相次ぐインシデントと脆弱性への向き合い方
なんかもう毎日、毎日、インシデントのニュースばっかりですね。
ね。そうですね。
それに加えてさ、なんか今週は、なんかPHP to Shellだのさ、
はいはいはいはい。
脆弱性はなんか、他にもなんか、立て続けに脆弱性のね、報告があったりとかさ。
NodeJSとかもそうですし、あとはTomcatとかも出てましたよね。
ね。重なってるよね。こういう時に限ってね。
なんか最近こう、ニュース系のやつとかをパッと開いた瞬間に出てくるようなものって言ったら、
もう今はもう、脆弱性かインシデントか松井秀樹かぐらいの感じに。
それぐらいしかないんかなっていう。
だいぶジャンルが違ったね、今ね。
なんかこう、バッと飛び込んでくるインパクトとしてはやっぱりなんかね。
確かに。
その3つぐらいかなっていう。
僕の目にも届くってことですよ。
ここまでセキュリティの話題が一般の報道とかニュースをにぎわすというか、
にぎわすって言い方が正しいかどうかわかんないけど。
はい。騒がす、にぎわすね。
ここまでなるとはちょっと思ってなかったね。正直。
急に来た感じありますよね。なんかね。
ね。
まあ、いろんな変化があってそれがこう、表面に現れ始めてるっていう状況なんかなっていう印象はずっとありますけどね、ここ最近は。
そうね。まあちょっと過渡期というか一過性のものだと思いたいけど、そう言い続けてなんかもう結構1ヶ月ぐらい経ってるんで。
そうですね。
なんでこういろんな事件が起きて収束に向かっているもの向かっていないものっていうのはまだあるのかなと思うんですけど、まあ落ち着き始めたり復旧しましたみたいなものが出てきたりもしてるじゃないですか。
その部分でやっぱ我々もね、あの3人関わっているあの自己対応アワードみたいなものとかで、これは良かったねって言えるようなもの、その事件自体じゃなくて対応が良かったねって言えるものも一緒に増えればいいなと
は思ったりはしてるんですけどね。
そうね。今年はそういう意味ではこう、選ぶ対象の候補がいっぱいですね。
そうですね。まあ事件自体は少ない方がいいんでしょうけど、そこから何かね。
でもまあそこから学びがあった方がよりね、今後のためになるのかなと思うので、そこが出てくることをね、もう願っておりますけれどもね。
そうですね、はい。
お便り：パスワード変更とフィッシング訓練
はい、お便りが来ておりましてですね。
はい、お願いします。
はい、今の話の流れにも近いお便りなんですけども、いろいろな漏洩事件で不安が煽られるばかりです。
昨今のAIの進化がこの攻撃を加速しているように見えます。私も3、4件のサイトからEメールが漏洩しましたと連絡が来ています。
私だけこんなに当たりが悪いんでしょうか?みんなもそんなもんですか?という状態でございます。
いやもう、なんかさ、これだけ多いと多分ね、延べの件数で1億2億とかいっちゃうぐらいな件数漏れてるでしょう。
ああ、そうですね。
まあそしたらこれ、当たらない方がおかしいよね、普通に考えて。
僕は当たってないんですよね。
え、嘘でしょ?本当?
本当本当。
え、俺当たってるよ。
当たってないんですよ。
え、それは。
すごいよ。
すごいかわし方だね。
すごい。かわし方って言うと自分で避けてるわけじゃないんですけど。
まあね、そうだけど。
義名とか住所は一駅手前だったりとか。
違う違う違う。
一駅手前で降りるって、逆に一駅前で降りまくってたら、それはそれで行動決まってるって言ってあかんパターンだよね、それ。
そうね。なんかほら、いろんな攻撃がまとめて起きてるからさ、それも良くないっていうか見え方も良くないのかなと思ってて。
あとほら、例えば前も言ったかもしれないけど、業務委託先が漏えいを起こして、その業務委託元がたくさんそういう、うちも漏れましたっていうリリースを出しているとか。
クラウド系とか様々な各業界とかでは結構シェアが高いようなサービスが被害に遭ってしまって、それを利用している企業がのきなみリリースを出しているとかさ。
よくあるパターンですよね、これまでもね。
実態として多いのはそうだけど、実態以上に件数が多くて、課題に見えている部分もあるのかなとは思ってるんだけどね。そのあたりはちょっと冷静に見てほしいなとは思うけど。
確かにそうですね。
ただそうは言ってもね、こんだけ多いとなんかもう、そんなこと言ってもなんかね、やけいしり水っぽい感じはするんだが。
確かに。なんかこう時期でまとめてしまったものを議論するってなると、やっぱり全部原因も攻撃者もバラバラの可能性もあるわけじゃないですか。
だってJPサートの注意喚起だと少なくともね、彼らは5つのパターンに分けているし、他にもあると思うんだよね、もっといろんな。
いやいや、あると思いますよ。
そういうのを言うても、でもその一般のニュース報道とかでそういう細かい話は出てこないから。
漏洩しました何件ですぐらいですもんね、だいたいね。
件数が多いやつだけがまあちょっとね、クローズアップされるかなっていう。
あとはあれか、漏れた情報の経路にもよるか、どんな情報だったかみたいなのもあるかな。
そうね、メールアドレスが漏れたっていうだけだったらまだね、被害の影響としては小さくて済むけどね。
本人確認書類が漏れましたとかちょっとやばいもんね。
なかなか結構ね、最近の一連のみたいな感じの質問されると答えにくいんですよね。
いや本当にそう。
どの件ですかみたいな。
そうそうそう。
絞ってほしいっていうのもありますけどね。
多分キックホームでもわかってないんだよね、そういうのってね。
いやそうだと思うんですよね。
なかなかその辺も追いついてないなっていう感もあったりしますけどね。
次のお便りですけれども、
某サービスのアカウントにてログインできるがパスワード変更ができない。
どうやら現パスワードを認識していない模様。パスワードの複雑性要件が増えたせい?
今回はアカウント削除したのでいいが、ログインはできるので脆弱なパスワードを使い続けるリスクは増しているのでは?という不安の声ですね。
え?その現パスワードでログオンはできるのに変更ができないの?
うん。
そんなことあるんだ。
不思議な感じですよね。
あとは何か対処しようとしても、今やったら影響範囲が広かったりするからアクセス集中で何もできひんとかもあるみたいですよ。
それはあるね。実際にパスワードが漏えいしましたっていう企業とかでパスワード変更にアクセスが集中してできない時があったっていう話聞いたけど。
でもさ、変更、現パスワードがどうこう関係なくリセットできるようにすればいいだけじゃないのかな?
そうなんですけどね。不思議な仕様やなと思って。こんなのあんのかなと思って。
それはでもあんまりユーザーにとっては嬉しくないよね。
嬉しくない嬉しくない。そうらしいですね。不思議なシステムやなということで。
この辺の対処もやっぱりちゃんとしてほしいところですよね。
それに引き続きまして、PHPの対応されている皆様ありがとうございますと、こういった対応をしていただけるからこそ安全にサービスが使えるのだと思います。
自動でパッチできよう、動作確認、リリースみたいな流れができると、担当者の負担も軽減されていいのですが、まだ難しいですかね?という最近のPHPの例の件ですね。
でもさ、いろいろなご意見はあると思うけど、一国の総理大臣がXで贅沢性の対応を呼びかけるって異例のことじゃない?
