アイルランドで家を買いました２

tsubokコメントを残す

誰かの役に立つかは分かりませんが、商習慣の違いは面白かったので書いてみたいと思います。

日本で家を売買した経験が一応あるので、そこの違いについても簡単に触れます。なお、日愛どちらも中古マンションの購入です。

ブログとか見てると、UK（イギリス）も似たようなプロセスになるようですね。そういう意味では日本がガラパゴスなのかしら。

・日本で家を買ったとき（サンプル=1）

物件の下見に行く

不動産業者に買う意思を伝える（この時点で申し込みとしてキューに入り、順番が決まる）

必要書類（申込書類、年収や資産、会社の勤務証明、現住所、etc…）を揃える。書類は主に住宅ローン申し込みのため。

手付金の支払い（ローン審査と前後ずれてるかも）

住宅ローンの審査結果が出る　※私の場合は不動産業者経由で幾つか申し込みしてもらった。オンラインバンキング使う場合は自分で、という感じ。

銀行に行って金消契約

宅建持ちの人立ち合いで読み合わせ、契約、決済。抵当設定、登記。

・アイルランドで家を買ったとき（サンプル=1）

住宅ローンに申し込む。想定予算や借りたい金額、資産、年収、勤務先などを提出

ローンの審査結果が出る　※法律で年収の 3.5倍までしか貸してくれません。あと、物件金額の 1-2割は頭金が必要。

物件を見に行く　⇒　購入の申し込み。

弁護士、下見業者、物件の査定業者を探す（大体、不動産業者が斡旋してくれます）。また、銀行の住宅ローン担当がアサインされる

手付金の支払い（送り先は弁護士）　※弁護士が一括でお金のやり取り、登記関係などを請け負ってくれます。

住宅ローンの本申請。弁護士事務所へ行って諸々のサイン（あなたにお任せします～とか）

売主との交渉（私は面倒だったので2%の値上げを打診されましたが即答しました）

住宅ローン確定

弁護士へ頭金の支払い。手付金や手数料を含めて計算して送金

全部送金できたら、住宅ローンの発行と先方への送金を弁護士がやってくれる

その後、鍵を受け取る

（TBD）登記が完了したらドキュメントが送られてくるはず

こんな感じでした。あんまりまとまってませんが、日本のプロセスと全然違うってのが分かると思います。

プロセスについて全然知らないで下見に行きまくっていたため、住宅ローン申し込みプロセスとか全然知らずに「ねぇこの物件買えるの？手数料どれくらい？申込先は」みたいな質問をしていたことに後から気付きましたが、まぁよくあることです。

面白エピソード（笑えない）でも紹介して終わりにします。

・弁護士に「通訳呼べる？」って言われた

いわゆる重要事項説明みたいなミーティングで何度か聞き直したため、弁護士が「大丈夫かこいつら」的な反応になったときのセリフです。慌てて「聞き取り辛いんですぅ。読み書きだったらダイジョブ！」というわけでパソコンにタイプしてもらいました。

いや、大した内容じゃなかったんだけどね。今日のミーティング後は弁護士への依頼はキャンセルできませんーとか、家主が出ていかない場合は 1か月ぐらい待って申し込みを解約できますよーとか。まぁそういう系。

・メールすると必ず電話で返事してくるけど仕事はしないエージェント

アイルランドでは物件といえば daft.ie です。ここに不動産業者やら個人やらが貸し出しも売り出しも掲載します。

今回私を担当してくれた不動産エージェントのダン（仮名）。今回買った物件は（近隣の部屋と比べると）少し割安だったんだけど、写真はマンション入り口の一枚だけ。設備とか詳細も何にもなし。

1回メールしたときには電話かかってきて「お、買いたいん？下見設定するから、また連絡するわー。ほな」って電話切ってから3週間ぐらい応答なかった。というか忘れてるだろ絶対。その後も2回ぐらいメールして、それでようやく下見ができる始末。

んで。その後もダンとの戦いは続きました。

「住宅ローン申し込んだけど売主はなんて言ってるの？（メール）」⇒「確認しとく！また連絡するから！（電話）」⇒応答なし

「送金したよー」⇒「おｋ！」⇒返信なし

彼の紹介してくれた弁護士や業者はみんな仕事早かったので、そういう意味では良いコネクションを持った人でした。

さすがアイルランド。まぁ慣れたけど。

企業化する犯罪組織

tsubokコメントを残す

没ったので、ブログで。

 

