極楽せきゅあブログ

ときどきセキュリティ

SECCON2018開催レポート（増補版）

一度このブログでも書いたけど、その大幅増補版。JNSAのメルマガよりさらに加筆してるヽ(´ー｀)ノ

 

例年SECCONは大きなイベントを1月末、あるいは2月の上旬あたりに北千住の東京電機大学さんをお借りして開催してたんですが、SECCON2018は2018年12月22日～23日に場所を変えて秋葉原UDXのAkiba Squareとダイビルのホールで開催しました。場所を変えた理由はいくつかありますが、ひとつは例年開催する1月も2月も「年度末」というシビアな時期に近いので運営の中の人的に苦しかったから変えてみたかった、ということです。わたし自身は役所に絡む仕事が多いので、一般企業とはちょっと違いますがそれでもやはり年度末は大変です。とはいえまぁ年度末ではなく年末というのも慌ただしいのですが、それでも今回年末にやってみたら年度を通しての大変さは少し軽減されたと感じています。
イベント集客力の強化も理由のひとつです。SECCONには現在多くのスポンサーがついていてそのご支援のもと活動していますが、現在は持ち出しオンリーになっています。そのあたり少しやり方を変えたいとも思ってはいますがなかなか。従って、ご支援が多ければ多いほどやれることが増えるのです。そしてまだまだやりたいことは多いのです。
そういう意味ではクリスマス直前という時期自体微妙だったかも知れませんが、少なくとも場所を秋葉原にしたのは効果があったと感じています。電気街口に近く、通り道として利用する人も多い開かれたエリアで、中が見える会場で開催したのですが、ふらっと入ってくる方々も予想以上に多かったようですし。その点子供連れを意識したワークショップを開催したことも大きかったかもしれません。
ワークショップはおかげさまでどれも立ち見まで出るほど大人気となりました。どんなものだったのかご紹介しましょう。

  • SECCON実行委員の白神一久さんによる「SECCON 2017 国際大会決勝戦問題Brainhackで遊んでみよう」
  • SECCON実行委員の竹迫良範さん、SECCON beginnersの前田優人さんによる「USBファームウェア改造ワークショップ」
  • SECCON実行委員でありCTF for GIRLSの中島明日香さんによる「出張版! CTF for GIRLS ワークショップ（バイナリ解析編）」
  • NTTデータの末吉亜樹子さんによる「出張版! CTF for GIRLS ワークショップ（Web問題編）」
  • スポンサーであるLACのアドリアン・ヘンドリック (unixfreaxjp)さんによる「Tsurugi LinuxでCTF入門」
  • 同じくスポンサーであるLACのアドリアン・ヘンドリック (unixfreaxjp)さんによる「radare2でソフトウエア解析入門」
  • SECCON実行委員の小出洋先生による「初心者向けハンダ付けワークショップ」と「BadUSBで遊ぼう」
  • SECCON実行委員の白木光達さんによる「初心者向けゲームセキュリティワークショップ」
  • スポンサーであるNECの園田健太郎さんによる「【学生限定】あなたのセキュリティ技術力を試そう！CTFワークショップ」
  • SECCON実行委員の坂井弘亮さんによる「ITかるたを作ってみよう！」（親子参加歓迎）
  • セキュリティ・キャンプ講師／今岡工学事務所の今岡通博さんによる「通信の基礎～LANケーブルを自作して通信をモニタリングしてみよう～」
  • スポンサーである富士通でセキュリティマイスターの称号を持つ坂井弘亮さん（SECCON実行委員でもあります）による「セキュリティマイスター道場(SecDojo) ～SECCON場所～「第6回バイナリかるた世界大会！？ in Akihabara」」
  • SecHack365トレーナーの川合秀実さんによる「初心者向けプログラミング体験ワークショップ」（親子参加歓迎）

複数回開催したものもあるのでTOTALで18個の開催となりました。
これだけたくさんの企画ができるのもSECCONならではと言えるのではないでしょうか（自慢）。SECCON祭りと言えばワークショップ、という風にイメージしてもらえたらと思います。

また今回は講演のプログラムを企画するプログラム委員として新たにさまざまな方を巻き込んでしまいました（笑）。そのコンテンツ力のおかげで、どの講演も多くのお客さんに来て頂けました。
こちらもご紹介しておきましょう。

