Google ChromeのWebGL機能を無効にする

ブラウザの機能はどんどん拡張されていますが、ついに3Dをブラウザ上でコントロールできるようになるWebGLという機能が登場し、Google Chromeなどで実装されています…が、仕様上の脆弱性が指摘されており、マイクロソフトはブラウザが直接ハードウエアコントロールできる仕様はとても危険だと、当初から反対のスタンスです。

マイクロソフトのセキュリティ部門のWeblog:
WebGL Considered Harmful　(2011/6/16の記事)

マイコミジャーナルに判りやすく解説が付いている。
http://journal.mycom.co.jp/news/2011/06/17/017/

アメリカのセキュリティ機関US-CERTでも『こいつは危険だ！無効にしろよベイビー！』…と言ったかどうかは定かではありませんが、無効にするよう勧告を出しています。

Google Chromeではデフォルトで有効となっており(2011/6/17現在)、とっても危険なので無効化する事をお奨めします。(元が新機能ですので、特に無効にしても大した問題は出ませんが、有効にしておくことのリスクの方が遙かに大きい)

ショートカットから起動している場合には、起動オプションに--disable-webglをつけるだけです。

ショートカットの場合には前述のオプションを追加するだけでいいんですが、デフォルトのブラウザにしている場合にはレジストリをいじらなくてはいけないのでちょっと面倒です。

レジストリエディタ起動後、以下のキーを探してそれぞれの値に無効化オプションを追加してください。言うまでもなく自己責任でお願いしますね。
(参考:Google ChromeまとめWiki)
------------------------------------
HKEY_CLASSES_ROOT\ChromeHTML\shell\open\command
HKEY_CLASSES_ROOT\Applications\chrome.exe\shell\open\command
HKEY_CLASSES_ROOT\ChromeHTML\shell\open\command
HKEY_CLASSES_ROOT\ftp\shell\open\command
HKEY_CLASSES_ROOT\http\shell\open\command
HKEY_CLASSES_ROOT\https\shell\open\command
HKEY_CURRENT_USER\Software\Classes\ChromeHTML\shell\open\command
HKEY_CURRENT_USER\Software\Classes\ftp\shell\open\command
HKEY_CURRENT_USER\Software\Classes\http\shell\open\command
HKEY_CURRENT_USER\Software\Classes\https\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\chrome.exe\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ChromeHTML\shell\open\command

青字:XPのみ　橙字:Vista/7のみ
------------------------------------

オプションを追加するところは、コマンドラインのchrome.exe"の直後に半角スペースを入れてオプションを追加します。お手本は以下の通り。

変更前："(前略)\Google\Chrome\Application\chrome.exe" -- "%1"
変更後："(前略)\Google\Chrome\Application\chrome.exe" --disable-webgl -- "%1"

きちんと無効化できたかどうかは、

WebGLの推進サイト
http://get.webgl.org/

に接続して、以下のように

While your browser seems to support WebGL, it is disabled or unavailable.
(キミのブラウザはWebGLをサポートしていないか無効になってるようだ)
と表示されればOK。

個人的には、Webコントロールで3D対応ってちょっと素敵な気もするが、カーネルを介さずにブラウザにハードウエアを直接コントロールさせるなんて危険な技術はまっぴらごめんである。

怪しげなSPAMにご用心

6月8日に大量のSPAMが日本対象に送信されました。




文法チェッカーバージョン2011という怪しげなソフトを紹介するもので、ダウンロードさせるファイル自体はマルウエアの可能性濃厚です。(検体はシマンテックに提出中)

リンク先はロシアのサーバーに向いていますが、Webの構造上かなりアレげですので、クリックしない方がよいかと思われます。

ここ最近のSPAMの傾向 (2011年5月度)

ここ最近日本語SPAMの動きが活発である。

これまではレンタルサーバーやホスティングサービスを利用した固定型攻撃や国内では有名なACE・飛猿などSPAM中継で有名なメール送信業者を利用したケースが多数を占めていただのだが、国内SPAMer(おそらく10人ないと思われる)のボットネットを利用が活発化している。

そのため、送信元も多岐にわたり着弾数としては中国・韓国がトップを占めるのは以前変わらないが、アメリカや中東・ウクライナ・ブラジル・メキシコなどこれまであまり利用されなかったIPからの送信が目立つようになってきた。

ボットネットの恐ろしい所は、ブラックリスト方式での対応が限りなく困難になること。なにせ数が多い上に分布も多岐にわたるため、中国や韓国みたいに該当するISPからのメール着信をばっさり、という訳にはいかなくなってきている。

それでもブラックリスト方式が全く無効か？というとそういうわけでもなく、ある部分ではかなり有効なことは間違いない。

現在管理しているメールサーバーでは1日あたり15～20万通のメールが着信するが、そのうち85％以上がSPAMである。大半はブラックリスト方式で遮断できているがそれでもボットネット経由がくぐり抜けてくるわけだが…

現在主に取っている対策方法は以下の通り。
(qmailでの対応だが、他でもそれなりに有効かと思われる)
(1)IPアドレスによる遮断
ブラックリスト方式の典型的な対応。
国によっては/18とか/16単位と大きなIPを遮断する場合もあるが、彼の大陸の国なので利用者には縁がないだろうということを想定してのこと。それ以外のIPでは大抵が/24以下あるいは大きくても/20以内での遮断になる。
同時に正規のメールサーバーが含まれると確認できた場合にホワイトリストも登録するのは言うまでもない。

(2)不正なHELOの遮断
最近受信先のメールサーバーのIPアドレスをHELO名に使用するケースが多数見られる。なので、自サーバーのHELOが正式なホスト名(DNSに登録されているもの)であれば、自IPのHELOを名乗ってくるヤツはばっさり切ってしまおう。

それ以外にホスト名が明らかに存在しないが、それっぽいものを使うケースが相変わらず多い。
不正なHELOとして google.co.jp、yahoo.co.jp、yahoo.com、goo.ne.jp、infoseek.jp、livedoor.comといった存在しないHELO(これらプロバイダはすべてHELOは正規のメールサーバー名を利用)が挙げられるのでこれらも遮断としてなんら問題ない。

ブラックリスト方式の弱点かつ重要な点はまめなメンテナンスが全てという点だろう。一度作ればOKと言うわけではなく、細かなリストの更新がブラックリスト方式を生かすことにつながっている。故に管理者の作業はいつまでも続くわけである。

Google Chrome 安定版が12へ

Goolge Chromeの最新版である12の安定版(12.0.742.91)が7日公開された。

14の脆弱性に対応したほか、Flash cookieをローカルで直接削除できる機能も搭載。またCSS 3Dも対応するようになった。このほか危険なファイルのダウンロードに対して警告を出す機能も追加されている。