パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

TP-Linkの無線LANルーターなどで高頻度でNTPサーバーにリクエストを投げる設定が発覚し問題に」記事へのコメント

  • by zhang (48287) on 2017年12月26日 0時16分 (#3335688)

    中国深圳に入れる企業である普聯技術は、製品を120を超える国の数千万人のユーザーに売っている。
    製品は100%安全で、あなたのプライバシーはセキュリティで保護されています。
    しかし、中国の製品は、屡々スパイウェアとバックドアが含まれるという事実無根の冤罪にさらされます。
    世界で信頼された日本私立の大学のNTPサーバー (clock.nc.fukuoka-u.ac.jp) と通信しているのは、120を超える国の皆様を安心にする目的です。

    > 8.8.8.8にでもなげとけばいい
    Googleサービスは中国国内からの金盾工程(全国公安工作信息化工程,Great Firewall)を通れることが保証されていない。
    中国国内では政府の管理底でDNS cash poisoningがなされるのでGoogleサービスはDROPされる恐れがあります。

    > 自前でサーバ立ててそこへの疎通確認するのが普通
    もしそうしたならば、日本人のいくつかの部分は、パケットの内容を捕らえることもなく、「情報を中国のサーバーに送るスパイウェアである」という冤罪をするであろう。中国企業のIPアドレスに通信をするだけでスパイウェアの疑惑がかかる。
    日本政府 nict.go.jp のNTPならば日本人は安心だが、中国人は情報を日本政府に送っていると誤解される。
    従って、スパイの疑いがかけられる自前や政府のサーバーではなく、世界で信頼された日本私立の大学のNTPサーバー (clock.nc.fukuoka-u.ac.jp) と通信している。

    > NTPサーバに投げる理由が説明できてないですよね
    L2機器なNetwork switchなので多用なネットワーク構成が想定される。
    Captive Portal認証や社内HTTP Proxyが必要な場合、HTTPやHTTPSが通るとは限らない。
    そういう場合でも最も高い確率で通るのは DNS (UDP 53), NTP (UDP 123) の2つしかない。
    ルータなどの低レイヤーでもタイムスタンプの為のNTPが使われてるからCaptive Portal認証を通らなくてもNTPは通信されやすい。
    ICMPも調査ではNTPよりDROPされやすいしシンプルなデータ構造のNTP [dti.ne.jp]は、構造が多用でデータ長も不確定なICMP PINGより大幅な負荷が低い。
    それにPINGはパケットのパディング(データの埋め合わせ)データのパターンが任意で文字長も自由(例はWindowsはPINGコマンドでabcdefghiojklmnopqrstu…………………なような連続アルファベットパターンを作成しますがこのパターンにする義務はなくシステムによっては乱数データです)なので、屡々スパイに使用されてるので、疑惑をかけられます。乱数のパターンと暗号化された機密パターンはパケットキャプチャーからも区別できませんので。
    もし今回のような高頻度の疎通確認のミステイクがPINGでされて、PINGのパディングが乱数パターンだったら間違いなくスパイ行為の疑惑がかけられ会社は非常に大きな損失を受けました。

    > 該当ルータの一つ上流のルータにするとか
    default gatewayへの通信が確立されてもインターネット接続の確認にはならない

    頻度が高いなのでNTPサーバーに負荷を与えてしまっておりましたのは会社のミステイクで、ファームウェアのアップグレードによって、トランスポンダの管理スクリーンへのアクセスの時にだけNTPサーバーと通信されます。

    ファームウェアのアップデートをお願いします。

    • by Anonymous Coward

      是非はともかく、自社サーバに投げない理由はわかった。

      • いや、製品の仕向け地にサーバぐらい確保しろよ。それに国ごとに法律がちがうんだからファームが共通というのも考えが甘い。

        親コメント
        • by Anonymous Coward

          各国に自社サーバを立てたところで、自社サーバってだけで疑われるのでは。もともと根拠のない疑心暗鬼に対する対応なんだし。

          ファームが共通なのはITハードウェア業界では普通では。それに各国の法律の違いと今回の件と、何の関係があるんだ?

