🚀 go-pugleaf

Hiroshi Nishida wrote:

> そこで、教えて頂きたいのですが、yahoo等をはじめて
> としてインターネットショッピングの環境が整ってきていますが、
> 注文を確定する際に、ブラウザーに鍵のマークが表示され
> クレジットカードなどの番号を入力しても、暗号化されて
> 相手方に届くと理解しています。
> この場合、無線でＰＣとルータ間を通信している場合でも
> ケーブルと同様で、仮に傍受されても情報は暗号化されて
> おり、無防備ではないと理解していますが、この考え方で
> いいのでしょうか？　それ以外に無線には弱点があって
> 情報が漏れる可能性があるのでしょうか？
> よろしくお願いします。

SSLの暗号化は
 無線という物理層の
 IPというネットワーク層の
 TCPというトランスポート層の
 上のSSLというアプリケーション層で暗号化されるので
その下の層でパケットをキャプチャしても常に暗号化されてます。

--
Takumi Okada
Cyber Net Communications, Inc.

恩田です。

> Corega社製Wireless LAN AP-11miniを使用しています。

ワタシも同じモノを使っています。これ:
	http://www.corega.co.jp/product/list/wireless/wlapl11.htm
ですね。
いや、コイツ、通信寸断が頻発してどうしようもないシロモノでしたが、
ファームウェアが 1.20 になってやっと落ち着いてくれた。
それはさておき。

> この機器にはセキュリティーが機能として、物理的に
> 備わっていないので、例えばメールパスワードなどは
> 悪意があれば、第三者が傍受することは可能と思います。

WEP の暗号化は行えます。
別記事で Okada さんが書かれてたところの「無線という物理層の」部分で
暗号化しますので、「傍受」という方法に対して無防備では無いです。

確か、このモデルの取説でも WEP 暗号化が推奨されていて、設定例も書いて
ありましたから、取説の推奨どおりに設定していれば暗号化されています。
＃しかし取説のとおりの秘密鍵なヒトが多発しそう。うぅむ。

とはいえ WEP そのものにいろいろと脆弱性が発見されているそうで、
重要なデータの通信には (SSL など)上位のレイヤーでも暗号化して
おくのが望ましいです。
--

Okadaさん、恩田さん、ご回答ありがとうございました。

> > Corega社製Wireless LAN AP-11miniを使用しています。
>
> ワタシも同じモノを使っています。これ:
> http://www.corega.co.jp/product/list/wireless/wlapl11.htm
> ですね。
これの以前のもので、縦Ｘ横Ｘ高さが１０ｃｍ程度の小さなヤツです。
その当時、他社の製品より極めた安かったので、飛びついてしまいました。

>
> WEP の暗号化は行えます。
残念ながら、それも確かダメだったと思います。

> 別記事で Okada さんが書かれてたところの「無線という物理層の」部分で
> 暗号化しますので、「傍受」という方法に対して無防備では無いです。
>

ひとまず、ＳＳＬで暗号化されていれば、安心ということですね。
しかし、メールについては完全に裸状態なので、注意致します。
どうも、お答えありがとうございました。

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　西田　博

In article <b3frgv$2lqb$1@nwall1.odn.ne.jp>,
Hiroshi Nishida <hnishida@dd.iij4u.or.jp> wrote:
>
>$B$R$H$^$:!"#S#S#L$G0E9f2=$5$l$F$$$l$P!"0B?4$H$$$&$3$H$G$9$M!#(B
>$B$7$+$7!"%a!<%k$K$D$$$F$O40A4$KMg>uBV$J$N$G!"Cm0UCW$7$^$9!#(B

$B>pJs$N0dO3$NLdBj$G$O$J$$$G$9$,!"$b$&0l$D5$$r$D$1$J$1$l$P(B
$B$J$i$J$$$N$,!"30It$N<T$K$h$k%"%/%;%9$G$9!#(B

