zoomの脆弱性ときな臭い噂

武漢ウイルス（通称コロ助）の蔓延により、セミナーが軒並み中止や延期になっている。

その一方で、代替手段としてzoomの名前をよく聞くようになった。

自分は2018年に仮想通貨関連のオンラインセミナーで初めて使った。

基本的にはskypeのようなものと思っていただければよいが、セミナーに参加するだけのようなケースであれば、zoomはインストールだけでも大丈夫である。

また、1対多が可能で、多が数百人クラスになっても耐えられるプラットフォームであり、品質は安定しつつ、トラフィックはskypeほど食わないとも言われている

ちなみに自分の会社でも検討されたようだが、価格が高すぎて見送りになったらしい。

プライベートではと言うと、中止になったセミナーがzoom上で開催されるというケースが増えている。

セミナー参加者の立場で使ってみたが、設定は楽だし、画質も音声も結構安定していた。

イギリスでは閣僚のビデオ会議としても使用されているらしい。

ミーティングID付きのスクリーンショットをうっかり公開してしまい、アクセスが殺到したそうな。

これは素晴らしいツールだと思っていたのだが、だいたい利用者が増えてくる=攻撃者の標的になる=脆弱性が見つかるという構図となり、zoomも例にもれず脆弱性が見つかった。

しかも脆弱性以外でも厄介な問題が持ち上がっている。

まずはベタなクライアントの脆弱性。
ま、こちらはパッチを当てれば済むという問題である。

https://www.ipa.go.jp/security/ciadr/vul/alert20200403.html

んで、頭の痛いのがこっち。

どうもZoomの録画が、AWS S3バケットに暗号化されずに乗っていて、特定の命名規則で公開されてるらしい。

https://www.washingtonpost.com/technology/2020/04/03/thousands-zoom-video-calls-left-exposed-open-web/

IaaS使うのはいいけど、設定誤ってデータが露出してましたーって、2月もあったな。。。

https://blog.b-son.net/2019/08/blog-post_31.html

また、zoom社は本部はアメリカにある米国企業ですが、2015年から米国SECが求める情報公開をしていないとか、Zoomの拠点は北京と認識されている等、米中貿易摩擦の観点か、安全保障の観点かちょっとわかりませんが、きな臭い雰囲気も漂っています。

マリオット再び情報漏洩（500万件超）

マイルネタでマリオットと言えば、ポイントを多彩な航空会社のマイレージに交換できる、陸マイラーの間では知る人ぞ知る有名ホテルグループである。

一方、セキュリティでマリオットと言えば、2018年に3億8,300万件の個人情報流出をしでかしたホテルグループでもある。

ちなみに前回は若干記憶があいまいな部分ではあるが、確かマリオット本体ではなく、当時SPGとの合併の話もあり、SPG側のホテルグループのどこかが標的型攻撃を受けて既に潜入されて情報が詐取されており、合併後に漏洩の事実が明るみになったのでマリオットの情報漏洩みたいな体になっていた記憶である。

んで、原因は不明だが、おそらく標的型攻撃を受けて、4年前に既に侵入されていたということだった。

そんなマリオットで今度は500万件の情報流出事件が明るみになった。

前回は外部による標的型攻撃だったが、今回は内部犯行のようである。

どうもフランチャイズ企業の従業員がアカウントを不正利用して500万人分の情報を盗み取ったらしい。

なんかベネッセ事件を思い起こさせるな。

【参考】
https://wired.jp/2018/12/01/marriott-hack-protect-yourself/
https://viewfromthewing.com/marriott-data-breached-again-personal-information-from-over-5-million-more-accounts-compromised/

航空会社のマイルとクレジットカードに関する調査結果

2020年3月13日～16日に航空会社のマイルとクレジットカードに関する調査が行われ、その結果が公開されている。

日本国内での調査となるので、当然ながら、9割はJALかANAになるという結果は想像に難くない。ちょっと意外だったのはANAが全体の半数以上を占めており、この辺はマイルのため安さがそのまま調査結果に表れているのだろうと思った。

