本日テーマ

利用者によるセキュリティ (パスワードについて)

事前準備内容

• 前回の石渡さんの講義資料を web にアップする (高橋)
• レポート課題作成(石渡)
• inex2011-ml の登録・変更(堺)
  • inex-ml + 受講者を inex2011-ml に登録
• inex グループメンバーの整理
  • メンバーに追加すべき人・メンバーから外すべき人のリストを作って倉本さんに更新依頼(堺)
• 投稿システムの受講生アカウント準備 (高橋)
  • 初期パスワードが書いてある tex ファイルを印刷して配布
• 講義資料の準備, 特によいレポート例の自画自賛部分(高橋)
• 受講生の名札準備(川畑)
• 受講生の写真のページ作成(林)
• 機器管理者リスト (epnetfan web) 作成 (高橋)
• 第3回のウェブページ・講義資料・実技資料を作る(山下)
  • 実技編の資料をトレースしておく.
• 新たな本日の一冊を模索する(高橋)
  • 書籍の画像も更新.
  • 良い情報があれば, ml 宛に情報提供.
• 講義資料事前チェックでのコメント

本日の予定

反省事項(来年度への覚書)

• 2011 年度
  • タイムスケジュール
    • 13:00 授業開始
    • 13:00 - 13:20 レポート投稿システムの説明・実演
    • 13:20 - 14:35 レクチャー
    • 14:35 - 14:50 休憩
    • 14:50 - 14:55 初期パスワード発行・変更, 名札受け渡し
    • 14:55 - 15:45 実習編, 出席確認, 本日の一冊
    • 15:45 - 15:50 レポート課題発表
    • 15:50 講義終了
    • 16:00 - 裏方ミーティング
  • 座学編での質問事項・補足
    • root はアカウント作成だけでなく, 抹消も出来る. それ故に root は計算機を熟知していないといけないし, 高い倫理が求められる.
    • ハッキングの原義は, 高い技術力を駆使してコンピュータシステムや通信システムの動作を 解析したりプログラムを改造・改良したりすること (IT 用語辞典より).
    • 特に大学の計算機は外部から狙われる対象となっている.
      • セキュリティポリシーが部局によりバラバラであり, 緩い所もある (つまり自由度が高い). そこが攻撃の対象になるのかもしれない.
      • 計算機の所有数が多いことも一因かもしれない.
    • 計算機は悪用しないだけでなく, その管理も重要. 管理が甘くクラッキングされると, その責任を取らされることにもなりかねない (e.g. T 大学の学生が退学した話とか).
    • Brute Forth Attack -> Brute Force Attack
    • /etc/shadow に暗号化アルゴリズムが陽に記述してあるが, これは, アルゴリズムを変えたり試したりする事が 出来るようになっている為である. 初期の頃は crypt を使っており, 暗号化された文字列しか記述していなかった.
      • man crypt コマンドを実行すると, 書式についての説明が得られるだろう.
  • 実技編に関するメモ
    • アカウント名に大文字アルファベットは使えない(web 資料は修正済).
    • # と $ が間違っている箇所があった (来年度までには高橋(康)君が直してくれる筈).
  
  
• 2010 年度
  • タイムスケジュール
    • 13:00 授業開始
    • 13:00 - 13:16 名札配布, レポート投稿システムの説明・実演
    • 13:16 - 14:00 レクチャー
    • 14:00 - 14:10 休憩
    • 14:10 - 14:53 実習編, 出席確認, 本日の一冊
    • 14:53 - 15:00 レポート課題発表
    • 15:00 講義終了
    • 15:17 - 反省会
  • 質問事項
    • shadow ファイルはなぜ必要か
    • MD5 の複号化は出来るのか ?
  • 反省会のメモ
    • レポートの話は前週に話したが, 今回も詳しく話した.
    • レポート例 5, 6 についても話す. 例 5, 6 とするのではなく, 「これらが実際に用いられて書かれている例」などにするべき.
    • ただ単にレポート投稿システムにリンクを貼るのではなく, どこが良いかの説明をスケジュールに書く.
    • 話す時は心が伝わるように話す.
    • [座学]フォントは全てゴシック.
    • [座学]単語 (アカウント, ログイン等) の定義が甘い.
    • [座学]暗号化の説明方法.
    • [座学]まとめスライドに「ログイン」の項目を入れる.
    • 出欠を授業の最初に確認 (VTA が最初に確認)
    • [実技]文字化けで苦しんでいた. まずは受講生に頑張ってもらう.
    • [実技]最初に作成するパスワードは「仮」のもの. 後で変更する. 実技編資料の 4 の文言を改訂する.
    • [実技]色の付いた部分を受講生にやってもらう. これについては第 3 回の資料に書かれているので, 第 2 回に移動させる.
    • [実習]時間のある人へのページの中身が整理されていない. 再構成する必要あり.
  