少なかった今まで我が国ではなかったことだと思うんだけど。
初めてでしょうね。
その影響がどれくらいあったかわかんないけど、その国のトップがそこまで言ってるぐらいヤバいんだっていうのは、わりかしメッセージとしては伝わりやすかったのかなっていう気もしてて。
そのおかげでトップダウンでさ、うちもやらないと、総理も言ってるのにやってなかったらまずいとかさ。
だからそういう風潮にはなったのかなというのと、あと今回はなんていうか、なんでそうなったのかよくわかんないけど、事前のリークがあったせいだと思うが、
あらかじめパッチが出る前に予防的にもう止めちゃいましょうっていう判断をしたところが意外と多かったよね。
結構ありましたね。僕も大丈夫かなと思って確認したらメンテダンス中ですみたいなのが結構見ましたよ。
今まであんまりなかったと思うんだけどこんなのあったかな?
多分あんまりないですね。ゼロではないかなと思うんですけど、こういうの使うのやめましたとかはありましたけどね。
何か対応する、だってデータクセーラーの中身すらまだ詳細は公開されてない状態でさ、
予防的に止めるって割かし踏み込んだ対応だと今までだったら思われてたと思うんだけど、
今回は結構大手のサービスとか、国とかがそういうふうに注意喚起を呼びかけたせいもあって、
割と止めるってことに対するネガティブな反応があんまりなかった。むしろあらかじめそうやって良かったっていうような感想とか意見も見かけるので、
周りがみんなやってるから自分もやっても怖くないっていうところあると思うんだけど、
自分だけが止めたら結構批判されたら嫌だなみたいなのあると思うんだけどさ、
にしてもね結構多かったなっていう印象だね。
そうですね。まあああいうふうに一気にガッとドライブするというか、みんなが同じ方向向きやすいっていう状況が生まれたのは、
初めて見たことでもあります。じゃあこういうことになるんやなっていうふうな、まあ良い面もあるかなと思ったんですけど、
一方でちょっと僕は違和感がちょっとあって。
どんなところに?
これからあんなんあったら毎回すんのかっていう。
それはそうだよね。
あとどの程度ならやるのかっていうのを決めとかないと、なんか何かあったら止めます。
じゃあそれってインフラちゃうやんかっていうのになりかねないなっていう懸念はちょっとあって、
今後どうするんだろうっていうのがね、ちょっと不安。
そうね。だから今回はさ、なんとなくその周りの勢いでというか、
みんなやってるからうちもやろうっていう勢いで乗り切った感はあるんだけど、
本来はね、どういう場合には止めるみたいなサービスとしての基準みたいなものがきちんとないとまずいよね、これね。
そういわゆる取り味的なというか、取り味の結果止めるという判断をするっていうことだと思うんですけど、
まあその条件がね、総理が言ったらじゃあかんやろって思うんで、
まあそうね。
そこがちょっとなんかね、今後大丈夫なんかなっていうのはちょっと懸念というか、
悪い点ばっかではないんですけど、ちょっと気になったなっていうところですね。
いやまあでもなんかやればできるじゃんとは思ったけどね。
確かに確かに止めれるんやっていうね。
やれるんじゃみんなみたいなさ。
確かに。そういう意味での前例というか、できるということはわかったと。
そうそう。なんかまあそういう成功体験も大事かなと思うんで、
今後ね、うまくこの体験というか経験を生かしたいなと思いますけどね。
そうですね。
でですね、フィッシングメール。
知識がある人はリンクをアグスとかで調べてという話があったけど、
社内訓練メールでそれをやると、リンク開いた人扱いになって計上されるのが負に落ちない。
マイナス評価ではないのだけれど、確かめるために開くが対応を間違えた人扱いになるのはどうにかならないかなという。
なるほど。面白いなそれな。
どうなんですかね。リンクを直接開かずに右クリックでリンクをコピーで、これリンク開いた人になるのかな。どうなるんでしょうね。
いやいや、そもそもそういう外部のサービスを使ってチェックをするとアクセスが記録されるからでしょ。
そういうことね。
自分が開かなくてもさ。
これでも確かに両方同じ扱いというのは不満が出るというのはわかるんですけど、
多分これ組織ごとに違うかもしれないんですけどね。結局怪しいというふうなものは確認もせずに開かない、触らないっていうのがポリシーなのであれば、
この両方の結果は一緒に扱われても仕方ないのかなという気はしますね。ユーザーに任せないっていうルールなんであれば。
そもそもそういうものは開かないでくださいっていう。そういうポリシーですって言うんであればポリシーに違反してますよっていうのは相当な。
そういうのを確認するのはこの部署の人たちなんで連絡だけくださいっていうのが正解なのかなこういうパターンだと。
そうね。会社によってはそういう場合には個人の判断で開いたりそういったサービスを使わずに会社の中の統一した窓口に連絡をしてくださいっていう風になっているところも多分あるんで。
そうですね。
それを良くない対応とするんであれば、そういう窓口にとりあえず報告するっていうのを正解とするとか、何が正解かっていうことを示さないと利用者側もこれで何がまずいのっていう風になっちゃうから。
親切でやってくれてはるかもしれませんしね。
ただそういう外部サービスを利用するってのは分かっている人からすると何がまずいのって思うけども、それをいいこととしてしまうとそれ以外のサービスはダメなのかとか何がいいのかっていうことを基準を示さなけれ
ばいけなくなってしまって、
その判断が自分でできない人っていうのが似たようなことをやろうと思うと事故につながる可能性がないわけではないので、
そういうことまで言い出すんであれば、一律開かないで連絡しろっていう風に言う方が分かりやすいかもしれないけどね。
その辺は共通認識をきちっと形成しておくっていう組織内のことかなと思います。
ユーザーのリテラーシーに任せるってのは確かにちょっと危ういよっていう感じはするけどね。
そうですね。ネギスさんの前回の件についてのお便りが来てまして、ネギスさんご紹介のレッチャーの件、eSIMモジュールが入っているということは、
攻撃者がすべて契約し通信費も払っているということですかね。
プリペイド的な使い捨てeSIMを大量に契約し、購入者が最初に起動してフレーズが表示された瞬間だけ作動し、それでおしまいなのでしょうか?
