ブックマークサービスQiNeel関連の記事や身の回りのよしなしごとをそこはかとなく書きつくっています。
先日、FirefoxのプライベートモードでEnpass拡張機能が動作しなくなったという記事を書きました。記事中にあるとおり公式フォーラムでも報告したんですが、「プライベート拡張機能を有効にする設定にしてね」というコメントをいただき、ちょっと話が噛み合っていませんでした。
そして最近Firefoxを更新したところ、拡張機能が使えるようになっていました。何もしてないのに壊れて何もしてないのに直りました。
Firefox本体の仕様の問題だったんでしょうか。でも全ての拡張機能が使えなくなっていたわけでないので詳しいことはよくわかっていません。モヤモヤ感は残りますが、とりあえずフォーラムにも報告して一件落着（？）です。
総務省のサイバーセキュリティ https://t.co/o01Iy1ems9 パスワード管理ツールを推奨、パスワードの定期的な変更は不要と断言、すばらしい pic.twitter.com/a7FsA7Xh4z
— Haruhiko Okumura (@h_okumura) May 25, 2024
昔、アルゴリズム辞典やLaTeXの本などで大変お世話になった奥村先生のポストより。
このポストについては何も異論はないのですが、とはいえこのブログで何度か取り上げたように「パスワードは半角英数16文字以内」のようにお前絶対ハッシュ化しとらんやろというウェブサービスがいまだ存在しています。
そういうサービスがSQLインジェクションのような基本的な攻撃に正しく対応しているところばかりとも思えないので、「いつかデータを引っこ抜かれることを想定した定期的なパスワード変更」は必ずしも無意味ではないと思います。
何事も臨機応変に。
先週XZ Utilsのバックドアのニュース（CVE-2024-3094）を記事にしましたが、1週間して色々な情報が出てきました。
このバックドアを悪用するとSSHサーバーに侵入できるとか、バックドアを仕込んだ人物は数年かけてXZ Utilsチームの信頼を得た後に仕込んだとか、バックドアに気づいたのは本当に偶然だったとか。
今回の時系列は以下のページが詳しいですね。
XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ
これを見ると2人組による計画のようにも見えますが、真相はいかに。
大抵のLinuxディストリビューションに含まれているXZ Utilsにバックドアが仕込まれていたというニュースを小耳に挟みました。
XZ UtilsはLZMAやxz形式の圧縮ファイルを扱うためのライブラリーで、上述の通り大抵のLinuxディストリビューションに含まれています。
バックドアが仕込まれてから発覚するまでが1ヶ月程度だったというのもあって、影響を受けたディストリビューションはあまり多くないようです。あまりいないとは思いますが、ここ1ヶ月ほどの間にソースコードからXZ Utilsをビルドしている方は影響を受けている可能性が高いのでダウングレードしたほうがよさそうです。
さて、我らがGentoo Linuxへの影響はというと・・・Changelogを見る限りこんな時系列でしょうか（日付はUTC）
というわけで、3月24日〜30日の間にパッケージを更新した人がバックドアのあるものを掴んだ可能性が高いです。一刻も早いうどんワールドをおねがいします。
こちらにも諸々やり取りがあります。
ここ数年パスワードマネージャーにEnpassを使っています。機能的に不満はなく、有料ですがサブスク方式ではなく一括払いのプランもあるので愛用しています。
ただ、最近特定の環境でブラウザーのパスワード自動入力ができなくなってしまいました。
詳細はEnpass公式フォーラムに書きましたが、Firefox v123.0のプライベートモードで自動入力機能が使えません。別の環境（Firefox v115.7）では問題ないので、バージョンアップした際にプライベートモードの拡張機能の仕様が何か変わったのかもしれない・・・と推測しているのですが詳しいことはわかりません。
別の環境のFirefoxをv123.0にしたら少しはハッキリするかもですが、動かなくなったら嫌だしなぁ・・・
誰か解決方法を知っていたら教えてください。
不正アクセスに悩まされているサイト管理者は多いかと思います。特に "wp-admin.php" のようなパスへのアクセスがひっきりなしに来るサイトもあるでしょう。そういう不正アクセスに対して面白い（？）撃退方法があるようです。
