2005年04月07日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet「安全だ」とマークした人は配布者なので、配布者を信用できれば安全だけれども、自分が作ったプログラムを「安全だ」って言い切るためには相当の慎重さと覚悟が要る。簡単に「安全だ」と言える人は、現実的なサイズのプログラムを書いたことが無いか、不正な引数を与えればプログラムはクラッシュしても当然と思っているか、世の中には良い人しかいないと信じているか、とても楽観的な性格を持っているか、人智を超えたプログラミング能力を備えているに違いない。最近、コード署名付きのJavaアプレットを開発した知人がいる。彼のプログラミング能力は私から見ると天才的だし、セキュリティに関する知識も相当のものだ。それでも、コード署名するコードを書くのには相当の気を使ったという。作り手が意識すればセキュリティが確保しやすいと言われるJavaにしてそうである。機会があったら、「スクリプトを実行しても安全だとマークされているActiveXコントロール」を書くのには、どれ位の気を使うか聞いてみたいと思っている。「スクリプトを実行しても安全だとマークされているActiveXコントロール」は、悪意のあるパラメータを渡されても、「安全」でないといけない。これを保証するのは大変だ。クラッシュすることも許されない。攻撃者が意図した時に、しかも好きなパラメータを与えて起動することができるという点が、スタンドアロンにインストールされるアプリケーションとの決定的な違いだ。いう点で、ActiveXコントロールを受け入れるのは、普通にアプリケーションをインストールするよりも遙かに慎重である必要がある。「安全だ」とマークした配布者が信用できるかどうかを利用者が見極めるのは残念ながら難しいだろう。迷ったらインストールすべきでない。マイクロソフトもそう言ってる。コード署名には改竄防止という役割があるけれども、そもそも署名した人が署名の意味を分かっていなければ改竄以前の問題だ。正当に配布されたものに問題がある場合は救いようがない。安全じゃないものに署名しても安全にはならない。Tweetとある銀行は日本認証サービスの証明書を使っているが、普段使いのFireFoxには日本認証サービスのルート証明書が組み込まれていない。毎回、本物かどうか分からない証明書を受け入れていては、証明書の意味が無くなるので、ルート証明書を組み込むことにした。認証局としての日本認証サービスが信用できるかどうかだが、これは信用できると考えた。次に、運用ルールが納得のいくものかどうか。まとめられているので、確認する。私は受け入れられると判断した。いうことで、認証局のルート証明書を信頼できる方法で入手する方法を考えれば良い。ルート証明書があるが、これをFireFoxでダウンロードしてそのまま信用して組み込むわけにはいかない。このページの真正性を確認するために使った証明書は、未証明の証明書だからだ。このページに書いてある通り、フィンガープリントを確認しても安心できない。このページの内容も偽物の鍵に合う様に改竄されている可能性があるからだ。オレオレ証明書と同じ様な堂々巡りに陥りそうだが、幸いなことにIEにはこのルート証明書は組み込まれている。いうことで、IEの証明書マネージャーでフィンガープリントを表示させて、確認することにした。80桁の16進数を三つ照合して、無事に組み込み完了。「日本企業初!!フィッシング詐欺対策機能を持ったツールを導入」していた様だ。東京スター銀行のホームページをご利用いただいているお客さまに対して、安全・安心をご提供できるツールであり、これにより、アクセス中の個人情報保護のさらなる強化を図ります。東京スター銀行が日本で初めてとなります。正規の東京スター銀行のサイトかどうか、簡単に判別することができます。フィッシング詐欺は企業側の努力だけで防げるものではありません。この画期的なツールを無償提供することで、広くお客さまにご活用いただき、共闘してフィッシング詐欺に対策できることを目的としております。東京スター銀行はこれからも、お客さまに安全・安心をご提供すべく、努めてまいります。2005年3月23日[http://www.tokyostarbank.co.jp/profile/pdf/050323.pdf]ということの様だ。PCでうまく動かないで苦労していたけれども、色々やってみて「バーチャルマシン追加機能」をインストールしなければ、動作することが分かった。ここでは、UFJカードから起動しているけれども、関係ないページを開くと警告が表示されている。届いた時はどうすれば良いかが書いてある。Netizen」を起動する。メールに書かれているURLをそのままクリックすると、何にもならないから気を付けないといけない。別のブラウザウィンドウを立ち上げ、メールに記載されているURLをクリックしてそのサイトを開きます。このときに、『東京スター銀行とは関連のないホームページにアクセスしました。』というメッセージダイアログが表示されたら、そのサイトはフィッシングサイトである可能性があります。2005年3月23日[http://www.tokyostarbank.co.jp/profile/pdf/050323.pdf]という使い方をする様だ。フィッシング詐欺サイトにアクセスしてみる:ということで、仮設のフィッシング詐欺サイトの様なものを作って試してみた。日本初の画期的な機能が動作する瞬間である。