カテゴリー: Security

神奈川県の高校入試出願システムで障害、志願者のGmailにメール届かず – 現在は解消

神奈川県下の中学三年生は約7万3千人。予備のメールアカウントも登録しているから、全員に一度にメールを送信しようとすると、約15万通のメールを一度に送信しうるメールサーバーという話になる。

件のメールサーバーではMXテーブルにIPアドレスを指定していたことが原因で、SPFやDKIMが機能していない。その状態で大量のメールを送信したためレピュテーション（評価）が低下、不正中継サーバーと判断されて、メールを拒否されるようになった。Googleが制限しているためメールを受信出来ないという表現は確かにその通りだが、不正メール対策として正しく設定していないメールサーバーからのメールを受信しないのはGoogleに限らず多くのベンダーで行っている基本的な対策だ。正しく設定出来ていなかったメールサーバー側が全面的に悪い。

では正しく設定出来ていたら問題無くメールを送れたかというと、実は送信出来なくなった可能性が高い。新規にドメインを取得して間もなかったり、普段より極端に多くのメールを送信した場合にも、レピュテーション（評価）が低下する。これはSPFやDKIMによる認証が行われるようになる以前から行われていた不正中継対策だ。

もし独自にメールサーバーを立てるなら、ユーザーの利用が集中しないように利用開始時期を分散させつつ、レピュテーション（評価）の状態を確認しながらメールの送信数を調整、時間当たりに送信するメールを少しづつ増やしていく必要がある。運用に常に人を張り付けて微調整が必要になる。そもそも1～2月だけ大量のメールを配信するというのはレピュテーション（評価）を下げやすいので、年間通してメールを送り続けるような仕組みまで考えておく事を求められる。

実際には上記のような運用は手間がかかるし、バッドノウハウの塊なので経験がないものが実施するのは難しい。そこで通常は大量のメール送信を代行する、メール配信事業者に頼むことになる。

1月～3月だけ数十万通のメールを送信するシステムで、自前のメールサーバーから配信しようとしている時点で、発注者側にも受注者側にも適切に設計を出来るIT知識が無かったことがうかがわれる話だったりする。

参考：Google メール送信者のガイドライン

さっきまで使えてたスマホ、通話音が…しない　勝手に解約されたかも　被害男性の証言

偽造運転免許証をもちいて携帯電話のMNPを申込みんで携帯電話を乗っ取り、オンラインバンクのSMS認証を突破されてしまうという問題が多数発生しているらしい。記事の中でも「パスワードを使い回さないなど、やはり個人の対策が重要だ」と書かれているとおり、一番の問題はパスワードを適切に管理出来て居なかった事にある。

SMSを使用した多要素認証は、NIST(米国立標準技術研究所)でも条件付き推奨としている。推奨するための条件は、「他の認証方式と併用すること」「代替の認証方法を用意すること」「危険性の評価し公表すること」三つだ。SMSは電話会社での管理が適切である事を前提としており、技術的あるいは社会的方法で容易に突破されうる事が分かっているからだ。

SMSは攻撃に弱い認証方法であるという前提を理解して、正しくパスワードによる認証を使う事が大事です。「サービス毎に異なるパスワードを使う」「パスワードはランダムな文字列にする」「前述二つを実施するのはパスワード管理ツール無しでは無理なので、適当なツールを利用する」の三点をしっかりまもろう。

そしてエンジニアもSMS認証は弱いと言う事をちゃんと認識してサービスを設計しよう。

PPAP（パスワード付きZIPファイルと、そのパスワードを別送する）が無意味どころか、むしろ危険を増している事がようやく認識されるにいたった。だが、もう一つの問題、そもそもZIP2.0暗号方式を使って暗号化することの無意味さが知れ渡っていないようだ。

ZIP2.0暗号方式には計算量的脆弱性があり、比較的少ない計算量で総当たり攻撃をおこなえることが知られています。ハイエンドGPU（RTX 2080Ti 価格20万円程度）を4枚搭載したパソコンを使用すれば、15桁のパスワードでも15時間程度で解読できてしまう事が報告されています。ということは文字数を増やして16文字にすれば56日となるかというと、これ以上パスワードの文字数を増やしても解読に変わる時間は延びません。内部的に96bit（15文字程度）の状態しか持てないため、これ以上パスワードを長くしても意味が無いのです。

ZIP形式のファイルはこの問題を解決するために、今ではAES方式暗号に対応しています。ですが、Windowsが標準ではAES方式のZIPファイルに対応していないために、利便性を優先してZIP2.0を使用する事が常態化しています。セキュリティは利便性とのトレードオフになる事が度々ありますが、利便性を優先して実効性のない暗号方式を採用し、そのために無駄な作業や別の危険を増やすのは本末転倒でしょう。

