postfix で milter を使う on CentOS

memo

ただのメモです。

標準パッケージ以外を使うのなら別ですが、CentOS 4.x ではmilter 使えないのかぁ… 痛いなぁ (--;。

8.0-RELEASE/amd64 が Parallels Desktop for Mac 上でインストールできない

FreeBSD

おかしいなぁ、先週はできたんだけど… インストール CD のイメージからブートして、カーネルを読んだ後で panic して終わる。disc1、bootonly、livecd 全部ダメ。

仕方が無いので VMware Fusion 体験版を入れてみたらあっさりインストール終了 orz。Parallels のバージョンが 4 だから、かなぁ？ とりあえず一時的なテストがしたいだけなので良しとしよう。

はてな RSS リーダーおわり

misc

少し前から出てますが オンラインRSSサービス「はてなRSS」終了のお知らせ がサービス終了するとのこと。仕方ないので Google リーダーに乗り換えました。

… 意外に良いかも :)。

FTP アカウント情報を盗むマルウエアに関する注意喚起

Security

凄まじく具合が悪い... が取り急ぎメモ。

JPCERT/CC から FTP アカウント情報を盗むマルウエアに関する注意喚起 という文書が出ました。

II. 詳細

本攻撃に使用されているマルウエアに感染すると、ユーザのコンピュータ内
に保存されているアカウント情報が読み取られ、外部のサーバに対し送信され
る可能性があります。
このアカウント窃取の対象となるソフトウエアは、FTP クライアントを含む
複数の製品にのぼります。JPCERT/CC では、以下の FTP クライアントにてマル
ウエアによるアカウント窃取、および外部サーバへのアカウント情報の送信を
確認しました。

FTP アカウント情報を盗むマルウエアに関する注意喚起

ということで列挙されていたのは以下のソフトたち。

  • ALFTP 5.2 beta1
  • BulletPloof FTP Client 2009.72.0.64
  • EmFTP 2.02.2
  • FFFTP 1.96d
  • FileZilla 3.3.1
  • FlashFXP 3.6
  • Frigate 3.36
  • FTP Commander 8
  • FTP Navigator 7.77
  • FTP Now 2.6.93
  • FTP Rush 1.1b
  • SmartFTP 4.0.1072.0
  • Total Commander 7.50a
  • UltraFXP 1.07
  • WinSCP 4.2.5

セキュmemo にもありますが、WinSCP が含まれているのが大きいですね。「ALFTP ってどうかな？」と思っていたのですが、こちらもリストに載っています。

ということで「○○使えばOK！ じゃない」ことが改めて分かったのでした。うぅ、具合悪い…

FireFTP で FTPS が上手く行かない

Security

vsftpd で FTPS 設定をしたところ、WinSCP では上手く接続してディレクトリの listing ができるのに　FireFTP だと接続できてもディレクトリの listing に異常に時間が掛かります。なんだろう？ こんなに遅いと使い物にならないなぁ。何が悪いんだろう…

『SFTP/FTPS にすれば良い』わけではない

Security

今回の騒動で『FTP は危険だから SFTP/FTPS に変えよう』とか『FFFTP をやめて○○にすべき』といった意見を見る機会が増えました。例えば ↓ コレ。

最近、FFFTPなどのFTPソフトからログイン情報を取得するマルウェアが話題になっている。しかし、FTPはもともとパスワードやファイルを暗号化せずに送受信するため、ほかのクライアントでも盗聴などにより情報を盗まれる可能性がある。そのため、SFTPやFTPSといったより強固なセキュリティを備えるプロトコルを利用することをおすすめしたい。今回紹介するのは、これらに対応する高機能FTP/FTPS/SFTPクライアント「FileZilla」だ。

http://sourceforge.jp/magazine/10/01/30/0741238

一般論として「FTP だと盗聴で ID・パスワード情報が盗まれる可能性がある」ことはその通りなんですが、今回の問題は FTP だから… という理由じゃないですよね。

  • PC 上の FTP アカウントが盗まれている模様。中でも FFFTP がターゲットになっているっぽい
  • FTP サーバ側の ACL が緩く、どこからでも FTP 接続できるようになっている

上の文章で FTP を SFTP/FTPS に置き換えて FFFTP に任意のソフト名称を入れても成立するケースがいくらでもあるわけで、FTP そのもの問題でもなく、ましてや FFFTP の問題でもありません。安易に「そっかー、FFFTP はダメだから○○に変えれば良いのね」と流されず、自分の環境ではどうすべきなのかを良く考えるべきでしょう。

「じゃー、どうすんのよ？」ということで、自分ならこうかな。

  • SFTP/SCP を使う
  • 公開鍵認証にする
  • SSH のポート番号を標準の 22/tcp から変更する
  • 接続可能な IP アドレスを制限する

これでベストというわけではない*1ですし、ホスティングサーバ等ではそもそも設定変更できないでしょうけど、できる環境であれば大分マシになるんじゃないかと思います。

あと今考えているのは

  • コンテンツ管理は SCM(subversion とか git とか)を使う
  • テストサイト、本番サイトへの展開は Capistrano + SSH（公開鍵認証）を使う

です。もう既にやってらっしゃる Web コンテンツ制作会社さんが多いと思いますけど。

ちなみに「CMS を使えば大丈夫」ってことはなく、今回の騒動で改ざんされたサイトの中には Movable Type で構築されたサイトもありました。

*1:標的型攻撃もあるし、トロイの木馬もあるし… 絶対は無いですね。