優良FX事業者を見分ける方法

爆損系FX YouTuberのJIN氏が2019年1月のフラッシュクラッシュで2500万吹き飛ばした話を聞いて、以前とある筋から優良FX事業者を見分ける方法を教えてもらったのを思い出した。

その方法とは、スワップポイントを見る方法である。

これはスワップポイントが高い=優良事業者という意味ではない。

通常、スワップポイントの絶対値は同じになるはずである。

ところが、FX事業者は利用者に購入してほしいペアに対してスワップポイントを高くつける傾向にあるため、ダメ事業者になればなるほど、買いと売りのスワップポイントが乖離していくというわけである。

早速ある日のスワップポイントの一覧を見てみる。

こう見ると、JIN氏が2500万円吹き飛ばしたヒ〇セ通商はかなりダメな部類の事業者ということになり、JIN氏が1年経っても根に持つのも分かる気がする。

また、この一覧から行くと、「みんなのFX」や「LIGHT FX」が優良事業者と言うことになる。

自分はFX自動売買を行っており、一覧にはない事業者を使っているのだが、裁量トレードを行う際は優良事業者を使いたいと思う。

「JAL NEOBANK」を考えてみる

JALがネット銀行サービス「JAL NEOBANK」を始めたらしい。

「JAL NEOBANK」の銀行口座を作れるのは、「JAL Global WALLET」利用者のみ。

「JAL Global WALLET」はリリース時に導入を検討したものの、イマイチ感が強く、見送った経緯がある。

個人的に何がイマイチだったかと言うと、プリペイド型であるという点。

事前にチャージして両替して現地引き出しだと、「JAL Global WALLET」に半端な残高が残る感じが嫌だなと。

ただ、改めて「JAL Global WALLET」のサイトを見てみると、小数点第2位までの単位で両替できるようなので、イマイチな点は自分の思い過ごしだったらしい。

「JAL Global WALLET」を既に持っている人は「JAL NEOBANK」の口座を追加で作る形になるし、無い人は今後セットで申し込む形となる模様。

んで、「JAL NEOBANK」と、「JAL Global WALLET」の関係が下記。

これまでは「JAL Global WALLET」への入金に難があったのを、「JAL NEOBANK」を用意することでそれを解消させた感じ。

「JAL NEOBANK」は住信SBIネット銀行との協業で行っているため、感覚的には住信SBIネット銀行の機能を一部そぎ落としたものを「JAL NEOBANK」とした感じ。

自分は住信SBIネット銀行をメインで使っているが、メインバンクとして使うには明らかに機能不足なイメージがあるが、「JAL Global WALLET」への橋渡しがメインであれば、まぁよいのかと。

んで、肝心な活用法だが、自分は住信SBIネット銀行をメインにしているため、「JAL NEOBANK」はあまりメリットが無い。

「JAL Global WALLET」だが、最近の円高傾向を鑑みて活用法を思いついた。

それは、円高時の外貨預金である。

たまに旅行の計画は無いのだが、円高で「今海外に行って両替したらレートいいはずなんだけどなー」って思うことは無いだろうか？

「JAL Global WALLET」を活用すれば、円高時にチャージ&旅行予定先の通貨に両替しておくことで、仮に旅行時に円安になったとしても為替リスクをヘッジすることができる。

「JAL Global WALLET」は、円安局面ではあまり活用シーンが無いが円高局面だと為替ヘッジに使える面白いツールに思えてきた。

そうと決まれば早速申し込んでみよう。

【参考】
https://www.bousaid.com/jalのネット銀行サービス「jal-neobank」が登場/
https://クレジットカード比較プロ.xyz/news/20200507001-jalneobank/
https://www.traicy.com/posts/20200427155316/
https://マイルの鉄人.com/jal-neobank
https://tabikazu.com/2020/05/01/jal-neobank-merit/

悲報。愛知県が武漢ウイルス感染者の氏名などをWebサイトで露出

武漢ウイルスの猛威が世界中に広まっている。

感染しないことが一番だが、感染してしまったら生き抜くことが一番である。

そんな武漢ウイルス感染者や濃厚接触者に対する差別的な発言や扱いが増えているらしい。

武漢ウイルスによる肺炎で死亡した男性の遺族は、「お前も感染者か」と聞かれたり、職場で人に避けられたりする事象が出ている。

大の大人でこんな状態だから、当然学校でも差別やいじめが発生している。

愛媛県の小学校では、感染拡大地域との往来があるトラック運転手の児童が、健康状態に問題がないにもかかわらず自宅待機を求められ、入学式や始業式を欠席させられていたようで、4月16日に文部科学省から感染リスクのある仕事に従事する人らへの差別や偏見の防止徹底を求めるよう都道府県教育委員会などに通知を出した。