「日本初の画期的な機能」が動作する瞬間:どうもうまく動いていないようだ。キャッシュにある内容にアクセスしているために、実際のアクセスが発生していない可能性を考えて、Etherealで監視してみたけれども、通信は発生しているにも関わらず、警告が表示されない。これは一体どういうことだろうか。JavaScriptを使っているのがいけないのかも知れない。仕様かも知れないが、危険なので直した方が良い。PCという特殊な環境で使っているのが原因なのかも知れないが、とても心配だ。結局、アドレスバーと証明書を確認することに尽きる:もちろん、上記のログイン画面ではアドレスバーも表示されていないし、ステータスバーも隠されているので、証明書を確認する方法もない。こんなログイン画面が表示されたら、偽物と思えば間違いない。東京スター銀行の本物のログイン画面:ここで問題だ。この画面は本物のログイン画面だろうか。いう理由で本物あるいは偽物だと判断しただろうか。確認をしていたのだが、不思議なリクエストを見つけた。「www06.tracer.jp」というサイトへのアクセスをしている様だ。https://www06.tracer.jp/VL/Trace?c=107&p=IB0000&tp=1"></SCRIPT>によるものらしい。オンラインバンキングのページにアクセスする時に、外部の会社のロボットに追跡されるのは不安だ。この点についても安心できるのだろうか。当行は、お客さまへよりよいサービス提供のためにクッキー(cookie)を使用することがあります。この中にお客さまのお名前や連絡先などのプライバシーに関する情報を記録することはありません。PC(端末)内に一定のファイルを格納することにより、次回、お客さまがAサイトにアクセスされた際にAサイト・ウェブサーバー側で前回と今回のアクセス者が同一人であることを容易に識別できる技術です。当行のサイトが設定するクッキーは、当行のサイトでしか読むことはできず、また、同クッキーには、電話番号、電子メールあるいは郵便などによって第三者がお客さまに連絡できるような情報は含まれておりません。お客さまは、お客さまのPCに保存されているクッキーをいつでも削除することができ、また、ブラウザの設定を変更することでクッキーがセットされないようにすることができます。2005年4月7日現在[http://www.tokyostarbank.co.jp/privacy/statement.asp]と書いてある。確かに「当行のサイトが設定するクッキーは、当行のサイトでしか読むことはでき」ないかも知れないが、第三者が自由にJavaScriptを埋め込める様にした上で、他のサイトからもTRACERを通じて同じクッキーを追跡可能になる様な仕掛けを作り込んでいる訳で、本質的にサードパーティクッキーと同じプライバシー問題を含んでいる。セキュリティが高度に要求されるオンラインバンキングの、しかもログイン画面でこういうことをするのは、「アクセス中の個人情報保護のさらなる強化を図ります。」という姿勢としてどうか。「フィッシング詐欺は企業側の努力だけで防げるものではありません。」と言って、利用者に安全かどうか保証できないActiveXを組み込ませる前に、企業側がなすべき努力があるのではなかろうか。PCという特殊な環境で使っているのが原因である可能性があるため、通常の環境下でどの様な動作をするのかを確認することが今後の課題である。節では、利用者が本物サイトと偽物サイトをどの様にして判断するかについて考察した。ついて確認を行い、その危険性について考察した。以上の様に、「日本企業初!!フィッシング詐欺対策機能を持ったツールを導入」した東京スターバンク銀行はフィッシング詐欺に関連する豊富な事例を提供しており、フィッシング詐欺対策を考える上で格好の教材であると考えられる。関連リンク:この記事関連の記事行きと、この記事に関連する記事のためにリンク設置場所を確保しておく。記事は、「少し危なげな雰囲気も感じられる」ことや、トロイの木馬となりうるActiveXをインストールさせられる危険性、まず基本的な対策を行うべきだという指摘をしている。記事は、「操作手順がちょっと心配だ」としながらも、「面白いサービスで、いいアイデア」だとしている。プレスリリースを信用するとこういう評価になるだろう。一般の利用者は「これで安全」と思うかも知れない。記事は、「多くのフィッシングは、そもそも本物サイトには行かずに偽サイトのみで完結する」という問題と、バージョンアップと偽ってスパイウェアをダウンロードさせられる可能性に対する懸念を表明している。記事では、既にインストール済みのセキュリティ対策ソフトとのバッティングの心配をしている。記事は、nProtectサポートセンターとのやり取りを掲載するとともに、この製品関連に関連する報道の問題を指摘している。記事も東京スター銀行のログイン画面について取り上げている。「韓国企業と共同開発」が公式に報道されたのは、この記事で初めて見ました。記事によると、オンラインゲームの世界では随分前から有名だった様で、「ハードディスク内を漁る」議論や、ブラウザがクラッシュした現象などを取り上げています。本日記中の関連すると思われる記事は以下の通り。