【誰も助けることができないこと】（執筆：office）

　先日ネットバンキングなどにSolutionを提供している大手会社の開発者とお話しする機会が偶然あった。興味から彼の仕事を色々詮索したが、彼がプロであることを感じさせられつつも、具体的なことは結局ほとんど知ることができなかった。ただし、一つだけ私が驚ろく場面

特集特集

2000年7月27日（木） 12時00分

　先日ネットバンキングなどにSolutionを提供している大手会社の開発者とお話しする機会が偶然あった。興味から彼の仕事を色々詮索したが、彼がプロであることを感じさせられつつも、具体的なことは結局ほとんど知ることができなかった。ただし、一つだけ私が驚ろく場面があった。Bugtraq ml（※1）などからセキュリティ情報を収集しているかという私の問いに対して、Bugtraq mlには入ってないといった返事ではなく、Bugtraqとは何ですかと逆に質問されてしまったことだ。

　一応注釈しておくとBugtraqとはコンピュータセキュリティに関する脆弱性についての詳細な議論とアナウンスを目的として1993年11月5日より続くメーリングリストでる。27,000人越えるメンバーが参加しており、完全情報公開を旨として世界で最も豊富で多彩な情報を誇っている（※2）。

　さて、その技術者の話では彼はインターネットで公開されているところからセキュリティ情報を集めることをほとんどしてないということだ。私はその話をきいていて、少々不安に感じることがある。

1．[apacheの認証]

　今年の４月にこんな小さな騒ぎがあった。高セキュリティな掲示板開発などで知られる姫野ひみこ氏（※3）がネットワークツール開発中にApache/1.2.5のhttpd認証が奇妙な挙動を示すことに気づいた。REQUESTメソッドに
abc /bbs.cgi HTTP/1.0
というような無意味な文字列をセットしておくと、認証をパスしてしまうという。ひみこ氏とともにTeam Cr[y]ackerzのメンバーやその知人達がそれよりも新しいバージョンのapacheサーバをいくつか立て、同様の挙動を確認した。また、この認証を通り抜けてしまうのを防ぐための手法も同時に報告された。
　これはいよいよbugtraqに報告しなければいけないだろうかという雰囲気になった時、一人から次のような指摘があった。.htaccess ファイルを作るときに

AuthType Basic
AuthUserFile /home/hoge/.htpasswd
AuthGroupFile /dev/null
<Limit GET POST>
require valid-user
</Limit>

　と書いてはいないかと。上記のようにするとベーシック認証の対象となるのはGET と POST だけになり、abc などという METHOD は対象外になってしまい、認証を通ってしまう。 GET と POST 以外全てのものをベーシック認証の対象にしたければを書かずに、
AuthType Basic
AuthUserFile /home/hoge/.htpasswd
AuthGroupFile /dev/null
require valid-user

と書かねばならない。

office
academic office
http://www.office.ac/

（※1） Bugtraq ml:
http://www.securityfocus.com/about/feedback/subscribe-bugtraq.html
（※2） BUGTRAQ-JP FAQ
http://www.securityfocus.com/forums/bugtraq-jp/faq.html#0.2.1
（※3）姫野ひみこ:
Team Cr[y]ackerzの一員。共著としてWindowsのハッキングマニュアル2000
（データハウス）などがある。
http://www.backsection.net/whm/

（詳しくはScan本誌をご覧ください）
http://www.vagabond.co.jp/scan/

《ScanNetSecurity》