自分はJALのステータス保持者(且つ、ANAは平会員)のため、JALマイルしか貯めていないが、陸マイルで貯めるのであれば、ANAの方がやりやすいと感じている。

更に言うと、バイマイルのJALよりはANAの方が手段が多かったりする。

あと、調査結果で気になったのは、特典航空券に交換したことがない人が45.0％もいるということ。

特典航空券は貯めるのに知恵と時間が必要だが、使うのにも知恵がいる。

特に会社員の場合、休みが取れるのは正月かゴールデンウィークか夏休みとなり、必然的にハイシーズンとなる。

ハイシーズンと言うことは、当然ながらその時期の特典航空券の取得は至難の業と言うことになる。

どうしてもANAやJALの特典航空券をハイシーズンに抑えたければ365日前からの争奪戦に参加しなければならない。

これはかなり難易度が高いので、代替策をとることになる。

ハイシーズンを避けるとか。

提携会社やアライアンスの特典航空券にするとか。

直行便ではなく、経由便にするとか。

最後に気になったネタは、最もよく使うクレジットカード。

大多数の人がJALカードもしくはANAカードがメインになっていた。

JALマイルなりANAマイルなりを貯めるのであれば、当然JALやANAが発行するクレカが最もよく貯まる”はず”という気持ちは良く分かる。

だが、現実は異なるのである。

自分の場合、ステータス維持のために当然JALカードは持っているが、メインではない。

現在のメインはセゾンプラチナ・ビジネス・アメリカン・エキスプレスカードとなっている。

セゾンクラッセの攻略を組み合わせることで、還元率は最高1.125%となる。

また、マイラー界隈ではSPGアメックスカードが有名だと思う。

（個人的にはホテルマイルには興味が無いため、入っていない）

こちらはポイント還元率自体は1%だが、ポイントをマイルに変換する際、通常3万ポイントで1万マイルになるのだが、6万ポイントをまとめて変換すると5000マイルのボーナスが付く(マイル移行ボーナス)。

このマイル移行ボーナスを活用することで還元率は最高1.25%となる。

投資の世界にも言えることだが、たかが1%、されど1%である。

こういうところへのこだわりが、数年後の特典航空券のチケットがエコノミーになるのか、ビジネスになるのかの明暗を分けるといっても過言ではないだろう。

総括すると、特典航空券への交換率の低さや、メインカードの選択状況から、この調査の母数はマイルの素人なんだと思った。

【参考】

http://mile-up.com/blog-entry-5515.html

https://xn--lckh1a7bzah2hphpa1m7710eeitd.xyz/kiso/20200319-research-mileageprogram/

https://crecolle.jp/card-service/saison-classe-class6/

https://www.woshiru.com/creditcard/card/amex/amex_mile/spg_amex_mile_hotel.html

リモートワーク（在宅ワーク）に関するセキュリティ情報まとめ

武漢ウイルス（通称：コロ助）の世界的な蔓延で、リモートワーク（在宅ワーク）が増えている。

※「テレワーク」と言う言葉はダサくて嫌いなので、リモートワーク（在宅ワーク）という表現にしています。

在宅ワークの急な広がりで、集合住宅の光回線が飽和状態になってスピードが出なくなったり、配偶者がいる家庭ではDVが増加したり(暴力をふるう側は男だったり女だったり・・・)、自分自身の時間が増えて自身と向き合った結果退職する人が増えたり、食事作るのが面倒くさくなってウーバーイーツが好調とか、いろいろ面白い変化が出ている。

また、自宅で仕事をしていると、プライベートとの境目が曖昧になってくるため、仕事中は会社行く時と同様スーツを着るとか、プライベートとビジネスを区切る工夫が必要になっているようだ。

自分はと言うと、プライベートとビジネスの線引きが下手くそな人種なので、仕事は会社で行い、家では仕事をしないポリシーを継続している。（家には仕事をするための机も椅子もちゃんと整備していないという、ちょっと残念な事実もある）