「セキュリティのため」ActiveXコントロールの導入を勧めるUFJカード[http://www.nantoka.com/~kei/diary/?200504a&to=200504041#T200504041]nProtect:Netizen導入サイト[http://www.nantoka.com/~kei/diary/?200504a&to=200504042#T200504042]メールに書かれたページにアクセスする前に、まずトップページにアクセスしてください。分かっているんだったらアクセスしなきゃ良いのだけど。FireFoxだとポップアップブロックが作動するから、偽のログイン画面は表示されない。ロボットとして、任意のJavaScriptを走らせることができるのだから。銀行やカード会社が提供2005-04-10「セキュリティ商社の餌食になる思考停止事業者を自衛のため見分けよ」2005-04-09続・「セキュリティのため」のActiveX2005-04-06続・「セキュリティのため」ActiveXコントロールの導入を勧めるUFJカード2005-04-05「セキュリティのため」ActiveXコントロールの導入を勧めるUFJカード2005-04-04予定2005-04-08フィッシングの主流がパソコンを盗聴器に変えるトロイの木馬の送り込みへ2005-04-08nProtect:Netizen導入サイト2005-04-04ネットワークのトラブル2005-01-07夜間金庫前に偽金庫設置、投入した133万円盗まれる2004-06-28メールに書かれたページにアクセスする前に、まずトップページにアクセスしてください。Tweetキーロガー(keylogger)と言われるソフトがある。元々は、デバッグ時にキー操作を記録しておいて、問題が起きた時に再現を助ける用途に良く使われた。私自身も非常に昔の話だけれども、PC98の時代に、記録と再現を行うプログラムを書いた覚えがある。メッセージフックの教材としても非常に分かりやすいので、良く取り上げられるプログラムである。キーロガーが仕掛けられたパソコンで入力したIDやパスワードは全て記録されてしまうため、この情報を使って、インターネットバンキングで他人のお金を振り込んでしまうわけだ。それどころか、最近ではネットワーク経由でパソコンに入り込んで、知らない内に情報を盗み出し、しかも盗んだ情報をネットワーク経由で送り出すというものまで作られている。知らない内に自分のパソコンが盗聴器になっているわけだ。Studioに付属してくる「Spy++」というものがある。Windows上で発生する様々なイベントを収集して分析できるソフトウェアで、ウインドウやプロセスを指定して、特定のメッセージを収集、記録してくれるものだ。このソフトを使って、キーボード関係のイベントを全て記録してみることにした。本物のキーロガーの仕組みがどうなっているかは分からないけれども、このソフトができることは全てできるはずだ。fUp:0の様に表示される。ここではイベントとして見やすい様に表示しているが、キーロガーとして作る時には、例えば入力タイミングの再現が必要だったら時刻情報を付加したり、逆に無駄な情報を省いて記録したりするだろう。キーロガーを無効化するソフト:という訳で、キーロガーを無効化するソフトが登場してきている。色々な仕掛けのものがある様だけど、たまたま調べたソフトは解析をしてはいけないソフトだったので、調べていない。別のキャラクタでキーイベントが発生している様に見える。キーロガーを妨害するためだろう。入力がエコーバックされる時には、本来の文字でイベントが発生する。パスワードフィールドへの入力の際は、本来の文字でのイベントは発生しない。日本語FEPが有効で「半角入力」になっていたりすると、本来の文字でのイベントが発生する。そのソフト自体を解析していないので、実際のところは分からないけれども、想像するに、この対策ソフトがターゲットとしたキーロガーは2や4のイベントを無視するものだったか、日本語FEPの存在を想定していなかったのかも知れない。日本語FEPの実装に依存するのかも知れない。世の中のキーロガーはここで試した様な作りになっていないのかも知れない。本当のところは分からない。解析したわけではないので。キーロガー対策ソフトを有効に活用するために:ということで、キーロガー対策ソフトを有効に活用するためには、パスワード等の秘密情報は入力した文字がそのまま表示される入力ボックスに入力しない。ダミーの文字列を入力して確認する。表示されないと確認できないからと言って、メモ帳などで試し書きをしてはいけない。日本語FEPが無効になっていることを確認する。そもそもキーロガーが存在する可能性のある端末で秘密情報を入力してはいけない:もちろん、上で調べたキーロガー対策ソフトがたまたまそういう問題を持っていただけなのかも知れないが、確実に安心できるキーロガー対策ソフトというのは原理上作成が困難だと思われる。キーボードの物理的なデバイスドライバに割り込むソフトを作るのは不可能ではないが、これに対応するソフトを作成するのは困難を極める筈だ。そもそも、キーボードから入力した文字をあるプログラムに伝えないといけないという制約がある以上、キーロガー対キーロガー対策ソフトの対決は、キーロガー側がはるかに有利なのだ。通常、自分が使う端末は信用できるものでないといけない。信用できないプログラムを導入した瞬間に大事な情報は扱えなくなるし、一度信用できなくなった環境は、最初から構築し直さないと元に戻すことはできない。PCがいくらあっても足りない。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。