以下、取り急ぎUSTREAMのアーカイブを３本上げておきます。次回開催に向けてのコメント、アイディアがありましたら、本記事のコメント、もしくはtwitterで（ハッシュタグ #KOG ）頂ければ幸いです。
第１部（前半）
第１部（後半）
第２部（後半）
大変遅れ馳せながら、新年あけましておめでとうございます。
昨年から書き始めましたこのブログですが、結局2009年は10回しか書けませんでした。途中からtwitterを筆頭にいろいろなマイクロブログ系にハマってしまい、細切れにつぶやくことでブログのネタがガス抜きされてしまったのが敗因の言い訳です。ともあれ、書きたいときに書くのが一番かと思いますのでこちらのブログも本年も懲りずに細々と続けるつもりでおります。
本年が皆様にとってより良い一年でありますように。
（←左の写真は弊社の社名にちなんで、先日高崎で買ってきた黒いダルマに目を入れているところ）
10月15日にJPNIC（社団法人 日本ネットワークインフォメーションセンター）より配信されました、"JPNIC News & Views vol.684" に私のコラムが掲載されました。転載の許可を頂きましたので、以下にご紹介させて頂きます：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
このブログを読んだGodzillaさんから「このサイト名のyet2comeはどの様な意味があるのでしょうか?」というご質問を頂きました。
で、結論から申しますと、ご想像の通りフランク・シナトラの歌にもなっている"The best is yet to come"という慣用句から取っています。（ちなみにBryan Adames のは "The best WAS yet to come"ですね）
このタイトルが決まる前に、もともと温めていたブログのタイトルは「Web Centric Web Driven」でした。これは私の造語なのですが「情報の共有、伝播、咀嚼が、Webを中心とし、Webによって動かされる様」みたいな意味です。（副題の「Webと未来とその周辺」というのはその名残）「Web Centric Web Driven」の中身については、今後のブログネタとしてひとまず取っておくとして、ブログのテーマとして言いたいのは「ネットってまだまだこれからだよね」みたいな話なんだよなあ...と悶々と考えてるときに頭にふっと沸いたフレーズが「The best is yet to come.」でした。
「まだまだこれから」と思えることは、私自身にとっても人生の重要なテーマで、できれば命ある限りそうありたいなあと。このへん、ジョブズの「Stay hungry. Stay foolish.」に通じるところだと、勝手に思っています。
本ブログも3月以降ずっと筆が滞っていたのですが、またぼちぼち書き始めていこうと思います。きっかけを与えて下さったGodzillaさんに感謝します。
昨日Black Hatで「New Tricks For Defeating SSL in Practice」という発表がありました。海外のメディアでは、あまり適切でないタイトルで記事になっているところも見受けられます。
Website danger as hacker breaks SSL encryption(ITpro.co.uk)
Black Hat : Hacking SSL with sslstrip(internetnews.com)
タイトルだけ読むと、まるでSSLが解読されたかのような印象を受けるのですが、結論から言えば、実際に紹介されている手法としては中間者攻撃(man-in-the-middle attack)の応用です。プレゼンのスライドはこちら。
＃さきほど、ビデオも公開されたようなので、ご興味のあるかたはどうぞ
さて実は、このMoxie Marlinspikeさんは2002年にブラウザの脆弱性を利用した別の中間者攻撃の手法（sslsniff）を発表した方でもあります。（個人的には2002年版の方が興味深いのですが、それはまた別の機会ということで...）スライドの28枚目まではその復習で、29枚目からが今回の本題。
彼がまず指摘しているのが、以前より高木さんのブログでも取り上げられている「入力画面でユーザーがSSLを確認できないサイト」の問題です。これらのサイトでは、実際に入力されたID/パスワードはSSL経由でサーバに送られるかもしれませんが、ユーザがそれを事前に確認する方法がありません。
次に、最近のブラウザは以前のバージョンよりも、SSL関連の警告機能が強化されてはいるが、通常のhttpでの接続には無防備であること。またユーザは「https://」と明示的にアドレスを入力することはほとんどなく、リンク経由もしくはリダイレクトによってSSLのページにたどり着くことを示した上で、本来httpからhttpsに切り替わる場面で中間者攻撃をしかけることで、
ユーザ <--- http ---> 中間者(sslstrip) <--- https ---> サーバ
という形を作ることを狙います。（スライド59ページ）
さらに、ユーザを安心させるためにfaviconを南京錠マークのものに差し替えたり（笑）、homograph attackと呼ばれる他言語の文字の類似性を利用した、ドメインの偽装テクニックの応用と、ドメイン認証で取得したワイルドカード証明書を組み合わせて、
ユーザ <--- https ---> 中間者(sslstrip) <--- https ---> サーバ
と攻撃手法を拡張することも可能であることを示しています。
確かに個々のアイデアは巧みで面白いのですが、これらはSSLそのものの脆弱性を突いたものというよりはウェブサイト側の不備とブラウザ表示機能の弱点をついたものであり、逆に言えば、
1)サイトが入力画面でユーザがSSLを確認できる作りになっている
2)ユーザがSSLを確認するための正しい手続きを知っている
という、SSL利用の前提である、最も基本的な２つのルールさえ守られていれば回避可能な攻撃であると言えます。
参考リンク：
SSLを入力画面から使用しないのはそろそろ「脆弱性」と判断してしまってよいころかも（高木浩光＠自宅の日記）
日本航空のEV SSL導入のナンセンス（高木浩光＠自宅の日記）
