情報実習 = 情報実験 2014-04-18

本年度トップへ
スケジュール表
- 情報実習 -
情報実験 第二回
2014 年 4 月 18 日

学生用資料
裏方用資料

## 本日テーマ

アカウント作成・パスワードの重要性・ディレクトリ構造の理解

## 事前準備内容

inex2014-ml の登録・変更 (齊藤)

- inex-ml + 受講者を inex2014-ml に登録
- 受講生の名札準備 (荻原: 作業)
受講生の学生番号を登録 (小高)
第3回のウェブページ・講義資料・実技資料を作る(荻原)
- 実技編の資料をトレースしておく.

「本日の一冊」の本を用意する (齊藤)
残りの学生の写真を撮る(川原)

## 本日の予定

時間 内容 裏方覚書
12:50

スタッフ (教官, TA, 3n マシン管理者) 集合

■ T.A. の作業

プロジェクタ, マイクの準備
プロジェクタにはその日のスケジュールページ
名札装着

■ V.T.A. の作業

名札装着
3n 機でブラウザを見れるようにしておく

13:00

学生集合

前回決めた席に着席

レポート講評(小高)

表題の付け方の工夫 [例1]
レポート内容の説明 [例1]
一行の文字数, 改段落, 空行に工夫
[例1]
[例2]
参考文献の記述方法
[例1]
[例2]
内容について

漢字テレタイプについて言及
[例1]
[例2]
仮名漢字変換方法についての解説
[例1]
[ 例2]
[例3]
文字コードについて
[例1]
Unix の日本語入力, サーバ・クライアントについて
[例1]

13:05

レクチャー (齊藤)

レクチャーノート

Linux 入門

Linux とは
Linux のデータ管理
Linux のアカウントシステム
アカウントが盗まれたら
良いパスワードを付ける

■ TA

Linux の概要についておさえてもらう.
ディレクトリの階層構造・パーミッションについて理解してもらう.
パスワードの重要性を理解してもらう.

■ V.T.A

積極的に質問をして, 受講生も質問しやすい雰囲気を作る
受講生の質問を拾ってあげる

実技 (齊藤):

必修

アカウント作成とログイン, ログアウトの作法

- 「良い」パスワードをつけること。「悪い」パスワードには追加レポートを課す。
初期パスワードのままやパスワードを忘れた場合も同じく追加レポートを課す。
レポート投稿システムについても同様。
- UNIX の代表的なコマンド
ファイルとディレクトリ
- 代表的なコマンドを用いて，ディレクトリ構造やファイル・ディレクトリの操作を行う

パーミッション

発展

ユーザー情報に関するファイル

/etc/passwd, /etc/shadow, /etc/group

ルートディレクトリにある主なディレクトリ
パーミッション付録

■ V.T.A.

実習中に受講生の写真撮影 (??)
3n 機のブラウザを使って実習編の資料を見せる
3n+1, 3n+2 にログイン. adduser の実行

15:45

本日の一冊紹介(齊藤)

質問等の後, 学生解散

各マシンのスクリーン電源を落とす.
名札を前のレターケースの中にしまう.

実習生がログイン状態のまま帰っていないか注意する.

16:10

スタッフ(教官, TA, 3n マシン管理者) 打合せ

## 反省事項(来年度への覚書)

2014 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:15 レポート講評(小高)
13:15 - 14:15 レクチャー(齊藤)
14:15 - 14:30 休憩
14:30 - 15:45 実技
15:45 - 15:54 本日の一冊
15:54 - 16:25 実技続き
16:25 講義終了
16:30 - 裏方ミーティング
- レクチャー編
- 実技編
- パスワードクラックのアナウンス
コマンド実行例をやるためにサンプルファイルを作らせる必要あり。整合性を確認する必要がある
ファイルの作成／消去をその都度 ls で確認させる
アカウント作成時の住所とかはスキップしてよい。消すときは chfn コマンド
8 号館には入れない人がいるかもしれないので教務に連絡
実技が終わらなかった。実技資料を優しくすることで悩む時間を減らし、実技時間を短縮する
コマンド実例をスキップし、パーミッション設定などの実戦形式で覚えてもらうようにする
物品チェックは初回で終わらせてほしい
アカウント作成のときに参考になるような、良いパスワードのつけ方に関するドキュメントへのリンクが欲しい

