List of Ipa [text.Baldanders.info]

icat4json 公開

2016-02-25T07:45:01+00:00

IPA が提供する “icat for JSON” にアクセスする Go 言語用のパッケージを公開した。

github.com/spiegel-im-spiegel/icat4json

以下のような感じで使える。

package main

import (
    "fmt"
    "log"

    "github.com/spiegel-im-spiegel/icat4json"
)

func main() {
    json, err := icat4json.Get(icat4json.ToolICATW)
    if err != nil {
        log.Fatal(err)
    }
    data, err := json.Decode()
    if err != nil {
        log.Fatal(err)
    }
    fmt.Printf("Title: %v\n", data.Title)
    fmt.Printf("  URL: %v\n", data.Link)
    fmt.Printf(" Date: %v\n", data.Date)
    fmt.Print("Items:\n")
    for _, item := range data.Itemdata {
        fmt.Printf("\t%v: %v (%v)\n", item.Date, item.Title, item.Link)
    }
}

$ go run sample.go
Title: IPAセキュリティセンター:重要なセキュリティ情報
  URL: https://www.ipa.go.jp/security/vuln/icat.html
 Date: 2016-02-10 11:58:22 +0900 JST
Items:
    2016-02-10 12:00:00 +0900 JST: Microsoft 製品の脆弱性対策について(2016年02月) (http://www.ipa.go.jp/security/ciadr/vul/20160210-ms.html)
    2016-02-10 12:00:00 +0900 JST: Adobe Flash Player の脆弱性対策について(APSB16-04)(CVE-2016-0985等) (http://www.ipa.go.jp/security/ciadr/vul/20160210-adobeflashplayer.html)
    2016-01-20 12:00:00 +0900 JST: Oracle Java の脆弱性対策について(CVE-2016-0494等) (http://www.ipa.go.jp/security/ciadr/vul/20160120-jre.html)
    2016-01-13 12:00:00 +0900 JST: Microsoft 製品の脆弱性対策について(2016年01月) (http://www.ipa.go.jp/security/ciadr/vul/20160113-ms.html)
    2016-01-13 12:00:00 +0900 JST: Adobe Reader および Acrobat の脆弱性対策について(APSB16-02)(CVE-2016-0932等) (http://www.ipa.go.jp/security/ciadr/vul/20160113-adobereader.html)
    2016-01-06 16:40:00 +0900 JST: 【注意喚起】インターネットに接続する複合機等のオフィス機器の再点検を！ (http://www.ipa.go.jp/security/ciadr/vul/20160106-printer.html)
    2016-01-05 14:00:00 +0900 JST: 「DXライブラリ」におけるバッファオーバーフローの脆弱性対策について(JVN#49476817) (http://www.ipa.go.jp/security/ciadr/vul/20160105-jvn.html)

“icat for JSON” という名前なのに IPA は API の仕様を公開していない。そこで JavaScript コードの中身を見てみた。

icat for JSON について - Qiita

icat4json パッケージでは “icat for JSON” から取得した JSON データを以下の構造体にデコードする。

//Item - itemdata from icat
type Item struct {
    Title      string    `json:"item_title"`
    Link       string    `json:"item_link"`
    Date       time.Time `json:"item_date"`
    Identifier []string  `json:"item_identifier"`
}

//ICAT - data from icat
type ICAT struct {
    Itemdata []Item    `json:"itemdata"`
    Title    string    `json:"docTitle"`
    Fix      string    `json:"docTitleFix"`
    Link     string    `json:"docLink"`
    Date     time.Time `json:"docDate"`
}

JavaScript コードを見ると item_identifier 項目は使ってない模様。 docTitleFix 項目は中身が null かどうかしかチェックしてなくて¹， null 以外だと htmlentities() 関数を通さずに素のまま表示するという恐ろしいことをしている（普通こういうのって boolean 値を使うんじゃないのか？）。これらの項目は無視でもいいだろう。本当は IPA が仕様を公開してくれると有難いんだけどねぇ。

脆弱性情報をクライアントサイドで取るのなら “icat for JSON” ではなく Twitter の @ICATalerts アカウントのタイム・ラインをチェックするほうがオススメ。 JSON データを使うのならサーバサイドでやるべきだよね。 icat4json パッケージはドメイン・レイヤのエンティティとして使われることを意識している。

icat4json entity

私はたまたま Go 言語を勉強中なので Go 言語のパッケージとして実装したけど，本当なら Java とか Ruby とか node.js とかサーバサイドの実装があるといいよね。 IPA も jQuery じゃなくて，そういうので実装すればいいのに。

