationpath /Applications/Install\ OS\ X\ Yosemite.app --nointeraction
DiskMaker Xを使う方法もある。
Emacs 24.4がリリースされた。目玉は、内蔵ウェブブラウザ(Emacs Web Wowser)、マルチモニター/フルスクリーンの改善、Electricインデントがデフォルト、フレーム/ウィンドウの状態を保存・リストアする機能、Emacs Lispパッケージのデジタル署名、ファイル通知、新しい矩形モードなど。
そういえば、LWNに「Emacs、Guile、Emacs Lispの将来」と題する記事があった。将来的には、Emacs LispのエンジンはGuileに置き換えられるかも知れない。
今日のAppleのスペシャルイベントで、噂通りの新機種(iPad Air 2、iPad mini 3、Retina iMac、Mac mini)が発表された。発表会の中で言及されていなかったが、面白いものも登場している。AppleがSIMを作って(Apple SIMと呼んでいる)、セルラー版iPadに同梱しているというのだ(ソース:9to5Mac)。そして、設定の中で、キャリアを選択して短期のプランを選ぶことができるという。選べるキャリアは、今のところ米英のAT&T、Sprint、T-Mobile、EEだが、今後他のキャリアも追加されるのだろう。将来的には、このSIMは内蔵されるようになるのかも知れないし、Apple自身のMVNOも考えられる。
2020年までに登場するDCコミックのスーパーヒーロー(ジャスティス・リーグ)映画(ソース:The Verge)。
マーベル側は、
GoogleがSSLv3の脆弱性を発見し、ブログで公表している(CVE-2014-3566)。SSLv3のCBCモードにおいて、パディングオラクル攻撃によって暗号文が平文に解読され、Cookieのような重要な情報が漏洩するそうだ。この脆弱性を突くにはMITMでSSLv3にダウングレードさせ、通信を傍受することが必要とのことなので、攻撃のハードルは高そう(NSAのようにタップしていれば別だけど、攻撃できるとしたら、暗号化されていないWi-Fi環境くらいかな)。
攻撃の回避方法はSSLv3の無効化で、その他の対策としてはSSLの実装にTLS_FALLBACK_SCSVをサポートし、SSLv3にフォールバックしないようにすることが推奨されている。サーバ側の脆弱性は、「https://ssltest.com」でテストでき、クライアント側のテストは「https://sslv3.dshield.org:444/index.html」で可能。サーバがSSLv3を使えるかは、下記の方法で簡単にわかる。
openssl s_client -no_tls1 -no_tls1_1 -no_tls1_2 -ssl2 -ssl3 -connect [web server]:443 OR nmap --script ssl-enum-ciphers -p 443 [web server]
具体的なSSLv3の無効化方法は、次のとおり。
SSLProtocol All -SSLv2 -SSLv3
ssl_protocols: TLSv1 TLSv1.1 TLSv1.2;
smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
OpenSSLプロジェクトから、セキュリティアドバイザリが出ているが、SSL POODLEの深刻度はMedium、SRTPメモリーリーク(CVE-2014-3513)の方が深刻。Googleは大騒ぎし過ぎだったんだな。
各国のインターネットの自由度を、1) インターネット権利の自由度(言論、プライバシ、アクセス)、2) プロバイダのセーフハーバ、3) ネットの中立性、の3点から評価し、地図で表したもの(The Free Internet Project, Hacker News)。日本の場合、
このページの言論の自由のところは、憲法22条ではなく21条の間違い。
2011年にxkcdから新たなパスワード生成法が提案された。意味の通る単語を複数つなぎ合わせて作ったパスワードは、覚え易く、文字数が多くなるので推測するのが難しくなるという方法だ。しかし、この方法は間違っていて、パスワードマネージャを使う事がもっとも重要だと断言している(Hacker News, Slashdot)。その論拠は、1) 選択するパスワードは極めてまれにしか使わないものにすべき、2) 我々の焦点は情報に基づく統計的攻撃に対するパスワードの保護であって、ブルートフォース攻撃に対してではない、3) パスワードを選択した際、最も重要な選択基準は、どのくらいの人が同じパスワードを選択しないかということである、4) セキュリティコミュニティが行う最もインパクトの強い事はパスワード強度メータを変更することで、普通のパスワードの利用を許可しないこと。
セキュリティ専門家でさえ、覚え易いパスワードの生成法をド素人に指南するが、一般ユーザでさえ数十にも及ぶオンラインサイトを使っている今、数十ものパスワードを覚える事ははっきり言って無理。結局は、推測されやすいパスワードを生成することになるだろう。
How To Split An Atomより。これら32冊は、ジャンルの境界を越え、思想家にインスピレーションを与え、社会の発展の重要な技術を予測した。
その他に読む価値のあるものとして、次の作品が上がっている。
iOS 8の普及が止まっていることを示す調査が出ているが、その理由として、iOS 8のバグの多さも指摘されているが、なんといってもOTA時にiPhoneのストレージ容量に5GB程度空きを必要とする点だろう。「Joy of Tech」でもその点が揶揄されていて面白い。
iOS 8: 適用して!
