もっと緊張感を

前回、自治体向けにやったクラッキングデモを今回は広くやる。どうも申し込み30人のところ100人くらい申し込みが来て大変だったらしい。みんな興味はあるということか。
ネタは前回とほぼ同じだが、前回よりわかりやすくする工夫をした。まずsnifferをビジュアルなものに変更(Kさんに教わった)。また、脆弱性突くデモも、Freiaにお願いして、画面が派手に書き換わる、それなりにVirusっぽいものを作った。ついでに、つい先日見つかったIFRAMEのアレもデモ。こいつはIEを乗っ取るので、乗っ取った後画面にアプリをバンバン出したりできるのでインパクトはそれなりにある。さらに、XPのSP1/SP2の挙動の違いを見せて、SP2のバッファオーバフロー抑止効果を見せたりした。
ただ、今回は都合でFreiaを操作助手に雇えなかったので(昨日一昨日の準備は来てくれたが今日から彼は旅行に出てる)、手際がイマイチ。VNC使って、デモに使う4つの端末をプレゼンPCから遠隔で使うのだが、やっぱりスムースに操作するにはきつい。盗聴も今回は結構取りこぼしが多かった。ズボラして10BASE-Tハブを使ったのだがコリジョン後キャプチャが少しこぼすらしい。次があれば、ちゃんとミラーリングでやろう。結局時間が足りずMITMデモはヤメ。まぁやったところでイマイチわかりにくいからね。Freiaが準備に一番時間をかけてくれたところなので申し訳なくはあるのだが(^^;
この話、とにかく「脅威」が本当にその辺に転がっていることを実感してもらって、緊張感を持ってもらうためにやっているつもり。なので、できるだけインパクトがある内容にしたいと工夫しているのだが、イマイチ会場の反応が鈍かったので、満足しかねる出来。会場を用意してくれたリコーさんによるとアンケート結果は概ね好評だったとのことであるが、まぁリップサービスもあるだろうし。しかしこれ以上わかりやすくするのは難しいなぁ・・・・もっと聴衆が自分で試せる実習を増やせばいいのかと思うが、本当にクラック技を覚えて帰られても困ってしまうので難しい。自治体職員相手ならともかく一般相手の場合は万が一にもクラッカー養成講座にするわけにはいかない。実は大学で失敗した苦い経験があるのだ・・・講義でセキュリティの話をする際にクラッキング手順のヒントとなることを話したばっかりに、本当にクラックを試すバカを出してしまった。あれはもう勘弁。