暗号化したファイルのパスワードをメール以外・・・例えば電話で伝えるのは進歩です。でもZIP2.0形式を使い続けるなら、そこに実効性はありません。利便性と実効性を考えたなら、素直に暗号化などせずに添付して送るのが一番良いでしょう。

ではどうすれば良いのでしょうか？私がお勧めするのはメールを使用しない事です。メールの根本的なセキュリティ問題は認証機能が無い事にあります。そこで認証機能のしっかりしているSNSなり、Google Drive等のストレージサービスなりを経由して送るわけです。この時使用するサービスは、出来ればデータを受け取る側に用意して貰うことが重要です。アップロードする場所を指定するやりとりの中で、重要なデータを送る前に相互に認証を行う事ができます。

業務上使用しているメールサーバーのセキュリティについて考慮したことがあるだろうか？実態として問題なく利用できるメールサービスは限られている。

セキュリティ上、パスワード漏洩等のインシデント発生時に被害の程度や範囲を特定する必要がある。このためには最低限でもPOP/IMAP/SMTP/WebMailの認証ログを閲覧し不正な接続の有無や接続元を特定する必要がある。だが実態として認証ログを閲覧出来る事が明記されているメールサービスは少ない。

サービスを提供する事業者は第三者間の電気通信を中継している都合、電気通信事業者とてし法律の制約を受ける。そこには通信の秘密を守る義務が含まれており、通信相手の接続元などの情報を提供することが出来ないためだ。

自社でメールサーバーを運用するのであれば、電気通信事業法上の制約を受けることなくログを閲覧出来る。かといってメールサーバーの運用には多くのノウハウがあり、中小企業でメールサーバーを運用できる技術者を確保する事は難しい。

以下にセキュリティ上の認証ログを閲覧出来るメールサービスを例示しておく。色々と探したのだが、三つしか見つけることが出来なかった。

・Google Workspace
・Microsoft 365
・カゴヤ・ジャパン株式会社 メール専用サーバ

番外として下記も紹介しておく。認証ログを閲覧する事は出来ないが、代わりに接続元IPアドレスを制限する事が出来る。境界型セキュリティで安全を担保する前提であれば、接続元IPアドレスを制限したり、代理サーバーを介在させたりすることで、同様の要件を満たす事はできる。
・WebArenaメールホスティング

元記事：実態調査が示すセキュリティー事故の最新動向

DELLのもうちょっと良い事例は無かったのだろうか？
インシデント（セキュリティー事故）が発生するのは仕方ないにしても、あまりにも稚拙な対策が混じっていて失笑を禁じ得ない。

CASE1、CASE2・倫理観低下が招いた事故

論理感等という曖昧なものに原因を求めてはならない。分からない言語のメールだからそれを無視したり、業務効率向上の為のチャットソフト利用を拒絶する事が、論理感の高い行動とは言わないだろう。

根本的な原因は、恐らくはリスクのある外部サービス利用に対する過度な制限や、外部サービス利用承認プロセスの不備、ネットワーク利用状況の監視体制の不備にあると推測する。下手な利用制限がかかっていなければメジャーな翻訳サイトを避けて稚拙な翻訳サイトを使ったり、適切な監視がなされていればチャットソフトの利用に気がつかないと言うことはないからだ。

制限、許可、監視のバランスがとれていないことが根本の原因にあるなかで、制限だけを増やすのは問題の解決には至らない。制限を回避する新たな方法を編み出すようになり、従業員との信頼関係が損なわれる結果が目に見える。

CASE3・CASE4・ランサムウェアに感染

そもそもバックアップを取れていないことが致命的に問題だ。バックアップがとれていればデータが失われても１日分程度の話しであり、データを失うと言う致命的事態には陥らない。バックアップは一般ユーザーの権限ではアクセス出来ない（最低限で書き込めない）場所に、過去４～５日分（気がついたときには上書きされていたら意味が無いので、夏期休業などの最長休業期間より長い日数分）をバックアップしていれば良い。

標的型メールを模倣する訓練において開封率の低下を目指すことに意味は無い。本来なら開封した場合のエスカレーションが確実に行われることや、開封によって感染したことをセキュリティ監視チームが発見できる事が重要になる。なぜなら１００人中１人でも開封すれば被害に繋がるし、またどんなに訓練を重ねたところで、文面などから完璧に不正なメールを判断するのは不可能に近いからだ。

CASE６・CASE7・基本的な対策を怠った

CASE６のすべてのPCのOSを最新に するのは確かに必要な処置だろう。だが起こった問題「商談情報を撮影して個人のPCにメールで送ったりしていた」に対する対策としては「機密情報の撮影を禁止」と言うルールを設けただけである。いかにルールを作っても、ルールが守られていることを監視監督する等の運用面が苫なわなければ、仕事のためにルールを無視する事が必ず起こる。

