ビジネスでラズパイ使うときは「Powered by Raspberry Pi」登録を！

９月９日、オープンソースカンファレンス２０１７ Tokyo/fallに行ってきた！
次は

祝！Raspbian Stretchリリース！どうなるRaspberry Pi

をメモメモ（表題の件は、最期のほう）

---

・OSCサミットの資料を使って説明

・Raspberry Pi Zero 残り物には福がある
　→技適問題

・自己紹介
　来年３月３～４日
　Pi Birthday：全世界で
　　教育向け

・いま１２００万台くらい
　イギリスの超ヒット商品！（ＡＲＭはソフトバンク）
　Debian Stretch ９．０出た！：はまる→プライオリティ的に英語
　　チャレンジャーな人はどうぞ

・どこに力を入れているか：
　　Ｄｅｓｋｔｏｏｐ、Bluetoothオーディオ
　　セキュリティ(pi,raspberryはＤＭＺにやめてね！）

・Raspberry Pi Zero W
　　ZeroとZeroWで設計違う
　　技適問題：３のときはRSコンポーネントががんばった。
　　　スイッチサイエンス：シール→シールはがしちゃＸ
　　　ＫＳＹ：袋に貼ってある→経済産業省に問い合わせたらＯＫとのこと
　　　今：番号が印刷で入っている

・３　Update
　日本ではソニーの名古屋で作っている
　Xperiaと同じ
　IOデータ：element系→ヤマダ電機　　　
　中国：日本リクエストあったらすぐ出せと言っている
　IOデータ
　　Ichigoジャムと手を組んで：Basicで

・デスクトップ系
　ＧＰＩＯ　ＺＥＲＯ
　　pigpio リモートで(SSH)
　　ＳＤカード：クオリティに不安

・子供向け
　イギリスの教育事情：かわる。Python多い。Scratch少ない

・２(1.2)

・カスタムラズベリーPiキット

・事例増えてきた
　Makerフェア
　ぱいもろに？
　ビジネス事例が増えている：日本の事例
　きゅうり認識　７本

・Powered by Raspberry Pi
　ビジネスを行う場合、登録すること
　→IPにひっかかる（英語で申請）
　クリエーターに注目している
　ビジネス支援もしている

・みんなのraspiコンテスト

Struts2の脆弱性とかの話を聞いてきた！

９月９日、オープンソースカンファレンス２０１７ Tokyo/fallに行ってるんだけど、
そこで聞いてきた

■上半期のＯＳＳ脆弱性総括とＯＳＳセキュリティ技術を用いた緩和策

をメモメモ

なお、表題の件、および、以下のメモ中で出てくる
S2-XXXという番号は、Struts2の脆弱性の番号で、
具体的には、

Apache Struts2 の脆弱性対策情報一覧
https://www.ipa.go.jp/security/announce/struts2_list.html

に、その番号と障害内容の一覧がある。

---

・自己紹介
　OSSセキュリティ技術の会

１．上半期の脆弱性
　いろいろなところで出ている（セキュリティ関係のところ）
　公開サーバーへの攻撃が増えている：wordpress,struts
　ランサムウェア：身代金払っても返してくれない：末期

　公開サーｂなーの脆弱性をつかれたけ０巣が多かった
　　cloudbleed
　　SMB
　　struts2
　　wordpress

　ＯＳＳ
　　wordpress
　　struts
　　wannacry,sambacry
　　sudo
　　Stack Clash

・Wordpress関連の脆弱性
　　相変わらず（２０１２年から）
　　ほかのＣＭＳにすると・・・そんなこともない
　　　Drupalは落ち着いている
　　　ほかのＣＭＳも同様に脆弱性は見つかっている

・Struts2の脆弱性
　ＰｏＣ　S2-045
　７月にも、S2-047～049
　Struts2：直した→やっぱり治ってなかった
　　S2-052/S2-053が出た

・WannaCry(CVE-2017-0144),SambaCry(CVE-2017-7494)

・sudoの脆弱性(CVE-2017-1000367/CVE-2017-1000368)
　SELinuxが有効だと発生する
　　Twitterで話題
　　sudoでttyを好きなところで書き換えられる SELinuxを利用する

・Stack Clashの脆弱性
　ある一定量とばすというStackカードページ→これを飛び越えて書き換える
　root権限が採れる
　

２．いくつかのPoCと回避策
　とりあえず３つ
　　１．Struts2

・１．Sututs2
　CentOS7／Tomcat
　　ホストから攻撃、SELinux無効
　　　　/etc/passwdが見える。シャドウファイルが見える
　　Tomcatユーザーができることは、なんでもできる

　SELinux有効
　　パスワードファイルはみえるけど、シャドウファイルは見えない
　　→updateしたら、防げるようになりました。
　　　（update前は、ポリシーにバグがあってできなかった）

　SELinuxを使わない：chrootをつかう
　　Ｆａｋｅのパスワードファイルになってしまう
　　コマンドが見つからない
　→chrootで最小限のコマンドしか入れない。ないコマンドが動かせない
　→Dockerとかでも防げます。

・２．sudoの脆弱性
　sudoに登録されているユーザーのみ
　rootで作ったファイルをsudoユーザーが書き換えられる
　　Permissiveにしても・・・だめ！
　　SELinuxをdisableにする
　→sudoのパッケージをあげる
　→リモート攻撃できない。sudoが使えるユーザーのみ

・３．stuck Clash
　カーネル、glibcが上がる（リブート）
　確率の問題：２万回で１回くらい成功する（６４ビットの場合）
　ガードする幅を増やすという手もある
　SELinux関係ない

まとめ
・リモートより、ローカル多い