hirax.net::Keywords::「セキュリティ」のブログ

■流れている電子メールを解読してみる　

目的のためには手段は正当化されるか?

　今月のC MagazineのNetWatch Cool&Hotはセキュリティ特集だった。その中でEthernetに流れているパケットの中からMailに関するデータを表示するソフトの紹介があった。もちろん、自分宛てのものだけでなく、他人宛ての物も全て表示するソフトである。
　こういったソフトの正しい使われ方というものがあるとは思えないのだが、技術的には興味がある。ネットワークに関する勉強もしてみたかったので、同じようなことをしてみたい。

　言うまでもないが、今回の実験は家庭内のLAN内ですべて行っている。ただし、メールサーバーは外部のものを使用してはいる。

　自分宛てでないパケットを見る(sniffing)にはイーサーネットのインターフェースをプロミスカス・モードで動かしてやれば良いという。UNIXであればtcpdumpを始めとしていくつもフリーのソフトがある。Windows上で動かすことを考えても、いくつかのフリーソフトがあった。また、OpenDesighnNo.10にプログラミングの例があった。OpenDesighnはソース配布がディスクでしか行っていないのが残念だ。

　今回はWindows上でプロミスカス・モードでパケットをダンプしてくれるソフトを用いた。普通に探せば、すぐに見つかると思う。

　それでは、流れているパケットを見てみる。パケットのダンプ画面には部分的に伏せ字を入れた。また、ユーザー名やパスワードはオリジナルとは違う文字に入れ替えてある。

　LANに繋がっているLibretto50でメールサーバーに対してメールチェックを行った際に流れたパケットを同じネットワークに繋がっているPortege320で読み取ったものの一部が下のものである。

Packet No.: XX00000005Time: 0361530480 msec Length: XX
Ethernet Dest: XX.00.F4.5F.2D.F8 Src: XX.00.24.30.08.ACType: 0x0800
000000: XX XX XX 5F 2D F8 XX XX : 24 30 08 AC 08 XX XX XX..._-...$0....E.
000010: XX 34 58 05 40 XX XX 06 : B3 C2 AC 12 XX 02 D2 E6.4X.@. ..... ...
000020: B0 01 04 XX XX 6E XX 2C : 14 F7 XX AE 43 03 XX 18...f.n.,....C.P.
000030: 22 0B 98 18 XX XX XX XX : XX XX XX XX XX XX XX XX".....USER john
000040: XX XX:................

Packet No.: XX00000006Time: 0361530540 msec Length: 88
Ethernet Dest: XX.00.24.30.08.AC Src: XX.00.F4.5F.2D.F8Type: 0x0800
000000: XX XX 24 30 08 AC XX XX : XX 5F 2D F8 08 XX XX XX..$0....._-...E.
000010: XX 4A E0 27 40 XX EE 06 : 5D 89 D2 E6 B0 01 AC 12.J.'@...].......
000020: XX 02 XX 6E 04 XX XX AE : 43 03 XX 2C 15 03 XX 18..n.f..C..,..P.
000030: 22 XX 24 26 XX XX 2B 4F : 4B XX XX XX XX XX XX XX"8$&..+OK Passwo
000040: XX XX XX XX XX XX XX XX : XX XX XX XX XX XX XX XXrd required for
000050: XX XX XX XX XX XX XX XX :john...........

Packet No.: XX00000007Time: 0361530550 msec Length: XX
Ethernet Dest: XX.00.F4.5F.2D.F8 Src: XX.00.24.30.08.ACType: 0x0800
000000: XX XX XX 5F 2D F8 XX XX : 24 30 08 AC 08 XX XX XX..._-...$0....E.
000010: XX 37 59 05 40 XX XX 06 : B2 BF AC 12 XX 02 D2 E6.7Y.@. ..... ...
000020: B0 01 04 XX XX 6E XX 2C : 15 03 XX AE 43 25 XX 18...f.n.,....C%P.
000030: XX XX XX XX XX XX XX XX : XX XX XX XX XX XX XX XX!./...PASS 12345
000040: XX XX XX XX XX:678.............

