クラウドコンピューティングと経営革新

[2]企業研修でも利用されているMoodle、バージョン2.8がリリース

Moodleムート 2013(東京)の懇親会の様子。外国人の語学の先生の参加が多い

 

御社の企業研修では、Moodleを使っていますか? Moodleは、教師が教材を配布したり、課題を集めたり採点したり、成績をつけたりするところをインターネットを利用して管理する、いわゆるLMS(Learning Management System)です。LMSには、Blackboardなど有償のサービスと、Moodle(PHPベース)やSakai(Javaベース)などのオープンソースのソフトウェアがあります。

 

LMSは、大学だけではなく、回数を重ねるいわゆるコース形式の教育なら、どのような場面でも威力を発揮します。たとえば、PHPの10週間の研修であれば、パワポに音声をつけた資料と課題を上級プログラマの人がMoodleに設定し、新人がその資料を使って勉強して課題を毎週提出し、それをその上級プログラマが採点するなどということも可能です。

 

Moodleカフェ 東京の様子(2014年11月、ヒューマンサイエンス)

サンプルプログラムや動画をMoodle内に置いたり、課題の毎回の点数を上級プログラマ・新人の双方が、ログインしてみることができます。また、そうした資料は、一度作っておけば、翌年も再利用できます。業務を中断して、全員が集合して研修するというやり方では、効率が良くないかもしれません。

 

Moodleを使いたいが、始めるのに敷居が高いと思われる方が多いかと思われます。インストールできる人がいないとか、Moodleを使ったことがないとか、業務が多忙で新しいことを始める余裕がないとかです。そういう方にお勧めしたいのが、イベントへの参加です。

 

oodleを使っていると、バージョンアップしましたという連絡が届くようになっている

 

Moodleムートといって、年に一度Moodle関係者が一堂に集まる大会があります。開発した成果を発表するなど、上級者向けのセッションもありますが、初心者講習会や質問コーナーなど、これから始めようとする人を歓迎するような雰囲気があります。次回は、2015年2月20-22日に京都産業大学で開催されます。

 

http://moodlejapan.org/home/mod/forum/discuss.php?d=828

 

Moodle 2.8のNotice (Martin Dougiamas氏)


 

また、企業研修にMoodleを導入しているで知られている畠中俊巳氏、藤田豊氏を中心に、Moodleカフェ東京という勉強会が行われています。

 

https://www.facebook.com/moodlecafe?fref=ts

 
 

バージョン2.8から、インターフェイスがみちがえるほどよくなったという印象がある(バージョン2.8)

 

Joe’sでも、Moodleがインストールされたサーバーを1年間無償で提供したり(LMS標準サーバ 入門プラン http://lms.ac)、Moodleの勉強会に会場を無償で提供したり、Moodleのイベントに協賛するなど、Moodleの普及に努めています。

 

11月になって、Moodle 2.8がリリースされています。2.8の情報は、Moodle東京カフェで畠中さんが、発表したスライドなどが参考になると思います。

 

http://www.slideshare.net/toshimin910/moodle-tokyo-cafe-14

 

ただ、2.5, 2.6, 2.7くらいを利用されている方から見ると、小ぶりなバージョンアップと思えるかもしれません。

 

バージョン2.6

ざっとみてみると、

 

1. テキストの自動保存、ユーザメニュー、いいね
2. 評定者レポート
3. フォーラムの新機能
4. 小テスト、投票、課題の新機能
5. 分析とレポート
6. コーポレート

 

などが新機能や変更点になるようです。

Joe'sのLMS標準サーバー

 

Joe’sのLMS標準サーバでは、現在お申込みになりますと、最新版の2.8がご利用になれます。

 

Joe’sでは、読者の皆さんにMoodleの導入をおすすめします。LMS標準サーバのうち1年間無料の入門プランで準備を進め、次回の研修ではLMS標準サーバー標準プラン(月額1,575円)でかっこよくデビューして下さい。読者の皆さんの職場でも、Moodleで優れた人材を育てることを祈ってやみません。

[1]オレオレ証明書ではない、無料のSSL証明書が流通するって本当?

