カテゴリー: Security

今週に入ってから問題となっているCoinhiveの検挙については、読売新聞の記事が中立的な立場で書かれており、わかりやすい。「他人のＰＣ「借用」仮想通貨計算　ウイルスか合法技術か」

ここ一年で「ウイルス保管罪」による検挙が相次いでいる。これが悪意を持ってウィルスを保管していた人物が検挙され、犯罪が未然に防がれたのであれば喜ばしいことだが、実態がかけ離れています。

・セキュリティ研究者が研究目的でウィルスを保持しており、誤って流出させた事から摘発。＜ウイルス保管容疑でセキュリティ企業ディアイティの社員逮捕、同社は反論＞
・セキュリティ研究者向けに攻撃手法などの情報共有を目的としていたWEBサイトが摘発。＜ハッキング情報など提供のサイト 「Wizard Bible」閉鎖、検察からの圧力か＞
・未成年者が自身のウェブサイトでランサムウェアの作成方法やサンプルプログラムを掲示していたことから摘発。＜未成年が作成したというランサムウェアの詳細をトレンドマイクロが分析＞

コンピューター犯罪に対する、ここ数年の警察の取り組みは「無能な働き者」と言うしかありません。

そして今回に至ってはCoinhiveの摘発です。先の読売新聞の記事にもある通り、Coinhiveが閲覧者の意図を確認することなくCPUリソースを使ったことが違法だというなら、WEB上で閲覧者の意図を確認することなく表示される広告もCPUリソースや通信帯域を利用しており違法という解釈が成り立ちます。そこに使われている技術の差や、ユーザーに与えている損失という点では何も違いなどありません。

交通違反の場合を考えてください。去年あたりから自転車の交通違反について厳しく取り締まりが行われるようになりました。別に法改正があったわけではなく、今まで容認してきたことに対して、摘発して処罰するように方針を変えたことによります。このように今まで容認してきたことを違法とする場合には、通常は議論をおこない事前通告や移行期間を設けて実施します。

去年あたりから続いている「ウィルス保管罪」の摘発は完全に不意打です。何が違法で、何が適法なのか、明確な指針を示すこともなく、ある日突然に摘発しに来ます。僕自身も啓蒙的意図で「ブックの保護を強制的に解除する」のような記事を書いたり、「net user %USERNAME% /random > nul」※のようなコマンドを掲示板で紹介しているので他人事ではありません。

100歩譲って、それらの行為を違法だとするにしても、事前に議論の場を設け、社会に広く通告し、移行期間を設けたうえで実施する程度のことはしてください。このまま不意打ちを続けるなら、セキュリティ技術者（ホワイトハッカー）と警察が対立する状態になってしまいます。

昨今、コンピュータープログラミング教育やセキュリティ技術者（ホワイトハッカー）の育成が叫ばれています。セキュリティ技術者を委縮させ、末端のホワイトハッカーを狙い撃ちにするような、検察警察の動きに異を唱えてくれる方が増えることを望みます。

※ 第三者にパソコンを使わせることのリスク。パソコンを使用不可能にするのに特別な技術は必要ないということの例として示したもの。

とある日のVirus Total。PC向けメジャーウィルス対策ソフトで現時点で対応できているのが、McAfee、Microsoft、Baidu位しかない図。この状況がウィルス対策ソフトでウィルスやマルウェアの感染を防ぐことは出来ないとされる所以である。

Microsoft、Symantec、McAfeee、Baiduは新種のウィルスへの対応が比較的早い方だが、それでも新種ウィルス登場から半日程度は無防備な状況が生まれるのは避けられない。見ての通りSymantecではまだ検出できてない。

感染そのものを防ぐのはもはや無理なので、感染しても情報流出には繋がらない、あるいは感染に伴う異常な挙動に気がつける監視体制の構築が要求されている。

PostScript 1
余談だが勧めのウィルス対策ソフトはMicrosoftのWindows Defender。ご覧の通り、新種のウィルスへの対応が非常に早い上に、OSに標準装備で無償、安定性も高く、トラブルも少ない。WSUSによる更新の配信や、Group Policyによる設定の管理もサポートしており、企業ユースにも対応。言うこと無しである。

