SHIELD Security Reserch Center

T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

マイケル・オスマン インタビュー ………………………………………………………… 3
第２回 CODE BLUE 全講演レポート Part1 ………………………………………………… 7
Threat Scope ………………………………………………………………………………… 16●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

スノーデンがリークした
ＮＳＡの情報を元に盗聴器を開発！

Michael Ossmann

マイケル・オスマン インタビュー●インタビュー = 笠原利香

●写真 + 構成 = 斉藤健一

エドワード・スノーデンによって NSA の情報が大量にリークされたが、この中には NSA が諜報活動に使用する機器のカタログも含まれていたという。そして、このカタログを元にユーザーが機器を自作しようとするユニークなプロジェクトが NSA Playset だ。今回は、NSA Playset の主催者の 1人であり、自らも「RF Retroreflectors」というツールを開発したマイケル・オスマン氏に話を伺った。

3

M：2013 年 10 月、サンディエゴのカンファレン

諜報活動に使用するデバイスを D.I.Y. ?

スで会ったピアス氏と僕は、プロジェクトについて話し合いました。彼は数年前から構想を持って笠原利香（以下 R）：はじめまして。今回はあなたいたようです。ただ、この時は行動に移すことはが立ちあげたプロジェクトである NSA Playset ※ 1

ありませんでした。ところが、2013 年末にドイツと、プロジェクトで開発されているデバイスにつで開催された CCC（Chaos Computer Club）のカいて伺いたいと思います。よろしくお願いします。

ンファレンス（Chaos Communication Congress）

マイケル・オスマン（以下 M）：こちらこそ。NSAで公表された NSA ANT カタログ※ 4 の存在を知り、Playset は 僕 と デ ィ ー ン・ ピ ア ス（Dean Pierce）

2 人ともテンションが上がりました。そこからおの 2 人が中心になって立ちあげたプロジェクト

互いに連絡を取り、NSA Playset を一気に立ちあです。2014 年 7 月にワシントン州で開催されたげたのです。仮に、情報のリークがなかったとし「ToorCamp」というセキュリティカンファレンスても、僕らはデバイスを作ることができたと思いで概要を発表しました※ 2。そのときの動画は、僕ます。ただ、NSA ANT カタログからさまざまな影のブログで観ることができます ※ 3。NSA Playset

響を受けたことも事実です。そう考えれば、スノーのコンセプトは、NSA が諜報活動に使っているデデン氏のリークもきっかけの 1 つだったといえま

バイスやソフトウェアが自分たちでも作れると、す。

セキュリティコミュティに伝えることでした。

R：NSA Playset はどのように運営されているので

R：立ちあげるきっかけは、やはりエドワード・

しょうか ?

スノーデンによる情報リークだったのでしょう

M：NSA Playset で は、Web サ イ ト・ML・Wikiか?

を通じて誰もが参加できるようになっています。
NSA が使用するツールを理解するには、自分で同様のものを作ってみるのがいちばんよい方法だと思います。現在 150 人ほどのユーザーがボラン
ティアで参加しています。運営のガイドラインは設けていますが、誰かがリーダーシップを発揮してメンバーを引っ張るのではなく、開発ツールごとに数名ずつが集まり、プロジェクトを進めています。
R：運営のガイドラインでユニークなものがあると聞きました。ぜひ教えてください。
M：はい。ガイドラインの 1 つに、開発ツールにはバカげた名前を付けなくてはならないというものがあります（笑）。というのも、NSA ANT カタ
ログに記載されているツールの名前がバカげたも

マイケル・オスマン（Michael Ossmann）のばかりだからです。この発想を真似てツール名

コンサルティング企業、Protiro 社のセキュリティエンジニアとして活躍するかたわら、ハッカー向けのハードウェアを製作すを考えるのは楽しいですよ（笑）。

る Great Scott Gadgets を立ち上げる。

R：具体的にはどんな名前なのですか ?

※ 1 NSA Playset

http://www.nsaplayset.org/※ 2 ToorCamp

http://toorcamp.toorcon.net/※ 3 mossmann's blog

http://ossmann.blogspot.jp/2014/07/the-nsa-playset.html※ 4 NSA ANT カタログ：NSA（National Security Agency：米国国家安全保障局）の ANT と呼ばれる部署が作成した諜報活動に使用する機器のカタログ。2013 年 12 月、ドイツで開催された Chaos Communication Congress において公表された。現在、このカタロ
グは EFF（Electoric Frontier Foundation：電子フロンティア財団）によって公開されている。
https://www.eff.org/files/2014/01/06/20131230-appelbaum-nsa_ant_catalog.pdf

4M：家畜の飼料を入れる細長い桶のことを「トWireshark で GSM のパケットを収集します。他にラ フ（trough）」 と い い ま す が、NSA ANT カ タ

も、I2C バスに接続してターゲット PC をモニター

ログでは、ファイアウォールを突破するツール

する「チャックワゴン（CHUCKWAGON）」というに「 グ ル メ ト ラ フ（GOURMETTROUGH）」「 ス

ハードウェアや、ビデオカードや Wi-Fi コントロー

フ レ ト ラ フ（SOUFFLETROUGH）」 な ど が あ り

ラーといった PCIe のデバイスにアダプターのよます。僕らも同様に「トワイライトベジタブル

うに接続し、ターゲット PC のメモリダンプなど（TWILIGHTVEGETABLE）」とか「アダプターヌーを行う「スロットスクリーマー（SLOTSCREMER）」

ドル（ADAPTERNOODLE）」といったバカげた名などがあります。

前を付けています（笑）。

R：あなたはどんなツールを発表したのですか ?

