S3 Ep135: 昼はシステム管理者、夜は恐喝者

下にオーディオプレーヤーがありませんか？ 聞く 直接に Soundcloudで。

ダグ。  社内の仕事、顔認識、そして「IoT」の「S」は依然として「セキュリティ」を意味します。

NakedSecurityポッドキャストのすべてとそれ以上。

【ミュージックモデム】

皆さん、ポッドキャストへようこそ。

私は Doug Aamoth です。 彼はポール・ダックリンです。

ポール、今日はどう？

---

アヒル。  よかったね、ダグ。

「我々はそれを監視します」というキャッチフレーズを知っていますか？

---

ダグ。  [笑い] ホー、ホー、ホー！

---

アヒル。  悲しいことに、今週は私たちが「注目」していることがいくつかありますが、それらはまだうまく終わっていません。

---

ダグ。  はい、今週は興味深い、非伝統的なラインナップが揃っています。

それに入りましょう。

しかし、まず最初に、 今週の技術史 セグメント。

今週、19 年 1980 月 XNUMX 日に Apple III が発表されました。

1980 年 14,000 月に出荷され、その時点で最初の XNUMX 台の Apple III がリコールされました。

このマシンは 1981 年 XNUMX 月に再び再導入されました。

早い話が、Apple IIIは大失敗だったのだ。

Appleの共同創設者スティーブ・ウォズニアック氏は、このマシンの失敗はエンジニアではなくマーケティング担当者が設計したせいだと主張した。

イテッ！

---

アヒル。  それに対して何と言えばいいのか分からない、ダグ。 [笑い]

私は自分をマーケットロイドではなくテクノロジストであると考えている人間として、にやにやしないように努めています。

Apple IIIは見栄えがよく、クールに見えることを意図しており、Apple IIの成功を活かすことを意図していたと思います。

しかし、私の理解では、Apple III は (A) すべての Apple II プログラムを実行できるわけではなく、これは下位互換性の問題であり、(B) Apple II のように拡張性が十分ではなかったということです。

都市伝説かどうかは分かりませんが…

…しかし、初期のモデルではチップが工場で適切に取り付けられておらず、問題を報告した受信者はコンピューターの前面を机から数センチ持ち上げて、元に戻すように言われたと読んだことがあります。

[笑い]

これにより、チップが最初に配置されるべきだったのと同じように、所定の位置に固定されます。

これは明らかに効果がありましたが、製品の品質を考えると最高の広告ではありませんでした。

---

ダグ。  正確に。

さて、最初の話に入りましょう。

これはどれほど悪いことかについての警告の物語です 内部の脅威 ポール、それはあり得るし、おそらくそれをやり遂げるのはどれほど難しいことだろう。

誰だ？ サイバー詐欺師、自身の雇用主を身代金要求で懲役6年

---

アヒル。  確かにそうだよ、ダグラス。

そして、もしあなたがそのストーリーを探しているなら、 ネイキッドセキュリティ.sophos.comとキャプションが付いているものです。 「誰だ？ サイバー詐欺師は自身の雇用主を身代金で脅したとして懲役6年を求刑される。」

そしてそこに物語の核心があります。

---

ダグ。  笑ってはいけないのですが…（笑）

---

アヒル。  なんだか面白くもあり、面白くもない。

攻撃がどのように展開されたかを見ると、基本的には次のとおりでした。

「おい、誰かが侵入したんだ。 彼らが使用したセキュリティ ホールが何だったのかはわかりません。 早速行動を起こして調べてみましょう。」

"なんてこった！ 攻撃者はシステム管理者権限を手に入れることに成功しました!」

"なんてこった！ 彼らは何ギガバイトもの機密データを吸い取ったのです！」

"なんてこった！ 彼らはシステムログを改ざんしたので、何が起こっているのかわかりません！」

"なんてこった！ 現在、彼らは事態を黙らせるために50ビットコイン（当時約2,000,000万米ドル）を要求している…当然、我々は口止め料として2万ドルを支払うつもりはない。」

