冷蔵庫は本棚でした

Ivy BridgeではCPUに物理乱数生成器が乗るらしい

2012-01-26T21:00:00.000+09:00

4年間使った自宅のMacbookを買い替えようと思い立ちCPUについて調査していたら、今年に予定されているIntelの新しいCPUシリーズ（Ivy Bridge）の興味深い新機能を発見しました。

Ivy Bridgeには、AVX命令の拡張としてRdRANDと言う命令が追加されます。この命令はCPU上に搭載された物理乱数生成器を使って、高精度の乱数を高速に入手できるようにするものです。

今まで高精度な物理エントロピー源を用いた乱数を使おうとすると、HSM (Hardware Security Module) やTPMを使ったりしなければなりませんでした。こういった特殊なハードウェアを用いなくても精度の高い乱数が入手できるようになるのは革新的だと思います。

また、CPU内部で乱数を生成するため、乱数の生成に関するコストはとても少なくなります。今まではデバイスへのアクセスが必要になったりして、速度はあまり早いとは言えませんでした。

技術的に詳しい話はここに記述されています。3章までは特に難しいことは書かれていないので、興味がある人はご参照あれ。乱数の基本についても簡単に書かれているので、勉強になると思います。

MSのPKIのホワイトペーパーがアップデートしていた

2012-01-24T22:00:00.000+09:00

昨年（2011年）の11月にMicrosoftのPKIのWhitepaperがアップデートされていました。こちらから見る事ができ、DOCX版もダウンロード可能です。

MicrosoftはWindows 2000の頃からPKIの実装に力を入れていて、今ではTLS、EFS、Kerberos、スマートカードログオン、IPSec、802.1x (EAP-TLS)、SMIME、NAP（検疫ネットワーク）など、OS内部のさまざまな場所で使用されています。

にもかかわらず、PKIって相変わらずマイナー感が漂っていたりします。個人的には、このようなマイナー感はPKIの導入の敷居が高いのに原因があると思います。認証局の構築・運用はPKIに関するそれなりの知識を求められ、まじめにやろうとすると構築・運用側には結構な負担が生じてしまうのです。

このホワイトペーパーは、Microsoft社内の公開鍵認証局（CA）構成について具体的に紹介されています。実際にPKIアプリケーションを使いたいんだけど、認証局はどのような構成にすればいいか悩んでいる人には参考になると思います。

また、構成方法に加えて、運用についての記述も豊富なので、「EFSを導入したいんだけど、キーアーカイブとリカバリー業務はどうやって構成すればいいの？」のようなポイントにも記述されています。

MicrosoftのPKIソリューションについて、広く薄く知りたい場合にはとても適していると思います。

データベース暗号化ガイドライン by DBSC

2011-11-18T23:00:00.000+09:00

ここ数年はデータベースの暗号化に関する話題が（少しだけ）盛り上がりを見せているようです。某HSM屋さんの話によると、近年はDB暗号化の割合は着実に増えて来ているそうです。数年前と比べると、セキュリティに対する意識は変わってきたのでしょうね。

さて、11/1にデータベース・セキュリティ・コンソーシアム（DBSC）から「データベース暗号化ガイドライン第1.0版」(PDFです）が公開されていました。35ページほどの文書ですが、データベース暗号化を行う際に考慮すべき事項がよく纏められています。暗号関連のお仕事をしている人は、ざっと目を通しておくとよいと思います。

読んでみた感想ですが、対象は何にせよ暗号を行う際に一番の問題となるのが、やっぱり暗号鍵の運用だなと思いました。暗号に詳しくない人は、一度データを暗号化すれば情報漏洩を防げると考えてしまいがちですが、実際は暗号鍵の危殆化や暗号アルゴリズムの脆弱性に対応しなければなりません。

それ以外にも、暗号鍵の安全な保管や、可監査性の担保と定期的な監査の実施などの暗号システムに特有なオペレーションが多く、意外と運用面での負担が大きかったりします。また、こういった暗号システム特有の運用に関する観点は、暗号分野が専門性の高い分野であることもあり、エンドユーザさんも正確に理解できていないことが多いと思います。

最近はPKI絡みのインシデントも多いですし、今後は暗号に対する基本知識が、構築側／運用側を問わずに必須になってくるのかもしれませんね。

今度はDigiCert Sdn社が不正な証明書を発行してしまった件

2011-11-11T23:00:00.000+09:00

MicrosoftからSecurity Advisory 2641690が提供されています。先日のDiginotar社の騒動に続き、今度はDigiCert Sdn社の中間認証局が不正な証明書を発行してしまったそうです。どうやら弱い鍵アルゴリズムを使った証明書が発行されてしまったらしく、2つの中間認証局の証明書が失効されたそうです。

Micorosoftから提供されたパッチを適用する前と後でのWindows証明書ストアの変化を見てみましょう。パッチ適用前の証明書管理コンソール（certmgr.msc)の状態は以下のようになります。

パッチ適用後の証明書管理コンソールの状態は以下のようになります。2つの中間認証局が信頼されていない認証局に追加されているのが分かります。発行元はEntrustとCyber Trustですね。

しかし、最近は証明書関連のインシデントが多いですね。これが氷山の一角ではなければいいのですが。

メンテナンススタンド購入

2011-11-11T08:00:00.000+09:00

久しぶりのMTBネタです。今年は12回しか山に行っていません。雪が降る前にあと5回くらいは行きたいところです。いろいろとアイテムを購入したので、ちょこちょこと紹介して行きたいと思います。

1発目はメンテナンススタンドです。今回、買ったのは（Bikeshop玄武の店長オススメの）Topeakのメンテナンススタンドです。写真には重量計がついていますが、私が購入したのは重量計が無いバージョンです。

自転車を趣味にしている人には常識なのですが、MTBにはシティサイクルのようなスタンドがついていません。これは山で転倒したときに体に当たらないようにするためや、走行中の震動で動いてしまうのが困るためです。また、軽さを重視しているためでもあります。

スタンドは山で走っているときには無い方がよいですが、自転車に乗っていないときは、壁に立て掛けたりしなければならないためにとても不便です。私は自転車をひっくり返したり、壁に立て掛けたりしてメンテナンスをしていましたが、こういった方法だと作業中に倒してしまったりで、色々としんどかったです。

メンテナンススタンドを使ってみた感想は「もっと早く買っておけばよかった！」といった感じです。圧倒的に楽です。ディレーラーやディスクブレーキの調整も簡単にできちゃいます。値段は30000円と安くはありませんが、自分でメンテナンスをする人は持っておいて損は無いと思います。

今更ながらWindows 7のReadyBoostを使う

2011-11-10T23:00:00.000+09:00

Pentium 4, メモリー1GBの遅いPCでWindows 7を使うことになったので、ReadyBoostで高速化できるかどうか試してみました。結果的に体感速度は良くなったのですが、原理が良くわからなかったのでちょっと調べてみました。

ReadyBoostは簡単に言うと、USBメモリーにHDDのキャッシュを作成することによって、アプリケーションの起動を高速に行う技術です。MicrosoftではReadyBoostに使用できるUSBメモリーの要件として、以下の項目を挙げています。

4KByteランダム読み込みが、2.5MB/sec
512KByteランダム書き込みが、1.75MB/sec

一般的なHDDと比較すると、ずいぶん低い要求に感じます。何故、遅いUSBメモリーにキャッシュを作ると、体感速度が向上するのでしょうか。で、色々ググってみると。ここら辺の話は、Mark Russinovich氏著のInside the Windows Vista kernel: Part 2に記述されていました。以下に引用します。

The speed of CPUs and memory are fast outpacing that of hard disks, so disks are a common system performance bottleneck. Random disk I/O is especially expensive because disk head seek times are on the order of 10 milliseconds-an eternity for today's 3GHz processors. While RAM is ideal for caching disk data, it is relatively expensive. Flash memory, however, is generally cheaper and can service random reads up to 10 times faster than a typical hard disk.

つまり、 HDDの苦手なランダムアクセスを、ランダムアクセス（の読み込み）が得意なUSBメモリーに肩代わりしてもらうということですね。しかも10倍も違うそうです。

せっかくなので、対象となったマシンのHDDと手元にあるUSBメモリー（3本）の速度を計測してみました。ベンチマークはCrystal Mark 3.01を使用しています。USBメモリーのフォーマットはNTFSです。

たしかに、HDDは4KByteのランダムアクセスが極端に遅くなっています（水色の線です）。そして、USBメモリーの方は3本とも、そこそこの速度が出ています。このアクセス特性の差を使って、HDDの弱点を補完するんですね。

ちなみに、4GBのUSBメモリーを使ってReadyBoostの効き具合をパフォーマンスメーターで確認してみたところ、以下のようになりました。USBメモリーはBAFFALOのRFU3-K4Gです。

Bytes cachedとCache space usedを見ると、4.3GByteのデータが2.5GBに圧縮されてUSBメモリーに記憶されていることが分かります。

USBメモリーに保存されているデータはAESによって暗号化されています。データの圧縮と暗号化のオーバーヘッドを考慮しても、HDDからデータを読むよりかUSBメモリーから読み込んだほうが早くなるということなんですね。これほどまでにHDDのランダムアクセスが遅いのは意外でした。

1点だけ注意点。ReadyBoostはシステム起動時にキャッシュデータをHDDからUSBメモリーに転送します。このため、起動直後はしばらくはHDDへのアクセスが続きます。毎日電源を落とす運用をしている場合は要注意です。

CRYPTREC Report 2010が公開されていた

2011-10-28T23:00:00.000+09:00

ちょっと古いネタですが、6月にCRYPTRECからCRYPTREC Report 2010が公開されていました。時間があったので、さらっと読んでみましたが、なかなか興味深いネタが多かったです。

CRYPTRECは独立行政法人情報通信研究機構（NICT）の一部門として運営されており、日本国で使用する暗号アルゴリズムの一覧である「電子政府推奨暗号リスト」の作成など、重要な作業を担っています。公開されたCRYPTREC Report 2010はCRYPTRECの2010年の1年間の活動をまとめたものです。

内容は色々ありましたが、2013年に公開から10周年を迎える電子政府推奨暗号リストの更新作業や、暗号の脆弱性に対する手法の監視活動、サイドチャネル攻撃手法の研究、FIPS-140-3ドラフトに対するコメントやFIPS-140-3制定後々のISO/IEC, JIS化に関する作業など、中身の濃い話がたくさん書かれていました。

ちなみに、CRYPTRECは先日話題になったAESアルゴリズムに対するアタックについても「直ちに現実的な脅威につながることはない」というコメントを出しています。正直、暗号アルゴリズムについては、一般的な知識しかないので、この発表はとても安心できました。

PKI Day 2011に行ってきた（その2）

2011-10-14T00:01:00.000+09:00

前回の続きで、PKI Day 2011の各セッションを見ていきたいと思います。

セッション4： 日本におけるRSA1024-SHA-1の移行に関する政策
暗号2010年問題に関して、日本国政府の取り組みが紹介されました。政府では新たな暗号方式への移行開始時期（通称：X-DAY）と、新たな方式への移行完了日（通称：Y-DAY）についての紹介でした。

現在の政府の方針では、X-DAYは2014年度開始、Y-DAYは未定（今後、X-DAYの様子をみて検討）となっています。なんだか微妙に先送りされちゃっただけのような気もしますが、無理のないスケジュールを考えると、これくらいが丁度よいのじゃないかと思えてきました。

セッション5：最新の欧州PKI事情
AdES (Advanced Electronic Signature) 仕様関連を中心に、EUでの仕様策定の状況についてのお話がありました。

AdES関連の仕様はEUのESIが中心となって策定されました（日本もたくさん貢献しています！）が、EC指令460を受けて、仕様の軽量化と見直しが入るそうです。公演で面白かったのは、"should"とか"may"とかの「あやふやな記述はやめようよ」という点でした。これによって、今までオプション扱いだった（？）一部の規格が、必須扱いになるようなこともありそうです。国内の長期保存関連の実装も対応が必要になるかもしれません。

あと、個人的に気になったのは、現在策定中の書留電子メール (REM: Registerd e-mail)です。ちゃんと調べてないのですが、電子メールにエビデンス情報を付記することによって、メッセージの受理とか拒否とかを電子署名的に残せるようにする規格だそうです。最近のビジネスは電子メールに依存しているので、PKIが普及するためのキラーアプリになる可能性もあるような気がします。

セッション6：パネルディスカッション「番号制度とPKI」
今回のパネルディスカッションでは、企業における番号制度に着目してのセッションでした。国民番号制度を議論しようとすると、個人情報の保護の話が出てきてしまって、話がこじれてしまうことがあります。今回はそういった話をスルーするために、企業に番号を割振る「企業コード」にフォーカスしてのディスカッションでした。

社印の代わりとして電子署名を使う場合に、社長が毎回ICカードを持ちださなきゃならないのか？等、現行の法律面との関連を踏まえての議論がありました。その他にも、政府が管理する「企業ディレクトリ」みたいなものがあったら超便利だし、個人番号の方と連携すれば更に便利になるという話もありました。

ちなみに、9/25に民主党は「共通背番号制度」法案を臨時国会に提出しないことを決めました。たしか、いわゆるマイナンバー制度は2015年に稼働開始のスケジュールだったような気がしますが、スケジュールが遅延するかもしれません。

最後に
私が最初にPKI Dayに参加したのは4年前になります。4年前と比べると、PKIの技術自体はあまり変化はありませんが、PKIを取り巻く環境は大きく変わってきています。クラウド技術は普通に利用されるようになってきましたし、スマートフォンも一気に普及しました。

こういった変化は、インターネットが既にインフラとして我々の生活に完全に定着し、十分利用に耐えるものになってきたためだと思います。しかし、インターネットは情報漏えいや成りすましなど、インフラとしては信用に欠ける部分があるのも事実であり、現段階では我々利用者はインターネットを信頼できない（もしくは信頼性の低い）インフラとして扱わなければなりません。

今後はPKIを含む暗号技術の重要性は、インターネットが社会インフラとして利用されることが多くなるにつれ、増加していくのは確実です。4年間の変化を考えると、PKIが真の社会インフラとして必須とな日は、意外と近いのかもしれません。

PKI Day 2011に行ってきた（その1）

2011-10-14T00:00:00.000+09:00

PKI Day 2011に参加してきました。今回は恒例の東京ウィメンズプラザではなく、トスラブ山王での開催となりました。開催地が変更になったのは、U-Stream配信を行うための回線を確保するためだそうです。資料と公演の内容はこちらから見ることができます。

今年もいい話が聞けました。簡単に各セッションのコメントです。

セッション1： Microsoft U-Prove
マイクロソフトのID連携 (Identity Federation)に関する公演でした。今までのID連携では、個人情報等を公開してしまう恐れがあり、プライバシー保護の観点から問題があるとのこと。マイクロソフトでは、新しいID連携サービスを模索しており、U-Proveという技術に着目している。

U-ProveではIdPが個人情報を含むトークンと含まないトークンを生成し、クライアントは個人情報を含まないトークンをSPに提供することによって、プライバシー保護を考慮した認証が可能となる点が新しいそうです。ちょっと面白そうでしたので、あとで実験でもしてみようと思います。

セッション2：　楕円曲線暗号におけるPKI
楕円曲線暗号 (ECDSA) の各プラットフォームにおけるサポート状況が報告されました。検証対象となっているプラットフォームは、OpenSSL, Windows Vista, Java SE 7です。

ECDSAには鍵長以外にもいくつかのパラメータがあり、それぞれのプラットフォームで使用できるパラメータが異なります。PKIを導入する際には、設計段階において、アルゴリズムの選定と相互運用性の確認が必要ですが、今回の検証は当たりをつけやすくなって助かりました。

検証結果では、Vistaのサポートするパラメーターが少ないのは意外でした。Suite B対応の最小限のパラメータだけを実装した感じです。あと、個人的には、Windows 7の検証もあったらうれしかったです（7では使えるパラメーターがの組み合わせが増えていたような？気がします）。

セッション3： SSLにおける暗号危殆化サンプル調査の報告
毎年恒例のSSLサーバーの定点観測のお話でした。この調査報告は、金融系と政府系のSSLサーバーが使用している証明書のアルゴリズムとSSLの暗号設定について、3年間の追跡調査を行った結果を報告しています。ちょうど、2010年問題が話題になったこともあり、興味深いセッションでした。

SSL証明書では、RSA1024 / MD5がほとんど使われなくなったそうです。各SSL証明書屋さんは、数年前からMD5でハッシュした証明書の発行を止めていたので、想定通りの結果になっています。調査結果によると、95%以上のSSLサーバ証明書がハッシュアルゴリズムにSHA1を使っているとのことでした。

SSLサーバーの暗号設定は未だ改善されていませんね。共有鍵にRC4-MD5を受け付けるサーバーも多く、昨年からの変化もあまりありませんでした。おそらくSSLサーバーをデフォルトの状態で運用しているのではないかという指摘があり、まさにその通りな感じでした。

このセッションで感じたのは、暗号アルゴリズムに関する設定の難しさです。検証結果にもありましたが、ブラウザ側でも次世代のアルゴリズムをサポートしていますので、サーバー側では、そろそろ古いアルゴリズムは切り捨ててしまってもよいのではないかと思いました。

（次回に続く）

偽物のgoogle.comに対するMicrosoftの対応

2011-09-08T09:00:00.000+09:00

DigiNotar社のSSL証明書偽装事件の続報が入りました。どうやら、*.*.comや*.windowsupdate.com等の証明書も発行されており、被害は相当なモノになっているようです（参照）。やばいことになってきましたね。

そんなさなかに、Microsoftがセキュリティアドバイザリーを改定しました（こちら）。今回の改定によると、MicrosoftはDigiNotar社の全認証局を信頼しないようにするためのパッチを公開したそうです（こちら）。

今回のパッチの影響をもう少し詳しく見てみましょう。Windowsでは、証明書を利用するためには、証明書を証明書ストアに登録しなければなりません。この証明書ストアには「信頼されていない認証局」というカテゴリーがあり、このカテゴリーに登録された証明書（と、その下位のCAが発行した証明書）は証明書の検証時に信頼されていない証明書として取り扱われます。

実際に証明書ストアを見てみましょう。Windowsの証明書ストアはcertmgr.mscを起動すると閲覧できます。パッチを当てる前の証明書ストアの「信頼されていない証明書」を見てみると、こんな感じです。（うっは、結構入ってるじゃんw）

パッチを適用後の「信頼されていない証明書」はこんな感じになります。ピンクで示した部分がパッチを適用することによって登録された証明書です。5つのCA証明書が「信頼されていない証明書」登録されました。

では、パッチを適用した状態で偽物のgoogle.comの証明書を検証したらどのようになるのでしょうか。実験してみました。（DigiNotar社のルート認証局証明書と中間認証局証明書を証明書ストアにインポートしています）。全般タブでは失効として扱われています。

パス検証のタブを見ると、本来CA証明書のCNが表示されるところに、「Untrusted」と表示されます。ちゃんと「信頼されていない認証局」として認識されるようです。

今回の事件の真相は未だ判明していませんが、PKI業界で仕事をしている身としては強い危機感を感じます。今後は認証局や登録局に対する攻撃が増えることも予想され、PKIという技術そのものに対する信頼が崩れてしまうことも考えられます。PKI業界は今回の教訓を生かしてより信頼できる体質になるべく努力を惜しむべきではありません。対策が後手になればなるほど傷は広がります。PKIが生まれて三十余年、今、PKI業界は信頼できるインフラとしての地位をかけた生存競争の時代に突入したのかもしれません。

偽物のgoogle.comのSSL証明書が発行された件

2011-08-31T00:01:00.000+09:00

偽物のgoogle.comのSSL証明書が発行されたそうです。事の発端はこちらのメールだそうで、問題の証明書のダウンロード先も書かれています。

この証明書の発行元となっているのは、ノルウェーのDigiNotar社の"DigiNotar Public CA 2025"の認証局です。この認証局は"DigiNotar Root CA"の下位CAとして運営されています。どんな審査をしているのか気になったので、軽くCPSでも見てみようと思ったのですが、残念ながらノルウェー語なんでさっぱり理解できなかったです（CPSはここにあります）。

既にDigiNotar Public CA 2025は偽物のSSL証明書を失効したそうなので、念のためWindows 7のCertutil.exeで確認してみました。Certutil.exeはユーザーの中間証明機関ストアに2025の証明書をインポートしてから実行しています。以下は実行結果です。長いので途中は省略しています。

PS C:temp> Certutil -verify -user .\fake_certificate.cer
<<省略>>
------------------------------------
証明書が失効しています
Cert は End Entity 証明書です
リーフ証明書は失効されています (理由 =0)
CertUtil: -verify コマンドは正常に完了しました。