R：面白いですね（笑）。

M：僕が発表したのは「RF Retroreflectors」というツールです。一言でいえば、電波（高周波電気アクティブな盗聴を可能にする
RF Retroreflectors信号）を使った盗聴システムで、仕組は RFID と似ています。まず、ターゲット PC 内にレトロリ
フレクターという小さなデバイスを仕込みます。

R：NSA Playset で開発されているツールについて

そして、その PC に向けて電波を送信すると、レも伺えますか ?

トロリフレクターが電波を送信元へ反射するので

M：今回の DEFCON ではツール開発者の何組かがすが、その中に PC のデータが含まれており、攻プレゼンテーションを行いました。私もその 1 人

撃者はこの電波をデータに復元するというものでです。先ほど名前が挙がったトワイライトベジタ

す。

ブルは、携帯電話の通信規格の 1 つである GSM

R：盗聴というと、攻撃者はターゲットが発するの通信を傍受するシステムです。USB メモリ起動

通信をただ傍受するというパッシブ（受動的）なの Kali Linux と USB アンテナで構成されており、ものをイメージするのですが、このツールはアクティブ（能動的）な盗聴と考えていいのでしょうか?
M：はい。攻撃者がターゲットに電波を送信した
ときだけ傍受が可能になりますから、アクティブということになります。パッシブな盗聴は、はる
か昔から研究されていますが、アクティブな盗聴
は、僕が知るかぎり、第二次世界大戦後モスクワの米国大使館に仕掛けられた「グレートシールバ
グ（Great Seal Bug）」しかありません※ 5。
R：なぜ盗聴器を作ってみようと考えたのでしょうか ?
M：先ほどのグレートシールバグの例では、盗聴器が設置されたのは 1945 年。盗聴器が発見されたのが 1952 年。さらに、盗聴器の情報が公開されたのは 1960 年になります。そこから NSA ANT
カタログのリークまでに 50 年以上が経過していることになりますが、この間に公開されている情※ 5 グレートシールバグ（Great Seal Bug）
：グレートシールとは国璽（こくじ：国の印章）で、バグは盗聴の意味。電波の振動を音声に変換する盗聴器で、電子楽器でも有名なテルミン氏が設計。1945 年、ソ連からモスクワの米国大使館に贈呈された国璽の内部に、この盗聴器が仕掛けられていた。

5

報は一切ありません。そこで僕はレトロリフレクか?

ターを研究し、さまざまな情報を積み上げていく

M：距離は出力と関係します。NSA が使用していことで、この 50 年間のギャップを埋めていきた

るものは高出力だと思いますが、HackRF ONE のいと考えたのです。

最大出力は 20mW です。これは米国で販売され

R：なるほど。先ほど、PC に仕込むレトロリフレている一般的な Wi-Fi アダプターよりも低い値な

クターは小さいとおっしゃっていましたが、どののです※ 8。テストは電波を増幅せずに 1m の距離くらいの大きさなのですか ?

で行いましたが、出力を上げたり、信号を増幅しM：1 セント硬貨よりも小さく、それこそ指先にたりすれば、距離は当然伸びると思います。

乗るほどの大きさです。構造も非常にシンプルで、

R：電波の送受信がない時にレトロリフレクター

基板にはトランジスタ 1 個とケーブル 2 本しかあを発見することは可能だと思いますか ?

りません。そして、キーボード・USB・VGA など

M：かなり難しいと思います。

傍受したいデータがあれば、このレトロリフレク

R：では、電波の送受信中だとどうでしょうか ?

ターをそれぞれのケーブルに仕込むのです。

M：難しい質問ですね。レトロリフレクターの研

R：電波の送受信にはどのようなデバイスを使う

究はまだ始まったばかりです。現時点では、具体のでしょうか ?

的な手法や対策について話すのに必要な情報を

M：電波のデジタル処理には「HackRF One」とい持っていないのです。

うハードウェアを使います。送信用と受信用で 2

R：なるほど。ところで、こういったことを研究台必要になります。僕自身、このハードウェアを対象にしたり、機器を開発したりすることに問題開発するために「Great Scott Gadgets」という企はないのですか ?

業を立ちあげました※ 6。また、HackRF One の制

M：どこかの組織が開発を妨害しようとしたり、御には「GNU Radio」というオープンソースのソ講演がキャンセルになったりするようなことは、

フトウェアを使っています※7

今のところありません（笑）。

。そして、電波から

PC のデータへの復元ですが、こちらは自分で開R：それは何よりです。最後に講演での聴衆の反発しています。

応をお聞かせください。

R：実際にレトロリフレクターを使い、盗聴実験

M：講演では、時間が足りなくなってしまい、うを行ったのですか ?

まくデモを見せることができませんでした。です

M：はい。PS2 ポートに仕掛けて、キーボードのから、機会を改めてフォローアップしたいと考え

ストロークを盗むことには成功しています。また、ています。ともあれ、多くの人が講演のテーマにUSB や VGA の信号も取得できており、復元する関心を持ち、集まってくださったことに感謝して

ソフトウェアを開発しているところです。

います。

R：どれくらいの距離から盗聴できるのでしょう

R：お時間ありがとうございます。

※ 6 Great Scott Gadgets https://greatscottgadgets.com/※ 7 GNU Radio http://gnuradio.org/※ 8 編註：日本国内で販売されている一般的な Wi-Fi アダプターの出力は 10mW 以下。

6

第 2 回 CODE BLUE
全講演レポート Part1
取材＋文 = 西方望・斉藤健一
2014 年 12 月 18 日・19 日の 2 日間、東京お茶サイバー攻撃が深刻化・巧妙化する現在においの水のソラシティカンファレンスセンターにおいては、セキュリティ対策には国際協力が不可欠だ。