  • 株式会社サイントの岩井博樹さんによる「脅威インテリジェンスから垣間みえる海外の諸事情と僕らの未来」
  • 湯淺墾道先生（情報セキュリティ大学院大学）、北條孝佳先生（西村あさひ法律事務所）、小屋 晋吾 さん(株式会社豆蔵ホールディングス）による「行列のできるSECCON模擬法廷」
  • ssmjpの方々（@nekoruri, @number3to4, @YuhoKameda, @ym405nm, @_keihino, @Typhon666_death, @ken5scal, @GreenShallot）による「ssmjpは何しにSECCONへ? (Why did ssmjp come to SECCON?)」
  • SECCON実行委員の忠鉢洋輔さん、マクニカネットワークスの凌翔太さん、そしてYOROZUプレゼンターによる「よろずトーク」。

おっと実は忠鉢さんは諸事情で登壇できませんでしたので、代わりをわたし園田が務めました（笑）。なおこのセッションはYOROZUとして展開したセキュリティツール自慢展示の方々にプレゼンターとして御登壇いただきました。

  • 小池倫太郎さんによる「日本からExploit Kitはどのように見えるのか？」

これらの講演にもたくさんの人に来て頂けました。
https://2018.seccon.jp/seccon/2018akihabara/

ところでいきなりYOROZUというのが出てきましたが、昨年度に続いて2回目の実施となるYOROZUは簡単に言えば自作ツール自慢のイベント内イベントです。BlackHatのArsenalやDEF CONのDemo Labなどと同様のもので、常設コーナー（ブース）で自慢したり、LT大会などで自慢したりします。実際海外のカンファレンスでArsenalなどに出た経験のあるSECCON実行委員の忠鉢さん、凌さんが中心になって企画したものです。
前々からの業界的な課題だと思いますが、日本のセキュリティ業界はもの作りとちょっと離れた関係にあり、独自のツールやプロダクトというのは非常に少ないのが現状です。そうした問題意識から例えばセキュリティ・キャンプではもの作りそのものに挑戦するゼミなどがあったり、NICTでSecHack365というロングハッカソンを開催したりしているのですが、そもそもみんなで自慢しようぜ、という企画はセキュリティに関わるもの作りを盛り上げる意味でとても重要だと思います。今回はロケーションのこともあって意欲的な観客以外はなかなか来て頂けなかったのですが、はもっと導線等を検討して、ブースに人が絶えないような形にしていきたいと思っています。
YOROZUの詳しいレポートはこちらで記事になっています＞ https://ascii.jp/elem/000/001/796/1796073/

CTF（Capture The Flag）は国際大会の方が素晴らしいデッドヒートとなり、盛り上がりました。CTFは見ている人にその楽しさや難しさを感じてもらうのがとても難しいのですが、年々改良されるNICTの井上大介さん部隊によるNIRVANAのインタフェースの良さに加えて、会場のレイアウトに余裕が出た今年は実況セッションや問題解説セッションなども加えてわかりやすさを向上することができたと思います。近年急速に勢いを増しているeSportsなどの先例を参考に、次回開催時ももっともっとわかりやすいビジュアルや解説にチャレンジしていきたいと考えています。
ちなみにどんな問題が出されたのかご紹介しておきましょう。
CTFの出題形態はクイズ形式と攻防戦形式、そしてKing of the hill形式というものがあります。今や世界では年間170もの国際大会が開催されているほど盛んになっていますが、実はそのほとんどがクイズ形式です。その理由は小規模な問題を数多く用意すれば良いので作問側も作りやすいからです。それに対し攻防戦は運営のコントロールが難しいためこの形式はあまり見ません。King of the hillは攻防戦よりコントロールしやすいと言えますが、こちらも数は少ないです。SECCONは毎年のファイナルでこの数少ないKing of the hillを選んでいますが、すべては比較的コントロールしやすく難易度の高い問題を出しやすいからです。
今年の国際問題は以下のようなものでした。

