SHIELD Security Reserch Center主催者が語る
DEFCON22 の舞台裏 !

Dark Tangent

プロフィール：本名はジェフ・モス（Jeﬀ Moss）。
DEFCON 主催者であり Black Hat の創設者。米国
国土安全保障省の諮問委員や ICANN のチーフ・セキュリティ・オフィサーなどを歴任。長年にわたりハッカーコミュニティと政府機関との橋渡し役を務めている。

ダーク・タンジェント

インタビュー●インタビュー = 笠原利香

●写真 + 構成 = 斉藤健一

NSA をはじめとする国家によるネットワーク監視の発覚、SSL の信頼性を根幹から揺るがすHeartbleed 脆弱性、米国を執拗に攻撃する中国人ハッカーなど、この 1 年間で報じられたセキュリティに関する事件は数知れず、これらの脅威に世界中の人々が不安を感じている。そんな状況の中、各国のセキュリティ専門家が一堂に会する DEFCON22 が開催され、例年を上回る参加者があったという。今回は主催者であるダーク・タンジェント氏に今年の DEFCON について話を伺った。

2

Q1

中国人ハッカーに手を焼く米国政府がセキュリティ・カンファレンスに出席する中国人に対してビザを発行しないのではないかという噂が流れました。DEFCON ではどうでしたか？

A1

実際のところ、DEFCON には多くの中国人が来てくれましたし、中国の CTF チームも参加してくれました。僕自身、この噂について調べてみましたが、出所はわかりません。もし2011 年から DEFCON 会場となった Rio All Suite も今年で最後。

かすると中国人に対する政治的な警告だったのか来年からは Paris と Ballyʼs の 2 つのホテルで開催されるもしれません。

A3

1 つ、面白いエピソードがあります。とある中

今年はこれまで以上に各種ビレッジ（ハ国人が DEFCON 参加のため米国大使館へ行きビザンズオンセミナー）を増やしています。の申請をしたそうです。大使館職員が確認のためプライバシーや暗号、ICS（産業制御システム）なDEFCON の Web ページにアクセスしたのですが、どです。小さなグループであっても特定の目的をその日はたまたま音楽イベントの出演アーティス持つ人たちが交流できる場所を提供したいと考えトを告知するニュースがトップに掲載されていたたからです。のです。それを見た大使館職員は「これはコン

しかし、現状の会場規模では限界に達したので、ピューターのカンファレンスではない、音楽イベ来年は変更する予定です。3 時間後に行われる閉ントだ」といって、ビザを発行しなかったそうで会式で正式に発表しますので、それまで待ってくす（笑）
。Web ページをもっと詳細に見るべきでださい（笑）（編注：閉会式にて Paris と Bally's がしたね。

来年の会場になると発表されました）。

Q2

Q4

今年は会場がかなり混雑しているように

今 回 の DEFCON で は ロ ー ガ ン・ ラ ム感じました。参加者数は昨年と比べてど（Logan Lamb）氏によるホーム・セキュの程度増えたのでしょうか ?

リティ製品に関する講演がキャンセルとなりました。この理由は何でしょうか ?

A2

正 確 な 数 字 は 把 握 し て い ま せ ん が、 確

A4

実にいえるのは昨年より 1500 人以上増

彼は数社の製品の調査結果を発表する予えているということです（編注：昨年開催した定でしたが、それらの製造メーカーが彼

DEFCON21 の 参 加 人 数 は お よ そ 1 万 5000 人 ）。

が勤める会社に対して発表を取りやめるよう圧力

DEFCON は木曜日から日曜日にかけて開催されまをかけてきたことが理由のようです。

す。例年だと参加登録は木曜日から土曜日にかけ

Q5て均等にあるのですが、今年はなぜか木曜日の午

日本のセキュリティ研究者は周囲からの前中に集中してしまい、長蛇の列ができました。

圧力を気にして、ホーム・セキュリティ理由はわかりませんが「ドットコムバブル」が起製品など PC 製品でないものを研究対象にするこきた 2000 年当時をほうふつとさせました。とを避ける傾向がありますが、米国の研究者はどうでしょうか ?

Q3

来年以降、Rio All Suite から他のホテルA5へと開催地を変更することは検討してい米国ではセキュリティ研究はある種、社ないのですか ?