て第 2 回 CODE BLUE が開催され、国内外の第一CODE BLUE は、参加者同士が交流する場を提供す

線で活躍するセキュリティ専門家による最先端のるとともに、日本から世界に通用する人材の育成

講演が行われた。

に寄与することを目的としている。
本誌では、今号と次号の 2 回にわたり、CODE

2014 年 2 月に行われた第 1 回には約 400 名のBLUE の全講演のレポートをお届けする。

参加者があったが、今回はそれを上回る約 450 名の参加者を集めたとのこと。

サイバーセキュリティにおける 5 つの大きな問題 - ハッカーが世界を救うことができる方法 !
ケレン・エラザリ（Keren Elazari）

ハッカーは情報時代の免疫システム !
スピーカーのケレン・エラザリ氏は、セキュリ
ティ業界で活躍するアナリストで、TED カンファ
レンスでの講演経験などを持つ人物。セッションの序盤、エラザリ氏は、「世の中の組織には 2 種類ある。ハックされた組織と、ハックされたことに気づいていない組織だ」というハッカーコミュ
ニティで語られるジョークを用いて、誰もがサイバー攻撃の被害に遭う可能性を示唆した。
2014 年は、セキュリティに関する重大事件が数

ケレン・エラザリ（Keren Elazari）氏

多く発生した 1 年だったと言える。Heartbleed、技術を進化させることができると論じた。さらに、

Shell Shock、POODLE と い っ た イ ン タ ー ネ ッ ト

誰もがこの免疫システムの一部になることがで技術の根幹部分に発見された脆弱性。TARGET をき、今がその時であると強調した。

はじめとする米国量販店チェーンで起きた数千万

サイバーセキュリティの 5 つの問題

人単位の顧客情報流出事件。他にもソニー・ピク
チャーズに対する大規模なサイバー攻撃など、数え上げればきりがない。そして、2015 年以降も最初の問題は、「防御の対象は WWW だけでな

どのような問題が発生するか予想すらできない状

くサイバースペース全体である」という点。イン況だと言える。

ターネットにさまざまなモノがつながるのに伴エラザリ氏は、サイバーセキュリティを人体のい、サイバー攻撃も多様化しており、最近では、

免疫システムになぞらえ、それぞれの細胞である

船舶航行システムのハイジャックや、糖尿病患者

ハッカーが情報を共有し、お互いに学んでいけば、が携行するインスリンポンプへの攻撃なども報告
7

していくべきである、とエラザリ氏は述べた。

されている。サイバーセキュリティは WWW だけ

そして最後の問題。「セキュリティ専門家とそでなく、サイバースペース全体をカバーする必要

うでない人との間にはギャップが存在する」とがある、とエラザリ氏は指摘した。
次の問題は、「攻撃者は創造的で、革新的で、いう点だ。このギャップを埋めるため、セキュリ

協力的である」という点だ。エラザリ氏は、攻撃ティ専門家は、話す内容をより具体化させるとよ者が協力し、マルウェアを進化させた P2P 版のい、とエラザリ氏はアドバイスする。例えば、経Zeus（GameOver Zeus）の事例や、新たな脅威と営者に「あなたの組織ではコーヒーの提供に毎年なりつつある POS システムのマルウェアの事例などれだけの予算を割いているか」と質問してみる

どを挙げ、攻撃者は革新的で創造的なテクニックのだ。そして、コーヒーに割いている予算がセキュを生み出していると分析する。そして、この問題

リティに割いている予算より大きな場合は問題にに対抗するには、セキュリティ技術者も攻撃者のなる。また、サイバーセキュリティを免疫システ

テクニックを学び、革新的な対策を生み出していムにたとえるなど、相手がイメージしやすい説明

く必要があると語った。

も重要だと語った。

3 番目の問題は、「多くの脆弱性情報が公表され多くの専門家が実践することが重要ていない」という点。多くのリソースを割いて脆弱性を発見し、それを自らの利益につなげようとする企業や国家組織がある、とエラザリ氏は指摘

2014 年 2 月に開催された CODE BLUE 第 1 回のする。また、解決のためには、セキュリティ研究

基調講演においても、BlackHat 創設者・DEFCON

者が発見した脆弱性を手元に留めておかずに公表

主催者であるジェフ・モス（Jeff Moss）氏が、サするべきだとも主張した。

イバーセキュリティを人体の免疫にたとえて提言

4 番 目 の 問 題 は、「 攻 撃 者 は セ キ ュ リ テ ィ のを行った。そして、今回のセッションで、エラザ最も弱い部分を突いてくる」という点。前述の

リ氏は「誰もが免疫の一部になれる」と、この理

TARGET の事件において、攻撃者が最初の標的に論をより実践的なものへと発展させた。

選んだのは、冷蔵庫のメンテナンスを担当する小今後、サイバースペースがより安全なものになさな取引企業だったという。そして、セキュリティ

るよう、多くのセキュリティ専門家の実践を願いレベルを全体的に上げるために、セキュリティ専

たい。（斉）門家は一般ユーザーを積極的にサポートし、啓発

TriCore で動作する自動車用 ECU ソフトの攻撃手法に関する検討と試行
岡・デニス・健五 ＋ 松木 隆宏
社が製造している。TriCore を搭載した ECU は、

