最近のコンピューター関係トピックス。

読んではいたけれども気になってAppleのリーディングリストに登録されていた、最近のコンピューター関係のトピックスをご紹介します。興味がある記事に目次から飛んでください。通読すべきものではないです。

A2B攻撃は穴になってそうだったけど、やはり突かれるか…

あちゃ、会員登録をしていないと見れないのか。すみません。読みたければ登録してください。

Yahooのサイトだと全部そのまま読めるっすね。失礼しました。App-to-Backend Attackの略でA2Bらしいんですけど、主にAndroidアプリの脆弱性を使って攻撃するみたいな話らしいです。AndroidだとiOS以上にアプリの解析はやり放題なので、動作を見られてサーバの情報をぶっこぬかれるみたいです。

Webアプリだとクライアント側の動作がJavaScriptなので、そのままコードが見えてしまうので普通は対策します。ただスマホアプリだとブラウザから開発者ツールを立ち上がるよりかは解析が面倒なので、そこまでセキュリティーに気をつけていない現状があったのでしょう。

仮にルート権限を取れたAndroidでアプリを解析しようとすると、バイナリをリバースエンジニアリングするだけで動作を裸にできるし、通信の様子も内部から見られるのでやり放題なはずです。やったことないからしらんけど。

今まではWebと同じように脆弱性の総当たり攻撃が主だったのでしょうけど、今はピンポイントに攻撃できるというわけです。Androidのアプリはある程度お手盛りで作れるので、セキュリティ的にはベンダによってまちまちなんじゃないでしょうか。iOSもその危険性はありますが、Androidほどにゆるくはないと思います。

Linux 7.3で、Macのバックアップ機能「Time Machine」への対応

https://gigazine.net/news/20261020-linux-kernel-7-3/

元々SambaでMacのTimeMachineを使えることはわかっていたのですが、AFP（Apple Filing Protocol）は廃止されるので、SambaのTimeMachineに移行しないといけないわけです。古いSambaだとTime Machineに対応できていなくて、古いNASだとかだとAFPからSambaに移行できなかったりしました。

それもこれも最初からAppleがSambaの仕様をきちんと確かめずに使っていたから、TimeMachineで使えないという事態になってしまったわけですが、結局Linux側というか、Samba側が対応するという体たらくに終わっており、Appleの技術者の面目丸潰れというところなのでした。

そんな感じでSambaで対応されていたにも関わらず、Linuxカーネルでサポートするという意味がわからないのですが、こちらとしてはTimeMachineが使えればいいわけで、正直どっちでもいいわけです。

ただ新しいカーネルなので、すぐにNASでカーネルのTimeMachineバックアップが使えるかといえば、NASのOSなんかカーネルのバージョン古いんでしょ、という感じなので様子見としか言いようがありません。

それと新しいカーネルを使っているディストロにしたところで、有効にしてカーネルをコンパイルしないと使えないということらしいです。まぁ普通のカーネルには入れてコンパイルはしていないよなというところです。

しかしカーネル動作するSMBデーモン（？）をわざわざMacのTime Machineに合わせる必要ってあまりないような気がするんですよね。Macを使っている自分にはありがたいことだけど、Linux使っている人がTimeMachineバックアップ使っている人が多いとかそういうことなんでしょうかね。確かにNASのSambaについてはTime Machineとの非互換性が多かった気がするんですが、AppleのSambaへの独自解釈をねじ伏せられるのはいいことです。

MacのNFD問題も存在が何年も前の昔から言われているんですが、Sambaでも健在のようで、日本のAppleの技術者に権限が無さすぎて解決できないんゃないかなと思います。少なくともMSの技術者だったら、そのくらいのことはほんの数ヶ月で解決できるぐらいの分量だと思うんですけどね。自分でコマンドラインからファイルをリネームできるみたいだけど、いろいろ動作の非互換がありそうなのでやっていません。

