カテゴリーアーカイブ セキュリティ

近所の無線Wi-Fi

隣の家のWi-Fiの電波が届いていたので使ったのだと思いますが、えらい被害になっている情報を発見しました。

勝手に燐家の無線LANを使った親子、それが原因で殺される

https://it.srad.jp/story/19/11/22/1552231/

最近の無線ルータはセキュリティの強度もよくなっているのだとは思いますが・・。

暗号化の認証をかけていなかったのでしょうかね。

利用する場合は、提供元がはっきりしていて暗号化キーのあるWiFiを使いましょう。

Windowsでファイルのハッシュ値を取得する方法

フリーソフトやLinux系OSのインストーラのISOなど、インターネット上から自由に入手できるソフトウェアにはよく、”チェックサム”と呼ばれる値がついていることがあります。

このチェックサムとは何かというと、

ある関数を使って特定のデータを計算すると必ず同じ値が得られ、1ビットでもデータが異なった場合は異なった値が出力されるアルゴリズム=ハッシュ関数

によって出された、ダウンロード対象ファイルのハッシュ値のことです。

つまり、公開する側が正規のファイルのハッシュ値を計算したものをを公開しておくことで、そのファイルを入手した人が同じハッシュ関数を使って”本物のファイルが入手できたのか”を簡単に確かめられるようにしてある、ということです。

例えば、もし何らかの方法でダウンロードするファイルが不正にすり替えられていたとしても、1ビットでも異なれば別のハッシュ値が出力されてしまうため、手元のファイルのハッシュ値と比較することで手元のファイルが改ざんされたものかどうかを簡単に調べることができます。

そんなセキュリティ的にも重要なハッシュ関数ですが、WindowsではGUIのツールがデフォルトで用意されているわけではないため、ハッシュ関数の存在を知っていてもセットアップのめんどくささからあまり使わないユーザーも多いのではないかと思います。

実は、コマンドプロンプト上のコマンドによる操作にはなってしまいますが、Windowsに始めからインストールされている、CertUtil というコマンドで簡単にファイルのハッシュ値を求めることができます。

コマンドの使い方としては

CertUtil -hashfile ハッシュ値を出したいファイルのパス ハッシュ関数

のように指定します。

実行すると下記のようになります。

Microsoft Windows [Version 10.0.18362.476]
(c) 2019 Microsoft Corporation. All rights reserved.

C:\Users\hoge>CertUtil -hashfile C:\Users\hoge\Downloads\linuxmint-19.2-mate-64bit.iso sha256
SHA256 ハッシュ (対象 C:\Users\hoge\Downloads\linuxmint-19.2-mate-64bit.iso):
56f2d0c2b54be0fd66a8cf35799a69d02d4bfdf546b4f946a0b8af01cbbbd689
CertUtil: -hashfile コマンドは正常に完了しました。

C:\Users\hoge>

上記の例はLinuxMintのOSのインストーラーイメージをハッシュ関数にかけた時の結果です。

56f2d0c2b…の一行がハッシュ値となります。

このハッシュ値を公式サイトで公開されているハッシュ値と照らし合わせます。

ばっちり合致したので、改ざんがないことがわかりました。

こういったひと手間をかけるだけでも、ウイルスの被害などから身を守ることができますので、是非積極的に利用していきたいですね。

Webサイトを公開する前に消しておくべきヘッダー情報

最近の有名どころのLinuxディストリビュージョンでは、インストールしてすぐに使用できるような状態でApacheやnginxなどのWebサーバーアプリケーションなどのパッケージを公開しています。

そのため、自分で動作のカスタマイズをしたい場合以外は、ほとんどパッケージをインストールして、ファイルを指定の場所に置くだけで、Webサーバーとして機能させることができます。

ところが、これらのパッケージに含まれるサーバーの設定では、デバッグなどでも利用できるように、少し緩めの設定になっている場合が多いです。

ネット上には公開していないテスト環境としてであれば問題はありませんが、本番環境であったりテスト環境であってもネット上に公開されている場合は、デフォルトのままで使用してしまうと危険な設定が含まれている場合があります。

たとえば、CentOS版のApacheパッケージのデフォルト設定では、HTTPヘッダに

“Server”
“X-Powered-By”

といった内容がつきます。

ServerヘッダにはWebサーバーの種類・バージョンが記載されます。

また、X-Powered-Byにはサーバー側でプログラムを使って処理を行った場合に、どの言語・バージョンを使用しているのか、といった情報が載ってきます。

インターネット上にサーバーを公開する際、使用中のソフトウェアのバージョン情報などがわかってしまうと、悪意ある利用者がどういった脆弱性を用いれば攻撃が可能となるかのヒントを与えてしまうことになり、自分のサーバーが攻撃を受ける危険性を高めてしまいます。

したがって、こういった内部の情報は、可能な限り公開しないようにした方がよいとされています。

これらのヘッダ情報は設定を変更するだけで簡単に非表示にすることができます。

Serverヘッダについては、Apacheでは、

/etc/httpd/conf/httpd.conf

内の

ServerTokens OS

などとなっている部分を

ServerTokens Prod

とするとどのバージョンのApacheを使用しているかを非表示にすることができます。

nginxの場合は”http”ディレクティブ内の”server_tokens”のオプションを”off”に書き換えることで同様の設定ができます。

http {
    ...省略...
    server_tokens off;
    ...省略...
}

また、PHPを使用していて、X-Powered-Byがヘッダに含まれている場合は、php.iniの

expose_php = On

を

expose_php = Off

に変更することで X-Powered-By の記述そのものを削除することができます。

実際に今動作させているサイトが、どのようなヘッダーを吐き出しているのかを確認することも大事です。

Chrome・Firefoxなどの主要ブラウザでは、F12キーを押すと開発者ツールが開きますが、その中の”Network”タブを確認すると、どんなヘッダが各コンテンツにくっついているのかを確認することができます。

ネット上に公開する際は、どういった情報をサーバーが公開しているのかを調べておくのがおすすめです。

BIND 脆弱性対応

最近、格安で購入できるバッタモンでも満足できる品質に追いついていて、非常に助かります。真似して技量をアップして、より良い製品を作る。原点に戻って腕を磨かなくては。

脆弱性が出たので更新しました。ついでに clamav も出ているので更新準備に入ります。

twitter で見かけましたが、ubound が設定楽なんだとか。bind でも DNSSEC とかしなければ、そう面倒なことは無いと思いますが、powerdns や ubound こういった対応が少なくなるのであれば、手を出してみたい。