Security の覚え書き

数日前に発覚したカード情報大量流出事件。米国の支払いデータ処理業者が不正侵入を食らってデータのお持ち帰りを許してしまったことから始まるのだが、当初の被害規模数万件レベルから日を追うに従い4,000万人分の規模にまで膨らんでしまった模様。

米で史上空前の情報流出--4000万件のクレジットカードに影響か - CNET Japan

MasterCard Internationalは米国時間17日、4000万件を超えるクレジットカード情報が盗まれた可能性があると発表した。 MasterCardによると、情報が流出したカードのうち、約1390万件が同社ブランドのもので、このほかVisaのクレジットカード約2000万件に関する情報も盗まれており、またAmerican ExpressやDiscoverを含む他のカードにも被害が及んでいるという。

何処からどれぐらいの規模の情報が漏れたのかは上のニュースを読めば何となくイメージ出来るのだが、原因としては下のニュースの方が詳しい。

ITmedia エンタープライズ：カード情報大量流出、決済処理会社の記録保存に問題

約4000万件のクレジットカード番号が流出した事件で、数週間前にサードパーティーの決済処理会社CardSystemsから盗まれた記録は、本来なら同社で保存してはならないものだったと、同社のCEOがNew York Times紙に語った。 同紙によれば、事件は4月半ば、MasterCard Internationalが不正利用の異常な増大に気づいたことが発端となって発覚した。盗まれた記録は、流出した疑いのある4000万件のうち20万件を含め、「研究目的」でCardSystemsのコンピュータファイルに保存してあったと、CEOのジョン・ペリー氏は同紙に語っている。 (snip) 記録を保存したのは、一部取引が許可されなかったり完了できない理由を究明するためだったという。

ということで、漏れたのは「カードの利用に対して承認が降りなかった」シト達の情報ということになりそう。これはこれで漏れちゃったシトってのが表だって明確になっちゃうとさらに困ったことになっちゃうんじゃないかと思ってしまふ。所謂、レッドリスト手前ぐらいのものが漏れちゃった…という感覚に近いのかな。くわばら、くわばら。

個人的には「どんどんやれーぃ！」なんだけど、対象となった方はたまったもんじゃないね、これは。

asahi.com： 「官製ハッカー」でサイバー攻撃演習　来年度から総務省 - ビジネス

ウイルスや不正アクセスによって、企業のコンピューターシステムが攻撃されることが増えているため、総務省は、専門家で組織した「官製ハッカー」を出動させ、企業にサイバー攻撃に対する「演習」をしてもらうことにした。本物のハッカーになりすまして通信企業の心臓部であるサーバーなどの設備を狙う。大規模なネット障害に対応できる人材の増強や、防御に弱い部分をあぶり出して企業の対策作りを促すのが目的だ。

これじゃ弱小過ぎてセキュリティコンサルを入れられない企業の救済策にしかなってない様な。モロに民間のサービスと被っちゃってますけど、いいんですかね？それよりもお国がやることなんだから、超強力な権限とツールを持たせて不特定多数にぶつけた方が効果あると思うんだけどなぁ。でもって穴っぽこ開けっ放しで営業してるところには「業務停止命令」を出せるようにしとくと。これぐらいしなきゃ上の方の意識も変わらないだろうし、対策だって何時までたっても改善されることも期待できないし。そういった意味では啓蒙になるし、危機感を煽って強制的に対策させるいい機会だと思うんだけどねぇ。

もっと過激に言わせて貰えば、こういった基本中の基本を怠ったままオマンマを食えてしまう…という錯覚を叩きつぶしておくのが吉。セキュリティ対策とか、基本的に絶対的に必要となる部分を端折ると飯食えないことを徹底的に国が指導してやれば良い。それで飯が食えなくなるのだったら被害者を出す前に鞍替えしてください、なんだよ。危険な落とし穴で営業されるくらいなら最初から国民に「これは落とし穴ですよ」って公表しておけばいいのだから。危険と判っていてその危険なサービスを利用するのは自己責任だものね。

人間の頭脳の出来、即ち頭の良さというものは概ね小学校の高学年時の成績に現れる。中学、高校、大学の「如何に勉強だけ出来たか」ではなく、小学校高学年の成績がそのまま頭の良さとなってくる。それを考えると、中、高、大の成績なんて「どれだけ勉強しました」ってものに過ぎないのに対し、今回の「全児童名簿流出」なんてのはそのまま個人の頭脳が世に提示されちゃったに等しいことだったりする訳で。