サイバー犯罪は年々、組織化している。セキュリティ製品を販売する Bromium が 2018年に公開した以下のレポートがある。
レポートによれば、サイバー犯罪の規模は 1.5兆ドルにたっしており、違法な支払い、ロンダリング、資金供給といった生態系が生まれているという。
サイバー犯罪への注目が高まっている中、Hewlett Packard Enterprise（HPE）が 6月にラスベガスで開催したイベント「HPE Discover Las Vegas 2019」で、FBI のシニアコンピュータサイエンティストである James Morrison氏は、以下のように述べた。

現代のサイバー犯罪組織は、彼らのビジネスにおいて、利益を再投資しています。データセンターの拡大、機械学習といった技術は彼らにとって必要なものになりつつある。

2年前に同じイベントで、ファームウェアやハードウェアについて言及したことは今でも覚えています。今、サイバー犯罪はより洗練され、組織化されています。これはサイバー犯罪組織と呼べるものです。数年前、組織と個人は半々といったところでした。しかし現在、高度に組織化された犯罪グループが極めて多くなっています。これまでとは異なる国、インドやナイジェリア、インドネシアといった国々でも、これらの組織が見られるようになっています。

攻撃が容易に実行できるように

サイバー犯罪が急増しているのは、参入障壁が低くなっているのも理由だ。かつてのように天才的な人間がコードを書く必要はなく、単純なランサムウェアツールを購入できる場所へのアクセスだけだ。このような場所は通常の検索では絶対にたどり着けないため、インターネットを”深く潜った先”、ダークウェブと呼ばれている。購入したメールアドレスリストと組み合わせることで、ターゲットがリンクをクリックするように仕向け、そして利益を得ることができる。
このようなサイバー犯罪の経済的な例として、10万メールアドレスを 50ドルで購入し、200ドルのレンタルランサムウェアを送り付けるという手口を説明した。
このうち 5000人がクリックし、さらにそのうち2割にあたる 1000人が身代金を 400ドルずつ払ったとすれば、たった 250ドルの投資で 40万ドルを得ることができる。
さらに、ランサムウェアのレンタルには 24時間 365日の手厚いサポートがついている。ライセンスを1か月購入するだけで40万ドル稼げるとすれば、これこそが規模の経済と呼べるものだ。
攻撃を行う経路も、メールはもちろん、インターネットルーターやコンピュータだけではない。身近にある IoT 機器、例えば水槽の管理用ソフトウェア、あるいは Raspberry PI のように小さな電力で動くデバイスも、攻撃者にとっては便利な踏み台になりえてしまう。
さらに、医療システムや救急システムといった非常に重要な社会インフラにランサムウェアが感染した場合、事態はより深刻になる。実際、フロリダ州にあるリビエラビーチ、レイクシティはそれぞれ60万ドル、50万ドルの身代金を支払い、IT部門で従業員が解雇されたという報道もある。
サイバー犯罪の最先端で活躍する FBI で活躍する彼ですら、サイバーセキュリティ分野への投資が本当に重要であり、被害を受けてからでは遅いと述べている。保険についても言及していたが、まだまだサイバーセキュリティ分野での保険は発展途上にあり、自分の身は自分で守らねばならない。

サイバー犯罪の産業化

組織化が進む一方で、専門的な産業としての側面を持ち始めているという指摘もある。Hewlett Packard Enterpriseの副CISOである Drew Simonis氏はこの状況について、「サイバー犯罪が産業になりつつある」とした。

会社を訪問することは多いですが、ネットワーク内の不審なトラフィックを検出できない会社の数には未だに驚いています。彼らは「何が起こったのかわかりません」としか言わないのです。ランサムウェアは今や “クリックして感染する” だけではありません。何らかの防御システムを持ち合わせていないとすれば、検出されるまでには 1週間以上かかるでしょうから。一丁あがり、ですよ。

ランサムウェアは少しずつ姿形を変え、30日で全く違うものが出現するという。今月に入っても、Sodin や Ryuk が猛威を振るっている。
そしてもちろん、身代金を要求するだけランサムウェアに限らず、暗号資産をマイニングするマルウェアも問題だ。
企業においてセキュリティ担当者の採用や予算の充実なだけではなく、個人レベルでも今まで以上に高いセキュリティ意識が求められる。