偶然の一致か、狙ったのか、詳細は不明だが翌月、5月5日に再び愛知県がやらかした。

今度は武漢ウイルス感染者495人分の氏名や入院先などの非公開情報を誤って県のウェブサイト上に掲載したと発表したのだ。

ニュースでは通常ダブルチェックの体制で・・・・と言うことだったが、ダブルチェック以前に機微情報を公開サーバ上で取り扱うという行為が理解を超えている。

想定損害賠償額シミュレータで今回の損害賠償額を試算してみると、約3,300万円と言う結果となった。

今回は愛知県の嫌がらせかオペミスが原因だが、県が差別を助長するのはどうかと思う。

【参考】
https://www.jiji.com/jc/article?k=2020041600706&g=soc
https://www.asahi.com/articles/ASN5552HCN55OIPE007.html
https://www.jiji.com/jc/article?k=2020041601291&g=soc

WindowsのPCで別ユーザのパスワードが分からなくなった場合の対応【Cain & Abel】

自分のWindowsパスワードが分からなくなってしまって困ることは無いだろうか？

上記の結果Windows OSそのものにログインできなくなってしまうと救いようがないが、自分のアカウントとは別に管理者権限を持つアカウントがあり、OSにログイン可能であれば、救う手立てが無いこともない。

悪用厳禁だが、自身のアカウントに対してブルートフォース攻撃を行うことで分からなくなったパスワードが分かる可能性が出てくる。

一般的にはペンテストツールとして用いられるものであるが、その名も、

Cain & Abel

である。

辞書アタックやブルートフォースアタックが可能で、使ってはいけないパスワードを使っているようなケースであれば、数分程度で解析が完了する。

パスワードについてはNISC(内閣サイバーセキュリティセンター)が推奨するように、英大文字小文字＋数字＋記号の組み合わせで10桁以上のものを推奨したい。

【参考】
https://blog.kawa-xxx.jp/entry/2016/09/24/155451
http://www.byakuya-shobo.co.jp/hj/moh/pdf/moh_p206_p211.pdf

【cain_and_abel_setup_ver4.9.56バックアップ】
※汚染されている可能性あり。インストールはマルウェア感染しても影響のない環境でお願いします。
https://www.dropbox.com/sh/i1fvec875poety4/AAAmC4lea6BZWJQWCPPWBf2Za?dl=0

Webサイト脆弱性スキャンツール【OWASP Zed Attack Proxy(ZAP)】

サイバーセキュリティを一般の人に説明する場合、分かりやすく実在するものに例えて説明することがよくある。

例えば、インシデントレスポンスであれば消防に例える。

火事が見つかった場合に緊急出動して消火を行う。平時は訓練等を通じていつでも出動できるようにする。

インシデントレスポンスも同じでセキュリティインシデントが発生した際には関係者をかき集めて復旧活動を行う。

同じ流れで、セキュリティ業界のキャリアパスを医者に例えるのはどうかと最近考えている。

医者と言っても特定分野のトップガンのような大学病院の医者もいれば、地方の総合病院の医者もいれば、町医者もいる。

セキュリティも幅広い知識が必要となるが、その広さと深さに応じて、大学病院クラスのセキュリティ担当、地方総合病院クラスのセキュリティ担当、町医者クラスのセキュリティ担当と別れるような気がしている。

大学病院クラスのセキュリティ担当はセキュリティ専業ベンダーを指すものと思われる。

地方総合病院クラスと、町医者クラスの分類が悩ましいのだが、有償のツールを使ってそれなりに分析できるのが地方総合病院クラス、無償のツールで必要最低限の分析を行うのが町医者クラスとなるのだろうか？

今日はそんな町医者クラスを満たすのに必要な脆弱性スキャンツールの紹介。

その名も、

OWASP Zed Attack Proxy(ZAP)

OWASPzapはOWASP(Open Web Application Security Projectの略。Webアプリケーションセキュリティの分野で自由に利用できる記事、方法論、ドキュメント、ツール、および技術を作成するオンラインコミュニティ)が開発したWebサイトの脆弱性スキャンツール。

Linux、Windowsで稼働し、日本語版もある。KaliLinuxには標準で搭載されている。

【参考】
OWASP ZAPの基本的な使い方
脆弱性診断研究会（Security Testing Workshop）
IPA安全なウェブサイトの作り方
OWASPWebシステム／Webアプリケーションセキュリティ要件書