CASE6の根本的な原因は、メールの送信先や送信元に対する監視が機能していない事にある。個人で取得していると思われるメールに対する送信だけでも監視していたなら、問題が発生する前に警告する事が出来たはずだ。

CASE7についてはログが無い以上、今後調査が進展する可能性もない。「漏洩した情報を特定できない」という報告をする以外にない。

不要になったホームページを閉鎖する手順を記した良記事。
「ドメイントラブルを防ぐ、Webサイトを正しく閉鎖する方法」

一時期にはキャンペーンサイトなど安易に期間限定でドメインを取得してしまうWEBサイトが多数あったが、最近は問題点が知れ渡ったのか大分減ってきた。取得してしまったドメインを方々に迷惑を掛けることなく、キチンと止めるのはとても面倒なのである。

まとめるとこんな感じ。
1．閉鎖したドメインで一定期間は閉鎖の案内を表示するか、あるいは新URLへの転送を行う。
2．HTTPリファラーをモニタリングして、可能な限りリンク元URLに対して変更依頼を行う。
3．閉鎖するドメインへのアクセスがほぼ無くなったのを確認した後にWEBサーバーを廃止。
4．WEBサーバ廃止後はDNSからレコードを削除。
5．WEBサイトを閉鎖した後もドメインは更新し続け手放さないのが理想。

「総務省 ＩｏＴ機器に無差別侵入し調査へ 前例ない調査に懸念も」の記事を受けてIT業界にまたも激震が広がってる。「通信のブロック」 「coinhive検挙」 「ダウンロード違法化」と立て続けで、流石に辟易してくる。

あわてて条文など内容を確認したが、下記のようなことらしい。

法改正によってNICTを不正アクセス防止法の規制対象外にした。
NICTは第三者のID/PASSWORDを使って機器にログインする事、機器にログインした後その機器を操作すること、その機器を踏み台にしてさらに別の機器へのログインを試みることが出来るようにした。
電気通信事業者にはNICTから通達のあったIPアドレスを使用しているユーザーに対して警告する義務が追加された。

この法改正により、NICTは日本国内に設置されているインターネット上から接続出来る脆弱なパスワードが設定されている機器を調査する業務を行い、脆弱な機器を使っているユーザーには通信事業者を通じて連絡が来ると言うことのようだ。

法文を読むに、ブルートフォースなどにより機器にログインした後、その端末を操作して踏み台にし、LAN内の機器にまでログインして操作ことを許可しているように読み取れる。単にパスワードの調査だけではなく、より踏み込んだ調査が行われる可能性もあるようだ。

すでに調査はスタートしていて、11／14までにポートスキャンによる事前調査を終えている。スキャン対象となっているのはポート22（SSH）、ポート23（TELNET）、ポート80（HTTP）で接続時に表示されるバナー情報から機器情報を得ている。

この事前調査に使用したとされるIPアドレスはWhoISを見る限りNICT管理下のものなので、きちんとNICT管理下で行われているようだ。どこぞの業者に委託してて委託先業者から漏洩・・・と行ったことはひとまず心配しなくても大丈夫だろう。

ただ今回計画されている調査の有効性には疑問を感じる。

日本国内のインターネット接続環境は、BBルーターを介した接続になっていることが多く、ルーターの設定を意図的に変更してポートフォワードの設定をしない限り、設置した機器がインターネットから直接アクセス可能になる事は殆ど無い。かといってインターネットから直接アクセス出来ないなら、標準のパスワードのままでも安心出来るのかというと、危険である事は変わらない。

例えば僕ならLAN内のIoT機器にログインを試みるアプリケーションをメールに添付して送り込むといったことを普通に思いつく。この手のアプリケーションはウィルス対策ソフトに検出される事もまずない。多層防御がきっちりなされていない場合、 狙い通りにLAN内のIoT機器に侵入して設定を変更してしまうだろう。

今回計画されている調査は、インターネットから直接接続は出来ないが、LAN内に存在する脆弱なパスワードが設定されたIoT機器に対しては有効ではない。インターネットからは接続出来ないが脆弱なパスワードが設定されたIoT機器は、今回の調査対象よりも桁違いに多いはずだ。

ここまで強硬な手段を執る前に、公共性の高い事業者や規模の大きい事業者に対して、脆弱性診断を受けることを義務づけるとか、より有効な方法があっただろう。
なぜこんな方法にいきついたのか、大きな疑問を感じる。