ところで Go 言語における string の実体は []byte だが nil 状態はない。 icat4json パッケージでは docTitleFix 項目が null の場合は空文字列に展開される。 JSON の null 状態を区別したいのであれば github.com/guregu/null パッケージ等を使う手もある。ちなみに github.com/guregu/null パッケージの型の実体は database/sql の NullString 型等である。 ↩︎

JVN が CVSSv3 による脆弱性評価を開始

2015-12-02T10:18:01+00:00

JVN が CVSSv3 による脆弱性評価を開始

当面（2017年度末まで）は CVSSv2 と CVSSv3 の併記で運用するらしい。

たとえば

JVNVU#97647301: RSI Video Technologies の Videofied Frontel がセキュアでない独自プロトコルを使用する問題

では

CVSSv2 基本評価値 5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N)

基本評価基準	評価値
攻撃元区分（AV）	ネットワーク（N）
攻撃条件の複雑さ（AC）	低 (L)
攻撃前の認証要否（Au）	不要（N）
情報漏えいの可能性（機密性への影響, C）	部分的（P）
情報改ざんの可能性（完全性への影響, I）	なし（N）
業務停止の可能性（可用性への影響, A）	なし（N）

CVSSv3 基本評価値 7.5 (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

基本評価基準	評価値
攻撃元区分（AV）	ネットワーク（N）
攻撃条件の複雑さ（AC）	低 (L)
必要な特権レベル（PR）	不要（N）
ユーザ関与レベル（UI）	不要（N）
スコープ（S）	変更なし (U)
情報漏えいの可能性（機密性への影響, C）	高（H）
情報改ざんの可能性（完全性への影響, I）	なし（N）
業務停止の可能性（可用性への影響, A）	なし（N）

という感じで CVSSv2 と CVSSv3 では評価の観点も最終的な評価点も異なることがわかると思う¹。

余談だが CERT/CC では

Vulnerability Note VU#792004 - RSI Video Technologies Videofied security system Frontel software uses an insecure custom protocol

CVSSv2 基本評価値 9.4 (AV:N/AC:L/Au:N/C:C/I:C/A:N)

基本評価基準	評価値
攻撃元区分（AV）	ネットワーク（N）
攻撃条件の複雑さ（AC）	低 (L)
攻撃前の認証要否（Au）	不要（N）
情報漏えいの可能性（機密性への影響, C）	全面的（C）
情報改ざんの可能性（完全性への影響, I）	全面的（C）
業務停止の可能性（可用性への影響, A）	なし（N）

と完全性への影響が高いと評価している²。

CVSSv3 の変更点

CVSSv2 から CVSSv3 への変更点は以下の通り。（なおこれは，以前書いた「CVSS に関するメモ 3」の再掲載である）

バージョン2からの大きな違いは深刻度をコンポーネント単位で評価できるようになったことだろう。以前は攻撃対象となるシステムやホストマシンが対象だったので，更に細かい評価ができるようになったと言える。

これに合わせて「スコープ（Scope）」という評価軸が追加された。厳密には「管理権限の範囲（Authorization Scope）」。脆弱性のあるコンポーネントが他のコンポーネントに影響をおよぼす場合に，「他のコンポーネント」が管理権限の範囲の内側か外側かで深刻度が異なる。脆弱性が管理権限の範囲の外側に影響を及ぼす具体例としてはクロスサイトスクリプティング（XSS）脆弱性などが挙げられるだろう。

基本評価基準（Base Metrics）で新たに追加された評価項目としては

必要な特権レベル（Privileges Required）
ユーザ関与レベル（User Interaction）
スコープ（Scope）

がある。一方，バージョン2にあった「攻撃前の認証要否（Authentication）」項目は廃止され，「必要な特権レベル」に含まれる形になった。

一番大きく変わったのは環境評価基準（Environmental Metrics）だろう。環境評価基準では対策後の状況を再評価し，評価が低いものについては再度対策を行えるようになっている。 CVSS を使ってセキュリティ対策のプロセスをきちんと回せるようになったわけだ。

再評価の観点は以下のとおり。

緩和策後の攻撃元区分（Modified Attack Vector）
緩和策後の攻撃条件の複雑さ（Modified Attack Complexity）
緩和策後の必要な特権レベル（Modified Privileges Required）
緩和策後のユーザ関与レベル（Modified User Interaction）
緩和策後のスコープ（Modified Scope）
緩和策後の機密性への影響（Modified Confidentiality Impact）
緩和策後の完全性への影響（Modified Integrity Impact）
緩和策後の可用性への影響（Modified Availability Impact）