ウェブサイトに侵入してくる相手にZIP爆弾を送りつけて撃退する方法
小さなサイズの圧縮ファイルが展開すると数GBや数TBに膨れ上がるZIP爆弾と呼ばれるものがありますが、それをブラウザー経由でやるというもの。
これの面白い（？）と思ったところは2つあります。
ブラウザーの標準機能を使っていること。GZIP圧縮によるデータ転送はHTTPの規格で定義されており、ほとんどすべてのブラウザーが対応しています。自動的にデータの展開まで行うので、攻撃者が気づいたときには時すでに遅し。ブラウザーではなくcurlなどでアクセスした場合でも、Accept-Encodingヘッダーを指定していれば自動的に展開されます。
この手法は「攻撃」ではないということ。例えば、UAの脆弱性を突いてリモートコード実行したり、リクエスト側を乗っ取るようなレスポンスデータが含まれていると、逆にサービス側が不正アクセスとみなされる可能性が高いと思います。でもこの手法は単にレスポンスデータが大きいだけなので、それを処理する能力がブラウザー側にないことやストレージの空きがないことはサービス提供者側の責任ではありません。
とはいえ、「攻撃者側を困らせてやろう」と思ってやっているであろうことは変わりないため、いざ裁判を起こされたときにどのように無罪を勝ち取れるかは保証できません※し、この方法を推奨するわけでもありませんので誤解なきよう。あくまで技術的に面白いと思った（ZIP爆弾自体は知識として知っていましたが、こういう使い方があったか、と感心した）だけです。
※「攻撃するほうが悪い」「攻撃者側が裁判を起こすなんて恥知らずだ」という理屈は法治国家では通用しません。弁護士の腕や裁判官によって結果は大きく変わるでしょう。
以前ちょっと話題に出した、Proton Mailの開発元が提供する新しいパスワードマネージャーであるProton Passが一般ユーザーも使えるようになったようです。
ちょっと使ってみましたが、以前予想した通り
…という感じでした。
料金表を見ると、有料プランも月額制（年額払い）で買い切りはないようです。まあ自前でサーバーを運用している以上、買い切りプランというのは難しいんでしょう。
やっぱり今使っているEnpassが機能的にも料金的にも個人的にはまだ理想形です。日本語がところどころおかしいこと、Linux版ではIMEの使用に難があることを除けば…
先日転職ドラフトの情報漏洩事故がありましたね。この事故に対する重大さの感覚がエンジニアと非エンジニアで（さらにいうならエンジニア間でもレベルによって）まるで違うように思えたので、ちょっと取り上げます。
「辞書に載っている単語を含めてはいけない」「120日ごとに新しくパスワードを設定すること」などバカげたパスワードのルールを持つサイトを集めた「Dumb Password Rules」
パスワードに関しては以前にもこのブログで書きましたが、こちらの記事では具体的なサイトも含めて公開されています。
以前のブログの内容と重複しているもの・いないものが色々ありますが、重複していないものだと定期的にパスワードの更新を要求されるのはイヤですね。どこかの研究で、「パスワードを定期的に更新するとかえって危険になる」というような内容を見たことがあります。詳しい内容は忘れましたが、定期的に更新するとどれが現在使っているものかわからなくなったり、覚えやすいパスワードを使うようになったりする・・・みたいな話だったかな。
あとはキーパッドによる入力を強要されるのもダルそう。キーロガーを警戒しているのかもしれませんが、ダルいだけでなくキーの順序がランダムなので入力ミスが多そう。そんな独自仕様を作るより、WebAuthnにでも対応してくれたほうがよっぽど安全なんですが。。。
説明がややこしくてなんのこっちゃという感じですが、ようするにどういう影響があるかというと
ということです。デジタル署名を使っていないとか、そもそもGnuPGを使ってないという場合は影響ありません。あとUbuntuのようにGentoo Linux以外を使っている人も影響ありません。
今まではパスフレーズが必要なときはpinentryがGNOME Keyringに入っているパスフレーズを参照して自動入力してくれたので手動では何も入力する必要がなかったんですが、つい最近から急に入力ダイアログが出始めました。
PAMの設定も問題なく、ログイン時に自動的にGNOME Keyringが解錠される設定はこれまでと変わっていません。
