サイバー攻撃に揺らぐインターネットの信頼性― 結局ネットの安全性を担保する根拠ってなんだろう

IPA 技術本部 セキュリティセンター
暗号グループ
神田 雅透

20111215沖縄ICTフォーラム2011

1「平成22年度我が国情報経済社会における基盤整備」報告書
パソコンのみ
15.9%
併用
68.6%

モバイルのみ7.9%

20111215沖縄ICTフォーラム2011

2

SSL/TLS：インターネットビジネスでの必須ツール
 通信の暗号化
 接続先サーバの確認

Server (Webサーバ)

Client (ブラウザ)
デジタル署名

サーバSSL証明書の検証{利用可能な暗号アルゴリズム一覧}{使用する暗号アルゴリズム,サーバSSL証明書}

Pre Master Secret 生成{暗号化された Pre Master Secret}
サーバSSL証明書の公開鍵で暗号化
Master Secret 生成

暗号アルゴリズムの決定

公開鍵暗号{ハンドシェイク終了通知}

Session Key生成

秘密鍵で復号
Pre Master Secret 生成
Master Secret 生成
Session Key生成{ハンドシェイク終了通知}

暗号化データ通信
20111215沖縄ICTフォーラム2011

共通鍵暗号 + ハッシュ関数
3ネットの信頼性はどう担保されているの？
結局、ネットではどの暗号が使われる？

技術
攻撃者
攻撃者の目的は何？

制度・仕組み運用・心がけ公開鍵基盤PKIの信頼性が揺らぐと何が起きる？

そもそもユーザのリテラシってどんなもの？

20111215沖縄ICTフォーラム20114公開鍵証明書は「騙されないための保険」
 公開鍵と秘密鍵の対応関係を保証するスキーム
Certification
Signing Request(CSR)

エンドエンティティ(End Entity)

登録局
Registration
Authority (RA)

（狭義の意味での）認証局
Certification
Authority (CA)

公開鍵証明書SSL/TLSで使うなら「SSLサーバ証明書」

証明書利用者(Relying Party)
20111215沖縄ICTフォーラム2011

C

リポジトリ
(Repository)
LDAP/OCSP（広義の意味での）認証局
Certification
Authority (CA)

公開鍵証明書失効リスト

C5公開鍵基盤PKI (Public Key Infrastructure)
ルート証明書ルートCA

中間CA(-A)証明書

RR

中間CA(-A)

公開鍵証明書（EE証明書）

中間CA(-B)

公開鍵証明書（EE証明書）

公開鍵証明書（EE証明書）

中間CA(-B)証明書

R

公開鍵証明書（EE証明書）

公開鍵証明書

公開鍵証明書

公開鍵証明書

公開鍵証明書AA

B

B

 ルートCAはPKIのTrust Anchor• CAはCP/CPS (Certificate Policy/Certification PracticeStatement) に基づいて運営管理している（はず）• CP/CPSに基づいてCAが運営管理していることを監査機関は監督している（はず）
20111215沖縄ICTフォーラム2011

6

SSL/TLSを使う時に意識しないのはなぜ？
 実際にはブラウザが自動検証する

ルート証明書のこと• 登録されている「信頼できる認証局証明書」をベースに判定• 設定次第でリアルタイム検証も可能

20111215沖縄ICTフォーラム2011

7ルートCAからの不正発行は本来あってはならない なんらかの理由で有効期限内のSSLサーバ証明書を失効させることは“通常業務”の範囲内
https://●●●.com/
へアクセス

サーバ証明書A

正規のSSL/TLSサーバ
https://●●●.com/

NGOK

サーバ証明書A

 認証局の管理下にないSSLサーバ証明書が不正発行される事態は業務停止にも相当する“緊急事態”
https://●●●.com/
へアクセス

サーバ証明書A？

サーバの真偽判定不能！
< GPKIのCP/CPS >OK

サーバ証明書A

OK

正規のSSL/TLSサーバ
https://●●●.com/
サーバ証明書A

偽SSL/TLSサーバ
https://●●●.com/

サーバ証明書

A

20111215沖縄ICTフォーラム2011

8Comodoのケース
 不正SSLサーバ証明書が通常の手続きに則って発行• Comodo RAの審査を不正にすり抜けた結果、見掛け上正当な偽CSRに基づいて不正SSLサーバ証明書を正規発行
2011年3月15日、Comodo RAに存在するユーザアカウントをクラック（主にイランに割り当てられているIPアドレスが使われた）クラックされたユーザアカウント上に新たなユーザIDを作る
新たなユーザIDで見掛け上正当なCSRを９つ（７ドメイン）不正に作る
Certification
Signing Request(CSR)

エンドエンティティ(End Entity)
公開鍵証明書C20111215沖縄ICTフォーラム2011

登録局
Registration
Authority (RA)
（狭義の意味での）認証局
Certification
Authority (CA)Comodo CAは正当なCSRと誤認して処理