PostScript 2
Virus Totalは複数のウィルス対策ソフトで感染有無を調べられる便利なツールだが、アップロードしたファイルはVirusTotalと契約する各セキュリティベンダーに公開される。絶対に外部に公開できない情報を含むファイルをアップロードしたりしてはいけない。

「PDFを安全に保護できるパスワードの付け方と伝え方」に、安全じゃない記述もちらほらあって気になったので補足しておく。

Acrobatのセキュリティ機能

「文書を開くときにパスワードが必要」の設定にした場合には、技術的にもパスワードが分からない限り閲覧出来ない。したがって、安全である。

「文書の印刷および編集を制限。これらの権限設定を変更するにはパスワードが必要」については、技術的にはパスワードがなくても印刷や編集が可能。したがって、安全ではない。実際に。この設定を無視して印刷や編集を行えるツールは実在するし、ちょっとプログラミングの経験があれば容易に迂回できる。

パスワードの伝え方

「可能であれば、ビジネスチャットやグループウェアなど、メール以外の手段で伝えられると安心だ。」・・・いや、それ安心できないから。攻撃者がメールを閲覧出来る状態ならば、ビジネスチャットやグループウェアのパスワードを再発行して設定出来る可能性が高く、パスワードは筒抜けになる。パソコン本体ごと流出したのであれば、キャッシュからパスワードを得られる可能性も高い。IPAの例では電話という全く別の通信インフラ（添付ファイルの送信経路と被っていない）を使って送るというのが重要なのです）。
コレが中々にやっかいで、おすすめの方法はありません。電話では周りの人に聞こえてしまいますし、ランダムな文字列を伝えるのは困難です。SMSは数年前に脆弱性が指摘されてから、非推奨の方法になっています。直接会って打ち合わせしたときに定めるのが現実解でしょうか。

「電話で最後の1文字だけを伝える」のは、完全に論外です。最後の1文字だけ総当たりすれば良いと知られた時点で、1文字のパスワードを設定しているのと変わらない。普段から「電話で最後の1文字だけを伝える」事を習慣化していた場合には、周りの人もそのことを知っているので容易に推測できてしまいます。

世の中・・・と言うより、日本国内ではナンセンスなセキュリティ対策が、さも標準的な対策であるかのように横行しています。セキュリティ対策の基本「どうやって」「だれから」「なにを」守っているのか考えてみれば綻びがはっきりします。二つ目の例として、「社内ネットワークをインターネットから分離して、インターネットを使うときには社内ネットワークとは切り離されたパソコンを使う。」ことによって、「どうやって」「だれから」「なにを」守れているのか考えてみましょう。

「インターネットを使うときには、社内ネットワークとは切り離されたパソコンを使う。」と聞いて真っ先に考えるネットワークは上のようなものかも知れません。これはむしろ全体のセキュリティを悪化させているに過ぎません。今時社外とインターネットを使った情報の送受信をやらずに済む事など無ありません。結局の所、社内のネットワークから必要な資料等をCDやDVDでインターネット専用端末に持ち込むことになります。インターネット専用端末がウィルスやマルウェアに感染していた場合、インターネット専用端末を介して情報漏洩に繋がる恐れもあるのでセキュリティ対策を疎かにするわけにはいきません。

社内ネットワークから切り離されたパソコンのセキュリティをどのように担保するのかが重要になります。インターネット専用端末が所属するネットワークにも、ADサーバーによる従業員の個別認証、IDSによるインシデント検知、Firewallによる通信の制限、WSUSによるセキュリティアップデートの監視、企業用のウィルス対策ソフトウェア導入、USBメモリなどのストレージ機器の監視・・・下のような、一通りの管理体制は必要になるはずです。