そして、ビンゴ、詐欺師はダークウェブ上にデータを漏洩するという従来の行為を実行し、基本的に会社を秘密情報化しました。

そして残念なことに、「誰だ？」という質問も出てきます。 回答者: 会社のシステム管理者の XNUMX 人。

実際、攻撃者を見つけて追放するためにチームにドラフトされた人物の一人だ。

つまり彼は文字通り、昼はこの攻撃者と戦うふりをし、夜には2万ドルの脅迫金の支払い交渉をしていたのだ。

そしてさらに悪いことに、ダグ、彼らが彼を疑ったとき、どうやら…

…彼らはそうしたのですが、会社に対して公平を期しましょう。

(それが誰であるかは言いません。彼らの身元はよく知られていますが、米国司法省のように彼らを Company-1 と呼びましょう。)

彼の財産が捜索され、ラップトップが押収されたようですが、それが後に犯罪に使用されたことが判明しました。

彼らは彼を尋問したため、彼は「攻撃は最大の防御である」というプロセスを実行し、内部告発者のふりをして、別の人格でメディアに接触した。

彼は、侵害がどのように起こったかについて、まったくの虚偽の話をしました。それは、アマゾン ウェブ サービスのセキュリティが不十分だったとか、そのようなものでした。

そのため、さまざまな意味で、実際よりもはるかに悪い状況に見え、同社の株価は大幅に下落しました。

侵害されたというニュースがあった時点で、いずれにせよ下落したのかもしれないが、彼が自分自身から疑惑をそらすために、わざわざ事態をさらに悪化させようとしたのは確かであるようだ。

幸いなことに、それはうまくいきませんでした。

彼は「確かに」有罪判決を受け（まあ、有罪を認めた）、見出しで述べたように、懲役XNUMX年となった。

その後1,500,000年間の仮釈放となり、罰金XNUMX万ドルを返済しなければならない。

---

ダグ。  あなたはこのようなものを作ることはできません ！

この記事の素晴らしいアドバイス… XNUMX つのアドバイスがあります。

私はこの最初のものが大好きです: 分割統治。

それはどういう意味ですか、ポール？

---

アヒル。  まあ、この場合、この人物は自分自身の手にあまりにも多くの権力を集中させていたようです。

彼は、その後侵入してログをいじり、社内の他の人々が攻撃したかのように見せるなど、この攻撃のあらゆる部分を実行することができたようです。

（つまり、彼がどれほど素晴らしい男であるかを示すために、彼は同僚たちをもつなぎ合わせようとしたので、彼らがトラブルに巻き込まれる可能性がありました。）

しかし、特定の主要なシステム活動に XNUMX 人の人の承認が必要になるようにする場合、理想的には XNUMX つの異なる部門からであっても、たとえば銀行が大規模な資金移動を承認するときや、開発チームが「これが正しいかどうか見てみましょう」と決定するときと同じです。コードは十分です。 他の人に客観的かつ独立して見てもらいます。」

…そのため、単独の内部関係者がこれらすべてのトリックを実行するのははるかに困難になります。

なぜなら、途中で他の全員と共謀しなければならず、そのためには共同承認が必要になるからです。

---

ダグ。  [OK]をクリックします。

そして同じ線に沿って： 不変のログを保持します。

それは良いことです。

---

アヒル。  はい。

長い記憶を持つリスナーは、WORM ドライブを思い出すかもしれません。

昔はまさにそれが「一度書いたらたくさん読む」というものでした。

もちろん、書き込みは可能ですが、「書き換え」は決してできないため、システム ログとしては非常に理想的であると宣伝されました。

実際のところ、意図的にそのように設計されたとは思えません…[笑い] 書き換え可能にする方法をまだ誰も知らなかったのだと思います。

しかし、この種のテクノロジーはログ ファイルを保存するのに優れていることがわかりました。

初期の CD-R や CD-Recordable を覚えているなら、新しいセッションを追加して、たとえば 10 分間の音楽を録音し、後でさらに 10 分間の音楽や 100MB のデータを追加することはできましたが、それはできませんでした。戻って全体を書き直します。