「リーフ証明書は失効されています (理由 =0)」と出ているので、たしかに失効されています。理由=0なので、失効理由の詳細は不明です。不正な証明書のシリアル番号を含むCRLを発行できていることから、何らかのミスによって登録局による審査をスルーして発行してしまったのではないかと思われます。（※多くのCA製品では、自分が発行した証明書以外のシリアル番号をCRLに記載できない実装が多いです）

さて、気になるベンダー各社の対応ですが、MozillaプロジェクトとMicrosoftの対応は素早かったです。Mozillaプロジェクトでは、こちらのページに詳細がまとめられています。アップデートで対応とのことですが、手動でトラストアンカーから不正なSSL証明書を発行してしまったルートCA証明書を削除する手順も公開しています（こちら）。

MicrosoftもSecurity Advisory (2607712)を公開しています。Microsoftは配布しているCTL (Certificate Trust List) からDigiNotar社のルート証明書を取り除いて対応したそうです。Windowsは証明書の有効性を検証する際に、Windows UpdateのサイトからCTLを自動的にダウンロードして検証するので、このような対応となっているのですね。

一見すると、トラストアンカーからルート証明書を削除するのは妥当な対処に思えますが、実はとても影響の大きい対処方法でもあります。なぜならば、ルート証明書をトラストアンカーから削除することによって、DigiNotar社が発行した全ての証明書が信頼されない事になり、既に大量に証明書を発行している場合は、それらが全て無効な証明書として取り扱われてしまうためです。いわゆる村八分のような状態です。

以前、Comodoが不正なSSL証明書を発行してしまったときは、偽物のSSL証明書を失効するという方法が取られました。今回は、偽物のSSL証明書の失効だけでは不十分と判断し、トラストアンカーからルート証明書を削除したことを考えると、CA鍵の漏洩のような重要な問題が発生しているのかもしれません。

また、今回のネタの提供者はイラン在住でイラン政府の関与を疑っているようです。なんだか物騒な話ですが、そういった背景を加味すると、今回の対応もありえるような気がします。しばらくは目を離せないネタになりそうです。

PKI Day 2011の申し込みが始まりました

2011-08-11T12:30:00.003+09:00

PKI Day 2011の申し込みが始まりました。今年は9/26に山王健保会館での開催となります。開催の概要と申し込みはこちら。今年は去年の半分となる120名の定員です。参加を希望する人は早目に申し込んでおいたほうがいいと思います。もちろん私も参加するつもりです。

ちなみに、PKI Dayは去年からUstreamで配信を行っているようです。今は公演の一部分（15分程度）しか見れませんが、会場の雰囲気は伝わると思います。今年は定員が減ってしまったので、インターネットで公開してもらえると助かる人も多いのではないでしょうか。

Video streaming by Ustream

iOSの4.3.5で修正された脆弱性がちょっとおもしろい件（CVE-2011-0228）

2011-07-26T20:54:00.000+09:00

AppleがiOSのセキュリティアップデートを公開しましたが、PKI的にちょっと面白げな内容でした。パブリックな信頼された認証局から発行されたSSL証明書の私有鍵を使って、別の任意のフィールドを含むSSL証明書を発行すると、その証明書が有効な（Validな）として判定されてしまうそうです。

例として、VerisignからSSL証明書を1通購入するものとします。この証明書は、iPhoneがデフォルトで信頼する認証局から発行されているため、ウェブサーバーにインストールすれば正しいSSL証明書として認識されます。

次に、このSSL証明書を発行する際に生成した私有鍵を使って詐称用の証明書に署名します。このときに、詐称用の証明書には任意のSubject DNやSubjectAltName:DNS等を指定できます。例えば、www.microsoft.comで使用するSSL証明書も発行できます。ここまでは、別に難しいことではなく、OpenSSLを使えば誰でもできてしまいますし、特に不正な行動ではありません。

問題はiPhoneで詐称用の証明書の検証する際に発生します。本来ならば、信頼された認証局（上記ではVerisign）から発行されたSSL証明書のBasicConstraintsフィールドのSubject TypeにはEnd Entityが指定されているはずなので、このSSL証明書の私有鍵で署名した証明書のパス検証を行うと、詐称用の証明書は無効な（invalidな）証明書として取り扱われなくてはなりません。

今回の問題は、詐称用の証明書のパス検証の際に、SSL証明書（上記ではVerisignから発行されたも）のBasicConstrainsフィールドの値を正しく確認しないために、詐称用のSSL証明書が有効な認証局から発行されたとして扱われてしまいます。つまり、第三者が勝手に発行したSSL証明書が有効な証明書として判定されてしまうのです。

これは結構大きな穴だと思います。7/15にiOS 4.3.4が出て、すぐに今回のアップデートが出たことを考えると、Appleもこの問題の危険性を認識しているのでしょうね。

アームカバーを買った（男なのに）

2011-07-16T00:00:00.001+09:00

この季節にMTBで山を走っていると、トレイルに繁茂した草木に腕が当たってしまって傷だらけになってしまう事が多々あります。傷自体は大きくても3センチ程度ですが、後からミミズ腫れのようになったり、かぶれた状態になってしまったりして結構困ります。また、ついつい枝を避けようとして片手運転したり、避けようとしたりして危険度もアップします。

昨年までは薮対策としてマウンテンパーカーや長袖を着たりしていましたが、夏の下山での装備は暑さ的に苦しいものがありました。今年は長袖のサイクルジャージを導入することも考えたのですが、私の場合は山の上までは舗装路を使ったアプローチをする事が多く、登りの辛いときに無意味な長袖を着たら辛さが倍増しそうな気もします。

色々悩んだ挙げ句、今年はアームカバーを使う事に決めました。そうです。町中でママチャリに乗ったオバさんが着ているアレです。
さすがにオバちゃんが装備しているアームカバーは山での汗の量に対応できないと思うので、ワコールのスポーツタイツのブランドであるCW-Xのアームカバーを購入しました。二の腕の周長が29cm（も）あったので、サイズはMです。

購入する際にSKINSやCW-Xのコンプレッション系のアームカバーも迷いましたが、MTBは腕をそこまで使わないので、コンプレッションの有無は関係ないと判断し、コンプレッションの無いモデルを買いました。

早速装備してみましたが、腕の締め付け感やズレる感じも全くありませんでした。あと、意外な副作用がある事にも気付きました。アームカバーを着けると、なんだかスースーする感じがして涼しいです。もしかすると、舗装路の登りの時もコレを装備して行った方が快適になるかもしれません。

連休は1回は山に行く予定なので、そのときに試してみたいと思います。浅間尾根か金比羅尾根（2本）か湯久保->浅間のミックスに行く予定です。晴れるといいな。

PKI day 2011は9月に開催するんだそうな

2011-07-14T00:00:00.000+09:00

ここ数年はPKI Dayは今頃の時期に開催することが多かったのですが、今年は9月26日（月）に開催するそうです。開催場所も変わり、トスラブ山王（山王健保会館）になるそうです。

トスラブ山王は会社の健康診断でお世話になったりしています。建物の感じからすると、会場はあまり広くはなさそうな感じなので、参加人数が制限されてしまうかもしれませんね。

オフィスで熱中症になった件

2011-06-30T22:06:00.003+09:00

先日、会社で節電のために冷房を入れないで頑張っていたら熱中症になりました。症状としては以下のような感じでした。

頭が痛い。
強烈な睡魔に襲われた感じがして頭が働かない
突然意識が無くなる
顔が赤くなる

過去にも熱中症になったことは何度かあり、そのときの症状に酷似していたので、すぐに水を飲んで冷房を入れました。しばらくすると動けるようになったので、その日は代休を使って午後から帰りました。正直、意識が飛んだのにはビビりました。

何でこんなことになったのかというと、節電の為に空調の設定温度を高め（29度）にしていたことと、私の席の空気の対流が悪かったたこと、そして、熱源が多いことです。私の席は胸ぐらいの高さのパーティションに囲まれていて、PCが3台（タワーが2台、ノートが1台）と液晶モニターが3台（マルチモニター構成）稼働しています。空調の風も来ないし、発熱も十分です。

節電も重要かもしれませんが、健康を削ってまでやる必要は無いと思います。節電もほどほどにするのがよいのでしょうね。

ソニーがAESに対応したFeliCaをチップを発表

2011-06-13T00:01:00.003+09:00

ソニーがAESに対応したFeliCaチップを発表しました。サヨナラ3DES。以下、日経BPの記事より引用です。

ソニーは2011年6月10日、暗号方式としてAESを採用し、メモリ・サイズを6Kバイトに拡張した次世代FeliCa用のICを開発したと発表した。現行品は暗号方式がトリプルDES、メモリ・サイズが4Kバイトだった。2011年冬にサンプル・チップの出荷を開始し、2012年春から量産出荷する予定。

暗号の業界で良く言われる言葉に、「弱い暗号を使うならば、暗合化しない方がよい」というものがあります。これは、暗号化したことによって、セキュリティが高くなったと思い込み、逆に秘密データの管理を疎かにしてしまうことを意味しています。

で、「そろそろヤバそうな暗号アルゴリズムを使うの止めようよ」というのが、俗にいう暗号2010年問題です（2010年は過ぎちゃったけど）。今回FeliCaが採用するAESは2010年問題の言い出しっぺのNISTが推奨する共通鍵暗号アルゴリズムに含まれています。今後はFeliCa以外の暗号アプリケーションも徐々にAESに移行して行くのでしょうね。

タイヤの空気圧のメモ

2011-06-11T19:00:00.000+09:00

過去3回のトレイルライド時のタイヤの空気圧をメモを兼ねて公開しておきます。タイヤはフロント、リア共にNevegal 2.35 DTCで、推奨空気圧の下限は200KPaとなっています。また、チューブはフロントがパナのスタンダードチューブで、リアがシュワルベのMTB用チューブです。

湯久保尾根

このときはリアにシュワルベのチューブを使用して、初めてのトレイルライドでしたので、パンクを防ぐためにリアの空気圧を高めに設定しました。トレイルコンディションが少し緩かったので、リアが250KPaでは少しグリップが足りない感じがしました。フロントタイヤには特に問題はありませんでした。

フロント：230 KPa
リア：250KPa

金比羅尾根

金比羅尾根は木の根が多いトレイルですので、リアタイヤの空気圧は低めに設定しました。パンクのリスクも高まりますが、シュワルベのチューブのテストを兼ねて低めに設定しました。

なお、セッティングは完全にマッチして、下りについては今までで一番の設定だったと思います。しかし、登りについてはコギが重くて辛かったです。

フロント：220 KPa
リア：230KPa

浅間尾根でのライド

浅間尾根では、始めは250KPaで乗りましたがリアが暴れ気味でしたので、230KPaに変更しました。漕ぎは重かったですが、かなり良いダウンヒルを味わう事ができました。

フロント：220 KPa
リア：250KPa -> 230KPa

まとめ

3回の山行を考えると、フロント220KPa、リア230KPa辺りに落ち着きそうです。フロントの空気圧はフロントサスペンションとのマッチングもあるので220KPaを基本にし、リアについては、230KPaを基本としてトレイルの状況に応じて変化させる感じが良さそうです。トレイルのコンディションがゆるい場合は、リアを210KPa程度まで落としても良さそうな気がします。

警察庁発表平成22年中における山岳遭難の概況

2011-06-11T01:25:00.003+09:00

警視庁が「平成22年中における山岳遭難の概況」（PDFです）を発表していました。以下、当該文書から遭難件数を抜粋です。

発生件数１，９４２件（前年対比＋２６６件）
遭難者数２，３９６人（前年対比＋３１１人）
うち死者・行方不明者　２９４人（前年対比－２３人）
負傷者８３２人（前年対比＋１６２人）
無事救助１，２７０人（前年対比＋１７２人）

年間300人程度が山で命を落としています。梅雨明け後は山に入るのが増えるので、気を引き締めておきたいと思います。

OAKLEY JOWBONEレビュー

2011-05-22T00:00:00.000+09:00

先日購入したOAKLEY JOWBONEを装備して、MTBに乗ってきました。時間がなかったので、登りが楽な金毘羅尾根です。

当日のお天気とトレイルの状態

当日の天気は、完全に晴れ。御嶽山には、ケーブルカーの滝本駅の下から舗装路で登ります。当日は喘息の発作が出たので、半分は押し上げて半分は乗りました。だいたい１時間くらいの登りです。

金毘羅尾根は東京都の花粉対策事業のために、ところどころバッサリと森が切り開かれていました。もう初夏ですので木々の葉は覆い茂っていて、伐採されて明るい場所と木々のせいで暗い場所のメリハリがあり、アイウェアのテストにはちょうどよかったと思います。

私が買ったJOWBONEには、Black IridiumとHigh Density Yellowの2つのレンズが付属します。明るい所ではBlack Indiumを使い、暗い所ではHigh Density Yellowを使うと便利です。舗装路の登りではBlack Iridium、トレイルでは暗い所と明るい所を高速で移動しますので、High Density Yellowを使うと丁度良いと思います。

JOWBONEのレンズの評価
御嶽山の上の頂上に行くまでは、Black Iridiumのレンズを使いました。このレンズは、可視光透過率が10%程度ですので、市販されている普通のサングラスと同じくらいの暗さになります。山の上までは北側の斜面を押し上げで歩きましたが、木々が多い茂っている部分では地面の凹凸が見にくくて苦労しました。明るい場所ならば、問題ありませんでしたので、夏の開けたところでは重宝しそうな感じです。

山の上からの下りでは、High Density Yellowのレンズを使いました。こちらは、可視光透過率が90%程度です。イエローのレンズは、青い光をカットしますので視界がシャープになります。イエローは通常は夕方から夜間に（とくに夕方が使い勝手がいいです）使いますが、トレイルの明るさでしたら特に見づらいといったことはありませんでした。また、高速で明るい所から暗い所に移動した際もすぐに目が追従できましたので、特に不具合は感じませんでした。

両方のレンズに共通する事ですが、視界についてはすごく良好です。MTBではスキーで使うようなゴーグルを使う場合もありますが、ゴーグルタイプは枠が大きいので、視界が狭くなってしまったりします。JOWBONEの場合はフレームが顔に密着している事もあり、ゴーグルよりも視界が広く顔が下に向きがちな乗車中でも良好な情報視界が得られました。また、レンズによる歪みや頭痛は全く起こりませんでした。今まではサングラスを代えるたびに頭痛や肩こりがありましたが、今回は皆無でした。

JOWBONEの気に入らない所

今回は気温が高かったので水を2リッター程度持って行き、山にいる間に全て飲み干してしまいました。その分、大量の汗をかいたのですが、レンズに開いたベンチレーションホールのおかげでレンズが曇る事はありませんでした。しかし、問題が1点。汗がアイウェアの稼働部にしみ込んで、乾燥して「塩」が発生し、動かす度に「ギギギギギィー」っと音を発生するようになりましたorz...対策として、水で洗った後に稼働部にシリコンスプレーをかけておきました。シリコンスプレーは耐水性が低いので、そのうち、シリコングリスに切り替える予定です。
もうひとつ気になるのが密着性です。そものもJOWBONEは自転車競技での用途を重視して開発されました。このため、風の巻き込みを最小限にするために顔への密着性を高めフレームを太くしています。フレームが太い分ノーズパッドと「つる」の部分以外が肌に振れる箇所が多く、汗が溜まりがちになります。逆に密着感を減らしたい場合はアジアンフィットのノーズパッドを使うといいのですが、今度は風の巻き込みが気になってしまいます。私の場合は、密着性を失わずに少しだけ通気性を確保したいので、少しフレームを削ろうと考えています。

偽装請負と偽装委任

2011-05-09T22:30:00.002+09:00

今回はちょっと固い話です。以前、PM関連（を含む）の仕事をしたときに労働関連の法律について勉強しました。このとき、「委任契約だろうが請負契約だろうが、客先に常駐している作業担当者が顧客から直接指示を受けてはいけない」というものがありました。当時は、単純にそういうモノだと思って深く追求はしませんでしたが、IT Proの記事に分かりやすい説明がありましたので引用して紹介します。

引用元：偽装「請負」の請負には「委任」も含まれる

最初に触れたように，「偽装請負」に「委任」は含まれないのではないか，という疑問はもっともなのですが，結論的には厚生労働省の「労働者派遣事業と請負により行われる事業との区分に関する基準」にいう「請負」には「委任（委託）」も含まれます。

業務委任契約で客先に常駐するSEについても，この区分基準に基づいて事業の独立性が求められ，独立性がなければ偽装請負（偽装委任？）であるということになります。従って，この連載の2回目，3回目で説明したことは，委任契約という形を取ったとしてもそのまま妥当します。委任契約であっても，偽装請負にならないためには独立性を確保する，あるいは実態に合わせて派遣法上の派遣として扱う等の対応が必要なのです。

つまり、民法では請負契約と委任契約は別々の概念ですが、労働者派遣法や職業安定法上の「請負」には民法の「委任」が含まれると言う事らしいです。つまり、請負契約だろうが委任契約だろうが関係ないということですね。

そこで、疑問に思ったのですが、請負（もしくは委任）作業場所に作業者が1名しかいない場合は、作業者が管理責任者を兼任することができるかどうかという事です。本来ならば、顧客 -> 管理責任者 -> 作業者と言う指示パスが存在するはずですが、作業者が管理責任者を兼任する場合は、「人」という単位に着目すると、顧客 -> 作業者という指示パスが存在する事になり、微妙にグレーゾーンになりそうです。

実際に軽くググって見ると、厚生労働省より「労働者派遣事業と請負により行われる事業との区分に. 関する基準」 37号告示)に関する疑義応答集」（PDFです）というFAQが公開されており、質問4にその答えが出ていました。以下に引用します。

Q:
請負事業主の管理責任者が作業者を兼任する場合、管理責任者が不在になる場合も発生しますが、請負業務として問題がありますか。

A:
請負事業主の管理責任者は、請負事業主に代わって、請負作業場での作業の遂行に関する指示、請負労働者の管理、発注者との注文に関する交渉等の権限を有しているものですが、仮に作業者を兼任して、通常は作業をしていたとしても、これらの責任も果たせるのであれば、特に問題はありません。
また、管理責任者が休暇等で不在にすることがある場合には、代理の者を選任しておき、管理責任者の代わりに権限を行使できるようにしておけば、特に問題はありません。
ただし、管理責任者が作業者を兼任しているために、当該作業の都合で、事実上は請負労働者の管理等ができないのであれば、管理責任者とはいえず、偽装請負と判断されることになります。
さらに、請負作業場に、作業者が1 人しかいない場合で当該作業者が管理責任者を兼任している場合、実態的には発注者から管理責任者への注文が、発注者から請負労働者への指揮命令となることから、偽装請負と判断されることになります。

ということで、一人で客先に常駐する場合は管理責任者を兼任すると、偽装請負として扱われてしまうことになります。請負契約で客先で仕事をする場合は、最低、2名は必要になるということですね。

実際に現場で働くSE達はあまりこういった教育を受けていないような気がします。もちろん私も受けていませんでした。労働関連の法規は結構難しいですが、指揮命令に関する事はPMだけではなく末端のSEにもリテラシーとして教育しておく必要があると思いました。

OAKLEY JOWBONE（アイウェア）を購入

2011-05-08T20:10:00.005+09:00

先日の湯久保尾根のクラッシュの際に紛失してしまったので、新しいサングラス（世間ではアイウェアと言うらしいですね）を買いました。買ったのはOAKLEY JOWBONEです。

アイウェアに求められる機能
MTBで使うアイウェアには、街や海で使用するサングラスとは異なった条件が求められると思います。特に重視されるのが「目を保護する機能」と「暗い所でも見える」機能です。

MTBでは走行中に顔に枝や葉が（ガンガン）当たりますので、目の保護機能は最も重要な要素です。また、転倒した際にハンドルや地面に顔面を強打することもありまので、何よりも防護性能が重視されます。

目の保護機能と同じくらい重要なのが、「暗い所でも見える機能」です。意外かもしれませんが、MTBで走るような山は木が多いため薄暗い事が多いです。特に夏は木の葉が生い茂りますので、トレイルは冬よりも夏の方が薄暗くなります。このため、通常のサングラスを使用してしまうと暗すぎて地面が見えずに危険です。今まではトレイルの環境の変化に合わせて、サングラスを取ったり外したりしていましたが、その都度、停車するのが面倒でした。

OAKLEY JOWBONEを使ってみて
JOWBONEには、アジアン（Asian）フィットのノーズパッドとインターナショナルのノーズパッドが付属します。私の場合はAsianフィットのノーズパッドだと、鼻と眉間の辺りに空間が出来てしまい風の巻き込みが酷いため、インターナショナルのノーズパッドを使用しています。この状態だと風の巻き込みはほとんどありませんので、目が乾燥せずにとても快適です。

