LulzSecの50日間の軌跡 (Part 1)
散々世間を騒がせてきた LulzSec。活動を開始して 50日目となる 6/26に活動終了を宣言した。*1
We are Lulz Security, and this is our final release, as today marks something meaningful to us. 50 days ago, we set sail with our humble ship on an uneasy and brutal ocean: the Internet. The hate machine, the love machine, the machine powered by many machines. We are all part of it, helping it grow, and helping it grow on us.
はたしてこれは彼らの言う通り予定された行動だったのか、追い詰められた末の苦渋の選択だったのか。真相はまだわからないが、彼らの 50日間の活動が与えた影響は決して小さくはない。謎解きは一旦あとまわしにして、ここではその活動の軌跡を追ってみたい。
(注) 書き始めたらいろいろ脇道にそれて長くなりそうなので、3回くらいに分けることにしました。今回は (Part 1) です。
すべてはここから始まった
彼らは最初から Twitterをうまく活用した。LulzSecの Twitter担当者(Topiaryだと言われている)の才能によるところが大きいだろう。活動終了時点でなんと約28万人ものフォロワーを集めている。2ヶ月足らずでこの数字は驚異的だ。*2
その記念すべき(?)最初の Tweetがコレ(5/7)。最初のターゲットは Fox.comだった。
そして最初のリリースは Foxのオーディション番組 X Factorの応募者情報だった。すでにその数日前から不正侵入の件はニュースになっていたので、LulzSecは事後に犯行声明を出した形になった。
なぜこれが最初のターゲットに選ばれたのかはわからない。ただこの番組はアメリカではとても有名で、情報漏洩はメディアに大きく取り上げられた。また応募者の中に未成年者がかなり含まれていたこともあって関心は高かった。世間の注目を浴びるという点では成功したといっていいだろう。*3 *4
続いて彼らは Fox.comの内部情報もリークした(5/10)。これには、400人近いユーザのメールアドレスとパスワード(クラック済み)が含まれていた。さらに彼らは、入手したメールアドレスとパスワードを利用して LinkedInにアクセス。同じパスワードを使い回していた10人以上のユーザのアカウントにログインしてデータを改ざんした。
それまで特に活動の実績がなかった LulzSecは、この Foxへの侵入事件で突如として表舞台に姿を現した。しかしこの時点では彼らの正体は全く不明だった*5。
またこの頃は「我々は政治的な動機は持っていない。単に "for the lulz" でやっているだけだ。」と主張していた*6。あとになって考えてみれば、これは本音を隠すための建前だったのか。あるいは途中で路線変更を余儀なくされたのか。
Sonyが狙われた…
彼らが次に目をつけたのは PSNとSOEからあわせて1億件近い情報漏洩を起こし、騒動の渦中にいた Sonyである。ちょうどこの頃、PSNが欧米で再開されたものの、すぐにパスワードリセット処理の問題が発覚。その後、Sony関連サイトで次から次へと問題が見つかり、祭の様相を呈していた時期である。
LulzSecもそこに目をつけたのか、まずは sonymusic.co.jpで SQL Injectionを発見し、その事実を公表した(5/23)。ただしこの時は特に個人情報などの漏洩はなかった。しかしその数日後、別のオペレーションを遂行中であることを明らかにしている。
@LulzSec was here you sexy bastards!
This isn't a 1337 h4x0r, we just want to embarrass Sony some more. Can this be hack number 8? 7 and a half?!
Stupid Sony, so very stupid:
PBS許すまじ！
「Sonyは明日だ、今日は別のがある」という Tweetとともに始まったのが、PBS (Public Broadcasting Service)への攻撃だ(5/30)。
彼らはまず http://www.pbs.org/lulz/ を Nyan Catの画像に改ざん。画像には "All your base are belong to LulzSec"という文字が *7。
さらに 1996年に亡くなったアメリカのラッパー Tupacがニュージーランドで生存している、という偽の記事を PBSのWebサイトに掲載した。記事のアーカイブはココで見られる。
そして最後の止めに、PBSの内部情報を大量にリーク。プレスルームやスタッフのDBに含まれるユーザ情報などを公開した。
なお LulzSec自身が PBS.orgにどのように侵入したかを解説している。
- PBS.org was owned via a 0day we discovered in mt4 aka MoveableType 4.
- Once on the boxES, we uploaded php shell.
- Once we got access to php shell, we rooted the ancient pbs.org boxes AKA 2.4.21 kernels and 2.6.18 fro 2008.
- We rooted the boxes. We did not destroy the boxes or content. No rm's. We did not take over the homepage of pbs.org although we could have. You know what you call that? class.