  
• 2009 年度
  • タイムスケジュール
    • 13:00 授業開始
    • 13:00 - 13:21 レポート投稿システムの説明・実演
    • 13:21 - 13:53 レクチャー
    • 13:53 - 14:05 休憩
    • 14:05 - 15:24 実習編, 出席確認, 本日の一冊
    • 15:24 - 15:26 レポート課題発表
    • 15:26 講義終了
    • 15:40 - 反省会
  • 反省会のメモ
    • 前準備の段階で各マシンの環境が統一された状態となるよう心掛けたい.
    • レポート投稿システムのタイトルは変えられないことを言い忘れない ようにするべし.
    • レポート投稿システムの意義(皆のレポートを参照出来るようにしてよ り良いものを作る)について今一度述べるべし.
    • スケジュール的には問題無かったと思われる.
    • [座学]: 用語の説明が無いなど, 話の中でやや唐突な部分があった.
    • [座学]: 日本語の使い方・文字の色・改行など気を配るようにしたい.
    • [座学]: 来年度の発表者は MD5 の具体的な話を盛り込むこと.
    • [座学]: crypt と MD5 は別物であるように説明されていたが, 実際 はそうではない.
    • [座学]: 教育的クラックの具体的内容を述べるべきだったと思われる( passwd, shadow ファイルの見方にも関係してくるので).
    • [実技]: 資料では「パスワード変更」の話の後に「ログイン」の話が 書かれているが, 順番を入れ替えた方が良いだろう.
    • [実技]: 受講生にもっと作業してもらうようにした方が良い(TA・VTA は 不親切であるべし).
    • [実技]: 物品チェックの意義(管理者は物品も含めて管理しなければなら ないという認識を持つetc)について語るべき.
  
  
• 2008 年度
  • タイムスケジュール
    • 13:00 授業開始
    • 13:00 - 13:16 レポート投稿システムの説明・実演
    • 13:16 - 13:55 レクチャー
    • 13:55 - 14:10 休憩
    • 14:10 - 15:06 実習編, 出席確認, 本日の一冊
    • 15:06 - 15:09 レポート課題発表
    • 15:10 講義終了
  • レクチャー編(質問・疑問・補足)
    • レポート投稿システムの説明の際に 「レポートの書き方指南」に触れるのを忘れずに.
    • パスワードマナーに関して
      • まあメモするのはやむを得ないか.
    • シングル・サインオンに関して
      • パスワードの情報を 1 箇所で管理.
      • 例えば皆が共有するデータベースなどで利用.
      • 北大では導入が検討されているらしい.
    • MD5 と crypt の違い
      • crypt は関数, MD5 は暗号化の方式.
    • 来年度担当の方は, 暗号化の不可逆性の原理を調べておきましょう.
      • 原理的には復元可能らしいが, 計算がやたらと面倒臭いらしい.
    • 一般ユーザが ls -l コマンドを使ったときにファイルの所有者が分かるようにするために passwd ファイルを見れるようになっている.
  • 実習編
    • 特になし.
  • 反省会(全体を通して)
    • TA, VTA の人はどんどん質問してね!!
  
