情報漏洩が大学に与えるセキュリティリスク
宇田川暢

新潟大学 学術情報基盤機構 情報基盤センター
udagawa@cais.niigata-u.ac.jp

A Consideration on Information Leakage Causing a Threat against JapaneseUniversities
UDAGAWA Mitsuru
Center for Academic Information Service, Niigata Univ.
概要
2020 年に発生した 2 つセキュリティインシデントについて分析し、それらが日本国内の大学へ与える影響について考察する。片方は大学と直接関係のないサービスからのユーザ情報漏洩であり、不適切に保存されたパスワードが引き起こすリスクを、もう片方は適切に管理されていない VPN 装置の脆弱性を利用したアカウント漏洩からの内部ネットワー
ク侵入によるリスクを検討する。
年 10 月 16 日から 17 日にかけて発生し、不正アク

1 はじめにセスの具体的な手段については特定不能であると2020 年に 2 つのセキュリティインシデントが発生した。各インシデントについての説明と、漏洩報告されている。
2.3 漏洩したパスワードの不正利用疑いした情報が大学の情報システムについてどのよう2021 年に入り、メールアカウントへの不正アクな影響を及ぼす可能性があるかの考察を行う。

セスによる迷惑メール送信のインシデントが、2 インシデント 1：Peatix の情報漏洩たことが愛媛大学から公表された[3]。

2020 年 11 月 27 日から 30 日にかけて発生してい発表された内容の中に、「学外のイベント管理

2.1 Peatix について
Peatix 1はイベントやチケットの管理を行うことができるイベントプラットフォームで、アメリカに本社を持ち、日本国内にも日本法人が存在している。イベントを開催したいと思っている主催者は、イベントプラットフォームを利用することで、イベント概要説明サイト作成と参加者の管理、イベント参加費の徴収を一元的に行うことができる。
2.2 Peatix からの情報漏洩の発生
2020 年 11 月 17 日、Peatix の日本法人 Peatix Japanは、不正アクセスにより登録された利用者情報が漏洩したと発表した[1]。発表によると漏洩した情報は氏名、メールアドレス、暗号化されたパスワードなどのユーザアカウント情報について、最大サービスに登録していた本学の学部用メールアドレス利用者のメールアカウントとパスワードが、同サービス運営会社が第三者による不正アクセスを受けた際に流出し、窃取されたものと推測されます。」という一文が記載されている。
時期的に Peatix のインシデントとの関連が疑われるが、Peatix の発表内容によると、漏洩情報に含まれるパスワードについて、暗号化されているとなっていたため、なぜ不正に利用することが可能であったかという疑問が生まれる。

3 Peatix の漏洩内容と暗号化パスワード
3.1 Peatix からの漏洩内容暗号化されたパスワードの問題について確認

677 万件となっている。
本インシデントについての調査報告が 2020 年
12 月 16 日に公表された[2]。インシデントは 2020するため、漏洩したとされる情報を入手して解析することとした。
Peatix から漏洩したアカウントと思われるファ1

https://peatix.com/

イルは、925,806,592 バイトの MySQL ダンプで、196

最後が破損したバックアップであった。最後に記ットの大文字と小文字、数字および記号 2 種類と録されていた破損した無効な SQL 文を削り、デー

すると、パスワード 1 文字当たり 64（≈26）通り、タベースにリストアしたしたところ、以下のようパスワード長が 8 文字の場合は 248 通りのパスワーな概要であった。

ドとなる。ここで 1 秒あたり 10 億回 SHA-1 ハッ・総レコード数： 4,347,461

シュを計算できるコンピュータで総当たりによる・最終アカウント作成： 2019-01-20 23:09:58

解析を行った場合、10 億≈230 であることから、解・最終アカウント更新： 2020-10-16 23:46:13

析に必要な時間は最大で 218 秒≈3 日となる。

この内容から、Peatix を利用していたユーザ情パスワードが 9 文字になると約 194 日、10 文字報のうち、2019 年 1 月 20 日迄に作成されたアカであれば約 34 年と指数関数的に総当たりに必要ウントが漏洩していることがわかる。全ユーザ分な計算時間が増加する。つまり、パスワード長がのダンプをデータベースから作成または転送中に、十分でない場合、パスワード解析が現実的なリスなんらかの理由で処理が中断され、この部分までクとなりうる。の情報漏洩となったと推測される。また、アカウ