そこら辺の詳しい情報は僕も把握してないんだけども、おそらく昔からあるけど、飛ばし的な形態っていうかさ。
はいはい、架空の契約みたいなやつですよね。
おそらく契約情報から犯人までたどれないようなものとか、何かその間に挟まっているんだと思うんだけど、
ないしはそういう契約だけ手伝わされるような、代わりに契約だけさせて使ってとかっていうふうにやっている、何ていうの、使い捨てっぽくね。
銀行の口座買いますとかもあったりしますもんね。
そうそうそう、だからその本来は犯罪をしている人たちではないんだけども、それに知らずのうちに協力させられているという可能性もないわけではないので、
ちょっとその辺のどういう仕組みでやってるのかはちょっとはっきりわかんないけど。
確かに、でも効率のいい何かそういう手口があるんでしょうけどね。
そこの辺も含めてだから何ていうか、組織犯罪の匂いがするというか。
確かに個人でやる規模じゃなさそう。
他のそういう犯罪でも多分そういう契約とかっていろいろやる方法ってあるんだろうから、そういうのを使ってるんだろうけどね。
次最後のお便りです。
取引先で起こりまくっているインシデント対応中にPHP2シェルがやってきて、
ここのとこ私生活での余裕ゼロ、セキュリティのあれの視聴率、再生数も落ちてないですか?落ち着いたらまとめて聞きます。
えー、ポッドキャストくらい聞く余裕は持とうぜ。
映像はないわけですからね。
絵解きとかがあるわけじゃないから、作業をしながらとか移動しながらとか聞いてほしい。
流し聞きでいいからさ、聞いてよ。
何やったっけなと思ったら2回でも3回でも何回聞いてもタダなわけなんでね。
ずっと繰り返しループして聞こうぜ。
そうそうそうなんですよ。
気持ちはわかるけどね、なかなかそういう精神的なゆとりがないんだろうね。
聞く時間とか隙間は探しはあるけどそこに気を使えないっていう状態になるっていうのがやっぱり心をなくす忙しいってことですからね。
ちなみに再生数はですね、落ちてません。
そうなんだ、わかるんですね。
今のアプリで、スポティファイだけなんですけどね、僕今見てんの。
今久しぶりにこれ開いたんですけど、増えてますむしろ。
おー素晴らしい。
各30日間で見ると増えてます。
みなさんやっぱりこういう事態が起きてるから聞かなきゃあかんということで。
逆にね、新しいディティレタとか情報をキャッチアップしないといけませんよ。
そうですよね。ただ結構注意点があるかなと思ってて、このポッドキャスト。
何?
最近起きてることの情報収集って聞いたら、もうその話してへんみたいなことになるんで。
位置づけとしては、世の中こういうのに関心が高まってるけど、こういうのも大事ですよっていうのをやるポッドキャストと思っていただければいいかなと。
そこはやっぱりオリジナリティっていうかさ、我々3人の独自の視点とかも必要なわけで。
世間が騒いでるからそれをそのまま取り上げますではちょっと芸がないからさあんまり。
まあみんながやってるからって僕らもやらなあかんっていう理由にはならへんですしね。
そうですね。
はい、ということで以上ですねお便りね。
お便りをいただいた方には番組特製ステッカーの印刷コードコンビニで印刷できる印刷コードを差し上げてます。
8種類あるんでですね、5種類日付入りのものが揃ったらユニークにですね。
5種類揃ったら揃いましたよという風に写真を添えて僕にXにてDMでいただければシークレットの印刷コードを差し上げてます。
8種類まだ全部揃った方はいらっしゃらないんですけども揃った時にはこれかなという風に思っているスペシャルなプレゼントを用意しているので、
どしどしお便りいただければと思います。
シャープセキュリティのあれというハッシュタグをつけてXにてポストいただければ自動的にお便りになるんですね。
どしどしお気軽にポストいただければなと思います。よろしくお願いします。
お待ちしてます。
SpeeCAN RAIDEN不正アクセスの経緯
というようなことで今日もですね、セキュリティの話をしていこうかなというふうに思うんですけども。
かんごさんから行きますか。
今日私はですね、さっきの流れからこのトピックを選んでいいのかっていうのはちょっとあるんですけども。
まさに今起きているその情報漏洩の事案のちょっと一つを取り上げさせていただきたいなと思いまして。
何を取り上げるかというと、アルカディアさんっていう会社がありまして、
スピーカン来電っていうのかな、いわゆる緊急とかの情報発信を、
メール配信をするサービスっていうのを自治体であったり、学校とかあるいは消防機関とかそういったところ向けに提供してられるところで、
かなりの数ですかね、かなり多くの自治体であったり組織が使っておられたということもあってですね、
実際このスピーカン来電が不正アクセスの被害に遭われたということで、
ちょっとさっきのサプライチェーンじゃないんですけども、かなり広く影響が及んだということで、
結構大きなインシデントというふうに捉えていいのかなというふうには思いますけども、
注目したいところとしては、もちろんそういった影響の大きさっていうところもあるんですけども、
こちらのアルカディアさんが出しておられる情報の内容でありまして、
これね、最新のやつがですね、実は私が見たやつは第22報まで実は出てまして、
すごいことになってますよね、回数がね。
かなりの情報が毎回適宜届けられているという状況なのかなというところに加えて、
詳しい内容もですね、結構書かれているというところがあって、
要は何が起きたかっていうところが、私よくちょっとやゆるじゃないんですけども、
3点セットって言ってるような不正アクセスの被害に遭いました、すいません再発防止頑張りますみたいなね、
それで終わってしまうような話ではなくてですね、実際にこういったことが今回のインシデントで起きてしまって、
具体的にこういう対策を取りましたっていう話などが結構詳細にですね、公開をされているというところがあってですね、
かなりの数の、それこそ9月から今月にかけて起きているわけですけども、
数に対して詳細な情報を出している組織って案外やっぱり少なくてですね、
実態としてすごい情報が漏れているっていうところはまあまあわかるんですけども、
それが何でなのかっていうところがいまいち結びつかないというか、いろんなセキュリティベンダーであったりとかで注意喚起とか出しているんですけど、
具体的にそれがこの被害を起きている企業、軍に対してどういう繋がりがあるのかっていうのがちょっと見ていてわかりづらいというか、
本当にこれがどういうふうに起きているのか、繋がりがあるのかっていうところが見えづらいところがあったので、
そういう意味では、このアルカディアさんが出された情報を見ると、やっぱりこんな激しい攻撃を受けてたんだなっていうのが改めて知ることができるとともに、
これ見てですね、実際に私たち自身がこういった攻撃が来た時に耐えうることができるのかっていう観点での点検にも十分なり得る貴重な情報かなということで、
今回取り上げたいなと思うんですけども、これあの原因として書かれているのがかなり複雑な原因っていうんですかね、
1つの原因というわけではなくて絡み合って最終的に情報が捉えたっていうような話ではあるんですが、
原因として書かれているものをそのまま読み上げると、メディアサーバーにディレクトリパストラバーサルか、ディレクトリトラバーサルですね、
そちらの脆弱性が存在していたと、その脆弱性を悪用されて設定ファイルがどうも盗まれてしまったと、
その設定ファイルからサービス間で使用していたログイン用のシークレットキーが攻撃者側に渡ってしまってですね、
その流出したシークレットキーを使ってアカウントIDに対しての総当たりを受けたと、
で、その結果不正ログインをされることで内部の情報が捉えてしまったっていうような、
まあそういう、ちょっと言葉で言うとですね、なんかすごいなんていうか、なんかすげーなーみたいな感じでは印象として持つんですけど、
これ本当にやってくるんだっていうのがタイムラインとか見ててもですね、かなり生々しい時間軸で書かれてはいてですね、
で、ディレクトリトラバーサルを使って設定ファイルが盗まれたっていうふうに私今簡単に話したんですけど、
実際のところとしては、これ確か第12本かな、第12本の中に結構細かい具体的なアクセスログに近いような情報なんか書かれてはいて、