　このダンプ画面を眺めると、次のような

　Libretto:私はjohnですがメールチェックをさせて下さいな。
　サーバー:じゃぁ、johnさんのパスワードを言って下さい。
　Libretto:12345678です。

IPパケットの構造について(http://www.dtinet.or.jp/~torao/program/)

Hey!Java Programming! (http://www.dtinet.or.jp/~torao/program/protocol/pop3.html)

を参考に考えてみた。 例えば、先のイーサーネットに流れているメールに関するパケットの中からメールの内容を見るにはどうしたら良いだろうか。

　ひとまず、先頭54Byteと末尾2Byteを捨ててやればTCPの部分だけを取り出せて、良いように思える。また、TCPのポート番号のみでフィルターをかけてやれば、任意のプロトコルのみを取り出すことが出来るだろう。多分。ここでは、47,48Byte目か?

　そのようなフィルターを作成し、取得したパケットにかけてみたのが以下である。

. RETR 1 +OK 771 octets Received: from xxxx (xxxx.xxxx.ne.jp[xxxx.xxxx.251.14])
by xxxx.xxxx.ne.jp (xxxx.xxxx.1/3.7W) with SMTP id xxxx
for <xxxx@xxxx.ne.jp>; Wed, 23 Dec 1998 11:20:54 +0900(JST)
Message-ID: <xxxx@xxxxxxxx>
From: "xxxx" <xxxx@xxxx.xxxx.xxxx.xxxx>
To: <xxxx@xxxx.ne.jp>
Subject: test 試験
Date: Wed, 23 Dec 1998 11:43:38 +0900
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 4.72.2106.4
X-MimeOLE: Produced By Microsoft MimeOLE V4.72.2106.4
Content-Type: text/plain;
charset="iso-2022-jp"
X-UIDL: 57c82a0ae2ea513ae1221c507123f459

This is a test.
これは日本語です。
さて、読めるでしょうか。

. DELE 1 +OK Message 1 has been deleted. QUIT +OK +OK Popserver at xxxx signing off. +OK

　他人のメールの内容を見るのは私的利用であれ、公的利用であれ、許されるとは思えない。また、例えネットワーク管理者が行うにしても、「メールを盗み見する」という予告・了解なしに行って良いとは思えない。先のメールの内容を盗み見するソフトにどんな正当な使い方があるのだろうか？

■「私と好みが似てる人」 その2　

ログ解析の6ヶ月点検

　本サイトが公に公開されるようになってから6ヶ月経った。新車でも購入してから半年経てば、6ヶ月点検があるのだから、本サイトについても6ヶ月点検を行ってみたい。

　まずは、週別のアクセス量変動を挙げてみる。

1998/12/13-1999/4/24の週別アクセス量

Overall Accesses

　アクセス数は割に順調に伸びているようである。1999/02下旬辺りにネットワーク不調とログ解析失敗などによるデータ欠損が見られるが、それ以外ではほぼ線形に増加している。1999/4上旬に増加の傾きが変化しているのはinfoseekにページを登録したことによるものと考えられる。

　次に、時間別アクセス量である。以下に示すのは、1999/4/18-24の時間別アクセス量である。
　これを見ると、深夜3時位にアクセス数がぐんと減ることがわかる。深夜3時位に眠りにつく人が多いのだろうか。
　そして、早朝5時過ぎからアクセス数が増えていくことがわかる。5時過ぎくらいから活動を始める人も多いようだ。そして、昼の12時辺りにひとつピークがある。これは、企業の昼休み時間にアクセスしている人達によるものだろう。次に15時位に大きなピークがある。これは、何だろうか？まさか、おやつの時間ではあるまい。企業ユーザーが一服しているのだろうか？小さい18時辺りのピークも、企業ユーザーの就業時間の終わりを示すものと思われる。
　そもそも、こういった昼間の時間別アクセス数から見えてくるユーザーというものは、時間に縛られる企業ユーザーになってしまうのだろう。