  • 壱：「攻撃」検知力を競う問題で、謎文字列を当てる問題が4つあり、それぞれを解くと攻撃点を得る。次に、その謎文字列の入力を検知するルールを作成し、最も攻撃検知力が高い（≒網羅性が高い）検知ルール（シグネチャ）を書いたチームが防御点を総取りする。防御ポイントに対する判定は5分に1回行われる。
  • 弐：イメージデータを入れて反応を見ながらオリジナルのイメージデータと、その識別装置の特性を探る問題。RGBごとにデータを入れると何％くらい近いという反応があるので、反応を見て探ることができる。2時間ごとに難易度などが変わる。
  • 参：アセンブラ力等を問う問題で、一定時間ごとに異なる動作が出題され、その動作をするプログラムを書いて難読化し、それを他チームに公開する。公開したプログラムを解析して難読化されたものを復元できたら他チームはそれを撃墜できたことになる。撃墜されるまでは君臨し（つまり防御点が入り）続ける
  • 肆(四)：CPUに独自命令を追加した疑似環境で実行したらパスワードをGETできるプログラムが配布される。プログラムは実行上の制限がある上に徐々に中身が変化するため、段々推測が困難になっていくので、プレイヤーは同様疑似環境を自分で作成できるようになる必要がある。なおマルチアーキテクチャ（鬼）。

ちなみにこの四番の出題者は坂井さんなのですが、2月のオープンソースカンファレンス（https://www.ospn.jp/osc2019-spring/modules/article/article.php?articleid=4）で詳しく解説するセッションをされていました。

  • 伍：制限されたシェルにログインし、プログラミング関連のクイズ（技術とトライアルと知識が必要）を解くとじゃんけんへの参加権を得る。クイズは7問あり、すべて解くと攻略点を得られる。防御点は他のチームとじゃんけんして勝てばGETできる
  • 陸(六)：Code-golf問題。MD5とSHA256のハッシュを計算するプログラムで最小のものを作ったら防御点の総取り状態を獲得できる。

ちなみにこういう問題を作りたい！という方がいらっしゃったら、info@seccon.jpの方までご連絡ください（笑）。

最終結果は日本勢が驚きの1-2-3フィニッシュ。国際大会となって今回で5回目で、これまで韓国勢の4連覇を許していましたが、東京大学のチームTSGが5連覇を阻止しました。優勝したTSGには経済産業大臣賞が贈られました。

今年は場所を広くしたおかげで、国内大会も同時に開催することができました。これはなかなか運営的にはチャレンジでしたが、二つの競技用ネットワークを安定的にハンドルするという難題をクリアしてくれたSECCON NOCのおかげでトラブル無く乗り切れました。大規模イベントの場合は有線・無線LAN等のサービス提供を安定して行うことはけっこう大変なのですが、機材のスポンサーになってくださったYAMAHAさんの多大なる技術的サポートのおかげもあり、競技用ネットワークに加えて会場のどの場所も安定供給を実現できたと思います。
国内大会の問題もご紹介しておきましょう。

  • 松島：乱数発生器を使ったビデオポーカー。乱数発生器の性質を解析し、良い役を狙う。フルハウス以上を出すと攻撃フラグ1の100点が手に入る。4カード以上を出すと攻撃フラグ2の300点が手に入り、防御フラグの入力ページに飛ぶ。
  • 宮島：アセンブラ力等を問う問題で一定時間ごとに異なる動作が出題され、その動作をするプログラムを書いて投稿する。誰も解いていない問題で、指定の通りに動作したら防御点を獲得できる。より短くて同じ動作をするプログラムが投稿されるまで防御点を獲得し続ける。攻撃点付きの問題を解いた場合には攻撃点を獲得出来る

こちらは国内では老舗のチームdodododoが優勝しました。学生で最終週だったチームm1z0r3と個人ではHarekazeのst98さんに文部科学大臣賞が贈られました。その他の順位などの結果はWebに掲載しています。
https://2018.seccon.jp/2019/01/final-result-of-seccon-ctf-2018.html

今回もSECCONらしいユニークな（笑）問題を揃えることができたと思っていますが、2012年からこのイベントを開催している中の人としては、問題作成で協力してくれる方をもっともっと増やしていきたいですね。そのための企画もいろいろと検討中ですのでご期待ください。
SECCONも8年目に入るわけですが、今年もおそらく冬に「お祭り」を開催することになりそうです。そのためにはもちろん、スポンサーさんが集まってくれることが重要なのです（絶賛募集中）。われわれにできることは中身の質の向上と充実ということになりますが、同時に今年は発信力も増強していきたいと考えています。これからもSECCONにご期待ください。