SSL証明書は無料であるべきと立ち上がった Let's Encryptプロジェクト

 

ITのサービスは、例外なく低価格化・無料化が進んでいるようです。今年の11月18日に、米国のセキュリティ関連の非営利団体ISRG(Internet Security Research Group)から、2015年夏以降、SSL証明書を誰でも無償で簡単に取得できるようにする、という発表がありました。「Let’s Encrypt」というプロジェクトです。ISRGは、電子フロンティア財団(EFF)やアカマイ・テクノロジーズ、シスコシステムズ、モジラなどインターネット関連の企業がスポンサーになっていて、日本でいうNPO法人とは違うようです。ITProやCNET Janpanなど、多くの国内WEBメディアが取り上げています。

 

SSL証明書は、ブラウザに登録されていないと、認識されない。

Joe’s SSL市場は、大丈夫でしょうか、とよく聞かれます。この1か月の間、色々調査してみました。まず、暗号化の機能はあるが、なりすましのために誰でも認証局をつくれる、いわゆるオレオレ証明書ではないことはすぐにわかりました。

SSL証明書が何故こんなに高価なのか、またどうして取得に時間がかかるのか不思議に思われる方も多いかと思います。ISRGもそのような問題意識のもとに、インターネットの健全な発展のためにそのようなプロジェクトをおこしたということです。そのような視点は、Joe’s SSL市場でも共有しています。

過去にセキュリティ的な不具合で閉鎖を余儀なくされた認証局もある。SSL証明書の発行は責任がともなう。

 

しかしながら、SSL証明書の発行は、フィッシングやサイトのなりすましを防ぐために、ブラウザに登録されているような権威ある認証局が、申請に対して審査をして発行するものです。必然的に、SSL証明書の発行には責任がともないます。SSL証明書が誤って発行されたために、サイト訪問者が詐欺などの被害にあった場合に弁償する、といったことも想定しています(実際には、特にJoe’s SSL市場で販売されているような証明書では、そのような犯罪は生じていません)。したがって、無償でSSL証明書を発行するとしても、そうしたリスクを背負わなければならないため、発行する認証局としてはコストがかかります。

 
 

ただ、そうしたことを理由に、証明書を高価な値段で提供している認証局が多いのも事実です。ブランド価値を高めて、価格が値崩れしないようにして利益を確保しているといっても、過言ではないと思います。Joe’s SSL市場は、各種のSSL証明書を低価格で販売する草分け的存在で、当初から、そうした認証局の営業の方から、「そんなに安く売らないでください」とよく言われていました。

 

今回の調査の結果、SSL証明書の中でも、ドメイン認証という審査を経て発行されるサービスのみが該当することがわかりました。申請者が正当なサイトの所有者であることを確認する手順によって、証明書は以下の3種類にわ分類されます。

 

1. whois情報(ドメインの所有者の情報が自己申告で記載されたもの)の内容が正しいことを前提に、そこに記載されたメールアドレスに、メールで申請が実際に行われたかを確認するドメイン認証の証明書
2. 帝国データバンクなどに記載された企業データベースに記載された電話番号に電話して、証明書の発行の申請が実際に行われたかを確認する実在認証の証明書
3. 実在認証の中で最も厳しい審査を行い、URLが緑で表示されるようにするEV証明書

 

実在認証では、帝国データバンクまたはNTTの電話帳などの別情報を参照して、電話をかけて申請があったかどうかを確認する

ドメイン認証よりは実在認証、実在認証よりはEV証明書の方がサービス価格が高くなっています。シマンテック(旧ベリサイン)、セコム、サイバートラストの3ブランドは、実在認証もしくはEVの証明書しか提供していません。逆に、グローバルサイン、ジオトラスト、Comodo、Thawteは、ドメイン認証と実在認証の両方を販売しています。

 

やはり、ドメイン認証の証明書の発行枚数の多い、グローバルサイン、ジオトラスト、Comodoには少なからず影響があるものと思われます。逆に、ベリサインやサイバートラストなど実在認証の証明書を提供しているところは、証明書の利用者が多くなり、それだけ使われるようになるので、その中で実在認証を利用したいと考える利用者も含まれているので、むしろ追い風とみているかもしれません。

 

また、ドメイン認証の証明書でも、自社製品について、それなりのブランド力があるのだから、無償配布が行われても大丈夫であるとみているかもしれません。

URLがグリーンになるEV証明書

 

この中で、グローバルサインは、ドメイン認証(クイック認証SSL)と実在認証(企業認証SSL)を審査の違いだけで同じルートの証明書を提供しているので、何らかの対応がなされる可能性があります。もちろん、シールをクリックすると、その企業名が表示されますが、そうしたことに気が付かないサイト訪問者がほとんどであるように思われます(シマンテックなら、ベリサインとジオトラストというように明確にわかれている)。また、グローバルサインのクイック認証SSLは、ドメイン認証の中でも最も高価で、しかも日本国内からの申請だけ価格を高くして販売しています(米国サイトから申請出来ないようになっている)。

 
 