iPhone: あー。いや、私はいいよ、ありがとう。
iOS 8: わーー、なぜ??
iPhone: えっと、失礼ながら、きみは大きすぎるんだよ! 私はたったの16GBなんだよ!
iOS 8: iTunesを使えばいいんじゃない?
iPhone: それで、コンピュータに繋げる? うわぁぁ!そんなムカつくこと言わないでくれよ。それ流行遅れでしょ!
GigaOMに興味深い事が書かれていた。自らドラマ制作を手掛ける世界最大のビデオ配信会社、Netflixのアジア進出が取り上げられている。Netflixがローカライズのために言語スペシャリストを求人していて、その言語がアラビア語、ベトナム語、日本語、韓国語、イタリア語、ポーランド語、ハンガリー語となっているそうだ。ただ、2011年にも似たような求人はしているので、すぐにこれらの国に進出するわけではなさそうだ。ただ、韓国はコンテンツの関係から(韓国ドラマは世界中で人気が高い)、興味を持っているのではないかとのこと。
Chrome OSのStable版がバージョン38にアップデートされた。今回の目玉は、MTPをサポートしたことで、Androidとの間でファイル転送が可能になった(但し、Chromeboxはサポートされない)。アップデートしてみると、システムフォントがモトヤフォントからNoto Sansに切り替わったことが分かる。残念ながら、自宅のASUS C300にはまだアップデートが届いていない。
Goolgeが、エンタープライズ向けにChromebookが強化されていること(シングルサインオンのためのSAML認証、802.1X EAP-TLS、Citrix/VMwareとの連携など)。そして、Chrome for Workのユーザに対して新しい価格体系として、年50ドルというSubscription方式を追加したと発表した。Chromebook導入のハードルを更に低くするものになるだろう。
RIPE NCCとARINが、ARINが持つ23.128/10のブロック(IPv6デプロイ促進用に予約されていた)を使って、/24より長いプレフィックス長の経路広報と到達性に関する調査を開始したとのこと。手始めに、下表の/24、/25、/28の3つのパターンのプレフィック長が6経路広報されている。やはり、/24より大きなプレフィックスはフィルタされていて到達性も悪いようだ。RouteViewsを見ると、6つの経路が確認できる。もし、自ASにこれらの経路が届いていない、あるいは到達性が無ければ、どこかで経路がフィルタされているということだろう。
| Prefix | Ping可能なIP | IRRへの登録 |
|---|---|---|
| 23.128.24.0/24 | 23.128.24.1 | yes |
| 23.128.25.0/25 | 23.128.25.1 | yes |
| 23.128.25.128/28 | 23.128.25.241 | yes |
| 23.128.124.0/24 | 23.128.124.1 | no |
| 23.128.125.0/25 | 23.128.125.1 | no |
| 23.128.125.240/28 | 23.128.125.241 | no |
ウォルター・アイザックソンの新作はコンピュータやインターネットの礎を作った変革者・先駆者たちの話で、タイトルは「The Innovators: How a Group of Hackers, Geniuses, and Geeks Created the Digital Revolution」。直訳すると「変革者たち: ハッカー、天才、ギークたちがどのようにデジタル革命を創り出したのか」かな。
取り上げている人々は、世界で初めてコンピュータプログラムを書いたエイダ・ラブレス、情報検索システム「メメックス」の提唱者ヴァネヴァー・ブッシュ、コンピュータの概念を作ったアラン・チューリング、コンピュータの動作原理を確立したジョン・フォン・ノイマン、コンピュータネットワークの概念を作ったリックライダー、マウスを発明したダグラス・エンゲルバート、集積回路を発明したロバート・ノイス、そして、ビル・ゲイツ、スティーブ・ウォズニアック、スティーブ・ジョブズ、ティム・バーナーズ・リー、ラリー・ペイジなど。そして、章立ては次の通り。
560ページの本なので、日本語訳は上下に分冊されるんだろうなぁ。
サンチャゴ・L・バルデラマさんのブログ「I want my Apple back」(Hacker News)の超訳。