SECCON2018関連記事一覧：

日本の科学技術・教育関連予算の話

その他

 パスワードを間違えてログインできなかったせいで更新間があいてしまったｗ＞はてな

 

教育関連の予算って防衛関係と丸められて「その他」扱いになってるんだけど（笑）こちらに資料があるね＞https://www5.cao.go.jp/keizai-shimon/kaigi/special/reform/wg2/270828/shiryou2-2.pdf
実は予算額ってあんまり変わってないんだよね（スライド3）。現場からすると大きすぎる額かも知れないけど、微減という範囲ではある。さらに大学生の数ってのを見ると、（間接的なデータなんだけど＞https://education-career.jp/magazine/data-report/2019/college-student-transition/）これも変わってない。なのでざっくり言うと教育関連の予算って確保されて底堅さはある。
ただ、↑の内閣の資料スライド2によると社会保障費が恐ろしい勢いで増えているから、税収を増やして支出を削ろうとするのはある意味自然な思考の流れなのよね。社会保障費を削ろうとすると、投票状況からして票減るしね。サンプリングした部分的な数字だけど投票数の調査がある＞http://www.soumu.go.jp/main_content/000341053.pdf。これによると49才以下は78565人、50才以上は150541人。倍じゃん（笑）。そりゃ社会保障偏重になるよね。投票率には年代差があることが知られているけど、数の差をこれだけ見せつけられるとねえ。そういう中で教育関連予算がほぼ横ばいというのはむしろ健闘している方と言えるかもしれない。
しかし一方でそもそも絶対額が少ない問題があって（笑）、科学技術関連予算はhttp://www.nistep.go.jp/sti_indicator/2018/RM274_12.htmlによれば

国の経済規模による違いを考慮して比較するために、科学技術予算の対GDP比率を最新年で見ると、日本が0.66％、米国が0.78％、ドイツが0.89％、フランスが0.63％、英国が0.52％、中国は1.05％である。韓国は1.17％と主要国中トップである。

下にフランス、英国が居るのでまぁ悪くは無いけど良いとは言えない。↑の報告によると

2018年の日本の科学技術予算総額は3.8兆円である。科学技術予算は、2000年代に入ると、横ばいに推移していたが、2018年は過去最高値となった。中国は2000年代に入ると大きく増加し、2016年では22.4兆円となった。2012年から米国を抜いて世界トップの規模である。米国は2017年で14.9兆円となっている。ドイツについては2000年代後半から増加し、2017年では3.7兆円となっている。

とある。現状ドイツとほぼ同額だけど、ドイツくらいの対GDP比があったらもうちょいいろいろできそうなんだけどもね。
ってかもっと何とかならねーのと思うのは公的教育費ですかね。GDP比で見る公的教育費は115位＞https://www.globalnote.jp/post-1479.html。https://www.globalnote.jp/p-cotime/?dno=1000&c_code=392&post_no=1479を見ると98年からずっと100位付近でずるずる下がってきてる。さらに記事を引くと＞https://www.nikkei.com/article/DGXMZO35255610S8A910C1000000/によると、

2015年の加盟各国の国内総生産（GDP）に占める支出割合を見ると、日本は2.9%となり、比較可能な34カ国中で前年に続き最も低かった。OECD平均は4.2%。
一方で、日本の子どもにかかる学校関連の費用の総額は、小学校から大学までで1人当たり1万2120ドルとなり、各国平均の1万391ドルを上回った。教育費が比較的高いのに公的支出の割合は少ないことで、家庭負担に頼っている現状が浮かんだ。

とある。家庭負担。まじかよ。また、

調査は、日本の国公立大学などの授業料は海外に比べて高く、奨学金の利用者が卒業時に抱える負債を返済するのに最長で15年かかっていることも指摘し「加盟国の中で最も重い」とした。

とあるように結局ここに投下する予算が少ないことが響いていて、もともと額を増やさないとどうしようもないんだよね。無償化でどこまで良くなるか。大学院生は無償化対象としない云々ってのがバズってたけども、実際あっしのところで見てるもっと研究すれば良いのになー的な優秀な大学生が院に進まずに就職しているのを見ると、研究を地道に支えるそういう人たちの予算もちゃんと確保して欲しいんだけどねえ。