で、その内容なんか見てもですね、ディレクトリトラバーサルだけではなくて、なんかいろんなアクセス先であるとかっていうところを探しに来ていたりとか、
SQLインジェクションがないかどうかをチェックしたりとか、さまざまなアクセスっていうのを試行錯誤する形でやってきていて、
最終的にパストラバーサル、ディレクトリトラバーサルの攻撃を受けて設定ファイルが盗まれたというような話につながるわけなんですけども、
かなり必要にアクセスしてきているんだなーっていうところがあったなーっていうのは、実際にこういったアクセスログに近いようなかなり詳細なログが出てるんですけども、
それを見ていただけると、動きとして非常にわかりやすいかなというところもあるんですけども、これちょっとですね、考えどころというか教訓というふうになり得るところとしては、
実はこれ封じ込めに失敗したって言っていいのかな? 気づいたタイミングの後に不思議なメールが送出されたっていう、
そういった事象が、検知したのが10月11日に不正アクセスあわれてですね、12日にそれに気づいたと、妙調に気づいたと。
一旦遮断のアクションしてますもんね。 遮断してるんですよ、ここで。
本来であればここでね、攻撃者のアクションって止まるんですけども、実際のところはそこで止まらずにデータベースのパスワードが変更されてしまって、
サービスに沿いで支障が出たということに加えて、ワードプレスに何か改ざんというかステフプラグインが追加されたりとか、
いつ追加されたのかちょっとわかんないですけど、バックドアが追加されていて、そこを介して142万件ですかね、不正なメールが大量に送出されていたであるとか、
検知後に攻撃者側の活動が止まらずに、実際にメールが飛んでしまうといったような事態に繋がってしまったというところがですね、
これなかなか難しい対応であったのかなというところなどを、ちょっと改めてこういった生々しいじゃないんですけども、
状況なんかを見てもですね、読み取ることができるかなというところではあったので、今回かなり詳細な情報という形では出てきたんですけども、
やっぱりそのいくつかの気づきのポイントとしては、これだけ読んでも実は疑問点解消されないところもいくつかあって、
設定ファイルっていうのが具体的にどういったものだったのかと、その設定ファイルが取られることで、なんで不正ログインに最終的に、
シークレットキーがって話はあったんですけども、それだけをもって不正ログインに繋がるような事態っていうところに至ってしまったというところに関しては、
何か手の内容はなかったのかとか、漏れるっていうことを想定した事前の対策っていうところが十分に検討されていたのかとか、
なんかそのあたりであるとか、あとディレクトリートラバーサルとかは比較的というか、そこまで難しい攻撃手法ではないのかなとは思ってはいるんですけども、
これなんで見落としというか、攻撃者側に実際にアクセスをされるというような状況に至ってしまったのかとか、
いろいろ疑問点というか、気づきのポイントを考えなきゃいけないポイントがあったりはするのかなというふうには思いはするんですけども、
様々な視点に立って資産に富む情報という形では、ここまで詳細に情報が出されている事例っていうのは私が見る限りだと、
今までたくさん情報リストの事案というのが本当にここ最近続いている中では、かなり希少な情報かなというところではあるので、今回ご紹介をさせていただきました。
なんかレポートというか、22報でしたっけ?確かこれね。
はい、そうですね。最新のね。
これ内部の説明資料化ぐらいの詳しい部分もあったりするじゃないですか、タイムラインとか特にあったと思うんですけど、
タイムラインがあって何をされたとか、脆弱性でした、ウェブアプリでしたとかだけじゃなくて、ログがログのように書いてくれてるんで、攻撃のスピード感がめっちゃわかるというかね。
そうなんですよね。このスピードかっていうね。
これで来る、こんなことをされる、こんな色んなことをされるみたいな、結構やられてること多いじゃないですか。
封じ込めしたと思ったら実は違うところに穴があって映像化されてましたっていうのがあって、こういうのって出してもらえると受け取る側とか読む側としては正しい危機感を持つことにやっぱりつながるなっていうのは思
いましたね。
今、かんごさんがディレクトリー・トラバーサルとかパス・トラバーサルって比較的手法としては難易度の低い攻撃手法じゃないですか。
それがなぜあったのかっていうのって僕も結構これ関心、最近のいろんな事件を見ててもあって、
A2B攻撃ってあるじゃないですか。今言われてるやつで。
あれもね、あの被害に遭ったとおぼしき、組織っていくつか見てるとあると思うんですけど、
あれってそもそも攻撃が成立してしまったことっていうのは、診断をしてなかったからやられたのか、
してたけど診断の段階でチェック漏れがあったのか、その受けた診断サービスがそういったところのチェックの範疇外であったのかっていうのは結構気になるんですよね。
そうですね。
そう、診断しきれてなさみたいなものがあるのかなとかっていうのがあるんで、
その辺って結構自分たちが診断を受ける時に気をつけないといけないポイントとしてあるから、その辺も結構僕は関心が最近はありますね。
その辺は診断する側の立場から見た視点って感じだよね。
そうですね。
受ける時にこういうオプションがあるっていうのをつけへんかったらどうなるかとかっていうようなことも、想像してやっぱりサービスを選ばないといけないなっていうポイントかなと思いましたけどね。
でもそういう、さっき看護さんが言った様々な細かい疑問点っていうかさ、ここどうなんだろうっていうのが出てくるっていうのはその詳しい情報が出ているからであって、
そうなんですよ。
確かに確かに。
そう、全く持ってその通りで。
こういう細かいログとか手法に関する情報、別にこういう情報出したからさ、じゃあそれで攻撃者が喜ぶかって言ったら多分全然そういうことはないし、
これを見て同じような手法が、じゃあ他の人がやられるかみたいなことは、よくそういうことを言って出せませんとか言う企業多いけど、
セキュリティ上の理由ってやつですね。
全然そんなことないと思うんで、こういう情報を出したらむしろ我々守る側にとってすごくためになる情報があるし。
めっちゃ有益。
あと今言ったような新たな疑問も湧いてくるし、そういうところどうしようっていうふうに自分だったらどうかっていうふうに見直すきっかけにもなるし。
そうなんですよね。
そういう意味ではすごく良いと思うのね。
あと一見すると、さっき看護さんも言ってたような、封じ込め失敗したっていう失敗事例っぽく見えて、そういうところもちゃんとセキュリティに書いてくれているのは非常にこのマシンだけども、
ただねこれ実際の多分遺伝の対応したことある人はみんな思うと思うけど、すごいこれあるあるで、何か侵害の痕跡を見つけて調べ始めますと、調べているうちにどんどんどんどん調べる対象範囲が広がっていって、
だいたいわかったかなと思ったら、調べ終わる前に新しい情報が見つかって、こっちも調べなきゃみたいにやっているうちに、つまり結局時間とは戦いになっちゃうっていうのは初動対応とかこういうインシデント対応
ではよくあることで、
一概に封じ込め失敗してダメじゃんとは言い切れない部分は結構あって、でも逆にどうすれば一番良かったのかっていうのはやっぱりこういう失敗事例から学べることはすごく多いと思うんで、
どういうふうに封じ込めて根絶するのが本当は良かったのかっていう、多分正解は後出しではあるけども何かあったはずで、多分こうすべきだったみたいなのは考えられると思うんだけど、それをいきなり最初でできな
かったから良くないというのはそれは結果論なんだよね。
後帰ると何とでも言えますからね。
だからそこを責めるよりも、ここから何を学べるかというふうにプラスに考えた方がいいようには思いましたけどね。
確かに確かに。看護さんが言うような3点セットやったら、3点セットのリリース100件見ようが200件見ようが分からんで終わるじゃないですか。
そうそう件数が多いんだねーで終わっちゃうよね、そういう感想で終わっちゃう。
そう、頑張るんだねーで終わる。
1個だけ言っていいですか?