親愛なるApple
私はMacBook Pro、iPad、iPhone 6 Plus、そしてApple TVを持っている。私が5年もの間とても幸せなユーザだったのはたった一つの理由だ。それはあなたたちが素晴らしい製品を作って来たからだ。
あなたは体験が全てだという会社だ。ひとつの「YES」の前には、数えきれないほどの「No」があるという会社だ。人々が使う技術の考え方や利用方法を根本的に変えるのだという会社だ。
しかし、今、私は憂慮している。
iOS 8は100以上の新しい機能が搭載されたが、ものすごくバグが多い。私はYosemiteのベータ版を使っていないが、リリースまで残り数週間にも関わらず(おそらく今月)、どのくらいひどい出来かという話を聞いている。
このペースはあなたにとって速すぎる(あるいはそう見える)。あなたは速度を落として、深呼吸をし、周りを気にするのをやめるべきだ。
(私は何かがあなたのDNAを変化させたのだと思う。以前、あなたは競合相手をそんなに気にしたことはない。今日、もはやそれが当てはまらない)
私は、次のOS XやiOSが完璧さとバグの修正に全てあてることを願う。超高品質なオペレーティングシステムに戻って欲しい。20の不完全な新機能よりも完成された3つの機能でいい。
あなたはそれを可能にする時間、意欲、お金、そして人がある。もっとも重要なのは、あなたを愛し支持する私を含めて数百万のユーザを持っている事だ。
どうか、前に進んで大胆になって下さい。あなたが失ったものを取り戻して下さい。かつての製品を作って下さい。新しいものは要らない。ただいいものを。千倍いいものを。
戻って欲しい。
敬具
auひかりのマンションタイプもIPv6化完了したようだ。OS XやiOSだと、Privacy Extensionが有効になっているので、2つのIPv6アドレスが付いているのが分かる。OS Xで無効化する場合は下記のとおり。
sudo sysctl -w net.inet6.ip6.use_tempaddr=0 sudo sh -c 'echo net.inet6.ip6.use_tempaddr=0 >> /etc/sysctl.conf'
その他のパラメータは、
| パラメータ | デフォルト | 内容 |
| net.inet6.ip6.temppltime | 86400 | 一時アドレスの有効時間(1日) |
| net.inet6.ip6.tempvltime | 604800 | 一時アドレスの最大有効時間(1週間) |
| net.inet6.prefer_tempaddr | 1 | 一時アドレスを優先使用(1=yes) |
iOS 8ではプライバシー対策機能として、Wi-FiのMACアドレスのランダム化機能が取り入れられているとWWDC 2014で公表されていた。9to5Macが、AirTight Networksがその機能について検証し、レポートを上げている件を伝えている(1部、2部)。
まず、MACアドレスのランダム化機能はベータ段階では実装されておらず、正式リリースで利用可能になった機能だとしている。調査にあたり、2.4GHz(Ch 11)と5GHz(Ch 116)へのプローブ要求をキャプチャして、動作を検証した結果次の事が分かったそうだ。
- AppleはiOS 8が動作する全モデルで使えると謳っているが、検証した中ではiPhone 5やiPad miniは動作せず、iPhone 5sが動作した
- MACのランダム化が起こるのは次の条件が必要になる
- iPhoneがスリープモードに入る(ディスプレイがオフになるだけでは使われない)
- Wi-Fiはオンでなければならない
- 位置情報サービスはオフにしなければならない
- 上記条件の下で、次の特徴を持つプローブ要求でランダム化MACを使用する
- ランダムMACはローカルに管理されたMAC
- iPhoneがスクリーンロックし、120〜150秒で最初のランダム化MACのプローブ要求が送出される
- 同じランダム化MACが全チャンネル、2.4GHz/5GHzバンドで使われる
- 次のプローブ要求の処理間隔は大きくなり、最大385秒になり、その次は再度最初のように120-150秒になる。トレースの継続時間は1時間。
- これらのプローブ要求は全て同じランダム化MACアドレスが使われる
- プローブ要求で使われるランダム化MACアドレスはスリープモードから動作モードに入る度に変わる
- スリープモード中のプローブ要求はSSIDを付けて送らない(Nullプローブ)。
