デジタル庁のVPN脆弱性と公表の遅れ
はい、どうも、かんべです。
大森です。かんべと大森の閑古鳥ラジオが始まります。 このポッドキャストは、友人2人がだらっと話す雑談ポッドキャストです。よろしくお願いします。
お願いします。あれですね、何が笑ったんやねんと思ったけど、 自分で噛んだことに対してですかね。
はい。
回りませんでした。
やり直さずにいこうと思います。
ということでね、今週の話題というか、 9月入ってから、情報漏洩やら、攻撃やらが話題なので、ちょっと技術の話をしていこうというところで、
今日は、最近の情報漏洩とか技術の攻撃についての話題について話していきます。
お願いします。
お願いします。流れとして一番大きいのが、 デジタル帳が一回脆弱性やったのが、結構8月くらいですかね、あれ。
公開は9月なんですけど、漏れたのが8月かなんかで。
これVPNの脆弱性ですね、機器のやつなんですけど、 そこ対応してなくて取られたところで、デジタル帳の役員の情報が漏れたよっていうのが、結構記憶に新しいのかなと思ってて。
これ、対応までが1ヶ月ぐらいかかったんですね。漏れが発覚してから、全てのものの精査が終わって、公表するまでに1ヶ月ぐらい経ってるんですよね、確か。
そこで結構やいの言われてましたね。
分かってから1ヶ月、いろいろどういう対処したかをまとめて、1ヶ月かけてやっていいんかい、デジタル帳みたいなことで、結構やいのやいの言われてたっていうのが、結構新しいのかなって。
さっさと公表しなさいみたいなガイドラインがある中で、1ヶ月かけていいんかいというね。
いかがかと思うかって言ってたのは、まだなんかおもろいところで、結構あるんですよね、国に対しての攻撃があるのってよくあったんだと、今までもよくあった話かなと思ってるんですけど、
デジタルとか狙われるっていうのはよくあったかなって話なんですけど、あとなんだっけ、IO順で狙われるって話がありましたよね。
Aから始まるほうが狙われるみたいな話もちょこちょこあったな。
ありましたありました。
国の省庁の名前に似てる会社が狙われたみたいな話もあったりとか、国同士で狙われるみたいなのが、いろんな国の攻撃としてあるかなって話なんですけど、
タイムズカー攻撃と古いライブラリ
最近ですね、タイムズカーの攻撃が大きいかなと思ってて。
一番話題ですよね。僕も対象者でした。
それは周りもみんな対象者で当たりましたって言ってて。
タイムズが狙われるのがやばかったのは、免許証が取れてしまったっていうのが一番、画像かな?が取れてしまったっていうのが一番やばいんですけど、
ここら辺結構、業法漏洩ウィークみたいになってて。
毎日のようにいろんな会社が漏れてますって言って。
なんで漏れてるのかっていう話もいろいろあって。
会社で調べたら漏れてたのが攻撃の痕跡が見つかったっていうのと、
漏れた側の方から、あなたの情報漏れたんで口止め料を払ってくれっていう連絡が行くっていう話があったりとか。
漏らしたやつがってこと?
漏らしたやつがとか、漏らして売ったやつが、売った酒のやつを取りに行ったやつじゃなくて、それを誰かに売って、
売ったやつがその商材をもとに交渉しに来てるとか。
あともう一個は、売ってるところを見た人がおせっかいで連絡が来るっていうのもあるんですよね。
大きい会社だと結構あるらしくて。
何々さんのところで売られてたんですけど、これが本当の情報かわからないじゃないですか。
から調べてみたらいいんじゃないですかっていう連絡が来るみたいな。
実際に調べたら、攻撃されとるやんみたいなことがあるっていうのがあって、
そこがどういう時系列かは場所によってよると思うんですけど、判明してすぐ対応しましたっていうのが。
タイムでは結構早かったですね。1日で連絡が発覚してから1日で対応したのかなみたいなところで。
対応までは早かったし、しっかりしてたんですけど、漏れた情報がでかかったのでインパクトがでかいよねっていう話で。
原因としては、古いライブラリ使ってたのが原因だよって言われてて。
C3.2っていうJavaのむちゃ古いライブラリですね。
2010年とかでギリ使われてたみたいな技術をまだ使っているみたいな感じだったので。
ちょいちょいって言われたと。
なるほど。
って感じで。
API・Webシェルを使った攻撃の可能性
JPサートっていうところが出してて、それに対して、9月前後で国内組織における不正アクセル個人情報の漏えいの被害が相次いでいますと。