自動車セキュリティに対する
ソフトウェアからのアプローチ

Audi、BMW、メルセデス・ベンツをはじめ多くの自動車メーカーで採用されている。
スピーカーの岡氏は ETAS 社のコンサルタント

本セッションは、自動車に使われる ECU ソフとして活躍し、一方の松木氏は FFRI 社のリサー

トを対象としたセキュリティ監査についてであっチャーだ。2 人は 2014 年 2 月に開催された第 1

た。ECU とは電子制御ユニットのこと。現代の自回 CODE BLUE で知り合い、お互いの強みを活か動車においては、エンジン・トランスミッション・

したセキュリティ研究に乗り出したとのこと。

ブレーキをはじめ、車内のいたるところに ECU

これまでの自動車のセキュリティは、主に CANが搭載され、CAN（Controller Area Network）をにメッセージを送信して、スピードメーターの変介して制御されている。

更やブレーキを動作させるなど、何かしらの行為をさせるものだが、彼らの研究は ECU ソフトにまた、TriCore とは、ECU 用のマイクロコント

対する攻撃の可能性を調査したものである。

ローラーのことで、独 Infineon Technologies AG
8なお、調査には TriCore エミュレーター・評価
ボード・脆弱なサンプルソフトウェアなどが使われた。したがって、攻撃手法の調査はあくまで理論的なものであり、実際の ECU ソフトウェアに存在する脅威を指摘するものではない。しかし、今後の自動車セキュリティを考える上でのヒントになる、と彼らは述べた。

攻撃の可能性を理論的に追求
セッション前半は松木氏が担当し、ECU ソフト
ウェアに考えられる脆弱性とその攻撃手法につい岡・デニス・健五氏て解説した。調査した脆弱性は、主にバッファオー
バーフローなどの「メモリ破壊脆弱性」で、任意のコード実行や、コードフロー（実行の流れ）の変更を目標にしたという。
TriCore は 32bit RISC アーキテクチャーで、ア
ドレス用レジスターとデータ用レジスターが完全に分離しているのが特徴だ。つまり、x86 とは異なり、リターンアドレスがスタックではなく、アドレスレジスターに保存されることとなる。このため、スタックオーバーフローによるリターンア
ドレスの上書きはできない、と松木氏は調査開始
当初考えていた。しかし、その後の調査で、特定松木 隆宏氏の条件下ではスタックオーバーフローによって関

こで、TriCore エミュレーター・評価ボードで実数ポインターを上書きすることが可能で、プログ験を行ったところ、リターンアドレスの上書きに

ラム実行の流れを変更できるとわかったそうだ。

成功し、攻撃の可能性を示すことができたという。

ただし、実際の ECU ソフトウェアで条件に合致

一方、割り込み・トラップ機構を利用した方法

するコードが存在するかどうかは不明とのこと。

では、それぞれのベクターテーブルにあるコード

次に松木氏が調査したのは、TriCore の制御機を書き換えることができれば、任意のコードが実構を利用した攻撃手法だ。注目したのは、「コン行可能になると考え、実験を行ったそうだ。結果

テキスト管理機構」と「割り込み・トラップ機構」

としては、エミュレーター上での書き換えには成というもの。コンテキスト管理とは、レジスター

功したものの、評価ボードでは成功しなかったたの値を CSA (Context Save Area) という TriCore 独

め、攻撃の可能性を示すまでには至らなかったそ

自のメモリ領域に保存・復元する仕組みだ。また、うだ。

割り込み・トラップ機構とは、割り込みや例外がまた、セッション後半では、岡氏による評価ボー発生したときの処理で、それぞれベクターテーブ

ドを使ったデモが行われた。松木氏の調査結果をル（IVT・TVT）を参照し、対応するルーチンを実踏まえ作成された脆弱な ECU サンプルソフトウェ

行するという仕組みになる。

アに対して攻撃を行うものだ。評価ボードにはコンテキスト管理機構を利用した方法では、何LED が搭載されており、攻撃が成功すると LED がらかのメモリ破壊脆弱性で CSA に保存されたリ点灯する仕組みとなっていた。

ターンアドレスを改変できれば、任意アドレスのコード実行が可能になると、松木氏は考えた。そ9

性の調査や実際の ECU ソフトウェアを使った実

今後の課題

証実験を挙げた。あわせて、ECU ソフトウェアの脆弱性対策手法や、脆弱性を効率的に発見する手法なども検討していきたいと述べて講演を締めく

セッションの最後で松木氏は、今後の課題としくった。（斉）て、今回の調査ではカバーできなかった他の脆弱

BadXNU、イケてないリンゴ！
ペドロ・ベラサ（Pedro Vilaça）

root を取るのが Rootkit の前提
ペドロ・ベラサ氏は 2007 年から Mac のハックを続けているハッカーで、Rootkit に詳しく、現在書籍を執筆中という。
タイトルにある「XNU」とは、Apple の Mac OS X、
iOS のカーネルだ。本セッションは、OS X にカー
ネル Rootkit をロードする方法についての詳細な技術解説ではあるが、それを通じて Apple 社のセキュリティ戦略の問題点が浮き彫りになった。
本セッションで紹介されたすべてのテクニック

ペドロ・ベラサ（Pedro Vilaça）氏

は root 権限前提のものであり、カーネル Rootkit

kextd だ。しかし kextd はリング 3（ユーザーモーをロードするには、まず root 権限を取得する必要ド）で動作する。この kextd にわずか 2 バイトのがある。ベラサ氏は、ローカルで権限昇格するのパッチを当てるだけで、どんなコードでもロードは容易だと述べる。例えば、Google Project Zero

できてしまうというのだ。ユーザーモードのデーで公開している脆弱性の中には、iOS ではパッチ

モンがカーネルコードのロードに対して責任を負が当たっているのに OS X の前バージョン（10.9.x、

うのは、設計上の欠陥だとベラサ氏は指摘する。

Mavericks）では未パッチのものがある。また、ソー

続いてカーネル脆弱性、既存機能を用いる 2 つシャルエンジニアリング的なアプローチなど、方の方法については、それぞれ 10 ステップに分けて、法はいくらでもあるという。