そのため、いったんロックしてしまうと、証拠を改ざんしようとする人が CD 全体を破壊して証拠の連鎖から目に見えて見えないようにするか、その他の方法で CD に損傷を与える必要があります。

元のディスクを取り出して、その内容を書き換えて、異なる表示をすることはできません。

そしてもちろん、それをクラウドで実行できるあらゆる種類のテクニックがあります。

よろしければ、これは「分割統治」コインの裏側です。

あなたが言いたいのは、ログ情報を生成できるたくさんのシステム管理者、たくさんのシステムタスク、たくさんのデーモンまたはサービスプロセスがいるが、それらを作成するには実際の意志と協力が必要な場所に送られるということです。ログが消えてしまったり、最初に作成されたときとは違ったものになってしまうこともあります。

---

ダグ。  そして最後になりますが、絶対に重要なことは次のとおりです。 常に測定し、決して仮定しないでください。

---

アヒル。  絶対に。

この場合、Company-1 は最終的にこれらすべての少なくとも一部を管理したように見えます。

なぜなら、この男はFBIによって特定され、尋問されたからです...攻撃を行ってから約XNUMXか月以内だったと思います。

そして、捜査は一夜にして起こるものではありません。捜査には令状が必要であり、それには相当な理由が必要です。

したがって、彼らは正しいことをしたように見えますし、彼が信頼できると言い続けたからといって、彼らはただ盲目的に彼を信頼し続けたわけではないようです。

彼の重罪は、いわば洗いざらいで明るみに出た。

したがって、誰も疑いの余地がないとは考えないことが重要です。

---

ダグ。  はい、そのまま進みます。

ガジェット メーカーの Belkin は、同社の人気スマート プラグの XNUMX つについて「製品寿命が終了するということは、アップデートの終了を意味する」と言って、大騒ぎになっています。

Belkin Wemo Smart Plug V2 – パッチが適用されないバッファ オーバーフロー

---

アヒル。  Belkinからの反応はかなり貧弱だったようです。

確かに、PR の観点から見ると、この場合のデバイスはいわゆるスマート プラグの XNUMX つであるため、多くの友人を獲得できていません。

Wi-Fi 対応スイッチを入手します。 それらの中には、パワーなどを測定するものもあります。

つまり、アプリ、Web インターフェイス、または壁のコンセントをオン/オフできるものを用意できるということです。

したがって、ハッキングされた場合、誰かが基本的にスイッチをオン/オフに点滅させ、そこに家電製品を接続する可能性のある製品に欠陥があるというのは、ちょっとした皮肉です。

私が Belkin だったら、「ほら、私たちはもうこれをサポートしていませんが、この場合は…はい、パッチをリリースします。」と思ったかもしれません。

それはバッファ オーバーフローです、ダグ、単純明快です。

[笑い] ああ、親愛なる…

デバイスを接続するとき、そのデバイスがアプリ、たとえば携帯電話に表示されるように、一意の識別子が必要です。家に XNUMX 台ある場合、すべてに電話をかける必要はありません。 Belkin Wemo plug.

あなたはそれを変えて、Belkin が言うところの「フレンドリーな名前」を付けたいと考えています。

そこで、電話アプリを使用して、希望する新しい名前を入力します。

そうですね、デバイス自体のアプリには新しい名前用に 68 文字のバッファがあるようですが、68 バイトを超える名前を入力しないことを確認する機能はありません。

おそらく愚かなことに、このシステムを構築した人たちは、*アプリを使用して名前を変更するときに携帯電話に入力した名前*の長さをチェックするだけで十分だと判断したのでしょう。そもそも名前が長すぎます。」

そして確かに、電話アプリでは、どうやら 30 文字を超える文字を入力することさえできないため、非常に安全になっています。

大問題！

攻撃者がアプリを使用しないことに決めたらどうなるでしょうか? [笑い]

自分で書いた Python スクリプトを使用したらどうなるでしょうか...