2013 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:15 レポート講評(小高)
13:15 - 14:15 レクチャー(三上)
14:15 - 14:30 休憩
14:30 - 15:45 実技
15:45 - 15:54 本日の一冊
15:54 - 16:25 実技続き
16:25 講義終了
16:30 - 裏方ミーティング
やはり物品チェックは前回で終わらせるべき
- レクチャー編
- ほぼ win ユーザだった。mac はわずか2名。[高橋メモ]ところでどの win なんだろうね?
[高橋メモ]Linux 系譜の図を出した方がインパクトあるかも?
Debian の三段階審査ってのは誰がやっているのか? > Debian 開発チーム。詳しくは後日の講義で。
Win でもデバイスはファイル扱いか? > Yes. ただし目に見える範囲ではそういう扱いはされていない。
子ディレクトリを示す記号はないのか? > 子ディレクトリは一意に決まらないので無理。
[高橋メモ]Linux だとディレクトリの区切りは "/" だけど win だと "\" なのはなんでか? > コマンドプロンプトの
オプションの付け方に不都合が出る
「ログイン」ってつまりどういうことか? > 使用権限を実際に行使できる状態にすること。 例えば銀行口座の例。
あれだとログインと操作の順序が逆。
パーミッション設定で大事なのは「間違えて消すのを防ぐ」こと
なんで8文字? > 7から8にすることでタイムスケールが年単位になる
パスワード例に数字も入れたい
初期パスワードはなんでダメか? > それを設定した人がすでに知っていることになるため
アカウント作成のときに住所まで必要なのか? > アカウント作成とはそれだけの重みを伴うものだと認識すべき.
あと緊急時の連絡用
クラックされるとまずいのは win も一緒? > たしかに一緒だけど、Linux はネットワーク利用が前提の
システムなのでより気をつける必要がある。あと root は win の admin より強力な点にも注意
アカウントとファイルシステムの話の順番をひっくり返すほうがいいかもしれない
ソーシャルクラッキング＝打鍵を見ることを言うわけではない。現実社会を通じたクラック全般を指す
後ろの人が見えないので、スライドを全体的に上にシフトする。前にいる人は床に座らせる
- 実技編
- パスワードクラックのアナウンス
コマンド実行例をやるためにサンプルファイルを作らせる必要あり。整合性を確認する必要がある
ファイルの作成／消去をその都度 ls で確認させる
アカウント作成時の住所とかはスキップしてよい。消すときは chfn コマンド
8 号館には入れない人がいるかもしれないので教務に連絡
実技が終わらなかった。実技資料を優しくすることで悩む時間を減らし、実技時間を短縮する
コマンド実例をスキップし、パーミッション設定などの実戦形式で覚えてもらうようにする
物品チェックは初回で終わらせてほしい
アカウント作成のときに参考になるような、良いパスワードのつけ方に関するドキュメントへのリンクが欲しい

2012 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:02 小高さんよりアナウンス数点
13:02 - 14:05 レクチャー
14:05 - 14:15 休憩
14:15 - 15:45 じゅんきむさんのお話, 実習編, 出席確認, 本日の一冊, RPS 初期パス変更アナウンスなど
15:55 講義終了
16:00 - 裏方ミーティング
- レクチャー編
- 受講生の使用 OS は? やっぱり大半が win だった. 意外と mac 少ない?
iTunes の例がよくわからない. 「異なる計算機」とは何を指すのか? by 川畑

- PC/AT互換か否かとかのレベルではなく, 単に個々の計算機単体のこと?
- 脆弱(ぜいじゃく)
商用なのにフリー? - 商用に使うという判断もフリーである
商用なら保証有? - 安心は金で買える!
win95 まではディレクトリと呼んでいた
win ではデバイスはファイルとして扱われていないのか?
- たぶん扱われている気がする. でも Linux みたいにファイルとして見えるかは?
通常は見えないがファイルとしては存在している.

host name と account name の区別
root と一般ユーザは win の admin や guest とは違うのか? - よりストイックな区別
サーバー戦争? - サイバー戦争
debian のパスワード字数に制限? - 昔は 8 文字, 今はたしか数百文字までいけたはず
root にパスワードを教える必要が無い - そもそも自由にいじれるので知る必要が無い
レクチャーの順序と実技の順序の入れ替えは良かった.
良い/悪いパスワードの付け方の具体例はあったほうが良かったかも. (パワーポイントに追加済)
クラックの具体例(じゅんきむさんの T 大のお話)をレクチャー中に入れるか.