ヴァージンアトランティック、2020年5月末までに資金調達ができないと破綻か！？

先日、ヴァージンオーストラリアの破綻がニュースになったが、ヴァージンアトランティックも2020年5月末までに資金繰りの調整がつかないと破綻の危機となる模様。

ヴァージンオーストラリアはオーストラリアの航空会社だが、80%は海外資本となっていることから、オーストラリア政府に見捨てられた格好となっている。

ヴァージンアトランティックはイギリスの企業だが、株式の49%は米デルタ航空が保有しており、イギリス政府が救うかは若干微妙な状況にある。

武漢ウイルスの蔓延が航空業界を蝕んでいる。

早く事態が落ち着くことを祈りたい。

【参考】
https://loyaltylobby.com/2020/04/26/virgin-atlantic-collapses-by-the-of-may-unless-no-new-cash/

vimeoのストリーミング動画を保存する方法【InviDownloader】

会員サイトの動画を保存したいと思うときは無いだろうか？

オフライン環境下でも視聴したいとか、会員サイトで再生させるとよく停止するとか・・・。

有名サイトであれば、それなりにGoogle先生に聞くと教えてもらえるのだが、今回ちょっと苦戦したので、記録がてら残しておきたい。

まず、最初にやってみたのは、お手軽にChromeの拡張機能で実施できそうな、ストリームレコーダーや動画ゲッターを使う方法。

ところが、これだと一切動画ファイルを検知してくれない。

悩んだ結果、初手に戻って、対象のストリーミング環境を調査してみることにした。

Chromeを使っている場合、F12ボタンをクリックしてデベロッパーモードにすることで情報を得ることができる。

その結果分かったことは、動画配信にvimeoを使っているということだった。

何でこんなマイナーなサイトを使っているかと言うと、どうも動画のキャプチャが難しい構造になっているようだ。

さらに調べてみると、このvimeo、ストリーミング再生時に、裏の処理として、コンテンツを音声とビデオに分離し、さらにそれぞれを細切れ（1時間のコンテンツでそれぞれ500ファイル程度）にして、順次ダウンロードし、クライアント側で組み立てて再生させる流れとなっている。

会員サイトで再生させるとよく停止するのだが、これで原因が分かった。

細分化されたファイルが何かのタイミングで1つでも失敗すると途中で動画再生が止まってしまっていたのである。

うーん。vimeoは仕組み的にはクソだが、この方法をやられると、確かに動画の入手は難しくなる。

だが、仕組みが分かってしまえば、対策もあるというのが世の常である。

要は細分化されたファイルをダウンロードし、結合すればよいのである。

日本語では解決策が見つからなかったが、英語で解決策が見つかった。

やはり英語には慣れておかないといけないと改めて思った。

んで、解決のためのツールは

InviDownloader

というツール。

丁寧にYouTubeでの解説動画も見つかった。

流行りのストリーミング動画保存ツールに比べると若干手間がかかるが、とりあえず助かった。

【InviDownloaderの入手先】
https://sourceforge.net/projects/invidownloader/

【InviDownloader(1.0.0.4)バックアップ】
https://www.dropbox.com/sh/ibhpq4g3mpl8fzj/AAAck4sw_WRml2YAXhvvKPPaa?dl=0

【オマケ:ストリームレコーダーの旧バージョン(Ver.1.1.3)バックアップ】
https://www.dropbox.com/sh/dtvz4aseuuhmwdq/AADaRY862WxzK9maFEdgE6bNa?dl=0

