「3Dスパム」をセキュリティ企業が報告 (ITmedia)

やまがたさんとこ経由。原文はこちら→3D Spam (F-Secure Security Labs)

それってただの座標変換の画像処理だと思うのだけど・・・。処理能力なんて要さない。というか、3Dではない気がする。これが、アニメーションGIFでぐるぐる回ってるとかなら3Dっぽいな。

どちらかというと、原文の

URLs smudged to prevent accidental business benefits for the spammers

としてあるところが、なんでそんな斬新なモザイク（？）のかけ方をしているのかというところのほうが気になる。

サーバのバージョンは隠すのが常識?（/.）

個人的には隠しても良いと思います。なぜなら、「サーバのバージョンが見えてる！脆弱だ！」とユーザに指摘されたら面倒だから？ユーザを真っ向から否定するのも面倒だし、直したら直したで「脆弱だった」と思われるし。個人的にはバージョン隠ぺいがセキュリティに直結するかは二の次かなぁ。

そもそもIISとかってバージョン隠すの難しかった気がする。できるんだっけ？あと、Apacheのバージョンを嘘のにしたいけど、間にべつのやつ咬ませないと駄目だった。Serverヘッダが2つついちゃったりする。ソースいじって〜〜ってのは面倒だからイヤ。

あれだ！X-ServerVersionPolicy: FullDisclosureとかいうヘッダつければいいんだ、きっと（謎

そういえば

既知の脆弱性を探す系のセキュリティスキャナって、実際にexploit叩き込むんでしたっけ？叩き込まないで、応答内のバージョン番号とか、応答の形式でのある程度のバージョン推測とかで、バージョンから「個のバージョンはこういう脆弱性がありますよ」とか判定している場合は、脆弱性が残ったままセキュリティスキャナ的にはOKってなる？ちゃんと挙動とか知ってるわけではないのであれですけど、そうだとしたらもうちょっとややこしい話ですね。

expliot叩き込まないで、バージョン情報ない状態で脆弱性の有無を判定できたら、それはそれでその挙動をかくすべきになるし。