1999/4/18-24の時間別アクセス量

　さて、次はアクセス数のサイトランキングである。ただし、ここでのサイト=IPアドレスであり、ドメイン解析は行っていない。したがって、同じドメインからアクセスがあっても、IPアドレスが異なれば違うサイトとして計算している。そのため、proxyを使っているような所が、ランクインしやすいということになる。もちろん、proxyを使っていれば、実際よりアクセス数は少なくなるわけだが、今回の比較においては、明らかに同じサイトと判断される分有利なのである。
　それでは、最近4週間分のトップ10を示してみる。

　トップ1に4回中2回も位置しているのはKyotoPneTである。このサイトは京都周りのネットワーク総合体のようだ。色々集まっている分、アクセス数が多いのだろう。
　それでは、週別にコメントをつけてみたい。
3/28-4/3 医学関係が2つランクインしている。おや、九州大学医学部耳鼻咽喉科と言えば、私の一番大好きな「今日の必ずトクする一言」で有名な「バーチャル耳鼻咽喉科」と同じサブドメインである。
4/4-10 通商産業省は公益機関のランクインが少ない中でなかなか健闘している。阪大レーザー核融合研究所はこの2週後のFermi研究所と関係あるのだろうか？
4/11-17 MeshNetの厚木からアクセスされている方が一位である。個人のアクセスというのは非常に嬉しい。この週は個人の方が多い。喜ばしいことだ。
4/18-24 常連だったキヤノン裾野が消え、RICOHがランクインしている。このあと、WEBページは会社の顔色- WEBページのカラーを考える 2 - (1999.04.26) でRICOHのWEBのデザインに苦言を呈しただけに、反応が気にかかるところである。おやおや、ASCIIもランクインしている。

　それでは、3ヶ月前に「私と好みが似てる人」 - analog Windows版用のサブドメイン解析ソフトを作る- (1999.01.24) の時に調べたドメインランキングとの比較をしてみる(こちらは、ドメインランキングであって、今回のサイトランキングとは異なる。今回の場合、同じ人がアクセスしても、IPアドレスが異なれば、違う人としてカウントしていることになる)。

1: canon.co.jp (キヤノン)
2: sony.co.jp (SONY)
3: atr.co.jp (株式会社国際電気通信基礎技術研究所)
4: infocom.co.jp (日商岩井)
5: waco.co.jp (ワコービジネス)
6: odn.ad.jp (オープンデータネットワーク)
7: nttpc.ne.jp (ISP事業者向けネットワーク提供サービス)
8: att.ne.jp (日本AT&T株式会社)
9: saitama-u.ac.jp (埼玉大学)
10: kokushikan.ac.jp (国士舘大学)

　今回と共通してトップ10入りしているのはキヤノンとワコーである。前回も今回も技術系のサイトばかりである。私が技術マニアであるからしょうがないか。それこそ、「私と好みが似てる人」達なのだろう。

次は「できるかな」内の人気ランキングである。こうしてみると、

• 本人が便利なものは、他人も便利(ex./dekirukana/server/)
• 本人はいまいちだが、読まれている(ex./dekirukana/java/)。
• 本人は気に入っているのに、人気がない(ex./dekirukana/harddisk/)。