ということらしいけど7系統を使っているのは、Arch LinuxとopenSUSEぐらいなのかなと思ったりします。NAS用のOSに入るのはまだ先かも知れません。

リーナス・トーバルズがClaude CodeなどのAIをバリバリ活用してLinuxカーネルの改善に取り組み中

もともとLinusはAIの利用について否定的ではなかったのですが、脆弱性などを報告するだけでパッチの一つ書けない無能どもが、的な言い方をしていたのでイライラしていたのだと思います。それはいつものことなんだろうけど、Claude Codeを積極的に使っているだなんて思いもよらなかったです。

リーナスが使っているぐらいだから自分も使おうと思い直すカーネルハッカーも増えるかも知れません。というかリーナスはすでに一番上のメンテナみたいなことをやっていて自分ではコードを書いていなかったので、それが自分が指示したAIが書いたのであれ、他人が書いたのであれ、ソースを見ること自体には変わりがないのかも知れません。

Claudeがまたやりました（規則性があったら乱数じゃないやん）

RSAの素数を知られたわけでもないので、楕円曲線暗号自体に問題はないみたいだけど、こういうの気持ち悪いですよねぇ。まぁシードということなのでなんでも良かったのかも知れませんが、後で分かってしまうというのは考えてもみなかったでしょう。

ECDSAはRSAと違って、ショアのアルゴリズムみたいなものがあるわけではない（あるかも知れないけど…）ので、量子コンピュータにも多少大丈夫だろうと思っていたんだけど、実はそうでもないということが量子耐性暗号を調べていたらわかりました。

中国のAIが日本を攻めてきたり大変ですが、いろいろAIについては考えるところがあります。流行りで使っている人も多いと思うけど、AIエージェントとか無理くり使わなくてもいいんじゃないかと。やはり人間の確認は必要ですね、というところです。

php2shellですか…

なんか久しぶりに大きいやらかしをPHPがやったようです。RCEって言って外からふらっと攻撃しに行って、サーバの動作を乗っ取ってしまう感じですかね。乗っ取ってしまうというより、任意のコードを実行できてしまうが近いのかな。上の記事のリンクを詳しく見ると、

二つあって成り立つっぽい。前者でメモリいっぱいにしてプロセス殺しに来た時に問題ができ、それをまた別の攻撃で利用する、みたいな。

影響環境がmod_php/php-fpmって書いてあるから、Apacheなどの上で動かしている時でも、php-fpmで動かしていてもダメなんですね。パフォーマンスからしてphp-fpmで動いていることが多いんでしょうけど、Apacheを再起動しただけではphp-fpmが前のままなので、きちんとデーモンを再起動させましょう。

PHPってどれだけ使われてるの？

そんなわけで、日本はPHPを使っていることが多いっぽいのですが、どのくらい使われているのかちょっと知りたくなりました。

結局、Web構築言語として特化しているから、採用されることも多いわけです。にしても使われている率が多いな。かつて、まつもとゆきひろさんはPHPに対して「Webアプリケーションをなめるな」と言っていた。それ自体はPHPはあまり変わっていないと思う。

とはいえRubyもRuby on RailsでRubyが再発見されたわけですが、そっちの方がWebアプリケーションを舐めている感じはする。簡単に雛形はできるけど、SQLができなくても記述できてしまうので、あまりビジネスロジック的ではないし、そういう分野には多分あまり採用されていないだろうし、RoRを使っている人はあんまりSQLが得意じゃなさそう。

RoRは作り込まれ過ぎていて、深くまで手を入れようとするとしんどすぎる。その点、PHPは比較的浅いので理解しやすい。まつもとさんが懸念していたのは言語仕様なので、そこで作られるものの出来不出来は関係ないんじゃないかと思うんですよね。

C言語が罠が大きすぎるから、Rustにしましょうとなるかというと学習コストが全然違う、となると初めからRustにはならないわけです。そういう意味でもWebやろうとしてPHPをやろうとなるかも知れないけど、あまりRubyやPythonを使おうという気にはあまりならないわけです。

それはPHPが言語的にどんなにクソであろうとも、まともとさんの思い通りにはならないわけです。とはいえ20年ちかく前の日記なのでPHPの仕様もまつもとさんの考えも変わっているかも知れないですけどね。デファクトって怖いですけど、使われているものが今後も使われるというのは変わらないと思います。たとえ脆弱性がたくさんあろうとも。