Yahoo!ニュース - 毎日新聞 - ＜全児童名簿流出＞ウィニーで感染、成績表も　愛知の小学校

愛知県一宮市の市立小学校の０３年度の全校児童５３５人と教職員の名簿などがインターネット上に流出していることが１日分かった。 児童名簿には住所や電話番号のほか、保護者や兄弟の名前など個人情報が詳しく記載され、複数の教科でクラスごとに一覧にした成績表も流出していた。

こういったものを企業の人事関係者が手に入れていたらどうだろう。さらには興信所が手に入れていたら…。この名簿の成績で高学年時に思わしくない成績が付いていた該当者は一生、影響を受けてしまうということにならないだろうか。少なくとも、500円ポッチの金券で済まされる話ではないと思うのだが。個人情報の漏洩はそれぐらい他人様に与える影響が大きいことを世の中はもっと自覚するべきだと思うんだけど。

・全児童名簿流出：ウィニーで感染、成績表も　愛知の小学校（MSN-Mainichi INTERACTIVE　今日の話題）

これは何のことを指しているかというと、Webページなどでmailtoでリンクされた文字列をクリックすると自動的にメーラーが立ち上がり、新規作成する画面が出るのだが、このリンクの部分にBccやCcといったものも指定出来てしまうことから知らない内にBccなどへもメールが送られてしまう…という問題。

セキュリティホール memo

Cc: や Bcc: を含ませた mailto: URL をたどった場合に、Cc: や Bcc: が存在することに気がつかない (表示されない、気がつきにくい等) ままメールを送ってしまうメールソフトがある、という話の模様。 RFC2368: The mailto URL scheme にはこんな文章もあるそうで

早速ですけど「Becky! Internet Mail Ver.2 (2.21.02)」が出てます。この辺の対応早いね。あと要望としては、本文中のURIをクリックした時に出るアラート。これ設定で出ない様にできないものでしょうか。自分が知らないだけなのかしらん。

呆れるというか、アホらしくてコメントさえする気にならないのだが、こんなことがまかり通って良い訳ないのでメモ。

「価格.com」事件，「当社に過失はなかった」とカカクコム社長 : IT Pro ニュース

今回の事件では，サイトへ登録しているユーザーのメールアドレス2万2511件が搾取されたが，「サーバーのOSにはパッチもあてていたし，アプリケーションの構造にも問題はないため，当社に過失はない。スパム対策のサポートサイトを立ち上げるなど，被害のサポートはするが，自社の内部理由による被害ではないので，個別の補償はしない」（穐田氏）とした。

事の発端は「最高レベルのセキュリティが破られた」なんてふざけたコメントから始まっている。その最高レベルのセキュリティってのは「SQLインジェクション」のような「初歩的」な手法で破られている訳で。

そもそも、「自社の内部理由による被害ではない」なんて言い切ってるあたりが既に重大過失なんですが。SQLインジェクションが通ってしまうアプリケーションはこの会社の内部のシステムのはずなんですがね。そういった「欠陥」アプリケーションをネット上に晒していた訳だから、当然それを使われると「加害者」になるんですな。その辺の理解がゼロだということは周りも理解しておく必要があると。

ほんとに新手だ。

ITmediaニュース：HDD上のファイルを人質に“身代金”要求する新手の攻撃

ユーザーのPC内のファイルを開けなくしておき、解決したければ送金しろとメッセージを残す、IEの脆弱性を悪用しした新手の攻撃が発見された。

同僚のデスクトップを勝手にPWD付きのスクリーンセーバー仕掛けて解除したければおごれ…というのの高等版というか、NTW版だよな、これって。そもそもデータをNASに突っ込んでおけば、データそのものは被害を受けない様な気もしますけど、どうなんでしょうね。

そもそも、拡大している訳ではなくて、後になって気付いただけの話でしょうに。

ITmediaニュース：さらに拡大する不正アクセス被害、警察庁が注意喚起

価格.comのWebページが不正アクセスを受け、脆弱性のあるWindows PCにウイルスを埋め込むよう改ざんされていた事件が明るみになったが、同様の不正アクセスは他のWebサイトにも広がっている。

