一括表示

昔、ドライブ丸ごとファイル化、というテクニックを紹介した事があります。
#1953 あたりですから、ちょうど１年ほど前ですね。


先月、情報処理技術者試験を受けてきました。
情報セキュリティってグレード。
セキュリティに配慮したコンピュータシステムを作る能力があるか、という
ことの実力認定試験です。受かったから何かができるようになるという資格
試験ではありません。英語検定なんかと同じようなもので、受かれば嬉しい
というぐらいのものです。去年も受けて落ちたのですが、今年も合格はちょ
っと難しそう。
今回の問題の中であったのが、情報漏洩防止のため、アプリケーションプロ
グラムには変更を加えずに、だけどソフトウェア的に、フロッピーやコンパ
クトフラッシュ、ＵＳＢメモリといった外部記憶媒体への書き出しを制限す
るにはどうするか、というもの。これは定められた文字数以内で的確に解答
するのは難しいけど、コンピュータの仕組がわかっている人にとって、技術
的にはそんなに難しい問題ではありません。アプリケーションは、データの
書き出しのためにＯＳにリクエストを出し、ＯＳはデバイスドライバを使っ
てそれぞれのデバイスにアクセスします。つまり、回答としては、ＯＳをフ
ックする、とか、デバイスドライバの制御を横取りする、なんて事が表現で
きていれば良いはずです。

この問題を解いている時に、ふと気がつきました。
もしもデバイスドライバを使わずに、直接アプリケーションからデバイスを
操作してしまうと、この方式の漏洩防止策は全く意味を持たなくなってしま
うのではないか、ということです。そんなソフト、おいそれとあるわけない、
と思うとそんな事もなくて、ディスク丸ごとファイルを作る種類のソフトっ
て、多くは直接デバイスにアクセスしているのですね。もっとも、フリーウ
ェアとして流通しているこの種のソフトの多くは、作製の目的というか動機
から、特定の（一般的な）フォーマット形式のフロッピーディスクにのみに
対応、というものがほとんどですけど。
私がときどき使っているrwfdというツールは、ドキュメントにしっかりと、
ダイレクトディスクアクセスを採用していると明記されています。その上、
このツール、私自身が試した事はありませんが、仕様では、ある程度以下の
サイズであれば、コンパクトフラッシュやＵＳＢメモリなどの大容量のドラ
イブにも対応しているとのこと。

考慮しなければならない事は、丸ごとファイルにアクセスする際、きちんと
それなりのフォーマットを守るようにしないと、外部記憶メディアに書き出
した時、そのメディアの中身がぐちゃぐちゃというか、そのメディアに対し
て普通にアクセスする事ができなくなってしまいます。
今回、丸ごとファイルの中身にアクセスするのには、DiskExplorerというソ
フトを利用させていただきました。ベクターにあります。これも様々な形式
の丸ごとファイルに対応しているようです。動作確認はWin2kまでのようです
が、会社のXPマシンでも問題なく動作しました。で、このソフトを使って丸
ごとファイルの中身に書き込み、その丸ごとファイルをrwfdでフロッピーに
書き戻せば、ほれ、情報流出完了。
いえ、別に情報流出に限らず、１バイトでもディスクの無駄な容量を少なく
したい、という目的にももちろん使えます。丸ごとファイルをドライブとし
てアサインできてはいませんが、中身はあたかも仮想ディスクのような感じ
でファイル管理できているわけですから、仮想的なクラスタギャップも小さ
くできます。もちろん、仮想ディスクとしてドライブレターを割り振った方
がなにかと便利だとは思いますけど。


ただ、いかんせん、この方法では手間がかかります。
流出させた情報がそれなりにカネになるなど、それなりにコストが見合うの
であともかく、そうでもなければこんなことはしません。では、他の方法は
あるかというと、なくはない。

フロッピーなどへの書き込み禁止ソフトを実装しようとした場合、内蔵のハ
ードディスクへの書き込みまで禁止されてしまうようでは問題です。なにせ、
ＯＳが書き込みをする事だってあるわけですから。つまり、書き込み禁止ソ
フトの側で、書き込み先がハードディスクかフロッピーか、ということを判
別しているわけです。この判別をごまかせれば、フロッピーへも書き込める
ようになるはずです。
判別方法としては色々なものがあると思いますが、一番簡単で、かつ、ある
程度の汎用性がある方法は、書き込み先のドライブがリムーバブルメディア
であるかどうか、というものでしょう。すなわち、フロッピーをハードディ
スクだといつわれるソフトがあれば、書き込み禁止ソフトをバイパスできる
可能性があります。
ところが、昔、ＤＯＳの頃はいくつかあったこの手のデバイス詐称ソフト、
最近のWindows用のものはベクターをちょっと探したという程度では全く見つ
かりません。残念、机上の空論で終わってしまったか。
 