実技編

RPS のパスワードを情報実験機のログインパスと勘違いしている人がいる.
分解組み立て時に通路側を空けることにする.
人数上の制約から, セクションごとに交代して実技をやってもらう.
man の終了の方法が書いてあったほうがいいかも.(作業済)

2011 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:20 レポート投稿システムの説明・実演
13:20 - 14:35 レクチャー
14:35 - 14:50 休憩
14:50 - 14:55 初期パスワード発行・変更, 名札受け渡し
14:55 - 15:45 実習編, 出席確認, 本日の一冊
15:45 - 15:50 レポート課題発表
15:50 講義終了
16:00 - 裏方ミーティング
- 座学編での質問事項・補足
- root はアカウント作成だけでなく, 抹消も出来る.
それ故に root は計算機を熟知していないといけないし,
高い倫理が求められる.
ハッキングの原義は,
高い技術力を駆使してコンピュータシステムや通信システムの動作を
解析したりプログラムを改造・改良したりすること
(IT 用語辞典より).
特に大学の計算機は外部から狙われる対象となっている.

- セキュリティポリシーが部局によりバラバラであり, 緩い所もある
(つまり自由度が高い).
そこが攻撃の対象になるのかもしれない.
計算機の所有数が多いことも一因かもしれない.
- 計算機は悪用しないだけでなく, その管理も重要.
管理が甘くクラッキングされると,
その責任を取らされることにもなりかねない
(e.g. T 大学の学生が退学した話とか).
Brute Forth Attack -> Brute Force Attack
/etc/shadow に暗号化アルゴリズムが陽に記述してあるが, これは,
アルゴリズムを変えたり試したりする事が
出来るようになっている為である.
初期の頃は crypt を使っており,
暗号化された文字列しか記述していなかった.
- man crypt コマンドを実行すると,
書式についての説明が得られるだろう.
- 実技編に関するメモ

- アカウント名に大文字アルファベットは使えない(web 資料は修正済).
# と $ が間違っている箇所があった
(来年度までには高橋(康)君が直してくれる筈).
- 2010 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:16 名札配布, レポート投稿システムの説明・実演
13:16 - 14:00 レクチャー
14:00 - 14:10 休憩
14:10 - 14:53 実習編, 出席確認, 本日の一冊
14:53 - 15:00 レポート課題発表
15:00 講義終了
15:17 - 反省会
- 質問事項
- shadow ファイルはなぜ必要か
MD5 の複号化は出来るのか ?
- 反省会のメモ
- レポートの話は前週に話したが, 今回も詳しく話した.
レポート例 5, 6 についても話す. 例 5, 6 とするのではなく,
「これらが実際に用いられて書かれている例」などにするべき.
ただ単にレポート投稿システムにリンクを貼るのではなく,
どこが良いかの説明をスケジュールに書く.
話す時は心が伝わるように話す.
[座学]フォントは全てゴシック.
[座学]単語 (アカウント, ログイン等) の定義が甘い.
[座学]暗号化の説明方法.
[座学]まとめスライドに「ログイン」の項目を入れる.
出欠を授業の最初に確認 (VTA が最初に確認)
[実技]文字化けで苦しんでいた. まずは受講生に頑張ってもらう.
[実技]最初に作成するパスワードは「仮」のもの. 後で変更する.
実技編資料の 4 の文言を改訂する.
[実技]色の付いた部分を受講生にやってもらう.
これについては第 3 回の資料に書かれているので, 第 2 回に移動させる.
[実習]時間のある人へのページの中身が整理されていない.
再構成する必要あり.
- 2009 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:21 レポート投稿システムの説明・実演
13:21 - 13:53 レクチャー
13:53 - 14:05 休憩
14:05 - 15:24 実習編, 出席確認, 本日の一冊
15:24 - 15:26 レポート課題発表
15:26 講義終了
15:40 - 反省会
- 反省会のメモ
- 前準備の段階で各マシンの環境が統一された状態となるよう心掛けたい.
レポート投稿システムのタイトルは変えられないことを言い忘れない
ようにするべし.
レポート投稿システムの意義(皆のレポートを参照出来るようにしてよ
り良いものを作る)について今一度述べるべし.
スケジュール的には問題無かったと思われる.
[座学]: 用語の説明が無いなど, 話の中でやや唐突な部分があった.
[座学]: 日本語の使い方・文字の色・改行など気を配るようにしたい.
[座学]: 来年度の発表者は MD5 の具体的な話を盛り込むこと.
[座学]: crypt と MD5 は別物であるように説明されていたが, 実際
はそうではない.
[座学]: 教育的クラックの具体的内容を述べるべきだったと思われる(
passwd, shadow ファイルの見方にも関係してくるので).
[実技]: 資料では「パスワード変更」の話の後に「ログイン」の話が
書かれているが, 順番を入れ替えた方が良いだろう.
[実技]: 受講生にもっと作業してもらうようにした方が良い(TA・VTA は
不親切であるべし).
[実技]: 物品チェックの意義(管理者は物品も含めて管理しなければなら
ないという認識を持つetc)について語るべき.
- 2008 年度