実行するためのコードや、さまざまな Tips も含めて詳細な解説が行われた。また、両者とも実際に2 バイトのパッチで何でもロード可能

Rootkit をロードするデモも披露された。
今回利用したカーネル脆弱性は 2014 年 3 月の

しかし root を取ったとしてもまだ障害はある。

BlackHat Asia で公表されたものであり、Apple はMavericks から、カーネルコードに署名が必要に当然知っているはずのものだが、現在もまだ修正なっているのだ。ただし、Mavericks では移行期

されていない。既存機能を利用する方法にしても、間のため警告が出るだけでロードは可能。しかしバックドアが最初からシステムに備わっているよYosemite（10.10.x）では、署名がなかったり不正

うなもの、とベラサ氏は言う。

な署名だった場合にはロードできない。その回避

Apple のセキュリティ戦略は場当たり的 ?

方法として、ユーザーランドデーモンへの攻撃、カーネルの脆弱性を利用する方法、既存の機能を結論としてベラサ氏は「OS X のセキュリティは利用する方法の 3 つが詳しく解説された。
カーネルコードのロードのリクエストを受け、…○○だ。全くの○○だ」と言う。あくまで私見

カーネルに対して確認する任を担うデーモンがでありシリアスに取らないでほしい、そして誰に10

も言わないでほしい、とのことなので伏せ字にしApple のセキュリティ戦略は場当たり的、いや、ているが、想像は付くことと思う。

そもそも戦略があるのか、とベラサ氏は難じた。

コードサイニングはほとんど役に立たず、セMac は Windows に比べ攻撃の標的になりにく

キュリティ機能として信頼してはいけない。また、い、と言われているが、けしてそんなことはない。

前述の iOS では修正されているのに OS X では放企業の幹部などは Mac を好む場合が多く、結果と置されている例など、Apple はすべての脆弱性にして貴重な情報が入った美味しい標的になっていパッチを当てるつもりがないのだろう、とベラサる。企業で Mac を使う場合には十分に気を付けな氏は述べる。

ければならない、とベラサ氏は指摘する。

OS X には、Windows のような製品サポート期

ベラサ氏はハッカーらしい早口であり、スライ

限（EOL）のポリシーがないのも問題だ。常に最ドもなんと 166 枚にも及び、多数のコードも登場

新バージョンにアップグレードするか、現バーするという少々ヘビーなセッションだったが、他ジョンを脆弱性が残ったまま使い続けるかの二ではなかなか聞くことのできない貴重なものだっ択しかない。さらに修正されない脆弱性も多い。

たといえるだろう。（西）物理セキュリティ：サイバーセキュリティがすべてではない
インバー・ラズ（Inbar Raz）

物理セキュリティの責任あるディスクロージャー
本セッションは不特定多数の人間が操作するキ
オスク端末や、部外者が容易に接触できるネット
ワーク機器のセキュリティに関するものだ。ス
ピーカーのインバー・ラズ氏は、セキュリティ・
アナリストとして 20 年以上のキャリアを持つベテランで、彼自身が発見した事例をいくつか紹介した。
ソフトウェアの脆弱性を発見した場合、まずは

インバー・ラズ（Inbar Raz）氏

ベンダーに報告し、ベンダー側が対応できるようは、Windows Explorer を起動してシステム内を調一定の期間をおいた上で情報を公開する「責任あ査した。その結果、チケット購入者のクレジット

るディスクロージャー」が一般的となっている。

カード情報、決済に使われる RSA 鍵や証明書まで

ラズ氏は、物理セキュリティにおいても、この原

もが、平文のまま端末内に保存されていることが則に従った調査を行っている。

判明したという。しかも、発券用のプリンターでこれらの情報を印刷することも可能であったそう

物理セキュリティを突破した 4 つの事例だ。
2 つめの事例は、レストランの POS システム。

セッションでは主に 4 つの事例が紹介された。

ラズ氏の故郷のイスラエルでは、テラス席の会計

ま ず は 映 画 館 に 設 置 さ れ た Windows ベ ー ス のを簡便に済ますため、店舗の外にキャッシャー

キオスク端末。座席指定から発券、クレジットを置くのも珍しいことではないという。店の営業

カード決済までをタッチパネル操作で行うものだ

が終わればキャッシャーは当然片付けられるが、が、この端末では本来ユーザーに隠しておくべきキャッシャー用に設けられた LAN ポートは、閉店

Windows のプルダウンメニューが表示できてし後もそのままであることが多いそうだ。そこで、まうという欠陥があった。それに気づいたラズ氏

ラズ氏は LAN ポートに接続して店内ネットワーク
11

を調査した。このネットワークでは、Windows ファ

例と同様、端末には USB ポートがあったことから、

イル共有（SMB）が有効になっており、さらにゲ

ラズ氏はキーボードを接続してシステムやネット

ストアカウントでの接続も可能であったため、平

ワークの調査を行った。その結果、この端末は文で保存された顧客のクレジットカード情報を入Windows XP の PC であり、遠隔からのメンテナ手できたという。

ンス用に UltraVNC のサーバーが起動しているこ

3 つ目の事例は、病院のスマート TV。入院患者とが判明したという。この通信は RC4 で暗号化さが TV 視聴・Web 閲覧・VOD などを楽しむもので、れているが、鍵が端末内に保存されているので、病室の各ベッドに設置されている。ラズ氏は、こ簡単に入手できたとのこと。さらに調査を進めれの端末の USB ポートに目を付け、キーボードを挿ばこれらの端末をボットネット化することも可能してみたという。この時点ではほとんどのキー入だろうと、ラズ氏は語った。