9

Comodoのケース
 原因• Comodo RAを担うある再販事業者での運用ミスが主因
ハッキングするためにRSAを破ろうとしたが破るまでもなかった
CSR提出プロセスで使われるプログラムの一部に、テキスト形式のユーザ名とパスワードが使われていた Comodoの対処• 2011年3月15日以降に、RAのチェックをすり抜けた偽CSRに基づいて、Comodo CAが正規に不正SSLサーバ証明書（7ドメイン・9枚）を発行• 不正発覚後、速やかに関係者に通知
当該SSLサーバ証明書を失効させ、証明書失効リストCRL(Certificate Revocation List)に登録
MicrosoftやMozillaをはじめとする主要なブラウザベンダに対してセキュリティアラートを通知
20111215沖縄ICTフォーラム2011

10Comodoのケース
 2011年3月22日以降、緊急修正パッチを提供• 対策：当該SSLサーバ証明書の削除
マイクロソフト：セキュリティアドバイザリ(2524375) 公表（24日）

Mozilla：Mozilla Foundation Security Advisory 2011-11公表(22日)20111215沖縄ICTフォーラム2011

11Comodo Hackerって何者？
Comodo, DigiNotarを始め、複数のCAを攻撃したとの犯行声明を出したComodo Hacker
 「イラン在住の21歳の一匹狼のクラッカー」と自称
 「イラン政府や軍とは無関係」と主張
 「イラン反体制派組織に恐怖を与え、イラン国民、核技術者、大統領の守護者」を自任
 同一人物の攻撃であることの痕跡をあえて残している

20111215沖縄ICTフォーラム2011

12Comodo Hackerって何者？
米国などが主導するようなインターネット社会や情報化社会を否定、ＩＴ基盤に打撃を与えることが目的
 イラン核問題をはじめとする、イラン政府やイラン国民に対する米国やイスラエルの攻撃に対する報復を示唆
 DigiNotarを狙ったのはオランダへの報復と主張• オランダGPKIに打撃を与える目的
 少なくともさらに3つ以上のCAに対して攻撃が成功？
• StartCOM(本拠：イスラエル)：
HSM接続成功、電子メールやDBバックアップ、顧客情報などを入手• GlobalSign(本拠：日本)：
全サーバへのアクセス成功、DBバックアップ、 ならびに米国のglobalsign.comドメインの個別鍵を入手
発行業務一時停止を含む緊急対応により安全性を確認
20111215沖縄ICTフォーラム2011

13

DigiNotarのケース
 不正SSLサーバ証明書がCA機能を乗っ取られて発行• EV-SSLサーバ証明書発行用CAを含め、少なくとも６つのCA（疑いを含めると30個のCA）に不正侵入され、不正SSLサー
バ証明書を発行
2011年7月19日に128枚、 20日に129枚発行されたのを含め、少なくとも合計531枚の不正SSLサーバ証明書が発行されていた
2011年6月17日から今回の攻撃が始まっていたことを把握
Certification
Signing Request(CSR)

エンドエンティティ(End Entity)
公開鍵証明書C20111215沖縄ICTフォーラム2011

登録局
Registration
Authority (RA)
（狭義の意味での）認証局
Certification
Authority (CA)DigiNotar CAに不正侵入して処理

14普段なら実害は少ない、はずなのだが・・・
偽SSL/TLSサーバ証明書を不正発行した“だけ”なら学
実害には繋がらない・・・はずだった
 実際の動作

正規のSSL/TLS
サーバ
123.45.67.8

https://●●●.com/
へアクセス
サーバ証明書AOK

DNSサーバ

NW

サーバ証明書A

偽SSL/TLSサーバ
198.76.54.32

DNSサーバhttps://●●●.com/

123.45.67.8

https://□□□.gov/

111.222.3.44

サーバ証明書A

実害に結びつけるには、DNSサーバを改ざんするか、Man-in-the-middle attackをするか
20111215沖縄ICTフォーラム201115実害が発生した可能性が高い
https://●●●.com/
へアクセス
サーバ証明書AOKDNSテーブルが書き換えられると異常検知不可能

正規のSSL/TLS
サーバ
123.45.67.8
サーバ証明書ANW
DNSサーバ

DNSサーバhttps://●●●.com/

123.45.67.8⇒ 198.76.54.32

https://□□□.gov/

111.222.3.44

偽SSL/TLSサーバ
198.76.54.32

サーバ証明書

A「政府機関（体制側）等による盗聴行為」がイラン国内で実際に行われた可能性がある• イラン周辺で不正発行されたSSLサーバ証明書に対するOCSPリクエストが多発• 不正発行されたSSLサーバ証明書に、Googleのほか、イスラエル諜報特務局、MI6、CIA等の諜報機関が含まれた
20111215沖縄ICTフォーラム201116

