Windows10のサポート終了の一例が判明
皆さんはWindowsのサポート終了をどこで調べていますか？
公式は、次のページ群が相当するようです。
Microsoft サポート ライフサイクル - Microsoft Support
Windows ライフサイクルのファクト シート - Windows Help
Microsoft 製品のサポート期限一覧 - Windows - Project Group
ちなみに、これらのページでは、QWindows10の延長サポート終了は2025-10-14とされています。
ところで、上の最初のリンクで、Windows10の備考欄には、次のようにあります。
デバイスのハードウェアに互換性がない場合、最新のドライバーが不足している場合、または、OEM (Original Equipment Manufacturer) のサポート期間が終了している場合、デバイスは更新プログラムを受信できないことがあります。
これ、実はWindows8.1のところにはないんです。そして、これが既に実体化しています。
「マイクロソフト、Clover Trail搭載PCの延長サポートのデッドラインを認める」
Clover Trail（Atom Z2760, Z2580, Z2560, Z2520）はWindows8タブレットが大量に出たときのIntel Atomシリーズのプロセッサです。なのでタブレットや2in1タイプなどで用いられています。そのままWindows10にアップグレードした人もいることと思います。
これらの機種で、Creators Update (Windows 10 1703)を適用しようとすると、「Windows 10はこのPCではサポートされていません」と出ます。
当初、Acerのサイトで「ドライバを準備している」という文言があり、単なる時間の問題と安堵していたところに、マイクロソフトからの回答が来ました。
要点のみ。
- Windows 10ではWaaS (Windows as a Service)モデルを採用し、年2回の機能アップデートを行っている。
- 「良いWindows 10体験」のためにハードウェアやドライバなどのサポートが必要な場合がある。
- 今回のClover Trailのケースはまさにそれで、既にIntelのサポートが終了しており、「潜在的な性能への影響」なしにCreators Updateを適用できない。
- Clover Trailに対しては今後もAnniversary Updateを提供する。またセキュリティ更新を2023年1月（Windows8.1の延長サポート終了タイミング）まで提供する。
というわけです。つまり……。
- 自分が使うPCが、ある時から年2回の機能アップデートを受けられなくなる可能性がある
- 常に最新状態をキープしていても、PCによって、機能アップデートの適用状態が数年レベルで異なる可能性がある（例えば、2022年末でも、最新状態のClover Trail機は1607のまま）
年に2回も機能アップデートがあることを考えると、Android以上のフラグメンテーションが起きるかもしれません。重大な機能はそれほど多くはないものの、色々な部分が違うので、ユーザ側としては困惑する場面が今後増えていきそうです。
（重大な追記あり） Windows10の次回大型更新、国により名称が異なることが判明
【重大な追記 (2017-07-20昼)】
「'Autumn Creators Update'は誤訳だった。全世界で'Fall Creators Update'とのこと」
北米以外の英語圏でも「Fall Creators Update」という名前のままだそうです。そもそも9月は南半球では「春」ですよね。季節があまりない地域もありますし。いずれにせよ、現在のネーミングは（半年に1つずつ増えることを考えれば）問題があると思います（例えば個人的にはMacユーザではないので、lionとmountain lionとsnow leopardがどういう順序なのか全く分かりません）。Androidのように頭文字が順番になっているならまだしも、基本的に全部数字が最も明確であることに変わりはありません。
【追記ここまで】
次回のWindows 10の大型更新は「Fall Creators Update」とされていましたが…。
「イギリスでは英語が違うので、マイクロソフトはFall Updateという名を一部地域で改名」
マイクロソフトのen-UK（イギリス英語）ページでは「Autumn Creators Upadte」になってるそうです。確かに秋を'fall'というのは米語ですね。ちなみにAutumnになるのは「北米以外の英語圏」だそうです。