ただし、ベンチレーションホールからは多少風が入るため、完全に風が入らないと言うわけではありません。画像でも分かると思いますが、ベンチレーションホールは視界の外周ギリギリに位置しているため、実際の視野にはほとんど影響を及ぼしません。気になる人はダメかもしれませんが、私は問題は無いレベルだと感じています。

とりあえず、初めて使用した感じはこんなところです。実際にトレイルでの使用感については、そのうちレポートします。

湯久保尾根は（登りが）キツかった

2011-05-03T18:25:00.005+09:00

MTB野郎の間では90%以上の乗車率を誇ると噂される湯久保尾根に行って来ました。噂通りの乗車率でしたが、なんだかノリが悪い日だったので、グダグダした山行になってしまいました。

御前山までの登り
今回は奥多摩駅まで輪行し、奥多摩都民の森（体験の森）を経由して御前山下の遭難小屋を目指しました。大ダワ経由も考えましたが、以前に鋸山林道が通行止めとの話も聞いていたので、奥多摩都民の森経由にしました。

当日は奥多摩駅を9:30に出発しました。御前山までの道のりは前半が斜度10%程度の舗装路のため、奥多摩周遊道路を走れるくらいの体力のある人ならば乗って行けると思います。行程の半分を過ぎると、舗装路は登山道に変わります。ここからは、1時間チョイの押し＆担ぎになります。路面は良く整備されており、根っこが多い場所等は迂回路が作られていているのですが、結構な劇坂なのとMTBが邪魔な所為もあって相当に難儀しました。ガンガン押して、ガンガン担いで、御前山下の遭難小屋にたどり着いたのは11:30でした。遭難小屋で食事をしてから出発しました。

湯久保尾根の下り
湯久保尾根に入る前にトラバース気味の道を下ります。ここは木の根が多くてマトモに乗れる感じではありませんでした。しばらくすると尾根道に出ますので、そこからは割と急なシングルトラックになります。他のトレイルと比べるとハイスピードな感じもありますが、滑落の危険性も少ないので上手い人ならば楽しめると思います。また、トレイルにはスイッチバックが多いため、それなりに乗り馴れた人でないと辛いと思います。私も後半のガレ場のスイッチバックはすごく苦労しました。

肝心の乗車率ですが、たしかに90%程度の乗車率でした。押した所は岩場で危険な箇所だけで、それ以外はほとんど乗って行けると思います。トレイル全体の雰囲気としては、金比羅尾根を急にしたような感じだと思います。また、根っこが多いのでAM系フルサスとかだと気持ちよく乗れると思います。なお、下山したのは14:30でした。1時間半の下りでした。

クラッシュしてのたうち回る
今回は2回クラッシュしました。1回目はバンクの着いたカーブを走行中にバンクから突き出た根にフロントを取られてコケました。コケた所に石があり、膝を強打しましたが、SixSixOneのニーガードのおかげで無事でした。今まではd3oのダライランシー特性を感じる事はありませんでしたが、今回ははっきりと感じる事ができました。「あんなに薄い素材なのに全然痛くない。不思議だな。」って感じです。ニーガードが無かったら確実に痣は出来ていたでしょう。

2回目のクラッシュは、結構な速度が出ているストレートで、木から下がっていた「つる」にハンドルを取られてコケました。久しぶりの大クラッシュでしばらく動けませんでした。体には擦り傷しかありませんでしたが、ウェア類が大破しました。

サングラスが行方不明
「つる」との摩擦でグローブに穴が開いた
レインウェア兼、防寒着に穴が開いた
ヘルメットが凹んだ

こうやって見ると、本来体へ来るはずのダメージが防具関連が壊れる事によって吸収されているのが分かります。防具はケチっちゃいけないなと実感しました。

SixSixOne Evo Lite XC Kneeを買いました

2011-05-01T12:00:00.002+09:00

日本語には突然の出会いという言葉があります。出会いと聞くと運命的な感じがして美しく聞こえるかもしれませんが、その言葉が意味することは、物欲にまみれた現代人にとっては、いわゆる衝動買いと同義であるとも言え、また、それを正当化するための飾り言葉でもあります。

今回のブツは
今回の愛すべき衝動買いは、SixSixOne Evo Lite XC Knee（ニーガード）です。Bike Shop玄武さんで試着してから90秒でお買い上げでした。今回は（も？）店長のセールストークにやられたような気がしなくもありませんが、結果的に大満足ですのでまぁいいでしょう。しかし、店長が強くプッシュする商品にはハズレが無いですね。
SixSixOneの製品のうち、製品名に「Evo」と着いているのは、昨年にテレビで放送されて有名になったダライランシー特性を持つ素材を使った製品です。ダライランシー特性というのは、普段はゴムのように柔軟な素材が、衝撃を受けると一瞬で固くなる特性です。このような素材は以前から存在していたようですが、d3o社が積極的に売り始めてから爆発的に増えたような気がします。もちろん、Evo Lite XC Kneeにもd3oの製品（もしくはパテントを使って製造された製品）が使われています。

実はEvo Lite XC Kneeを買う前にPOCのJoint VPD Kneeを試着した事があるのですが、こちらはフリーライド向けの製品と言う事もあって、動き易さはEvo Lite XC Kneeに劣るように感じました。日本のトレイルは登り返しが多いため必然的にペダルを漕ぐシーンが多くなります。Joint VPD Kneeでは膝が動きにくく、トレイル用途にはちょっと辛い感じがしました。また、Joint VPD Kneeは形状が筒状ですので、帯状に巻き付けるEvo Lite XC Kneeと違ってフィット感の調整ができない点が不満でした。

実際に使って（コケて）みて
Evo Lite XC Kneeを装着した状態で2回ほど山で乗ってみました。漕ぎやすさについては、プロテクターを着けているのを忘れるほどではありませんが、十分軽い感じがしました。ジーンズで乗っているときよりも膝の上げ下げに対する抵抗感は少なく感じました。また、フィット感は上下で3本のベルクロで調節できますので、圧迫感やズレ落ちてくる感じは全くありませんでした。

肝心の防御性能は、一度だけ軽くコケましたがはっきりと実感できませんでした。相手は土と根っこでしたが、ハードシェルの製品と比べると明らかに防御能力は劣っているのは分かりました。ハードシェルの場合は表面で対象物を滑らせて衝撃を逸らす感じがしますが、ソフトシェルであるEvo Lite XC Kneeの場合は、衝撃を逸らすと言うより衝撃を受け止めると言った感じがしました。

このように書くと、プロテクターとして問題があるように思われますが、コケたときの足には特に異常はなく、しっかりと防御は行なっていたようです。この製品のキモとなるダライランシー特性については、利いているのだか利いていないのかは実感できませんでした。雰囲気としては、固めのゴムシート包んだ膝をぶつけた感じに近かったです。

最後に
MTBは不思議なもので、恐怖で体が緊張しているときは車体は安定性を失い易くなります。里山トレイルなんぞにプロテクターは必要ないと思う人も多いと思いますが、この手のソフトシェルタイプを着けているだけで心理的に恐怖心が減り、リラックスして乗れるようになると思います。怪我の発生を予防すると言う点から見ても、動き易さを重視したニーガードは日本のトレイルにはマッチしていると感じました。

4/29 檜原都民の森->浅間尾根

2011-04-29T22:42:00.004+09:00

今日（4/29)は久しぶりにトレイルでMTBに乗って来ました。本日のコースは浅間尾根です。（カメラが壊れたので、写真は無しです）

このコースはアップダウンが少なく、危険な箇所もほとんどないため初心者にはオススメですが、檜原側から自走する場合はスタート地点の浅間尾根駐車場に登るまでに、斜度10%（標識に出ている斜度）の坂を25kmほど走らなければならないので、体力面の自信が無い人にはオススメできません。自走でない場合は、檜原都民の森までバス輪行で行くか直接浅間尾根駐車場への車でデポするのがオススメです。

トレイルは、数馬までの前半、浅間嶺の中盤、その後の後半に大きく分ける事ができます。前半は根っこが多いダウンヒルで若干道が荒れているので滑落に注意する必要がありますが、危ない所は真新しい材木で補強されていたので、速度を出さなければ問題無いと思います。中盤は道幅も広く緩やかなダウンヒルが堪能でき、初心者でも安心して乗れると思います。後半は、完全にガレ場になりますので、自信の無い人は降りて押した方が無難です。ガレ場はパンクしやすいですし、接地感に乏しくてバイクが制御不能になりがちです。岩場でコケると怪我する可能性が大きいので、危ない箇所は無理せず降りて押した方が良いと思います。

今日のコースタイムはこんな感じです。今日は連休なので登山客が多く、バイクを押している時間も長かったので、普段ならばもう30分くらいは短縮できる思います。

武蔵五日市駅　8:30
都民の森（食事＆休憩）　11:00
浅間尾根駐車場 11:30
檜原村役場 14:30

年が明けてから今日を合わせて3回しか山に行けていません。正直、春シーズンが仕事や地震で全滅したのが痛かったです。連休はもう2、3回は山に行くつもりですが、天候もあるのでそこまでは行けないと思います。年間20回は山に行きたいと思いますが、この出遅れは痛いです。

プロジェクト炎上、復活、そして10連休へ...

2011-04-28T18:59:00.005+09:00

ブログ放置しすぎてすんません。3月は案件が炎上＆大震災で完全に疲れ切ってました。4月も反動で低調な感じで、やっと連休前になって落ち着いてきたところです。このゴールデンウィークで遊びまくって気分をリフレッシュしたいところですね。

私は、ここしばらくは公開鍵認証局（CA）のCA鍵更新案件に付きっきりでした。CA鍵の更新はどんなCA製品でも大して難しくはありませんが、下手にCA鍵を更新を実行してしまうと、証明書の利用者が証明書を検証できなくなったりして、たいへんなことになってしまいます。今回はユーザーが数万単位と多く、ミスがユーザーの業務継続性に直結するので、より精度の高い仕事が求められていました。

そんな理由もあって、今回は模擬環境を使って更新手順を作成し、十分に検証してから本番で作業をしましたが、既存のドキュメントをベースにした検証用の環境と実際に稼働している本番環境に差が生じてしまい、本番の作業時に様々なトラブルが発生してしまいました。詳細は書く事はでいませんが、初期構築時のドキュメントの記述ミスが数年後になって発覚したことになります。

CAは通常のシステムに比べて運用期間が長くなる傾向があります。特にCA鍵更新等のオペレーションは数年に1度しか行ないません。このため、今回のように初期構築時の不手際が実際に表面化するのが、数年後になるというはありがちなパターンです。初期導入時のドキュメントの作成や、その後のドキュメントのメンテナンスは往々にして軽視しがちではありますが、CAのように長期に渡って運用するシステムについては、多少コストがかかったとしてもしっかりと行なっておく必要があると思います。

また、初期構築時にCA鍵更新や危殆化への対応などの、運用中に発生するイベントを見越してシステムの設計/構築を行なう必要もあると思います。事前に設計しろって言われてもPKIなんぞよくわからん！って人は、RFC 3647が参考になると思います。RFC 3647は証明書ポリシー/認証局運用既定 (CP/CPS) の雛形を提供しています。CP/CPSはCAが発行する証明書の種類や運用方針を記述する文書です。この文書はパブリックなCA（GPKIやSSL証明書販売ベンダーなど）は、インターネットで公開するのが普通です。例えば、SSL証明書の販売で有名なベリサインのCP/CPSはこちらで公開されています。

社内だけで使用するプライベートなCAならば、厳密なCP/CPSの作成は必要ないとは思いますが、CAの設計の際に何を考慮するかわからない場合には、参考になると思います。

Camelbakの新しいリザーバーがいい感じな件

2011-02-01T00:00:00.002+09:00

MTB乗りにとっては、もはや常識的な装備となって来たハイドレーションパック。その大御所のキャメルバックから新型のリザーバーが出ていた。あぁ、物欲がうずく...

Camelbak Antidote Reservoir 100 oz (3L)

今はOmega Reservoir 100 oz (3L) を使っているが、3L近く水を入れると筒状に膨らんでしまうため、バックパック内での収まりが悪く、背中へのフィット感も最悪だった。で、新作のAntidoteではパックの中央に壁を作って、筒状になるのを防いでいる訳だ。でも、その仕切りのせいで、Platypusみたいにひっくり返して洗う事はできない点は残念なところ。もう一つのポイントとして、AntidoteはQuickLinikとHydroLockも標準で付いてくるようだ。今までは両方ともオプションだったから（価格が上がらなければ）嬉しいな。

ハイドレーションパックは通年で結構な頻度で使うから、ちょっとでも機能がよい方が満足感が高い。今年はバックパックを新調するつもりだから、そのときに併せて買ってしまおうかな。

2010年のまとめのまとめ

2010-12-28T00:39:00.005+09:00

もうすぐ正月だ。来年を気持ちよく迎えるために、今年一年をさらっと振り返ってみますかね。

新バイクの導入
まずは、プライベートから。今年1年の一番のイベントは、新バイクの入手だな。これのせいでライフスタイルが思いっきり変化した。シングルスピードいいけど、やっぱマルチはいいね。

バイクは8月に納品だった。その後、12月末までに8回くらいは山に行った。9〜10月中までは資格の受験対策（ちなみに、合格した）のせいで乗れなかったので、4ヶ月で8回くらいか。駄目だね。全然乗り足りないね。自転車成分が足りなくて脚気になりそう...

反省点は怪我。切り傷と打ち身は数知れず・・・

脛を強打してアザで足が真っ青になる
股間を強打して顔が真っ青になる
前転して頭部を打ってヘルメットが凹む
谷にバイクを落としそうになって自分が落ちて切り傷
日焼けしすぎて皮膚科に行く

あと、前半は機材の故障も多かったな。ということで、来年は少し大人しく乗ります。でもって乗る回数を増やします。


それ以外は？
次に仕事面。前半はCA(公開鍵認証局）の移行作業だった。はじめてRSA製品 + nCipherのHSMの構成を使ったけど、自分でも満足する品質の仕事ができたと思う。慣れない営業仕事もやったから、そっちの方で精神的な負担が大きかったけど、技術面では問題はなかった。自分の適性を実感できた前半でした。

後半も同じような認証局(AD DSとかAD CSとかnCipher HSMとか）の移行作業だったけど、こちらはトラブル続きでした。上司との連携が最悪で思うように仕事が進まなく、「コレが噂の『ピーターの法則』ってやつか！はじめて見たぜ。」とか思ってました。こういう典型的な苦労も自分が人を使う立場になったときに役に立つんだろうと思うと微笑ましい限り。

ということで、来年は仕事のストレスを許容できる範囲で適当に頑張ります。もちろん溜まったストレスは山に捨ててきます。捨てる量がクソ多いので山に行く回数も自然と増えますが、捨てられる分だけマシです。でも捨てられなくなったらどうすっかなぁ。山に籠るか。


2010年、他にもいろいろあったけど、
本当は暗号2010年問題でモメた話とか、i386アセンブラでプチOSを作る話とか、女性に間違われてナンパされた話とかもあるんだけど、たぶん年内の更新は（面倒なので）コレでおしまい。皆様、よいお年を。

RSA Confarence 2010に行きたい！（たぶん無理）

2010-09-01T23:10:00.001+09:00

今年も、RSA Confarenceの次期になった。昨年はNETWORK INTEROPと同時開催だったため、会場の隅の方でひっそりとやっていて、RSA社（とPKI業界）の将来に不安を抱いたもんだが、今年はグランドプリンスホテル赤坂で開催するそうな。

どうせ行けないけど、気になるセッションは...

CR-001　ブロック暗号・軽量暗号の最新動向
CR-002　量子暗号の現状と展望～セキュアフォトニックネットワークの実現に向けて～
WH-004　高信頼・高安全ソフトウェアのための数理的検証手法：最新の研究と応用の現状
CR-003　ハッシュ関数の現状と今後の動向
CR-004　クラウド時代の新しい暗号技術～関数型暗号～
CR-005　素因数分解実装実験の最新状況報告

実は、暗号よりも「WH-004　高信頼・高安全ソフトウェアのための数理的検証手法」のセッションに興味がある。私は学生のころ（ずいぶん前だが...）、Fomal Velification Methodのうち、並行モデルのモデルチェックの研究をしていた。当時は論理回路のチェックがCADに実装されたころで、ソフトウェアのチェックは組み込み用途などの非常に限定された分野にしか適用できず、しかも大して役に立たなかったのだ。

並行モデルにおける組み合わせ状態の爆発的な増加の問題が解決されたのか、ブレイクスルーが起こって全数探索以外の動向が出てきたのか。そこら辺が気になるところ。

まぁ、今のスケジュールでは参加できないだろうがね... USTREAMで中継してくれないかなあ。5000円で全セッションが見れるとかだと、すごい助かるんだけど。

金比羅尾根でサスのセッティング（サグ編）

2010-08-29T14:36:00.003+09:00

金比羅尾根で新車のサスの設定出しをしてきた。サスペンションは奥が深い。調整までにはしばらくかかりそうだ。

トレイルコンディション
気温32度C。路面はドライコンディション。いつも所々にある泥濘も乾いてしまっていて、完全なドライコンディションだった。こんなのは初めてかもしれない。完璧なコンディションだった。

FOX 32 TALAS 150 15QR RLCの調整
今使っているサスには以下の4つのパラメータの設定ができる。

ばねレートの調整（ばね定数の調整）
リバウンド調整（ポート特性の調整）
ロースピード・コンプレッション調整（オフィリス特性の調整）
ロックアウトの解除力の調整

自転車のサスの調整で厄介なのが、上記の設定とは別にタイヤの空気圧があること。タイヤの空気圧を下げれば、グリップ力が上がり乗り味はマイルドになる。空気圧を上げれば、グリップ力は落ち、乗り味は固くなる。サスペンションの調整をする前にタイヤの空気圧の調整が出来ているとサスの設定が出やすい。今回は、タイヤ(KENDA Nevegal DTC 2.3)の空気圧は、前後とも250psiに設定した。

ばねレートの調整（サグの設定）
サスの設定で一番重要なのはサグの設定だと思う。サグを設定するには、バイクに乗って安静にした状態でどれくらいサスペンションが沈み込むかどうかを確認して行なう。FOXのサスの場合は、体重に対するばね定数の表がマニュアルに記載されている。私の体重は体重70kgなので、標準は60psiとなっているが、購入初期のサスペンションの慣らしを行なうため、55psiを指定した。この状態でのザグ量は40mmだった。適正値は、38mmだったので、まぁOKでだろう。

サグを出すときの注意点
簡単にセッティング時の注意点をメモしておく。

リバウンド特性は最も弱い設定とする事。
ロースピード・コンプレッションは最も弱い特性とする事。
サグ出しで乗った後に軽く前後に車体を動かした方がいい。ロースピード・コンプレッションが最弱でも、サスが動かない事があるため。
座った状態で行なう。スタンディング状態では前輪に加重がかかりすぎる。
作業はライダーと補助者の2名で行なうとやりやすい。補助者は前輪とハンドルを支えて、バイクが静止状態で倒れるのを防止する。

Chromag Stylusのシェイクダウン！！

2010-08-02T22:00:00.006+09:00

待ちに待った新バイクが納品。フレームはChromag Stylus。パーツはSLXとSAINTベース。今年の夏はコイツでガッツリ乗ります。BIKE Shop 玄武さん、ありがとうございます。
写真で見ると、少し小さめのフレームに見えるかもしれないが、コレでもトップチューブ（水平換算）は22inchもあったりする。ハードテイルなので、本気で攻める時は、サドルをググっと下げられるのがポイント。

そして金比羅尾根へ
セッティングも兼ねて、定番コースの金比羅尾根へ。気温35度。下山（したやま）では風がほとんど吹かないので、猛烈に暑い。あまりの汗の量で速乾シャツの汗がズボンまで垂れてビチョビチョになってしまい、股間の辺りに微妙な汗染みを作るくらい暑い。4時間の行程で、水は2.5リットルを消費した。すげーペースだわ。

トレイルは、前日の雨のおかげで、ミディアムコンディション。木の根や岩場が濡れていて慎重なライン取りが要求された。正直、コレ系のバイクのシェイクダウンには、あまり適していないコンディションだった。

新車のレビュー
正直、差が分からない人なので、簡単にレビュー。

フレーム：Chromag Stylus S size
文句無し。多少固めのフレームだが、ガチガチに固い訳ではない。一応、クロモリのフレームだけど、クロモリらしい「しなり」はほとんど感じない。トレイルバイクとしては、いい味付けだと思う。
ブレーキ：Shimano SAINT BR-M810, BL-M810, SM-RT76
160mmのローターなのに死ぬ程利く。指1本でフロントが余裕でロックする。殺人ブレーキだわコレ。
フォーク：FOX 32 TALAS 150 15QR
150mmをメインに使用。良く動く。セッティングが出ていないけど、問題なし。ステムが35mmだから、前輪に加重が行かない分だけ、エア圧を若干低めにしておけばさらに快適になるだろう。
ホイール：HADLEY DH 15（前後とも）
とにかく剛性感がすごい。特にリアはコーナー時の安定性に影響していると思う。フロントも横剛性が高くて変な捩れがほとんど無かった。

