セキュリティ・ミニキャンプ in 東北 2014 に行ってきた話

タイトルの通り、9/13, 9/14に会津で行われたミニキャンプに参加しました。
その感想を書いていきたいと思います。
事前課題はオレオレSNSの脆弱性探しでした。

まず1日目ですが、各講師の講義を受けました。
中でも園田講師の「情報セキュリティの今そこにある危機」が印象に残っています。
サービス提供者の求める情報とユーザの持つ情報のどこまでが個人情報でどこからが個人情報ではないのか、また、単体では意味をなさない(個人情報足り得ない)ものでも、データマイニング的に複合化すれば様々なことを知ることが出来る。
なので、最近のスマートフォンに始まり、ウェアラブルデバイス(なんとかウォッチですね※妖怪ではない)が持つ情報などを駆使して、抽象的な人格コピーが可能になる日も近いのでは？事前に集積したデータから、その人が何かを感じて、思考となる前に機会側で推測することが出来るのでは？といった意見が大変興味深かったです。

続いて宮本講師による「情報セキュリティ人材は本当に不足しているのか？」でした。
この講義によると、2004年に登場したウィルスが未だに大量に報告されている、というものがあり、少々意外に思いました。ウィルス意外にも古い脆弱性はまだまだ残っているそうです。ただそういったものはアップデートや最新版を使えば何も問題無いケースが多いとのこと。
そして、情報セキュリティ人材は数万人規模で足りないらしいです。
情報セキュリティに携わっている人でも力不足な人も結構いるとか。

その後、少しの休憩を挟み、西村講師(イケメンだった)による「スマートフォンのセキュリティ概論」と「HTML5のセキュリティ」でした。
前者は「マルウェア」「リスクウェア」「脆弱性のあるアプリ」の3つについて詳しくお話しいただきました。
後者はHTML5に段々と移行していく中で、脆弱性を作りこまないようにするにはどうするかなど具体例も多くあってわかりやすかったと思います。
特に動的ページ生成部分にはDOM Based XSSさせないために注意が必要のこと。

最後に、LT大会がありました。
噂のらまっこ氏の「楽しいバグハントの世界」が人気を博していました。

大学での1日目の講義は終了し、晩御飯です。
どこで食べるのかと思っていたら、自分もたまに行く、「めでたいや」(かなりうまい)でした。


結構な量があり、苦しそうな人も何人か見受けられました。

宿泊場所は会津 日新館でした。
小学生の頃、一度だけ訪れたことがありますが、まさか泊まる場所があったとは。
そこでも、夜9時から、夜の部の講義を受けました。
竹迫講師による「脆弱性、指摘する人・される人、利用する人・賞金を稼ぐ人」では
脆弱性を発見した時に、どうやって報告するのか、また、脆弱性を探すぞ！となった時にどこまでが白でどこまでが黒になるのか、と言ったことでした。
ところが、案外グレーゾーンが多いようで、人によって白黒が別れる見たいです。


その後は寝るだけだったのですが、同じ部屋になった人と
事前課題の脆弱性探しをしました。
自分一人では(らまっこ氏のヒントありで)2つしか見つけられなかったのですが、協力して計4つ見つけられました。
そんな感じで、記憶では大体2時くらいに寝たはずです。


二日目は再び会津大に戻り、実際に手を動かす演習開始です。
まず、事前課題の脆弱性探しでした。

4チームに別れて行いました。各チーム名はらまっこ氏が名づけたそうな。
(ちなみに、事前課題にSQLInjectionの脆弱性は無く、というか別にSQLは使っていない。)

その後、各チームごとに見つけた脆弱性の発表をして、西村講師からの回答編でした。
XSS、CSRF、Web MeMessagingの脆弱性などなど、十数個の脆弱性があったようです。

その後昼食を挟んだ、最後の講義は竹迫講師による「攻撃検知システムを自作しよう」でした、本来はかなり時間をかけてやるものらしいですがだいぶ省略して2時間弱で行いました。
脆弱性のあるWebサイトに対するディレクトリトラバーサル攻撃をLinuxカーネルモジュールを使って防止してみるというもので、Linuxカーネルの話が出てきたので少しテンションが上がりました。
この講義はしっかりと長時間受けてみたいなあと感じました。
大学でもこういうのがアレば皆、嬉々として受けると思います。


以上、時間軸に沿ってミニキャンプを振り返ってみました。
そして、最後に宮本講師曰く
「何でも1万時間やればオーソリティを得られる。」
とのお言葉をいただきました。