$B$J$K$b%"%/%;%9@)8B$N$J$$>uBV$G$9$H!"CN$i$J$$$&$A$KCN$i$J$$(B
$B?M$,@\B3$7$F$$$F;H$$E]$5$l$k2DG=@-$b$"$j$^$9!#(B
$B;H$$E]$5$l$k$@$1$J$i$^$@$7$b!"$=$3$+$iB>=j$N%5%$%H$r(B
$B967b$7$@$7$?$j!"ITK!?/F~$7$h$&$H$7$@$7$?$j$9$k$H!"(B
$B$J$+$J$+Lq2p$J$3$H$K!"!"!"(B

-- 
$BEr@n?-<y!wL>8E20(B

河野真治 @ 琉球大学情報工学です。

In article <b3g2ot$g9a$1@news.cc.nagoya-u.ac.jp>, yukawa@sapphire.numse.nagoya-u.ac.jp (Nobuki Yukawa) writes
> なにもアクセス制限のない状態ですと、知らないうちに知らない
> 人が接続していて使い倒される可能性もあります。

まぁ、従量課金でなければどうってことないです。もともと、
インターネットなんて、そんなものだし。

> 使い倒されるだけならまだしも、そこから他所のサイトを
> 攻撃しだしたり、不法侵入しようとしだしたりすると、
> なかなか厄介なことに、、、

これも、インターネットなんて、もともと、そんなものだし。

逆に、インターネット経由で裸popってのは、ちょっと、信じられ
ないです。

厄介なのはプロバイダが見つけて文句言って来た時だろうな...
Bフレッツとか台数制限をつけるような契約もあるようなので。

---
Shinji KONO @ Information Engineering, University of the Ryukyus, 
              PRESTO, Japan Science and Technology Corporation
河野真治 @ 琉球大学工学部情報工学科, 
           科学技術振興事業団さきがけ研究21(機能と構成)

Online Shoppingで不安であれば、
American Express BlueのようなSmart Chipを使った物をあわせて利用されては如何ですか？

"Hiroshi Nishida" <hnishida@dd.iij4u.or.jp> wrote in message news:b3frgv$2lqb$1@nwall1.odn.ne.jp...

$BJX>h<ALd$G$9!#(J

$B!!%k!<%?5!G=IU$-L5@~(JLAN$B%"%/%;%9%]%$%s%H$r(JANY$B5!G=$KHsBP1~(J
$B$K$7$F!"FCDj$N(JESS ID$B$rM?$(!"FCDj$N(JMAC$B%"%I%l%9$7$+7R$2$k(J
$B$3$H$7$+$G$-$J$$$h$&$K$7$?>e$G!"3F(JMAC$B%"%I%l%9$K8GM-$N(JIP
$B%"%I%l%9$r3d$j?6$C$F!"(JDHCP$B%5!<%P!<5!G=$r(JOFF$B$K$7$F$$$F$b(J
$BL5@~(JLAN$B%+!<%I$H%"%/%;%9%]%$%s%H$N4V$N%G!<%?$rEp$s$@$j!"(J
$BIT@5%"%/%;%9$5$l$k2DG=@-$O$"$k$N$G$7$g$&$+!#(J

$B!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!1J0f!w@P@n8):_=;(J

河野真治 @ 琉球大学情報工学です。

In article <3e8487ef$0$3093$44c9b20d@news2.asahi-net.or.jp>, "Minoru Nagai / 永井 稔" <m_nagai@d5.dion.ne.jp> writes
> 不正アクセスされる可能性はあるのでしょうか。

可能性は必ずあります。そのリスクを受けいられない人は使わない
でください。(ぴーぴー、うるさいので...)

> 　ルータ機能付き無線LANアクセスポイントをANY機能に非対応
> にして、特定のESS IDを与え、特定のMACアドレスしか繋げる
> ことしかできないようにした上で、各MACアドレスに固有のIP
> アドレスを割り振って、DHCPサーバー機能をOFFにしていても
  ...(以下略)

電磁波漏洩防止網でも使えば? 別名、STPケーブルとかいうらしい
んですけど。安くて確実! 

前にもいろいろ議論したけど、無線LANの現状のセキュリティはい
ろいろやってもたいして上がるわけではないです。利便性は確実
に下がるけどね。

一方で、無線LAN で悪いことやっている奴は「必ず目の前にいる」
ことも確かなので特定はやさしいんだよね。それこそ「怪しそうな
奴の肩をたたく」とか、放りっぱなしになっているノートPC を探
すとかそんな話... 