Joe's SSL市場は、中立な立場で皆様を応援しています

他方、考えたくないシナリオとして、無償配布の証明書で、フィッシングなどの事故が多発し、信用を失い、やはり有償版でないとビジネスには向かないとか、そのような方向にすすむ可能性もありえます。これまで、SSL証明書を提供してきた認証局でも、セキュリティ的な問題が生じないよう(ブランド力を下げないよう)努力してきました。不特定多数から申請された証明書について、まったく問題なく証明書を発行できるものでしょうか。既存の認証局は、お手並み拝見、むしろ差別化ができるのでチャンスと見ているかもしれません。

 

Joe’s SSL市場では、皆様からのお問い合わせ・ご相談をお待ちしています。中立な立場から、助言しています。よろしくお願いします。

[4]関西オープンフォーラム(KOF)、若返ってもよいかもしれない

実行委員長の中野先生、キックオフの挨拶。

 
11月7日(金)~8日(土)に、大阪南港のATCで恒例の関西オープンフォーラム(KOF:Kansai Open Forum)が開催されました。Joe’sでも、2011年に協賛してから、4年連続の参加になります。

 

https://joes.co.jp/2013/11/20/kof2013/
https://joes.co.jp/2012/11/21/kof/
https://joes.co.jp/2011/11/16/joes-opensource-kof-2011-11164/

 

Joe'sのセミナー、今年のKOFは先月のOSCに引き続き、Joe'sのJoeと言われている人が話をした。

Joe'sのセミナー、今年のKOFは先月のOSCに引き続き、Joe'sのJoeと言われている人が話をした。

 
「オープンソースならびに、コミュニティが元気に交流できる場を、関西でも作ろう」という目的のもとに集った有志により、2002 年からはじまった、ということです(オープンソースカンファレンスなどよりも先に始まっています)。

 
https://k-of.jp/2014/content/159

 

同じオープンソースのイベントであるオープンソースカンファレンス(OSC)と比べると、常連の方の比率が高いように思われます。

 

Joe'sのブース、なぜかいつもNetCommonsの隣になっている。

 

Joe’sでは、「レンタルサーバー業界の裏側を知る」と題して、レンタルサーバー業界の側面を伝えるセミナーを行いました。先月のOSCで発表したものに近い話題でしたが、タイトルを変えて、内容を業界全体のことを伝えるようなものに変えました。OSCのときは、参加された方から「非常に面白かったが、参加者が少なくて残念でした」という類のお言葉をいただきました。今回は40名以上の方にご出席いただくことができました。やはり、セミナーでも著述でもタイトルが重要であるように思われました。

KOFで名物のステージ企画。事前の打ち合わせとかなく、発表者がボケ、司会者がツッコミになる。今年は、Joe'sで初めてステージ企画に参加した

 

ところで、KOFで緑のTシャツを着て毎年お手伝いいただいている方々(10年以上連続というスタッフも多い)もお年をめされてきているので、若い方も加わって、さらに新しいアイデアや活力を取り入れられるようなイベントになっていけば、永続的な発展につながるように思われました。

 

KOFの会場である大阪南港は、九州に行く船(サンフラワー号)が出入りしている。

 
 
 
 
 

Joe’sで協賛しているいってもわずかの金額ですので、2日間動いていただいているスタッフの方々には頭が下がります。ただ、こういうイベントは、同じメンバーでずっとやっていくということには、限界があります。4年連続して参加させていただき、僭越ながら、そのような印象を受けました。

 

Joe’sでは、来年も企画を出して、自分たちのイベントであるという意識を持ってのぞんでいきたいと考えています。

[3]SSL証明書のハッシュのSHA-2移行、セコム証明書がルートを一本化

今回のSHA-2移行は、2014年9月に発表されたGoogleのアナウンスが引き金となった

本ニュースレターの2014年9月号でもお伝えしましたが、脆弱性の問題から、SSL(サーバー)証明書を発行する際に必要なハッシュ関数(以下、ハッシュ)とよばれる仕組みが、SHA-1からSHA-2に移行されています。

 

https://joes.co.jp/2014/09/19/ssl-2/

 

SSL証明書は、そのサーバーが意図している送信先であることを訪問者(ブラウザ)に示すためのテキストで、インターネット上のオレオレ詐欺を防ぐ役割をもっています。
SSL証明書は、サーバーの所有者が認証局に自社の情報を提出し、認証局がその情報を認証することによって発行されます。ただ、実際には、ハッシュという多対1の関数によってオリジナルの情報を要約した上で、その認証の処理を行っています。

 

証明の印をもらっても、その印が誰のものかわからないと意味がない(偽造の印かもしれない)