  
• 2007 年度
  • タイムスケジュール
    • 14:47 授業開始
    • 14:47 - 14:50 小高さん・倉本さんによる今日の実験概要説明
    • 14:50 - 15:03 レポート投稿システムの説明・実演
    • 15:03 - 15:47 レクチャー
    • 15:47 - 16:02 休憩, 新しく来た人に簡易ガイダンス, 出席確認
    • 16:02 - 16:56 実習編
    • 16:56 - 16:58 本日の一冊
    • 16:58 - 17:01 レポート課題発表
    • 17:01 講義終了
  • レクチャー編(質問・疑問・補足)
    • パスワードは 8 文字以上にすると, 先頭の 8 文字が有効になると 言うが, 今もそうなのだろうか?
    • パスワードは 6 文字ではなく8 文字にしなさいと教えるべき だろう
    • MD5 の場合は文字制限はないらしい
    • クラック速度の話については要検討?
    • スペックという単語はコンピュータ初心者には分かるのだろうか?
    • 悪いパスワードを設定した場合に UNIX から警告を受けることが あるが, その場合には素直に従いましょう.
    • パスワードの暗号化の例(crypt) : 乱数生成方法 (salt) は 小文字, 大文字のアルファべットの 2 文字のすべての組み合わせ の数だけ存在(約 4000 通り)
    • crypt に加えて MD5 の説明もした方が良い
    • 良いアカウント名 = 管理者, 周囲の人, 自分がその人(本人)だと 特定できるアカウント名
    • アカウント名を後で変えることはなかなか大変なので, よく考えて つけること.
    • 個人情報 = 場合によっては他の人の情報も含む. 本人情報という 言葉と使い分けたほうが良いだろう.
    • 「計算機が計算機を攻撃する」ということについて
    • 言葉の説明が必要
    • 乗っ取られる(root 権限を手に入れられる)までのプロセスを説明
    • 乗っ取られたらどうなるのかの具体例を提示
    • ディクショナリアタックの単語には「趣味の単語」なども含まれる ということを言及しておいた方が良いだろう.
  • 実習編
    • joho18 が何故か起動しない -> リモートでログイン, 再起動.
    • joho18 で startx と打っても X が立ち上がらない
      • .Xsession ファイルが存在しなかったので対処療法的に外から コピー
      • X の設定をしていなかったので initx コマンドで X を起動
      • 手動で X window (afterstep) を選んで起動
    • joho18 のネットワークがつながらない -> ハブの挿す場所が間違っていた
  • 反省会(全体を通して)
    • 折角第 1 回目に UNIX の歴史の話をしたわけなので, パスワード の前に UNIX の話を先にした方がいいのでは?
    • パスワードは UNIX に限定された話ではないので, 別にこだわること はないのではないか?
      • 公的機関でのパスワード関連の動向や最新のパスワード事情について 言及すべき
    • 第 1 回目のレクチャーで LINUX を使ってこれから実習を行うという 説明を加えたほうがいい. 現状では主に歴史を語った 1 回目とこの回 のレクチャー内容にギャップを感じる.
  
  
• 2006 年度
  • タイムスケジュール
    • 13:01 授業開始
    • 13:05 - 13:45 レクチャー
    • 13:45 - 13:55 休憩
    • 13:55 - 14:30 実習編
    • 14:30 - 14:50 レポート投稿システム実演
    • 14:50 - 15:00 授業中にレポート投稿システムパスワード変更
    • 15:00 講義終了
  • レクチャー編
    • DES (MD5 も) は既に弱いことを書き込んでおく. 最新の暗号化システム (2006 年度現在では AES, SHA?? などの 暗号化システム) について調べて記述しておくこと.
    • パスワードクラックについて具体的な流れを載せる (例: apache の セキュリティホールをついて shadow を持ってくる, → 手元で パスワード解析 → 別の計算機に進入, 等々)
    • 現在はクラスタという技術も使えるので, 簡単に市販の機種の 10 倍近い性能の機械でクラックが可能.
    • 5 枚目の「複数の人間で機械を共有する」と 「悪意あるものによる悪用を防ぐ必要性」とのつながりが良くない. 「悪意あるもの」とは誰のこと?? 「複数の人間」に含まれるのか? 外の人間か?? といったことをちゃんと説明する.
  • 実習編
    • アカウント作成後, 一度ログアウトした後に作成したアカウント でログインしてからパスワードを変更するようにする. (アカウントが作成されたことを確認することも含めて).
  