上記記事でも指摘がありますが、そもそも大型更新にいちいち名前をつけておいて、その割にOS内では表示されないのは混乱を招くばかりです。その上、地域によって名前が違うというのは、もはや名前が不具合と言われても仕方ないでしょう。
マイクロソフトさんが羨望し真似してる（この名前をつける件も）とおぼしき会社さんは、以前は大型ネコ科動物名、最近はカリフォルニアの地名なので、出荷先によって名前を変える必要はないようですし、スマートフォン向けでは単に数字しか出してませんね。
記事の主張（「1709」のように年＋月の番号にすべき）には、個人的にも同意するところです。winverコマンドで表示できますし。PCのOSではほぼ寡占しているような企業に、これ以上混乱を増やさないでほしいものです。そんなんだとさらに"Fall"しちゃいますよ？
誕生日で認証問題・日米の例
こんな話題が出ているようで。
末尾にあるように、現在は記載が変わっていますが、実際のパスワードがどうなのかは不明ですね。
誕生日は最大でも366通りしかなく、しかも正しい誕生日を入れているなら調査可能な場合が多いので、認証に使うのは論外です。
しかし、米国でも同様の事態があるのでした。
「『Myspace』は『Yourspace』ではない」
かつてSNSの雄として名をはせたMyspaceは、2016年に3億6000万アカウントの詳細を漏洩していたことが判明しました。そんなこともあって、上記記事の筆者は、Myspaceアカウントを解除するために調べていたところ、アカウント・リカバリ機能があることに気づきました。
この機能は「登録したメールアカウントが使えなくなった場合でもMyspaceアカウントにアクセスできるため」のものですが、ここで必須な情報は次のものです。
- フルネーム
- アカウント名
- アカウントに紐付けられたメールアドレス
- 今アクセス可能なメールアドレス
- 誕生日
ただし、今アクセス可能なメールアドレスは実在チェックをしていません。また、アカウントのメールアドレスと名前はprofileページで分かります。アカウント名は自明ですね。
結局、誕生日だけでアカウントが認証されてしまいます。
筆者は4月にこの件についてMyspaceに指摘しましたが、（自動応答以外）何も返ってきませんでした。その結果がこの公開というわけです。
「Myspaceは、誕生日さえ分かればどんなアカウントでも奪取できる」
上記記事のUpdateによれば、（おそらくはこの公開を受けて）Myspaceはアカウント・リカバリのページを削除しました。
暗号弱体化に関する各国の動向（2017年）
暗号規格にバックドアを、というとクリッパー・チップを思い出します。
http://www.jiten.com/dicmi/docs/k8/15681s.htmwww.jiten.com
が、「暗号化された通信の中身を見たい」という気持ちはそう簡単になくなるものではないようです。
「オーストラリア、次回の『Five Eyes』会合で暗号規格の弱体化を推進する考え」
オーストラリアの提案内容は記事中ではあまり明確には出ていませんが、「弱体化」と「キーエスクロー（クリッパーの仕組み）」を考えているようです。
また、Five Eyes（UKUSA協定）の構成メンバーでもあるイギリスも同様のことを（以前からですが）述べています。
「英政府は暗号バックドアをほしがっているが、その実、自らのメールサーバをブルートフォース攻撃から守ることすらできていない」
一方、そのイギリスが抜けようとしているEUは……。
「EU、新しいデータプライバシー規則案で（暗号通信への）バックドア設置の禁止を検討」
ちなみに、暗号とは関係ありませんが、こんな話も。
「EU、短すぎる製品寿命に対抗して『修理する権利』の法制化を準備」
このごろ流行りのスキャナはカチューシャ
「Telegramを使ったSQLインジェクション・スキャナ、ハッキングフォーラムで$500」
（本来のソース）
「ポケットに入るサイバー兵器」
最近ハッキングフォーラムで人気の品が「カチューシャ・スキャナ」。SQLインジェクションと、オープンソースのペネトレーション・テスト用ツールAnarchi Scannerをあわせて、使いやすいWebインタフェースを備えたというものです。
加えて、Telegramメッセンジャーの通信プロトコルをもっており、ユーザ（これを購入して他サイトへの侵入を試みるクラッカー）はスマートフォンのTelegramアプリから簡単に指示を出せる、というわけです（Telegramへの攻撃などはなく、純粋に通信経路として使っている模様）。
現在はこのツールは半額（$250）の機能限定バージョンや、$200/月の月額ホストレンタルも選べるようになっています。