 

SSL(サーバー)証明書は個々のサーバーに対して発行されますが、SSL証明書を発行する認証局もSSL証明書(ルート証明書)をもっています。そして、訪問者のブラウザは、メジャーな認証局のルート証明書をもっていて、各認証局が本物であるか否かを識別できます。認証局は、自ら発行する証明書を認識できるようにするため、PC、スマホ、ガラケーのブラウザ提供業者にはたらきかけ、ルート証明書をブラウザの中に入れてもらいます(そうしないと、悪意のある人が自分で認証局をでっちあげて、サーバーのSSL証明書を発行できてしまいます)。

 

今回のSHA-2移行は、ガラケー利用者に影響が出そうだ

 

原理的に、このハッシュをSHA-1からSHA-2に移行しても、それはハッシュの出力(=認証の入力)が異なるだけで、ルート証明書を変更しなくてもよい、ということがいえます。つまり、オリジナルの情報をSHA-1ではなくSHA-2で要約し、再度同じルート証明書でSSL証明書を発行すればよいことになります。実際、ベリサインやComodoでは、以前からSHA-1とSHA-2のいずれかを選択できるようになっていました。

 

もし、ルート証明書が変わる場合、ガラケーを利用している人が影響を受けます。古いガラケーだと、新しい証明書のルート証明書が入っていないため、ブラウザがそれを認識できません。PCやスマホであれば、ブラウザが適宜更新されるので、そのような不具合は生じません。1024ビットのSSL証明書をやめて、2048ビットに移行した2010年問題が勃発したころは、そのような問題が生じました。

 

セコムが、5年契約のSR2.0を廃止して、新ルートSR3.0に一本化する

 
しかし、このハッシュという仕組みはブラウザにも入っていて、認証された情報が正しいか否かを認識するためにも使われます。そして最大の難点は、従来のガラケーのブラウザの多くが、SHA-2に対応しておらず、ガラケーからSSL通信ができなくなることが想定できます。つまり、ガラケーからだと、カード決済や個人情報を入力できなくなります。

 

さすがに、携帯を次に買い替えるときはスマホの方が多いと思われますが、それでも生涯ガラケー一筋という方のために、ガラケーを提供する業者でも、今後SHA-2に対応したガラケーを提供するものと思われます。

 

Joe's SSL市場では、皆様のお越しをお待ちしています

 

他方、セコムでは、今回のSHA-2への移行にともなって、従来のSR2.0(5年契約)とSR3.0の2種類の証明書のラインナップをやめて、SR3.0に一本化するという発表をしています。ルート証明書が変わればガラケーでSSLに対応できなくなる場合も出てきますが、もともとSHA-2に対応しているガラケーが少ないので、影響は無視できると判断したものと思われます。お伝えしていますように、SHA-2への移行は、本質的にルート証明書の変更を必要としません。ルートの一本化によるビジネス上のメリットを優先したものと思われます。

 

今回のお話は、SSLや公開鍵に接したことがなかった方には、多少難しかったかもしれません。Joe’sのスタッフも、いつもこのような理屈っぽい話をしているわけではありません。ご質問がございましたら、遠慮なくJoe’s SSL市場までご相談ください。皆様のご利用をお待ちしています。

[2]NetCommonsの女子会がパワー全開

世間では女性の活躍を支援する気運が高まっています。国立情報学研究所(NII)を中心に開発がすすめられているCMS、NetCommonsでも、開発責任者であるNIIの新井紀子先生をはじめ、コミュニティの開発者やビジネス系でも女性が活躍しています。

ハンズオンで用いた素材(インドの旅)

 

しかし、関西のNetCommonsのイベントでは、女性の参加者がまだまだ少ないようです。

 
 

このたび、NetCommons関西(https://www.facebook.com/groups/netcommons.kansai/)では、

KOFの女子会のセミナーの様子(1)

11月7日(金)の関西オープンフォーラムで、セミナーを企画し、それにむけて、特にJoe’sの女性スタッフを中心に関西女子会を結成し、コミュニティのすそ野を広げていくことになりました。

 

https://k-of.jp/2014/session/611

 

セミナーは、初心者を対象にしたハンズオン(参加者がその場でサイト作成を行う)に関するもので、サイトを作成した経験がない人でも、一定レベル以上のレベルにまで到達できることをねらいとしたものです。

 

3年ほど前にオールクリエイター株式会社代表の橋本秀俊氏に、銀座でセミナーを開いていただいたときの資料を若干修正したものを配布して行いました。

KOFの女子会のセミナーの様子(2)

 