空きっぱなしになっているRJ45ジャックと同程度のセキュリティホ
ールでしかないのに、なんで、あんなに大騒ぎするのか理解できな
いね。「世の中が鍵付きRJ45ジャックが常識」だったらわかるんだ
けど。

セキュリティはデータリンク層ではなくて、プレゼンテーション層
でとるべきです。それがネットワーク技術者の態度であるべきだろ。
暗号化したデータリンク層の上で暗号化されてないパスワードを
交換するなんてばかげているよね。で、結局、プレゼンテーション
層でも暗号化することになる。でも、何故か、その二重の暗号化の
無駄を指摘する奴はほんどいない...

---
Shinji KONO @ Information Engineering, University of the Ryukyus, 
              PRESTO, Japan Science and Technology Corporation
河野真治 @ 琉球大学工学部情報工学科, 
           科学技術振興事業団さきがけ研究21(機能と構成)

$B1J0f!w0q>k8):_=;$G$9!#(J

> > $B!!%k!<%?5!G=IU$-L5@~(JLAN$B%"%/%;%9%]%$%s%H$r(JANY$B5!G=$KHsBP1~(J
> > $B$K$7$F!"FCDj$N(JESS ID$B$rM?$(!"FCDj$N(JMAC$B%"%I%l%9$7$+7R$2$k(J
> > $B$3$H$7$+$G$-$J$$$h$&$K$7$?>e$G!"3F(JMAC$B%"%I%l%9$K8GM-$N(JIP
> > $B%"%I%l%9$r3d$j?6$C$F!"(JDHCP$B%5!<%P!<5!G=$r(JOFF$B$K$7$F$$$F$b(J
>   ...($B0J2<N,(J)
> 
> $BEE<'GHO31LKI;_LV$G$b;H$($P(J? $BJLL>!"(JSTP$B%1!<%V%k$H$+$$$&$i$7$$(J
> $B$s$G$9$1$I!#0B$/$F3N<B(J! 

$B;d$N5?Ld$O!"(JESS ID$B$,J,$+$i$J$$!"(JMAC$B%"%I%l%9$b$o$+$i$J$$!"(JIP
$B%"%I%l%9$bJ,$+$i$J$$!"$h$&$K$7$?>uBV$G!"$3$N(J3$B$D$,H=L@$7$J$$$H(J
$B$D$J$,$i$J$$$h$&$K@_Dj$7$?4D6-$K3d$j9~$`6qBNE*$J<jCJ$H8@$&$b(J
$B$N$,A[A|$G$-$^$;$s$7!"J9$$$?$3$H$,$J$$$N$G65$($FD:$-$?$+$C$?(J
$B$N$G$9$,!#(J3$B$D$N>pJs$,$=$l$>$lJ,$+$C$F$b!"AH$_9g$o$;$r0lCW$5(J
$B$;$J$$$H$D$J$,$i$J$$$h$&$K$7$F$^$9$N$G!"%;%-%e%j%F%#%[!<%k$N(J
$BA[A|$,=PMh$^$;$s!J%W%i%$%Y!<%H$N%2!<%H%&%'%$$H(JDNS$B$N(JIP$B%"%I%l%9(J
$B$bJ,$+$i$J$$$HBLL\$G$9$7!K!#(J

$B$I$s$J%;%-%e%j%F%#%[!<%k$,B8:_$9$k$N$G$7$g$&$+!)(J

$B>/$J$/$H$b%"%/%;%9%]%$%s%H$K$D$$$F$O$[$\<h$j$&$k:GA1$N:v$@$H(J
$B;W$&$N$G$9$,!#(J

$B%"%/%;%9%]%$%s%H$HL5@~(JLAN$B%+!<%I4V$NEEGH$NK5<u$O2DG=$G$7$g$&(J
$B$,!"%M%C%H%o!<%/$K3d$j9~$s$G$=$N%G!<%?$r2r@O$9$k$N$O:$Fq$J$h(J
$B$&$K;W$C$F$$$^$9!#K5<u$7$?EEGH$rD>@\2r@O$9$k$H8@$&<jCJ$K$O(J
$BL58z$G$7$g$&$,!#(J