なんでこんなに急に増えたかっていう話がいろいろあるんですけど、1個はAIが発達したことによって試せる、飛行回数が増やせるようになったっていうのが1個あるのかなと思って。
AIが勝手に。
攻撃手法のほうに書いてあるところで、API経由で不正な操作って書いてあるんですよ。
スマホアプリとかにAPIってたくさん生えてると思ってて、そこに対してアクセスしてると、アクセスって来てると思うんですね。
一回アプリケーション公開すると、例えばスラー.envとかを見に来る、ゲットアクセスとかめちゃくちゃ来るんですよね。
ドットエンブ、キルニアマジドットエンブとかの有名なところは大体置いてないじゃないですか。
けど、このヘッダーつけたら飛ばないかなとか、ヘッダーをつけるとインジェクションできないかなとか、そういうのの回収効果エースを稼げるようになってしまったっていうのが一番大きいのかなと思っていて。
なったときに古いライブラリを使っていると、インターネットにこうしたらうまくいくんじゃね情報がたくさん残っているので、脆弱性なデータがあるので、そことそこがぴったり使い方を知るとは限らないけど、飛行回数を稼げるようになっちゃうので取れちゃうんじゃないかなってところで、結構ユーザー情報が取れると思っていて、
タイムズもそうだし、ヤマトとかもそうかな。ユーザーが認証するために使うような情報が取られている気がしているので、ユーザーのアカウント情報ですね。そういう感じで取ってんじゃないのかなと。
タイムズさんが実際どうかわかんないけど。あとは同じ感じでVPNの脆弱性で取って、お客様のサーバーとかにRDBとかにアクセスして取ってきたのか、どっちかなっていう気はしてますね。実際どうなんですかね。そこまでまだタイムズで公表されてないと思ってて。
そうですね。画像とかまで漏れてるっていうのは、この辺のAPIで公開してるのかっていうのもあるし、不思議ですよね。
全部取ってないじゃないですか。画像漏れた人も漏れない人もいるって感じであるってことは、APIで取れたのではって思うんですよね、自分は。叩かれたAPIで判別できるじゃないですか。DBごと漏れたら取れるじゃないですか。
どういう管理してるかわかんないですけど、画像のところに全部触れて、権限管理をしっかりしてたら取れないし、しっかりしてなかったから全部取れたって言ったら全部取れるのでは。その人だけ取れないってどういう、っていう気もしてて。
分ける理由わかんないシステムとして。実際使ってるサービスが特定のサービスって話あるかもしれないですけど、タイムズカーのここ半年利用した人みたいな話なのかもしれないですけど、そういう権限の見方で分かれたのかもしれないですけど、全部漏れてないっていうところから、もしかしたら叩ける状況だったりしたんじゃないのかなっていう気は。
あと内部APIとして叩けるとかありますね。外からは見えないけど、内部で認証とかをするために係の人が叩けるためのAPIがあってみたいな。そこを取られちゃったみたいなのはあるかもしれないですね。
今ここのAPIの話したんですけど、もう一個JPサードさんから出てる内容として、Webサーバーの上にシェルを置くっていうのがあって、WARファイルとかJSPファイルとかいったらWebシェルとしてリクエストして、サーバー上にファイルを置いて、置けるサービスってあるじゃないですか、サーバー上に。
ここにファイルを置いて、そこで悪になる行動を実行するっていうのも結構頻繁に起こられてるらしくて。
へー。
なんかっていうのがありますってここに書いてあるってことは、そういうのが裏裏で回ってると思うんですよ。
ここがどこにあるのかわかんないですけど、どの会社がこれに当たったかわかんないですけど、こういうのがありますよって公開されたってことは、どこの会社かってのは公開されてないけど、これで漏れた人がいるってことなんですよね。
なんで、ファイルを置けるサービスを持ってるって人はちょっと気を付けたほうがいいというか。
持ってるっていうのはお客様に出てるって話と、もう一個VPNから入って社内向けに出てるって話もあるので、VPNを使ってるのであれば、そこも気を付けなきゃいけないみたいなところがあって。
っていう感じですよね。
なるほどね。
API攻撃への対策と運用上の難しさ
書いたのは対策がありますって書いてあって、APIのアクセスには単位時間あたりのリクエスト検出を制限して、短時間に繰り返すアクセスや大量実行を防止する。
これ例えばAWSとか使ってた場合って、WAFとか結構入れやすかったりすると思うんですよね。