正直、あまりにも「普通」に乗れてしまって、拍子抜けした感じがする。凄く快適でいつもより速度がガンガン出ているんだけど、それを感じさせない安心感がある。コーナーもニュートラルに曲がるし、ドロップもしっかりこなす。ラインもしっかりと取れるし、コントロールしやすいバイクだと思う。

特に、金比羅山を超えてからの半舗装路の高速スイッチバックでは、剛性感から来る余裕が感じられた。カーブでフロントやリアに捩れが発生しないので、曲がりたい方向にダイレクトに反応する。かと言って固い訳でもない。いつもより飛ばしても怖くない、そういった安心感があった。

今後の課題
今後の課題としては、初期の設定の甘さを改善する必要がある。まだまだ、機材のパフォーマンスが出ていない。ポイントとしては、

ドライ用タイヤのチョイス
先日買った、KENDA Excavator 2.1 DTCに入れ替え予定。
ステムの交換
登りが辛かったので、50mm程度のステムに変更した方が良いかも。しばらく様子を見て判断。
フロントサスのセッティング
ザグは適正値だが、中・低速の路面追従性に難があるような気がした。少しエア圧を下げた方がいいかも。
ライディングフォーム
前輪に十分加重をかけられるように、下り時のポジションを修正しないとダメ。

ということで、夏はバイクに慣れるので精一杯になりそう。あと3回くらい行かないとセッティングが出ないわ。

僕の夏休み＠金比羅尾根

2010-07-25T22:11:00.004+09:00

本日(7/24)もMTBで金比羅尾根へ。先日、タイヤをパンクさせて十分に乗れなかったので、リベンジという事で。

本日の機材
いつものSurly 1x1を投入。玄武さんから連絡があって、ニューバイクが完成したそうな。来週にシェイクダウン予定。えっへっへ。夏に間に合った！！これで、シングル・フルリジッドの生活ともオサラバできる！

今回は、先週のライドでタイヤのサイドウォールを切ってしまったので、新しいタイヤを投入。今回投入したタイヤはKENDA Excavator 2.1 DTC。フリーライド系のタイヤの中では、グリップ力よりも転がり抵抗を重視したモデルになる。タイヤのグリップ力は Nevegal DTC > Blue Groove DTC > Excavator DCTの順番だそうな。ブロックパターンはこんな感じ。かなりゴツい。
本日の金比羅尾根
金比羅尾根のコンディションは、ドライでもなくウェットでもない、完璧なコンディションだった。ハイカーも5人にしか合わなかったし。ただ、気温が高くて風もないので、汗がハンバじゃない。脱水症状にならないように大量に水を飲んだので、4時間で3リットルほど飲んでしまった（これが後々のトラブルを招くのだが…）

金比羅尾根では、先週に出会ったMTBerにまた遭遇した。つーか、別のパーティにも遭遇したし、面子が固定されてしまった感じだ。皆さんMTBが好きなんだなぁ。やっぱMTBっていいよね。

KENDA Excavatorのレビュー
KENDA small block eight 2.1 DTCと比較して、Excavatorは、

直線での漕ぎは圧倒的に重い。反面、ブレーキは圧倒的に利く。
カーブでのグリップ力十分信頼性がある。DTCの恩恵を感じやすい。
タイヤの実際の太さはsmall block eightと変わらない。

要するに漕ぎが重くて、ハイグリップだということ。特に、カーブでの安定性は圧倒的にExcavatorが上。それに、ブレーキが生み出した制動力を確実に地面に伝えている感じがする。small blockのときは、ブレーキをしたときにタイヤが逃げる感じがして、ブレーキに対してタイヤが負けている感じがした。正直、金比羅尾根程度のダウンヒルならば、オーバースペックかもしれない。

1点だけ注意。通常、タイヤにはオゾンや紫外線による、ゴムの劣化を防ぐためのワックス成分が含まれている。初めて使うタイヤは成分が表面に寄っているため、グリップ力が劣るそうだ。今回も、走り始めはあまりグリップしなかったが、しばらく乗っているうちにグリップ力が増えて来て、安心してブレーキを引く事ができるようになった。ちょっとビビったぞ。

さぁて。来週は新バイクのシェイクダウンだ。シェイクダウンは、金比羅尾根にするつもり。シングル・フルリジッドと比較してどうなるかが凄く楽しみだ。調子こいて怪我をしないようにしないと。

キャメルバッグのチューブの栓

2010-07-23T00:27:00.005+09:00

キャメルバッグのハイドレーションパックに付属する飲み口は、ちょっとした衝撃で水が漏れやすい。先日も電車の中で荷物を網棚に置いた拍子に漏れてしまい、頭から水を被ってしまった。そんなこんなで、何とかならないかなと思っていたら、先週山に行ったときに出会った人に、ハイドレーションパックの飲み口に栓をするオプションがあることを教わった。で、買ったのがコレ。
800円なり。安っぽいよなぁ。どう考えたって400円だろう。

タイヤが裂けてた

2010-07-21T22:37:00.006+09:00

先日のトレイルでのパンクで、タイヤのサイドウォールが1.5センチくらい裂けてしまっていた。シングルフルリジッドだから、そんなに飛ばしてるつもりはなかったんだけどな。つーか、パンク修理してるときに気づけよ、俺！
とりあえず、裏からタイヤチューブの切れ端でも貼付けて、街乗り用として使うつもり。山用には、KENDA Blue Groove 2.1 DTCでも入れるか。前後で12000円か。ハンドルバーを変えようと思ってたけど、来月に持ち越しかな。

そもそも、今期は機材の故障が多すぎる。クランク死亡、チェーンリングボルトの脱落が2回、フロントブレーキのゾンビ化、フリーホイール固着、サイドウォール切れ、パンクが4回。半年でこれだけの消耗かよ。なんだか泣けてくるわ。MTBってコストパフォーマンスが悪い趣味かも。まぁ、新しいパーツを買う言い訳になるから半分は嬉しいんだけどね。

梅雨明け？ライド＠金比羅尾根

2010-07-19T00:25:00.002+09:00

海の日の3連休。この時期に「国民の祝日」を割り当てた役人様は天才だと思う。なぜなら、7月の後半は、梅雨が終わり、小中学生は夏休みに入り、夏のボーナスの時期でもある。誰だって、これだけ条件がそろってしまえば遊ぶだろう。残念ながら、気象庁の発表によると、関東地方の梅雨は開けていないらしいが、天気予報を見ると、完全に晴れるようだったので、バイクに乗る事にした。行き先は、先日マッドコンディションで苦労した、金比羅尾根にした。

本日の機材
新しいバイクがまだ納品されないので、Surly 1x1を投入。金比羅尾根程度ならば、問題は無いだろうと判断。ギア比は2.0。登りは絶望的だが、登り返しは根性で何とかなるだろうと。さすがにフルリジッドにも慣れて来たので、丁寧に抜重をすれば、多少のギャップなら降りなくても全然問題イケる。

先日の高水山のライドで不調だったフロントのディスクブレーキだが、ディスクローターを掃除、パッドの掃除、ピストン掃除＆調整、フルード交換で、何とか普通に走れるくらいになって来た。多少の不安は残っていたが、とりあえず今の機材で行く事にした。

始発で武蔵五日市へ
朝の3時に起きて、自宅を出発。東京駅から4:37発の中央線快速 - 高尾行きに乗る。電車はもちろん座れたが…意外と徹夜で飲んでいた（らしい）人が沢山乗っていて、電車の中がゾンビだらけになっていた。立川で武蔵五日市行きに乗り換えて、武蔵五日市には6時過ぎに到着。そこから機材を準備して、7時前に行動を開始した。

日の出山下にて
いつものように、舗装路からのアプローチを仕掛ける。前半は登れるが、後半は完全に押しになる。ひたすらバイクを押して8時頃に日の出山下の分岐点に到着した。

分岐点では、後から登って来たMTBerと機材の話で盛り上がる。彼のバイクはEllsworthのフルサスとFOXのTALAS 140 RLが激シブのバイクだった。私のバイクは、シングルでフルリジッド…この格差は何よ…で、マッタリ話していたら、下からまた1台登って来たのは、MTB歴15年の超ベテランさんだった。しかも機材はVoodoo BIZANGOで95年モデルらしい。この頃のVoodooは丹下のプレステージを使って、日本国内で製造していたような…かなり羨ましいフレームだった。こういうバイクとのつきあい方もいいなと思った。

お楽しみの下り
トレイルコンディションは全く問題なし。所々ぬかるんでいる場所はあるが、泥を跳ね上げるほどではない。乗車率はシングルスピードでも90%近くになる。シングルじゃなければ100%乗れるだろう。

あまりにもコンディションが良かったので、快調に飛ばしていたら…リアタイヤから嫌な音が…パンクだった。リアの空気圧は少しだけ下げ目で2.0気圧程度にしておいた。うーん、やはり、リアのデッドラインは2.5気圧ぐらいかな。

で、早速修理に取りかかったが、その場ではどこから漏れているか分からなかったので、予備のチューブに交換する。今回は新しく、シュワルベのチューブを投入した。新しいチューブの直径は、パナレーサーのチューブと比べると、格段と小さい。おそらくパナレーサーのスタンダードチューブの半分程度だ。以前、聞いた話ではシュワルベのチューブは、ブチルゴムの含有量を増やしているからゴムの弾力性が高く、幅広いタイヤ幅に対応できると言う事だった。パッケージにも、幅1.75 - 2.3と書かれていたので、問題は無いと思うが、ちょっと心配。

結局、修理に20分を費やして、問題無く復帰。そこから20分程で金比羅公園に到着。この時点では、フロントブレーキには問題は無かったが、ここからの半舗装路の高速ダブルトラックでフロントブレーキが死んだ。勘弁してくれ、一番重要な場所なのに。やっぱシマノのメタルパッドはダメだなぁ。レジンだと問題ないのに。

川で洗濯
下山したら、タイヤの泥を落とすために、武蔵五日市の駅から南下して秋川の川辺へ。川の中へバイクを浸けて適当に泥を落とす。ついでに自分も川に入って天然の水風呂に入る。下山したときは、10時台だったので、しばらく河原で本を読んだり服を乾かしたりして、過ごした。川で泳いだのは小学生以来だと思う。一応、まだ泳げました。次回は絶対に海パンと水中眼鏡とサンダルを持ってこよう。

調子に乗って川で遊んでいたら、背中を真っ赤に日焼けした。日焼けでこんなに焼けたのは小学生以来かも。日焼け跡で炎症を起こしている部分って、日光が当たるだけでも痛いんだね。1日開けた今日になって症状が悪化して、ものすごく後悔した。そういえば、学生のときに日焼けのし過ぎで入院した後輩がいたような。さすがに水ぶくれにはなっていなから大丈夫だと思うが、少し心配。今週は風呂が辛そうだ…

名栗方面でトレイルライド（6/21）

2010-07-13T00:00:00.002+09:00

6/21。天気は微妙だったが、奥多摩まで山サイに行ってきた。本日のコースは、青梅線軍畑駅→湯基入→黒山→岩茸石山→高水山→軍畑。本当は軍畑→常福院→高水山の定番ルートにする予定が、欲張って遠回りしてみた。

今回の機材

今回もSurly 1x1を投入。ギア比は2.0。どうせ登りは担ぎになるだろうと開き直った。あぁ、早く新バイクが納品されんかのぅ。フルリジッド＆シングルは地獄ですよ。

写真は東京駅で輪行バッグに入れたMTB。重量は12, 3キロくらい。ちょっと歩くくらいなら全然問題ない重さだが、自動改札とエスカレーターは結構辛い。ちなみに、後ろに写っているのはバックパックとヘルメット。
いろいろと後悔しました
軍畑の駅から北へ。そこから、名栗方面まで舗装路のアップダウンが続く。林道の入り口は温泉宿の「大松閣」の裏から入って行く。この林道は、「なちゃぎり林道」と言って、オフロードバイク（モーターサイクルの方ね）では結構有名な道。林道に入るまでに、5台くらいKTMに抜かれた。エンジンつきはかなりうらやましいぞ！！

40分くらい登って、ここがトレイルの入り口。なんだか暗いし…道があるのか？やっぱ、この先の尾根道を使う方がいいかなと思ったが…登りました。
えー。後悔しました。とにかく急な登りなので、乗車率は0%。こうなるとバイクはクソ重い単なる荷物。ガスってるし、倒木も多いし、暗いし、道は荒れ放題だし。MTBを担いで登るのはオススメしない。やっとこさ権次入峠（ゴンジリ峠）に着くと既に昼過ぎだった。MTB担いで3時間。かなり後悔した。

権次入峠→黒山→岩茸石山

乗車率20%。シングルで来たせいもあるが、上り返しがキツいし、岩と木の根が多いのでライン取りがひじょうに難しい。道も枝や倒木が多く、ほとんど担ぎになってしまった。この時点で体力を消耗しきって水も底をついたので、写真はナシ。岩茸石山には、一歩登るごとに悪態をつきながら登る。つーか斜面急すぎ。10回くらいバイクを捨てようかと思ったぞ。

岩茸石山→高水山→軍畑

岩茸石山から高水山までは、乗車率80%の極上のダウンヒルが続く。ほとんど乗れたので、15分で高水山下の分岐に到着。この時点で15時をぎていたのでタイムアウト。高水山には登らずに常福院を経由して車道で帰ることを決断。せっかく4時間もバイクを担いだのに、舗装路で下るってのは寂しいのう。でも、山は日が落ちるのが早いのでしかたがない。ちなみに、常福院の前の坂で飛ばしていたら、木の根に引っかかってジャックナイフ（前転とも言う）をメイク。左足の脛と大切な所を強打してのたうち回った。

車道のダウンヒルは速度が出て気持ちいい。でも、フロントブレーキが調子悪くなって、地獄のダウンヒルに変わる。シマノのメタルパッドは、ブレーキダストが溜まってくると、全く利かなくなる。水をかけるとダストが落ちて効きが復活するというアホ仕様だったりする。もしかすると、BRAKINGのウェーブローターとシマノのメタルパッドの相性は悪いのかもしれない。

軍畑駅にて
軍畑の駅で自転車を収納してたら、フレンチカナディアンの集団に写真を取られまくった。輪行が珍しかったらしい。最初フランス語で話してたからビビったけど、英語も普通に通じたし、（かなり）ノリのいい人たちで良かった。アイスの一気食いして、トイレに行っていて、電車に乗り遅れてたりして、リアルでドリフのコントになってて吹き出しそうになった。

今回学んだ事

水は多めに持って行く方がいい。（今回は4リットルを消費した。途中で1回の補給。）
ちゃんと等高線を読んでルートを決めるべし。
フレンチカナディアンは美人が多くノリがいい。

今年もPKI Day 2010が開催されるぞ！

2010-06-18T00:33:00.004+09:00

6月29日に毎年恒例のJNSA主催のPKI Day 2010が開催される。申し込みはコチラ。まだ申し込んでないから、急がないと。でも、最近は微妙に忙しくなってしまって、行けないかもしれない。29日か....何かリリースがあったような気がするし。

個人的には、こういうセミナーってのは凄く重要だと思う。PKI関連は専門性が高い分、市場が狭い。だから他人の意見を聞く機会が少なくて、どうしても独りよがりになりがち。こういったセミナーで色々な人の意見が聞けるってのは、すごいありがたい事だ。

あぁー。どうすっかな。行きたいな。休日出勤して進捗を稼いでおくか…うーん。今、担当してる案件は絶賛炎上中だし、無理だよなぁ。

ハイドレーションパックを買った

2010-06-15T00:24:00.002+09:00

梅雨は嫌いです
これから梅雨に入り微妙に自転車に乗れない時期が続く。こんなときは、自転車のメンテでもして時間を潰すのが普通の自転車野郎の定石。というのは、ヌルい奴の事で、真の自転車乗りは雨でも関係無く乗る。もちろん私はヌルい奴に分類されるので、摩耗したディスクブレーキのパッドでも交換しようかと思い、部品を買いに自転車屋に足を運んだら... DAKINEのカッチョいいハイドレーションバッグを発見！
MTBの場合、フレームにボトルを付けると振動で落下してしまったり、泥で汚れてしまったりして使い勝手が悪い。だから、最近はバックパックに点滴のパックみたいなものを入れて、そこからチューブを使って水を飲むのが流行っている。

「そうだよ。俺、ハイドレーション系は持って無いじゃん。買っちゃえYo！　ボトルゲージなんて今時ダサいYo！　持ってないと夏になると死ぬぞ！　つーか、このまえの山サイでケージを曲げたじゃんorz...」とか思ったけど、今月は色々出費がかさんだもんで却下。

つーか、こんな高い（20000円くらいする）の買わずに、中身のパックだけ買って、今のバックパックに入れればいいじゃん。ってことで、その足で向かいの、さかいやスポーツに直行。Camel bakのOmega Resever 3.0Lをゲットした。価格は5000円くらい。Camel bakは日本ではモンベル系列が代理店になっているので、モンベルに強いお店ではたいてい在庫があるし、補修部品も手に入りやすいので安心だ。

ハイドレーションパックの弱点
早速ちょっと暑い日にさっそく試してみた。何となく荒川の河口から、浦和の親戚の家まで往復60kmくらい。シングルスピードでギア比2.0というアホ機材で出発。山で登れない、平地で進まない。シングルスピード不便過ぎw

で、ハイドレーションパックだけど、やっぱボトルに手を伸ばさなくても水が飲めるってのはいいね。チョビチョビ飲むから喉が渇いたって感じはしないし、ボトルを落とす帰恐怖心も無い。

でも意外と欠点も気になった。とりあえず、思いつくままに書くと....