---

ダグ。  ふむふむ！ [皮肉] なぜ彼らはそんなことをするのでしょうか？

---

アヒル。  ...30 文字または 68 文字の制限を確認する必要はありませんか?

そしてそれはまさに研究者たちがやったことなのです。

そして、スタック バッファ オーバーフローが発生しているため、使用されている関数の戻りアドレスを制御できることがわかりました。

十分な試行錯誤を経て、彼らは実行を、専門用語で「シェルコード」として知られる独自の選択に変更することができました。

特に、彼らは、 wget コマンドは、スクリプトをダウンロードし、そのスクリプトを実行可能にして実行します。

---

ダグ。  よくOK…

…記事にはいくつかのアドバイスがあります。

これらのスマート プラグのいずれかを持っている場合は、 それをチェックしてください.

ここでのより大きな疑問は、ベルキンがこれを修正しないという約束を守ると仮定した場合だと思います…[大笑い]

…基本的に、これを修正するのはどれくらい難しいですか、ポール?

それともこの穴をふさぐだけで良いPRになるでしょうか？

---

アヒル。  まあ、分かりません。

同じような修正をしなければならないアプリは他にもたくさんあるかもしれません。

したがって、誰かが「じゃあ、もっと深く掘り下げてみましょう」と言うのを恐れて、これをやりたくないだけかもしれません。

---

ダグ。  滑りやすい坂道…

---

アヒル。  つまり、それはやらない理由としては不十分です。

これは今ではよく知られており、十分に簡単に修正できるように見えることを考えると、私はそう思っていたでしょう...

…(A) 可能であれば、スタック保護をオンにしてデバイス用にアプリを再コンパイルし、(B) 少なくともこの特定の「フレンドリ名」変更プログラムでは、68 文字を超える名前を許可しないでください。

大きな修正ではないようです。

もちろん、その修正はコード化する必要があります。 それは見直さなければなりません。 それはテストされなければなりません。 新しいバージョンを構築してデジタル署名する必要があります。

そうなると、それはすべての人に提供されなければなりませんが、多くの人はそれが利用可能であることにさえ気づかないでしょう。

更新されなかったらどうなるでしょうか?

この問題を認識している人が修正を受けることができれば良いのですが、Belkin が単純に新しい製品にアップグレードすることを期待しているかどうかはまだわかりません。

---

ダグ。  さて、アップデートの話ですが…

…私たちが言っているように、私たちはこの物語に注目してきました。

Clearview AI については、何度か取り上げてきました。

ズット、アローズ！ ラクラゲクラプルー！ Clearview AI、フランスでトラブルが 20% 増加

フランスはこの企業を度重なる反抗の標的にしているが、これがどれほどひどいことになっているかはほとんど笑えるほどだ。

そこで、この会社はインターネットから写真を収集し、それぞれの人間にマッピングし、法執行機関はいわばこの検索エンジンを使って人物を調べています。

他の国もこれに関して問題を抱えていますが、フランスはこう言いました。 これは個人を特定できる情報です。」

---

アヒル。  はい。

---

ダグ。  「クリアビューさん、やめてください。」

そしてClearviewは応答さえしませんでした。

それで彼らは20万ユーロの罰金を科せられましたが、彼らはただ続けました...