最近本当に、何ていうか、被害企業に対する捉え方っていうのが、何ていうか、面白がってるような風潮っていうふうな。
面白がってるかどうかっていうのは本人にはよると思うんですけど、何かランキングつけたりとか、何かランクつけて遊ぶとは言わないですけども並べたりとか、何かそれはちょっと違うと思っていて。
あーなんかその事件の規模によってのなんかティア票みたいなやつですか?
なんかそういうのがたまにSNS見ると流れてはくるんですけど、何ていうかそういう話じゃないとは思っていて。
確かに確かに。件数だけでも判断できひんとこってやっぱありますかね?その議論の軸を何にするかによって変わるというかね?
どうせだったらさぁ、僕らの代わりに対応がいいところランキングとかやってくれよ。
そう、よっぽどそっちの方が。
あ、それめっちゃいいですよね。
よっぽどそっちの方が。
みんなでその対応の内容が良かったところを褒めようムーブメントみたいなね。
みんなでどこか対応1位か決めようぜみたいなさぁ、そういうランキングだったら参考になるところあると思うけどなぁ。
確かに確かに。それややそういう対応した人たちも若干報われるとこもあるかもしれませんしね。
そうそう、俺ランキングでもいいから、何かそういうところを見るんだったらね、いいと思うけどね。
いやそうです。全く思ってその感じ。何かもう最高記録更新とかもそんなどうでもいいんですよね。
あーそうですね。
なるほどなるほど。まあそういう捉え方で何かね、それは良くないかもしれませんね。
やっぱこう前向きな議論ができるリリースはやっぱり褒めたいですよね、ちゃんとね。
良かった、ありがとうございます、お疲れ様でしたぐらいはやっぱり言った方がいいんじゃないかなという気もしますね。
うーん。
はい、ありがとうございます。
VulnrichmentのPoCを検証する
はい、じゃあ次僕行きます。
はい、お願いします。
はい、今日は何か特定のニュースとかというわけではなくて、僕が気になり続けてたことをちょっと確認してみましたという話なんですけれども、
バルーンリッチメントのその項目、ある項目について、自分が言った発言の裏を取ってみようと思い始めまして。
おーへー。
以前ね、このポッドキャストで僕BODの2604取り上げたと思うんですよ。
うん。
どうやって脆弱性の対応の期限とか範囲決めましょかいねみたいなやつが出たじゃないですか、6月の10日にね。
うん。
で、その話した時に、例えばその出てきた項目だったら4項目であれ決めるじゃないですか。
外部に露出しているかと、KEVに掲載されているかと、攻撃の自動化と、あと影響範囲ですよね。
うん。
インパクトの部分かな、技術的影響化っていうのがあると思うんですけど、その話をした時に、
バルーンリッチメントの中にあるエクスプロイテーションの項目に、
なんとPOCとアクティブっていうのがあって、今言った順番に攻撃が観測されている攻撃コードがあるなんもないなわけなんですけれども、
ここを見て判断材料としてもええんちゃうかなみたいなことを僕は言ったんですよ。
あーなるほど。BODのところにはそれが入ってないけど、
そうそうそうそう。
追加でそこまで見てもいいんじゃないみたいな、そんな確か果たししたね確かにね。
せっかくバルーンリッチメントの項目にこれあるんやこれ有益ちゃうんかと、
要はその危険な脆弱性をさらに絞り込むためのシグナルになるんじゃないか、
そういうアプローチどうやろうかみたいな仮説じゃないですけど、そういうことを言ったと思うんですね。
はいはい。
それを調べてみたんですよ、ほんまにそうかっていうことで。
ほうほうほう。
一応調査の対象範囲は2022年の1月1日から25年の12月31日までの間に公開されたCVE117,159件に対して、
バルーンリッチメントの履歴を追跡していって、
エクスプロイテーションの項目の状態変化を見たらそれがほんまに有益かどうかっていうのはわかるかなと思って。
おーなるほど。
調べてみたんですよ。
で、一番初めちょっと最初のところはそのPOCになってからアクティブとかKEVになるまでっていうのの脆弱性に絞って、
まずそこだけ見てみたんですけど、
POCからアクティブやKEVになったものに絞って観測日の差を見て中央値どれぐらいかなって思って見てみたんですね。
POCからアクティブになるものが中央値が26.5日、
で、POCからKEVまでいったものの中央値が28.5日というふうなことなんで、
53%半分ぐらいが30日以内にアクティブ、KEVになるというふうな計算だったんです。
で、危険な脆弱性となるKEVやアクティブになるCVEの脆弱性に関しては、
数週間程度先に観測されるものが存在するんで、
なかなかこれええんちゃん、先回り感あるんちゃんというふうにこの時点では思ってたんですが、
こっからですね、もうちょっと広く見てみようと思って、
さっき言ったCVEの11万7159件のうち、
POCに1回でもなったというふうな履歴のあるものが、
2万7653件で23.6%だったんですね。
この2万7653件のうちそこからアクティブになったものっていうのは、
76件しかなくて、0.27%なんですよ。
へー、かなり少ないね。
少ないんですよ。さらにKEV YESっていうふうになったもの、
これ重複する部分もあるんですけども、KEVまでいったものっていうのが70件で、
こっちも0.25%であんま大差ないんですよね。
確率的に言うと、364分の1の確率でアクティブ、395分の1でKEVになるっていうことなんで、
POC単独を脆弱性対応の優先的にこれも扱うかっていうシグナルにするのは、
ちょっとなんかギャンブルの域というか、かなり確率的に厳しいなというふうに。
そうだね。そこだけ見るとそんな感じだね。
そうなんですよ。ここだけ、さらにちょっと条件加えて、
もっと濃度を上げられへんかなと思って、
POCになっているものに対してオートメータブル自動化と技術的影響、
テクニカルインパクトっていう軸を加えたらどうなるかなというふうに考えたんですよね。
オートメータブル、イエス。テクニカルインパクト、トータル。
両方ともイエス、トータルになってるっていうふうに見てみたんですけど、
両方にしてもアクティブに、POCからアクティブを辿ったものは1.01%しかないんですね。
0.27%とか0.25%とかってさっき言った数字から言うと、
約4倍足らずぐらいまで刻はできたんですけど、
それでもやっぱり100分の1ぐらいの確率になるから、ちょっとこれもきついですよね。
なるほど。
ただね、それちょっと副産物なんですけど、ちょっと興味深いことも僕的にわかったことがあって、
オートメータブルとテクニカルインパクトを足したやつで出てきた数字で面白いものがあったんですけど、
オートメータブル自動化がNOになってて、技術的影響が部分的で、
アクティブになるのは0.03%で、影響トータルが0.44%だったんです。
その逆でオートメータブルイエスになったら、数字がアクティブになるのが0.18%とトータルが1.01%。
何が言いたかっていうと、どこまで攻撃を簡単に容易に自動化できるかっていうところではなくて、
やっぱり侵害時にシステムの全体に影響を及ぼせるかどうかの方がアクティブになりやすいっていうのが数字でわかった。
これは言い換えれば、攻撃者がこのものはやっぱりこっちなんやなっていうふうなことは、
ちょっと副産物的にはわかりました。
アクティブになったもの、POCではなくてアクティブになったものを拾って対応しようっていうふうに変えたら、
もっと精度上がるんかなと思って調べてみたんですね。
そしたら、アクティブが670件で、そのうち653件がKEVになってるんですね。