力は無効になっていたが、再起動により BIOS を

物理セキュリティの重要性呼び出せることがわかったので、USB メモリからBackTrack を起動させたそうだ。病院の無線ネッ
トワークは 802.1X 認証を採用しており、RADIUS

紹介された事例はどれも高度な技術を必要としサーバーの認証が不可欠だ。しかし、このスマーない簡単なものばかり。さらにラズ氏が語る調ト TV は Linux がベースになっており、ラズ氏は査の過程は、標的を狙う攻撃者の視点そのものと認証鍵などの情報を BackTrack にコピーして、こ言ってよい。セキュリティエンジニアである聴衆

れ を 突 破 し た。 さ ら に 侵 入 で き る 証 拠（PoC：

にとっては新鮮な内容だったはずだ。
ラズ氏は、最後に「サイバー空間は WWW だ

Proof of Concept）としてリバースシェルを設置

けではなく、さまざまなものを含む」という基調したという。
そして最後の事例は空港の出発ロビーに設置さ講演でのケレン・エラザリ氏の発言を引用し、物れたキオスク端末。免税品などが購入できるシス

理セキュリティの重要性を強調して講演を締めく

テムで、この端末から注文すれば品物を出発までくった。（斉）にゲートへ届けてくれるというもの。先ほどの事

日出る国の組み込みセキュリティ
ベン・シュミット（Ben Schmidt）＋ ポール・マコウスキー（Paul Makowski）とはいえ、米国在住の彼らが、日本製のホーム

日本のホームルーターをハッキング !

ルーターを手に入れることは簡単ではない。そ本セッションは、NARF INDUSTRIES 社のベン・ファームウェアのイメージを調査することからはシュミット氏とポール・マコウスキー氏による日

じめたそうだ。ちなみに、彼らの調査は趣味と実本のホームルーターの脆弱性調査に関するもの。

益を兼ねたものであり、すべての製品を対象にし講演時もベンダーとの協議が続けられていることたわけではない。故に、ファームウェアのイメーを理由に、該当製品の情報や脆弱性の詳細などをジが独自の形式で暗号化されているような解析に伏せた形での発表となった。

時間がかかるものは除外したとのこと。

こで、インターネットから入手できるルーターの彼らはまず調査の動機について語った。NARF

フ ァ ー ム ウ ェ ア を 解 析 し て わ か っ た こ と は、

INDUSTRIES 社には日本支社があり、オフィスで

ASLR（アドレス空間配置のランダム化）や DEP

使用するネットワーク機器の調査が必要となっ（データ実行防止）など脆弱性緩和技術が使われた。だが、日本製品のセキュリティ情報はほとんている製品がほとんどないということ。さらに、

ど公開されておらず、元々こういった機器をハッ動作のスピードを重視するために root 権限で動いクすることが好きだった 2 人は、自分たちで調査ている製品がほとんどだということ。ただし、こを開始したのだそうだ。

れらの問題は日本製品に限ったものではない、と
12

彼らはコメントをつけ加えている。

日本製品で使用される UPnP デーモンは脆弱性の宝庫 !?
次に話題は製品の脆弱性へと移る。ファーム
ウェアの調査で絞り込みを行った彼らは、ヤフオ
クなどを通じて実機を入手してテストを開始した。彼らが攻撃の対象にしたのは主に UPnP（ユニバーサルプラグアンドプレイ）。機器を接続しただけで、ネットワークに参加することを可能にするプロトコルだが、WAN 側にポートを開いて

ベン・シュミット（Ben Schmidt）氏いることから攻撃の対象になることが多い。
すでに多くの研究者が UPnP の脆弱性について発表を行っているが、彼らは日本製品で使われる
UPnP デーモンに着目した。セッションでは、名称が伏せられていたため、彼らはこのデーモンを「ブラックボックス」と呼んでいた。
彼らによると、このブラックボックスは、セキュ
リティを学ぶ学生の教材にうってつけなのだそうだ。というのも、スタック／ヒープのオーバーフ
ロー、ディレクトリトラバーサル、OS コマンド
インジェクションといった初歩的なミスによる脆弱性が一通り揃っているからだ。

ポール・マコウスキー（Paul Makowski）氏

セッションでは、スライドの一部が黒塗りで隠一方、ユーザーに対しては、モデムやルーターされていたが、彼らはいくつかの脆弱性については攻撃されるものという認識に立ち、ファイアデモを行った。悪用されれば、プライバシー侵害

ウ ォ ー ル 機 能 を 有 効 に す る こ と や、 カ ス タ ム

や通信の傍受、さらに中間者攻撃や攻撃の踏み台

ファームウェアの導入（可能であれば）などを促になるなど、どれも危険なものばかりだ。

していた。
ただし、これらの対策が一筋縄では行かないこ

影響を受ける機器は約 20 万台 !
さらに対策も一筋縄では行かない !?