> 
> $B6u$-$C$Q$J$7$K$J$C$F$$$k(JRJ45$B%8%c%C%/$HF1DxEY$N%;%-%e%j%F%#%[(J
> $B!<%k$G$7$+$J$$$N$K!"$J$s$G!"$"$s$J$KBgA{$.$9$k$N$+M}2r$G$-$J(J
> $B$$$M!#!V@$$NCf$,80IU$-(JRJ45$B%8%c%C%/$,>o<1!W$@$C$?$i$o$+$k$s$@(J
> $B$1$I!#(J
>


$B6u$-$C$Q$J$7$K$J$C$F$$$k(JRJ45$B%8%c%C%/$G$b!"$=$N%M%C%H%o!<%/$,(J
MAC$B%"%I%l%9$H8GDj(JIP$B$G@)8B$r$+$1$?>e$K!"(JMAC$B%"%I%l%9$H8GDj(JIP$B$N(J
$B0lCW$,$J$$$H$D$J$,$i$J$$%;%-%e%j%F%#$K$J$C$F$$$k$H!"$+$J$j%;(J
$B%-%e%j%F%#$N%l%Y%k$O9b$$$H;W$&$N$G$9$,!#(JIP$B%"%I%l%9$@$1H=L@$7(J
$B$F$b!"$=$l$,$I$N%2!<%H%&%'%$$K=jB0$7$F$$$k$+H=L@$7$J$$$H;H$((J
$B$^$;$s$7!#(J

$B$3$N>l9g$N%;%-%e%j%F%#%[!<%k$C$F2?$G$7$g$&$+!)(J

$B$3$l$i$N>pJs$r$4$^$+$7$F!"%M%C%H%o!<%/$K$D$J$0<jCJ$H8@$&$N$O(J
$BB8:_$7$F$$$k$N$G$7$g$&$+!)(J

　猿丸です。

fj.net.lan.wireless の <3e853a51$0$3096$44c9b20d@news2.asahi-net.or.jp> の記事において
 2003-03-29(土) 15:16頃、m_nagai@d5.dion.ne.jpさんは書きました。

> > > 　ルータ機能付き無線LANアクセスポイントをANY機能に非対応
> > > にして、特定のESS IDを与え、特定のMACアドレスしか繋げる
> > > ことしかできないようにした上で、各MACアドレスに固有のIP
> > > アドレスを割り振って、DHCPサーバー機能をOFFにしていても
> >   ...(以下略)
> > 
> > 電磁波漏洩防止網でも使えば? 別名、STPケーブルとかいうらしい
> > んですけど。安くて確実! 
> 
> 私の疑問は、ESS IDが分からない、MACアドレスもわからない、IP
> アドレスも分からない、ようにした状態で、この3つが判明しないと
> つながらないように設定した環境に割り込む具体的な手段と言うも
> のが想像できませんし、聞いたことがないので教えて頂きたかった

  電波はアクセスポイントから勝手にやってくるので、傍受はできるの
では？　少なくともESSIDがわかれば、WEPかかってない場合は link は
associatedになりますよね。MACアドレスによるフィルタリングも、登
録されたものからしか受け取らないだけで、登録されたMACあどれすの
ものにしか送らないわけではないですよね。IPアドレスだって、受信す
る分にはなんだっていいわけです(普通は自分宛てでなければ捨ててる
だけ)。
　もちろんパケットを送り出してアクセスポイントに中継してもらうに
は、登録されているMACアドレスを装わないといけないし、IPアドレス
も正しいアドレス範囲でないといけませんが。


> 少なくともアクセスポイントについてはほぼ取りうる最善の策だと
> 思うのですが。

  あえて WEP には触れていないのでしょうか　^_^;？
--
猿丸芳彦 (Yoshihiko Sarumaru)
mail: mistral@imasy.or.jp       web: http://www.imasy.or.jp/~mistral/

　猿丸です。

fj.net.lan.wireless の <3988122news.pl@insigna.ie.u-ryukyu.ac.jp> の記事において
 2003-03-29(土) 11:08頃、kono@ie.u-ryukyu.ac.jpさんは書きました。