#reqs: %bytes:      last date: file-----: ------: --------------: ---- 4185: 18.07%: 99/05/15 07:49: /   13:  0.04%: 99/05/12 13:51:   /? 1855:  2.18%: 99/05/15 02:33: /dekirukana/java/ 1093:  1.24%: 99/05/15 07:38: /dekirukana/server/  839:  1.74%: 99/05/15 07:08: /dekirukana/snif/  789:  0.68%: 99/05/15 04:01: /dekirukana/dorae/  762:  0.58%: 99/05/15 02:36: /dekirukana/screensave/  633:  0.83%: 99/05/15 05:32: /dekirukana/photoshop/  623:  1.20%: 99/05/15 07:20: /dekirukana/whois/  577:  0.99%: 99/05/15 04:20: /dekirukana/1999/  543:  0.64%: 99/05/14 22:53: /dekirukana/tire/  501:  0.80%: 99/05/15 01:55: /dekirukana/digicame/  435:  0.52%: 99/05/15 00:51: /dekirukana/e55/  435:  1.22%: 99/05/15 02:23: /dekirukana/ufo/  427:  0.37%: 99/05/15 04:15: /dekirukana/ocilo/  392:  0.43%: 99/05/15 06:53: /dekirukana/screensave2/  373:  0.50%: 99/05/15 05:23: /dekirukana/fem2/  321:  0.63%: 99/05/15 02:49: /dekirukana/wavelet/  320:  0.56%: 99/05/15 05:28: /dekirukana/ekisyo2/  279:  0.32%: 99/05/14 22:30: /dekirukana/hamaphoto/  267:  0.37%: 99/05/14 23:25: /dekirukana/real97/  264:  0.36%: 99/05/15 02:28: /dekirukana/karaoke/  263:  0.16%: 99/05/15 02:25: /dekirukana/ocilo2/  260:  0.41%: 99/05/15 01:15: /dekirukana/moire3/  256:  0.81%: 99/05/14 21:07: /dekirukana/onkai2/  256:  0.44%: 99/05/15 01:48: /dekirukana/sacchan/  252:  0.29%: 99/05/15 05:52: /dekirukana/toolplus/  247:  0.24%: 99/05/15 03:02: /dekirukana/server2/  243:  0.63%: 99/05/15 00:17: /dekirukana/bunsukai/  216:  0.42%: 99/05/15 06:52: /dekirukana/haidi/  195:  0.06%: 99/05/15 00:24: /dekirukana/1999_2/  194:  0.41%: 99/05/15 04:05: /dekirukana/kamogawa/  186:  0.38%: 99/05/15 01:02: /dekirukana/bunpu/  185:  0.39%: 99/05/15 04:21: /dekirukana/ufo2/  185:  0.28%: 99/05/15 05:30: /dekirukana/ekisyo/  180:  0.38%: 99/05/15 07:42: /dekirukana/moire2/  171:  0.33%: 99/05/15 02:48: /dekirukana/wavelet2/  169:  0.17%: 99/05/14 20:48: /dekirukana/rocket/  164:  0.16%: 99/05/15 04:04: /dekirukana/dorae2/  160:  0.31%: 99/05/14 15:03: /dekirukana/probe/  155:  0.14%: 99/05/15 07:08: /dekirukana/tamago/  144:  0.20%: 99/05/14 21:53: /dekirukana/onkai/  141:  0.23%: 99/05/13 20:15: /dekirukana/  126:  0.26%: 99/05/15 01:34: /dekirukana/harddisk/  124:  0.18%: 99/05/15 02:03: /dekirukana/watari/  122:  0.29%: 99/05/14 20:49: /dekirukana/webcolor2/  121:  0.59%: 99/05/15 01:29: /dekirukana/moire/  118:  0.10%: 99/05/14 14:08: /dekirukana/hori/  118:  0.18%: 99/05/14 09:21: /dekirukana/bunsukai2/  116:  0.10%: 99/05/14 21:05: /daily/9904.html  105:  0.19%: 99/05/15 07:34: /dekirukana/favicon/  105:  0.24%: 99/05/15 06:29: /dekirukana/log9905/   99:  0.20%: 99/05/14 20:49: /dekirukana/webcolor/   98:  0.05%: 99/05/15 07:08: /dekirukana/photoshop2/   79:  0.38%: 99/05/14 09:58: /index_e.html   61:  0.01%: 99/05/13 18:27: /dekirukana/fem2/math/   46:  0.01%: 99/05/12 19:50: /dekirukana/fem2/math/indexlnk1.html   42:  0.07%: 99/05/12 19:53: /dekirukana/fem2/math/indexlnk4.html   37:  0.03%: 99/05/12 19:51: /dekirukana/fem2/math/indexlnk2.html   33:  0.08%: 99/05/13 18:28: /dekirukana/fem2/math/indexlnk3.html   32:  0.02%: 99/05/14 14:22: /dekirukana/toolplus/readme/readme.html   31:  0.05%: 99/05/12 19:54: /dekirukana/fem2/math/indexlnk5.html   25:  0.06%: 99/05/15 00:22: /dekirukana/harddisk/math/   21:  0.03%: 99/05/12 19:49: /dekirukana/onkai/math/ 4070: 55.84%: 99/05/15 05:52: [not listed: 34 files]