早い話が、Win系サーバで公開しているところは軒並みやられてるって思った方がいいと書けばいいのに。注意するべきは利用者側（PC）ではなくて、Win系サーバなんぞで運用している方なんだってば。利用者に云々するよりも、サーバ側をさっさと公開停止勧告出してインターネットから切り離させる方が先決。改竄が確認できるまで繋いじゃ駄目ってのが筋でしょうに。折角MSさんがパッチ出してるんだから、全部パッチ充てなきゃ公開しちゃだめよ、ってのがルール。それでプログラムが動かなくなるならそれはそれでプログラムがタコなだけ。元々のプラットフォーム選びの時点でそれが理解できていない時点で自業自得なんだけどねぇ。

あらら、これは確信犯でしょうなぁ。

ITmediaニュース：価格.comが不正アクセスで閉鎖　ユーザーにウイルス感染のおそれも

価格比較サイト「価格.com」が5月11日ごろから不正アクセスを受けて一部が改ざんされた上、同サイトを媒介にウイルスがばらまかれたため、カカクコムは14日から同サイトを一時閉鎖し、セキュリティ対策を施している。復旧には1週間程度かかる見通し。同社が保有するメールアドレスが閲覧された形跡もあるという。 (snip) 5月11日にプログラムの異常が発覚し、調査した結果、不正アクセスが判明。警察と相談しながら24時間監視体制をとって影響や対抗策、犯人調査を続けてきたが、不正アクセスがやまず、改ざんの範囲が拡大したためサイト閉鎖に踏み切った。

メーカさんにとっては戦々恐々なサイトですから、それなりにぶつかっちゃうところはあるんでしょうし。監視してたって書いてるぐらいだから、それなりに目星はとっくに付いてるんだしょう。さっさと晒しちゃってくださいませ。

ITmedia エンタープライズ：Googleのスペルミス悪用サイト、アクセスするとPC乗っ取り
GoogleのURL入力ミスに付け込んで、「Googkle.com」というサイトで不正コードがばら撒かれているという。セキュリティ企業のF-Secureがこのほど詳しい情報を公開した。

個人情報保護 ：ITビジネス&ニュース
流出したのは、2000年10月―04年12月に年間パスを購入した12万1607人分の氏名や住所、電話番号など。都内の名簿業者が持つ顧客リストの内容が、同社保有のデータと一致したことから、情報流出が確実と判断した。流出経路は社内データに接触できる社員や委託業者の可能性があるが、操作記録の保存が不十分で特定できなかった。

さぁ、問題です。セキュリティ…って、何ですか？ぱっと答えられますかねぇ。

高木浩光＠自宅の日記
「運用」のうち最も重要で解決が難しいのは、使用して いる技術に欠陥が見つかったときの対処である。

とある@mac.comのinbox
差出人： 県立白姫女子校保険室 <spnews@wecl-online.com>
宛先: <とある@mac.com>
日付: 2005.01.23, 07:23:32 JST
件名: 白姫女子校保健室からのおしらせ
 
この前の妊娠検査について県立白姫女子高校保健室からのお知らせです。
 
間違って受け取った方は、
お手数ですが、破棄してください。
お詫び致します。
 
該当する人は
下記リンクより入ってお知らせを確認して下さい。
http://just-feed.net/白姫/?unique_numbers

ちょっと前に書いた没ネタの続き。「特定の場所」且つ「特定のブラウザ以外」からのアクセスをあぼーんする設定。なんか上手く動いてる気がするのでOpen。ApacheのApache module mod_setenvifのSetEnvIfディレクティブを利用してあっちゃこっちゃ飛ばしまくるという荒技なり。

.htaccessの中身
SetEnvIf Remote_Addr 61.xxx.xxx.xxx/29 nolook
SetEnvIf Remote_Host foo.bar.jp nolook
SetEnvIf User-Agent Gecko !nolook
SetEnvIf User-Agent Firefox !nolook
order allow,deny
Allow from all
deny from env=nolook
deny from 220.xxx.xxx.xxx
…(snip)
<Files .htaccess>
deny from all
</Files>
ErrorDocument 403 http://www.google.co.jp/