めっちゃ高いじゃないですか。97.46%。これ強いやんけって思ったんですけど、
時系列で見てみたら、これ僕ほんまに自分で勝手に思い込んでたらよくないなっていうふうに反省した点なんですけど、
アクティブになってからKEVになったやつって4件しかないんですよ。
同じ日に同時にアクティブとKEVになったのが267件で、
KEVになってからアクティブになったものが382件もあるんですよね。
僕ずっとアクティブになってからKEVに乗る脆弱性が多いんちゃうかなって勝手に思い込んでたんですけど、
実は逆の方が多かったというふうな結果になってて、めちゃめちゃこれは反省しましたということなんですね。
そこはあれだよね。両方ともCISAがやっているから、本来であれば連動していなければおかしくって、
理想を言えば両方同時に両方ともがアクティブになってKEVも乗ってるっていうのがわかりやすいと思うんだけど、
実は逆が多かったっていうのは意外でしたね。
おそらくCISAのプログラムの運用面の問題なんじゃないのかな。
多分KEVをイエスにするかどうかみたいな方を優先して動いているのかなとかね。
どっちかに乗ったら傍方っぽいにも遠くらず乗るけど、そこにあんまりきちんとしたルールはないのかもしれないな。わかんないけどね。
そうなんですよ。ちょっと不思議な流れやなっていうふうに思いました。
なるほどね。
最後に、じゃあみんながよく使っている製品で絞ったらもっと確率上げられへんかなっていうふうに考えて、
Windowsのみに絞ってみたんですよ。
そしたらPOCになったものが40、脆弱性あったんですけども、アクティブになったものが10件で4分の1、25%。
KEVになったものが8件で2割、20%だったんですよ。
なのでこれはPOCがアクティブになったものが、さっきの0.27%とか言ってたことから比べると90何倍ぐらいのものだったんで、これ有望やんけって思ったんですけど、
逆にこれも見てみたらですね、POCの何パーセントがアクティブになるかではなくて、
アクティブになったCVEの何パーセントが1回事前にPOCになってたかっていう、要はPOCで拾えてたかってことを調べてみたら、
Windows全体で2327件の脆弱性のうち、アクティブが92件でKEVが90件だったんですね。
なので実際にこれを分母にすると、アクティブが10%ぐらいまで下がってしまうのと、KEVが9%ぐらいまで下がってしまうと。
なので平たく言うと、POCがあればアクティブになる確率は高いと言えるんですけど、同時に実際にアクティブになるWindowsの脆弱性の約89%はPOCにならずいきなりアクティブになってるってことなんです
よね。
なので拾えないPOCでは取りこぼしの方も多くなってしまうという風になってて、
他のよく苦用されてるのでちょこちょこニュースでよく見かけるなとかいう風な、例えばForge OSとか、CiscoのASAとか、あとはランサムの件でも取り上げたGo Anywhereとかですね。
そういったもので見ても、KEVになってるものは何件かもちろんあるんですけど、今言った3つのベンダーだけになるんですが、POC観測はゼロなんですよね。
なので製品も限定すればPOCの当たり率を大幅に改善できるんじゃないかなっていう淡い期待で見てみたんですけども、全然補足する能力は低いという結果になってしまいましたというお話で、
これ自体はもともとKEVになる前に次に悪用される候補をPOCっていうステータスで予測できひんかっていうところから始まったことなんですけれども、
危険な脆弱性を披露するシグナルとしては、このエクスプロイテーションを見てPOCがなってるから対象を優先順位上げようかっていう風な判断に至るまでの角度ではないかなという風な感じでしたね。
どうしても空振り減らそうと思うと取りこぼすし、取りこぼし減らそうとすると候補多すぎるしっていうので厳しいかなっていう風な結論に至ってしまいまして、
BOD-2604にエクスプロイテーションの項目を入れへんかったのはこの辺をちゃんと見た上での結果なんかなっていう風に僕が大反省したというお話でございます。
今ちょっと結構数字いっぱい出てきたんで、表でも見ながらじゃないとちょっとよくわからなかったとリスナーの方もそう思ったかもしれないけど、
まとめて平たく言えば先行指標としてはなかなかうまく使えないもんだなと思ったけど、それはしょうがないかもね。
POCのコードでもやっぱりいろんな種類のものがあって、攻撃にそのまま悪用できるようなレベルのものもあれば、攻撃の実際のエクスプロイトコードにするにはややハードルがあるものもあったりするし、
あとはデータの精度の問題もあって、これは前にもどっかで言ってるかもしれないけど、KEVに載ってるものってのは実際に悪用されたもののうちのごく一部でしかないので、
もしかしたら今言った確率はもうちょっと本当は上がっているのかもしれなくて、
CISA側が載せてないないしはこぼしてるっていうのもあるかもってことですよね。
アクティブにもなっていない、KEVにも載っていないんだけど実際には悪用されているっていうものが、今のそのPOCの指標の中の割合としてはもうちょっと多い可能性が高いので、
そのあたりも含めて実態を見たらもうちょっと違うかもしれないけど、ただまあそうだとしてもそこまで大きな差はないような気がするので、
まあなかなかね、そこら辺は数字としてこうやって示してもらえると、なるほどその辺は難しいんだなーというのはわかりますね。
その辺はそういう意味ではBOD-2604の設計はまあまあよくできていると言えるのかもしれないね。
いやーそうです。感心したなっていうかね。
そうそうだから今日はこの今から長々喋ったけど一言で言うと、エクスプロイテーションの項目での判断はまだまだ厳しいということが言いたかっただけです。
なるほど。でもそういう検証ってやっぱ大事よね。なんとなくその思い込みでできそうとか雰囲気で言ってると良くないなってことはよくわかりました。
そうそうそうそう。言いっぱなし良くないかなと思ってちょっとちゃんと自分で裏取りましたというお話ですね。
はい。ありがとうございます。
お付き合いありがとうございました。
はい。
TorのExitノード大量侵害
じゃあ最後、ねぎしさんお願いします。
はい。今週私からはですね、これもちょっと久々のネタかもしれないけど、トワーネットワークに関するちょっと小ネタを紹介したいと思うんですけども、実はですね、今月10月の初めぐらいにトワーのエグジット
濃度、これは定常時にだいたい3000台ぐらいあるらしいんだけど、このうちの約1割に当たる300台以上のエグジット濃度が急に減少したんですね。
ほうほうほう。
メトリックスのグラフ見てると明らかにガクッと減ってるんでわかるんだけど、多分このあれ勢で僕らも含めて気づいた人はいないと思うんだけど、
そうですね。
僕も全く気づいてなかったんだけども、これなんでこんなに急激に減ったかっていうと、実はこの300台以上のトワのエグジット濃度にはLinuxのマルウェアがどうも感染していたらしくて、
へー。
で、10月の2日からこれらの感染したノードが一斉にそのエグジット濃度を経由するSSHの通信を不正打攻撃者のおそらく管理している中継サーバーに転送して、
そこでいわゆるマインザミドルアタックですよね。
間に入り込んでね。
うん、間に入り込んで、そこでSSHの通信の中身を除いてパスワードを取得したりだとか、さらに別のSSHのサーバーをマルウェアに感染させようとしたりだとかっていうような不正打攻撃が使われていました
ということが発覚をして、
それで結果的に対処としてこの300台はエグジット濃度から外されたという、そういう経緯だったんですね。