 

家を買いました

tsubokコメントを残す

別に自分はアイルランド人ではないんですが、ダブリンって非常に住みよい環境でして、特に子供にとっては素晴らしい環境てす。去年から、スタンプ4 という、住宅ローンを組める在住権になったので、銀行とあれやこれや相談してローンを組みました。

あ、とりとめない内容なので、読み物としてどうぞ。家を買いたい人は英語の記事とか探してください。

窓からの風景

自然がうんぬんとかは日本でも田舎行けば当然ありますけど、ベビーカーでバス乗るの当たり前だとか、学校が無償で子供手当も出て移民向けの英語の特別クラスもあり、親が英語使えてボチボチ田舎が好きなら気に入ることうけあいです。

ともあれ、そんなわけで家を買いました。アパートメント、日本でいうマンションですね。間取り的には3LDK相当で、80m2ぐらい。郊外に行けば、それこそ築200年で150m2とかあるのかもしれませんが、私は車乗らないので都心で少し広いぐらいがちょうどよいのです。

築17年くらいで、ソファーやダイニングテーブル、椅子、あとベッドといった家具つき。ベッドは壊して捨てましたが。ベランダもあり景色もよく、周りはアジア系、イスラム系が住んでいて抵抗なく馴染めそうです。

日本に住んでたときも江東区の南砂町にある巨大マンションの一室を買って住んでたんですが、数年後に割と高く売れたんで、今回もそうなったらいいなーと淡い期待をしてます。

ダブリンは今後も移民が増え続けていくでしょうし、子供も多く人口ボーナス期なので、EUが完全に失速するまでは、しばらく上向きの経済が期待できます。

さて、子供二人にひと部屋ずつ割り当てつつ、夫婦は一部屋。あと、広めの物置を占拠してパソコンルームとしました。2畳ぐらいなのでいい感じです。

しかし窓も換気口も無いため発熱がやばいデスクトップは置けず、交渉の末にリビングへ。

バスルームは2つあるんですが、片方のトイレの流れが悪く、そのうち業者呼ばなくてはいけません。めんどい。お湯はバスタブに張れるくらい十分に出ます(海外だとバスタブ無かったり、お湯のシステムが貧弱だったりします)

日本の風呂文化ってすごい。温泉が懐かしい！まぁでも実際のところ毎日シャワー浴びてれば風呂につからなくても別に普通に生きていけるのよね。

自分も先週までは風呂溜めて入ってたんですが、開き直ってみれば案外シャワーだけでもストレスなく生きていけるもんです。

というか日本の水回り最強。

シーリングライトも裸なので付け替えが必要でした。日本のように汎用的なプラグになってないので、ケーブル工事のために電気技師をそのうち呼びます。日本すげーわ。

引き渡し直後。ジャケットがそのままだったので誰かまだ住んでるのかと思った。

そんなわけで、買った家のもろもろをネタ的に紹介しただけで終わってしまいました。

今度また時間があるときに、適当英語で弁護士とやりあった話などを書いてみたいと思います。

AGAMAウォレットが自らハッキング攻撃でユーザー資金を保護

tsubokコメントを残す

面白かったんですけど寄稿先でボツったので、こちらへ

ユーザー保護のため「攻撃」を行ったAGAMA

今月5日、AGAMAウォレットを運営するKomodoプラットフォームがセキュリティ通知を報告した。
古いウォレットアプリにバックドアがあるというセキュリティ研究者の報告を受けてのことだ。
攻撃者が、ウォレットに格納されている暗号資産を簡単に盗むことが可能になっていた。
これを受けて、Komodoチームはウォレットの脆弱性を利用し、ユーザーの資金を保護するために自ら「攻撃」を行い、資金を保護した。
保護された資金を見てみると、96 BTC、約800万KMDとなっていた。
総計で 1200万ドル（日本円で約13億円）が転送された計算だ。
Komodoチームによる脆弱性に関する報告記事
komodo