ただ、画像などの素材は、Joe’sのスタッフがインドに出張したときの写真を用いています。

 
 

その日の内容を、動画でとりなおし、今後NetCommonsを新たに始める方のために、Joe’sのNetCommons標準サーバーのサイトで公開しました。

 

http://netcommons.ac

 

NetCommons関西の様子

 

Part 1はサイトの作成方法、Part 2はルームの概念についてです。NetCommonsのルーツはXoops(ズープスと読みます)です。サイトを作成するだけではなく、あるグループに属する人しかアクセスできないような権限の管理を行います(グループウェア機能)。

 

12月6日(土)に開催される、NetCommons関西の年内最後の勉強会の中で、女子会でその1時間程度のハンズオンを行います。

http://kokucheese.com/event/index/236984/

 

標準サーバーのサイトにおかれたNetCommonsの動画

 

Joe’sの大阪の女性スタッフは、NetCommonsだけではなく、concrete5MoodleEC-CUBEなどについても、○○関西女子会を結成していきたいと意気込んでいます。銀座のJoe’sでも、年明けに同様のイベントを計画しています。

 

是非一度、東京、大阪のJoe’sで開催されるイベントに足を運んでみてください。参加は無料です。

[1]Joe’sのサーバーでWAFが標準に

最近、サイトの脆弱性をついた、不正侵入やページの改ざんなどの事件が増えています。これまで、インターネットのセキュリティといえば、ファイヤーウォール(使用していないポートを塞ぐ)や不正検知といったネットワークレベルの防御が中心でした。

 

Webサーバーの直前で、不正データをはねのけるのがWAFだ

しかし、今年になって、WordPressDrupalなどのプログラムの脆弱性をついた攻撃が報道されています。たとえば、アクセス権限がなくても、サーバー内のデータベースの問合わせコマンドが実行できてしまったり(SQLインジェクション)、入力した内容を表示するWebサーバの処理を悪用して、HTMLのタグやPHPのスクリプトを入力に含めて、ブラウザに実行させる(クロスサイトスクリプティング)といった手口です。現在では、クライアント(ブラウザ)とWebサーバーとのやりとりを監視する、Webアプリケーションレベルのファイアーウォール(WAF:Web Application Firewall)が不可欠とまで言われるようになりました。

 

ModSecurity

WAFは、海外では通常のファイヤーウォールと同様、ハードウェアアプライアンスで提供される製品が多いのですが、国内ではサーバーにインストールするソフトウェアの形で提供されるもの(和風?)が主流です。ただ、Webサーバーあたり数十万円するなど高価で、なかなか導入に踏み切れていない企業が多いようです。

Comodoといえば、SSL証明書を連想するが

 

最近では、ModSecurityというオープンソースのWAFが、よく利用されています。TrustwaveというSSL証明書を提供している会社が中心となって開発しています。

 

http://www.modsecurity.org/

 

ComodoのWAF

 
 

しかし、ModSecurityに限らず、WAFではどのようなWebサーバーへの入力を不正とみなすかのルール(の集合)を設定しなければならず、運用をしていくための専門的なスキルが必要になります。したがって、セキュリティの専門の部署を持つとか、サービスプロバイダであるとかでないと、おすすめできません。ただ、このルールは、どのようなWebアプリケーションを運用するかとは無関係に設定することが多く、また、入力データからの学習によってルールを最適なものに更新している機能もあります。

 

cPanelからのModSecurityの設定

 

SSL証明書を提供しているComodo社(Joe’s SSL市場でも取り扱っています)では、ModSecurityを運用でき、デフォルトのルールを最新のバージョンのものに置き換えるソフトウェアを提供しています(現時点では無償)。

 

https://waf.comodo.com

 

世界で最も美しいレンタルサーバーのコンパネ「cPanel」

 
 

ModSecurityは、Joe’sの共用サーバー専用サーバーJoe’sの素でご利用いただいているコンパネcPanelでもご利用になれます。現在、新規にご利用の方と、既存のお客様でcPanelのバージョン 11.46以降(共用サーバー server44以降)でご提供させていただいています。また、cPanelは、年内にすべてのサーバーで最新版になるように準備を進めています。

 

cPanelにログインしてModSecurityの設定画面を開くと、enable/disableの設定のみできるようになっています。つまり、デフォルトの最新のルールセットが格納されていて、これを使うか使わないかの設定をするだけになりますので、ご自身で何かを管理をする必要はありません。

 
 