いろいろな告知

キャンプ セキュリティ SECCON SecHack365

今年度もセキュリティ・キャンプ全国大会でプロデューサーとしてバラエティトラックの企画をやってます。あと共通科目の「セキュリティ基礎」と選択科目の「CTF問題作成講座」を担当します。正式な募集開始はもうすぐなのでStay tunedでおなしゃす。 #seccamp #spcamp

NICTのSecHack365の方はもう募集を開始しています。課題フォームの申し込み締め切りが16日（火）17時JST。課題フォームの提出締め切りが19日（金）17時JST。ばしばし応募してくだされ。 #SecHack365

sechack365.nict.go.jpSECCONも2019年度の年間スケジュールを公開しました。 #SECCON

2018.seccon.jp

ぶっちゃけこんだけ重なってると裏の動きは大変なのだーあはははははヽ(´ー｀)ノ

CanSecWest

セキュリティ

普通に使われているソフトウエア、システム、OSの脆弱性をガチで探すので有名なPWN2OWNをやってるCanSecWestに初参加。昨年PacSecにも（実は）初参加しましたが、ご本家のCanSecWestは規模もずっと大きく、三日間ものすごく充実したコンテンツを展開していました。今年も華々しい成果を上げたPWN2OWNについては他の記事に譲りますが、講演も、何て言うか攻撃対象が広がったというか、幅広い感じのバリエーションがあって勉強になることも多かったですね。
例によってタイトルを列挙してみましょう。

Day1:

  • InfoSec Frameworks for Misinformation - Sala-Jayne Terp. Bodacea Light Insudtries
  • Attacking .NET through CLR - Zing Shikang
  • vs com.apple.security.sandbox - Patroklos Argyroudis, CENESUS S.A.
  • PAC-Man and Ghosts: A practice and breakthrough of Pointer Authentication on iOS - Xiaolong Bai, Min [Spark] Zheng, and Hunter Qu, Alibaba Inc.
  • Karta - a source code assisted binary matching plugin for IDA - Eyal Itkin, Checkpoint Research
  • Tales from the Bug Mine: Highlights from the 2018 Android Security Bulletin - Lilian young, Google

Day2:

  • Hacking Microcontroller Firmware Through USB - Boris Larin, Kaspersky
  • ZigWasp: Discovery of Secret ZigBee Firmware to Accelerate Analysis - KunZhe Chai and Jie Fu, 360UnicornTeam
  • Pandora, Cassandra and Aristotle: An ancient Greek Perspective on Hardware Trojans - Joeseph FitzPatrick
  • Adversarial Examples: Using AI Cheat Ai - Menayun Tang, Tencent Labs
  • Weponized WPA2 Wifi - Jiaheng Wang and Jun Xie, Alibaba Inc.
  • Attack Infrastruatuce for the Modern Red-Team - Topher Timzen and Michael Leibowitz
  • IR-dventures fron the vendors basements, Circa early 2000s - Luiz Eduardo, Aruba Threat Labs

Day3:

  • Dangers of Using Fully Homomorphic Encryption, a loog at Microsoft SEAL - Zhiniang Peng and Minrui Yan, Qihoo 360
  • Memsad: Why Cleaning Secrets is Hard - Ilja Van Sprundel, IOActive
  • The Dwelling Place of Zero Days (Windows 10 RS4) - Boris Larin and Anton Ivanov, kaspersky
  • Device Driver Debauchery and MSR Madness - Ryan Warns, FireEye FLARE Offensive Task Forcem and Tim Harrison, Independent Security Researcher
  • Dive into Windows Hello: Is it really more secure than a password? - Hyoung-Kee Choi and Ejin kim, HIT Lab, Sungkyunkwan university
  • From SSRF to RCE (and Windows Credentials) - Yonglao Wang and Yang Zhang, Qihoo 360

https://cansecwest.com/agenda.htmlご本家もアジェンダが最新状態になっていたのでリンク。開催当日は最新状態じゃなかったんですよねｗ。