タイムスケジュール

- 13:00 授業開始
13:00 - 13:16 レポート投稿システムの説明・実演
13:16 - 13:55 レクチャー
13:55 - 14:10 休憩
14:10 - 15:06 実習編, 出席確認, 本日の一冊
15:06 - 15:09 レポート課題発表
15:10 講義終了
- レクチャー編(質問・疑問・補足)
- レポート投稿システムの説明の際に 「レポートの書き方指南」に触れるのを忘れずに.
パスワードマナーに関して

- まあメモするのはやむを得ないか.
- シングル・サインオンに関して
- パスワードの情報を 1 箇所で管理.
例えば皆が共有するデータベースなどで利用.
北大では導入が検討されているらしい.
- MD5 と crypt の違い
- crypt は関数, MD5 は暗号化の方式.
- 来年度担当の方は, 暗号化の不可逆性の原理を調べておきましょう.
- 原理的には復元可能らしいが, 計算がやたらと面倒臭いらしい.

一般ユーザが ls -l コマンドを使ったときにファイルの所有者が分かるようにするために passwd ファイルを見れるようになっている.

実習編

- 特になし.
- 反省会(全体を通して)
- TA, VTA の人はどんどん質問してね!!
- 2007 年度

タイムスケジュール

- 14:47 授業開始
14:47 - 14:50 小高さん・倉本さんによる今日の実験概要説明
14:50 - 15:03 レポート投稿システムの説明・実演
15:03 - 15:47 レクチャー
15:47 - 16:02 休憩, 新しく来た人に簡易ガイダンス, 出席確認
16:02 - 16:56 実習編
16:56 - 16:58 本日の一冊
16:58 - 17:01 レポート課題発表
17:01 講義終了
- レクチャー編(質問・疑問・補足)
- パスワードは 8 文字以上にすると, 先頭の 8 文字が有効になると
言うが, 今もそうなのだろうか?
- パスワードは 6 文字ではなく8 文字にしなさいと教えるべき
だろう
MD5 の場合は文字制限はないらしい
クラック速度の話については要検討?

- スペックという単語はコンピュータ初心者には分かるのだろうか?
悪いパスワードを設定した場合に UNIX から警告を受けることが
あるが, その場合には素直に従いましょう.
パスワードの暗号化の例(crypt) : 乱数生成方法 (salt) は
小文字, 大文字のアルファべットの 2 文字のすべての組み合わせ
の数だけ存在(約 4000 通り)
crypt に加えて MD5 の説明もした方が良い
良いアカウント名 = 管理者, 周囲の人, 自分がその人(本人)だと
特定できるアカウント名
アカウント名を後で変えることはなかなか大変なので, よく考えて
つけること.
個人情報 = 場合によっては他の人の情報も含む. 本人情報という
言葉と使い分けたほうが良いだろう.
「計算機が計算機を攻撃する」ということについて
- 言葉の説明が必要
乗っ取られる(root 権限を手に入れられる)までのプロセスを説明
乗っ取られたらどうなるのかの具体例を提示

ディクショナリアタックの単語には「趣味の単語」なども含まれる
ということを言及しておいた方が良いだろう.

実習編

joho18 が何故か起動しない -> リモートでログイン, 再起動.
joho18 で startx と打っても X が立ち上がらない

.Xsession ファイルが存在しなかったので対処療法的に外から
コピー
X の設定をしていなかったので initx コマンドで X を起動
手動で X window (afterstep) を選んで起動

joho18 のネットワークがつながらない
-> ハブの挿す場所が間違っていた

反省会(全体を通して)

折角第 1 回目に UNIX の歴史の話をしたわけなので, パスワード
の前に UNIX の話を先にした方がいいのでは?
パスワードは UNIX に限定された話ではないので, 別にこだわること
はないのではないか?

公的機関でのパスワード関連の動向や最新のパスワード事情について
言及すべき

第 1 回目のレクチャーで LINUX を使ってこれから実習を行うという
説明を加えたほうがいい. 現状では主に歴史を語った 1 回目とこの回
のレクチャー内容にギャップを感じる.

