drupal ( その8 )

さっそく、コメントスパムがやってきた。
まだテスト中でメニューには載せてないフォーラムに500件くらい書き込んで来た。

どうも、6ヶ所くらいから同時に書き込んでいるらしいが、時期的に見ても同一犯の仕業。踏み台になっているPCがあちこちにあるということなんだろう。( 国が分散しているので、こういうセコイ真似をする組織が、国際的な実体があるとは思えないし。)

drupalみたいに、URLに規則性があると、こういうロボットの格好のターゲットだね。とりあえず簡単な CAPTCHA を組み込んでおいた。

drupal ( その7 )

古いコンテンツとの互換性を考えて、drupal を サブディレクトリ配下に置いたのだけれど、ルートディレクトリに置いた方が、いろいろ解りやすいね。
ルートディレクトリに移すかどうか悩み中。

いまはもう長すぎるコンチェルトなど～

聞いているときではない～♪

もっと優先するべきことがあるので、この話題はしばらくお休み。

RT200KIの強制アップデート ( その4 )

これ以上調べるのは、linuxの環境を一つ用意しないと難しいね。
どうも、linux環境は何度インストールしても、気が付くと別のOSで上書きされていて、そのたびに毎回作り直しているなぁ。
ARMプロセッサ用の開発環境も用意しないと、ソースを仮に入手できたとしてもバイナリを比較できないし。

パスワードは初期化の際に実行されるプログラムの中に平文で書かれている。逆アセンブルするまでもなく、/etc/passwdで単純な文字列サーチしてその周辺の文字列を見当をつけて試してみれば簡単に見つかる。たぶん、RT200KIだけでなく、同じシリーズのファームウェアでも似たような方法で見つかるのではないだろうか。

RT200KIの強制アップデート ( その3 )

どうもいろいろ検索してみると、このRT200KIの内部構造は、NTTE/NTTW Web Caster V100 のものとほぼ同じ。
http://www.tatsuyoshi.net/toyota/router/ntt/v100.html

で、問題の構造も、/. で取り上げられている「ELECOMのルータでGPL違反とセキュリティ問題が発覚」
http://slashdot.jp/linux/article.pl?sid=04/04/04/1740234
とほぼ同じ。

上の記事によると、(NTTの回答でなく)ELECOMの回答らしいが
=== 引用ここから ===
# 配布されているファームウェア内に Linux の Kernel を含んでいるが、ソースの公開要求に対して「弊社独自のソースコードが含まれているため、公開できない」。
# 以下のセキュリティ問題が存在するが、fix はしない。

1. telnet にて外部から login することができる
2. 隠し cgi にて root 権限で任意のコマンドが実行可能
3. 外部からファームウェアのアップデートができる
=== 引用ここまで ===

ということらしい。RT200KIに関しては cgi は(とりあえず本来の場所には)5個しかなく、そのうちの3つはおそらく cgiそのものではなく、cgiから呼び出されるプログラム。そのうちの2つは、rootにsuid されているので、これを使えばやりたい放題、ということなんだろう。

ただし、外部からの HTTPポートへのアクセスはすべて内部のサーバーにリダイレクトしているはずなので、隠しcgiそれだけでは、それを起動することはできないはず。常駐している別のdaemonが内部からHTTPアクセスするような仕組みになっているのかもしれない(wgetのような本来なら不要と思われるプログラムが組み込まれているし)。あるいは、EMERGENCY時には、このリダイレクト機能を無効にするような仕組みがあるのかも。

まあ、6年も前に問題とされていることを、いまだに知らぬふりをして改善しないというのは、NTTという会社の体質だな。

NTT's Violations against GPL

The facts I learned from the experiences of these days are:
NTT's Router ( RT-200KI ) contains GPL'd code in it.
And the users are not informed these facts, no GPL licence texts, no source codes, no pointer to the source codes are included.
1) NTT violates GPL beacause their router RT-200KI contains linux which is distributed under the GPL.
2) NTT violates GPL beacause their router RT-200KI contains BusyBox which is distributed under the GPL.
3) NTT violates eCos lincence (aka. GPL) beacause their router RT-200KI contains RedBoot which is distributed under the eCos licence.
4) NTT violates GPL beacause their router RT-200KI contains iptables which is distributed under the GPL.
5) NTT violates GPL beacause their router RT-200KI contains wget which is distributed under the GPL and its variant wget19.

The C library used may be GPL'd ( I don't know what libraries they uses. Their VoIP driver dynamically links to the library named libc.so.6, but it is realy a symbolic link to libc-2.2.5.so. It looks like some kind of glibc compatible another library. )

Aside from the GPL violations of NTT, NTT made a backdoor in its VoIP Router, and they can do what they want to do even in case of the user explicitely inhibit to do it.
I think NTT is violating not only GPL but also japanese 'Unauthorized Computer Access Law' .

NTTのGPL違反

結局 RT200KIを調べてわかったのは、ライセンス違反に関しては
1) Linuxに関する NTTのGPL違反
2) BusyBoxに関する NTTのGPL違反
3) RedBootに関する NTTの eCosライセンス(GPL風のライセンス)違反
たぶん、他にもたくさん ライセンス違反が見つかることだろう。

もう一つは、rootkitというか、マニュアルに記載されていない裏口が用意されていて、それを使えば、NTTはなんでもできるということ。

これら一連の事象から思い起こされるのは、
● 去年の 「Kindle用に販売されていたジョージ・オーウェルの「1984年」や「動物農場」で著作権侵害のおそれがあり、アマゾンが勝手に購入者の本をリモート削除した」事件。
これは、結局アマゾンが謝罪したわけだが、
●SonyのDRMに関する RootKit挿入事件
これはどう決着が着いたんだっけ？

まあ、SONYの製品なんかは、ボイコットしても何も困らないが、NTTともなると、SFLC(Software Freedom Law Center)に頑張ってもらうか、独占禁止法で叩いて貰うくらいしか対抗手段がない。