INSANEWORKS

2014 HAPPY NEW YEAR

2014年 あけましておめでとうございます!

2014iw

本年も社員一同、皆様にご満足頂けるサービスを心がける所存でございますので、

何とぞ昨年同様のご愛顧を賜わりますよう、お願い申し上げます。

皆様のご健勝と益々のご発展を心よりお祈り致します。

本年もどうぞ宜しくお願い申し上げます。
2014年元日 INSANEWORKS,LLC一同

Tips

CVE-2013-2094 Linux カーネルに権限昇格の脆弱性

Linux Kernelの久しぶりに深刻なバグです

perfが組み込まれている時にローカルユーザーから権限昇格が可能です

既に対策済みのKernelが配布されていますので早めのアップデートをオススメします

下記はCentOS 6.4 kernel-2.6.32-358.6.1.el6.x86_64にて実証コードを実行した場合です

続きを読む

Column

ワールドカップとタイカレー

こんばんわ、hitoshiです。
ちょっとさぼっててブログの更新にまたしばらく時間が空いてしまいました。
今日はこんなこと会社のブログに書いていいの?と少し迷いましたが。
まぁそんなに害もないと思うので個人的に感じることを書いてみようかと思います。

昨晩サッカーのワールドカップ予選がありましたがそのことで結構落ち込んでいるのです。
まぁ、次勝てばいいよね!という話ではなく。。。。
続きを読む

INSANEWORKSTechnologyTips

モバイル/クラウドの時代だからってサーバーのSSHとか全開の奴ちょっとこい

Kotaです。久しぶりにちょっと技術系の事かけよ!!と怒られたので、ちょっと挑戦的なタイトルで書いてみました、が実際そういうシステム、多いんじゃないでしょうか。

セキュリティと利便性は相反するなんて良く言われますが、そこを素晴らしい方法でなんとかしたのがSSLとかSSHとかVPNだと思うのです

安全を確保する事によって逆に便利になる事って多いんじゃないでしょうか?

  • モバイルデバイス主流なこんな時代、どんな場所でもメンテナンスせざるを得ないので、特定のIPからのみ接続を許す、、なんてことはできない
  • 自宅は固定IPじゃない
  • VPNの構築は面倒だし会社のルーターがPPTP/GREやL2TP/IPSecをパススルーしてくれない

結果こうなりがちです

  • 現実的に無理だからセキュリティ対策せず全部通す←おい
  • もちろん監査なんかしていないしヤバいだろうから考えたくないしたくない
  • 心配しないでもSSHは大丈夫だよww -> CVE-2008-0166とかCVE-2008-5161とか

それか

  • そもそも会社からしかアクセスできないようにする、自宅禁止、トラブルあったら深夜でも会社こい
  • 禁止だから打合せしてたら社内の人間に電話で指示しろ
  • そもそもSSHポートなんて空いてたらいくら公開鍵認証でもセキュリティ監査通らないよ、、

あるある、、

あーそいやポートノッキングというのがありまして、200個くらいのポートに順番にアクセスしていくと本当にアクセスしたい接続先のポートが空くのです。(これには批判あり)iPhone用のポートノッキングAppもあるのですがそもそもこれ面倒だしサーバーにも手をいれないとダメだしRFCにされそうにないしというか安くても(バッファローとかはだめだけど)VPN機器とか踏み台借りるなりしたほうがいいんじゃないでしょうか

前置きが長くなりましたが弊社でよく使うiptablesの設定をノウハウの一部を晒します。
iptablesのCHAINとか、SYN,ACK,FIN,RSTで細かく制御とか、調整の難しいlimit-burstは使いません。極めて単純な構造です。

名ずけて IMAPS before SSH!!

続きを読む