ということが今週分かりまして、なんでその300台が不正なことをしていると気づいたかというと、
今日紹介するブログの記事を書いた人が、まさに自分自身がSSHトア経由でアクセスをしようとしたら、なんだかわからない別のサーバーにどうも中継されてしまって、
そのSSHのクライアントを使っている人はよく見かけるかもしれないんだけども、ホストの公開書きが変わってますよっていう、
注意をする、もしかしたらこれマインザービドルかもしれませんよっていうような注意が出ることっていうのが、ホストキーを変更する場合には必ず出るんだけど、
ポップアップ出たりするクライアントもありますよね。
その警告メッセージが出たんだって。
で、あれってこの人思って、これもしかしてヤバい奴じゃないって気づいたらしくって、
それをきっかけに、3000台あるEXITノードを全部に対してスキャンをして、
SSHのテスト用のサーバーっていうのを自分で用意をして、
何も問題なくちゃんとSSHのサーバーにつながるやつと、
今言ったような不正な中継サーバーを経由して経路が変わっちゃう奴っていうのがどのくらいあるかっていうのを調べましたと。
結構地道なことをしましたね。
ちゃんと調べてるよね。
そしたらその300何台ってやつが、経路が中継されていて、
どうもマインザービドルの危険があるっていうものがありましたというのを見つけましたと。
で、その見つけた結果をTOWERのチームに、プロジェクトチームに報告をして、
TOWER側もそれを認識したので、結果的にその一斉に全部300段台がEXITから外されたという、
そういうような経緯をたどりましたという話なんだけど、
ただね、この実際に完成したマルウェアっていうのはE-VALLEYっていうのか、
ちょっと名前よくわかんないんだけど、昔から使われているOpenSSHのバックドアのプログラムで、
不正な中継をするっていう機能としては知られたものなんだけど、
これがなぜこの300数十台に感染したのかっていうのはちょっと経緯がわかっていなくて、
不正な中継の動きが始まったのは今月の10月からなんだけど、
サーバーへの感染自体は2ヶ月前からどうも起きてたらしいのね。
そのうちの一台の実際に被害にあったサーバーのオペレーターの人が、
被害の状況を詳しく報告してるんだけど、
最初の侵入はパスワードをあらかじめ取得されてたっぽくて、
いきなり自分のパスワードでログインしてきたって言ってるのね。
なので何かしら事前に情報が漏れていった可能性が高くて、
いきなりドカンと侵入してきて不正なアクセスをしたと言ってるんで、
ただそれが一つの例だとすると、その300何台他のやつは全部そうだったとは思えないので、
一体どうやって最初の初期感染をやったのかっていうのが実はまだわかっていない。
わかってないんや。
というのと、あとそれは今後解明されるのかどうかわかんないんだけども、
そこがちょっと不明で怖いねというのと、
TOAとか日常的に使ってる人がどれくらいいるかわかんないけども、
僕らは毎日通り使ってるからさ。
超お世話になってるだけに自分ごとですよ。
僕もすごい怖いなと思ったんだけど、
今回のSSHのクライアントの、
普通だったら無視しちゃいがちな警告メッセージとか、
あとブラウザーとかでも証明書の警告メッセージとかよく出るけど、
こういう警告メッセージって大事なんだなと改めて思ったというかね。
何も考えんとはいはいはあかんっていうやつですよね。
そうそう、無視しちゃいけないんだなと思って、
今回報告した人もちゃんとそこで気づいて、あれこれおかしいんじゃないかなって調べるっていうことをやってるからさ、
そういうのがなければもしかしたらもう少し気が付かずに、
長い間もっとやられたかもしんないですね。
あと、SSHの不正な中継で乗っ取られるっていう被害がもう少し増えた可能性もあって、
まあまあ比較的早い段階で見つかってよかったなとは思うんだけど、
なんかねちょっとこういうちょっとこの攻撃をした人の目的とか、
誰がやったのかとか、
そのさっきのね初期感染の方法はどうだったのかとかってちょっとわかんないことが多すぎるんで、
これ以上の情報はちょっと今日の段階では何ももうないんだけども、
こういうのねそのTOAって割かしそのプライバシーに配慮されて安全に使えるプロクシーのネットワークっていうイメージが強いと思うんだけど、
まあでもまあまあこの辺のTOAをターゲットにした攻撃っていうのは過去にもいろいろ見つかってるんで、
EXITロードが大量に乗っ取られるっていうのも今に始まったことではないとはいえ、
ただまあちょっと久々に聞いたなーっていうのと結構ねインパクトはあるなというふうに思ったので、
ちょっとまあ改めて、たぶんみんな知らない人多いと思うんで紹介してみたんですけども。
これはでもなんか今ねそのそれ以上の情報はないって言ってますけど、
攻撃主体が何かと目的はめっちゃ気になるところではありますね。
ちょっとねTOAをターゲットにしたっていうところがね、
まあ普通の人はTOAは使わないけども逆に言うと、
その保護が必要な人とか、
あとそのセキュリティに特別いろいろ配慮している人とか、
まあそういうねちょっと使ってる人が特殊なだけに、
そういう人たちを狙い撃ちにしたとも考えられるので。
そうですよね、そういう僕らみたいなセキュリティに携わってる人たちを狙っているっていうのも言えるけど、
逆に言うと犯罪者が犯罪者を狙っている、法執行機関が犯罪者を狙っているって可能性もありますもんね。
そうそう、だからねちょっとそういう何をターゲットにしたのかなっていう部分が分からない限り、
なんかねちょっとその辺の不安感が拭えないというか、何なんだろうなーっていう感じだよね。
せっかく安全のために使っているものが悪用されてしまってるっていうのはね、なかなか怖い。
なんか前回のハードウェアウォレットみたいな感じですね。
どの経路信用すんねんみたいな話というか。
あーそうねー。
どこも結局やられる。
TOAのリレーのオペレーターもさ、そのEXITに限らなければ世界中で多分一番台ぐらいあるのかな。
大体はそのボランタリーでTOAの中継ノードとして提供している、そういう勇士の集まりじゃないですか。
中にはその会社としてサポートしているというところもあったりとかするけども、
まあでも一個一個見れば割り返しその個人単位だったり、コミュニティの単位で、
まあそういう意味では何というかな、そういうところが狙われても一部はね脆弱でもいたしかたない面はあるのかなとは思うんだけど、
とはいえ大量だからね今回のある程度まとまってやられてるんで、
一台二台がやられたという話ではないので、そこもちょっとね。
そうですよね、規模がちょっと大きいですもんね。
不審な点というか、分かんないところだよね。
これそのEXITノード全体で何台と言ってましたっけ?3000台ぐらいでしたっけ?
リレーのノードは一番台ぐらいあって、EXITの要件はちょっと厳しいので、
EXITはそこからターゲットまでの間の通信を見えてしまうんで、
そうですね最終の目的地の手前ですからね。
そうそうそこが分かってしまうので、EXITは特殊で重要なので、数が3000台ぐらいに絞られてるんだけども、
そのうちの300台以上ってこと?1割以上?
そう1割以上、330台ぐらいって言ってるんで、かなりの割合なんだよね。
相当に通るものを全部取ってったのかっていうぐらいの規模に来てますもんね。
だからどのくらいの実際のTOAの経由する通信のうち、どのくらいが影響を受けたのかはちょっとはっきりトータルでの影響は分からないんだけども、どうなんだろうね。
でも普通にウェブを見るときに我々が通った通信もここ通ってるかもしれないってことですよね?