- MACのランダム化はiPhoneが充電中かそうではないかは関係無く動く
検証の際には、SIMカードを挿入していなかったが、SIMカードを挿入すると、突然ランダムMACアドレスが生成されなくなったそうだ。そして、モバイルデータ通信をオフにすると(位置情報サービスもオフ)、ランダムMACアドレスが現れたという。
MACアドレスのランダム化機能は、位置情報サービスとモバイルデータ通信を切った状態でなければ機能しないので、ほとんどの人はこの機能が使われていないことになる。彼らはこれを「iOS 8 MACランダムゲート」と呼んでいる。シュナイアーは名案と書いていたのだが...
Slashdotによると、ノースカロライナ大学のローラ・メルシニ＝ホートン教授が、ブラックホールが存在しなことを数学的に証明したと発表している。巨大な星が寿命を迎えて自重で崩壊し、ブラックホールが形成されるというのが一般的な説だが、彼女の主張は星が崩壊する際に起きると予想されているホーキング輻射が起こる際に、ブラックホールを形成するのに必要な密度にならないほど質量も放出してしまって、特異点や事象の地平線は決して形成されないとのことだ。まだ、査読を受けていないarXiv段階の論文で、Physics Letter Bに投稿中。
そういえば、彼女はあるサイエンス番組でWMAPのコールドスポットが平行宇宙の痕跡とする説を唱えていたような...。ユニークな仮説を唱える人なのかも。
Karl Kornel氏がiOS 8.0に登録されている認証局を分析している(Hacker News)。222の認証局が登録されており(HT5012)、署名アルゴリズムにMD2やMD5を使ったものがあるらしい。OS Xに入っているが、日本政府が運用しているGPKIやLGPKIの認証局も登録されている。iOSは、OS Xキーチェーンのように認証局を無効化できないので、Appleを信用するしかない、という点が気になる。
Stephane Chazelas氏が、GNU Bashに環境変数の処理に問題があり、外部から任意のコードを実行させることができる深刻な脆弱性(CVE-2014-6271)を見付けたそうだ。CGI、SSH、Telnetなどを通じてシェルやスクリプトを実行させる環境を持っていれば、注意が必要である。脆弱性は1.14から4.3までのバージョンに存在し、既にパッチは公開されている。下記スクリプトで脆弱性の有無をチェックできる(脆弱性のあるbashは、"echo vulnerable" が実行されてしまう)。詳細は、Red Hatのレポートを参照。
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
リリースされた修正は不完全で、Travis Ormandy氏によって別の攻撃法が見付かり(CVE-2014-7169)、今のところパッチは無い。取り敢えずの対処方法としては、
iOS 8がリリースされた。国内だけでも、一千万台はあると思われるiOSデバイスが、1台あたり1〜2GBのファイルイメージをダウンロードするのだから、インターネット全体のトラフィック量を2割ほど押し上げるというのも分かる。Appleは、これまでAkamai、Level 3などのCDNを利用してきたが、Apple自身のCDNを準備したという噂があった。iOS 8の配信はどうだったかというと、Apple自身のCDNからも配信された模様だ。
PeeringDBでAppleの情報を見ると、日本国内の主要IX (JPNAP、JPIX、EQUINIX)に接続しており、東京のデータセンタ2カ所に拠点を設置していることが分かる。そして、swcdn.apple.comをdigってみると、下記のように表示される(auひかり)。
;; ANSWER SECTION: swcdn.apple.com. 20862 IN CNAME swcdn.apple.com.akadns.net. swcdn.apple.com.akadns.net. 105 IN CNAME jptyo2.cdn-apple.com.akadns.net. jptyo2.cdn-apple.com.akadns.net. 5 IN CNAME geo.buni.guat.aaplimg.com. geo.buni.guat.aaplimg.com. 2 IN A 17.253.64.225 geo.buni.guat.aaplimg.com. 2 IN A 17.253.64.223