とは彼らも承知している。ルーターはインター

彼らは独自の調査により、この脆弱性の影響をダーは慎重な態度を取らざるを得ない。加えて、受ける製品が 20 万台程度存在する、と見積もっ日本の場合、ルーターは ISP からのレンタルであている。また、セッションでは対策も述べられた。

ることが多く、状況は複雑となっている。

ネット接続にかかわる重要な機器であり、そのファームウェアのバージョンアップに関してベンベンダーができるものとしては、脆弱性緩和技術

ベンダーを動かすには、多くのセキュリティ専の導入、WAN 側にポートを開かないようにする

門家がルーターを研究・発表することによって注デフォルト設定の変更、root 権限での動作の見直目を集めることが重要だ、と彼らは語り、講演をし、各種サービスのサンドボックス化、ファーム締めくくった。（斉）

ウェアの難読化などが挙がった。

13

自宅をハッキングしてみた
デイヴィッド・ジャコビィ（David Jacoby）

MS ペイントによるプレゼン ?
1 日 目 最 後 の セ ッ シ ョ ン と な っ た の は、
Kaspersky Lab 社のセキュリティリサーチャー、
デイヴィッド・ジャコビィ氏による「自宅をハッキングしてみた」。ユーモアあふれる語り口と、MS ペイントで描いたというユルいイラストに面白動画をいくつも組み込んだスライドで、会場を大いに沸かせた。例えば、ひとしきり自己紹介が済んだ後、ペンで紙に書き付けるのを繰り返す謎動画を見せ「これが何かわかりますか ?」とデイヴィッド・ジャコビィ（David Jacoby）氏

質問。会場の誰もが首をひねったところ、「ペン宅のネット接続できるデバイスをリストアップすテスト」というオチに爆笑となった（Pentest ＝る。テレビ 2 台、STB、Apple TV、NAS が 2 台など、

Penetration Test）。

計 11 台もあったそうだ（なぜかコモドール 64 も）。

しかし、続いては、軽妙な喋りではあるものの「ITこのうち NAS をチェックしてみたところ、わず

セキュリティとは何か」というテーマを展開する。

か 20 分でリモートコードの実行に成功。設定ファ

セキュリティにまつわる問題としてジャコビィ氏

イルからパスワードを入手し、容易に完全制御では、コミュニケーションや理解の不足を挙げる。

きてしまったという。重要なデータは必ずバック

われわれは脆弱性やセキュリティ上の問題を理解アップを取ること、というのは何十年も前から言しているのか。さまざまなソフトや機器でセキュわれている話だが、例えばノート PC のデータをリティ強化を図るが、時間や金をかけて整備したNAS にバックアップしたら、機密情報などをわざところで、脆弱性の正体がわかっていなければ守わざ脆弱なデバイスに移していることになってしることはできない。

まう。
しかし、これは LAN の中での攻撃に成功したにすぎない。先ほどの自動車の例と同じで、これだ

わずか 20 分で NAS を支配けでは意味がない。外部からの攻撃ベクターがあそして話題は自宅ハッキングへと移る。今ではるのかが重要であるが、攻撃は可能だという。PC

ネットワークに接続できるデバイスは多種あり、なりスマートフォンなり、LAN 内にある Java ス

以前にもネット接続できる冷蔵庫や、自動車のクリプトを実行できるデバイスで、攻撃者から送ハックが話題となったことがある。しかしジャコられてきたメールなどにある細工したリンクを踏

ビィ氏は、この自動車のハックは馬鹿げているとんでしまったら、侵入を許すことになる。こうないう。ハックするためにコンピューターを車に直れば攻撃者は、ネットワークをスキャンしてデバ

接つなぐ必要があるのでは意味がない。例えば、イスを探し出してアクセス、Web サーバーの情報

ブレーキを操作して運転者を殺そうという時、自などから機種を特定し、必要な攻撃を行えばよい。

分が同乗していたいだろうか。デバイスのハッキ

ベンダーが対応しなければ解決策はない

ングでは、実際に何をするか（ペイロード）より、経路や手段（攻撃ベクター）の方が問題になる、

ジャコビィ氏が自宅をハッキングして発見したとジャコビィ氏は語る。

さまざまな脆弱性は、当然デバイスのベンダーにそれを踏まえた上で、ジャコビィ氏はまず自14報告された。だが、それに対して感謝してくれた

ば、何もない。メーカーがアップデートしてくれ

ベンダーは 1 社だけ。他は、再現してみせても「そなければどうにもならないのだ。

んなはずはない」といった反応だったという。こわれわれセキュリティのコミュニティとしては

れは、ベンダーが脆弱性について理解していない、解決策を考えていかなければならないが、まず私あるいは自分たちの製品を理解していないことにたちが現在の脅威のことを十分理解する必要があよる。

る、とジャコビィ氏は述べた。

このように脆弱なままの、簡単に狙えるデバイ

そして最後にもう 1 つ面白動画を紹介し、会場

スは多数存在し、攻撃は現在すでに起きている。

を沸かせ、盛大な拍手の中で 1 日目のセッション

これに対してどのような解決法があるかといえは終了した。（西）15ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#03 サイバー脅威を多角的に分析するアトリビューション
文 = エル・ケンタロウ
あるトマース・リッド氏とベン・ブキャナン氏は、

アトリビューションとは ?

2014 年 12 月に発行された学会誌「戦略研究ジャー
ナル」（Journal of Strategic Studies）において、「ア
トリビューション分析に関する論議は驚くほど進2014 年はさまざまな分野で大規模なハッキン

化が遅い」と警鐘を鳴らしている。

グ事件が多発した年だったといえる。大型ハッキング事件が起きると必ず攻撃を行った犯人についまた、リッド氏らの指摘によると、人々はアトての議論が繰り広げられる。サイバーセキュリ

リビューションを単一の作業と考えがちであるが、ティの世界では、「いつ・誰が・どのような目的で・軍における役割分担や科学捜査での専門性によるどこから・どのような攻撃を行ったのか」の要素