なんですけど、世の中のサービスって全部クラウドサービスに乗っかってるわけじゃないので、WAF入れられなかったりするものも結構あって、これ結構難しいところ。
例えばWAF入れられないとか、クラウドフレアとかにフロントを立てて、そこにWAFを入れるんだけど、実IPは別に持ってる。
自社にあって、その自社のIPはクラウドフレアのみをリクエスト対象にしてなくて、別に他から入れるみたいなこともあったりするらしくて。
その設定がうまくいってないとね。だったりするので、本当はその実のIPのところに制限を入れる、フェール2版とか入れたほうがいいんですけど、そこまでのコースというか、
言ったら自分たちはサービス会社に所属してるからやりましょうって言ってやるけど、納品しちゃったものに対してやれるかっていうとやれなかったりとかあるので、残っちゃうよねって話があって、
ここも結構やってくださいって書いてる。難しいしね。難しいなので、今攻撃されてるって話なのかなと思ってて、仕組みではね。
悪用が、検索処理など深い悪用のリスクが高い機能には個別にレート制限や利用開始制限を設定するとか、
非公開APIを含むAPIにはアクセス制御をしましょうとか、トークには必要最小限の権限をしましょうとか、
APIトークには有効金を設定しましょうとか、不要となったAPIトークは速やかに無効にできるようなシステムにしましょうとか、いろいろ書いてます。
脆弱性も変えましょうってあったり、あとはアクセス元の地域を制限するっていうのもよく言われてますね。
例えば、言ったらタイムズカーって日本でしかサービスを展開してないわけで、アメリカからAPIを操作されることってないわけですよ、基本的に。
アメリカから日本に旅行に行って契約したくてみたいな話は、ギリなくはないかもしれないけど、そこまでやるかっていう話ですよね。
基本的に日本で設定をするだけで、日本の車を買いに行くわけだから。
だからアメリカのアクセスとか中国のアクセスとかドロシアのアクセスとか止めましょうみたいな話があったりとか、そういうことを言われてますと。
なので皆さん見直しましょうというのが確かね、上がってました。
APIの話でした、以上。
結構なんか公開してからちまちま更新されててすごいですね、JPサーツのこの注意喚起は。
そうだね、確かに。確かにそう言われたら一日分公開してる。
IPアドレスとかがね、こういうIPからお気がしましたよってIPが公開されてるので、そこをIPとして防ぐっていうのはなくはないかなと思いつつ、
IPアドレスって基本的にクラウドサービスとか借りたりとか売ったりしちゃうので、
これがいいから完璧かって言われたらそうではないし、なんなら例えばAWSのIPだったりするからこういうのって。
なんか防ぐことによって逆に他のお客さんが使えなくなるみたいなのもなくはなかったりするかなって思ったり。
っていうと完全にゼロにするんじゃなくて、一定期間アクセスできなくするみたいな運用になってくんじゃないかなと思ったりですかね。
ありがとうございます。こういう風に体系的にまとまってるやつとかあんま読む機会がないから面白いですね。
そんなこんな感じですかね。今回はちょっと第2弾を来週やろうかな。
15分しゃべっちゃってる気がする。
ちょうど15分ぐらい。
じゃあ第2弾も来週。
第2弾は来週はIDCフロンティアと大阪公立大の話ですかね。
ちょっとしようかなと思います。
具体の実例を。
話していこうかなと思うので。
楽しみにしております。
話せなくなる。明日は我が身かもしれないので。会社が云々になったらちょっと話せなくなるので。
やっていきましょうというところで。大森さんもそうだかもしれないけど。会社で云々だったらこの話はできなくなるので。
攻撃の高度化と対応の時間差
本当に高度になってて攻撃が。
痛みごっこになってるんですよね。
今タイムズとかの話もむちゃ古い脆弱性だから狙いやすいかって話あるんですけど。
例えば今日出た脆弱性が出たとして今自分らは勤務をしてないわけで。
多分今ツイッターでも見てないわけで。
ツイッター見てやばって言って直しに行った。
今1時間ぐらいラグができるわけだけどどんなに早く対応しても。
この1時間で狙われたら終わるみたいな話もあるから結構攻撃有利なんですよねって話はありつつ。
明日は我が身だなと思いつつ。やれることをやっていきましょう。
こんなこんなで15分ぐらい話していきたいと思うので今後ともよろしくお願いします。
今回は以上になります。ありがとうございました。
ありがとうございました。
