セミナー・イベント情報セミナー・イベント情報お役立ち情報ビジネステンプレート用語解説ビジネステンプレートIT部門や企画部門の方にとって便利な、さまざまなテンプレート(様式)をご用意しました。Bizコンパスに会員登録(無料)いただくと、いくつでも自由にダウンロードできます。耳にしたことはあるけれど、よく分からない......そんな言葉をピックアップ。重要な用語には、A4一枚で説明できるワンペーパーダウンロードもご用意しました。ITニュースのお供に、上司へのとっさの説明に、ぜひご利用ください。Utilityに、マルウェアが組み込まれ、ユーザーに公式配布されるというインシデントが発生していた。パッケージは、ASUSにより正式な電子署名がされていたため、正規バージョンとして扱うしかなく、結果、多数のASUSノートパソコンにインストールされた。その感染数は50万台から100万台と見積もられている。ユーザーからみれば、ベンダーが提供する正規のソフトウェアやデータであるがゆえに、防御するのは極めて難しい......いや、正直にいえば防御はできない。これは、製品がユーザーの手に届くまでの過程を狙った「サプライチェーン攻撃」の一種としてみなして良いだろう。ベンダーが提供する正規のソフトウェアやデータが、製造工程段階もしくは流通段階でマルウェアに汚染され、その汚染されたソフトウェアが,正規のソフトウェアとして、ユーザーのシステムで利用されてしまっているのだ。Utilityのケースから、ユーザー側にとっては“悪夢”ともいえる、サプライチェーン攻撃の恐ろしさを紹介する。アップデートしてもしなくても、ユーザーはマルウェアを防げないASUSは、ノートパソコン市場ではトップの一角を占める有力なベンダーである。すると“日本では存在感が薄い”と考える人もいるかもしれないが、同社日本語サイトトップのHTMLのmetaタグには「ASUS(エイスース)は、世界第1位のマザーボードとコンシューマー市場で出荷台数世界第2位のノートパソコンをはじめ、ビデオカードなどのパソコン向け高性能パーツ、デジタルインターネットデバイスなどの開発販売を行っている総合エレクトロニクスメーカーです」とある。Utilityは、ASUSのノートパソコンに付属している独自のユーティリティで、ASUSが提供するドライバ、ファームウェア、あるいはアプリケーションなどを最新版にアップデートする。Updateと併用して利用しセキュリティを保つためのユーティリティであると、同社のサイトでは説明している。Utilityにより最新版にアップデートされる。Utilityのアップデートバージョンにマルウェアが埋め込まれた。ソフトウェアの開発過程でソースコードが改ざんされたのか、それとも配布パッケージを作成する際に感染したのかといった詳細な情報は公開されていないが、いずれにしても社内の作業プロセスの段階で改ざんされマルウェアが埋め込まれた。そのマルウェアが入ったアップデートパッケージがASUSによる電子署名が施され、公式チャネルから配布された。配布パッケージはASUSの正規の電子署名をつけられていた。ASUSの正規の電子署名がつけられているということは、ユーザーのシステムからみたら中身が何であろうとASUSの公式に配布しているものだ。UtilityはASUSのノートパソコンを購入したら最初から入っているもので、しかも自動的にアップデートがかかってしまうのである。(鈴木裕信)80年代よりUNIXやネットワークのエキスパートとして活躍し90年代よりコンピュータセキュリティに携わる。現在は業務アプリケーションにSELinuxを適用し安全性を高める研究に従事。