電装工芸日記
- 舞台照明機器の製作とか -
No.1326
PHPの脆弱性をAIハッカーが攻撃することでネットサービスが停止したり個人情報が抜かれたりすることがニュースになっています。
サービスが使えなくなるとか個人情報が抜かれたりすることに不安を訴える人は多いですが、アカウントのパスワードを変更し、それに紐づいているクレジットカードの再発行を依頼することが各自で出来る防衛策です。面倒がらずにやりましょう。
「本物の弁護士がぁ～」とか法律と無関係なことをわかったように解説する動画のようなことはさておき、ここではPHPの脆弱性とは何でしょう？って話をするべきですね。
PHPとはプログラム言語の一種です。ですが、「プログラム言語って何？」と聞いてくる人が大半です。これには閉口しましたが、サービスを消費するだけの人にとって普通の反応だと思います。
プログラム言語とはコンピュータの動作手順を記述する文法です。こんな入力があったらこうしなさい、こういうデータがあったらこうしなさい、みたいなことを記述するのです。
このweb画面もHTMLと呼ばれるプログラム言語で書かれていますが、プログラム言語には何種類もあり、環境や用途、作る人の好みなどで使い分けれています。
PHPはHTMLを裏からサポートすることが得意なプログラム言語です。HTMLはweb画面を表現することしか出来ませんが、PHPを使うことでシステムの深いところにアクセスしてその結果をHTMLとして出力することが出来るのです。この様に何種類ものプログラム言語を連携させるのが今どきのシステムの作り方で、連携させることでweb表示をシステムの核から隔離することにも繋がっています。
一見すると陰に隠れた便利な補助機能の様に見えますが「システムの深いところにアクセス」ってのが肝です。深いところにアクセス出来る権限を与えられたプログラムを踏み台にされるとサーバーを乗っ取ることが出来るのです。乗っ取る方法は全く知りませんので「らしいです」と言うのが正しいですけどね。
ともかく、PHPの脆弱性を踏み台する手法でサーバーの高位権限を取得してシステムを破壊したり情報を抜き取ることが問題になっているのです。管理者権限(root権限)があれば全ての操作と閲覧が出来ますから、それを取得するのがサーバーに対する攻撃の目的です。
では「脆弱性」とは何かってことですが、これを説明するのは難しいのですが、イメージとしてはシステムのアタマが真っ白になって混乱している隙に普段なら入れないところに入れる状態を言います。コンピュータにも人っぽいところがあるのです。
真っ白になって混乱する隙を作りにくいプログラムを書くためのサポート機能が充実しているのが「Rust」を呼ばれるプログラム言語です。USAのホワイトハウスが今後の納品物はRustで書けと指示しているのはこれが原因です。
ぢゃ、全部Rustで書けばいいぢゃん！と思うかもしれませんが、それを簡単に出来ないのが現実だったりします。Rustだけでweb画面は書けませんし、これまでに作られ運用されている膨大なプログラムを書き直す手間は現実的ぢゃありません。
#サーバー #Rust
サービスが使えなくなるとか個人情報が抜かれたりすることに不安を訴える人は多いですが、アカウントのパスワードを変更し、それに紐づいているクレジットカードの再発行を依頼することが各自で出来る防衛策です。面倒がらずにやりましょう。
「本物の弁護士がぁ～」とか法律と無関係なことをわかったように解説する動画のようなことはさておき、ここではPHPの脆弱性とは何でしょう？って話をするべきですね。
PHPとはプログラム言語の一種です。ですが、「プログラム言語って何？」と聞いてくる人が大半です。これには閉口しましたが、サービスを消費するだけの人にとって普通の反応だと思います。
プログラム言語とはコンピュータの動作手順を記述する文法です。こんな入力があったらこうしなさい、こういうデータがあったらこうしなさい、みたいなことを記述するのです。
このweb画面もHTMLと呼ばれるプログラム言語で書かれていますが、プログラム言語には何種類もあり、環境や用途、作る人の好みなどで使い分けれています。
PHPはHTMLを裏からサポートすることが得意なプログラム言語です。HTMLはweb画面を表現することしか出来ませんが、PHPを使うことでシステムの深いところにアクセスしてその結果をHTMLとして出力することが出来るのです。この様に何種類ものプログラム言語を連携させるのが今どきのシステムの作り方で、連携させることでweb表示をシステムの核から隔離することにも繋がっています。
一見すると陰に隠れた便利な補助機能の様に見えますが「システムの深いところにアクセス」ってのが肝です。深いところにアクセス出来る権限を与えられたプログラムを踏み台にされるとサーバーを乗っ取ることが出来るのです。乗っ取る方法は全く知りませんので「らしいです」と言うのが正しいですけどね。
ともかく、PHPの脆弱性を踏み台する手法でサーバーの高位権限を取得してシステムを破壊したり情報を抜き取ることが問題になっているのです。管理者権限(root権限)があれば全ての操作と閲覧が出来ますから、それを取得するのがサーバーに対する攻撃の目的です。
では「脆弱性」とは何かってことですが、これを説明するのは難しいのですが、イメージとしてはシステムのアタマが真っ白になって混乱している隙に普段なら入れないところに入れる状態を言います。コンピュータにも人っぽいところがあるのです。
真っ白になって混乱する隙を作りにくいプログラムを書くためのサポート機能が充実しているのが「Rust」を呼ばれるプログラム言語です。USAのホワイトハウスが今後の納品物はRustで書けと指示しているのはこれが原因です。
ぢゃ、全部Rustで書けばいいぢゃん！と思うかもしれませんが、それを簡単に出来ないのが現実だったりします。Rustだけでweb画面は書けませんし、これまでに作られ運用されている膨大なプログラムを書き直す手間は現実的ぢゃありません。
#サーバー #Rust