  
• 2005 年度
  • タイムスケジュール
    • 13:01 授業開始
    • 13:05 - 13:35 レクチャー
    • 13:35 - 13:50 休憩
    • 13:50 - 14:30 実習編
    • 14:30 - 14:45 レポート投稿システム実演
    • 14:50 講義終了
  • 実技編で, VTA の作業と学生の作業との切り分けがうまく書かれて いない.
  • 前半のレクチャーはもっともぉっとゆっくり話す.
  • レクチャー中の音量を調節する, ピンマイクでも手にもって喋る.
  • レクチャー中の用語に注意. (クラック, ブラウザ, SPAM)
  • アカウント名の付け方に関する解説がなかった.
  • 実技編資料にそって作業内容を指示する. (VTA に対して)
  • 実技編資料で, logout, 日本語環境へのエクスポート, 日本語入力方 法 startx の次にブラウザをあげる方法を記述する. 学生さんが自主学習 できるように. あと次回以降の実技編に必要そうな下準備を押し込め てしまう.
  • 3n+1,2 のブラウザを VTA 権限であげて, 各 PC でブラウジングでき るようにするという手も使える.
  • passwd 変更をどのように行うのか (要検討!)
    • すぐ前のパスワードには戻せない.
    • 学生さんがせっかく考えたパスワードを変更させてしまうのは忍 びない
    • 失敗させてしまう. passwd コマンドをとりあえず実行し, 実際に は変更しない (空パスワードとかいれる)

• 2004 年度
  • 前半のレクチャーはもっとゆっくり話す.
  • 分かりやすい所と分かりにくい所の時間配分を考慮する.
  • レクチャー資料の下四分の一は(プロジェクターに投影した際に)見づらいので使わないほうがよい.
  • HTML資料の際はスクロールをまめに行う.
  • アカウントに使える文字列の解説を正しいパスワードのつけ方の説明の前に持ってくる.
  • レポート投稿システムパスワードファイルの印刷の際にはアルファベットの判別がしやすいフォントを使う.
  • 後半のレクチャー資料のログイン成功後に passwd, group, shadow などを閲覧するという項目を追加する.

参考資料

■ 書籍

■ 本日の一冊 ■
	佐々木良一 監修, 日本ネットワークセキュリティ協会教育部会 著 情報セキュリティプロフェッショナル教科書 アスキー・メディアワークス (2009/3/19) ISBN：978-4-04-867782-0

• 木下 是雄 ： レポートの組み立て方, ちくま学芸文庫
• 山本 和彦著 : 転ばぬ先のセキュリティ10 パスワード, UNIX MAGAZINE 1995. 2.
• Matt Bishop and D. V. Klein: Improving System through Proactive Password Checking, Computers and Security NO. 14(3), 233-249, 1995.

■ Web サイト

• 最低限セキュリティ パスワードの正しい付け方
• 計算数学第 4 回「パスワードとセキュリティ」
• 0 からはじめる Linux セキュリティ入門
  
  
• アスキーデジタル用語辞典
• ITやパソコンに関連する辞書・用語集

■ 北大事情, 地球惑星科学専攻事情あれこれ

• HINES ホームページ
• 地球惑星科学専攻 EPNetFan ホームページ
• 地球惑星科学専攻技術支援グループ(epcore)ホームページ
• mosir 地球惑星科学版の SOI プロジェクト

■ その他

• SETI (the Search for Extra Terrestrial Interigence ) インターネットを大規模に使った活動例.
• 東京大学数理科学研究科 計算数学のページ
• 地球流体電脳倶楽部