ここで彼らの言っている MovableTypeの 0day脆弱性は、後日 Six Apartも認めて修正されている。LulzSecが自分達でこの脆弱性を見つけたのか、他から提供されたものかは不明だ。
さてそもそも LulzSecはなぜ PBSをターゲットにしたのか。実は前週の 5/24に PBS Frontlineによるドキュメンタリー "WikiSecrets"において、WikiLeaksの Julian Assangeへのインタビューが放映されている。(インタビュー内容は Webでも見られる。)
これに対して WikiLeaksは「報道内容は不正確であり WikiLeaksに対して誤解を与える」として強く反発。インタビューの全ての記録を自分達で公開している。LulzSecも声明の中で「WikiSecretsを見たがイマイチだった」と述べており、どうやらこれが原因のようだ。このあたり、WikiLeaksを公然と支援している Anonymousとの類似性が伺える。
ここまでの初期のリリースでは、彼ら自身の Webサイトがまだなかったため、Twitterで告知して Pastebin/Pirate Bay/Mediafireにデータをアップロードするという方法が用いられていた。
2600.net とのいざこざ
LulzSecの活動が世間を賑わせるようになるとともに、その活動に対抗する動きもではじめた。なかでも The Jester (th3j35t3r) はその筆頭である。The Jesterは反WikiLeaksや反イスラムなどを掲げる活動家 (hacktivist) で、WikiLeaksを支援する立場の Anonymousとは元々敵対関係にある。LulzSecも The Jesterとそのフォロワー達と敵対し、彼らが利用している 2600.netを攻撃ターゲットにした。5/31から6/1にかけて、irc.2600.netに対して DDoS攻撃を行ったりしている。(The Jesterはその後、LulzSecの正体を追求する活動に参加。後述。)
この数日後にこの時期(5/31-6/4)の IRCログが内部のメンバーによってリークされている。そのログにも 2600.netへの DDoSの様子が記録されている。(後述)
Sony + Ownage = Sownage
Sonyに対して別のオペレーションを実行中との事前予告があったが、その数日後にリリースが行われた(6/2)。対象になったのは、Sony Pictures, Sony BMG Belgium, Sony BMG Netherlandsの3つ。SQL Injectionにより情報を不正に入手したようだ。なかでも Sony Picturesからは100万件近い大量の個人情報が流出したとされた。しかし Sony Picturesが後に確認したところ、影響があったのは約37,500人だということだ。どうも LulzSecは約100万のレコードにアクセスできたものの全てを取得したわけではないらしい。
また彼らはこのタイミングにあわせて、自分達の独自ドメインのサイト lulzsecurity.comを立ち上げた。Whois情報によると、このドメインは 6/1にバハマのレジストラ internet.bsで登録されたものであり、IPアドレスからは Cloud Flareのサービスを利用していることがわかった。Cloud Flareはホスティングサービスではないので、コンテンツはどこか別のサーバ上にある。そのためこれ以降、LulzSecに敵対する勢力は実際のサーバの IPアドレスを探索することに必死になった。*8
FBIも怖くない！？
LulzSecはかなり前から #FuckFBIFriday などのハッシュタグでつぶやいており、FBIを敵対視していることをうかがわせた。そして Sownageに続いてFBI関連情報をリリースした(6/3)。ターゲットになったのは Infragardのアトランタ支部。Wikipediaによると、Infragardは FBIとアメリカの民間企業が協力して運営する非営利団体で、情報の共有や分析などを行っている。LulzSecはそのサーバに侵入してデータを不正に入手、約700MBのデータを BitTorrentで放出した。
しかし中身をよく見てみると、実際に Infragardから流出したのは約170人分のユーザIDとパスワードだけ。それ以外は実は UnveillanceというBotnetの研究などを行っている企業の社内メール約1,000通だった。LulzSecはこの会社のオーナーが自分の会社と Infragardで同じパスワードを使い回していることを見つけ、途中からこの会社にターゲットを切り替えたようだ。このユーザになりすましてメールデータを全て取得したのち、IRCでユーザに接触。そのときの IRCログもあわせて公開している。LulzSecによると、このユーザは侵入の件について黙っていてほしい、自分の敵を攻撃するのに協力してくれれば報酬を払う、と懐柔をはかろうとしたらしい。
ところが Unverillance側は真っ向からこれに反論。プレスリリースの中で、LulzSec側が金銭を要求したと主張した。これには LulzSecも黙っておらず、再び主張を繰り返した。
真相は当事者にしかわからない。しかし流出したメールから、Unveillanceはリビアへのサイバー攻撃に関与した疑いがもたれている。また同じアトランタに拠点のある Endgame Systemsの名前もメールにでてくる。Endgame Systemsは元ISSや元CIAのメンバーが 2010年に立ち上げた謎の多い会社で、HBGary事件の際にメールのやりとりに登場したことで注目された会社である。(このあたりの事情については Barrett Brownの OpMetalGearがまとめている。コチラを参照。)
どちらも特殊な事情を抱えた会社のようだ。
(Part 2)へと続く…のかな?
