SECUAD 8/15

Chapter13 不正アクセス手法

• apache2 ServerTokensを表示するのはよくない。
  • うーん、何となく好きなんですが、その通りなのでminに変更しておきました。
• nmap -O select
• 遠隔不正侵入行為
  • リモートバッファオーバーフロー
  • 認証への攻撃
    • 脆弱性のあるID/PWの取得
    • 辞書攻撃
    • ブルートフォースアタック
    • 脆弱性のある認証の回避
  • アプリケーションへの攻撃
    • XSS
    • SQL Injection
    • Command Injection
• Scavenging（ゴミ箱あさり）
• サラミテクニック: 本人が気づかないような少額をクレジットカードなどから抜き取る手法。

Chapter14 法令・規格

• セキュリティ技術に関わる法制度
  • 電気通信事業法
  • 電子署名
    • 真正性(Authenticy)
    • 完全性(Integrity)
      • 法律は技術的中立性を持って作られている
      • 上二つの要件を満たす実装として、公開鍵暗号がある。
      • 否認不可(Non-Repudiation)は、上二つの総称
    • 電子署名の中に、機密性(Confidentiality)は入っていない。
• 契約
  • 申し込みと承諾の二つの意思表示によって成立する法律的行為。
  • 異なる場所で行われる場合、承諾を発信すれば到達しなくても成立する（民法526-1）
  • 発信主義（イギリス法）
  • コレをインターネット（到達性を保証しないネットワーク）に当てはめると、よくないことが出てくる。
    • 電子消費者契約及び電子承諾通知に関する民法の特例に関する法律。
      • 電子承諾通知については、到達主義を採用する。（民法97-1）
    • 意思表示の錯誤（民法95）
  • 不正アクセス禁止法
    • 他人のID/PWを無断で入力
    • 認証システムを回避すること
• 国際規格
  • BS7799
  • GMITS
  • ISO15408
    • 本当に理解することを考えるのであれば、原文も含めて読んでかみ砕いておきたいところ。
    • しかし、ここでの目的はsecuad試験合格に必要十分な知識が入ればよいことにとどめておきましょうね。> 俺

雑感

• 若干遅れ気味ですが、二周目終了！
• 次は、一週間以内を目処に午前問題対策の解説書を一周するのを目処にする。
• それが終わったら、以後はひたすら過去問。
• しかし、この教科書はコストパフォーマンス高かった。5月に買って以来、常時持ち歩いていましたが、本日で一区切り。:-)
• Chapter11の認証、PKI、署名のあたりはもっと熟読して理解を深めたいですが、より優先すべきは試験に受かる程度の学力を蓄えることなので、本末転倒にならないように注意。
• よく、手段と目的が逆転していて、それはそれで楽しんでいるけど、今回はまずい。