3.4 パスワード解析による実証

ント情報が更新された最新のレコードが 2020 年

今回入手できたデータが Peatix からの漏洩デー10 月 16 日であったことから、調査報告においてタであるとの仮定のうえ、大学メールアドレスと記載されたインシデント発生のタイミングと符合のパスワードの使い回しにより、愛媛大学で発生する。

したような不正アクセスの危険性があるとの立場

ただし、この情報は Have I Been Pwned に掲載[4]されている、漏洩アカウント数 4,227,907 件というに立ってパスワード解析を試みる。
4,347,461 アカウントのうち、”.ac.jp”で終わるメ情報と件数が異なっている。

ールアドレスのアカウントは 20,165 件であった。

3.2 暗号化（ハッシュ化）されたパスワード

Peatix ではアカウントに Google などの SSO を利用

このデータベースには”password”というカラムしてログインすることも可能で、その場合はパスがあり、そこに”{SSHA}”から始まる文字列が記録ワードを保存していないようである。”password”されている。SSHA は Salted SHA-1(Secure Hash

カラムが空のレコードを除いて絞り込むと、Algorithm-1)を意味し、パスワード文字列にソルト12,466 件となった。なお、第 3 レベルドメインでを付与したものを SHA-1 でハッシュ化し、得られ集計すると、1,090 ドメインとなった。ただし、こた 20 バイトの文字列にソルトを追加して Base64の数にはメールアドレス登録時に誤入力したと見形式でエンコードしたものが保存されている。

られるものも含まれている。

パスワードをハッシュ化する前にソルトを付

これらのアカウントについて、表 1 のコンピュ与することで、同じパスワードでも異なる値を生ータで hashcat 2によるパスワード解析を試行した。

成することが可能となる。また、ハッシュ化後にこのコンピュータでは SHA-1 ハッシュの計算を 1もソルトを追加しているのは、パスワード文字列秒あたりおよそ 84 億回行うことが可能である。

が一致するかの比較時に必要なためである。

表1

パスワード解析用コンピュータ

このカラムには”{SSHA}”の後に 32 文字の文字CPU列が記録されていることから、4 バイトのソルト

メモリ

AMD Ryzen 5 5600X
64GB付き SHA-1 ハッシュであるとわかる。

GPUOSGPU Driver Version
CUDA Version
hashcat VersionGeForce RTX 3060Ti
Fedora 33
460.32.03
11.2
6.1.1

SHA-1 解析の性能

約 84 億ハッシュ/秒

SHA-1 のようなハッシュ関数は、パスワードなどから一方向にのみ計算可能なハッシュ値を得られるものである。
3.3 総当たりによるパスワードの解析
ソルト付きハッシュ形式で保存されたパスワードであれば、たとえ漏洩したとしても、不正に利用される危険性は無いように感じられる。しかしながら、総当たり攻撃によって元のパスワードを解析される可能性が存在する。
例えば、パスワードに使える文字をアルファベ

197

hashcat は特定の機能を持つ CPU や、GPGPU を用いてパスワード解析を行うためのソフトウェアであり、総当たりやパスワードマスクを用いた解析にも対応している。今回利用した解析用コンピっている。なお、pwscore 3での評価時にはユーザ

ュータの CPU では hashcat で利用することができ名として 16 文字のダッシュを使用し、パスワードないため、GPU のみの利用となっている。

中にユーザ名が含まれると評価されないようにし

本論文では、計算時間の削減のため、8 文字以た。

下の総当たり攻撃とし、パスワードマスクに表4hashcat デフォルトのパターン（表 2）を利用した。

パスワード解析結果（重複あり）
パターン

表 3 に示すように、パスワードマスクを利用する該当数ことで大幅に計算量と計算時間を削減することが数字のみ593可能となるが、代わりにパターン外のパスワード

アルファベット小文字のみ504については取りこぼすことになる。

アルファベットのみ

512

表2

アルファベットと数字のみ4,785

使用している文字が 1 種類

19

アルファベット大文字

使用している文字が 2 種類

21

アルファベット小文字

使用している文字が 3 種類

92

数字

使用している文字が 4 種類

260

アルファベット小文字

使用している文字が 5 種類

540

数字

使用している文字が 6 種類

1,142

アルファベット小文字

使用している文字が 7 種類

1,645

数字

使用している文字が 8 種類

1,089

デフォルトのパスワードマスク（8 文字時）

1 文字目

2 文字目～7 文字目
8 文字目

記号 [*!$@_,]
表3

総当たりの試行回数・時間比較（SSHA）

パスワード長
7 文字
8 文字
9 文字

全パターン

マスクあり

245.99 回

236.97 回

約 2.3 時間

約 16 秒252.56 回

242.33 回

約 9.1 日約 11 分

259.13 回

247.69 回

約 2.4 年

約 7.5 時間

※パスワードマスクはデフォルト、試行速度は毎秒 84 億回
3.5 解析結果
65 日に渡るパスワード解析の結果、12,466 件中、アルファベット 1 文字＋数字 7 文字65