*1:日本のメディアはほとんど「ラルズセック」と呼んでいるが、元々の呼び方になるべく忠実に「ローズセック」と呼ぶのが通である。または「爆笑セキュリティ」でも可。
*2:6月にはいった時点ではフォロワーはまだ 7,000程度だったので、実質的には1ヶ月もない。その後のリリースで急速に増えたことになる。
*3:Hacker Group Raids Fox.com, Targets FBI
*4:約73,000人の個人情報が流出し、未成年者が1万人以上含まれていた。ただし COPPAにより、13才未満は含まれていない。
*5:ただしこの頃から Anonymousに声をかけたりしている。さらに LulzSecに対して Kaylaと呼びかける Tweetに反応したりもしている。Kaylaは HBGary侵入事件に関わったとされる Anonymousで、LulzSecメンバーと考えられている。
*6:https://twitter.com/#!/LulzSec/status/68061814814031872
*7:これは "All your base are belong to us" という有名なミームをもじったもの
SecurIDの安全性は本当に大丈夫なのか?
(2011/06/07 更新) RSAが今回の件について公式に発表をしました。ロッキードへの不正侵入の原因になったことを認め、顧客に対して SecurIDの交換などに応じる提案をしています。
この週末、アメリカで起きたロッキード・マーチン(Lockheed Martin)のネットワークに対する不正侵入が話題になっている。ロッキード・マーチンといえば、アメリカを代表する企業の一つであり、F22や F35などの最新鋭機を開発していることでも有名である。
そのロッキードで先週末にネットワークに対するリモートからの不正侵入が起きた。この件を最初に伝えたのは Robert X. Cringely氏*1。5/25のブログで、ある国防関連企業の話として、ネットワークで問題が起きたこと、ユーザーによるリモートアクセスを停止したこと、全てのユーザーのパスワードをリセットしたこと、SecurIDを数週間のうちに全て新しいものに交換すること、などの内容が書かれていた。この時点ではロッキードの名前は伏せてあったのだが、翌日になるとロイターがロッキードのことだとして報道した。また他の国防関連企業でも同様の被害が起きていると伝えた。その後、複数のメディアがこれに続き、5/28になるとロッキードも事実として認めるコメントをだした。この件の調査には、DoDとDHSも協力しているようだ。ロイターはその後も更新情報を伝えている。(最新の記事はこちら)
さて国防に関わる企業への侵入だからアメリカにとってはこれだけでも大事だが、問題はもう一つある。ロッキードが対応策の一つとして SecurIDを再配布するとの情報だ*2。なりすましによる不正アクセスを受けたのだとすると、SecurIDを紛失して悪用されたことが考えられる。しかしその場合には該当する SecurIDを無効にすればよい。では利用している SecurIDを全て新しくするのは一体どういうわけだろうか?
ここで関係してくるのが、3月に起きた RSAへの不正侵入事件である。3/17に RSAが顧客へのレターで伝えたところによると、侵入者は SecurIDに関係する情報を不正に入手したという。この時点ではどういう情報が流出したのか詳しい説明はなく、顧客に対してセキュリティ強化を促す注意喚起をしただけだった。しかしセキュリティ研究者の中には、SecurIDのトークンコードを計算するアルゴリズム、計算の元になるシード、シリアルナンバー、顧客リストなどの重要な情報が全て流出した可能性があるのではないか、という指摘がされていた。(RSA侵入事件の影響については、SANSと SecureWorksの解説が詳しい。)
ここで問題を理解するために、SecurIDの認証の仕組みを復習しよう。(といっても、私もすっかり忘れていたので、今回慌てて調べ直した。)
SecurIDにはいくつか種類があるが*3、ハードウェアタイプのものは例えばこんな感じ。
6桁の数字を表示する小さなディスプレイがついていて、この数字は一定間隔(30秒または60秒)ごとに自動的に更新される。この数字(トークンコード)とユーザーが自分で決めた4桁から8桁の PIN (Personal Identification Number)をあわせて、ワンタイムパスワードが生成される。ハードウェアトークンという物理的なデバイスと(ソフトウェアの場合もあるわけだが…)、PINの2つがなければならないので二要素認証と呼ばれる。また、生成されたパスワードは一回限りのものなので、仮に通信経路上で盗聴されても再利用はできない*4。過去15年間に一度もセキュリティ侵害が起きていないという RSA社自慢の認証システムである。
トークンコードは RSAの工場出荷時に設定されるシードとシリアルナンバー、そして時刻情報から、あるアルゴリズムを用いて算出される。同じ情報を認証サーバー側でも保持しているので認証が可能となる(もちろん時刻の同期は必要)。アルゴリズムは一般に公開されてはいないが、古くから SecurIDをエミュレートするプログラムが公開されており、既知と言ってよい*5。しかしいくらアルゴリズムがわかっても、鍵となる情報(この場合はシードとシリアルナンバー)がわからなければどうしようもない。
もう一つ、実際にログインする時にはユーザーIDが必要となる。したがってどのユーザーがどのシリアルナンバーの SecurIDを使っているのかというマッピングが必要になる。これは認証サーバーが保持している情報である。