2006 年度

タイムスケジュール

- 13:01 授業開始
13:05 - 13:45 レクチャー
13:45 - 13:55 休憩
13:55 - 14:30 実習編
14:30 - 14:50 レポート投稿システム実演
14:50 - 15:00 授業中にレポート投稿システムパスワード変更
15:00 講義終了
- レクチャー編
- DES (MD5 も) は既に弱いことを書き込んでおく.
最新の暗号化システム (2006 年度現在では AES, SHA?? などの
暗号化システム) について調べて記述しておくこと.
パスワードクラックについて具体的な流れを載せる
(例: apache の
セキュリティホールをついて shadow を持ってくる, → 手元で
パスワード解析 → 別の計算機に進入, 等々)
現在はクラスタという技術も使えるので, 簡単に市販の機種の
10 倍近い性能の機械でクラックが可能.
5 枚目の「複数の人間で機械を共有する」と
「悪意あるものによる悪用を防ぐ必要性」とのつながりが良くない.
「悪意あるもの」とは誰のこと?? 「複数の人間」に含まれるのか?
外の人間か?? といったことをちゃんと説明する.
- 実習編
- アカウント作成後, 一度ログアウトした後に作成したアカウント
でログインしてからパスワードを変更するようにする.
(アカウントが作成されたことを確認することも含めて).
- 2005 年度

タイムスケジュール

- 13:01 授業開始
13:05 - 13:35 レクチャー
13:35 - 13:50 休憩
13:50 - 14:30 実習編
14:30 - 14:45 レポート投稿システム実演
14:50 講義終了
- 実技編で, VTA の作業と学生の作業との切り分けがうまく書かれて
いない.
前半のレクチャーはもっともぉっとゆっくり話す.
レクチャー中の音量を調節する, ピンマイクでも手にもって喋る.
レクチャー中の用語に注意. (クラック, ブラウザ, SPAM)
アカウント名の付け方に関する解説がなかった.
実技編資料にそって作業内容を指示する. (VTA に対して)
実技編資料で, logout, 日本語環境へのエクスポート, 日本語入力方
法
startx の次にブラウザをあげる方法を記述する. 学生さんが自主学習
できるように. あと次回以降の実技編に必要そうな下準備を押し込め
てしまう.
3n+1,2 のブラウザを VTA 権限であげて, 各 PC でブラウジングでき
るようにするという手も使える.
passwd 変更をどのように行うのか (要検討!)
- すぐ前のパスワードには戻せない.
学生さんがせっかく考えたパスワードを変更させてしまうのは忍
びない
失敗させてしまう. passwd コマンドをとりあえず実行し, 実際に
は変更しない (空パスワードとかいれる)

2004 年度

前半のレクチャーはもっとゆっくり話す.
分かりやすい所と分かりにくい所の時間配分を考慮する.
レクチャー資料の下四分の一は(プロジェクターに投影した際に)見づらいので使わないほうがよい.
HTML資料の際はスクロールをまめに行う.
アカウントに使える文字列の解説を正しいパスワードのつけ方の説明の前に持ってくる.
レポート投稿システムパスワードファイルの印刷の際にはアルファベットの判別がしやすいフォントを使う.
後半のレクチャー資料のログイン成功後に passwd, group, shadow などを閲覧するという項目を追加する.

## 参考資料

■
書籍

■ 本日の一冊 ■
佐々木良一 監修, 日本ネットワークセキュリティ協会教育部会 著, 2009
情報セキュリティプロフェッショナル教科書
アスキー・メディアワークス (2009/3/19) ISBN：978-4-04-867782-0
橋本 英勝 著, 2010,
「基礎からのLinux 改訂版」
ソフトバンク クリエイティブ, ISBN: 978-4797359510

木下 是雄 ： レポートの組み立て方, ちくま学芸文庫
山本 和彦著 : 転ばぬ先のセキュリティ10 パスワード, UNIX MAGAZINE 1995. 2.
Matt Bishop and D. V. Klein: Improving System through Proactive Password Checking,
Computers and Security NO. 14(3), 233-249, 1995.

■
Web サイト

最低限セキュリティ パスワードの正しい付け方
計算数学第 4 回「パスワードとセキュリティ」
0 からはじめる Linux セキュリティ入門
アスキーデジタル用語辞典
ITやパソコンに関連する辞書・用語集

INEX 情報実験トップページへ

2013.04.03 三上 峻 作成