> 空きっぱなしになっているRJ45ジャックと同程度のセキュリティホ
> ールでしかないのに、なんで、あんなに大騒ぎするのか理解できな
> いね。「世の中が鍵付きRJ45ジャックが常識」だったらわかるんだ
> けど。

  RJ45が口をあけているのはダムハブ限定の驚異だと思っていたのです
が、スイッチングハブでも危険なんですか？


> セキュリティはデータリンク層ではなくて、プレゼンテーション層
> でとるべきです。それがネットワーク技術者の態度であるべきだろ。

  これには同意できないです。低いレイヤでやればやるほ手続きを集約
できるので無駄が少ない (数多あるプロトコルごとに暗号化手順を標準
化・実装する必要がない) と思うんですけど。それにプレゼンテーショ
ン層未満のセキュリティを放棄した場合、どの IP アドレスと通信して
いる、どのポート番号に繋いでいるというのがまるわかりなわけですが、
それは放っておいて良いのでしょうか？　WEPなら(破られていなければ) 
そういう情報も保護できますよね？

　ただし WEP は WEP で ethernet レベルの暗号化なので、ルータ境界
の内側でしか通用しませんから、その範囲でしか効力がなくなってしま
うというデメリットはありますが。

　まぁセキュリティと一言に言っても、用途によって必要なことが違う
ので、おおざっぱな議論は意味がないとは思うのですけど。VPN みたい
なことをしたいのに IPSec 不許可、すべてのアプリケーションで TLS
MUST なんてのはばかげていますよね？

> 暗号化したデータリンク層の上で暗号化されてないパスワードを
> 交換するなんてばかげているよね。で、結局、プレゼンテーション
> 層でも暗号化することになる。でも、何故か、その二重の暗号化の
> 無駄を指摘する奴はほんどいない...

  それはつまり(気づいていないという可能性もありますが)気づいてい
ても河野さん以外はそれを大きな問題だとは捉えてないということが導
かれるのでは。私はむしろすべての層で暗号化するのが理想だと思っ
ています。コストとかスループットとかの問題で実現は難しいですが。

　プレゼンテーション層でやる暗号化を否定するわけではなく、それは
それで有効ですが、特定の層だけですべてをやるというのは無理なので
は。

--
猿丸芳彦 (Yoshihiko Sarumaru)
mail: mistral@imasy.or.jp       web: http://www.imasy.or.jp/~mistral/

Yoshihiko SARUMARU wrote:

>   RJ45が口をあけているのはダムハブ限定の驚異だと思っていたのです
> が、スイッチングハブでも危険なんですか？

ダムハブよりましですが、スィッチングハブでも
そのRJ45の口に PCを接続して
DHCP Sserver を立ち上げ自分をデフォルトゲートにしたり 
他人の IPで かってにARPを流して途中のパケットをつまみ食いする
などが可能です。

やはり、使用していないポートは切り離したり、vlan レベルで制限するなど必
要でしょう。

> > セキュリティはデータリンク層ではなくて、プレゼンテーション層
> > でとるべきです。それがネットワーク技術者の態度であるべきだろ。
> 
>   これには同意できないです。低いレイヤでやればやるほ手続きを集約
> できるので無駄が少ない (数多あるプロトコルごとに暗号化手順を標準
> 化・実装する必要がない) と思うんですけど。それにプレゼンテーショ
> ン層未満のセキュリティを放棄した場合、どの IP アドレスと通信して
> いる、どのポート番号に繋いでいるというのがまるわかりなわけですが、
> それは放っておいて良いのでしょうか？　WEPなら(破られていなければ)
> そういう情報も保護できますよね？

わかりますが、今の無線LANの接続状態はダムハブですから
IP SEC や SSH, SSLなどを使用してプレゼンテーションより上のレイヤーで
対応するより手はないと思います。

自分なら街中のHOT SPOT 怖くて使えないけど、インターネットカフェで
用事を済ませる気持ちがあるなら問題なく使用できるのでしょう。

--
Takumi Okada
Cyber Net Communications, Inc.