重い
3リットルの水を背負うのはかなり疲れる。行程に応じた量を入れるのがいいだろう（結局、半分以上余ったし...）。
残りの量が解らない
バックパックに入っているから、残りの水量が把握できない。最近はフローメーター付きのものがあるらしいが...
掃除が面倒
ホースの掃除が面倒。とりあえず、スポンジを小さく切って箸で押し込んだりして対応している。

写真は乾燥中のOmega Reserver。ハンガーを曲げて、中を開けるようにして吊るしているが、2日経っても乾かない。皆さん、どうやって乾かしているんだろう。ひっくり返した方がいいのかな。
まぁ、いろいろ不満はあるけど、ボトルを使うよりは全然快適。おおむね満足。もうボトルには戻れないな。

奥多摩でMTB

2010-06-09T00:42:00.007+09:00

久しぶりの休暇
2010/5/31。仕事も一段落して休みも取れたので、久しぶりに自転車で輪行ツーリングでもしてみようかと思いついた。奥多摩に行くか鎌倉に行くか迷ったが、奥多摩にした。舗装路を走るのはもう飽きた。

心配事は前日の雨
前日は曇りのち雨の微妙な天気だったが、当日は気温が25度を超える快晴だった。前日の雨の影響が気になったけど、南側の斜面は日当りがいいから問題無いだろうと判断してトレイル行きを決行した。（これがマチガイの元だったのだが...）

朝の６時に自転車に乗って自宅を出発。東京駅まで自転車に乗って、東京駅で自転車を分解して輪行バッグに詰める。7時に中央快速に乗って、サラリーマンや学生の冷たい視線を感じながら、9時頃にJR武蔵五日市駅に到着。たった2時間で山に到着。輪行ありがたやー。

当日のコースと機材
当日は、武蔵五日市→日の出山→金比羅尾根→武蔵五日市の周回コースにした。順調に行けば1週で4時間程度のショートコースだ。登りは80%が舗装路で下りは100%山道。裏技として、御岳駅からケーブルカーを使って登りをスルーするルートもあるが、コースの割に時間もあるので、ちんたら登る事にした。

本日のバイクはSurly 1x1。男らしくシングルスピードのフルリジッド。このバイクはいつもは通勤用でギア比が2.8前後だが、山用にチェーンリングを交換してギア比を32 / 16 = 2.0にした。本当は32 / 20 = 1.6程度にしたかったが、20丁くらいのボスフリーを買わなきゃならないので却下。急に思いついたので、準備できなかったし。本当は4月にオーダーした新車で出かけたかったのだが、HaddleyのDH 15ハブが入荷しないので納品待ち。仕方なく1x1で行く事にした。
写真は登りの最中に見つけた水場。もちろん水は飲める。水筒には自宅の水道水を入れてきたのだが、その味の差に愕然とした。ウマイ！もちろん中身を入れ替えた。頭も洗った。

お待ちかねの下りのはずが
シングルスピードだから登りはキツい。ほとんど押して登る事になった。最後の日の出山下の分岐点までのクソ長い登りをクリアすると、バイクを置いて徒歩で日の出山の山頂へ向かう。休日はものすごい人で賑わう山頂も、さすがに平日なので、自分を含めて４人しかいなかった。やっぱ山はこうでなくちゃね。山頂で昼食を食べて体が冷えないうちに出発。

ここからは楽しいダウンヒルだ！って思いたかったが、速攻で壁にブチ当たる。路面が緩い。前日の雨の所為でネチョネチョでグリップが利かない。しかもタイヤはXC用のドライ用のKENDA Smallblock Eight 2.1 DTC。カーブではアンダーステアで滑落しそうになるわ、気の根っこはツルツル滑るわ、タイヤは泥詰まりでグリップしないわ、ブレーキはすぐロックするわ、で散々だった。この山が低山でなければ、滑落して確実に死んでたな。
写真は金比羅尾根で休憩したときのもの。タイヤにドロが詰まりしすぎ！　ちなみにここまでにすれ違ったハイカーは1名のみ。普段はすれ違うときに「こんにちはー！」とか言うだけで喉が痛くなるくらい人がいるのに。やっぱ平日は最高だわ。

結局、コケること6回（その内1階は、一人フロントフリップ）の痛い学習をして金比羅尾根から金比羅公園→武蔵五日市へ。やっとこさゴール。

武蔵五日市駅にて
駅のコンビニでコーラとチョコレートを買って休憩。駅前に止めた自転車をシゲシゲと眺めると....すげー汚ねえ！！泥を持って帰っても仕方ないので、乾燥するまで地元のお婆さんと世間話をしながら休憩。
つーかチェーンリングボルトが2本もどっかに行ってるし。岩にヒットしたときにピキーンって音がして飛んで行ったのはアレだったのか。。。チェーンリングは4本のボルトで止めているから、残りの2本を対角線上に設置して応急処置。残り2本もグラグラだったし、よく走行中にチェーンリングが外れなかったな。

1時間ほどかけて休憩＆掃除＆輪行バッグに収納して、武蔵五日市から東京駅へ。電車の乗り継ぎに失敗して帰って来たのは6時ごろ。久しぶりの輪行ツーリングはちょっと路面がアレだったけど、十分楽しめた。

今回はフルリジッドで山に行ったけど、案外イケるんじゃないかと思った。サスつきの場合は路面追従性は高いけど、挙動のダイレクト感が失われてバイクの限界が把握しにくい。フルリジッドの場合は、挙動がダイレクトな分だけ、コケる前に限界を察知できて、事前に回避行動を取る事ができる。その回避行動もダイレクトに応答する。ドロだらけの路面だったけど、意外とフルリジッドだったせいでマトモに乗れたのかもしれない。コレはコレで全然アリだなと思った。

あとは、ギア比を1.6程度にして登れるようにして、タイヤをKENDAのNevegal 2.3 DTCみたいなのフリーライド系にして空気圧を下げ気味にすれば、グリップも泥はけも良くて快適なシングルスピードバイクに仕上がるんじゃないかな。

つーか、オーダーしたバイクが早く納品されないかな。今シーズン終わっちゃうよ！！

近況報告（死んでませんよ）

2010-06-04T00:07:00.010+09:00

実は死んでいました
前回の投降からずいぶんと日が開いてしまった。ブログから離れていたのは、仕事の量が（無駄に）多かったのと、その所為で精神的にダウンしたこと。「PCなんて触りたくもねぇ」って感じになっていました。いや、実際に家では全く触らなかったんだけどね。今は仕事も一段落しています。

ちなみに体重は10キログラムも増えました。元に戻には1年くらいかかりそう。BMIは25を超えたので、「準肥満」って奴に分類されてしまった！

死んでいた理由
この3ヶ月を振り返ってみると、実際の業務量はそこまで多くないのに、異様に体力と精神力を消耗していたことに気付いた。体力的にも精神的にも落ち着いてきた今では、苦労した理由が明確になってきた様に思える。思いつく限りに並べてみると、

兼任が多すぎること
プロジェクトマネージャーとソリューション営業と開発者を全て兼任した。
初めての職種が多かった
プロジェクトマネージャーとソリューション営業は初めての経験だった。
開発よりもPMと営業の負荷が高かった。実際、これらの負荷が減った時期は順調でした。
初めての作業に対するフォローアップ体制の欠如
初めて行なう職種なのに、適切な教育が行なわれなかった。請負契約？それっておいしいの？って状態からのスタートでした。見積作成なんか、社内で何度もやってるだろうに、業務のフロー化がされていないので、何をしていいかサッパリ解らない。完全にゼロからのスタートでした。
納期がクソ短い
見積作成に4日とか。ダイナミックなスケジュールでした。

つまり、業務が個人に依存しすぎていて、適切な指導が行なわれない状態で実戦に投入されたってこと。そんなこんなで、適応障害を発症し、精神科に片足を突っ込んじゃったりした。

死んでみて学んだ事
会社の業務が個人に依存することの危険性を、身を以て体験した。技術系のネタなら技術書を読めば習得できるが、会社特有の仕事のやり方は市販の本では習得できない。こういったものはフロー化して情報システムとして作り込むなり、マニュアル化して研修するなりして、効率よく新人に伝授する方法が必要だと思う。（というより、やって当然だと思う。それが無い状態で前線に投入するのがおかしいだろ）

また、個人の中にあるノウハウを適切に伝授することの重要性を実感した。個人の中のノウハウは、ある結果を得るための過程で蓄積される。ある仕事の結果をナレッジベースで管理する事は多々あるが、その結果を得るまでの道筋が残っていない事が多い。そういったノウハウを集約・整理して共有することが、後に続く者の能力を高め、ひいては長期的な視点で見た場合の会社の能力を上げる事に繋がると思う。しかし、個人の中のノウハウは、文書化できないことも多いので、とても難しい課題だと思う。（他の会社はどうやっているんだろう）

今回の苦労は色々と考えさせられた。私は個人依存を極力減らし、情報の見通しを良くするように努力したいと思う。

「TLS/SSL の脆弱性により、なりすましが行われる」＠MSのセキュリティアドバイザリー

2010-02-19T23:09:00.006+09:00

2009年の11月ごろに話題になったSSL関連のセキュリティホールについて、Microsoftとしての公式見解が発表されていた。（セキュリティアドバイザリー 977377）

根本的な解決は未だだけど、TLSの再ネゴシエーションをオフにするパッチ(KB977377)を出したので必要な人だけ適用してくださいって事らしい。

「ターミナルかコンソールか」不毛なやりとり

2010-01-04T23:04:00.003+09:00

私と（シニア）SEが2人でXDMCPを使ってX11の画面を見ていたときのやりとり。

SE：「ちょっとコンソール開けてみて」
私：「ちょっと待ってください」（"xconsole"とコマンドを入力）
SE：「違う、違う、コンソールだよ。コンソール」
私：「あぁ、すみません...」(席を立ち上がりマシンが設置してある場所へ行こうとする)
SE：「違う、違う、そのコンソールじゃないっつーの」
私：「え？シリアルコンソールですか？クロスと25p変換ってあります？」
SE：「もー、ちょっと貸してみ」(キーボードを奪い、"xterm"とコマンド入力）
私：「...」（そりゃぁ仮想ターミナルだよ馬鹿野郎！）

どっちが正しいのだろう。コンソールと言えば、普通はマシンに直結されたKVMだと思うよね？

WindowsでL2TP/IPSecで証明書ベースの認証を行うときの注意点

2009-12-06T12:01:00.001+09:00

WindowsでL2TP/IPSecを使ったVPNを構築していて証明書関連でハマったのでメモ。

機器構成はVPNルーター1台とWindows XP/7の２台のクライアントだけ。VPNルーターで簡易なCA（認証局）が稼働していて、そのCAが発行した個人証明書を各Windows機にインストールしてL2TP/IPSecの認証に使用する。今回はCAは自己署名をしているので、CA証明書も併せてインストールした。

現象
VPN接続を開始するとすると以下のエラーが出る。

Windows XPの場合：

エラー　786: このコンピュータには、セキュリティの認証に必要な、有効なコンピュータ証明書がないため、L2TP 接続に失敗しました。

Windows 7の場合：

エラー 766: 証明書が見つかりませんでした。IPSec 上で L2TP プロトコルを使う接続では、コンピューター証明書をインストールする必要があります。

Vistaは確認していないけど、たぶん7と同じだろう。エラーメッセージを素直に解釈すると、どうやらコンピューター証明書と言うのをインストールしなければならないようだ。なんだそれ？どの証明書だ？

対策
このエラーが出た場合は認証に使用するVPNクライアント用の証明書のインストール先が間違っている場合がある。通常はコンピューターの証明書ストアにVPNクライアント用の証明書をインストールする。これはマイクロソフトのKB314831でも書かれている。

上記のKBの通りにしても解決しない場合は（今回はそうだったわけだが）、VPNクライアント用の証明書を、現在のログイン中のユーザーの「個人」の証明書ストアと、ローカルコンピュータの「個人」の証明書ストアの両方にインストールしてみてほしい。また、ルート証明書も同様に両方の「信頼されたルート証明機関」にインストールする。これで認証がクリアできる場合がある。

つーか「コンピューター証明書」ってローカルコンピューターの「個人」の証明書ストアにインストールされたVPN認証に使う証明書の事だったのか。始めはローカルユーザーの証明書ストアにVPN用の証明書をインストールしてたから迷った迷った。エラーメッセージに惑わされてハマっている人もいるんじゃないかと。

設定は簡単だが、その設定にたどり着くまでが長い。知っていれば3分。知らなければ3時間。それがWindowsクオリティ。豆知識、プライスレス。

Windows Server World最終号の厚さを計測してみた

2009-11-07T01:01:00.001+09:00

本屋で12月号でWindows Server Worldの12月号を買ってきた。今までブックオフで買ってきた罪滅ぼしのつもりで、最後ぐらい本屋で買っておこうと。で、実際に本屋で雑誌を手に取ると、ものすごい違和感があった。紙面が薄いのだ。ペラペラなのだ。今までの半分くらいの厚さに感じたのだ。

文化の日のことをすっかり忘れていて暇だったので、手元にあるバックナンバーの厚さを計測してみた。マイクロメーターがぶっ壊れてたのでノギスを使った。（マイクロメーター高かったのに...orz）

計測結果

3月号11.25mm
5月号　11.3mm
8月号　9.9mm
9月号　11.25mm
10月号　8.7mm
12月号　7.2mm

最終号がダントツで薄い。暑さ半分、お値段そのまま。まぁ仕方ないか最後だし。近頃はノンノンだかアンアンとかの女性ファッション雑誌は広告が減っちゃって半分以下に薄くなってるそうな。もちろんお値段そのままで。しかし、最近奴らはオマケが増えて厚さだけは盛り返しているらしい。オマケで釣るってのは小学一年生とかの子供向け雑誌の付録と同じだな。閑話休題。

最終号を読んで

最終号は今までと違う雰囲気で面白かった。特集記事は普通だったのだが連載記事がお通夜っぽい雰囲気になっていて、ほぼすべての連載で原稿を書く苦労と編集者への感謝の言葉が書かれていた。普段、私が何気なく読んでいる連載もライターが原稿を書いて、編集者がライターとやり取りして、図を書く人がいて....たくさんの人の手間や苦労の上に成り立っていたんだと実感した。モノを作るにはたくさんの苦労が詰まっているんだなと。

ずっとブックオフで買っていてすみませんでした。真面目に罪悪感があるよ。

Windows Server Worldが休刊になった

2009-10-26T18:46:00.004+09:00

突然の訃報。Windows Server Worldが休刊になったそうだ。プレスリリースはこちら。現在、店頭にある12月号が最後になるそうだ。

愛読していた技術系雑誌が休刊になるのは本当に悲しい。BSD Magazine, UNIX Magazine, Network Magazine...まぁ他にもいろいろあるけど、「あの雑誌があったから今の自分がある」と言える様な良質な雑誌はほとんど休刊になってしまった。

Windows Server WorldはいつもBookoffで半額で買っていた（なぜか毎月、最新号が置いてあった）ので、最後ぐらいは定価で買っておこう。つーか5年分くらいの連載が詰まったDVDを出してほしいな。絶対買うからさ。

最強の耳栓MOLDEX SPARK PLUGSをゲットした

2009-10-17T16:40:00.007+09:00

先日、薬局でMOLDEX SPARK PLUGSという耳栓をゲットした。かなりいい感じなので簡単なレビュー。
この耳栓はウレタン系の指で潰してから耳に入れるタイプ。サイズが大きめなので、よく薬局で売られているサイレンシアとかを愛用している人には少しキツく感じるかもしれない。遮音性能はウレタン系の中ではトップクラスに属すると思う。他の耳栓が遮断できない人の声をキッチリ遮断してくれるのが嬉しい。どれくらいの遮音性能かというと、オフィスで使っているときに5m後ろから呼びかけられても気付かないくらい。NRR (Noize Reduction Rating)は33dbと普通だが、カタログスペック以上の遮断性能があるように思える。

サイレンシアとかの遮音性に満足できない人はこっちを試してみることをオススメする。ただし、サイズが大きめなことと、開封時にウレタン臭さが酷いので注意されたし。価格は500円くらい。

長年に渡り数々の耳栓を試して来たがやっと理想に近い耳栓に出会えた気がする。とりあえず買い占めに行ってきます。つーか米国ではこんなもんも売ってるらしいから買っちゃおうかな。
どーんと500ペア入り。1ヶ月に1ペアを使ったとしても40年は持つ。つーか40年もしたらウレタンが劣化するか。

Logitech TrackMan Wheelを買った

2009-10-17T15:00:00.011+09:00

新しいトラックボールを購入した。今まで使っていたトラックボールは使い始めてから15年。そろそろ新機種を買ってもいいかなと。今まで使っていたのはコレ。機種はLogitechの初代Trackman Marble。LogitechがLogicoolのブランドを日本で展開する前に買っているので、ロゴがLogitechになっているのはご愛嬌。たしか買ったのは95年で、LogitechがLogicoolのブランドを使い始めたのは97年くらいではなかったかと。

さすがに10年以上使っているとあちらこちらにガタが出てくる。センサー系は光学式なのでローラー等の劣化は無いが、ボールを支持する球が摩耗する。これは東急ハンズで買ったルビー球に交換済み。ボタンのスイッチ類は4年くらい使うとヘタってくるけど、他のマウスから移植して延命してしのいで来た。

ちなみに、職場ではTrackMan Marbleの進化系であるTrackMan Marble+を使っている。コイツは99年に買ったのでもうすぐ10年目。
両方ともまだまだ現役で使えるんだけど、インターフェースがPS/2でしかもUSB<->PS/2変換ケーブルとの相性もあまり良くないのが弱点。

で、買ったのはTrackMan Wheel。お値段5000円。今は「TrackMan Marble」という製品名は別の製品で使われているのでちょっと混乱した。
旧機種（14000円）と比べると、価格が安くなった分いろいろな所に影響が出ている。特に旧機種よりもボールの動きが重く感じられるのには参った。支持球の直径が大きくなっているようでボールとの接地面積が増えているためと思われる。とりあえず支持球にキーボードマニア必携のスムースエイドKTを塗ってみたけどあまり変わらないし。もう少し様子をみてダメなら支持球を交換するしかないか。

正直、Logitechには頭が下がる。15年も基本コンセプトが変わらない製品を売り続けるってのはすごく大変な事。これは初期のコンセプトや設計がしっかりしていたおかげだろう。今後もこのシリーズは継続してほしいな。

Windows Server 2008 R2 Datacenter Editionの価格が安すぎる件

2009-10-07T00:54:00.006+09:00

Windows Server 2008 R2の価格が気になったので調べてみた。マイクロソフトはエンタープライズ向けの価格表はパートナー向けにしか出さないので調べるのも面倒だ。とりあえずググって見つけたのはこちら。

ボリュームライセンスの価格体系がすごいことになっているので以下に抜粋する。

Windows Server 2008 R2 Datacenter： 463000円
Windows Server 2008 R2 Enterprise ： 454000円
Windows Server 2008 R2 Standard ： 140000円
Windows Server 2008 R2 Foundation ： OEMのみ
Windows Server 2008 R2 for Itanium-based Systems： 463000円
Windows Web Server 2008 R2 ： 77500円

Datacenter Editionの価格が46万円。しかもEnterprise Editionとの価格差が9000円。これ見たときマジで"0"の数を数えてしまったよ。Datacenter Editionは付属してくる仮想インスタンスのライセンス数が無制限なので、Datacenter Editionを1本とチョー早いマシンを1台買うだけで、そのマシン上では何台もの仮想Windowsマシンを動かす事ができてしまう。仮想マシン用に追加のWindowsのライセンスは買う必要はない。

私の周りでは仮想化関連はイマイチ盛り上がりに欠けているー認証局はHSMの制限で仮想化できない事が多いーが、これだけコストパフォーマンスが良いと、お客さんから「仮想化に対応できないの？」とか普通に言われてしまう日も近そうだ。ちょっとだけ覚悟しておこう。なお、Datacenter Editionはボリュームライセンスのみで提供され、パッケージでは購入できないので注意すべし。

つーか、まだItanium版もあるのか。x86版を廃止してItanium版を残すってのはどうなんよ。

Windows展開サービス（WDS）を使ってWindows Server 2008をPXE bootインストールする

2009-09-22T22:36:00.010+09:00

前々からやりたかったWindows Server 2008のネットワークインストールをやってみた。Windows系でPXEブートインストールするには、Windows Server 2008に標準で付属する「Windows 展開サービス（以下、WDS）」を使う。セットアップは簡単なので省略。とりあえずハマった点などをメモ。

WDSを実行するサーバーは、ドメインのメンバーサーバーか、ドメインコントローラーになる必要がある。ドメインコントローラーになる場合は、ADDS, DNS, DHCPをセットアップする必要がある（面倒だ！！）
用意するイメージは2つ。標準で用意されているのは以下の2つ。
インストールイメージ：Windowsのインストールディスクの\sources\install.wim。Windowsのインストーラーのイメージ。
ブートイメージ：Windowsのインストールディスクの\source\boot.wim。Windows PEのイメージ。
Windows PEにドライバを組み込んだり、インストールを完全に自動化する場合は、Windows Advanced Installation Kit (AIK)を使う。MSからダウンロード可能。
PXE bootでセットアップしたマシンは自動的にドメインのメンバになる。（余計なお世話だ！）

実際にPXE bootでインストールする手順は以下の通り。

インストール対象のマシン（以下クライアント）がPXE BootのDHCPシーケンスでIPアドレスを入手。
クライアントがWDSを実行するマシンから、TFTPでpxeboot.comをダウンロード
（その後、タイミング良くF12キーを入力しないと先に進まないので注意！！）
クライアントがWDSを実行するマシンから、Windows PE（下記、boot.wim）をダウンロード＆起動
クライアントで、WDSの動作するサーバーのユーザー名＆パスワードを入力。これはCIFSでインストールイメージをマウントするため。
あとは、普通のインストールと同じ。

WDSは他にも色々なオプションがあって便利と言えば便利なんだが、ADDSの環境が必須になる点やセットアップしたOSがドメインに参加してしまう点（AIKでカスタマイズすれば回避できるかも）などは不便を感じた。単なるCD-ROMの代替として考えているならば、ちょっとお勧めできないかも。

参考URL：

Windows Server 2008 Help -- Windows展開サービス

HSMと秘密分散技術 (Secret Sharing Scheme)

2009-09-19T15:18:00.005+09:00

仕事で使っているnCipherのHSMには、OCS (Operator Card Set) protected keyという、ICカードを使用した認証を行なわないと鍵を使用出来ないようにする機能がある。前々から実装に使われている理論が気になっていたので軽く調査してみた。

まずは、簡単にOCS protected keyの説明。OCS protected keyは鍵を使用する際にICカードによる認証を強制する機能だ。nCipherのHSMではOCS protected keyを作成するときに、K of Nというパラメーターを指定する。Kは認証時に必要なICカードの数を表しており、NはICカードの総数を示している。

例えば、あるOCS保護鍵を作成したときに2 of 3のパラメーターを指定したとする。この場合、その鍵を使用する際は３枚（N=3のため）のうち最低２枚のICカードによる認証をパスする必要がある（K=2のため）。カードが1枚しか無い場合は鍵を使用する事ができない。実際の用途としては、「ある書類にデジタル署名を行なうには、担当者2名による承認が必要。予備カードが1枚必要」といった用途に使用できる。

で、実際にどのような理論を用いているのか調べてみると、どうやら「秘密分散技術」 (Secret Sharing Scheme: SSSと略される）というジャンルの技術を使っているらしいことが解った。ちなみに、この分野のブレイクスルーは1979年にShamir大先生（RSAの"S"の人ね）とBlakleyと言う人が別々の論文を発表したことによって起こったそうな。Shamirは多項式補完に基づいており、Blakleyはベクトル空間に基づいているらしい。nCipherのHSMが実際にどんなアルゴリズムを使っているかは解らないが、振る舞いから推測するに、「(k, n)しきい値法」に属するアルゴリズムを使っているのは間違いなさそうだ。