つか基本評価基準（Base Metrics）の評価観点で再評価するって感じかな。

最近の「セキュリティ対策」がこれまでと異なっているのは，目の前の脆弱性に対処すれば「完了」とはならない点である。（私は今までもずうっと言ってきているけど）セキュリティは「ハザード（hazard）」ではなく「リスク（risk）」で考えなければならない。リスクをゼロにするには無限のリソース（人的資源やもっと端的にお金）が必要だが，私たちの持っているリソースは無限ではない。つまりリスクをゼロにすることはできないのだ。したがって，業務プロセスの中で改善を行いながら，最適解を探っていくしかない。

「セキュリティ対策」をコストと考えるなら果てしなく不毛な話であるが，「セキュリティ対策」を投資と考え，きちんと PDCA サイクルを回していくならば，それほど不毛ではないはずである。

Web フォントに関する覚え書き

2015-10-21T12:41:45+00:00

このサイトの Web フォントまわりを整理したので，覚え書きとして残しておく。

【2019-12-29 追記】 現在の Google Fonts は日本語を含む各国語に正式対応している。

Google Fonts が日本語に対応してた

なのでこの記事はもう有用ではないが「こんな時代もあったよね」って感じで残しておく。

Google Noto Fonts

このサイトの Web フォントを Google Noto Fonts で統一した¹。

Google Noto Fonts は以下のサイトで取得できる。

Google Fonts

このサイトでは様々なフォントが選べるが “Noto” をキーワードに以下のフォントを選択する。

Noto Sans : Normal 400, Bold 700
Noto Serif : Normal 400, Bold 700

またサブセットとして Latin を選択する。これで，以下に示す書式で CSS ファイルを HTML の head 要素内に指定すればよい²。

<link href='//fonts.googleapis.com/css?family=Noto+Sans:400,700|Noto+Serif:400,700' rel='stylesheet' type='text/css'>

Bold が不要であればもっと軽くできる³。

<link href='//fonts.googleapis.com/css?family=Noto+Sans|Noto+Serif' rel='stylesheet' type='text/css'>

CSS でフォントを指定する際は "Noto Sans" や "Noto Serif" で指定する。

body {
  font-family: 'Noto Serif', serif;
  font-weight: 400; /* normal */
  font-variant: normal;
  font-style: normal;
  font-size: medium;
  line-height: 1.4;
}
h1, h2, h3, h4, h5, h6, address, table th, dl > dt, em, strong, cite {
  font-family: 'Noto Sans', sans-serif;
  font-weight: 400; /* normal */
  font-variant: inherit;
  font-style: inherit;
  font-size: inherit;
}

Noto Sans Japanese

2014年， Noto Sans に Noto Sans CJK が加わった。

Noto Sans CJK を Web フォントとして使用するなら以下のサイトが参考になる。

Google Fonts : Early Access

日本語であれば “Noto Sans JP を導入すればよい⁴。

<link href='//fonts.googleapis.com/earlyaccess/notosansjp.css' rel='stylesheet' type='text/css'>

フォント名は "Noto Sans JP" で指定する。

body {
  font-family: 'Noto Serif', serif;
  font-weight: 400; /* normal */
  font-variant: normal;
  font-style: normal;
  font-size: medium;
  line-height: 1.4;
}
h1, h2, h3, h4, h5, h6, address, table th, dl > dt, em, strong, cite {
  font-family: 'Noto Sans', 'Noto Sans JP', sans-serif;
  font-weight: 400; /* normal */
  font-variant: inherit;
  font-style: inherit;
  font-size: inherit;
}

Noto Sans JP では JIS X 0208 の文字集合を収録しているため， JIS X 0213 第3第4水準漢字はサポートされていない模様。これらの漢字が必要な場合は Noto Sans CJK の日本語フルセットが必要となる。

Inconsolata

プログラム・コードの表示用に Inconsolata を導入する。 Inconsolata は Google Fonts を使って導入可能。最終的に Google Fonts の書式は以下のようになる。

<link href='//fonts.googleapis.com/css?family=Noto+Serif|Noto+Sans|Inconsolata:400,700' rel='stylesheet' type='text/css'>
<link href='//fonts.googleapis.com/earlyaccess/notosansjapanese.css' rel='stylesheet' type='text/css'>

