暗号化セキュリティは、そのアルゴリズムを理解する人々にとってはありがたいものだが、理解しない人々にとっては無意味である場合がかなり多い。セキュリティの高いHTTPSプロトコルは、ウェブ閲覧向けに広く使用されているが、致命的な欠陥が1つ存在する。つまり、ユーザーが証明書エラーに関する警告を無視するという問題だ。PerspectivesというFirefoxエクステンションは、このセキュリティホールを封じることを目的とする。
HTTPSセキュリティを強化するPerspectivesエクステンション
セキュリティ
OpenVASを使ったセキュリティ監査
セキュリティはもちろん重要だが、絶えず最新の対策を用意することは難しく、脆弱性のチェックをネットワーク全体に対して行うのは非常に面倒でもある。よって、そうしたテストを自動化し、なおかつ最も適切な最新のテストを実行できる方法が必要になる。 Open Vulnerability Assessment System （OpenVAS）は、セントラルサーバとGUIフロントエンドからなるネットワークセキュリティスキャナである。OpenVASサーバは、Nessus Attack Scripting Language（NASL）で書かれた何種類ものネットワーク脆弱性テスト（NVT）を実行できる。また、こうしたテストはOpenVASプロジェクトによって頻繁に更新されている。
PAMを利用したGNU/Linuxのセキュリティ管理
PAMという語からカナダの某ブロンド女優を連想する人もいるかもしれないが、このサイトの読者ならLinuxセキュリティの基本的な要素であるPluggable Authentication Modulesだとわかるはずだ。本稿では、こちらのPAMのしくみを説明し、ちょっとした使用例を紹介する。
グラフィカルなネットワーク・スキャナー、Umit
Umitは、ネットワーク・ポート・スキャナーNmapのための使いやすいグラフィカル・インタフェースで、特に、スキャン・プロファイルの保存や、保存しておいたスキャンの結果を検索したり比較したりする機能が便利だ。スキャンの方法を指定するプロファイルは、スキャンのソース情報を変更したり、スキャンするホストまたはスキャンしないホストを明示的に指定したりできるほか、さまざまな高度なオプションを設定することができる。
システムのセキュリティー保護が簡単に設定できるツール、Uncomplicated Firewall
Linuxにはパケット・フィルターが組み込まれているが、その設定は初心者にとっては少々厄介だ。だが、Ubuntuの Uncomplicated Firewall （UFW）を使えば、初心者でも簡単かつ安全に設定することができる。
テクマトリックス、Javaテストツール「Jtest」に脆弱性検出機能を標準搭載
テクマトリックスは2008年10月6日、米Parasoftが開発したJavaテストツール「Parasoft Jtest 8.3」に脆弱性検出機能などセキュリティ関連機能を追加したと発表した。これまで別売オプションで個別対応していた機能を標準搭載にした。価格は据え置きで、既存ユーザーは無料で追加機能を利用できる。
NSA、EAL5レベルのセキュリティソフトウェア「Tokeneer」をオープンソースに
米AdaCoreは10月6日（米国時間）、米国家安全保障局（NSA）が出資するセキュリティ技術「Tokeneer」をオープンソースとして公開した。これにより、個人や学術界コミュニティによる安全性の高いシステム開発を促進する。
gnoMintを使って独自の認証機関を設定する
gnoMintは、独自の認証機関（CA）を簡単に管理できるデスクトップ・アプリケーションだ。多くのセキュア通信テクノロジは、接続先の団体やサービスが成りすましではないことを確認するためにデジタル証明書を使用する。ほとんどの人にとってデジタル証明書を目にするのは、HTTPS Webサイトを開いて、正しいWebサーバに接続したことを検証するために証明書が提示されたときである。
ソフォス、法人向け統合セキュリティソフトをItanium上のLinuxに対応
ソフォス（本社：横浜市）は、法人向け統合セキュリティソフト「Sophos Endpoint Security and Control」のプラットフォーム対応を強化し、新たにItaniumプラットフォームのLinuxに対応させたと発表した。
行方不明のノートPCをAdeonaで追跡する
最新型のノートPCを見ると、たいていはケンジントン・セキュリティスロットが側面か背面にある。これは盗難防止用のワイヤーを通すためのスロットだ。このセキュリティ対策の難点は、(a)泥棒がケーブルを無理に引きちぎろうとしてノートPCを壊しかねないこと、(b)別売りのケーブルを買ってこなければならないこと。これに替わる盗難対策として、フリーソフトウェア・ユーティリティ Adeona がある。盗難は阻止できないが、盗まれたノートPCを追跡し、警察の力を借りて取り戻すのに役立つツールだ。
「日本セキュアOSユーザ会」設立、「日本SELinuxユーザ会」から名称変更
「日本セキュアOSユーザ会」が2008年9月23日発足した。2005年に設立された「日本SELinuxユーザ会」が名称変更したもので、より広範な技術領域・問題領域を取り扱い、セキュアOS技術の普及促進を目指す。
Strata Guard Freeによるネットワーク保護
