cles::blog

足立区に墜落した B-29 のタイヤがあるというのは Twitter などで何度か目にしていましたが、調べてみたら舎人駅から歩いてすぐの場所だったので、見物しに行ってみました。

噂通り農地の角に半分地面に埋まって放置されていますが、70 年以上前に墜落したとは思えないほど綺麗に原形を留めています。これは指摘されなければ、廃タイヤを活用した公園の遊具と見分けがつかないと思います。

B-29のタイヤが残っています｜足立区

現在も民有地である農地の一角に確かにタイヤは残っています。平成10年発行の『足立風土記稿　地区編4・舎人』に記載があり「GHQの記録を調べなおしたところ、昭和20年5月26日の墜落と公式記録が残っていた」そうです。ちなみに搭乗員は全員死亡したとのこと。墜落場所は現在の入谷のトラックターミナルあたりのようです。

設定がまずいクラウドサービスは早ければ数分で攻撃されるというパロアルトのレポートを見つけたのでメモ。

• Observing Attacks Against Hundreds of Exposed Services in Public Clouds

この調査ではクラウド上にハニーポットを設置して、リモートデスクトップ(RDP), SSH, SMB, Postgress に対してどのような攻撃が行われるかを調べたようです。設置された 320 個のハニーポットのうち 80％が 24 時間以内に危殆化され(compromised)され、はやければ数分という場合もあったようです。また、特に攻撃が多かったのは ssh という結果になっています。

2004 年にクリーンインストールした Windows PCをファイアーウォールなしでインターネットにつないでおくと、20 分で何らかのウィルスに感染してしまうという話がありましたが、15 年も経つとそれが数分という単位になっていることに驚きます。

† 参考

• 不適切に設定されたクラウドサービスの80％は24時間以内に侵害される | TECH+

AbuseIPDB という IP ブラックリストを使い始めてみました。

例えばフィッシング等であればフィッシング対策協議会や Google に URL を報告することができますが、毎日やってくる ssh brute force などは適当な報告先がないので困っていたんですよね。

ちなみにサーバの ssh はそもそも公開鍵認証でしかログインできないようにしてありますし、SSHGuard で防御してあるので、単純な brute force では破られないようにはなっています。

AbuseIPDB - IP address abuse reports - Making the Internet safer, one IP at a time

AbuseIPDB is a project dedicated to helping combat the spread of hackers, spammers, and abusive activity on the internet.
Our mission is to help make Web safer by providing a central blacklist for webmasters, system administrators, and other interested parties to report and find IP addresses that have been associated with malicious activity online.

というわけで、先ほどやってきた ssh ログにあるサーバを調べてみるとバッチリ掲載されているのが確認できます。

金融庁がみずほに対する行政処分を公表していました。
システムに対するガバナンス上の問題として以下のような記述があり、なかなか手厳しいです。
ソフトウェア開発は文化だという議論もあるので、改革には時間がかかることは間違いありません。

みずほ銀行及びみずほフィナンシャルグループに対する行政処分について：金融庁

当庁としては、これらのシステム上、ガバナンス上の問題の真因は、以下の通りであると考えている。
（１）システムに係るリスクと専門性の軽視
（２）IT現場の実態軽視
（３）顧客影響に対する感度の欠如、営業現場の実態軽視
（４）言うべきことを言わない、言われたことだけしかしない姿勢

慣れないとちょっと難しいウェブサーバの CORS ヘッダの設定。

原理と設定方法については「オリジン間リソース共有 (CORS) - HTTP | MDN」を一通り読めば大丈夫ですが、XMLHttpRequest などを使って実際のリクエストをしてみると上手く動かないということが多々あります。そんなときには curl でプリフライトリクエストを模したリクエストを送ってみると原因を確かめやすいです。

オリジンの https://example.com から https://example.jp/hoge にリクエストを送信する場合、curl のコマンドでは以下のように表すことができます。

上記のコマンドを実行すると以下のような結果を得ることができます^*1。

上記でリクエスト>とレスポンス<で、同じ内容が帰ってきていれば問題ありません、
例えば Origin: と Access-Control-Allow-Origin:、Access-Control-Request-Method: と Access-Control-Allow-Methods:、Access-Control-Request-Headers: と Access-Control-Allow-Headers: の部分の対応をチェックすることになります。

• ^*1: schannelのログは除いています。

COCOA v1.4.0^*1 でアプリが強制終了する不具合が出ているようなのでメモ。

• コロナ接触確認アプリ「COCOA」、バージョンアップで起動不能に　iPhone版、Android版ともに - ITmedia NEWS

あまり起動しないソフトですが、起動してみると確かにすぐに落ちてしまいますね。
すぐに修正版がリリースされるとは思いますが COCOA は 2 月にちゃんと動作していなかったということで大顰蹙を買っていたので、ケチがつきっぱなしという感じですね。

• ^*1: 新型コロナウイルス接触確認アプリ（COCOA) COVID-19 Contact-Confirming Application｜厚生労働省

技術的な内容をググると、上位のいくつかは Stack Overflow の機械翻訳サイトだったりするのがウザくてしょうがなかったので、１つ１つuBlacklistで対処していたのですが、そういうサイトの URL をまとめたリストを提供してくれている人を見つけたのでメモ。

• arosh/ublacklist-stackoverflow-translation: Stack Overflow の機械翻訳サイトの除外用フィルタ

ありがたく活用させていただこうと思います。

MS が Windows 11 Enterprise の開発用 VM イメージを公開していました。

容量は 20GB で VMWare、Hyper-V、VirtualBox、Parallels の各プラットフォームに対応したものが公開されています。
VM の有効期限は 2022 年 1 月 9 日までですが、Windows 11 にアップデートしようか迷っている場合のお試しには良い選択肢になりそうです。

• Windows 10 仮想マシンをダウンロードする - Windows アプリ開発

新しくセットアップしたマシンに TeraTerm で接続しようとしたら公開鍵認証が通らないので困ってしまいました。

いろいろ試してみたところ、通らないのは RSA だけで ECDSA とかは普通に通るので、さらに謎だったのですが、 OpenSSH 8.8 から rsa-ssh がデフォルトで無効化された話を思い出したので、TeraTerm のトラッカーを調べてみると残念ながらまだ rsa-sha2-256/512 に対応していないというオチ^*1でした。

OpenSSH 8.8 Release Notes

This release disables RSA signatures using the SHA-1 hash algorithm by default. This change has been made as the SHA-1 hash algorithm is cryptographically broken, and it is possible to create chosen-prefix hash collisions for

今回はネットに曝さない内部用のサーバなので、ひとまず sshd_config に ssh-rsa に対応させる設定を書いて回避することにしました。

/etc/ssh/sshd_config

• ^*1: チケット #36109: rsa-sha2-256, rsa-sha2-512公開鍵アルゴリズムのサポート - Tera Term - OSDN

日本政策金融公庫が公開している売り上げアップにつながる写真の撮り方ガイドが TL で話題になっていたのでメモ。

政策金融公庫なので、売上＝客数×客単価のようなことから始まり、料理写真は反逆光で撮りましょうとか、レフ板を活用しましょうみたいな写真のノウハウ本のような内容が合体しているのが面白いですね。

出版物を見てみると、写真の撮り方だけでなく、商売のノウハウ的なものをいろいろ発信していたんですね。