そしてフランスは「わかった、そんなことはできない」と言っている。 やめろって言ったんだから、もっと厳しくしてやるよ。 毎日 100,000 ユーロ請求します」…そして彼らはそれを遡って、すでに最大 5,200,000 ユーロに達していると述べました。

そしてClearviewは応答しません。

それは問題があることを認識していないだけです。

---

アヒル。  確かにそういう展開のようですね、ダグ。

興味深いことに、私の意見では非常に合理的かつ非常に重要なことだと思いますが、フランスの規制当局が Clearview AI を調査したとき (当時、規制当局は同社が自発的に関与するつもりはないと判断し、20 万ユーロの罰金を科しました)…

…彼らはまた、同社が同意を得ずに生体認証データとみなされるものを収集しているだけではないことも発見した。

また、人々が（A）自分のデータが収集され商業的に使用されていることを知り、（B）希望に応じてデータを削除してもらう権利を行使することを、信じられないほど不必要かつ不法に困難にしています。

これらは多くの国が規制で謳っている権利です。

確かに、現在は欧州連合の外にいますが、英国では依然として法律として存在しており、欧州連合ではよく知られている GDPR 規制の一部であると思います。

私のデータを保持したくない場合は、削除する必要があります。

そして明らかに Clearview は、「まあ、XNUMX 年以上保存されている場合は削除するのが難しいので、過去 XNUMX 年以内に収集したデータのみです」と言うようなことをしていたようです。

---

ダグ。  ああああ。 [笑い]

---

アヒル。  ということは、気づかないのか、それともXNUMX年経ってから気づくのか？

遅すぎる！

すると彼らは、「いや、質問できるのは年に XNUMX 回だけです」と言っていました。

フランス人が調査したところ、クリアビューの記憶を呼び起こして何かをするまでに、何度も何度も何度も質問しなければならなかったとフランス人が不満を抱いていることもわかったと思います。

それで、この結末がどうなるか誰にも分かりません、ダグ?

---

ダグ。  数人の読者からの意見を聞く良い機会です。

私たちは通常、XNUMX 人の読者からの「今週のコメント」を行っていますが、この記事の最後に次のような質問がありました。

あなたが {女王、国王、大統領、最高魔術師、栄光ある指導者、裁判長、主任仲裁人、プライバシー高等弁務官} であり、{杖を振る、ペンを振る、王笏を振るだけでこの問題を解決できるとしたら、ジェダイのマインドトリック}…

…この対立をどう解決しますか?

コメント投稿者からの引用をいくつか引用します。

• 「彼らは頭から離れてください。」
• 「企業死刑」。
• 「彼らを犯罪組織として分類してください。」
• 「会社が従うまで上層部は投獄されるべきだ。」
• 「顧客は共謀者であると宣言してください。」
• 「データベースをハッキングしてすべてを削除してください。」
• 「新しい法律を作りましょう。」

そしてジェームズはこう言って馬から降りた。「私はあなたの方向に向かってオナラをします。 あなたのお母さんはアムスターで、あなたのお父さんはエルダーベリーの香りがしました。」 [モンティ・パイソンと聖杯 暗示]

おそらく間違った記事に対するコメントだと思います。

「フーダニット?」にモンティ・パイソンの名言があったと思います。 記事。

でも、ジェームズ、最後に参加してくれてありがとう…

---

アヒル。  （笑い）本当に笑ってはいけません。

私たちのコメント投稿者の一人はこう言いませんでしたか、「インターポールのレッドノーティスを申請してみませんか？」 [一種の国際逮捕状]

---

ダグ。  はい！

そうですね…いつものように、私たちはこれに注目していきます。これはまだ終わっていないことを保証します。

送信したい興味深い話、コメント、または質問がある場合は、ポッドキャストでぜひお読みください。

tips@sophos.com に電子メールを送信するか、ソフォスの記事にコメントするか、ソーシャル (@NakedSecurity) でご連絡ください。

それが今日のショーです。 ご清聴ありがとうございました。

ポール・ダックリンの場合、私はダグ・アーモスです。次回まで…

---

どちらも。  安全を確保してください！

【ミュージックモデム】