ところで、コンパネが、レンタルサーバーのサービスを決めるといっても過言ではありません。国内のレンタルサーバー事業者は、独自にコンパネを開発して提供していますが、Joe’sでは創業時(2002年)から、世界で最も利用されているcPanelを利用しています。cPanel Inc.の100人以上が開発に従事し、セキュリティの不安がないばかりか、今回のModSecuriyのWAFなど、最新のトレンドがいち早く取り入れられています。

 

この美しいcPanelが好きで、Joe’sのサービスを長年利用されている方も数多くいらっしゃいます。Joe’sのサーバーを、是非一度ご利用ください。

[4]秋の文化祭、オープンソースカンファレンス東京

Joe'sのブース。どうしていつもNetCommonsと隣なのですか、と聞かれる。

10月18日(土)19日(日)の両日、東京都日野市の明星大学でオープンソースカンファレンス(OSC)が開催されました。Joe’sは、協賛として19回目の参加になりました(東京のOSCは7回目)。今回は、初日だけで950名の参加者を数え、かつてないほどの盛況ぶりでした。

 

初日の朝、ブースを設置した後、ブースの様子をFacebookページにアップしました。今回も、ブースはNetCommonsのユーザ会(コモンズネット)と隣接していました(205という前回と同じ教室)。

 

Joe'sのセミナーのスライド

 
 
 

今回はセミナーで、マンガ「ごきげんにゃん」の舞台裏について、鈴木禎子代表の親族の方(Joe’sのJoe?)が話をしました。

 

Joe'sのセミナー風景。観客がすくなく、若干残念な面もあったが。

 
 
 
 
 

当日は、あまり多くの観衆を集めることはできませんでしたが、Joe’sの起業当時の語られていないエピソードがわかる内容で、興味深い話でした。下記でスライドを見ることができます(若干修正しています)。

 

http://www.slideshare.net/joeswebhosting/osc-koffinal

 

ブース会場をみても、今回のOSCの盛況ぶりがわかる

 
 

初日の夕方に、食堂で懇親会が行われました。会費が1000円で参加しやすいのですが、内容的に満足していない人もいるので、宮原氏(OSCの運営責任者)が、毎回少しめずらしいお酒や贅沢なワインなどを、後部のテーブルに用意されています。よく参加している人は、乾杯後30分くらいしてから、そのテーブルに集まってきます。

 

懇親会の風景

 

Joe’sは、ビジネスライトニングトークも登壇しない、新サービスの発表もできていないなど、今回は消極的であったと反省しています。

 

来年春のOSC東京では、新サービスを前面に出して積極的に取り組んでいく所存です。今回も、びぎねっとをはじめ、明星大学の会場で2日間動かれていた皆様、お疲れ様でした。

[3]Joe’s SSL市場でシマンテックのワイルドカードを国内ユーザーに販売開始

Joe's SSL市場のサイト

SSL証明書の役割に関しては、本ニューズレターでもこれまで何度かお伝えしてきました。サイトに入力されたカード番号や個人情報を暗号化するとともに、そのサイトが、訪問者が意図している相手であることをわかるようにしています。

 

個人情報やカード番号を入力するときには、SSLで暗号化する必要がある

 
 
 
 
 

「https://」と最初のスラッシュの間の文字列を、コモンネームまたはFQDN(Fully Qualified Domain Name)といい、

 

ドメイン名
www.ドメイン名
サブドメイン名.ドメイン名
www.サブドメイン名.ドメイン名

 

といった形式になります。

 
 

通常、SSL証明書は各コモンネームに対して発行されます。Comodoやグローバルサインでは、先頭にwwwが付くものと付かないもの(lms.acとwww.lms.acなど)を両方とも1枚の証明書で対応できるようになっています。しかし、それ以外の組み合わせ、たとえばlms.acとmath.lms.ac、math.lms.acとeng.lms.acというような場合は、どのSSL証明書でも、それぞれに対して証明書を発行する必要があります。

 

ネット上のオレオレ詐欺を防ぐことも、SSL証明書の重要な役割だ。

そこで、SSL証明書を発行してる各社ではワイルドカードといって、

 

lms.ac
www.lms.ac
math.lms.ac
math.lms.ac
eng.lms.ac

 

など、ドメイン名lms.acから作られるすべてのサブドメイン名に対応できるSSL証明書を提供してます。
これまで、Comodo、ジオトラスト、グローバルサイン、Thwartではワイルドカードを提供していましたが、シマンテック(旧ベリサイン)でも利用できるようになりました。

 

SSL証明書といえば、昔も今もベリサイン

 

費用が若干高くなりますが、サブドメインごとに発行するのと比較して安くなるのであれば、ワイルドカードのメリットが出てきます。Joe’sでは、税抜き300,000円で、10月22日(水)より販売します。シマンテックのSSL証明書を購入できるか否かは、代理店によって異なり、現在国内ではJoe’s SSL市場(joes-ssl.com)でのみ購入が可能です。