結論を書くと、Gentoo Linuxのpinentryパッケージがv1.2.1-r2でgnome-keyring
USEフラグをkeyringに改名したのが原因です。
対応は、インストール時に設定しているgnome-keyringフラグをkeyringにしてやればOK。
いや勝手なことすんなし。せめてeselect news readコマンドで注意喚起してくれ。
とりあえず、Gentoo Linuxユーザーで、2023年5月20日前後から急にGnuPGのパスフレーズプロンプトが表示されたというピンポイントな悩みの方がいたら本記事が役に立つかもしれません。
プライバシー重視のメールサービスProton Mail開発元のProtonが、Proton Passというパスワードマネージャーを開発しているそうです。
あまり詳しい情報が出ていませんが、現在判明していることはこのあたりでしょうか。
気になるのはデスクトップPCの対応OSが明記されていないこと。もしかしてブラウザー拡張機能だけで提供？
あとは、パスワードの保存先も気になります。Enpassのように、ローカルや複数のクラウドストレージに対応していて、好きなものを選べるならとてもありがたいです。
他のProtonプロダクトから推測すると、保存先はProtonのサーバー、ただしサーバーソフトウェアはオープンソースで提供するのでオンプレミスでも使える・・・という感じかもしれません。
だったらいらないかなぁ・・・🤔
いい意味で裏切ってくれることを期待してまます。
ちょうど1ヶ月前にパスワードの制限が厳しいとハッシュ化していない可能性が高い理由についての記事を書きました。
そして先日携帯キャリアがパスワードを平分のまま保存しているというニュースが流れました。
今回はTwitterから広がったみたいですけど、ぶっちゃけ今更だよね？・・・というツッコミは置いといて、本件について勝手にコメンテーターになってみます。
以前、イライラするパスワード登録画面5選という記事でこんな趣旨のことを書きました。
パスワードが「8文字以上16文字以下で入力してください」とか「英数字で入力してください」のように制限が厳しいサービスは、パスワードをハッシュ化せずにそのままDBに保存している可能性が高い
生パスワードをそのまま保存する危険性については言わずもがなですが、上記の内容について先日「なんで？」という質問を受けたので、この場でも書いておきます。
現在、とある事情により普通のSSL証明書（Let's Encryptとかで取得したやつ）をオレオレCA証明書でクロス署名するという怪しげなことをやっています。
そんな怪しい証明書はどうやって作るんだと気になった方は今後の記事を楽しみにしていてください。そのうち説明します。
正しくクロス署名できているかを確認するためにopensslコマンドで検証しようと、以下のようなコマンドを入力してみました。
openssl verify -CAfile oreore-ca.pem -untrusted inter.pem server.pem
oreore-ca.pemがオレオレCA証明書、inter.pemが中間証明書、server.pemがサーバー証明書です。
この方法で無事OKのメッセージが出て検証成功したんですが、念のためにエラーケースも確認しようと-CAfileに全然関係ないルート証明書を指定したところ、なぜかそれでも検証成功してしまいました。
今回はその奮闘記です。上の情報だけで原因と解決方法がわかった方はこの記事はスルーしてください。
今までこのブログでも何度か紹介してきたパスワード管理ツールのEnpassですが、Linux版では割と頻繁に落ちる不具合がありました。
以前調べたときはlibcurlの非同期名前解決を有効にするとマシになったんですが、それでも時々落ちていました。
そんなEnpassですが、2月ごろにリリースされた6.6.0で全く落ちなくなりました。今までは起動させた状態でしばらく何か作業をしているといつの間にか落ちていることがあったんですが、今では数日間起動させたままでも落ちません。やったね！
あとは日本語の翻訳がまともになれば完璧です。
ちなみに、一時期iOS版とMac版でDropboxの同期ができなくなる不具合がありました。ちょっと焦った。
$ git commit error: gpg failed to sign the data fatal: failed to write commit object
gpg --list-keysを実行してみたら鍵の有効期限がちょうど切れていました。