インターネットから切り離した社内ネットワークはどうなるのかというと、完全にインターネットと切断するわけにはいきません。インターネット接続用端末からUSBメモリなどを介してウィルス等が持ち込まれる可能性も考えると、セキュリティパッチのインストール、ウィルス対策ソフトの更新などは必要です。個々のパソコンからの接続は禁止していたとしても、セキュリティパッチのインストール、ウィルス対策ソフトの更新を行うための中継サーバーはインターネットに接続しておく必要があります。先の「インターネット専用端末が所属するネットワーク」と同様の管理体制が、インターネットから切り離した社内ネットワークにも必要になります。

ここであらためて考えてみましょう。インターネット接続用ネットワークも、社内ネットワークも同じレベルのセキュリティ対策が施され、管理されています。インターネット接続用ネットワークを儲けることで、セキュリティがどのように向上しているのでしょうか？実はクライアントパソコンに着目する限りでは、何もセキュリティは向上していません。ネットワークインフラ構築にに2倍のコストを掛けたうえに、インターネットから切り離すことで業務効率を悪化させているにも拘わらず、セキュリティはほとんど向上していないのです。

これは「なにを」守るのかが、ズレているのが要因です。上の図のようにセキュリティ更新を受けることが出来ない古いソフトウェアや、運用の都合でセキュリティパッチを導入できないサーバー等、様々な理由でセキュリティレベルの低い状態に置かれている場合があります。本当に排除しなければならないのはインターネットではありません。インターネットに接続可能な環境で使用するにはセキュリティレベルの低い状態になっている端末やサーバーを、インターネットと社内ネットワークから排除するひつようがあります。そのために社内ネットワークまるごと排除するのは過剰対策ですし、USBメモリなどによる持出を許可するのであれば、なんの解決にもなりません。

脆弱なサーバーや端末を社内ネットワークから排除し、使用する必要がある場合にはシンクライアント等で接続するように構成した場合です。シンプルに見えるでしょう？
実はこのような構成変更をするには、社内ネットワークの業務システム全体を掌握しており、必要に応じて大幅な設定変更できる事が必要になります。必要十分な実力を持つ情報システム部門が無かったり、情報システム部門が機能不全に陥って社内の業務システムを掌握出来ていない場合には無理です。図１や図２の構成を進めようとしているのであれば、その背後に情報システム部門の機能不全を考えた方が良いでしょう。緊急対策として「インターネットを使うときには、社内ネットワークとは切り離されたパソコンを使う。」の対処を行うにしても、その場合は情報システム部門の再構築をセットで考えるべきと思います。

参考：
日本のPOS端末が狙われる？組込みシステムのセキュリティ対策 – IT、IT製品の情報なら【キーマンズネット】
インターネットに接続していない環境から、大規模な個人情報漏洩が起きた事例です。最近のPOSはWindows Embeded等が使われておりセキュリティ対策としてネットワークからの隔離を実施していました。ところがPOSのメンテナンスのために接続されたUSBメモリがウィルスに感染しており、USBメモリを経由して個人情報漏洩を起こしています。隔離対策だけで脆弱な部分を残していては、もっとも脆弱なところから攻撃されます。

世の中・・・と言うより、日本国内ではナンセンスなセキュリティ対策が、さも標準的な対策であるかのように横行しています。セキュリティ対策の基本「どうやって」「だれから」「なにを」守っているのか考えてみれば綻びがはっきりします。代表的な例として、「メールにて添付ファイルを送るときには、添付ファイルを暗号化してから添付して送付し、パスワードは添付ファイルとは別のメールにて送る。」ことによって、「どうやって」「だれから」「なにを」守れているのか考えてみましょう。

メールから情報が漏洩する状況

パソコンの廃棄、盗難

パソコンの受信メールや送信済みメールのフォルダには暗号化された添付ファイルと、そのパスワードが並んで保存されています。従ってパソコン内のデータを復元できる状況なら、何も技術的に特殊なことなどしなくても、ファイルを復号して閲覧できます。