また CSS の記述は以下のようになる。

body {
  font-family: 'Noto Serif', serif;
  font-weight: 400; /* normal */
  font-variant: normal;
  font-style: normal;
  font-size: medium;
  line-height: 1.4;
}
h1, h2, h3, h4, h5, h6, address, table th, dl > dt, em, strong, cite {
  font-family: 'Noto Sans', 'Noto Sans JP', sans-serif;
  font-weight: 400; /* normal */
  font-variant: inherit;
  font-style: inherit;
  font-size: inherit;
}
pre, tt, code, var, kbd, samp {
  font-family: 'Inconsolata', 'Noto Sans JP', monospace;
  font-weight: 400; /* normal */
  font-variant: inherit;
  font-style: inherit;
  font-size: inherit;
}

Noto Serif Japanese が欲しい！

残念ながら，現時点では Noto Serif の日本語フォントは存在しない。有料で明朝体 Web フォントを提供してくれるサービスはあるが，デザイン重視のサイトならともかく，うちのようにただ文字が多いだけのサイトでは「お金を払ってまでねぇ」という感じ。そこで，いくつかオープンなフォントを探してみる。

IPA 明朝

IPAexフォント/IPAフォント | IPAフォントのダウンロードサイトです

オープンなフォントといえば IPA フォントだよね。 OSD (Open Source Definition) に準拠したライセンスで提供されているため扱いやすい⁵。

ただし IPA フォントは PDF 文書のようなものには向いてるけど， Web フォントには向いていない。理由は以下の2つ。

全体的に線が細く表示環境によっては文字がかすれてしまう。ウェイトが1種類しかないのもマイナスポイント
JIS X 0213 の文字集合を全て収録しているのはいいが，データサイズが大きくなってしまう。第1第2水準漢字のみのサブセットがあればいいのに

あおぞら明朝

あおぞら明朝フォント

IPA 明朝（厳密には IPA P明朝）からの fork で，7ウェイトをサポートしているのが特徴。ライセンスも IPA フォントライセンスを継承している。欠点は以下のとおり。

ベースがプロポーショナル・フォントなので見た目が詰まった感じになってしまう
IPA フォントと同じく JIS X 0213 の文字集合を全て収録しているのはいいが，データサイズが大きくなってしまう

やさしさアンチック

フリーフォントやさしさアンチック（漫画用書体・セリフフォント）のダウンロード | フォントな。無料日本語フリーフォント

アンチック体あるいは「アンチゴチ」と呼ばれる書体で，漢字はゴシック体，かな文字等は明朝体で表現されるのが特徴。 IPA フォントおよび M+ フォントがベースになっているため，ライセンスもこれらに準拠する形になっている。

見出しや短文に向いている。長文はちょっとしんどいか。第1第2水準漢字までをサポートしており，サイズ的にも手頃といえる。

もう WOFF でいいじゃない

複製・再配布が自由なフォントであれば WOFF (Web Open Font Format) に変換⁶ して Web フォントとして利用可能。 WOFF への変換には，以下のツールが使える。

WOFFコンバータ（武蔵システム）

作成した WOFF ファイルを使って CSS 内に @font-face を定義する。

@font-face{
    font-family: 'aozora-m';
    src: local('AozoraMinchoMedium'), url('/fonts/AozoraMinchoMedium.woff') format('woff');
    font-weight: 400;
    font-style: normal;
}

これで定義したフォント名 "aozora-m" を使って CSS に記述することができる。

body {
  font-family: 'Noto Serif', "aozora-m", serif;
  font-weight: 400; /* normal */
  font-variant: normal;
  font-style: normal;
  font-size: medium;
  line-height: 1.4;
}

Web フォントの形式はいくつかあるが，少なくとも Modern browser であれば WOFF をサポートしている。 IE のことは忘れましょう（笑）

その他の Web フォント

Google Noto Fonts 以外で利用しているフォントを列挙しておく。

Font Awesome

Font Awesome は 5 系がリリースされ， SVG と JavaScript によるアイコン表示と制御がサポートされた。詳しくは以下の記事を参照のこと。

Font Awesome 5 がリリースされた

Creative Commons Icon Font

なお Font Awesome では 5.0.11 以降から CC Licenses のアイコンは対応している。

Font Awesome 5.0.11 で Creative Commons アイコンに完全対応した

ブラボー！

List of Ipa [text.Baldanders.info]

icat4json 公開

JVN が CVSSv3 による脆弱性評価を開始

JVN が CVSSv3 による脆弱性評価を開始

CVSSv3 の変更点

関連リンク

Web フォントに関する覚え書き

Google Noto Fonts

Noto Sans Japanese

Inconsolata

Noto Serif Japanese が欲しい！

IPA 明朝

あおぞら明朝

やさしさアンチック

もう WOFF でいいじゃない

その他の Web フォント

Font Awesome

Creative Commons Icon Font

関連（するかもしれない）記事