インターネットへの接続は、好ましくない要素も含めて外界のものにさらされることを意味する。インターネットに接続するたびに、ネットワークをセキュリティ侵害するおそれのある脅威にさらされるわけだ。近年、ネットワークセキュリティのソリューションは進化しているが、それはネットワーク攻撃の手法も同じである。進化を続ける攻撃からネットワークを守るには、悪意のあるトラフィックがネットワークに入り込む前にブロックしなければならない。Snortのようなフリーのオープンソースプログラムを使えばそれが可能だが、IDS（Intrusion Detection System：侵入検知システム）センサの完全なセットアップは（特に企業のネットワークの場合は）時間がかかるし、ユーザフレンドリともいえない。しかし、StillSecureの Strata Guard Free なら、それほど手間をかけなくても外界の脅威に対する防衛線になってくれるはずだ。
SafeSquidによるインターネットアクセス管理
コンテンツフィルタリング機能を持つプロキシは、ネットワーク全体のユーザやグループを対象としてインターネットへのアクセス権を制限できる。こうしたプロキシは、キーワード、URL、DNS、MIME、画像によるフィルタリング機能によって、好ましくないコンテンツをブロックできなければならない。また、アクセス先のURLを監視して詳細なレポートを生成することでインターネットにおけるユーザの活動を証明する記録を取ったり、信頼できるウイルス対策サーバにアクセスしてウイルスやマルウェアからの保護機能を提供したりする必要もある。すべてを求めるのは欲張りすぎかもしれないが、 SafeSquid にはこれらの機能がひと通り揃っている。
JP-Secure、新たに仮想化環境をサポートしたLinux対応の国産WAF製品
ジェイピー・セキュア（JP-Secure、本社：川崎市）は2008年9月8日、Linux対応Webアプリケーション・ファイアウォール（WAF）の最新版「SiteGuard Ver.3.00」をリリースした。新たにVMware仮想化環境に正式対応した。
悪意あるコードの侵入を阻止するツール、HTML Purifier
HTML Purifierは、HTMLの正当性を確保しクロスサイト・スクリプティングなどの悪意あるコードの侵入を阻止するツールだ。同プロジェクトのページPluginsには、現在、CodeIgniter、Drupal、MODx、Phorum、Joomla!、WordPress用のプラグイン類が用意されている。これを導入しておけば、利用者が、閲覧したブラウザーで実行される悪意あるコードをHTMLコンテンツに挿入することができなくなる。実際の動作をデモ・ページで確かめることもできる。
Windows用SCP/SFTPクライアント「WinSCP」の使い方、設定：安全なファイル転送
ネットワーク経由で安全にファイルを転送する方法として、SCPやSFTPがある。最近では、セキュリティ向上のためファイル転送にFTPではなく、SCPやSFTPを推奨しているサイトも多い。本記事では、Windows用のSCP/SFTP/FTPクライアントである WinSCP を使ってファイルをやりとりする方法を解説する。
Finnix：システム管理者向けのコンパクトなLinuxディストリビューション
Finnix は、システムのリカバリやネットワークの監視といったシステム管理者のタスク支援を目的としたライブCDディストリビューションだ。Debianのテスト版とLinuxカーネル2.6がベースになっており、ファイルシステムやパーティションの操作、データのリカバリ、ほかのオペレーティングシステムのインストール、ブートレコードの修復などに役立つ。
GreenSQLでMySQLデータベースをSQLインジェクション攻撃から守る
SQLインジェクションとは、Webサイト経由で不正なSQLコマンドをデータベースに対して実行するという攻撃手法だ。こうした攻撃を防ぐには、ユーザがWebフォームに入力し、HTTP POSTやCGIパラメータなどによって送られてくるすべてのデータについて、想定外の情報が含まれないことをチェックする必要がある。GreenSQLはSQL用のファイアウォールである。WebサイトとMySQLデータベースの間に置かれ、実行すべきSQL文とそうでないSQL文を判別する。考え方としてはSQLインジェクション対策にうってつけのものだが、実行してみるといくつか抜け穴が見つかった。
IIJ、送信ドメイン認証機能を実装したメールフィルタプログラムをOSSで公開
インターネットイニシアティブ（IIJ）は2008年08月28日、メールシステムに送信ドメイン認証技術「SPF/Sender ID」を実装したメールフィルタプログラムを独自開発、オープンソースソフトウェアとして無償公開した。ライセンスはBSD。送信元を詐称した迷惑メールへの対策として、企業やISPへの導入を促進する。
US-CERT、SSH鍵を利用したLinuxシステムへの攻撃について警告
米政府セキュリティ対策期間のUS Computer Emergency Readiness Team（US-CERT）は8月26日（米国時間）、盗んだSSH鍵を使ったLinuxベースのインフラへの攻撃が確認されたと報告、IT管理者に警告を出した。rootのアクセス権限を取得してルートキットをインストールし、さらなるSSH鍵を盗むという。