 

Joe’s SSL市場では、ご質問、ご相談などを受け付けています。電話、チャット、チケットでお気軽にお問い合わせいただければと思います。
皆様のお問い合わせをお待ちしています。

[2]IT業界激震の「bash脆弱性」とは

米国時間の2014年9月24日に、LinuxなどのUNIX系OSで標準的に使われているシェルである「bash」における深刻なバグ情報が公開されました。bashは、Linuxがインストールされていればほぼ100%の割合でインストールされているソフトウェアなので、非常に影響範囲が広く、クラウド・ホスティング業界をはじめ、bashが含まれるOSを採用している情報機器ベンダーなど、IT業界ではその対応に追われました。

LinuxのマスコットキャラクターTux。

 

この、IT業界が激震した「bash脆弱性」とはどのようなものだったのでしょうか。

 
 

bashは、「シェル」と呼ばれるソフトウェアの一種で、OSとユーザーの間をつなぐインターフェースの役割をします。シェルにはCLI(コマンドラインインターフェース)形式とGUI(グラフィカルユーザーインターフェース)形式がありますが、今回問題となったbashはCLI形式のシェルとなります。一般的に、CLIは効率性が高くプロ向きで、GUIはユーザビリティが高く初心者にも使いやすい、とされます。例えばJoe’sの技術者などは、1日の業務時間のほとんどをCLI形式のシェルと向き合って過ごしていると言っても過言ではありません。

 

bashの公式サイト。bashは様々なフリーソフトウェアを配布するGNU Projectのプロジェクトの1つ。

 
 

シェルには、ユーザーからの入力をリアルタイムに受け取って解釈し、実行する対話モード(インタラクティブモード)の他、シェルへの指令をスクリプトという形で記述し、それをシェルに読み込ませて実行するバッチモードという使い方があります。bashをメインのシェルとして採用しているOSでは、OS内部で実行されるさまざまな処理もスクリプトの形でbashで実行されるため、bashに脆弱性があると、システム全体が危機に陥ることになります。

 

未対応の環境で脆弱性検証コードを実行した様子。あなたのサーバーは大丈夫?

 

今回発見された脆弱性は、bashの持つ「環境変数」の機能に存在していたものでした。環境変数とはシステム用語になりますが、システムやアプリケーションにおいてデータを共有、伝達する方法の一つで、例えばLinuxでは多国語に対応していて、使う人によって言語を切り替えることで、表示されるメッセージなどに自分の母国語を使うことが出来ますが、そのために環境変数「LANG」を使って、システムに自分が使いたい言語が何なのかを伝えることが出来ます。

 
 
 

例)LANG=ja_JP.UTF-8  ※日本語で、UTF-8コードを使う場合

 

この環境変数は、基本的には「値(データ)」が保存されるものとなりますが、今回の脆弱性では、環境変数に対して「命令(関数)」を保存した場合の処理に誤りがあり、命令内に含まれる一部のコマンドが意図せずに実行されてしまという状況が発生しました。これにより、環境変数を使用している多くのシェルプログラムに対して、様々な不正なコマンドを実行させることが可能になり、その攻撃容易性と影響の大きさを知った技術者を中心に大騒ぎとなりました。

 

幸い、OSベンダー各社から迅速にセキュリティアップデートがリリースされたため、多くのユーザーでは、アップデートプログラムを適用するだけで回避することが出来、Joe’sでも、社内管理のサーバやマネージドサーバについては即日対応を実施することが出来ましたが、攻撃が非常に容易なだけにこの脆弱性を利用するマルウェアの発生も早く、対応には緊急性が求められる状況でした。

 

専任のシステム管理者がいない場合は、無理せずプロの手を借りることも大事。

今号の[1]の記事では、NetCommonsMoodleについて運用支援のサービスを開始したことをご紹介させていただきましたが、今回のような脆弱性を日々把握し、システムを安全な状態に保つことは、非常に労力のかかる高度な作業となります。そういった作業をシステム管理者以外のユーザーの方が兼任などで担当されるのは、業務負荷が高いだけでなく、システムや重要なデータが危険に晒されることも意味しています。予算などの関係もありますが、本来の目的であるシステムの利用に徹して業務の効率化を図っていただくためにも、プロの技術者がサーバー運用を代行する「マネージドサービス」の利用をご検討頂ければと思います。