いや通ってる可能性はあるよ。ただ今回のメインは説明はしなかったけど、
メールの通信とSSHの通信を盗聴するっていうのがメインのターゲットだったっぽいので、
それ以外にはウェブのトラフィックに対しては何もしてなかったと思うんだけど、
素通りしてたってことですよね?
だけど、ただ何かされててもおかしくはなかったはずなので、
そうですよね。
潜在的な脅威としては見逃せないなっていう感じはしますが。
いや怖いなこれな。
でもあれですね、こういうのが日本であんまり報道されてなかった。
いや報道どころか全然。
そうですね。英語の記事ぐらい僕もチラッと見かけた程度だったんであれなんですけど、
こういうのが出ると勘違いが進んでしまうときがあって、
こういうのがあるとだいたいトワーが破られたっていう見られ方をされることが多いけど、
そうじゃないですもんね。
あー確かにね。
トワーの仕組みそのものがっていうわけではないですもんねこれね。
中にはトワーの仕組みの脆弱性とかっていうケースが過去になかったわけではないが、
今回のはなんだろうねわかんないけど、
こういったトワーのリレーのサーバーとかをホストしている、
事業者レベル、インフラレベルで問題が発生して一斉にやられたんじゃないかっていうことを言ってるような人もいるらしいんだけど、
ただ各々たる証拠はないので、
ちょっとねそこら辺は原因はぜひ明らかにしてもらいたいところだけどね。
じゃないとね繰り返し起きてしまうからこういうことがまた。
そうですね。間に入るっていうのはなんかこうハードル低いように感じられるけど、
こうやって入ってこられたらもう気づきようがなかなかないっていうデメリットがあるなって思いましたね。
あまりこういうその例えばプロクシーとかVPNとかさ、
VPNもそうだよね同じようなものだと思うけども、
その通信を中継してそのセキュリティとかプライバシーを高めるっていう製品とかサービスとか他にもいっぱいあるけども、
あまりそういうその技術とかサービスを過信してはいけないなというのをちょっと改めて思いましたよね。
確かにな。安全のために使っているから、
よりこうこれ使っていればいいって思い込むとそれがあたとなって足救われそうな気はすると思いましたね。
そうなの。逆に働く可能性もあるんでね。
怖いな。皆さんどうなんですかね。皆さんTOA通してセキュリティのあれ聞いてるんですかね。
そうね。辻さんのサイトにアクセスをするときには身元を隠さなければみたいな。
何見られてるか分かれへんみたいな感じ。
そうそうそう。ありえるけどね。
面白い。面白いですけどね。それね。TOA。
それでこのEXITノードで悪さされて全然違うポッドキャストにリダイレクトされてたらそれはそれでちょっとおもろいな。
おもろいね。それはね。
それは別に無害やからね。まあまあまだいいかなと思うんですけど。
こういうこともあるっていうのを知っておいていただければなと思いました。
はい。ありがとうございます。
おすすめ：IROKAの柔軟剤
はい。ということで今日も3つのセキュリティのお話をしたので最後におすすめのあれなんですけれども、
今回は結構これ系は久しぶりちゃうかな。匂い系なんですけど。
ずいぶんと前にリセッシュとかいうのを紹介したと思うんですよ。
リセッシュなんか紹介したっけ?覚えてないけど。
リセッシュじゃなかったっけ?リセッシュプレミアムみたいな。
リセッシュじゃなくて。
なったっけ?
はいはい。あったあった。
ありましたよね。僕も今日も使ったけど普段使いすぎて名前覚えてないわ。
そういうの紹介したと思うんですけどね。
ありましたね。はい。
それのノリっちゃノリなんですけど柔軟剤ですね。
ほうほうほう。
色化っていう。アルファベットで色化。IROKAで色化っていう顔の柔軟剤なんですけども。
これも一応プレミアム柔軟剤って書いてるんですけど。
新しいの?これ。ちょっと知らないな。
そんなに新しくないですけどラインナップが結構いくつかあって。
この中の僕がめっちゃいいなと思って柔軟剤をこれに変えたという。
ネイキッドリリーっていう匂いのやつがあるんですけど。
どんな感じなの?
めっちゃええんですよ。
それじゃわからないから聞いてんだよ。
難しいね。匂いって表現むずくないですか?
難しいね。難しいけど。
ほんのり甘い感じの匂いというか。
一時期昔、世の中でダウニーが流行った時期があったんですよ。
ずいぶん前ね。その時に僕はダウニーがきつすぎたんですよね。
いい匂いなんですけど。
こっちはどっちかっていうと、いわゆる透明感がある匂いというか。
ちょっとすっきりした感じの匂いで。
これは買って詰め替え用も一緒に買ったぐらい。
めっちゃよく売ってて。
これ知ったきっかけ自体が、これもリセッシュみたいなやつと同じで。
タクシー乗った時にめっちゃいい匂いしたんですよ。
乗った時に、方向剤何使ってはるんですか?って聞いたら、
私何も使ってないですって言われて、
あれ?前に乗らはった人とかが結構香水とかつけてはる人でした?とかって。
いや、全然そうでもないですよって言われた。
何かすごいいい匂いするんですけどって言ったら、
多分それ僕です?って言われて。
多分僕の服ですね?って言われてね。
それが柔軟剤なんですか?ってなった時に。
香水つけてはるんですけど、香水はつける仕事じゃないはずだから、運転手の人って。
だから、香水ちゃいますよね?って言ったら、柔軟剤だと思いますって。
そんなにいい匂いが香るくらい残るんだな。いいやつだね。
最近の柔軟剤とかってそういうの多いみたいですけどね。
来た時に自分がすっきりする匂いがするみたいな。
汗をかいても汗臭くなったりせずに、逆にいい匂いがみたいなのも、
ちょいちょいいろんなメーカーから出てるのは知ってたんですけどね。
これは洗濯機の近くがめっちゃいい匂いになるんですよね。
いいかもね。
肌着とかね、着る時とかもすごいいい匂いがして、
出かける前にいい気分にもなれるっていうやつなんで、
別にこれじゃなくてもいいと思います。
最近、薬局とか行ったりとかすると、
市境みたいな感じでこんな感じの匂いですっていう風なものを置いたりする。
匂い玉みたいなの置いたりするじゃないですか、その匂いの。
そういうのでチェックしてみてもいいかなと思います。
柔軟剤っていうと昔から有名なやつがソフランとかレノアとかさ。
今もありますよね。
メジャーなブランド名ぐらいは聞いたこともあったけど、
この色かってやつは初めて聞きましたわ。
なんかね、結構何種類かあるんで。
取扱企業限定品とかスタンダードのは3種類なんですけど、
結構いろんなパターン出てるってことは結構人気なんちゃいますからね。
そうかもね。一回ちょっと使ってみようかな。
ちなみにリセッシュではなくてファブリーズプレミアム。
ファブリーズや。
清潔なランドリーの香りっていう。
思い出した清潔なランドリーの香りって言って、
清潔やないランドリーあんのんかっていう話したわ。
言ってた言ってた。
なんでわざわざ清潔って言わなあかんねんっていう話しました。
言ってたね。
思い出した思い出した。
良かったらちょっと試してみてもいいんじゃないかな。
ちょっと一回使ってみたいと思いました。
結構クセになる良い感じの匂いだと思います。
ということでまた次回のお楽しみです。バイバイ。
バイバーイ。