理論の中身もチェックしてみたが、サッパリ解らなかった（ガロア理論とか初等整数論とか出て来ちゃってさ...orz）。でも、情報理論的安全性が確認されているらしいので安心して使っていいとのこと。

やっぱり暗号関連は真面目に勉強して行くと初等整数論にぶつかるなぁ。なんとかしないと思いつつも、手を出しにくい分野だよ。

Globalsignの「パブリックルート署名サービス」がウハウハな件

2009-09-09T00:50:00.004+09:00

体調を崩していたので久しぶりの更新。最近はダルくてダルくてBlogどころではなかった。今は完全復活です。

さて、今回もPKIネタ。9月1日よりグローバルサインが「パブリックルート署名サービス」というサービスを開始した。このサービスは、グローバルサインのCAが、一般の会社の社内などに設置してあるプライベートCAのCA証明書に署名を打ってくれるサービスだ。米国ではずいぶん前から提供されていたので、やっと日本でも使えると考えるとウハウハしてしまう。

で、このサービスの何が嬉しいのかというと、「自前プライベートCAがマイクロソフトのルート証明書更新プログラムでCA証明書が配布されているCAの下位CAになる事ができる」という点に尽きる。グローバルサインのルート証明書はIEの信頼できるルート証明期間の一覧に始めから入っているので、このサービスを使用したCAが発行した証明書は世界中のどのWindowsマシンでも自動的に信頼できる証明書として取り扱ってもらえる。しかも、特に発行できる証明書の制限は無さそうなので、自前のCAで個人向けの証明書やコードサイニング証明書などもバンバン発行できる。これはウハウハするでしょう。用途広すぎ。

1点だけ気になるのが、このサービスをやる事によってグローバルサインのルートCAが、WebTrust for CAの認定とMSのルート証明書の配布要件に抵触してしまい、ルート証明書の配布が行なわれなくなってしまうのではないかということ。米国ではずいぶん前から提供しているので問題はないとは思うのだが、、、うーん微妙にグレーゾーンな気がする。

たぶん下位のCAには、CP/CPSの要件やHSM (Hardware Security Module)を使った鍵の管理の義務、監査を受ける義務、サーバーの設置場所に関する要件などのそれなりのヘビーな内容が求められる可能性はある。まぁ、得られる利点を考えると納得はできるのだが、お手軽にパブリックCAを構築できるサービスであるとは言えなさそうだ。

これ、あまりにも便利すぎるので自社でも真面目に検討してみることにする。残る問題は価格だよな。課金体制がよくわからないので、実はものすごーーーく高かったりするオチがあるかもしれない。

総務省の調達公募 -- 21年度電子署名・認証業務利用促進事業（暗号アルゴリズムの移行等に関する調査研究）--

2009-08-03T16:13:00.005+09:00

総務省が「平成21年度電子署名・認証業務利用促進事業（暗号アルゴリズムの移行等に関する調査研究）」の調達を公募している。暗号アルゴリズムの移行に関する調査の公募だそうな。興味のある方はご覧あれ。

調査のテーマは、暗号アルゴリズムの移行に関する技術面・制度面の調査、海外のGPKI関連の動向の調査、利用者による PKI 署名鍵保持の安全性に関する調査研究、の4つとなっている。全体的には暗号2011年問題と日本のGPKIの今後の動向のための基礎資料の調査と言った感じになっている。

この中で、ムムムっとなったのが、最後の「利用者による PKI 署名鍵保持の安全性に関する調査研究」だ。以下、調達仕様書より抜粋する。

本テーマでは、今後の電子署名における署名者の選択肢として、①署名者に署名鍵を持た
せ、署名者個人の管理、利用環境で署名すること、②サーバで署名鍵を保管し、署名者の指示によって
署名すること、という 2 方式における、技術面、コスト面、安全面での想定されるメリット、デメリットの調
査・分析を行う。

なるほどね。今は住基カード等では署名用の鍵はエンドエンティティが持つスマートカード内に保存しているが、それをサーバー（総務省内の？）側に保存するってことか。鍵はリモートに保管されているので、鍵を保管している組織がエンドエンティティの鍵を勝手に使う事が出来ないようにしなければならないし、適切なユーザーのみが鍵を使用できるようにしなければならない。
うーん。これは難しい。何となく実装のイメージは湧くが....うーん。サーバー側ではHSMを使うことになるだろうし....うーん。というか、ユーザーにとってのメリットって何なんだろう。というか、どんなアプリで使うんだろう。よくわからんくなったぞ。

JNSAのの情報セキュリティ市場調査報告書

2009-08-01T16:16:00.003+09:00

JNSAが平成20年度情報セキュリティ市場調査報告書を公開している。興味のある方はご覧あれ。

とりあえず、暗号関連だけに着目して、2008年度の動向を簡単に概要をまとめると、

セキュリティ業界全体の市場は7267億円程度。6.1%程度の成長率。
上記のうち暗号関連市場は、381億円程度。12%の成長率。
他のセキュリティ分野と比較して暗号製品の市場の伸び率が一番大きい。

でもって2009年度（予測）は、

セキュリティ業界全体の市場は6873億円程度。-5.4%の成長率。
上記のうち暗号関連市場は、392億円程度。3%の成長率。
暗号製品の市場のみがプラス成長だった。

こんな感じ。暗号業界は400億円程度で決して大きなパイとは言えないが、成長している分野だと言うのはうれしいことだ。

世間では、IT関連全体の市場が12兆円とか言われており、そのうちのセキュリティ全体の市場は7000億円で全体の6%程度。多いんだか少ないんだか微妙にわからんな。

パソコン時の姿勢とIKEAのPOANG（椅子）

2009-07-27T01:17:00.007+09:00

長年使っていたPC用の椅子が壊れたので、IKEAに行ってPOANGというアームチェアを買って来た。買ったのはコレ。Webでは出ていないが、一番安いモデルだと7800円から購入できる。もちろん買ったのは一番安いモデル。

前々から思っていたのだが、よく言われる椅子に深く座って背筋を延ばす、いわゆる「正しい姿勢」と言うのは長時間のパソコン作業には全く適していない。長時間この姿勢をしていると、目が疲れ→画面に顔が近づく→首が疲れる→腰が疲れると言うように、頭の先からダメージが蓄積してきて長時間集中力を維持する事が難しい。

ここら辺の事情はOA家具メーカーも解っているらしく、OA家具の大手の岡村製作所では低座・後傾姿勢に対応したクルーズ＆アトラスという製品を出している。低座・後傾姿勢というのは、車のシートに座っているような姿勢や歯医者で治療の際に座る椅子をイメージしてもらえればいい。足を前方に投げ出して上半身を後方に倒す。一見するとダラけているように見えるが、長時間のパソコンの作業ではこの姿勢がベストだ。

実は、私は腰痛があるので、職場では椅子を（勝手に）改造し、低座・後傾姿勢を取っている。この際に苦労したのは以下のような点だった。

天井の証明が目に直接入る
後傾姿勢では天井の照明からの光が直接目に入りやすい。蛍光灯を見続けると目が疲れるのと同じように疲労を蓄積する原因となる。できれば150cm程度の高さのパーティションがあるといい。私は段ボール箱を積み上げて壁を作った。
首のサポートが無いと辛い
ただ単に後傾姿勢をしただけでは、首に負担がかかってしまい、余計に辛くなってしまう。首が辛い場合は、後傾具合を弱く（つまり垂直に）するといい。また、背もたれの高さは一番高くすると良い。
机の高さ
後傾姿勢では、キーボードは太腿のすぐ上あたりにあった方がいい。通常のオフィス机では高さがかえられないので、椅子の高さで調節するのがいいだろう。
フットレスト
後倒姿勢にはフットレストが必須となる。足だけ下になると膝の裏側の血行が悪くなってシビれてきたりする。私はちょうどいい高さの段ボールを足元に設置してその上に足を乗せている。
書き物には適していない
後倒姿勢は机の上で書き物をするのには全く適していない。パソコンの作業のみが快適に行なう事が出来る。この点に関しては、完全に諦めた。
眠くなる
リラックスしすぎて眠くなる。これはどうしようもない。

さて、肝心のPOANGの座り心地とパソコン作業との相性だが、4時間程度のPCを使った感じでは特に問題は感じられなかった。上記の職場での作業環境とは比較にならないくらい快適だ。ただし、付属のソファではお尻が暑くて汗をかいてしまうのが欠点。夏は辛いかもしれない。IKEAのPOANGはお尻が暑いのに耐えられる人ならば、コストパフォーマンスも高いのでオススメできる。

Vistaでの信頼されたRoot証明書の自動入手の件

2009-07-10T19:55:00.011+09:00

先日のエントリーに書いたMSのRoot証明書の配布要件の文書に以下のような記述があった。

Root certificates are updated on Windows Vista automatically. When a user visits a secure Web site (by using HTTPS SSL), reads a secure email (S/MIME), or downloads an ActiveX control that is signed (code signing) and encounters a new root certificate, the Windows certificate chain verification software checks the appropriate Microsoft Update location for the root certificate. If it finds it, it downloads it to the system. To the user, the experience is seamless. The user does not see any security dialog boxes or warnings. The download happens automatically, behind the scenes.

Vistaでは信頼された証明書のリストは、証明書の検証時に自動的にダウンロードされるようだ。気になったので、IEでSSLしているときのCAPI2のトレースログを引っ張り出してきて、チェックしてみた。

確かにパス検証のときに、このURLにアクセスしてauthrootstl.cabを入手しているようだ。

このURLをIEにコピペしてダウンロードしたファイルauthrootstl.cabを展開すると、authroot.stlという証明書信頼リスト(CTL)が入手できる。コイツを開くと以下のように詳細が表示される。

あれ？「リストに署名されている証明書が有効ではありません」ってエラーが出てる。なんだこりゃ。でもって、右下の「署名の表示」を押すと、以下の画面になる。

あぁ、このCTLはAuthenticodeで署名されてるのか。しかも副署名がついてるって事は、なんちゃってタイムスタンプつきか。署名用の証明書と、タイムスタンプ用の証明書をチェックしたところ、両方とも「証明書は要求された使用法では無効です」エラーが出ているようだ。

念のためsigntool.exeで検証してみたけど同じ。

c:\Program Files\Microsoft Platform SDK\Bin>signtool.exe verify c:\temp\authroot.stl
SignTool Error: The signing certificate is not valid for the requested usage.
This error sometimes means that you are using the wrong verification
policy. Consider using the /pa option.
SignTool Error: File not valid: c:\temp\authroot.stl

Number of errors: 1

Authenticode周りは全然詳しくないのでよくわからなくなった。もうちょっと調べてみるか。

Microsoftのルート証明書の配布要件

2009-07-09T02:13:00.002+09:00

Microsoftのルート証明書の配布要件が2009年1月にちょこっと改定されていたようだ。資料はこちら。ちゃんと読んでないので、そのうちまとめるつもり。

DQ45CBのBIOSアップデート0085

2009-07-07T00:25:00.003+09:00

DQ45CBのBIOSがアップデートしてた。これで、BIOSアップデートのNew Fixes/Featuresの合計が104件になった。更新箇所は以下の通り。

Implemented the F7 Flash BIOS Update feature.
Fixed issue where system locks during DHCP when LAN drivers are loaded from floppy image via IDE-R.
Fixed issue where E7600 processor frequency is displayed wrong in BIOS Setup.
Fixed issue where VTD Test fails: The MMIO base for the PCI devices should be 4KB alignment.
Updated VBIOS to V1800.
Updated PXE boot agent to Intel Boot Agent v1.3.27.

毎月恒例だけど面倒くさすぎる。

Microsoftのknowledge BaseのRSS

2009-07-03T10:37:00.002+09:00

MSのKB (Knowledge Base)のRSSを探していたら、プロダクトごとのRSSの一覧のページを見つけた。便利すぎ。

Active Directoryを使う時のファイアウォールの設定

2009-06-28T00:59:00.004+09:00

Active Directory関連のシステムを構築する際にファイアウォールの設定に泣かされる事が多い。どのポートを開けなければ行けないかが微妙にクリアになっていないためだ。MSのTechnetにWindows Server 2008 R2のADDSが使用するポートの一覧があったので記載しておく。

Active Directory and Active Directory Domain Services Port Requirements

PKI Day 2009に行って来た

2009-06-27T23:32:00.003+09:00

6/24にJNSAのPKI Day 2009に行って来た。今年もいい話が聞けた。当日の講演資料はこちらでダウンロードできる。当日行なわれたセッションは全部で8つ。特に面白かったのは、木村泰司氏の「PKIの標準化動向とリソースPKI」、神田雅透氏の「政府機関及び金融機関のSSLサーバ暗号設定に関する調査結果について」、渡辺清氏・浅野昌和氏の「Windows 7とWindows 2008 R2で実現するPKI」の3つ。

「PKIの標準化動向とリソースPKI」のセッションでは、2008年6月に採択されたRFC 5280の解説だった。5280は読まなきゃなぁと思ってたところだったので、ちょうどいいタイミングだった。ちなみに、IPAが日本語訳を出してくれている。ありがたや。

「政府機関及び金融機関のSSLサーバ暗号設定に関する調査結果について」のセッションでは政府機関のSSLサーバーで使われている暗号アルゴリズムを調査した結果をまとめた物だった。特に、政府期間にSSLで繋ぐときに、IE7 + Windows XPでは85%がRC4-MD5で接続してしまったりで、かなり危ない感じ。IE7 + Vistaではここらへんが改善され、55%がAES128-SHA1で接続しているそうだ。Windows 7も出る事だし、さすがにXPの時代は終わったように思える。

「Windows 7とWindows 2008 R2で実現するPKI」のセッションではWindows Server 2008 R2とWindows 7でのPKI関連の話だった。大半は、以前紹介した資料の焼き直しだったが、Globalsignの人によるHTTP登録機能のデモがありとても参考になった。MicrosoftのPKIはWindows 2000, 2003, 2008, 2008 R2と順調に進化しているように思える。Microsoftの本気具合は十分に感じる事ができた。

全体的には非常に有意義な一日となったと思う。参加者も100名を超えるくらいはいたと思うし、日本におけるPKIのカンファレンスとしては、すでに定番になっているように思える。来年も参加したいな。

Interop Tokyo 2009に行って来た

2009-06-15T11:08:00.006+09:00

Interop Tokyo 2009とRSA Conference 2009の展示会に行って来た。今年は6/10, 6/11, 6/12の3日間で、130,000人（主催者による発表）の来場者があったそうな。最終日の午後に行ったのだが、混雑と暑さで3時間程度でヘトヘトになってしまった。

セキュリティ関連の展示で各社が積極的にプッシュしていたのは、電子メールの暗号化＆管理ツールとログの管理ツールだった。各社ともコンプライアンスの観点からこられのソリューションをプッシュしており、J-SOXやPCI-DSSの関係で需要が伸びてきているそうだ。また、ワンタイムパスワードトークン関連の製品も少しだけ展示されていた。

個人的に興味を引いたのが、株式会社インターネット総合研究所のPHYSECという製品。この商品は光通信量子暗号方式Y-00, AlphaEtaというのを使って、光ファイバー線の物理層レベルでの暗号を行うものだった。ファイバーに通る光に雑音みたいなものを添加して、光ファイバーを通る光自体を読み取っても通信内容が分からないというしくみらしい。今のところは開発段階で、米国のNuCrypt社と共同開発（？）をしているらしい。市場に出るのは少なくとも数年は先になるそうだ。

ちなみに、展示されていたNuCrypt社のプロトタイプには、「Bob」と「Alice」というコネクタがあって、暗号ネタ的に笑えた。

後は、仮想化、10Gbitイーサネット、WiMAXの展示があったくらいで特に目新しいものは無しでした。

5月25日のMicrosoftルート証明書の更新

2009-06-12T23:54:00.004+09:00

久しぶりにWindows Updateを起動し、追加選択パッケージのアップデートをしてみたところ、「Update for Root Certificates [May 2009]（ルート証明書の更新プログラム[2009年5月]）」というのがあった。対応するKBは、KB31125 : Microsoft root certificate program members (February 2009)... あれ？2009年2月って書かれてる。誤植かね。

また買ってしまったD945CGLF2D

2009-06-09T23:00:00.000+09:00

またD945GCLF2を買ってしまった。今回買ったのは、型番のお尻に"D"がつくビデオ端子が省略されたバージョン。今回のお買い物は、

マザーボード+CPU：D945GCLF2D 8000円
ケース：SCYTHE BM639 8900円
HDD：HDT721010SLA360(1Tbyte) 7200円
メモリー：ノーブランドDDR2-800 2000円

合計で26100円。SCYTHE BM639のケースが安かったのがありがたい。実は安いのには訳があって、このケースは電源の排気がケース内でグルグル回ってような感じになっており、スムースにケース外に排出されない。おまけにケースファンが標準でついていないもんだから、そのままだとCPU温度が90度くらいに上がってしまう。極めつけは電源ファンの音が結構うるさい。なんでこんな設計になっているんだろう...
静穏PCとかには全く興味がなく、そこそこ小さいケースが欲しい人にはオススメかも。

ってBlogを書いているうちにCentOSのネットワークインストールが終了。Linuxのインストールも簡単になったもんだ。

新たなSSL証明書販売業者

2009-06-04T01:37:00.001+09:00

ジェイサート株式会社が格安なワイルドカード証明書の販売を開始するらしい。この会社の特長は、ロードバランサーを使う場合でも、ロードバランサーの台数分だけ証明書を買えばいいと...今までは、ロードバランサーの裏にあるWebサーバーの台数によって課金されていたからなぁ。

日経BPのニュースリリースによると、証明書のラインナップと値段は以下の通り。全て1年の場合。

スタンダードSSL シングルドメイン：　26,520円
スタンダードSSL 複数ドメイン：　78,570円
スタンダードSSL ドメイン無制限：　131,250円
デラックスSSL シングルドメイン：　52,500円
デラックスSSL 複数ドメイン：　105,000円
デラックスSSL ドメイン無制限：　157,500円

たぶん、スタンダードSSLがドメイン認証で、デラックスSSLが企業認証だと思う。EV証明書は2010年で提供開始ということだ。価格体系を見ると、RapidSSLみたいに低価格路線ではなく、GlobalSignのような路線を目指しているようだ。ちなみに価格はGlobalSignの3割引と言った感じ。ドメイン無制限＆ロードバランサで1枚という価格体系は嬉しい会社にとっては凄く嬉しいんじゃないかな。

IEのCRL取得失敗時の警告

2009-05-31T01:00:00.001+09:00

OCSPレスポンダで遊んでいるときに気づいたのだが、IE7/8はSSL通信時にCRLの取得に失敗した場合でも、証明書を正常なものとして取り扱ってしまうようだ。気になって調べたところMicrosoftからKBが出ていた。「KB946323 Internet Explorer 7 does not send you any notification if it cannot obtain the Certificate Revocation List」

警告を出す事はできるけどデフォルトでは出ないと。うーむ。デフォルトで出した方がいいと思うんだが...

iSCSIが遅かった理由

2009-05-30T00:05:00.006+09:00

先日からiSCSI + ESXiの環境を組んでいたのだがiSCSIディスクアクセスの速度が妙に遅くて困った。1000Base-Tなのに120Mbps程度しか出ていない。明らかに異常なのでトラブルシューティングをしてみた。

環境：

iSCSI Target : D945CGLF2 + Realtek 8111D（オンボード）, NetBSD 5 Xen DOMU上のiSCSI Target
iSCSI Initiator： Intel DQ45CB , Q8400, Intel 1000/PT (PCI-Express) ESXiをインストール
その他：Apple Macbook Late 2007, Marbell Yukon 2, Mac OS X 10.5をインストール

問題は、iSCSI Targetと Initiator間の速度が出ない事。

iSCSIでベンチマークを取るとディスクアクセスに性能が引っ張られてしまうので、今回はUNIX系ではおなじみのネットワーク帯域測定ツールのnetperfを使って速度を計測した。Macbookをサーバーとし、各マザーに色々なOSを入れて計測してみたところ以下のような結果になった。

D945CGLF2 + NetBSD 5 amd64 Xen DOMU : 　120Mbps
D945CGLF2 + NetBSD 5 amd64 Xen DOM0 : 　110Mbps
D945CGLF2 + NetBSD 5 amd64 Xen GENERIC Kernel : 440Mbps
D945CGLF2 + CentOS 5 amd64 Xen DOMU : 200Mbps
D945CGLF2 + Puppy Linux 4.2 i386: 840Mbps
DQ45CB(Intel 1000/PT) + Puppy Linux 4.2 : 680Mbps

うわぁ。120Mbpsってなんだよ....NetBSD Xenとの相性が最悪じゃん。コリャダメだ。ファイルサーバーをXenにしたのは間違いだったか。NetBSD 5 + Generic kernelでもあまり速くないし、NetBSDは全般的に遅めの傾向。iSCSI TargetはLinuxで組み直そうかな。

この中ではLinux + D945CGLF2が一番速い。CPU負荷が若干高くなるような気がするけど、これだけ速度に差があるとそれも許せてしまうかも。Realtekは悪い意味で有名だったけど少し考え直そう。枚数を用意するときはコレでもいいかも。

IIS7によるTLS Staplingを使った失効情報の配布

2009-05-22T00:10:00.001+09:00

IIS7とIE8の環境でOCSPのサポートがどんなもんかなーっと調査していたら、失効はうまく認識するのに、一向にOCSP(via HTTP)通信をしている気配が無い。散々いじくった結果、IISがTSL Staplingを使用して失効情報を配布していると言うことがわかった。そんな裏ワザがあったとは！

環境はこんな感じ

Windows Server 2008 EE SP1
* ADDS
* ADCS
Enterprise CA
OCSP Responder
* IIS 7 & SSL
SSL用の証明書は失効済み＆失効情報をOCSP Responderで配布
SSL用の証明書にはCDPを含まない
SSL用の証明書のAIAにOCSP拡張を含む
Windows Vista SP2
* Internet Explorer 8

この環境でIE8を使ってSSL通信をする。SSL用のサーバー証明書は失効されており、失効情報はOCSPを用いて公開されている。また、証明書にはOCSPレスポンダへのポインタしか含んでいないので、OCSP(via HTTP)で失効情報を入手するはずだ（と思い込んでいた）。実際にやってみると証明書の失効自体はうまく検出され、IEに「この証明書は失効されています」と表示される。しかし、以下の現象が私を悩ませた。

イベントログのCAPI2の箇所を見ると、「失効の確認」のイベントでOCSPの情報を入手している。
Microsoft Network Monitorでトラフィックを観測すると、OCSP(via HTTP)通信をしていない。
ファイアウォールでHTTPをブロックしてもOCSP情報が取得できる。

うんうん悩んでたら、去年のPKI Dayでマイクロソフトの人が、OCSPとTLS Staplingについて話していた事を思い出したので、資料(PDF)を探してきた。TLS Staplingというのは、SSLハンドシェイク時にWebサーバーが自分自身の証明書の失効ステータスを送信する方法だそうな。

さっそく、Network Monitorで見ると....あったあった。SSLの最初のハンドシェイクの時に、「Server Hello. Certificate. Certificate Status.」を送っている。コイツだったのか...