セキュリティに関連する話だと、おそらく付焼刃的にリモートワークを始めた会社がそうなのだと思うが、SHODAN等では、リモートデスクトップにに必要な3389番ポートがインターネット向けに開放されている端末が増えているらしい。

そんなこともあり、関係各所からリモートワーク関連のセキュリティガイドが出ているので、まとめておく。

総務省から出ているセキュリティガイドライン第４版（PDF）

https://www.soumu.go.jp/main_content/000545372.pdf

警視庁から出ている注意喚起

https://www.keishicho.metro.tokyo.jp/kurashi/cyber/joho/telework.html

NISC(内閣サイバーセキュリティセンター)から出ている注意喚起

https://www.nisc.go.jp/security-site/telework/index.html

LAC社から出ている注意喚起

https://www.lac.co.jp/lacwatch/service/20200318_002153.html

JNSA（日本ネットワークセキュリティ協会）から出ているガイド

https://www.jnsa.org/result/2011/zaitaku_guide.html

https://www.jnsa.org/result/2012/zaitaku_guide.html

IPA（独立行政法人　情報処理推進機構）から出ている注意喚起

https://www.ipa.go.jp/security/measures/everyday.html#section4

マカフィー社から出ている注意喚起

https://blogs.mcafee.jp/top-five-things-to-do-to-stay-secure-when-working-from-home

カスペルスキー社から出ている注意喚起

https://blog.kaspersky.co.jp/remote-work-security/27942/

https://blog.kaspersky.co.jp/work-from-home/27854/

cybereason社から出ている注意喚起

https://www.cybereason.co.jp/blog/security/4527/

その他の記事等

テレワークでも押さえてほしい「Device as a Service」とセキュリティの勘所

テレワーク導入に“大慌て”の企業が、見直すべきセキュリティの基本

【訃報】志村けんさん武漢ウイルスで死去

武漢ウイルスの毒牙にかかり、2020年3月29日に志村けんさん(70)が亡くなった。

いかりや長介さんが亡くなって、ドリフはもう一生見ることができなくなったと残念な気持ちになっていたが、今度はバカ殿も見れなくなってしまった。

志村けんさんと言えば、いろいろあるが、個人的にはバカ殿が一番思い出深い。

今更ながら最近知ったのだが、バカ殿の根源はドリフ大爆笑より前の、1977年の『8時だョ!全員集合』に遡るらしい。

しかも初代の家老がいかりや長介と言うから、ここ数日はYouTubeで関連動画をずいぶん楽しませてもらった。

Wikiペディアによると、”ザ・ドリフターズのリーダーで絶対的な権力を持っているいかりや長介と、最年少でいかりやに普段いいように使われている志村けんの立場を逆転させ、志村演じる自由奔放なバカ殿が家老のいかりやをここぞとばかりに翻弄するという下剋上コントだった。”というが、最近のバカ殿の原型が節々にちりばめられていてとても楽しかった。気になる方は是非YouTubeで検索してみてほしい。

それにしても、志村けんさんの死亡の原因となった武漢ウイルスについて、WHOの無能っぷりに怒りを感じている人は、事務局長の解任署名キャンペーンを行っているので、志村さんの弔い合戦がてら参加してみてほしい。

https://www.change.org/p/united-nations-call-for-the-resignation-of-tedros-adhanom-ghebreyesus-who-director-general

【参考】

https://ja.wikipedia.org/wiki/%E5%BF%97%E6%9D%91%E3%81%91%E3%82%93%E3%81%AE%E3%83%90%E3%82%AB%E6%AE%BF%E6%A7%98