ビートルズ、『アビィ・ロード』ジャケ写の横断歩道で記念撮影

ザ・ビートルズのラスト・アルバム『アビィ・ロード』のジャケ写を撮ったアビィ・ロード・スタジオ前の「横断歩道」はロンドンでは指折りの観光スポットになっている。

しかも、アビィ・ロード・スタジオの前にはWebカメラが設置されており、あのジャケ写の横断歩道の様子を24時間、世界中のどこからでも見ることができる。

興味のある人はこちらから。

http://www.abbeyroad.com/crossing

↓は自分が行った時の様子（直近24時間以内であれば、ダウンロードもできる）

｢BASE FOOD CAMP｣に参加してみる

BASE FOODってご存知だろうか？

からだに必要な栄養素がすべて詰まった、「完全食」と言われるパンやパスタを作っている。

昨年参加したお金のEXPO2019で試供品が配られており、それが縁で定期購入している。

商品は大きく2つ

■BASE BREAD

1日に必要な栄養素の1/3を1食（2個）でとることができる、世界初の完全栄養パン。

一般的なロールパンに比べて糖質36%オフ、たんぱく質を27g含有。常温で約1カ月の保存が可能。

保存期間が長い点が個人的にはとても気に入っており、1ヶ月食べる分を毎月定期購入している

■BASE PASTA

1食で1日に必要な栄養素の1/3をとることができる、世界初の完全栄養のパスタ 。

電子レンジでも調理できる点が個人的にはとても気に入っている。

2020年4月にリニューアルされ、電子レンジ調理するとゲロマズになってしまった。電子レンジ調理は現時点事実上不可。

そんなBASE FOODの｢BASE FOOD CAMP（ベースフードキャンプ）｣なるものに参加してみることにした。

完全栄養の主食を食事に取り入れることで栄養バランスの改善を目指す事がプログラムの趣旨である。

最近、武漢ウイルスの影響で外出自粛が続き、食事量を落としているのだが、栄養バランスが気になりだしており、個人的には渡りに船的な企画である。

Twitter上で管理栄養士がアドバイスをくれたり、Zoomでオンラインランチ会を実施したりと、一応特典も用意されているのだが、自分Twitterやらないんだよな・・・・。

Zoomのオンラインランチ会は機会があれば参加してみたい。

【参考】
https://www.lifehacker.jp/2020/04/211408-commerce-basefoodcamp.html

zoom、暗号化を強化へ（AES256GCMとは）

武漢ウイルスの蔓延で、リモート会議ツールの代名詞となりつつあるzoom。

対面形式のセミナーが軒並み中止となり、ZOOMを使ったセミナーに変更になり、zoom飲み会なんて言う言葉も生まれた。

自宅は3日間の総通信料が10GBを超過すると速度制限がかかってしまうのだが、zoomはそんな速度制限下でもさほど遅延なく、デスクトップ共有されても非常にきれいに見えるので、一体どんな技術使っているのだろうかと大変興味深い。

一方でビデオ会議システムとしてのデファクトスタンダードになるということは、不正アクセスに晒されるリスクも高くなる（攻撃者視点で考えた場合、zoomを攻略したほうが費用対効果が高くなるので、様々なアタックを受け、脆弱性が見つかりやすくなる）

一方、zoomの問題として、録画データがAWS S3バケットに暗号化されずに乗っていて、特定の命名規則で公開されているという話や、アメリカはzoomを中国企業とみなしている等、きな臭い噂が流れている。

そんなzoomが暗号強化の発表をした。

従来はAES256ECBだったものを、AES256GCMに変えるらしい。

暗号強度については過去に一度学習したことがあったが、大分記憶があいまいになっているため、これを機に整理しておきたいと思う。

■AESとは

AES（Advanced Encryption Standard）と暗号化アルゴリズムの名称

暗号化アルゴリズムには共通鍵暗号方式と公開鍵暗号方式があり、AESは共通鍵暗号方式に分類される。

その後ろの数字(256)は鍵長を指す。

AESは128、192、256の3パターンが利用できる。

つまりAES256とは、AESの中で最も長い(強度の強い)鍵長となる。

最後のECBやGCMは利用モードを指す

■ECBとは

ECBモード (Electronic Codebook Mode)とは、もっとも単純な暗号利用モードである。

メッセージはブロックに分割され、それぞれのブロックは独立して暗号化される。

ECBモードの欠点は、同じ鍵を用いた場合ある平文ブロックを暗号化した結果の暗号文ブロックが常に同じとなることである。

このため、データのパターンを隠蔽することができない。

メッセージの機密性の保持には向かず、暗号化プロトコルにおける使用は推奨されない。

■GCMとは

GCM（Galois/Counter Mode）とは、認証付き暗号の一つであり、データ保護と認証（完全性確認）の両方の機能を提供する。

暗号機能(=前出のECBに相当)部分はCTRモード (Counter Mode)が利用されている。

ECBモードが原始的なブロック暗号モードであるのに対して、CTRモードはブロック暗号でもありながら、ストリーム暗号にも属するため、ストリーミングの暗号化に適しているとされる。

認証付き暗号と言うのは、データの秘匿性、完全性、および認証性を同時に提供するためのものであり、暗号データそのものの改善を防ぐために暗号化データに検算用データ(=認証)を付加し、複合化時に改ざんされていないことをチェックするようなものである。

認証についてはGalois modeという、ガロア域 (Galois field)における乗法を用いた計算式を用いている。

暗号化の話は深入りすると数学の世界に入り込んでしまうため、ここまでにしておきたい。

ECBモードがいつからあったか分からなかったのだが、後継であるCBCモードが1976年に開発されているので、ECBモードも同年にあったとしよう。

一方のGCMは2007年にNISTが標準として制定した。

つまり、暗号化方式については石器時代から近代まで一気にバージョンアップされたということだろう。うん。

【参考】
https://www.itmedia.co.jp/news/articles/2004/23/news065.html