IISは特に意識をせずにセットアップしたので、デフォルトでオンになっているということか。ちょっと探しただけでは、オフにする方法は見当たらなかった...どこだぁ。

HP Procurve Switch 1400-8G購入

2009-05-18T08:00:00.001+09:00

100Base-TXでiSCSIを使用しているとだいたい8〜9Mbyte/Sec程度の速度しか出ない。さすがにキツいので1000Base-Tのスイッチを購入した。購入したのはHP Procurve Switch 1400-8G。通常の8ポートのノンインテリジェントスイッチでお値段は12000円。このクラスの製品では少し高い方になる。

あまり知られていないが、HPのスイッチは全製品に永久保証がついている。以前、職場の古いシャーシスイッチが故障したときは、24時間後には交換部品が到着し業務に復帰できた。特に、追加コストも保守契約の更新もなく保守が受けられるのはとてもありがたい。ちなみに、日本ではどうだか知らないが、海外ではシェアは2位なんだそうな。

さて、問題となっていたiSCSIの速度は...遅い。17MByte/Secがいいところ。まいったな。NetBSD5+ Realtek 8168B/8110Sだとジャンボフレームが使えないのか。あー、ドライバーのソースによるとこのチップのリビジョンだけMTUは1500以上は指定できないようになっとるorz...。ちなみにチップ自体は7Kbyteまでのジャンボフレームに対応しているそうなので、ドライバーの対応待ちといったところか。

DQ45CB BIOSアップデート0083

2009-05-15T10:02:00.005+09:00

IntelよりDQ45CBのBIOSアップデートが公開された。これで今までのNew Fixes/Featuresの合計は98件になった。今回のアップデートではBIOS Update用のF7メニューと、謎の機能のF10メニューも追加になる。

New Fixes/Features:
• Added BIOS F10 menu feature.
• Fixed issue where system could not boot normally after the system
password entered with a customer logo modified BIOS generated with
Intel® Integrator Toolkit.
• Fixed issue where system does not refresh display screen when
power-button is used to bring out of S3 state.
• Fixed issue where WHQL test would fail with E5200 processor.
• Added option for F7 update BIOS menu.
• Fixed issue if USB Emulation type is set as Auto, the disk format
should depend on the media format.
• Fixed issue where splash screen disappears after the password
entry screen
• Updated processor support.

散々、キツいことを言ってきたがDQ45CBもだいぶ安定してきている。意外とコストパフォーマンスも高いし、もう一枚くらい買ってもいいかなと思っている。

牛すじ肉の煮込み方法の特許

2009-05-12T20:01:00.003+09:00

昔、祖母が作ってくれた牛すじ肉の煮込みの作り方を探していたら、J-Tokkyo.comのページで、牛すじ肉の煮込み方法の特許というのを発見した。和牛と輸入牛のすじ肉をミックスするのが特徴で、どんぶりやおつまみに適した調理法だそうな。特許が本当かどうか分からなかったので、特許庁のページで確認したら、公開2005-312350で公開されていた。本物でした。

大量生産される加工食品や食品の保存に関する特許はなんとかイメージできるが、家庭料理っぽいものも特許が取れるとは思わなかった。その他にも、いぶり大根の漬物を使用したカレー味のいぶり大根の漬物なんていうカレーなんだか大根なんだか漬物なんだかよく分からないものまであったりする。なんでもアリに見えてきてしまった。

なお、肝心の牛すじ肉の煮込みは3時間も煮込まなきゃならないらしく作るのが面倒になってしまった。恐るべし特許。

NetBSDでiSCSI Targetを構築する。その3 ESXiでマウント編

2009-05-09T18:17:00.008+09:00

今回はVMware ESXi 3でiSCSIをマウントする方法を紹介する。この手順もとても簡単。

iSCSIソフトウェアアダプタをEnableにする
HBAにターゲットが稼働するマシンを登録する
データストアに追加する。

まずは、ESXiに標準で入っているiSCSIソフトウェアアダプタをEnableにする。【Configuration】→【Storage Adapters】→【iSCSI Software Adapter】のアダプタ（vmhba33など）を選択し、【Properties】をクリック。その後、【General】タブにて【Configure】ボタンをクリックし、statusをEnableに変更する。

次に、【Dynamic Discovery】のタブに移動し、【Add】をクリック。iSCSIターゲットのIPアドレスを指定して（ホスト名は指定できない）を指定する。

最後に、【Configuration】→【Storage】を選択し、ウィザードに従ってストレージを追加する。iSCSIのストレージは【Select Disk / LUN】の画面に自動的に表示される。後は、データストアの名前を入力して終了。
肝心の使用感としては…遅い。うーん。真面目に使うにはやっぱりFC-SANが必須だわ。FC-SANなら速いしQoSも確保できるし、バックアップ系のアプリケーションも使えるし。ESXiでコチョコチョ遊ぶくらいならiSCSIでも十分だと思うが、真面目に運用するにはチョイとキツいかもしれない。ところで、ESXiはリンクアグリゲーションに対応しているそうな。スイッチを買ったら試してみるつもり。

NetBSDでiSCSI Targetを構築する。その2 Windowsでマウント編

2009-05-08T18:14:00.007+09:00

前回の続き。今回はNetBSDで構築したiSCSIターゲットをWindows Server 2008でマウントする。Windows Vista / 2008では標準でiSCSIイニシエーターがインストールされているので問題はないが、Windows XP / 2003 / 2000の場合は、こちらからiSCSI Software Initiatorをダウンロード＆インストールする必要がある。

設定は超簡単で、以下の3つのみ。

ターゲットが接続されたマシンを探索リストに追加する。
ターゲットにログオンする
ターゲットをオンラインにして、パーティションを切り、フォーマットする

まずは、【コントロールパネル】→【iSCSIイニシエータ】→【探索】タブを選択。その後、【ポータルの追加】を選択し、ターゲットが稼働するマシンのホスト名（またはIPアドレス）を入力。ポートはデフォルトの3260でOK。

次に、【ターゲット】タブを選択して、【ターゲット】より"iqn.1994-04.org.netbsd.iscsi-target:target0"を選択。その後、【ログオン】を押して、ログオンする。ログオン時のオプションで【コンピュータの起動時にこの接続を自動的に復元する】を選択すると、起動時に自動的に接続する事ができる。

最後に、サーバーマネージャを起動して、【記憶域】→【ディスクの管理】を選択し、オフラインになっているディスクの上でコンテクストメニューを表示し、【オンライン】を選択。あとは、通常のボリューム作成＆フォーマットを行なうのみ。
さて、問題の速度は.....SandraのディスクベンチでNTFSを用いた場合は9MByte/Secだった。経験からすると100Base-TXの場合はまぁこんなていど。やっぱり自宅にも1000Base-Tを入れるか。Managedな1000Base-Tのエッジ系L2スイッチだと...Alied Telesis CentureCom GS908かな。ファンレンスだし。

次回はVMware ESXiでのiSCSIイニシエーターの使用方法を紹介する予定。

NetBSDでiSCSI Targetを構築する。その1 Target構築編

2009-05-07T01:49:00.005+09:00

NetBSDはiSCSIのTargetソフトウェアが標準で搭載されている。VMware ESXiやWindowsのInitiatorと組み合わせるとものすごい幸せになれるので構築してみた。
今回は、ddで作成されたファイルをターゲットとして公開し、Windows Server 2008のイニシエーターでマウントしてフォーマットするところまでを紹介する。環境の構築手順はとても簡単だ。

NetBSDマシンでiSCSIターゲットを構成する
NetBSDマシンでiSCSIターゲットを起動する
クライアントマシン（例としてWindows Server 2008 SP1）でターゲットをマウントする。
クライアントマシンでターゲットをフォーマット

NetBSDではiSCSIターゲットが標準でインストールされており、その詳細はiscsi-target(8)とtargets(5)でmanを見る事ができる。iscsi-targetは少し前にはpkgsrc/devel/netbsd-iscsiとして公開されていたがいつのまにか本家にマージされていた。私の記憶が正しければ、実装は元々WASABI Systemが行なっていて、NetBSDプロジェクトに寄贈したんじゃなかったかと。2005年くらいには実装が終了していたような気がするので、割と安心して使用する事ができる。

iscsi-targetの設定は設定ファイルベースで行なわれる。設定ファイルのデフォルトの場所は、/etc/iscsiとなっており、サンプルとしてtargetsとauthsの2つのファイルが保存されている。targetsはiSCSIターゲットとして公開するファイル（またはデバイス）を記載し、authsはターゲットにアクセスする際のユーザー名とパスワードを記載する。

まずはiSCSIターゲットとして公開したいディスクイメージファイルを作成する。ここではファイル名を/iscsi-targets/testとし、ファイルサイズを500Mbyteとした。

$ dd if=/dev/zero of=/iscsi-targets/test bs=1024k count=500

作成が終了したらls -l でファイルの大きさを確認しておく。ファイルの大きさをtargetの設定ファイルに記述する必要があるためだ。

ls -l /iscsi-targets/test
-rw-r--r-- 1 root wheel 524288512 May 7 09:54 /iscsi-targets/test

次に、/etc/iscsi/targetsファイルを編集する。targetsファイルには以下の2行を追加する。

extent0 /iscsi-targets/test 0 524288512
target0 rw extent0 192.168.55.0/24

extent0の行には公開するファイルとそのファイルの開始位置と終了位置を記載する。オフセットを適切に指定する事によって、1つのファイル（やデバイス）を複数のextentとして構成する事ができる。今回は1つのファイルを1つのextentとしている。このため、offset は0となり、sizeは524288521となる。target0の行には公開するターゲットの名前とモード、ターゲットに対応するextentとtargetを公開するサブネットを記載する。
ここで注意するのは、extent0の行は"extent + numner"で表記されなければならず、hoge0などの勝手な名前は拒否される。同様にtargetの行も"target + number"の形式で表記する必要がある。

次にiSCSIターゲットを起動する。iSCSIターゲットの起動スクリプトは/etc/rc.d/iscsi-targetに保存されている。システム起動時に自動的に起動したい場合は、以下のようにrc.confに1行を追加しておく。

echo "iscsi-target=YES" >> /etc/rc.conf

次に、iSCSIターゲットを起動する。

bash-4.0# /etc/rc.d/iscsi_target start

iSCSIターゲットが正常に起動すると、以下のようにメッセージが表示される。

iscsi_target not running? (check /var/run/iscsi-target.pid).
Starting iscsi_target.
Reading configuration from `/etc/iscsi/targets'
target0:rw:192.168.55.0/24
extent0:/iscsi-targets/test:0:524288512
DISK: 1 logical unit (1024000 blocks, 512 bytes/block), type iscsi fs
DISK: LUN 0: 500 MB disk storage for "target0"
TARGET: TargetName is iqn.1994-04.org.netbsd.iscsi-target

ここで、注目するのはTARGET:の行で、これがこのターゲットを識別するための物となる。実際にターゲットをマウントする際はLUNと連結し、「iqn.1994-04.org.netbsd.iscsi-target:target0」としてマウントする事になる。

長くなったので今日はここまで。実際にWindows Server 2008を用いてマウントする方法は次回に記載する事にしよう。

RSA Conference Japan 2009とJNSA PKI Day 2009

2009-05-05T00:50:00.004+09:00

6月はいろいろと催し物がある。
6/8 - 12はRSA Conference Japan 2009。行けるかどうかわからないけど、展示会と基調講演だけでも行きたいところだ。
クラストラックのうち興味があるのは、

RC-03 サイドチャネル攻撃への対策とその副作用
RC-06 ハッシュ関数の標準化動向 - SHA3コンテストの最新状況 -
RC-07 電子政府と情報セキュリティ
RC-11 Lattice-based Cryptography の最新動向
RC-21 ストリーム暗号の標準化と最新動向

申し込みは既に始まってるので、急いで手配しないと。

6/24はJNSA PKI Day 2009も開催される。場所は今年も東京ウイメンズプラザホール。暗号なんて堅苦しい分野なのに毎年「東京ウイメンズプラザホール」ってのがちょっと微笑ましい。こちらは、まだ申し込みは始まっていないようだ。

電子署名活用ガイド＠電子認証局会議

2009-05-02T10:57:00.003+09:00

4/30に電子認証局会議（CAC:Certification Authority Conference）が「第９回　電子署名電子認証シンポジウム」を開催していた。予定が合わずに出席できなかった。残念。今回のシンポジウムは「電子署名活用ガイド（PDF）」についての話だったようだ。連休中に目を通しておこう。

最近、こういった電子文書の配布が増えていて、パソコンで文書を読む事がとても多くなった。そろそろ電子ペーパーの導入も考えないと辛くなって来た。

NetBSD 5.0 リリース！

2009-04-30T22:47:00.004+09:00

4/29にNetBSD 5.0がリリースされた。さっそくcvs update && make すんべさ。ついでに、NetBSDのオフィシャルブログもオープンしたそうな。

イーサネットポートにUSBコネクタが挿せる件

2009-04-29T01:11:00.000+09:00

パソコンの背面にあるUSBコネクタにマウスをつなげようとしていたら、間違ってイーサネットポート（RJ45コネクタ）に接続してしまった。コネクタの形状は違うが普通に挿入できてしまう。試しにL2スイッチに挿してみた。
ぴったりじゃん。

富士ゼロックスのネットプリントが便利すぎる件

2009-04-28T23:20:00.000+09:00

富士ゼロックスのネットプリントサービスが便利すぎる。このサービスはインターネットでファイルをアップロードし、セブンイレブンの複合機でそのファイルを印刷できるサービスだ。A4が1枚で20円で、印刷時にコピーと同じように支払う。プリンタを持っていてもほとんど使わない。たまに使おうとしてもインク切れ。そんな人にはベストなサービスじゃないかと。

と、いうことで長年使っていた、Cannon LBP-320を処分した。先日から印刷物に線が入るようになってしまって、ドラム＆トナーを交換すると12000円くらいするのでもういいかなと。ちなみにドラムは12000円。時代遅れのプリンタに12000円を払う気にはなれん。10000円でインクジェットプリンタが買えるというのに。

あとは印刷だけではなくスキャンもできれば最高なんだが。コンビニでスキャンしてネットでダウンロード。便利だと思うんだけどなー。

タイムスタンプを使ったWebページの存在証明サービス

2009-04-25T15:44:00.001+09:00

タイムスタンプを使ったWebページの存在証明サービスというものを見つけた。茨城大学の修士課程の成果物らしい。Webページにタイムスタンプを打つことによって、そのページが存在した事を証明する事ができるわけか。なるほどねぇ。

Thoma BravoによるEntrustの買収に思う事

2009-04-24T00:03:00.002+09:00

PKIの大手ベンダーであるEntrustが、Thoma Bravoに買収されるというニュースが入って来た。昨年は、HSM屋のnCipherもThales傘下に入ってしまったし、なんだか周りが騒がしくなってきた。

ところで、Thoma Bravoってどんな会社だろうと思ったら、WebページのABOUTに、

Thoma Bravo is one of the most experienced and successful private equity firms in the United States.

って書いてあった。なんだ、PEファンド（Private Equity）なのか。なんだか、この買収は全くいいイメージが湧かないな。少なくとも前向きな買収には思えない。うーむ。

Windows 7/2008 R2でのPKI関連の記事@Technet Magazine

2009-04-23T20:01:00.002+09:00

MicrosoftのTechnetマガジン2009年5月号（英語版）で「PKI Enhancements in Windows 7 and Windows Server 2008 R2」という記事があった。なるほど、とりあえずVistaの時のような大きな変更は無さそうだね。Server CoreでADCSが使えるようになるのはうれしいかも。

まだ出るのか。DQ45CB BIOS Update 0079

2009-04-22T12:43:00.003+09:00

Intel DQ45CBのBIOSアップデート 0079が公開された。これで発売されてからのfix/featuresの合計は90件になる。発売したのが、2008年の9月末、半年で90件は多すぎると思う。

修正点は以下のとおり。未だに起動関連は安定しないみたいだ。

New Fixes/Features:
1. Fixed an issue where the system could not boot from a hard drive
when there were two optical drives attached in RAID mode.
2. Fixed an issue where eSATA device’s were not being properly
detected by the operating system under certain conditions.
3. Reliability enhancements made to the BIOS Recovery function.
4. Fixed and issue where the setup option of Trusted Platform Module
was not properly changed to the default value after executing
“ITOOLKIT REMOVE”.
5. Performance and reliability improvements made for iQST.

IEのCRLのキャッシュをクリアする方法

2009-04-16T15:37:00.004+09:00

Vista / Windows Server 2008ではcertutil.exeコマンド一発でOK。

certutil.exe -urlcache * delete

EV SSL証明書の2011年問題と携帯電話

2009-03-30T19:50:00.001+09:00

2009年3月24日に、みずほ情報総研が「暗号方式：もう一つの2011年問題～EV SSLと携帯電話～」というコラムを出していた。

指摘されている問題点を要約すると、

CABF(CA/Browser Forlum)が、RSA 1024bitを使ったEV SSL証明書は2010年12月31日までに失効しなければならならず、2011年からはRSA 2048bitを使う必要があると規定している。
RSA 2048bitに対応していない携帯電話やスマートフォンは、2011年になっても使い続けられるだろう。
日本は携帯電話を用いてのインターネットの利用が多いため問題になりやすい。

上記の問題に対し日本電子認証協議会がCABFに2011年以降にまたがってもRSA 1024bitの証明書も使い続けられるように要望を提出したが話は進んでいないということだった。

ところで、以前、SSL関連の調査を行ったときに、ベリサインが携帯電話対応のEV SSL証明書を出してたことを思い出したので、どのように対応するつもりなのかを調べてみたところ、「グローバル・サーバID EV for MobileのFAQ」に以下のような記述があった。

CABFの方針に従い、グローバル・サーバID EV for Mobileは順次発行を終了する。すでに有効期間が2年間の証明書の販売を終了した。
2005年以降に発売された携帯電話端末では、ほぼすべての端末で、通常のEV SSL証明書に対応している。携帯電話版はその役割を終えたと判断する。

つまり、ベリサインは現行のCABFの方針に従い、2010年末でRSA 1024bitのEV SSL証明書を全廃するということだ。しかし、ずいぶんと正反対の見解だなぁ。

ところで、「もうひとつの2011年問題」って何だろうとおもったら、地上アナログ放送の停波のことだったのか。そういう呼び方もあるのか。知らなかった...