■「私と好みが似てる人」　その3　

ドメイン一覧とreferer log

　www.hirax.netはレンタルサーバー上で稼動している。1999/6月からレンタルサーバー業者を変えた。業者を変えた一番目の理由は、それまで依頼していた業者の規約で定められているデータ転送量を超えてしまう恐れがあったことである。もし、転送量を超えると割に高額な追加料金が発生してしまうのであった。安い居酒屋がある瞬間からボッタクリバーに早変わりしてしまうのである。

　今回、レンタルサーバー業者を変えた後の3ヶ月間のLog解析をしてみた。以前、

私と好みが似てる人　- analog Windows版用のサブドメイン解析ソフトを作る-　(1999.01.24)

でドメイン名から機関名への変換ソフトを作成したが、何しろ32kBまでのドメインリストにしか対応していないのでほとんど役に立たない。むしろ役に立ってしまっては(WHOISサーバーの負荷上)困るのである。従って、前回と同様のドメイン名とその名称の解析をするためには、ドメイン名リストの一覧を手に入れる必要がある。今回ドメイン解析をするために、「日本ドメイン一覧」を手に入れることにした。

　かつてはJPNICの公開文書( ftp://ftp.nic.ad.jp/pub/jpnic/)から日本ドメイン一覧等の文書は自由に手に入れることができた。しかし、現在はフリーでは公開されていない。ftp://ftp.nic.ad.jp/pub/jpnic/domain-list.txtの中から引用すると、

　しかし、FTPsearchで探してみると、その残骸らしきものがいくつかあった。例えば、

6.3M 1999 Feb 19 ftp.web.ad.jp /pub/Internet-Document/jpnic/domain/domain-list.txt

などだ。

　このファイルを見ると、将来(といってもこのファイルはすでに現在のものではないが)使用されるであろうドメイン名が予約されており、面白い。

(hichiyahigashi-e     # *予約ドメイン名* 日知屋東小学校)(hida-sh              # *予約ドメイン名* 岐阜県立飛騨養護学校)(hida-sh-b            # *予約ドメイン名* 岐阜県立飛騨養護学校高山日赤分校)(hidaka-ao-e          # *予約ドメイン名* 阿尾小学校)(hidaka-chisaka-e     # *予約ドメイン名* 千栄小学校)(hidaka-fuchu-e       # *予約ドメイン名* 府中小学校)

今回はこのファイルを加工して、Logファイル解析ソフトのanalogで使用することにした。そうすると、日本国内のドメインからのわかりやすいアクセス解析をすることができる。試しにCO.JPドメインとAC.JPドメインの解析サンプルを示してみる。

%PAGE %Bytes
1205: 1.51%: SONY.CO.JP (ソニー株式会社)
794: 1.99%: NEC.CO.JP (日本電気株式会社)
607: 0.12%: SQUARE.CO.JP (株式会社スクウェア)
600: 1.09%: ADVANTEST.CO.JP(株式会社アドバンテスト)
548: 0.75%: HITACHI.CO.JP(株式会社日立製作所)
410: 0.66%: CANON.CO.JP (キヤノン株式会社)
395: 0.42%: FUJITSU.CO.JP(富士通株式会社)
313: 0.68%: FUJIXEROX.CO.JP(富士ゼロックス株式会社)
279: 0.54%: TOSHIBA.CO.JP(株式会社東芝)
267: 0.34%: SHARP.CO.JP (シャープ株式会社)
234: 0.30%: RICOH.CO.JP (株式会社リコー)