不正*.google.com証明書のOCSPリクエスト

20111215沖縄ICTフォーラム201117

標的型攻撃に使われるともっと危ない ファーミング攻撃：

正規のSSL/TLS
サーバ
123.45.67.8

https://●●●.com/へアクセス
サーバ証明書AOKNW

サーバ証明書A

ホストファイル／DNSテーブル
https://●●●.com/

123.45.67.8⇒ 198.76.54.32

https://□□□.gov/

111.222.3.44

偽SSL/TLSサーバ
198.76.54.32

サーバ証明書A

 署名付きドキュメント類の偽造：

実害リスクの意味では
SSL/TLSよりもこちらのケースのほうが危険！

OK
R-CA Certification

X-CA Certification

Doc Certification

R-CA public key

X-CA public key

Doc public key

OK

R-CA sig

R-CA sig
OK20111215沖縄ICTフォーラム2011

X-CA sig
OK18

PKIの危機を招いたもの
ルートCAのずさんな運営管理と見過ごした監査体制～ ルートCAの水準と監査品質の均一性への懸念 ～ ルートCAとしてはあまりにも重大な失態が相次ぐ• 事件報道されるまでの5週間、事実を隠ぺいし続けた2011年7月19日以降、短期間に不正SSLサーバ証明書の発行・失効処理が繰り返されていたにも関わらず、根本的な対策を取らなかった
2011年6月17日から今回の攻撃が始まっていたことを把握
7月28日イランで不正SSLサーバ証明書が悪用されていることを把握
OSやブラウザ等のベンダにもその事実を通知しなかった
イラン在住の人がGmailにアクセスした
ときに不正が発覚

20111215沖縄ICTフォーラム2011

19

PKIの危機を招いたもの• CP/CPS違反もしくはCP/CPS自体に重過失があったことを強く疑わせる
運用管理体制

オランダ政府の承認のもとに公表された中間報告書

ウイルス対策ソフトが機能しておらず、通常検出可能なマルウェアやウイルスが重要サーバに入り込んだまま本来は外部ネットワークから分離して設置されるはずのCAサーバに業務用LANからアクセス可能
同じIDとパスワードで全CAサーバにアクセス可能なネットワーク構成
強いパスワードが使われていたわけではなかった
公開サーバに対してセキュリティ修正パッチが適用されていなかった
アクセスログが安全に所定場所に保管される仕組みではなかった
20111215沖縄ICTフォーラム2011

20

PKIの危機を招いたもの
 主要ブラウザベンダの対処• 事件報道後、主要ブラウザベンダは緊急の修正パッチを提供
対策：DigiNotarのルート証明書を削除

DigiNotarの業務停止
破産手続き開始
オランダGPKIのルートCAの一つが潰れた⇒ Comodo Hackerの目的達成
20111215沖縄ICTフォーラム2011

21

PKIの危機を招いたもの
 もっと問題なのは・・・ことの真相がはっきりしないこと• FOX-ITレポートに書かれていることとComodo Hackerがいっていること（特にシステム構成）に食い違いがある
FOX-ITレポートが正しければComodo Hackerが正しければDigiNotar特有の問題ともいえるほどシステム構成・運用が杜撰な認証局がPKIに組み込まれていたという問題になる

一般的なシステム構成をもつ認証局ならどこでも同じように攻撃される恐れがあるという問題になる

 WebTrust for CA認証制度の信頼性への問題• オランダ監査機関も問題を指摘できず

現状ではDigiNotarほどひどいことにはなっていないが立て続けに問題が発覚したということは・・・
20111215沖縄ICTフォーラム201122対応策は？
WebTrust for CAを取得しているCAが発行した不正SSLサーバ証明書をいかに早く失効させるか
 緊急のセキュリティ更新パッチは必ず適用• “定例”の修正パッチ提供まで待てない理由がある 携帯電話・スマートフォン向けのセキュリティ更新プログラムの提供は一般に遅れることに留意• 携帯電話に入っているルート証明書はもともと少ないが、スマートフォンにはそれなりに多く入っている
 可用性は大きく損なわれるが、特に信頼できるCA以外のルート証明書を手動削除する案もあり• 特に政情不安な国や情報統制を行っている国では有効かも 結局のところ“ナショナルセキュリティ”の問題か？
20111215沖縄ICTフォーラム201123まとめにかえて国家権力と結びついたサイバー攻撃をエンドユーザレベルで防御するのは難しい 現在のインターネットの仕組みは、エンドユーザが異常検知できない状況下で攻撃することも可能• Trust Anchorをどこに持っていくかの課題– ナショナルセキュリティそのもの、かも• 国家権力がコントロールするネットワークは信頼性に欠ける• 攻撃を受けた国と被害が発生する国が違うこともある セキュリティ更新パッチ適用は防御のための最低条件• 究極的にはブラウザベンダと認証局は信用するしかない ウイルス対策ソフトの導入とパターンファイルの更新• ウイルス感染したままだと対策技術を導入しても守りきれない20111215沖縄ICTフォーラム201124