河野真治 @ 琉球大学情報工学です。

In article <3E8585E3.4C7B@cynet.co.jp>, Takumi Okada <okada@cynet.co.jp> writes
> わかりますが、今の無線LANの接続状態はダムハブですから

逆にそうでないものは規格にあってないとも言えるわけだよね。

> IP SEC や SSH, SSLなどを使用してプレゼンテーションより上のレイヤーで
> 対応するより手はないと思います。

ってことだよね。

> 自分なら街中のHOT SPOT 怖くて使えないけど、インターネットカフェで
> 用事を済ませる気持ちがあるなら問題なく使用できるのでしょう。

僕は、がんがん使ってます。いつか痛い目にあうかも知れないけど。

一つの方法は、セキュリティの低い便利なアカウントと、高くて不
便なアカウントを使い分けることでしょうね。

---
Shinji KONO @ Information Engineering, University of the Ryukyus, 
              PRESTO, Japan Science and Technology Corporation
河野真治 @ 琉球大学工学部情報工学科, 
           科学技術振興事業団さきがけ研究21(機能と構成)

河野真治 @ 琉球大学情報工学です。

In article <030329185618.M0205740@mistral.imasy.or.jp>, mistral@imasy.or.jp (Yoshihiko SARUMARU) writes
> > セキュリティはデータリンク層ではなくて、プレゼンテーション層
> > でとるべきです。それがネットワーク技術者の態度であるべきだろ。
>   これには同意できないです。低いレイヤでやればやるほ手続きを集約
> できるので無駄が少ない (数多あるプロトコルごとに暗号化手順を標準
> 化・実装する必要がない) と思うんですけど。それにプレゼンテーショ
> ン層未満のセキュリティを放棄した場合、どの IP アドレスと通信して
> いる、どのポート番号に繋いでいるというのがまるわかりなわけですが、
> それは放っておいて良いのでしょうか？　WEPなら(破られていなければ) 
> そういう情報も保護できますよね？

隠されちゃうと管理する側は結構困ったりするので、実は、特定の
レベルでは、ばればれな場合が多いですけどね。

> 　プレゼンテーション層でやる暗号化を否定するわけではなく、それは
> それで有効ですが、特定の層だけですべてをやるというのは無理なので
> は。

まぁねぇ。必ず上位でやれっていうわけでもないです。電話屋さん
が、回線レベルで解決したがるのは快く思ってないです。。データ
リンク層や、トランスポート層、セッション層でセキュリティは、
まったくいらないってわけにはいかないことは理解ていますが、で
も、程度問題だとも思ってます。WEPが無駄だとは思わないみたい
な感じですね。

鍵付きRJ45ジャックがなんか変だってのは持つべき常識だと思う。
それは、パスワードを大声で教えるなっていう常識と対応している
わけ。セキュリティというのは、そういう常識に結構係わっている。

> 　まぁセキュリティと一言に言っても、用途によって必要なことが違う
> ので、おおざっぱな議論は意味がないとは思うのですけど。VPN みたい
> なことをしたいのに IPSec 不許可、すべてのアプリケーションで TLS
> MUST なんてのはばかげていますよね？

TLS MUSTってどういう意味なんでしょう? TLSって言う言葉は知ら
ないです。もう少し教えてもらえますか?

一方で、セキュリティの精密な議論ってのも虚しいものでもあるん
だよね。「この程度で満足する」っていうのも、コストを考えれば
重要。HotStop が恐くて使えないってのも、あんまりだと思う。安
いダムハブ買って平気だけど、無線LANのセキュリテイは気にする
ってのも、まぁ、面白い現象ではあるんだけどさ。

---
Shinji KONO @ Information Engineering, University of the Ryukyus, 
              PRESTO, Japan Science and Technology Corporation
河野真治 @ 琉球大学工学部情報工学科, 
           科学技術振興事業団さきがけ研究21(機能と構成)

　猿丸です。

fj.net.lan.wireless の <3E8585E3.4C7B@cynet.co.jp> の記事において
 2003-03-29(土) 20:39頃、okada@cynet.co.jpさんは書きました。

> >   RJ45が口をあけているのはダムハブ限定の驚異だと思っていたのです
> > が、スイッチングハブでも危険なんですか？
> 
> ダムハブよりましですが、スィッチングハブでも
> そのRJ45の口に PCを接続して
> DHCP Sserver を立ち上げ自分をデフォルトゲートにしたり 
> 他人の IPで かってにARPを流して途中のパケットをつまみ食いする
> などが可能です。