発見の経緯

詳細を報じているZDNETの記事によれば、Agamaウォレットのバックドアは、セキュリティチームによるnpm JavaScriptパッケージリポジトリの監査中に発見された。
発見を報じるnpm の記事では、以下のような流れになっていたようだ。
・便利なパッケージ（electron-native-notify）をnpmに公開　※この時点ではバックドアは含まれない
・使われるようになると更新を行い、バックドアが含まれたコードをアップロード
・ソフトウェア開発者（今回は Komodoチーム）がバージョンの更新を行う
今回 electron-native-notify の更新履歴を見ていくと、2019年3月6日に最初のバージョン 1.0.0 を公開し、10回以上もアップデートを続けていた。
こういったアップデートを続けていく行為は、開発者にとっては比較的一般的であると同時に、当該ソフトウェアやパッケージが活発に更新されていることを示すものだ。
攻撃手法としては一般的だが、開発サイクルにおける弱点を突かれた格好で、必ずしも Komodoチームを責めることもできないだろう。
その後 2019年3月8日には Komodoチームが実装に追加。その後、3月23日に悪意のあるコードが挿入され、4月13日に Komodo側でのアップデート（v0.3.5）が行われたため、実際にコードが利用されるようになっていた。

npmとは

Javascript に関してはご存知の方も多いと思うが、npm について知らない方がもしかしたらいるかもしれないので、念のため、一応簡単に解説をしておきたい。npm は、Javascript でソフトウェアの開発を行う際に使われる パッケージ管理ソフトだ。

Javascript はもともとブラウザ向けに開発された言語だが、node.js というサーバー側で動作する実装も一般的になってきている。
開発者は一般に、素早く、かつ安全に開発するため、広く使われているパッケージ（モジュール）、つまり部品を再利用することを好む。
そして、サーバー側の開発を行う際には、ソフトウェアを安定的に稼働させるため、パッケージのバージョンを固定したり、定期的にアップデートしたりといった作業が発生する。
こういった作業を簡略化するのが npm だ。ほか、Linux では yum や apt、PHP だと Composer などが知られている。

おわりに

今回、パッケージ管理ソフト npm の一般的な動作を逆手にとり、悪意あるコードを挿入するという手口が発覚したが、ユーザーの資金が無事に保護されたという点を考えれば、良いニュースと言える。
ユーザー側で防ぐことは簡単ではないが、不審な挙動を発見次第すぐに開発チームに連絡したり、開発チームの方であれば  npm チームと連携することで、迅速な対応が取れたという事例と考えることもできる。
もちろん、Komodoチームの迅速な対応、脆弱性を逆用するという技術力があってこその結果だ。
今後の彼らの発展にも期待したい。

 