http://geinoujinreka.seesaa.net/article/449423818.html

【未来戦略】海外移住権を考える

人生のリスクヘッジの一つとして、日本以外に住める国(=永住権を取得する)を1つ持っておくことが良いとされている。

これは定年後の海外移住と言う話ではなく、日本で何かあった際に、脱出して住むということである。

想定シーンとしては首都直下地震が起きて東京が壊滅してしまったケースとか、北朝鮮のミサイルが東京に落ちてきたシーンとかだろう。

永住権は結構不動産投資と密接に関わり合いがあって、東南アジアで多いイメージだった。

少し前までの有名どころだと、マレーシアやフィリピンがある。

また、永住権ではないが、タイでは300万円くらい払うと、20年間のビザを買える

https://thailandelite.jp/

先日、Youtubeでイケハヤ氏の動画を見ていたら、ジョージアが出てきた。

ジョージアとは中欧の国で、昔はグルジアと呼ばれていた。

確か大相撲の琴欧州がジョージア出身ではなかっただろうか。

そんなジョージアは治安もよく、親日家の国とされている。

この国でも不動産投資を行うことで、永住権の獲得を行うことができる。

ルールは下記の通り。

1.価格が３０万米ドルを超えるジョージアの不動産（土地、アパート、商業物件など、農地は不可とされる）を購入し資産価値を証明する報告書を作成することで５年間の投資滞在許可証が発行される。

2.この不動産を売却することなく５年間持ち続けることで永住許可が下りる。

ま、5年かかるため、やはり計画的な行動が必要。

あと、海外不動産の場合、「どの物件を買うか」よりも「誰から買うか」が重要となる。

【参考】
https://www.youtube.com/watch?v=qdljMEHPIzo
https://avageorgia.jp/permanent/

武漢ウイルス（コロナ）ショックで失業した際のセーフティーネット

竹内力主演の難波金融伝　ミナミの帝王が好きで一時期夢中になって見ていた。

そのミナミの帝王の中で記憶に残っているフレーズが、

「国は困っている人を助けてくれるんやない、知っている人を助けるんや」

って感じのフレーズ。

武漢ウイルスが世界中に蔓延して人の往来が止まり、経済も止まっている。

この後に起きるのは大リストラとなるが、国や地方自治体はそれに備えてセーフティーネットを整備している。

で、ミナミの帝王のセリフに戻るが、これらの制度は困っている人を助ける制度ではないです。

「制度を知っている人を助ける」制度です。

これを知らないと、生活苦になってサラ金に駆け込んで、闇金に手を出して人生終了となる。

イケハヤ氏も紹介する5つをこちらでも紹介しておきたい

1.失業保険

ブラックの会社だと入っていない可能性あり。給与明細で雇用保険の負担があれば大丈夫

自己都合だと受給まで3か月くらいかかる。会社都合だと即支給


2.緊急小口資金貸付

失業だけでなく、休業で困った場合も貸付対象になる


3.職業訓練給付金

失業保険入っている人だけと思っていたのだが、そうでない人ももらえる可能性あり


4.ギグワーク（日払い単発バイト）

「タイミー」

「UberEats（ウーバーイーツ）」

「キッズライン」（ベビーシッター）

※ギグワークを使うのサブ的な位置づけでのみ。（休業に伴う一時的に食いつなぎとか、失業保険や職業訓練給付金+αとか。ギグワークをメインで生計立てるくらいなら生活保護推奨）


5.生活保護

これは最後の手段。受けるための手続きが複雑なようなので、個人でやるのではなく、NPOとかの支援を受けてやったほうがよさそう。


【参考】
https://www.youtube.com/watch?v=sxOG0hOf6jQ
https://news.yahoo.co.jp/byline/fujitatakanori/20200325-00169705/

香川県の公式サイトにDDoS攻撃 -ゲーム依存防止条例との関連は？-

3月12日、17日、18日と、香川県の公式サイトに対してDDoS攻撃が発生したようで、
サイトが一時閲覧できない状態が発生した。

3月18日の攻撃が最も大きかったようで、夕方まで復旧にかかった模様。

香川県といえばうどん県のイメージだが、時を同じくして、ゲーム依存防止条例なるものの制定を行っていた模様。

ゲーム好きなハッカーによる嫌がらせだろうか？

ちょっと調べてみたのだが、香川県はグローバルIPアドレスが割り当てられており、ちょっとうらやましいと思う反面、枯渇しているグローバルIPを地方自治体で保有するなよって思った。

【参考】
http://www.security-next.com/113320

https://catgatomao.com/2020/03/12/the-kagawa-prefectural-ordinance-to-prevent-game-dependency/