XPとOffice 2003のメインストリームサポートが終了

2009-03-30T18:50:00.003+09:00

今日、Windows XPとOffice 2003のサポートが終了するというニュースを聞いた。とりあえずソースをあたってみた。

各プロダクトのライフサイクルについては以下のページで参照できる。

なるほど、上記製品は、2009年4月14日でメインストリームサポートは終了し、延長サポート期間に入ると記載されている。そして、ライフサイクルポリシーのFAQには以下のように記載されている。

17. セキュリティ更新プログラムのポリシーを教えてください。

セキュリティ更新プログラムのポリシーは次のとおりです。

・ビジネス、開発用ソフトウェア
延長サポートフェーズ終了時 (メインストリームサポート 5 年＋延長サポート 5 年) まで、全てのお客様に無償で提供します。セキュリティ更新プログラムは、メインストリームサポートおよび延長サポートの両フェーズにおいて Windows Update にて提供されます。

・コンシューマ、ハードウェア、およびマルチメディア
メインストリームサポートフェーズ終了時まで、全てのお客様に無償で提供します。

延長サポートフェーズ中はセキュリティパッチは無償で提供されると書かれている。XPとOfficeの延長サポートは2014年4月8日に終了する予定なので、それまでは安泰ということか。よかった、よかった。

北朝鮮の人工衛星発射は全国瞬時警報システムで通報されるか

2009-03-26T19:35:00.002+09:00

現在、日本で運用されている緊急地震速報は一般にも広く知られている。しかし、この速報は全国瞬時警報システム（J-Alert）と呼ばれるシステムの一機能を使用したものであることはあまり知られていない。J-Alertは地震速報以外にも、火山情報、武力攻撃などに関するたくさんの情報を配信することができる画期的なシステムとなっている（資料1、資料2）。

J-Alertが送信するメッセージのうち、武力攻撃に分類される警報は以下の4つとなっている（資料3：PDF）。

弾道ミサイル情報
航空攻撃情報
ゲリラ・特殊部隊攻撃情報
大規模テロ情報

日本政府は今のところ、北朝鮮の発射する物体は弾道ミサイルとして取り扱っているので、弾道ミサイル情報が発信される可能性は高い。ちなみに、弾道ミサイル情報の音声案内は以下のようになるそうだ。

「ミサイル発射情報。ミサイル発射情報。当地域に着弾する可能性があります。屋内に避難し、テレビ・ラジオをつけてください。」

もし、警報が発信されたときは戸惑う人は多いのではないだろうか。少し心配になった｡

中央省庁のWebページのRSS配信状況を調べてみた

2009-03-24T18:43:00.001+09:00

日本の中央省庁のRSS配信状況を調べてみた。

対象は、首相官邸のリンク集の「内閣」に属しているもの。合計で32省庁。

府・省	庁・その他	URL
内閣府	-	http://www.cao.go.jp/rss/news.rdf http://www.cao.go.jp/rss/topics.rdf
	宮内庁
	公正取引委員会	http://www.jftc.go.jp/rss/news.rdf
	国家公安委員会
	警察庁
	金融庁
総務省	-	http://www.soumu.go.jp/news.rdf
	消防庁	http://www.fdma.go.jp/rss/fdma.xml
法務省	-
	公安調査庁
外務省	-
財務省	-
	国税庁
文部科学省	-	http://www.mext.go.jp/b_menu/news/index.rdf
	文化庁
厚生労働省	-
	中央労働委員会
	社会保険庁
農林水産省	-
	林野庁
	水産庁
経済産業省	-
	資源エネルギー庁
	特許庁
	中小企業庁
国土交通省	-	http://www.mlit.go.jp/index.rdf
	観光庁
	気象庁
	運輸安全委員会
	海上保安庁
	環境省
防衛省	-

サーバールームでは花粉症が軽減する

2009-03-23T16:26:00.003+09:00

職場のサーバールームに引きこもっていたら花粉症が出ていないことに気がついた。目もかゆくないし鼻も垂れてこない。こりゃぁすばらしい発見をした。

電子ペーパー端末が出始めた

2009-03-23T09:10:00.003+09:00

電子ペーパー端末が各社から発売され始めている。以前より気になっていたので、先行して発売された2機種を比較してみた。
最初に発売されたのはブラザーのSV-100Bだ。スペックは、

画面サイズ：202.8mm x 139.4（だいたいA5用紙と同じくらい）
画素数：1200 x 825
表示色：4階調グレースケール
電池：83時間（5000ページ）
重さ：600g
インターフェース：microSD、USB2.0, Bluetooth
価格：139800（ブラザーダイレクトクラブの価格）

そして、次に発売されたのは、富士通フロンテックのFLEPia。スペックは、

画面サイズ：164.8mm x 123.6（A5用紙よりも一回り小さいくらい）
画素数：1024 x 768
表示色：64色（1スキャン）、4096色（2スキャン）、26万色（3スキャン）
電池：40時間（2400ページ、64色の場合）
重さ：395g
インターフェース：SDカード、USB2.0、Bluetooth、無線LAN
その他：タッチパネルができる。OSはWIndows CE 5.0
価格：99750円

カラー表示で勝るFLEPiaと画面サイズで勝るSV-100Bといったところか。

それにしても価格が高い。ビューアーならば5万円代に乗せてこないと、一般ユーザーは手を出さないだろうな。

DQ45CBのBIOSアップデート version 0075

2009-03-18T23:29:00.000+09:00

久しぶりにIntel DQ45CBのBIOSアップデートがあった（ダウンロードはこちら）。今回の修正で、修正件数の合計は85件になった。多すぎ。

なお、今回はリリースノートに、Known Errataの項目が追加されている。内容は以下の2つ。

1. The Me firmware version is listed as 5.0.2.1122, while real version is 5.0.2.1121.
2. BIOS update to versions prior to version 0069 may fail.

BIOSが古いとBIOSアップデートに失敗する可能性があると。これは私もハマったが、5回中に4回くらいはアップデートにコケるんだよね。

総務省の「デジタル日本創生プロジェクト（ICT鳩山プラン）‐骨子‐」を読んで思うこと

2009-03-18T22:34:00.008+09:00

3/17に総務省が「デジタル日本創生プロジェクト（ICT鳩山プラン）‐骨子‐」という文書を発表している。（発表資料）この文書は総務省が行っているICTビジョン懇談会の提言を取りまとめたもので、今後3年間に重点的に取り組む課題がまとめられている。

今回の骨子にはアレもコレも詰め込んでいろいろなテーマを記載しているようだが、あまりに幅が広すぎて、本当に全部に重点的に取り組むつもりがあるのかどうか疑わしくなってしまう。これから個々のテーマについて詳細を詰めて行くのだろうが、手広く行なったせいで中途半端になるような気がしてならない。

記載されているテーマは以下の通り。

(1)“産業”の底力の発揮-----デジタル新産業の創出
1)電波の有効活用による新産業創出
2)新産業を創出する革新的技術開発の加速化
3) オープン・イノベーションの創出

(2)“政府”の底力の発揮-----霞が関クラウドの構築等
1)革新的電子政府の構築
2)ナショナル・デジタル・アーカイブの構築

(3)“地域”の底力の発揮-----ユビキタスタウン構想の推進
1)ユビキタスタウン構想の推進
2)ＩＣＴ利活用の推進による地域住民の利便性等の向上
3)ＩＣＴによる中小企業の活力発揮
4)地域からの情報発信の強化
5)電子自治体の構築

(4)先進的デジタルネットワークの構築
1)デジタル・ディバイドの解消
2)地上テレビジョン放送のデジタル化円滑実施のための施策展開

(5)クリエイティブ産業の育成強化
1)通信・放送の融合・連携型コンテンツ配信の促進
2)コンテンツ取引市場の形成
3)コンテンツの不正流通対策の強化
4)教育・教養分野におけるデジタル・コンテンツ活用の促進
5)ケーブルテレビネットワークの広域連携の促進

(6)ＩＣＴ産業の国際競争力の強化-----グローバル展開の加速
1)ユビキタス・アライアンス・プロジェクトの強化
2)デジタルシルクロード構想の推進

(7)ユビキタス・グリーンＩＣＴの開発・展開
1)省エネルギー型ネットワークの開発促進
2)グリーンクラウド・データセンタの整備促進
3)オープンセンサーネットワークの活用による環境対策の推進
4)家庭におけるＣＯ２排出量の“見える化”の推進
5)テレワークによる新たなワークスタイルの推進

(8)高度ＩＣＴ人材等の育成強化
1)高度ＩＣＴ人材等の育成
2)ＩＣＴ分野における研修の推進

(9) ネットワークの安心・安全の実現

そろそろWindows PowerShellに移行しようかと

2009-03-16T18:39:00.002+09:00

今まで使っていたCMD.exe + VBSの環境を、Windows Power Shellに移行しようかと思い立った。PowerShellはMicrosoftが開発した新しいシェルで、従来のcmd.exeの置き換えを狙ったもの。歴史は意外と古く､2004年くらいに開発が開始され2006年にWindows XP/Vista/Server 2003/Server2008向けにバージョン1.0がリリースされている。現在はバージョン2.0が開発中で、CTP 3(Customer Technology Preview 3)版を入手することができる。

PowerShellを使い始めて今日で4日目。やっと慣れてきたところだ。面白いのが、PowerShell Driveという機能。この機能は今までレジストリや特殊ファイルとして扱われていたものを、ドライブとしてマウントしてしまう機能だ。Linuxの/procをイメージしてもらえればいいだろう。

標準の状態で作成されているPS DriveはGet-PSDriveコマンドで見ることができる。

PS C:\> Get-PSDrive

Name Provider Root
---- -------- ----
Alias Alias
C FileSystem C:\
cert Certificate \
Env Environment
Function Function
HKCU Registry HKEY_CURRENT_USER
HKLM Registry HKEY_LOCAL_MACHINE
Variable Variable

レジストリはHKCU:とHKLM:にマッピングされているし、環境変数はEnv:にマッピングされている。面白いのがcert:で、これはWindows証明書ストアがマップされている。たとえば、以下のようにすると管理ツールの証明書で、【証明書 - 現在のユーザー】 → 【個人】 →【証明書】を選択したのと同じように証明書の一覧が表示される。

PS C:\> Get-ChildItem 　cert:\CurrentUser\My\

ディレクトリ: Microsoft.PowerShell.Security\Certificate::CurrentUser\My
Thumbprint Subject
---------- -------
06B05F0D2A93279CDB09115E33D336D40A316D5F CN=Administrator

このAdministratorの証明書はPowerShell内ではオブジェクトとして扱われるので､オブジェクト指向言語を用いたときのように、フィールドを参照したり、メソッドを実行したりすることができる。たとえば､証明書のシリアルナンバーを入手するには以下のようにする。

PS C:\> $certificate = (Get-Item cert:\CurrentUser\My\06B05F0D2A93279CDB09115E33D336D40A316D5F)

PS C:\> $certificate.SerialNumberString()
61F6573B000000000011

PowerShellには、他にもおもしろい機能がたくさんあるが、やっぱり「ls」コマンドが使えることが一番うれしい。何度、DOS窓でlsって打ってむなしい想いをしたことか...

Macでe-Taxの記事

2009-03-11T20:01:00.002+09:00

PC Onlineのこちらの記事で、Macでe-Taxに挑戦してハマったと記載されていた。WindowsではWindows Updateを通じてGPKIのルート証明書が配布されているがMacは配布されていない。総務省がAppleに配布を依頼しているが､まだ対応してもらえていないということらしい。ほかにもPINと証明書PINを間違えてしまったりしている。

筆者の方はPKIの基本的な知識があるようなので自力で問題を解決できていたが、普通の人ならば投げ出してしまうようなトラブルばかりだった。マイノリティがゆえの苦労と言ったところか...

住民基本台帳法の一部を改正する法律案

2009-03-11T00:34:00.002+09:00

総務省が住基カードについて改正法案を提出するようだ（資料：PDF）。改正する内容は以下の通り。

外国人住民を基本台帳法の適用対象に加える
他の市区町村へ引っ越した場合でも引き続き住民基本台帳カードを使用する事ができる

引っ越しについてはあまり良くないかもしれない。というのも、引っ越し後の住所はどうやら裏面に記載することになるらしい。実際にどのような方法になるかは不明だが、どこかでカードを提出したときに偽造したように思われないようにしてもらいたいものだ。

3/11追記：

知り合いの外国人に聞いたところ、外国人登録証も裏面に新住所を記載するそうだ。よくやられる方法なのかもしれない。

CentOS 5.2 on Xen3.3 with NetBSD 5.0RC2 amd64

2009-03-08T19:32:00.005+09:00

NetBSD amd64 + Xenの環境で、CentOS 5.2がDomUで動作した。ググってもvert-installを用いたやり方しか出てこないので、シンプルなDomUの設定ファイルを書いておく。

設定ファイルの内容

#kernel = "/xendata/centos52/vmlinuz_64"
#ramdisk = "/xendata/centos52/initrd.img_64"
memory = 512
name = "centos52"
vif = [ 'bridge=bridge0' ]
disk = [ 'file:/xendata/centos52/disk1,xvda,w']
root = "/dev/xvda ro"

手順は、

Xen用のインストーラーを入手する。vmlinuzとinitrd.imgをダウンロード。
インストーラーを上記設定ファイルのkernel=とramdisk=の場所に配置する。設定ファイルのコメントを解除。
xm create -c configuration_file_for_centos52
そのまま普通にインストールし、インストーラーが終了したらシャットダウン。
設定ファイルのkernel=とramdisk=をコメントアウト
再び起動するとdisk1からブートする。

注意する点は以下の2つ

vifにmac=を使ってMACアドレスを指定すると、ネットワークインストールに失敗する。
pingは通るがドロップが激しい。mac=は使わない事。
ディスクをhdaデバイスとして提供にすると、インストーラーがfdiskに失敗する。anacondaがGPTパーティションと誤認する。
xvdaを使う事。

Dom0起動時にDomUを起動するためには、NetBSDの場合は、以下の設定を行なう。

DomU起動スクリプトxendomainsをコピー
# cp /usr/pkg/share/examples/rc.d/xendomain /etc/rc.d
/etc/rc.confに以下の行を追加
xendomains="config_file_for_centos52"
DomUの設定ファイルを/usr/pkg/etc/xen/config_file_for_centos52にシンボリックリンクorコピーする

今のところ問題無し。インストールしたCentOSはSELinuxの実験に使うつもり。

公的個人認証サービスの電子証明書の発行枚数が100万件を突破

2009-03-08T12:23:00.001+09:00

公的個人認証サービスの電子証明書の発行枚数が100万件を突破したそうだ。発表はこちら。100万件というのはすごい数だ。先日、電子署名・タイムスタンプ普及フォーラムでGPKIの先進例として紹介されたエストニアの人口は134万人。証明書の発行枚数が利用者の数と合致するとは思わないが、それと同じくらいの規模はあることになる。

発表された資料には、発行枚数の月別グラフ（PDF）を見ることができる。この資料によると、以下の事がわかる。

2008年1月から2009年1月までの1年に約40万件の増加があった

毎年1月前後は発行枚数が急激に増加する

100万件のうち40万件がここ1年の間ということは、住基カードの発行が順調に増加している事がわかる。また、毎年1月前後に発行枚数が飛躍的に伸びているのは、新たにe-Taxを使って確定申告を行なう人が住民基本台帳カードを取得するためだと思われる。日本のPKIもキラーアプリケーションがあればもっと利用者が増えて行くんじゃないかと思う。

電子署名・タイムスタンプ普及合同フォーラム2009に行ってきた（その2）

2009-03-07T16:34:00.000+09:00

電子署名・タイムスタンプ普及合同フォーラム2009では、国民のID管理について、北欧各国のGPKIとID管理の先進的な事例が紹介された。紹介された国はエストニア、デンマーク、スロベニア、オーストリーの4カ国。これらの国はPKIをベースにしたID管理とそれを使った行政ワンストップサービスを提供しており、日本が提供するものよりも遥かによくできたものだった｡

1つだけ注意する必要があって、上記の先進例として示した国は日本よりも遥かに人口が少ないということだ。各国の総人口は以下のとおり（数値は外務省より）

日本：約1億2800万人
オーストリー：約823万人
デンマーク：約543万人
スロベニア：約200万人
エストニア：約134万人

人口の少ない国では公的なサービスの効率性が上がりにくい。ITを導入したのは効率性を向上するのに必須だったようからだろう。実際に北欧諸国でも人口の多いくにでは、IT化が遅れてしまっているそうだ。

日本では効率が悪いにせよ既に行政サービスが稼働しており、それは長い年月をかけて経験が蓄積されたものだ。日本で国民IDを構築するには、スケールの面や信頼性の面でかなり難しいチャレンジになるのではないのだろうか。

電子署名・タイムスタンプ普及合同フォーラム2009に行ってきた（その1）

2009-03-07T02:00:00.004+09:00

ECOM（次世代電子商取引推進協議会）主催の電子署名・タイムスタンプ普及合同フォーラム2009に行ってきた。日本のPKIを牽引する面々の話が聞けて楽しめた。当日、配布された資料はこちら。

今回のテーマは「電子署名＆タイムスタンプはなぜ普及しないのか」というものだった。電子署名法が始まって6年が経ったが一向に普及する気配がない。どうなっちゃってるのよってのが今回のテーマ。講演では普及しない理由として以下のようなものが挙げられていた。

利用者にメリットが伝わっていない
電子署名＆タイムスタンプによって得られる効果が正しく伝わっていないのではないか。コスト削減のソリューションが前面に出て、それ以外の有用性が正しく伝わっていないのでは？
法制度の不備
現行の電子署名法は、電子文書を既存の紙文書の延長としてとらえている。これでは、限界があるのではないだろうか。
そもそもお役所の抵抗があるらしい
お役所は既存のワークフローを変更したくない。

確かに、利用者にとってのメリットというのが解りにくいのは事実だ。それに「やらなければならない」という動機付けとしても薄いんだな。今までのやりかたでいいじゃんって言われて返す言葉がない...

当日は経団連の方も講演していただいた。経団連としても電子行政に対して強くプッシュをしていくそうだ。経団連がまとめた提言はこちら。結構読みごたえあります。

眠いから続きは明日。

Mac miniが帰ってきた

2009-03-04T18:45:00.004+09:00

3/3ひな祭り。この日にAppleはデスクトップラインの新製品を発表した。今回の発表では、iMac、Mac miniとMac Proが新スペックでの登場となった。

この中で注目すべきは、Mac miniだ。長年Inte Core Duoのままで放置され、いらない子状態で、Appleから見放されたと思われていた奴が見事に返り咲いた。スペックについては現行のMacbookとほぼ同じ。ディスプレイポートもつくし、必要なものをしっかりと押さえている。ちなみにお値段は約7万円。そして、忘れてはいけない、Mac miniはMac OS X Leopardが付属してこの値段なんだということを。

WindowsのPCで、Mac miniと同じくらいの機能がほしければ、Windows Vista UltimateとそこそこのスペックのPCを買わなければならない。Windows Vista Ultimale SP1はDSP版でも24000円。残り4万6千円で、Ultimateがサクサク動く省スペースPCは買えるのだろうか。できたとしてもギリギリか多少オーバーしそうだ。一般消費者には「Mac = 値段が高い」と思われがちだが、製品を手に入れることによって得られるものを総合して考えると、十分にWindows PCと張り合えるのではないだろうか。

今回のラインナップの刷新ではWindows陣営を一気に切り崩すことにはならないだろう。しかし、Appleは着実にその地盤を固め、ジワジワとWindows陣営を侵食していくように思える。

Windows Server 2003 R2提供終了まであとわずか！

2009-03-02T22:40:00.005+09:00

MSのWindows Server 2003のホームページを見てみたら、「Windows Server 2003 R2提供終了まであとわずか！」というニュースが目に入った。

どうやらWindows Server 2003のパッケージ製品とOEMライセンスは、2009年3月31日で店頭から姿を消すようだ。ボリュームライセンスの提供も終了しているので、もう2003は入手できなくなるということだ。

ちなみに、同ページには2003のサポート期限も記載されていた。2003のメインストリームサポートは後１年半後に終了する。

メインストリームサポート終了日：2010/7/13
延長サポート終了日：2015/7/14

先日、仕事でWindows 2000 ServerとWindows Server 2003混ざった環境を相手にしてたばかりなのにもうサポート終了か。他の案件でもWindows 2000の要件はしぶとく残っていたし、酷い場合はNT4とかが平気で出てくる。Microsoftが悪い訳じゃないが、これじゃあサポートプラットフォームが続々増えていくばかりになってしまうような気がする。なんとかならんもんかね。