SourceForge.JP: Open Source Software

　Mozilla Foundationは11月12日（米国時間）、Webブラウザ「Firefox」のセキュリティアップデートとして、「Firefox 3.0.4」「Firefox 2.0.0.18」をリリースした。統合ソフトウェア「SeaMonkey」も、セキュリティ問題を修復したアップデート版をリリースしている。

　プライベートなネットワークにあるサービス ─ Wiki、メールサーバ、Webサイト、またはその他のインストール済みのアプリケーションなど ─ を利用する人は多いだろう。しかし、使い慣れたネットワーク環境を離れざるを得ない状況もある。最小限の公開と少数の簡単なツールを使うことで、自宅と同じ快適性をインターネット接続がある場所ならどこでも手に入れることができる。

　独立行政法人 情報処理推進機構（IPA）は2008年11月11日、WebサイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップしたと発表した。検出可能なSQLインジェクション攻撃パターンを従来の1.5倍に強化。動作プラットフォームにCentOS 5とFirefox 2を追加した。無償で利用できる。

　pam_mountは、ログイン時に自動的に暗号化ファイルシステムをアンロックしてくれる。ログインに使用するパスワードと同じパスワードで、暗号化ファイルシステムをアンロックするため、パスワードの入力は1回でよい。これを用いれば、ノートPCの共有が容易になる。ログイン時にそのユーザーのホームディレクトリのみをアンロックしてマウントしてくれるからだ。またpam_mountは、暗号化ファイルシステムだけでなく、任意のファイルシステムをマウントすることができるため、たとえば、使用したいが自分がログインしていないときにはマウントしたままにしておきたくないNFS共有などに適用することができる。

　ドイツのWebアプリケーションセキュリティコンサル企業らが設立したRuby on Rails Security Projectは11月4日、Ruby on Rails（RoR）のセキュリティガイド「Ruby on Rails Security guide」を公開した。HTMLページまたはeブック形式で無料で閲覧できる。

　Webサイトへのログインで利用するパスワードは、サイトごとに使い分けるのが望ましい。それも、さまざまな種類の文字を組み合わせた長めのパスワードにする方が強力だ。だがそうなると、すべてのパスワードを暗記しておくのは難しい。そんなときに役立つのがパスワード管理ソフトだ。さまざまなWebサイトのパスワードを暗号化してコンピュータ上のファイルに保存し、必要に応じて取り出すことができる。この記事では、4種類のパスワード管理ソフトを紹介する。いずれも、簡単にパスワードを呼び出すことができ、パスワードファイル自体を安全に保護できるものばかりだ。

　米Novellは10月21日（米国時間）、アクセス管理・規制遵守ソフトウェアスイート「Novell Access Governance Suite」を発表した。米Aveksaの技術を利用したもので、アクセス認証プロセスや規制遵守対策を自動化できる。同日提供を開始した。

　暗号化セキュリティは、そのアルゴリズムを理解する人々にとってはありがたいものだが、理解しない人々にとっては無意味である場合がかなり多い。セキュリティの高いHTTPSプロトコルは、ウェブ閲覧向けに広く使用されているが、致命的な欠陥が1つ存在する。つまり、ユーザーが証明書エラーに関する警告を無視するという問題だ。PerspectivesというFirefoxエクステンションは、このセキュリティホールを封じることを目的とする。

　セキュリティはもちろん重要だが、絶えず最新の対策を用意することは難しく、脆弱性のチェックをネットワーク全体に対して行うのは非常に面倒でもある。よって、そうしたテストを自動化し、なおかつ最も適切な最新のテストを実行できる方法が必要になる。 Open Vulnerability Assessment System （OpenVAS）は、セントラルサーバとGUIフロントエンドからなるネットワークセキュリティスキャナである。OpenVASサーバは、Nessus Attack Scripting Language（NASL）で書かれた何種類ものネットワーク脆弱性テスト（NVT）を実行できる。また、こうしたテストはOpenVASプロジェクトによって頻繁に更新されている。

　PAMという語からカナダの某ブロンド女優を連想する人もいるかもしれないが、このサイトの読者ならLinuxセキュリティの基本的な要素であるPluggable Authentication Modulesだとわかるはずだ。本稿では、こちらのPAMのしくみを説明し、ちょっとした使用例を紹介する。

　Umitは、ネットワーク・ポート・スキャナーNmapのための使いやすいグラフィカル・インタフェースで、特に、スキャン・プロファイルの保存や、保存しておいたスキャンの結果を検索したり比較したりする機能が便利だ。スキャンの方法を指定するプロファイルは、スキャンのソース情報を変更したり、スキャンするホストまたはスキャンしないホストを明示的に指定したりできるほか、さまざまな高度なオプションを設定することができる。

　Linuxにはパケット・フィルターが組み込まれているが、その設定は初心者にとっては少々厄介だ。だが、Ubuntuの Uncomplicated Firewall （UFW）を使えば、初心者でも簡単かつ安全に設定することができる。

　テクマトリックスは2008年10月6日、米Parasoftが開発したJavaテストツール「Parasoft Jtest 8.3」に脆弱性検出機能などセキュリティ関連機能を追加したと発表した。これまで別売オプションで個別対応していた機能を標準搭載にした。価格は据え置きで、既存ユーザーは無料で追加機能を利用できる。

　米AdaCoreは10月6日（米国時間）、米国家安全保障局（NSA）が出資するセキュリティ技術「Tokeneer」をオープンソースとして公開した。これにより、個人や学術界コミュニティによる安全性の高いシステム開発を促進する。

　ソフォス（本社：横浜市）は、法人向け統合セキュリティソフト「Sophos Endpoint Security and Control」のプラットフォーム対応を強化し、新たにItaniumプラットフォームのLinuxに対応させたと発表した。