Weblog of pikopiko

SoftEther でおなじみの登 大遊＠筑波大学情報学類の SoftEther VPN 日記に興味深い記事が。

IBM ThinkPad X41 が外部から誰でもシャットダウンできる仕様について　登 大遊＠筑波大学情報学類 2005/07/11

指紋認証機能付きの ThinkPad では、 IBM 指紋認証ユーティリティーが WindowsXP の GINA を差し替えるのだ。　しかし、この GINA は、RDP 経由であるかどうかを関知しないため、RDP で接続したときにログオンしなくともシャットダウン可能になってしまう……という記事である。

GINA のコトや、差し替えられるというコトは知っていたのだが、自分のマシン ( ThinkPad T42 ) に RDP で入るのはそんなにやらないので、コイツには気付かなかったです……。

一応解決策としては、「ローカルセキュリティ設定」→「ローカルポリシー」→「セキュリティオプション」と進み、『シャットダウン : システムをシャットダウンするのにログオンを必要としない』というポリシーを『無効』にセットすれば OK ですかね。　こうすれば、マシンにログオンしないとシャットダウン出来なくなるのだな。　要するに、Windows 2000 Server や、Windows Server 2003 等と同じ動作ですわな。

ただし上記ポリシーを適用すると、ローカルコンソールであってもログオンしないと ( 通常の ) シャットダウンは出来なくなるという弊害が生じますが、電源ボタンを押せば緊急シャットダウンさせることは可能なので、それほどの問題ではないだろうと思う。

んで、誰でも自分のマシンの電源を落とせてしまうという状態がマトモとは思えないので、上記ポリシーを自分のマシンに早速セットしたのであった。　指紋でログオン出来るのは便利なのだが、意外なところに落とし穴があったなぁ……。

GINA を置き換えるソフトとしては、他に PC Anywhere の古いヤツとか、Cisco の VPN Client の一部とか、あと確か Desktop On-Call とか結構いろいろあります。　あと、指紋認証機能付きの ThinkPad で無くても、IBM Client Security Software を入れてれば GINA は差し替わります。　これらの GINA も、 WindowsXP の RDP 接続を想定していない場合は同様の問題が発生する可能性があるので、確認した方がいいかもしれませんね。

今日家に帰ったら、自宅に置いてある TabletPC も確認せねば。　コイツには、"C-SIGN LOCK for Tablet PC" ( 筆跡認証でのログオンを可能にするソフト ) が入っていて、やはり GINA が差し替わってるので。