今後も修行していきます。

コメント

コメントを投稿

このブログの人気の投稿

カーソルキーさん@つかわない インサートモード編

この記事は Vim Advent Calendar 2012   104日目の記事になります。 103日目は@ujihisaさんの unite-build でした。 Vimｯ!  使わずにはいられないｯ! カーソルキーでｴﾃﾞｨｯﾄ? 貧弱貧弱ｩ!! はい、すいません。 というわけで 以前、書いた記事にも似たようなことをチラッと書きましたが、改めてきちんと書きなおしてみます。 Vimmerであればノーマルモードにおいて、息をするよりも簡単にhjkl移動をすることだと思います しかし、インサートモードではどうでしょう？ 案外カーソルキーに手を伸ばしがちですね。 私もVimを使い始めたばかりの頃はそうでした。 そもそも、インサートモードにおいてカーソルキーを連打ってしまうくらいの移動ならば <ESC>してノーマルモードで移動すべきだと思います。 Vimは音ゲーでは無いので連打なんてするべきではないのです。 標準では以下のように与えられています。 下の行へ <C-G><C-J> <C-G>j 上の行へ <C-G><C-K> <C-G>k これでは物足りませんね(゜.゜) そこで、この上記に加えるといいであろう設定を列挙します。 <C-A> - 行頭 <C-E> - 行末 <C-F> -  右 <C-B> -  左 noremap! <C-A> <Home> noremap! <C-E> <End> noremap! <C-F> <Right> noremap! <C-B> <Left> noremap! <C-D> <Del> emacsライクに設定しています 私がこの設定にしている理由はMacを常用しているからです。 Macだと結構な割合でemacs移動バインドがテキストボックス内で使えるので案外役に立つのではないでしょうか。 あと、emacsも最低限の動作は覚えておきませんと。 emacsっぽいとか
続きを読む

Android で MIME Type 判別

ちょっとアプリを作っていてかなり悩んだのでメモとして残しておく MIME Typeというのは見たことはあるが、きちんと知らないので調べて見ました MIME 【Multipurpose Internet Mail Extension】 "マイム"と読むらしい 直訳してみれば、"多目的インターネットメール拡張機能"かな？ ネットワーク上で動画、音声、画像などのファイルを扱うための規格 RFC2045～2049で規定されている。  拡張子とファイルのデータを関連付けているものらしい " タイプ名/サブタイプ名"のように区切られて表現される 例としては、 text/html text/plain image/jpg application/pdf などなど さて、例えば、AndroidでSDカードにアクセスし適当なファイルを開いた際 どんなファイルか判別したいとする この時にMIMEを読み取り画像か音声かテキストか判別し 他のアプリにIntentを投げようと思います ※12/25追記:以下の方法だと動作しない場合があるので更に下に追記しました。 Android Developerの ここ を参考に //ファイル名からMIMEタイプ取得 public String GetMIMEType(String Path){ //拡張子を取得 String ext=MimeTypeMap.getFileExtensionFromUrl(Path); //小文字に変換 ext=ext.toLowerCase(); //MIME Typeを返す return MimeTypeMap.getSingleton().getMimeTypeFromExtension(ext); } 引数のパスは"/sdcard/Music/xxx.mp3"のように渡しています。 そこからgetFileExtensionFromUrlメソッドを使って、拡張子(mp3)を取得 それをgetMimeTypeFromExtensionメソッドに入れてMIME Typeを呼び出し元に返す getFileExtensionFromUrlとgetMimeTypeF
続きを読む

Erlang & Elixir Fest 2019 に参加してきた

Erlang & Elixir Fest 2019  に参加してきました。 来ました pic.twitter.com/dtShHONnzH — もぷり (@Mopp_jp) June 1, 2019 その感想をメモを兼ねて時系列順にざっと思うままに書いてみます。 開始前 Erlang & Elixir Festは過去に何度か開催されていたようですが、自分は今回が初参加でした。 場所は永田町で、10時開場、10:30セッション開始というスケジュールで、10:10くらいに入場しました。 会場は縦に長く、中央にプロジェクターのスクリーンが1枚という構成でした。 後ろの方に座るとスライドがよく見えないだろうと思ったので前の方の席を探すと中央の前から2番目というかなりのいい席に座ることができてセッション中に不自由しなかったのがとてもよかったです。 セッション 超並列高速実行処理系 Hastega 〜 Lonestar ElixirConf 凱旋帰国 本日の Erlang & Elixir Fest 2019 の発表資料を公開します。 #elixirfest https://t.co/OFdnRXZlaA — Susumu Yamazaki (@zacky1972) June 1, 2019 一つ目の発表はHastegaというElixirのコードをOpenCLに変換して分散処理をするライブラリ(でいいのだろうか)についての発表でした。名前の由来はFFの仲間を強化する魔法だそうです。現状はdefhastegaというマクロで囲んだ中にあるEnum.mapなどが変換され、並列処理されるようになるそうです。また、将来はdefhastegaマクロを使わずに、できそうなところは変換するようにしたいとも話していました。 スライドに性能評価はありましたが、コード生成の仕組みに悩んでいるとのことでリリースはされていないそうです。Hastegaを使ったコード例を見た限り、使う分にはシンプルそうでよさそうでした。 Erlang/OTP 22からはHiPEが非推奨になるのでそこも悩みどころ、と話しており、それについてツイートしたところ、記事を教えていただきました。 Joseから紹介された記事です。 https://t
続きを読む