アルファベット 2 文字＋数字 6 文字

216

アルファベット 3 文字＋数字 5 文字113

アルファベット 4 文字＋数字 4 文字

1,280

アルファベット 5 文字＋数字 3 文字278

アルファベット 6 文字＋数字 2 文字

437

アルファベット 7 文字＋数字 1 文字

233

数字 1 文字＋アルファベット 7 文字

17

数字 2 文字＋アルファベット 6 文字

32

数字 3 文字＋アルファベット 5 文字

25

数字 4 文字＋アルファベット 4 文字

181

数字 5 文字＋アルファベット 3 文字

13

数字 6 文字＋アルファベット 2 文字42

数字 7 文字＋アルファベット 1 文字

33

4,808 件（38.6%）のパスワードが解析された。つ

pwscore のチェックで問題あり

1,363

まり 38.6%のパスワードが典型的なパターンと思

cracklib の辞書の単語を含む

683

われるパスワードマスクに適合するものであった
ことになる。8 文字未満のパスワードが確認され4 インシデント 2：VPN 装置の情報漏洩なかったことから、現在確認することはできない

4.1 FortiGate についてが、漏洩インシデント以前のパスワードポリシー

2020 年には、Fortinet 社製 UTM（統合脅威管理）は 8 文字以上であれば文字種などに制限はなかっ製品である FortiGate の一部ファームウェアの脆弱たと推測される。

性についてもインシデントが発生している。同製

解析されたパスワードは表 4 のような特徴を持
2品は、いわゆる次世代ファイアウォールの他、VPN接続のための装置としても利用できる。

https://hashcat.net/hashcat/

3198

https://github.com/cgwalters/libpwquality-git

GeoIP データベースは Maxmind 社 4が提供する

4.2 FortiGate の脆弱性
2019 年 8 月の Black Hat USA 2019 において、IP ジオロケーションサービスで、当該 IP アドレス

DEVCORE 社のセキュリティ研究者により、複数が 割 り 当 て ら れ た 組 織 名 や ASN(Autonomousの SSL VPN 装置の脆弱性が紹介された[5]。

Network Number)、都市程度の場所まで把握するこ

ここで紹介された FortiGate の脆弱性はとが可能となる。ただし、詳細な情報が含まれた(1) ディレクトリトラバーサルにより、認証なデータベースは有償での提供となっている。

しで任意のファイルの内容を表示可能（CVE-2018-13379）

GeoIP データベースについて、今回は無償で提供されている GeoLite2 Country データベースを利(2) 認証なしでヒープオーバーフローによる任用し、また、URL リストが作成されたであろう時意コード実行が可能（CVE-2018-13381）

期を跨ぐ 2020 年 8 月 11 日と、2021 年 6 月 8 日の(3) 非公開のパラメータを指定することで、認GeoLite2 Country データベースで結果を比較する証なしで任意にパスワードリセットが可能こととした。

（CVE-2018-13382）

URL リストに国と組織名、ASN およびクレデというものであった。

ンシャルリストのファイルサイズを加えたリスト

また、既にこの脆弱性を修正するアップデート（以下、分析用リスト）を作成し、両 GeoLite2プログラムが配布されていることについても言及

Country データベースの結果を比較したところ、2されている。

つの IP アドレスについて、2021 年 6 月 8 日のデー

日本国内では本脆弱性情報について、2019 年 9タベースでは新たに日本国内において利用されて月に JPCERT/CC により他社製 SSL VPN 装置の脆いる IP アドレスとなっていた。しかしながら、他弱性情報とともに、注意喚起がなされている[6]。の IP ジオロケーションサービスである ipinfo.io 5や注意喚起の中で、脆弱性を利用しての情報窃取目

DBIP 6では日本国外であると表示されたため、2020的とみられるスキャン行為が観測されている旨が

年 8 月 11 日の GeoLite2 Country データベースの結記載されており、この時点で既に脆弱性による情果のみを採用することとした。本来であれば全て

報漏洩リスクが顕在化していた。の IP アドレスについて、複数の IP ジオロケーションサービスを利用して評価すべきであるが、本4.3 脆弱性を持つ VPN 装置リストの公開
脆弱性情報の公開からおよそ一年後の 2020 年