geo.buni.guat.aaplimg.comというのが、IPアドレスからしてApple自身のものだ。このアドレスにtracerouteをすると、国外 (香港?)に抜けて行く。AkamaiにCNAMEが向けられているのは、トラフィックの動向に応じて、Akamaiに切り替えられるようになっているのだろう。この国外にあるサーバからのダウンロードは非常に遅いので、これを捕まえてしまうと時間が掛かり、Akamai CDNが捕まえられれば速くダウンロードできるという事だろう(10分以内で終わる)。
今確認すると、swcdn.apple.comは全面的にアカマイに切り替わっている。トラフィックと合わせて類推すると、Apple CDNから配信されていたのは、02:00〜07:00のようだ。その後、アカマイに切り替わった。そもそも設定が間違っていたのか、Apple CDNの実力を確認したかったのかは分からない。Apple CDNは米のみで開始、他国はサードパーティCDNを使うという事なのだろう。
;; ANSWER SECTION: swcdn.apple.com. 1923 IN CNAME swcdn.apple.com.akadns.net. swcdn.apple.com.akadns.net. 20 IN CNAME jptyo2.cdn-apple.com.akadns.net. jptyo2.cdn-apple.com.akadns.net. 27 IN CNAME geo.buni.guat.aaplimg.com. geo.buni.guat.aaplimg.com. 28 IN CNAME ios8-apac-lb.apple.com.akadns.net. ios8-apac-lb.apple.com.akadns.net. 265 IN CNAME appldnld2.apple.com.edgesuite.net. appldnld2.apple.com.edgesuite.net. 9298 IN CNAME appldnld2.apple.com.edgesuite.net.globalredir.akadns.net. appldnld2.apple.com.edgesuite.net.globalredir.akadns.net. 265 IN CNAME a1271.gi3.akamai.net. a1271.gi3.akamai.net. 14 IN A 69.192.3.73 a1271.gi3.akamai.net. 14 IN A 69.192.3.66 a1271.gi3.akamai.net. 14 IN A 69.192.3.81 a1271.gi3.akamai.net. 14 IN A 69.192.3.72 a1271.gi3.akamai.net. 14 IN A 69.192.3.75 a1271.gi3.akamai.net. 14 IN A 69.192.3.74 a1271.gi3.akamai.net. 14 IN A 69.192.3.67 a1271.gi3.akamai.net. 14 IN A 69.192.3.64 a1271.gi3.akamai.net. 14 IN A 69.192.3.80
iOS 8のインストール数を予測しているサイトが軒並み、iOS 8の立ち上がりは遅いと指摘している。iOS 8のインストール条件が厳しい事(OTAの場合、ストレージに6〜7GBの空き容量が必要)が主な原因だが、Apple CDNの影響も少しはあるのではないかと思っている。
いよいよ明日(日本時間18日午後3時から午後10時まで)、スコットランドの独立の是非がを問う住民投票が実施される。NANOGのメーリングリストでは、スコットランドが独立した場合のccTLD (ISO国コード)は何になるのか、というのが話題になっていた。インターネットのccTLDは、ISO 3166-1 alpha-2をベースにしているが、ここにスコットランドは無い。「.sc」が一番良いのだろうが、セーシェル共和国(Seychelles)に割り当てられている。そして、「S」で始まる2文字はほとんどが埋まっていて、残りは「SP」,「SQ」,「SW」しか無い。古ラテン語でグレートブリテン島の北部を意味するカレドニアから「CE」という意見、スコットランド地方に住んでいた種族ピクトから「PC」あるいは「SP」という意見、gTLDにして「.scot」にするという意見も。
さて、スコットランドの住民は独立を選択するのだろうか?