中継サーバーでの盗聴

インターネットのメールは相手のパソコンに直接送信されるわけではありません。複数のメールサーバーを経由して相手のメールサーバーまで届く事になります。昔は多くの組織のメールサーバーを経由して何時間・・時には数日もかけて届いていたのですが、最近は「送信者のパソコン→送信者が使っているメールサーバー→宛先が使っているメールサーバー→相手先のパソコン」と、第三者のサーバーを経由することは滅多になくなりました。
添付ファイルを付けたメールも、そのパスワードを付けたメールも同じ中継サーバーを経由して届く可能性が高いです。したがって中継サーバー上で盗聴できるなら、ファイルを復号して閲覧できます。

ネットワーク上での盗聴

接続しているハブや無線LAN上の通信データを閲覧するソフトウェアがあります。ネットワークモニタなどと呼ばれます。クラッキング用の特殊なツールというわけではなく、作成したアプリケーションが意図したとおりに動作しているか確認するために広く使われています。パソコン１台あれば可能ですし、Microsoft純正のツールもあります。
さてHUBなど通信経路上で接続してネットワーク上で盗聴している場合、添付ファイルを付けたメールも、そのパスワードを付けたメールも同じネットワークを流れるます。したがってネットワーク上で添付ファイルを付けたメールを盗聴できるなら、パスワードを付けたメールも盗聴できますし、ファイルを復号して閲覧できます。

誤った対象への送信

メールクライアントの誤操作により誤った宛先に機密情報を送信してしまったという報道が度々流れた時期があります。「メールにて添付ファイルを送るときには、添付ファイルを暗号化して添付して送付し、パスワードは添付ファイルとは別のメールにて送る。」ことが有効な唯一の例です。添付ファイルを付けたメールを送った後、パスワードを送るまでの間に、宛先の過ちに気がつくことが出来れば情報漏洩を防げます。
ただし、メールサーバー側で暗号処理などを自動で行ってくれるソフトウェアを導入しているときには注意が必要です。暗号鍵送信の手順が簡素化されているため、速やかにパスワードを遅れてしまうため、気付くまでの猶予が短くなってしまいます。

情報漏洩防止のために「メールにて添付ファイルを送るときには、添付ファイルを暗号化して添付して送付し、パスワードは添付ファイルとは別のメールにて送る。」と言う方法は、「誤送信した後、すぐに誤っている事に気がついた」と言う限定的な状況でのみ、誤送信した相手から添付ファイルの情報を守る事ができると分かりました。

この方法のデメリットは？

「メールにて添付ファイルを送るときには、添付ファイルを暗号化して添付して送付し、パスワードは添付ファイルとは別のメールにて送る。」事によるデメリットは無いのでしょうか。メールサーバーは中継したメールにウィルスが含まれていないかチェックする機能を持っている事が多いのです。暗号化してしまうとメールサーバーは添付ファイルにウィルスが含まれていないかチェックすることが出来ません。またクライアントPC上でも、添付ファイルを復号してHDDに保存するまでウィルスの有無を判定できません。つまりメールをられる相手にとって、暗号化した添付ファイルを受け入れるのは、ウィルスなどの感染リスクを増やす事になります。
また暗号化には暗号化ZIPを用いていることが多いですが、Windowsの標準機能で解凍できるZIP2.0形式は、暗号機能が脆弱である事が分かっています。英数大文字小文字を交えた8桁のパスワードでも、GPGPUを使ったパスワード総当たりツールを使えば、10日とかけずに解析できてしまいます。したがって実効性を持たせるには、SHA256形式を用いたZIP暗号を使用し、相手にも対応したソフトをインストールしてもらう必要があります。