会へのサービスだと考えられています。

3

製造メーカーに製品の欠陥を指摘することで、よることなく戦うということを製造メーカーが知っり良い製品作りにつながります。また、情報を広たからだと思います。先述のように矛先が講演者く公開することで、消費者が製品選びの際に参考に向かうようになったのはこういった背景もあるにできる「インフォームド・チョイス」にも役立のです。
もちろん、DEFCON では「責任あるディスクローちます。短期的には問題も起こるでしょうし、不ジャー※ 1」を守るよう講演者に求めています。

便が生じるかもしれませんが、長期的に見れば必ず良い方向に向かうと思います。

ただ、研究者の中には、メーカーやベンダーに例えば錠前メーカーを例にすると、かつての製脆弱性を報告し、彼らの回答を待つ間に DEFCON品にはいくつもの欠陥がありましたが、研究者らの講演に応募する人もいます。こういった場合、の指摘によって改善が進みました。また、市場にDEFCON としては秘密を厳守し、講演のアナウン

新たに参入しようとするメーカーも、公開されてスを開催ぎりぎりまで行わないこともあります。

いる情報を利用すれば、一定水準以上の製品を最その結果、メーカーやベンダーは慌てて対応を始初から作ることができます。

めますが、講演までに間に合わなかったという例がありました。

Q6

製造メーカーが DEFCON に対して圧力をQ7かけてくることはないのでしょうか ?

い く つ か 一 般 的 な 質 問 を し ま す。
Anonymous のようなハクティビストにA6ついて意見を聞かせてください。彼らに賛同しま

過去にはありましたが、現在ではありますか ?

せん。おそらく、われわれが圧力に屈すそれとも抗議は別の形で行うべきだと思いますか ?

A7

彼らの活動を考えるには、マクロの視点とミクロの視点、その両方を持つ必要があります。問題を提起して人々の目を向けさせるというマクロの視点から見ると彼らは正しいと思います。しかしミクロの視点から見て、目的を遂行するための DoS 攻撃には賛同できません。というのも、攻撃は対象に限らず周囲のネットワークに対しても副次的な被害を及ぼすからです。
DoS 攻撃というと、以前は Web サーバーへの接続をあふれさせるものでしたが、最近ではアプリケーションサーバーを標的としたものも出てきています。バックエンドのデータベースに負荷をかけるクエリを送りつけるのです。これならトラフィック量は少なくて済みます。このように社会的に意識を持った攻撃に変わりつつありますが、個人的には別の方法で抗議すべきだと考えています。

※ 1 責任あるディスクロージャー (responsible disclosure): コンピューター・セキュリティにおける脆弱性情報公開ポリシーの 1 つ。
研究者が脆弱性を発見したときに、ベンダーへ報告し、パッチ作成など一定時間を経た上で一般に対して情報公開を行うもの。現在主流の考え方。

4

Q8ポイントとなったのではないでしょうか。

NSA はいまだにインターネットの監視を続けていますが、これに対して意見を聞Q9かせてください。

スノーデン氏は過去 DEFCON に参加したことはあるのでしょうか ?

A8

監視は、米国に限らずフランス・ドイツ・

A9

ロシア・中国など、さまざまな国で行わ参加したことはないと思います（笑）。たれています（笑）。もはやインターネットの監視だ、彼の方から今年の DEFCON でパネリは日常のことと考えた方がよいかもしれません。

ストの一員としてディスカッションに参加したい

それよりも監視に対してどのように対応していくという提案はありました。しかし、多くの人がパかが次の課題となるでしょう。

ネリストとして登場しテーマも多方面にわたる予

インターネットの監視は何度となく取りざたさ定だったことや、彼自身がすでに 7 月に開催されれていましたが、確たる証拠もなく、これまでた HOPE ※ 3 にビデオ会議システムを使って参加は誰も何もできませでした。しかし、監視の実態しており、DEFCON で新たな話が出てくるかどうが明らかになったことで、インターネットのポリかなど不安な点が多かったため、彼の提案は受けシーや製品も変化してきています。

ませんでした。

IETF（インターネット技術タスクフォース※ 2）
では、よりセキュアでプライバシーに配慮した将笠原：来年の DEFCON も期待しています。ありが来のプロトコルについて議論が始まっています。

とうございました。

こうした意味で、監視の発覚は重要なターニング※ 2 IETF（Internet Engineering Task Force）：インターネットで利用される技術の標準化を推進する組織。（https://www.ietf.org/）※ 3 HOPE：米国のハッカー雑誌 “2600” が主催するカンファレンス。1994 年に第 1 回が開催され今年で 10 回目を迎えた。
（http://www.hope.net/）

S.S.R.C.(Shield Security Research Center) は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信しております。
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2014. All rights reserved.

5