[1]NetCommonsとMoodleの制作・導入・運用支援の新サービス

学校では、サーバーの構内設置の要望が多い。

NetCommons(NC)やMoodleに関しては、本紙で今まで何度か取り上げています。

NCは国立情報学研究所(NII)が中心となって開発しているCMSで、初心者でもある程度のサイトが構築でき、アクセス権限を管理するいわゆるグループウェアとしての機能を持っています。NIIが中心となって開発していることもあって、自治体や学校(小中高)で利用されています。他方、Moodleは大学の講義や企業の社内教育で利用されています。

 

役所では、サーバーの構内設置の要望が多い。

 

10回、15回といった回数の講義(コース)を想定して、学生が教材をダウンロードしたり、課題を提出したり、提出状況やテストの結果を確認できるようになっています。NCはどちらかといえば汎用的な使われ方が主ですが、逆に、Moodleはコースによる教育に特化しています。

 

Joe’sは、NCMoodleのエキスパートです。2011年6月にNCのユーザ会であるコモンズネットからNetCommons Readyという、安心してNCが利用できるサーバーであるという認定を受けています。

 

サイトの開発やサポートは、プロに依頼した方が、安心。

Moodleでも、2012年から賛助会員として、Moodle Mootなどのイベントに毎回参加しています。以来、NCやMoodleがインストール済みのサーバーを無償で1年お貸しする入門プランを提供し、NCについては勉強会を定期的に開催しています。

 

どちらも、学校や自治体といった、学生の成績や住民の個人情報といったクリティカルな情報を扱っています。そのため学校や役場を中心に、「セキュリティはデータセンターやレンタルサーバーに任せるのではなく、自社の責任で管理したい」というようなご要望を多くいただいています。

 

教室で講義を聞く以外に、自宅学習が必要になる。Moodleが威力を発揮します。

しかし、サーバー管理のプロを常駐させていると、それだけで年間1000万円以上の予算が必要です。また、内部にいる誰も、責任をもちたくないということが多いようです。

 

Joe’sでは、このような状況で、現地には常駐せずVPN(バーチャルプライベートネットワーク)を経由して、外部から暗号化された経路を通ってサーバーの管理をしています。ハードウェアの障害(実際の確率は低い)があったときだけ、現地に行って部品交換などを行っています。そして、サーバーがダウンしたり、急激な負荷がかかって、レスポンスが悪いときなどはリモートから対応しています。

 

有名になったNeCommonsのスイカ (小林登紀子氏による)

バックアップ用のサーバーをもう1台用意して、万が一の場合に処理を継続させる形態を取ることもあります。

 

Joe’sは2002年の創業以来、10年以上にわたってのべ3万以上のサイトのサーバーを管理しており、サーバートラブルに対する対応方法を熟知しています。最新のセキュリティ動向なども把握し、安全なサーバー運用に努めています。これらの経験を元に、ユーザー数や用途によってどのようなサーバマシンが最適か、様々なご相談に対して適切なご提案をさせていただいています。

 

NetCommons標準サーバー
Moodle標準サーバー

 

NetCommons関西での初心者セミナー@Joe's梅田

 

NCの場合、初心者でもきれなサイトが作れるように、設計されています。開発のプロに頼まなくても、そこそこきれいなサイトが作成できます。ただ、「商用サイトでデザインをよくしてアクセスを良くしたい」「既存のモジュールでは機能的に不十分で、カスタマイズが必要」「グループウェア的に使いたいが、ルームの機能をどう使ってよいかわからない」という場合には、専門家に依頼した方がよいかもしれません。会社や団体が予算をもっているのならなおさらです。予算に応じて、サイト開発の支援・代行を行っています。

 

Moodleの本部オーストラリアのパースにある有名な卓球台

 

Moodleは、デザインなどをカスタマイズすることはありますが、機能が重要です。ほとんどの場合、(モジュールを加えない)既存の機能だけで十分だと思われます。管理者だと、サイト管理(カテゴリ・コースの生成、学生名簿の管理)とコース管理(コース内の管理)の両方を使えます。先生はコース管理という箇所だけを操作すればよいことになります。

 

Moodleを実際に使ってみよう

 
 
 
 

基本的にサポートは不要と思われますが、使い方がわからないとか、バグや不具合で問い合わせをいただくことも多く、また、大学や組織内にサポート窓口のための人員を置きたくないというご要望もいただいています。

 

NCMoodleともに、導入支援(構内設置を含む)や運用支援(問い合わせ窓口など)のプランをご利用いただき、面倒ごとはプロに任せて、安心してご利用頂ければと思います。

 前へ 1 2 3 4 5 6 7 8 9 10 ... 21 22 23 次へ