  なるほど。これらをやるとパケットが横取りされるので通信ができな
くなっておかしいと気づかれるはずですが、横取りしたパケットを
ether のヘッダを書き換えて正しい相手に送りつけるということをすれ
いいのですかね。

> わかりますが、今の無線LANの接続状態はダムハブですから
> IP SEC や SSH, SSLなどを使用してプレゼンテーションより上のレイヤーで
> 対応するより手はないと思います。

  「今」ということでいうと、TLS が ntp でも使えるようになったり、
SCTP でも TLS の利用が議論がされていたり、実装は進んでいるようで
すが、SMTP の TLS にしたって私のとこでは2年前から使っていますが
いまだに TLS できる相手は数えられるほどだし、なんでもかんでも 
TLS でがんばるという解には疑問を感じます。
　IPSec はネットワーク層、ですよね？
　結局 SSH でトンネル掘って、そこを通すというトランスポート層的
解が主流なのではないでしょうか。
　私自身は remote login に SSH、APOP, NNTP, rsync に SSH のトン
ネルを使っています。あとは SMTP で TLS の設定をしている以外は暗
号化はしていないです。
# もちろん暗号化だけがセキュリティではないですが。


> 自分なら街中のHOT SPOT 怖くて使えないけど、インターネットカフェで
> 用事を済ませる気持ちがあるなら問題なく使用できるのでしょう。

　私はHOT SPOTを使ったのは Linux Cafe で一度だけですが、ssh で
Internet 上のサーバに remote login して何かをするという用途には
全然問題ないですね。
# 自宅のプライベートアドレスと同じネットワークアドレスだと、IPア
# ドレスベースのアクセス制限に穴ができてしまって怖い、というのは
# あります。できるだけ重ならなさそうなアドレスにしておかないとい
# けませんが、DHCPでIPアドレスとるまでどんなアドレスが降ってくる
# かわからないので不安。

--
猿丸芳彦 (Yoshihiko Sarumaru)
mail: mistral@imasy.or.jp       web: http://www.imasy.or.jp/~mistral/

　猿丸です。

fj.net.lan.wireless の <3988130news.pl@insigna.ie.u-ryukyu.ac.jp> の記事において
 2003-03-29(土) 23:04頃、kono@ie.u-ryukyu.ac.jpさんは書きました。

> まぁねぇ。必ず上位でやれっていうわけでもないです。電話屋さん
> が、回線レベルで解決したがるのは快く思ってないです。。データ
> リンク層や、トランスポート層、セッション層でセキュリティは、
> まったくいらないってわけにはいかないことは理解ていますが、で
> も、程度問題だとも思ってます。WEPが無駄だとは思わないみたい
> な感じですね。

  河野さんはてっきり WEP が無駄だと思っていると読んでました……。


> > 　まぁセキュリティと一言に言っても、用途によって必要なことが違う
> > ので、おおざっぱな議論は意味がないとは思うのですけど。VPN みたい
> > なことをしたいのに IPSec 不許可、すべてのアプリケーションで TLS
> > MUST なんてのはばかげていますよね？
> 
> TLS MUSTってどういう意味なんでしょう? TLSって言う言葉は知ら
> ないです。もう少し教えてもらえますか?

  たとえば http://www.ietf.org/rfc/rfc2246.txt とか。SSL、プレゼ
ンテーション層以上の暗号化と読み替えってもらっても結構です。


> 一方で、セキュリティの精密な議論ってのも虚しいものでもあるん
> だよね。「この程度で満足する」っていうのも、コストを考えれば
> 重要。HotStop が恐くて使えないってのも、あんまりだと思う。安
> いダムハブ買って平気だけど、無線LANのセキュリテイは気にする
> ってのも、まぁ、面白い現象ではあるんだけどさ。

  ハブは物理的に守れますけど、無線は物理的に守るのは難しいですか
ら、いっしょに考えるのには無理があると思います。

　私の自宅の机の上にも(もともと宴会用に買った乾電池駆動できる)ダ
ムハブが置いてありますが、このハブにだれかがUTPケーブルを挿せる
としたらもはやセキュリティは0に等しいので、このダムハブがセキュ
リティホールだとは思わないです。

--
猿丸芳彦 (Yoshihiko Sarumaru)
mail: mistral@imasy.or.jp       web: http://www.imasy.or.jp/~mistral/

Yoshihiko SARUMARU wrote:

>   ハブは物理的に守れますけど、無線は物理的に守るのは難しいですか
> ら、いっしょに考えるのには無理があると思います。

多分、どっかのゼネコンでやっていると思うのですが
無線LANの帯域の電波を外へもらさない壁やガラスなどで
屋内は守れます。

--
Takumi Okada
Cyber Net Communications, Inc.