論文では解析時間の削減のため、GeoLite2 Country

11 月に、ディレクトリトラバーサルの脆弱性が未データベースのみの利用とした。集計した結果は修正の VPN 装置の URL リスト（以下、URL リス

表 5 となった。

ト）が海外のフォーラムに掲載された[7]。URL リ

表5ストには、ログイン情報が平文で記載された VPN

URL リスト分析結果

パターン

該当数

装置上のファイル（クレデンシャル情報）にアク

全 IP アドレス

49,562セス可能な IP アドレスベースの URL が 49,577 件

有効なクレデンシャル

33,894記載されているものであった。

日本国内の IP アドレス

5,476

日本国内 IP＋有効なクレデンシャル

2,767

また、その数日後には同じフォーラムにリストの URL から取得したファイルを集めたアーカイブ（以下、クレデンシャルリスト）も公開された。

表 5 では全 IP アドレスで 49,562 件となっておすなわち、脆弱性への対応がなされていなかった

り、URL リストの 49,577 件と比較すると 15 件ほ

VPN 装置の IP アドレスと対になる、アカウント情ど少なくなっている。これは URL リストに IP ア報がリストとして公開されたことになる。

ドレスの重複があったためであり、ユニークな IPアドレスは 49,562 件となる。

5 公開された VPN 装置のリスト

また、クレデンシャルリストのうち、ファイルサイズが 100kB を超えているものを有効なクレデ

5.1 公開された IP アドレスリストの分析
URL リストに対し、GeoIP データベースを用いて、当該 IP アドレスがどの国のどの組織に割り当てられたものか調査することにした。

199

https://www.maxmind.com/
https://ipinfo.io/
6 https://db-ip.com/
45ンシャル情報が保存されているファイルと判断し、ト情報であった。一般的に利用者は管理すべきア表中で表示している。つまり、有効なクレデンシカウント情報が増えることを嫌い、パスワードのャル情報の場合は、ログイン情報が漏洩している使いまわしをしたがるものである。もし漏洩したとみなすことができる。ファイルサイズがそれよ

ユーザ名とパスワードが利用者の所属する大学のり小さなものは、URL のクロール時に既に脆弱性メールアドレスと同じであった場合、大学の提供が修正されており、正常にクレデンシャル情報をするサービスに不正にログインされてしまう恐れ窃取できなかったものと思われる。

があり、実際に今回のケースでもそのように推測

URL リストに記載があるものの、クレデンシャされるインシデントが報告されている。

ルリストには有効なクレデンシャル情報が保存さユーザ情報のデータベースが漏洩したとしてれていなかったケースについて、URL リストはも、適切な処理がしてあればパスワードを復元や2020 年 11 月の公開より前に作成されたもので、推測することはできないが、残念ながら利用者は脅威アクターの間でのみ流通していたものである

そのサービスでパスワードがどのように管理されと推測される。ているか知ることはできない。仮に複数のサービ

URL リストの分析結果について、具体的な列挙

スから平文のパスワードを含むアカウント情報がは避けるが、IP アドレスに紐づけられた組織名な漏洩したとしても、その他のサービスで利用してどから、日本国内の大学で利用していることが確いるパスワードが推測されないよう、規則性の無認できたものや、SINET の運用に関係しているといパスワードを利用することが望ましいと考える。
ただし、大学関係者が学外で利用しているサー推測されるものも存在した。

ビスのアカウント情報に何を利用しているか、当6 攻撃のエントリポイントとしての VPN
VPN は文字通り端末と VPN 装置間で仮想的な該大学のシステム管理者が知ることは知ることは不可能であるため、ログイン情報を使いまわされネットワークを構築することが可能となる。VPNたとしてもリスクを緩和できる多要素認証の導入の通信は強固に暗号化されており、第三者がそのが求められているのが現実である。

経路上で通信を盗聴することは非常に困難である。

7.2 VPN 装置のアカウント情報が漏洩するケース

しかしながら、VPN 装置へのアクセス権を攻撃者

VPN 装置は大学の情報部門が学生および教職が手に入れた場合は、VPN はセキュリティ上の意

員に学内のシステム等を学外からセキュアに利用味を持たないどころか、攻撃者に対して組織内部させるために設置している場合もあるが、システのネットワークへアクセスできる環境を提供する