        • by Anonymous Coward

          まぁ、理由からすればそれも駄目なんだろう。
          ちゃんと契約を結んでロイヤリティでも払えばいいんじゃないかな。
          少なくとも分散させるとかの配慮は必要だろうね。

          # 福岡大学はNTPサービス自体を止めたいみたいだけど

          ネットにつないで数秒も観察すればわかる事を見落としてる程度の品質管理で100%安全ってのはちょっとね~。
          故意はなくても品質が低くていろいろ漏れたりしそう。

        • by Anonymous Coward

          ケチつければいいってもんじゃ無い

      • by Anonymous Coward on 2017年12月26日 15時49分 (#3336135)

        TP-Linkは過去にドメイン更新を忘れて、ドメイン乗っ取られてます。 [gigazine.net]
        設定用サーバで使うドメインだったので結構重大な問題なのに、ドメインを取り返すの諦めた模様
        対応として酷い会社だなと思っていたのですが、またやらかしたみたいですね。
        ドメイン乗っ取りで懲りたのか、新しくサーバーを建てるのは後ろ向きなのかもしれませんね。
        ちなみにDNS乗っ取られの件もWikipediaには残っていませんね。
        通信機器会社の姿勢としては好きになれませんね。

        親コメント
        • by Anonymous Coward

          100%安全(笑)

          ステマよりはマシにせよ、大言壮語はエンジニアの価値としてはマイナスでしかないのにね。

    • by Anonymous Coward

      この言い訳を福岡大の担当者に言ったところでダメダメだと思うけど。

      • by Anonymous Coward

        アクセス頻度次第じゃないかね…。ほんとに管理コンソール表示のときだけになるなら、まあ気にならない程度な気はする。
        (あんまりよくないことは変わりないが)

        問題は、利用者がファームウェアを適用してくれるかってところだが。

    • by Anonymous Coward

      中国国内向けファームウェアは金盾内の自社サーバ、
      中国国外向けファームは金盾外の自社サーバでいいのに

      情報流出云々は、一般的なNTPに準じたパケットや、暗号化されてない単純なHTTPのみを
      送ってればいいのでは?

    • by Anonymous Coward

      そこで過去にも負荷が問題になった福岡大学を選ぶのは、「よりによって」という感想しか持てない。
      インターネットマルチフィードだったら、まだ耐えられるだろうに。

    • by Anonymous Coward

      普通に管理Web画面にiframeなり画像リンクなり設けて、自社サイト上の画像表示するだけで疎通確認できるでしょ。
      あるいは明示的に疎通確認ボタンを設置して、それをユーザがクリックしてから通信開始してもいいし。
      日本の家庭用・SOHO用ルータではそれしてるし。

    • by Anonymous Coward

      >ファームウェアのアップデートをお願いします。
      アップデートするとどうなるのさ?
      頻度を低くしただけで今後も福岡大学にリクエストするつもり?

    • by Anonymous Coward

      既に突っ込まれまくってるように、よりにもよって福岡大学使うなって話なんですが中国企業の事情は理解できるかも。
      「やってない会社」にとっては冤罪以外の何物でもないんだけど、「やってる会社」が多すぎますからね。
      それに加えて金盾なんて生まれた国を恨んでくださいとしか言えないレベル。

      でもこういう用途には、やっぱりgoogleが一番だと思いますよ。
      負荷分散技術は世界最先端ですし、膨大な個人情報を持ちながら大規模な漏洩事故を起こしてない信頼もありますので。

    • by Anonymous Coward

      > 世界で信頼された日本私立の大学のNTPサーバー (clock.nc.fukuoka-u.ac.jp) と通信しているのは、120を超える国の皆様を安心にする目的です。

      日本では,このような態度を「盗人猛々しい」と言います

    • by Anonymous Coward

      参考になる(-1)ってモデが心底欲しくなった

    • by Anonymous Coward

      TP-LINKのエンジニアは
      http://www.pool.ntp.org/ [ntp.org]
      このページを30回くらい音読するべきだ

    • by Anonymous Coward

      金盾を理由として挙げておられますが、TP-Link以外の中国の会社の多くも、このように福岡大学に迷惑を掛ける実装をしているのですか?

    • by Anonymous Coward

      中の人なら、そもそもネットワークがつながっているかどうか、表示が必要か考えてみて。必要な時だけTCP/UDP/ICMPのtracerouteが実行できて、いくつかの選択肢から目的地を選べるようになっていれば十分だし、ルートがどこまでつながっているかとか、毎回同じルートをたどるのか分かるほうがいい。tracerouteが想定ユーザーには難しすぎると思うならTCP/UDP/ICMPのpingを搭載するだけでもいい。
      ネットワークへのパケット送出を勝手にやらず、ユーザーに委ねること。通信を行う場合はユーザの許可を得ること。そうでなければ余計な通信費を消費した賠償を求められても言い逃れ出来ませんよ。

    • by Anonymous Coward

      ファームウェアをアップデートした後も挙動変わってねーぞクソ

アレゲは一日にしてならず -- アレゲ見習い

処理中...