解析分担などの例にみられるように、サイバーセを総括したアトリビューション分析が行われる。

キュリティにおいても同様に、複数のエキスパー

アトリビューション（Attribution）とは、本来「帰トによって得られた結果を包括してアトリビュー
ション分析を行うべきとのことである。

属・属性」といった意味を持ち、マーケティング

さらに、分析から得られた結果についても、組の世界などでも広告効果を測定する分析において織内での立場や職務（例えば開発・技術・経営など）

この用語が使われている。

によって、必要とされる情報に違いがあることを一方、サイバーセキュリティのアトリビュー

理解する必要があると論じている。

ションは、米国の防衛問題研究所（Institute for
Defense Analysis：IDA） が、2003 年 に 発 表 し

分析のクオリティを上げるためにた「サイバー攻撃のアトリビューション手法」（Techniques for Cyber Attack Attribution）という論文で定義されている。この論文によると、アト

リッド氏らは、論文の中で分析のクオリティに

リビューションは「攻撃者の身分や攻撃が発信さ

ついても言及している。例えば、マルウェアの解れた場所（地理的、IP アドレス、MAC アドレス

析や攻撃の経路といった技術的な解析においては、を含む）、または攻撃を仲介した者の特定」といさまざまな手法が確立しており、信頼すべき結果

うことになる。

を出すことは可能だが、犯人の動機や組織の対応・

しかし、この論文の中でも触れられているが、運用・戦略などにおいては、技術解析の他に多く攻撃者は Tor のような匿名技術を駆使したり、ボッの情報元によるインテリジェンスが必要とされる。

トネットを使ったりすることで、自らが直接攻撃

このことから、アトリビューション分析のクオすることを避け、アトリビューションを困難にさ

リティは、解析プロセスにおける割り当て可能なせている。

組織の人的リソース、分析にかけられる時間、攻撃者の技術的習熟度の 3 つの要因に大きく左右されると、リッド氏らは見解を述べている。

アトリビューションに関する新たな知見

リッド氏らが提唱する Q モデルとは ?

IDA の論文発表から 12 年経った現在でも、この状況は大きく変わったとはいえないだろう。英

リッド氏らの論文で特筆すべきは、対外的なコ国キングス・カレッジ・ロンドンの軍事学教授で16ミュニケーションの重要性を説いている点にある。論文では、Stuxnet を例に挙げ、詳細な情報を外部に開示することで、さまざまな企業や研究機関による分析を可能にし、結果としてセキュリ
ティコミュニティのみならず、サイバー空間全体
から Stuxnet に関する詳細な情報が得られたとしている。
また、情報を開示することは、多種多様な組織、テクノロジーベンダー、ユーザー企業などに対する警告の役割を果たすことにもなる。この警告によってサイバー空間全体での集団的な防衛が可能

トーマス・リッド教授らが提案するアトリビューション分析のQ モデル（Attributing Cyber Attacks p8 の図より）になり、攻撃者を抑制する効果も得られる。
こ の よ う な 考 え 方 を 支 持 す る 人 は 多 い。

でインシデントを検知することも考えられる。

BlackHat/DEFCON の創設者であるジェフ・モス氏

重要なのは、すべてのレイヤーにおいて各組織もその中の 1 人だ。モス氏は、2014 年 2 月に東が持つ情報を共有し、その中から自分たちにとっ京で開催された CODE BLUE の基調講演で、集団て必要なものをピックアップし、アトリビュー

免疫力的防衛の重要性について触れており、自分ション分析に参加しつつ、独自のプロセスを構築のネットワークを守り、自分の周りのネットワーすることだと、リッド氏らは述べている。

クを守ることで、サイバー空間全体の免疫力が上

インシデント発生時の対応を明確に !

がり、結果として、無防備な組織をも守ることにつながると発表している。
リッド氏らは、アトリビューション分析の過程

すべてのサイバー脅威に対して、必ずしも完全を俯瞰し、分析・情報開示を含むフレームワーク

なアトリビューションを行う必要はない。この点として「Q モデル」を提唱している。

も考慮すべきである。例えば、組織において、何図のように同心円状に構成された各レイヤーとらかのインシデントを検知した際、対応・対策な組織外へ伸びるコミュニケーションが「Q」に似どの防衛策を取ることが最重要ならば、動機の分ていることから名付けられた。

析よりも手法の分析に注力した方が迅速な対応を戦術・技術的（tactical/technical）レイヤーで可能にするといえる。

は、技術的な情報を最重要視しており、この段階

一方、攻撃者を特定した結果、法的措置の必要での対外的なコミュニケーションの必要性も指し性や国家間の問題へと発展するようなケースで示している。また、運用（operation) レイヤーでは、は、詳細なアトリビューション結果が必要であり、攻撃者の概要が最も重要で、戦略（strategic）レ

むろん分析結果の品質も問われることとなる。

イヤーでは、攻撃元の特定・背景・動機などを考いずれにせよ、高度かつ巧妙になっているサイ

慮した対策の設定が重要だとしている。

バー脅威に対して、各組織はインシデント発生時

ただし、Q モデルによるアトリビューションでにどのような対策を講じるのか明確にしておく必は、必ずしも同心円の外部から内部、もしくは特要がある。同様に、アトリビューションにおいて定の時間軸に沿って分析を進めるわけではない。

も、各レイヤーで求められる情報・証拠・戦略な場合によっては技術的なノウハウがないレイヤー

どを明確化しておいた方がよいだろう。

●参考 URL
・Techniques for Cyber Attack Attribution. David A. Wheeler. Gregory N. Larsen
http://handle.dtic.mil/100.2/ADA468859
・"Attributing Cyber Attacks" Journal of Strategic Studies Thomas Rid & Ben Buchanan
http://www.tandfonline.com/doi/full/10.1080/01402390.2014.977382

17