このツールの人気の理由の1つはサポートがしっかりしていることだそうですが、機能面でも大半の処理が自動化されており、脆弱性を自動で調べて、発見次第Webシェルの設置や各種ファイルのアップロード、データベースのダンプ、ログインに必要な情報の収集などもやってくれます（高額なPro版の場合）。また、スキャンの完了時には、ユーザに対して脆弱なサイトの名前やAlexaのWebサイトレーティングなどの情報も送ってくれます。
宝くじシステムをハッキングして大儲け！（※犯罪です）
「宝くじをハッキングで操作したとして男性が有罪に」
米国の33の州、およびプエルトリコ、米ヴァージン諸島で開催される宝くじは、MUSL（※記事中ではMSLAとあるが誤記と思われる）という非営利団体が運営しています。
そして宝くじの当選番号は、MUSLの「ドロー・ルーム（くじをひく部屋）」にある、厳重に管理されたコンピュータで決まります。監視カメラも当然ついています。
そんな宝くじで、米国史上最大の宝くじ詐欺があり、その被告人が有罪判決を受けました。
詐欺の手法
詐欺の手法は、くじをひくコンピュータへのハッキング。不正なDLLを仕込んで（Windows機なんですね）、乱数生成ロジックを置き換えたのです。といっても、置き換えかたも凝っており、「1年間のうち3日（5/27. 11/22, 12/29）、2つの曜日（水、土曜日）、午後8時以降」という条件（記事では不明瞭なものの、おそらく全ての条件を満たす場合でしょう）で、仕込みの値が出るというもの。
さらに、ある程度時間が経ったらファイルを自ら削除する仕組みもついており、インストールもUSBメモリを挿すと自動的に進むという、実に周到に準備されたものでした。
ハッキング経路
しかし、犯人はどうやってこの不正なDLLをインストールしたのでしょうか。
実は犯人はMUSLのサイバーセキュリティ部長であり、くじをひくコンピュータへの物理的アクセスが可能な5人の中の1人でした。さらに、監視システムの設定を書き換えて、監視カメラの記録を「1分間に1秒だけ」に減らしたのです。USBメモリを挿して、すぐ外すだけなら、1分でできるというわけです。まるでお話みたいですね。
詐欺の実際
この詐欺の中枢は、先ほどの部長と、その兄、元同僚の3人です。他に宝くじを買ってくる者を臨時で雇っていたようです。
詐欺は2005年に始まりましたが、2011年にしくじりました。当選金の受け取りを複数回やってしまったのです。宝くじの当選者は記録、公開されるため、同一人物が複数回当たったことを受けて調査が行われ、詐欺が発覚しました。
詐欺の報酬
判明している範囲で、この詐欺による儲けは200万ドルを超えています。
- 2005年11月 568,990ドル
- 2007年12月 783,257ドル
- 2011年11月 120万ドル
でも3人で分けたら70万ドル（8000万円強）なんですね。
カスペルスキー「疑惑」の件、さらに続く
の一部の話の続きです。
「米上院のカスペルスキーへのジャブに対し、ロシアも国外アンチウイルス製品にジャブ」
ロシアの議会に、「EEU（ヨーロッパ経済連合）内で生産される、あるいはEEUに輸入されるコンピュータには全て「国内の」アンチウイルス製品のみを使用すべし」という旨の法案が提出されました。
ちなみに、ロシア国内に関していえば、国外製品のシェアはアンチウイルス市場の5%未満なのだそうです。
つまり法案が通るかに関わらず、政治的なものということ。もっとも、Windows Defenderがターゲットにされた場合、現在のWindows 10の結合度を考えると大変そうですが。
一方、米国でもまた追加されたようです。
「ブルームバーグによるロシア連邦保安庁（FSB）との深いつながりに関する記事により、Kasperskyに新たな疑惑の目」
タイトルの通りです。ブルームバーグの記事は次のもの。
「Kasperskyはロシア諜報部と協業してきた」
目を通してみましたが、特に何かすごい事実が暴露されたとかではなく、これまでの経緯を（ややKasperskyを怪しむ視点で）まとめたものと感じました。
言うまでもなく同社はロシア企業であり、ロシア国内でのサイバー犯罪捜査などにも協力している以上、諜報部門の仕事も関わりがあるのは当然といえます。そして最終的にロシア政府のために諜報の肩代わりをしているかどうかは、そう簡単には結論は出せないでしょう。
さらに、ABCニュースからはこういう記事も。
「トランプ政権、ロシアの人気ソフトについて、米政府全体での利用禁止を検討」
そして……。
「トランプ政権、政府内でのKasperskyのソフトの利用を制限」
米連邦政府一般調達局（GSA）の調達元リストのうち、「ITサービス」と「デジタル画像装置」という2つのリストから除去されたそうです。なお、連邦政府はGSAとは別系統での調達が可能で、その場合は今回のことは影響しません。
ところで、確かロシアはサイバーセキュリティのパートナーじゃなかったんですかね :-p