なにはともあれ、アクティブサイバーディフェンスを法制化して国主導で行うというのは、他の先進国でも類例が無いのではなかろうか？国が個人の端末に勝手にログインする事の善し悪しを議論したり、国民のコンセンサスを得る前に、 良くも悪くも 世界最先端をいくセキュリティ体制が走りはじめてしまった事になる。

参考URL：
IT Research Art：NICT法改正と不正アクセス禁止法
NICT：日本国内でインターネットに接続されたIoT機器等に関する事前調査の実施について
総務省：国会提出法案

不正指令電磁的記録に関する罪（コンピュータ・ウイルスに関する罪）が制定されたときに、「いわゆるコンピュータ・ウイルスに関する罪について」という文章を法務省が公開している。突然「不正指令電磁的記録に関する罪」に問われた時に備え、自営のためにも読み解いておこうと思う。肝心の法文の方は法律関係者もコンピュータ系技術者も聞いたことのない造語が羅列されていて意味不明なので、唯一これが理解しうる文章でかかれた公式な資料と言える。

要約

＜不正指令電磁的記録作成・提供罪（刑法第168条の2第1項）

この罪が成り立つには以下の4つの要件を満たす必要があるそうだ。
・ 「正当な理由がないのに （正当な理由の不存在） 」
・ 「人の電子計算機における実行の用に供する目的で （目的） 」
・ 「 第1号又は第2号）に掲げる電磁的記録その他の記録を （客体） 」
・ 「作成し，又は提供した （行為）

この法律で最大の争点となっているのが、「 第1号又は第2号）に掲げる電磁的記録 」、いわゆる「不正指令電磁的記録」とは何かという点になる。長々と書かれているが次の二点に集約される。
・（不正指令電磁的記録であるか否かは）その機能を踏まえ，社会的に許容し得るものであるか否かという観点から判断する。
・（プログラムの作成者／提供者が）不正指令電磁的記録であることを認識していなければ，同供用罪は成立しない。

次に争点となっているのが「正当な理由がないのに」の「正当な理由」である。正当な理由として「ウイルス対策ソフトの開発・試験等を行う場合、またその目的のためにウィルスのサンプルを提供する場合」が例示されている。それ以外は「正当な理由」とは認められないと思った方が良い。

＜不正指令電磁的記録供用・同未遂罪（刑法第168条の2第2項・第3項）＞

作成・提供罪と基本的に同じであるが、作成するだけなら未遂罪には問われない。

＜不正指令電磁的記録取得・保管罪（刑法第168条の3）＞

この罪が成り立つには以下の4つの要件を満たす必要があるそうだ。
・ 「正当な理由がないのに （正当な理由の不存在） 」
・ 「人の電子計算機における実行の用に供する目的で （目的） 」
・ 「同項各号に掲げる電磁的記録その他の記録を （客体） 」
・ 「取得し，又は保管した （行為）

目的罪であると言うこと以外、作成・提供罪と全く同じである。

結論

「社会的に許容し得るものであるか否か」は違法/合法であるという社会的コンセンサスが形成されている事が必要。違法であるという社会的コンセンサスが形成されている事を証明するには、全国紙や公報で被害が発生していることや、注意喚起がなされている等の事実が必要だろう。ある人突然に社会的に許容できないと言う理由で摘発される事は無いと考えられる。

したがってある日突然に摘発されるときには、「（対象となるソフトウェアが）不正指令電磁的記録であることを認識しているか」がほぼ唯一の争点となる。もし身に覚えのない摘発を受けたなら、一貫して「犯罪とは一片たりとも考えていない」事を主張した方が良い。またSNSなどで「違法かも」とか、「グレーかも」のような発言を過去に行ったり、「いいね」しているなら注意した方が良い。違法性を認識していた証拠となり得る。

蛇足

今回のCoinhive問題に限って言えば、14日付けで警察庁が違法である可能性を示唆する文章を掲載しているし、13日移行に各社とも違法であるという論調で記事を書いたる。そのために、社会的コンセンサスが形成されていると見なされる可能性がある。またそれらの記事を目にしたことで、不正指令電磁的記録の可能性があることを認識してしまっているので、14日以降にCoinhiveを無断実行してる場合には、法定で戦うの厳しいかもしれない。

正直に言って、警察がホームページで違法ですと言ったときから、違法になるような状態は正常とは言いがたい。一刻も早くまともな判断基準を示して、きちんと機能する法律として欲しい。

僕が駄文呼ばわりしているのは、分かりにくい法律を解説するにあたって、結局分かりにくい説明になっている上に、重要な不正指令電磁的記録の基準について明示されておらず、「正当な理由がないのに」を説明するにあたり「『正当な理由がないのに』とは，『違法に』という意味である」のような文書が出てきて、一気に興ざめしたからである。