cansecwest.com全体としてあっしの興味を惹くテーマが多かったし、総花的総括よりは掘り下げる系が好きなんですがそういう講演が多くて楽しめたんですが、一つだけ不満なのはAI系列の話ですかねー。これはCanSecに限ったことでは無いんですが、学術系ではないところのAI系の発表って学術系での議論の周回遅れ的なものが多く、その点は学術系の方がおもしろいものが多い感じ。逆説的ですが、もしかしたらそれは学術の研究成果が実装として活かされてないということかなと思ったりしてます。わたしたちの研究グループでも実は数理モデルに基づいてWAFを作ったりしていますが、ご要望はあるもののまだきちんと公開・宣伝できていませんしね。そもそもコードが使える形になっていない研究とかも多いし。研究者とコード、github的なものとかとの断絶なんですかねーなんかそこが勿体ない気がします。
それはそれとして、CanSecWestそのものはすごく楽しかったし勉強になるところも多かったので（すごく大規模なのに運営や進行がめっちゃ手作りなところとかｗ）、クロージングで「また秋にPacSecやるから、AVTokyoもCODEBLUEもあるしみんなトーキョー行こうぜ！」と宣伝してくれてとてもありがたかったです。来年もまた行きたいなぁ。

サイボウズライブありが㌧

その他

3月は別れの季節（本当のお別れは4月だけどｗ）。使い始めてから早7年。最初にハコを作ったのはおそらく2012年4月1日。4月15日までで全然使えなくなるんですよね。いやーマジでお世話になりました。本格的に使い始めてからは運営の方々にいろいろ無理を言ったりしつつ使い倒してきた感がありますね。今に至るまで大慌てでデータのバックアップをし続けていますが、試しに参加してるハコの数を見てみたら201個もありましたよー。ROMのヤツも多かったんですが、書き込みも相当しましたねー。データ量カウントしたいところだけどまぁ止めとこうｗ。料金とか気にせずハコをたくさん作れる仕組み（中の人はいろいろ大変だったろうなぁ）にとても助けられました。サイボウズライブ無しではできなかったプロジェクトも多いと思いますね。ありがとうございました。

OffensiveCon

セキュリティ ファジング

ベルリンで開催されたOffensive Security Conference（https://www.offensivecon.org/）に参加してきました。このカンファレンスは2018年から始まり、スポンサーも派手に募らず小規模にテッキーなことを追求するカンファレンスです（参加者450人程度とのことで、確かにそれほど大きく無いメイン会場とサテライトしかありません）。その名の通り攻撃をテーマとし、さまざまな手法やアイディアを披露し合う場になっています。

https://www.offensivecon.org/speakers/

講演タイトルを並べてみましたが、これを眺めるだけでもその「攻撃性」が垣間見えるのではないでしょうか。

  • OSX XPC Revisited - 3rd Party Application Flaws
  • Glitch in the Matrix: Exploiting Bitcoin Hardware Wallets
  • Reverse Engineering of Error-Correcting Codes
  • Attacking Edge through the JavaScript Just-In-Time compiler
  • Bypass Windows Exploit Guard ASR
  • Growing Hypervisor 0day with Hyperseed
  • Coverage-guided USB fuzzing with syzkaller
  • 3D Accelerated Exploitation
  • Attacking Hardware Root of Trust from UEFI Firmware
  • macOS: How to gain root with CVE-2018-4193 in < 10s
  • Updated analysis of PatchGuard on Windows RS4: Is the mouse finally caught?
  • Attack surface of a connected vehicle
  • Bugs so nice they patched them twice! A (continuing?) story about failed patches
  • iOS dual booting demystified
  • IPC you outside the sandbox: One bug to rule the Chrome broker
  • Modern Source Fuzzing
  • FuzzIL: Guided Fuzzing for JavaScript Engines
  • Reversing without Reversing