> 　てっきり、サーバーへのアタックにどう対処するか、みたいな内容ばかりかと思っていましたが、

今年はこの手の内容も出題されていました。
去年はなかったような気もするんですけど、もはや忘却の彼方。
サーバーのログが問題文にあって、これを解析して、という感じね。
日頃、自宅のサーバーのログを読んでいるのがえらい役に立ったみたい。
この関連では、perlで作られたＣＧＩのセキュリティホールの話なんてのも
あって、この辺はおおよそ解けたつもり。普通、こういう事を仕事でやって
いる人が対象の試験なんでしょうが、私は趣味でやっているというか。あ、
でも、それって趣味でフリーウェアを作るのと同じような感覚かも。
ちなみに、プログラム関係は一昨年と今年はperlでしたが、去年はＣ言語の
問題でした。バッファオーバーランて言うんでしたっけ、よくＭＳがＯＳに
仕込んでくれているやつ。
でも、こういう実装に関する問題はごく一部で、システムの基本的な設計に
関する問題がほとんど。無線ＬＡＮの暗号化方式の選定だとか、がちがちに
セキュリティをあげると使い勝手が悪くなるのをどこら辺で折り合いをつけ
て妥協するかとか。

ちなみに、今回、私が受験したのはシステムを作る側の試験でしたが、もう
一つ、セキュリティアドミニストレータといって、システムを使う側という
か選定する側を対象としたグレードもあります。めざらさんなんかはこちら
の方の勉強をした方がいいかもしれません。ただ、セキュリティアドミニス
トレータの試験は今年の秋が最後で、来年度からは作る側と使う側の試験を
一本化する事が決まっています。問題の難易度がどうなるかは私には全くわ
かりませんが、今のうちに、今年の秋の試験用の参考書を立ち読みぐらいし
ておいた方がいいかも。来年以降は絶対に入手難になるわけですから。
 

どうでもいいことだけど、一応報告。

> 先月、情報処理技術者試験を受けてきました。
> 情報セキュリティってグレード。

> というぐらいのものです。去年も受けて落ちたのですが、今年も合格はちょ
> っと難しそう。

今年も見事に落ちました。
午前、午後１、午後２と３科目あって、いずれも８００点満点で６００点が
合格点。足切り制というか、午前が合格しないと午後１が採点してもらえず、
午後１に合格しないと午後２が採点してもらえない、という形。
この試験、国家試験としては珍しく、各個人の得点状況の問い合わせに応じ
ています。ＷＥＢで受験番号とパスワードを入力すると、各科目の点数だけ
ですが、結果が判るのです。
去年は、午前、午後１と突破できましたが午後２で敗退。
今年は、自己採点では午後２だけは自信があったのですが、午前がへなへな、
午後２は合格点トントン、ということで、もしかしたら午前で玉砕したかな、
と思っていました。でも、点数を問い合わせてみたら、午前は６２０点ほど
で通過、午後１が何と１０点足りない５９０点。

ふみぃ、とにかくなんでもいいから枠を埋めておけばよかったかもしれない。
って、マークシートじゃないからかえって減点されるかもしれないけど。
 

> 　ちょっと理不尽な感じがしますよね。

確かに。
でも、私が受けた事のある他の国家試験で、曲がりなりにも採点結果を教え
てくれるのって情報処理試験だけなんです。ほとんどの試験では問題用紙を
持ち帰れるし、やはりほとんどの試験で模範解答が公開されるので、問題用
紙に自分の解答を書いておけば後で自己採点できる、という方式なんですね。
中には、問題の秘密を守るとかいう理由で、問題用紙を回収されてしまった
上に事後の問題の公表も模範解答の発表もなし、なんていう試験を受けた事
もあります。ＴＯＥＩＣなんかの民間の試験だとそういうのも多いようです
が、そういう国家試験を受けた事もありました。あれは何の試験だったかな。

もっとも、情報処理試験でも事後の採点結果の公表をはじめたのは、ＷＥＢ
が普及したここ数年の事のはず。２１世紀になってからだったかな。
私も詳しいいきさつは知らないのですが、情報処理試験て昭和４０年代から
行われていて、その当時から午前の問題は多岐選択式（マークシート式）、
その結果で足切りをして、筆記式の午後の問題の採点に係る労力を減らそう
としていたようです。ただ、その当時から、午後に２科目あったかどうかは
知りません。