　企業の人数の割にSONY,SQUARE,ADVANTESTといった企業はアクセス数が多いように思う。「私と好みが似ている人」が多いようである。また、namcoもこのすぐ下に位置しているので、SQUARE,Namco,Sonyというゲーム関係の企業が「私と好みが似ている」のかもしれない。

　下は、AC.JPドメイン。

%PAGE %Bytes
761: 1.16%: U-TOKYO.AC.JP(東京大学)
672: 1.92%: KYUSHU-U.AC.JP(九州大学)
425: 1.09%: CHITOSE.AC.JP(千歳科学技術大学)
330: 0.45%: KYOTO-U.AC.JP(京都大学)
329: 0.32%: WASEDA.AC.JP (早稲田大学)
265: 0.39%: OSAKA-U.AC.JP(大阪大学)
230: 0.30%: HOKUDAI.AC.JP(北海道大学)
205: 0.39%: CHIBA-U.AC.JP(千葉大学)
168: 0.23%: HIROSHIMA-U.AC.JP(広島大学)
164: 0.80%: TSUKUBA.AC.JP(筑波大学)
163: 0.53%: TITECH.AC.JP (東京工業大学)

　WEBのLog解析をして何が一番面白いかというと、知らなかった面白いことが載っているWEBを知ることができることである。どこかのWEBページからwww.hirax.netへのリンクがされて、それによりwww.hirax.netへ辿りつく様子はrefererlogを見ればわかるのである。試しにreferer logを解析した結果のサンプルを示してみる。

#reqs: URL
----- ---
1132: http://www.maqmakmac.com/
355: http://www.cds.co.jp/ff/bbs/minibbs.cgi
155: http://freebee.saccess.co.jp/~gridman/gfx/99summer.html
147: http://www.cds-co.com/ff/main.html
138: http://www.cds.co.jp/ff/main.html
114: http://www.jin.gr.jp/~nahi/link-misc.html
114: http://www2s.biglobe.ne.jp/~chic/pilot.html
82: http://www.puppenhaus.co.jp/mirror-site/fukatsu-eri.htm
63: http://www.cds-co.com/ff/zakki.htm
57: http://www.t3.rim.or.jp/~munemasa/links.html
57: http://www2.saccess.co.jp/~gridman/gfx/99summer.html

そして、そのrefer元の持つ情報は私にとってとても面白いのである。www.hirax.netにリンクを貼っているページの作者というのは大抵「私と好みが似てる人」であるし、なおかつ、私ではない。ということは、そこには

• 私の好みに合っていて、
• 私がちっとも知らないこと

■携帯電話で「顔」認証　

　「グローバル・セキュリティ・デザインは九州工業大学の画像解析技術を使った顔認証システム「FaceViTAL」を、BREW（auのCDMA 1X WIN）上に移植、携帯電話端末上で利用できることを確認した」という携帯電話で「顔」認証。　　from Random Note

■議論中の「ダメな言葉」の見分け方　

　Tech総研ブログ平林 純@「hirax.net」の科学と技術と男と女に議論中の「ダメな言葉」の見分け方を書きました。「セキュリティを考える際には、安全に動作しない"例外"こそが重要なのだから、"100％防ぐといった効果はない"というような文言は飾りに過ぎない」というような一節を読んで、こんなことを書いてみました。

セキュリティに関する話題では「"例外"こそが重要だから、"100％○×というわけではない"という言葉はナンセンス」でしたが、「必ずしも一つの答が存在しない」話題の場合「一つの答を前提とした言葉がナンセンス」になります。