このラインナップは楽しいとしか言い様がありません（笑）。香港VXのアンソニーは「ブラックハットよりおもしろい」って言ってましたが、その意見には完全に同意です（もっとも、わたし自身はブラックハットは通してちゃんと見たこと無いんですが（笑））。どこかテッキーすぎないようにコマーシャルに寄ってる印象がある近年のBlackHatより、突き抜けていておもしろい。さらに言うとDEF CONよりクオリティが揃っていて高い。各講演の前提知識もかなりハードコアで、知らないと楽しめないという側面はあるものの、だからこそ楽しいわけです。さすがにトレーニングまでは受講し得なかったんですがそちらも含めて魅力的なプログラムです。
以前ファジングの本を監訳したこともあり注目していたのですが、ファジングの活用が拡がっているのが興味深いところでした。ファジングの効率化、というアンビバレントなテーマの研究が最近目立っていますが（実はSecHack365でも二年続けてAmelican Fuzzy Lopの改良テーマが出ています（成果ポスターはこちらで見ることができます＞https://sechack365.nict.go.jp/））、このカンファレンスでは研究的なアプローチというよりも実装面での応用、活用のアイディアが提示されていました。研究の成果によってドラスティックに効率化が図れたらそれはそれでとても良いことなんですが、コンピューターの性能向上っぷりにベットしつつ、ミニマムな活用で効果を上げるというのも併せ、両面の改良アプローチが必要だと感じさせられました。この分野は引き続き注目していきたいと思っています。

二つの取材の違い

セキュリティ


NHKの衝撃的な「無差別侵入」「プライバシーの侵害」というスーパーネガティブパワーワードな報道からの高橋睦美さんの記事。なんでこんなに差がついてしまうのかなぁ。

政府のIoT機器調査、無差別の「力業」に踏み切った背景は (1/4) - ITmedia NEWS


前例が無いことを国が大胆にやろうとすると、それこそあらゆる批判が巻き起こるのは仕方がないと思うんだけどねー。東洋経済の良い政策を褒めるって記事が好きだったんだけど、短期ですぐ終わっちゃった感。他媒体とかに同じようなの出て来るかというと全然無いし。

地味だけどいい政策を探しにいこう | 東洋経済オンライン | 経済ニュースの新基準


いや、褒めろって強制するとかじゃなくてですね（笑）、なぜそういう差になったのかってことですね。
やっぱあれだな、危機意識が共有できていなかったことが大きいのかなー。つまり、高橋さんの記事にある「なぜそんな力業に踏み切ることになったのか」って部分ですね。IDはよくあるものだけどパスワードがかかっている、という状態で出荷されるIoTなブツは、そのパスワードは一台一台別なものが設定されるのではなく、何百台何千台も同じパスワードが設定される、ということ。さらにそのパスワードは、紙に印刷されたマニュアル、メーカーのWebサイトに行けばPDF形式でダウンロードできる電子データのマニュアルにそのまんまの文字列が記載されていたりする。なので、あまりに公知すぎて不正アクセス禁止法が定義する「識別符号」ですらない（笑）「パスワード」なんだけど、そういう状態のものをあぶり出して「ヤバいですよーあっという間にやられちゃいますよー」というのをプロバイダー（ISP）さんたちにご報告。プロバイダーさんたちはその機器の持ち主に連絡して、パスワード変更等を働きかける、というのがこのNOTICEって事業なんだよね。んで、IDとパスワードを入力し、ログインできてしまうかどうかしか試さない。マニュアルに記載されているIDとパスワードをそのままにしているかどうか、この調査はそこにしか関心が無いし、ログインできたからといって中身を見るコマンドとかは一切叩かず、そのまま静かにログアウトするだけ。前段でポートスキャンはするけど、ザッツオールってヤツですね。
それで警告できてしまうような状態のIoTが世の中とても多いってことなんですよね。これが背景の危機意識。
この辺の理解がねー、NHKさんには足りなかったってことなんでしょうかねえ。
高橋さんの記事ではここまでを咀嚼していただいた上で、「今後NICTが公開する調査結果等の情報を注視し、その結果の対策にも注目しよう」とか「この名前を利用したさまざまな詐欺が出て来る可能性もあるので、それへの対策もお願いしたい」と書いてくれています。いやー建設的ですね。煽るだけ煽ってその姿勢を未だにあんまり変えていないNHKさんとは大きく違うよねー（笑）。「深掘り」って土曜日にやってた番組のために何度も取材に応じていろいろ助言して概念をディスプレイする模型とかの案までチェックしたのに当日出演無しとなった挙げ句クレジットすら皆無だったことなんて別に根に持って無いけど（爆笑）、もうちょっと頑張って欲しいなぁ＞NHKさん

NOTICE｜サイバー攻撃に悪用されるおそれのあるIoT機器の調査、注意喚起を行うプロジェクト