本来はどうするのが一番良いのだろうか？

実はもっと確実な方法があります。次の二つを実施する事です。
・メールへの添付ファイルは一切許可しない。
・添付ファイルを送りたい（受け取りたい）ときにはGoogle DriveやOne Drive等のクラウドストレージを使う。
メールサーバーの設定でHTMLメールやSMIMEを除く、一切の添付ファイルを禁止します。これでウィルスを含めて、コンピューターに感染する可能性のある不正なプログラムをほぼ防ぐ事が出来ます。
その上で、貼付ファイル等を送る必要があるときには、クラウドストレージの共有機能を使います。クラウドストレージの共有機能を使うと乱数で生成されたURLが作られます。クラウドストレージの共有したファイルやフォルダにアクセス出来るのは、このURLを知っている人だけです。そして相手がファイルをダウンロードしたのが確認出来たら、速やかに共有URLを破棄します。当事者の誰かが共有用URLを漏洩させない限りは安全ですし、仮に誤送信などで漏洩させても共有URLを破棄してしまえば漏洩を防ぐことが出来ます。
第三者へのファイル送付に特化したクラウドストレージもあります。そういったストレージサービスであれば、共有URLにアクセスしたアクセス元IPアドレスや日時まで閲覧出来るものもあります。また自社専用にサーバーを作って社外とのファイル交換に使用している例もあります。

理想を求めるなら、これにSMIMEを使ったメール暗号を併用できると完璧です。盗聴されたりメールアカウントのパスワードが漏洩した場合でもメール本文に書かれているURLの漏洩を防ぐことができます。ただ、SMIMEはメールを受信する相手側で対応していないと暗号化は利用できませんし。電子証明書の取得に１メールアカウント辺り数千円の支出を伴うこともあり、なかなか普及していないのが残念です。

結局の所？

「メールにて添付ファイルを送るときには、添付ファイルを暗号化して添付して送付し、パスワードは添付ファイルとは別のメールにて送る。」ことによって、極めて限定的な状況下で、誤送信による情報漏洩から守ることが出来ます。そのためにメールを受信者側に、セキュリティの低下というリスクを押しつけています。
ほとんど役に立たない対策のために、他の面でセキュリティを低下させているのですから、総合的な効果としてはマイナスの対策といえます。

追記 参考資料

電子メール利用時の危険対策のしおり
IPAの提供するガイドラインでも「復号のためのパスワード等は、別の通信手段を利用して相手に伝えることが重要です」ときちんと書かれている。添付ファイルを暗号化するなら、せめてガイドラインに従ってFAXなり、郵送なり、電話なり、別の手段で送って欲しい。

「添付ファイルはパスワード付き暗号化」でいいのか
ITProの記事。実は10年前から指摘され続けている。

添付ファイルとパスワードを別便で送るアレ、やめて。セキュリティ１〜５章
技術的な詳細はこちらが詳しい。

最近はウィルス添付されたメールが、ウィルス対策ソフトをすり抜けてくることが珍しくない。他のユーザーのためにも、気がついた時点でウィルスの検体を送付するようにしている。そうすれば少なくとも数日内にはウィルス検出パターンが更新されたときに検出されるようになるので・・・。
私が提出先にしているいくつかのセキュリティベンダーでの提出方法を記載しておきます。怪しいファイルが送られてきたときには、是非みんなで送付しましょう。

トレンドマイクロの場合
トレンドマイクロ製品のアクティベーションコードまたはシリアル番号、あるいは法人ユーザーのアカウントとパスワードが必要になります。

法人契約の場合はVirus Support Webにて手順が示されています。こちらの方法は事前にアカウントを作成しておく必要があります。
もしくは疑わしいファイル(ウイルス検体)の調査依頼方法の手順にそって問い合わせフォームから検体をアップロードします。こちらの方法はアクティベーションコードが必要です。
個人ユーザーの場合はウイルスバスター ヘルプとサポートから問い合わせすることになります。

カスペルスキーの場合
My Kasperskyにログインして、マイカスペルスキーサポートへのお問い合わせからリクエストを送信します。

Symantecの場合
次のURLからウィルス検体を送信できます。Symantecの素晴らしいところは、Symatec製品のユーザー以外でもOKなところ。
ウイルスサンプルの提出

Virus Totalを使う場合
VirusTotalと言うサイトにファイルをアップロードすると、様々なウィルス対策製品でウィルスとして検出されるか確認することが出来ます。同時にこのサイトにアップロードした検体はVirusTotalと契約している他のセキュリティ団体にも共有されるようになっています。実際にいくつの団体とデータを共有しているかは明記されていませんが、検体の提出にも繋がります。