木谷と申します。

 Reply Minoru Nagai / 永井 稔 <3e8487ef$0$3093$44c9b20d@news2.asahi-net.or.jp>:
>　ルータ機能付き無線LANアクセスポイントをANY機能に非対応
>にして、特定のESS IDを与え、特定のMACアドレスしか繋げる
>ことしかできないようにした上で、各MACアドレスに固有のIP
>アドレスを割り振って、DHCPサーバー機能をOFFにしていても
>無線LANカードとアクセスポイントの間のデータを盗んだり、
>不正アクセスされる可能性はあるのでしょうか。
　データを盗むのは暗号化されていても盗まれます。ただデータが暗号化
されていたらそれを解読しないかぎり、意味をなさない文字列になっていて
結果的には読めないというだけです。
　一般的に暗号化されていない無線通信は、すくなくてもデータを盗む
ことは可能です。MACアドレスにしろIPアドレスにしろ、ESS IDにしろ
それは無線カード側とアクセスポイント側の通信制御であって、無線
カードとアクセスポイント間通信は、明示的にsshのような暗号化通信
を行わない限り、プレーンテキストとして送信されますから、盗聴され
たらデータの内容ごと盗まれますよね。パスワードもしかり。。。。。
　別に無線に限らずネット上に流れるデータは盗聴されている可能性があり
ます。だからクレジットカードなどの重要なデータはSSLを利用した暗号化
HTTPSプロトコルを使ったり、telnet, ftpもパスワード漏洩の危険性がある
ので、ssh, sftpなどを使ってデータもパスワードも暗号化するのが一般的
になってきているという現状があります。
　というわけであまり強力ではないですが、WEP暗号を導入されるか
そもそも重要なデータのやりとりはsshを利用することになるでしょうね。

-- 
京都大学 東南アジア研究センター 情報処理室
木谷 公哉(kitani@cseas.kyoto-u.ac.jp)

> >   RJ45が口をあけているのはダムハブ限定の驚異だと思っていたのです
> > が、スイッチングハブでも危険なんですか？
> 
> ダムハブよりましですが、スィッチングハブでも
> そのRJ45の口に PCを接続して
> DHCP Sserver を立ち上げ自分をデフォルトゲートにしたり
> 他人の IPで かってにARPを流して途中のパケットをつまみ食いする
> などが可能です。
> 

古い投稿へのフォローで恐縮ですが、
arp/rarp につかうテーブルを一時的にbogus エントリで
オーバーフローさせることでダムハブと同じ
動作をさせてしまう方が、上のような多少 intrusive な方法よりも
普通の攻撃法かとおもったのですが、最近のは メモリが増えて
オーバーフロー攻撃はむつかしいのでしょうか。

ちなみに「スイッチングハブでも危険なんですか？」というのは
危険という常識を皆がもたないとまずいでしょうね。
あれは「単に帯域を有効に使うための方便にすぎず、
セキュリティにあるのではない。」という認識でいるのがいいかと。

まっとうなセキュリティ関連の単行本であれば、
一段落くらいはこの話がでているかとおもいます。
（最近の新刊本は読んでないのでしらないのですが。）



---

nt main(void){int j=2003;/*(c)2003 cishikawa. */
char t[] ="<CI> @abcdefghijklmnopqrstuvwxyz.,\n\"";
char *i ="g>qtCIuqivb,gCwe\np@.ietCIuqi\"tqkvv is>dnamz";
while(*i)((j+=strchr(t,*i++)-(int)t),(j%=sizeof t-1),
(putchar(t[j])));return 0;}/* under GPL */