ム導入時に導入を担当したベンダがリモートメンことになる。

テナンスのために設置している場合も少なくない。

2020 年は COVID-19 により、リモートワークが後者についてはベンダのみが利用するため、全世界的に必要とされることとなった。それに伴

VPN 装置のファームウェアのアップデートが全くい、VPN 接続の需要が高まった結果、既に利用し行われていないという場合も少なくないと考えらなくなった古い VPN 装置が再度利用されることれ、実際に今回の漏洩したクレデンシャル情報のとなり、未修正の脆弱性を利用して社内ネットワリストがその事実を示している。導入される際にークがランサムウェアにより攻撃されたケースも情報部門がシステム構成をチェックし、定期的な存在する[9]。また、VPN 装置自体に脆弱性が無いアップデートの実施と作業報告を当該システムのとしても、不適切な運用のため、大規模な影響を学内担当者に行うよう意見することが望ましいと受けたケースも存在している[10]。

考える。
組織内だけで利用しているサーバについて、通7 大学に対する脅威としての考察常の手段では外部からアクセスできないことから、これらの情報漏洩が実際の脅威として大学に与えうる影響、およびその対応方法について考察してみる。
7.1 オンラインアカウント情報が漏洩するケース
Peatix から漏洩した情報は、利用者のアカウン

200脆弱性を悪用されるリスクが少ないとして管理がおざなりになっている場合が少なくないが、内部ネットワークに侵入されるとそのリスクが深刻なものになる。また、VPN 装置と他のシステムとでログイン情報が共通である可能性が考えられ、しかもベンダがシステム導入時にリモート管理用に用意した VPN 装置の場合、その性質上、当該システムで使い回している特権アカウントである可能性がある。その場合、VPN 装置からアカウントの情報が漏洩した際に、内部ネットワークへの侵入に加えて、別の脆弱性を利用することなく機密情報を扱うシステムへのログインを許してしまう恐れがあるため、ベンダには VPN 装置のような裏口となるシステムには専用のアカウントを利用するよう指示する必要がある。

参考文献[1] Peatix 「Peatix への不正アクセス事象に関する お 詫 び と お 知 ら せ 」 、(https://peatix.com/event/1721625 閲覧日：2021年 6 月 6 日)
[2] Peatix 「 弊 社 が 運 営 す る 「 Peatix（ https://peatix.com/）」への不正アクセス事象に関する 第三者調査機関による調査結果のご 報 告 と 今 後 の 対 応 に つ い て 」(https://announcement.peatix.com/20201216_ja.pdf 閲覧：2021 年 6 月 6 日)
[3] 愛媛大学 「不正アクセスによる迷惑メールの送信について」(https://www.ehime-u.ac.jp/post-143243/ 閲 覧日：2021 年 6 月 6 日)
[4] Have I Been Pwned 「 Pwned websites 」(https://haveibeenpwned.com/PwnedWebsites#Peatix 閲覧日：2021 年 6 月 6 日)
[5] Black Hat USA 2019 「Infiltrating Corporate
Intranet Like NSA - Pre-auth RCE on Leading
SSLVPNs」(https://www.blackhat.com/us-19/briefings/schedule/index.html#infiltrating-corporate-intranet-like-nsa---pre-auth-rce-on-leading-ssl-vpns-15545
閲覧日：2021 年 6 月 7 日)
[6] JPCERT/CC 「複数の SSL VPN 製品の脆弱性に 関 す る 注 意 喚 起 」(https://www.jpcert.or.jp/at/2019/at190033.html
閲覧日：2021 年 6 月 7 日)
[7] BLEEPING COMPUTER 「 Hacker posts
exploits for over 49,000 vulnerable FortinetVPNs」(https://www.bleepingcomputer.com/news/security/hacker-posts-exploits-for-over-49-000-vulnerab
le-fortinet-vpns/ 閲覧日：2021 年 6 月 7 日)
[8] BLEEPING COMPUTER 「Passwords exposedfor almost 50,000 vulnerable Fortinet VPNs」(https://www.bleepingcomputer.com/news/security/passwords-exposed-for-almost-50-000-vulnerab
le-fortinet-vpns/ 閲覧日：2021 年 6 月 7 日)
[9] CAPCOM 「不正アクセスに関する調査結果の ご 報 告 【 第4報 】 」(https://www.capcom.co.jp/ir/news/html/210413.
html 閲覧日：2021 年 9 月 12 日)

201[10] REUTERS「One password allowed hackers todisrupt Colonial Pipeline, CEO tells senators」(https://jp.reuters.com/article/us-usa-congress-col
onial-co-idCAKCN2DK1PQ 閲覧日：2021 年 9月 12 日)