Raise the roof

tsubokコメントを残す

今日は街中でデモやってました。

ダブリンは急激に増えすぎた移民や企業により、家の賃貸価格が高騰しています。

屋根を上げる、という合言葉は面白いですね。本当に困ってる人たちは面白くなんかないと思いますが。。。

Queen’s tart

tsubokコメントを残す

タルト好きな私は前から狙ってたんですが、ようやく行くことができました。

左上はスモークサーモンのブレックファースト、下はニューヨークチーズケーキのタルトです。

右上はチャイラテ。

どれも素晴らしかった！

Cryptopia へのハッキング、その被害と詳細について

tsubokコメントを残す
こちらのも昨日の記事と同様、ポシャったので個人ブログで。
—
1月13日から1月28日にかけて、Cryptopia が複数回のハッキングを受けました。このとき Cryptopia は 2度にわたって被害を受けてしまいましたが、その総額は 1600万ドルを超えるとされています。
警察機関が捜査に入り、メンテナンスの状態が続いていますが、このインシデントがなぜ発生してしまったのか、掘り下げつつ振り返ってみたいと思います。
まずはじめに、概要をおさえつつ、Cryptopia がハッキングを受けた時系列を振り返ってみましょう。
攻撃者は今回、6つのウォレットを用いたことが分かっており、これは Etherscan.io 上で Cryptopia Hack としてラベル付けされています。このラベルは Etherscan.io の labelcloud から一覧を確認することができます。今回の攻撃では、それぞれのウォレットは Cryptopia_Hack1 から 6 までナンバリングされています。
・タイムライン
次に時間軸を辿ってみましょう。1回目は、日本時間 1月13日 22:28:29 から転送が始まりました。このときは最初にコアウォレットから、19390 Ether が転送されました。
その後、続けて 76000以上に及ぶセカンダリウォレットから転送が続きました。攻撃者がメインで用いたウォレット（ Cryptopia_Hack1 ）にウォレット数だけトランザクションが記録されることになりました。並行して、Dentacoinや Oyster Pearl といったトークンも転送が行われました。Ethereum やトークンの転送は数日間、断続的に続きました。
一方、Cryptopia が公式にアナウンスを行ったのは 1/14 15:55 にメンテナンスを開始したのがきっかけでした。その後、1/15 17:00 にセキュリティブリーチについて報告があり、トークンの盗難があったことを認めました。
今回の調査を行った elementus によれば、資金が格納されていたコアウォレット、セカンダリウォレットそれらすべてについてコントロールを失っていたのではないか、とされています。つまり秘密鍵を盗まれた上、鍵を削除されてしまったのではないか、あるいは鍵を置いていたサーバーを乗っ取られたのでは、という推測が発表されています。
彼らは今回、Github 上で調査結果を発表していますが、盗まれた資金の金額や量、経路をまとめるだけでなく、1月21日 時点で引き続き盗難のリスクがあるウォレットについても cryptopia-losses.csv として指摘していました。
しかし指摘も虚しく、1月28日には同じことが起きました。このときも 17000以上の大量のトランザクションが発生し、約 1675ETH が盗まれました。2週間で資金が少し回復していたのは、マイニングリグなどがメンテナンス関係なく送り続けていたからではないか、という見方をされています。
2回目に盗まれた Ethereum は Cryptopia_Hack5 と 6 に転送され、最終的に Cryptopia_Hack2 と名付けられたウォレットに転送されました。これは 1回目に使われたものと同じであることから、一連の攻撃者は同じ人物あるいはチームとされています。
elementus が推測しているように、1月14日 時点で異常を検知してメンテナンスに入っているわけですから、それ以降も数日間攻撃が続き、さらに 1月28日に再度発生した攻撃に対策を講じられなかったのには、理由があるはずです。この状況は、ウォレットの秘密鍵が失われたのではないか、と考える根拠として十分でしょう。
しかし、冒頭で紹介した19390ETH のトランザクションの後にも、実は払い出しらしきトランザクションが記録されています。このことから、Cryptopia 側で利用している秘密鍵が削除されて使えなくなったわけではなく、払い出しシステムは 15時間ほどの間は動いていたのでは、と考えられます。
資金のほとんどは盗まれていて、メンテナンスに入った時点でEthereumの転送は終わっていたのですが、この時点で対策が打てれば２回目の攻撃は成功しませんでした。
これについては、サーバーが乗っ取られていたため対策が取れなかった、もしくは Crypopia 側の対処が遅かったために一切の対策ができなかった、このどちらかの可能性が非常に高いでしょう。
・各個人が取れる対策について
昨今、取引所をターゲットにした攻撃は苛烈さを増しています。もちろん内部犯も対策をすべきですが、スピアフィッシングや水飲み場攻撃など特定の人間をターゲットにした攻撃を防ぐことは簡単ではありません。
では、今後も同じようなインシデントは発生すると想定し、各個人が取れる対策はどのようなものがあるでしょうか？
ひとつは、取引所に必要以上のトークンを置かないというものです。
被害を受けたとしても、すべての資産を盗まれないよう、ダメージコントロールをするという策です。
そして、もし使うときは、なるべく迅速に取り出しましょう。
もっとも簡単な対策としては、たくさんの人に長く利用されており、かつ、自分が信用できると判断した取引所を使うことです。
技術的な視点で取引所の挙動を調べることは簡単ではありません。しかし、良い取引所ならば運用面など、その他の観点で見ても良い取引所だと言える確率が高いはずです。
サポートの返信が早い、メンテナンス発生時の報告がタイムリーに行われている、情報開示が迅速である、セキュリティインシデントを公開してきた実績がある・・・などでしょうか。
・さいごに
人間だって間違えますし、システムのバグも完全になくすことは難しいため、少しずつ改善を積み重ね、減らし続ける必要があります。
つまり、小さな積み重ねが信頼につながるのは、人間もシステムも同じなのです。
ブロックチェーンや暗号資産のエリアでは新しいサービスが日々作られては消えていますが、リスクを自分で見極める、その一助になれば幸いです。