以上をまとめると、攻撃者が SecurIDによる認証を突破するには、以下の情報が必要になる。
そしてハードウェアトークンなどを持たずにトークンコードを算出するには、以下の情報が必要になる。
ということで、かなりハードルが高い。と、これまでは思われていた。
ここで話は3月のRSA侵入事件に戻る。RSAは認めていないが、最悪のケースとして顧客が利用している SecurIDのシードとシリアルナンバーがもし全て流出していたらどうなるか。この場合、攻撃者は任意の SecurIDのトークンコードを算出できる。しかしこれだけではダメだ。トークンコードを利用して実際に不正ログインをするのであれば、ユーザーID、PIN、そしてそのユーザーが使っているシリアルナンバーが必要になる。
そしてようやく今回のロッキードの話に戻るわけだ。SecurIDを全て再発行するということは、SecurIDの安全性に何らかの問題が生じた可能性がある。認証サーバーからシードやシリアルナンバー情報が漏れたのだろうか? しかしロッキードは今回の件について、早期に検知に成功したため、特に漏洩した情報はなかったと言っている*6。ではなぜ?
ロッキードは事件の詳細について、これ以上何も公表していないので、ここからは推測。そして各メディアの報道も似たような推測をしている。
攻撃者は RSAから不正に入手した SecurIDに関する情報を利用したのではないか*7。侵入に必要となるユーザーIDと PINは別の方法で(たとえばキーロガーなどで)入手したのではないか。シリアルナンバーとのマッチングは難しいが、ある時点のトークンコードを取得してそこから逆に探したのではないか。あるいは単にブルートフォースしたのか、もっと簡単な方法で入手できたのか。
もしこれらの推測が正しければ、他のSecurIDを利用している企業、組織への影響も大きい。ただ、もともと 3月の RSAへの侵入の際にも、RSAはあくまでも中間ターゲットであり、SecurIDに関する情報が欲しかったのではないか、最終ターゲットは別にあるのではないかと言われていた。今回の攻撃者が RSA侵入の攻撃者と同じなのであれば、この推測は正しかったことになる。そしてもしそうなら、フツーの一般企業が狙われることはおそらくないだろう。
さて真相はいかに??
(2011/05/31 補足)
ややわかりにくかったかもしれないので補足。上記の内容は Cringley氏のブログと Reutersの記事の元になっている内部からのリーク情報が「正しい」という前提で書いている。しかし当事者である Lockheedも RSAも侵入の原因について公式には何もコメントしておらず、SecurIDには全く言及していない。すべては内部リーク情報にもとづく不確かな推測にすぎない。したがって他の SecurIDユーザーが今すぐに危険にさらされるという状況ではない。もし何か影響があるのであれば、RSAから公式にアナウンスがあるはず。続報を待とう。
(2011/06/02 追記)
Wiredと Fox Newsがそれぞれ L-3 Communicationsと Northrop Grummanも攻撃されていたかもしれないという記事を書いている。いずれも内部からのリーク情報にもとづいているようだが、両社とも公式にはコメントしておらず、真偽は不明である。
Second Defense Contractor L-3 'Actively Targeted' With RSA SecurID Hacks | WIRED
EXCLUSIVE: Northrop Grumman May Have Been Hit by Cyberattack, Source Says | Fox News
(2011/06/04 追記)
Lockheedへの不正侵入の原因について、RSAから流出した情報が悪用されたことはほぼ間違いない、と Lockheedは結論づけたようだ。以下、NYTImesの記事から一部引用。
Lockheed Martin said Friday that it had proof that hackers breached its network two weeks ago partly by using data stolen from a vendor that supplies coded security tokens to tens of millions of computer users.
In response to questions on Friday, Lockheed said in an e-mail that its computer experts had concluded that the breach at RSA in March was “a direct contributing factor” in the attack on its network. Government and industry officials said the hackers had used some of the RSA data and other techniques to piece together the coded password of a Lockheed contractor who had access to Lockheed’s system.
(2011/06/07 追記)
RSAから公式発表がでた。ロッキードへの不正侵入に RSAから不正に持ち出された SecurID関連情報が悪用されたことを認める内容。
Open Letter to RSA SecurID Customers
Against this backdrop of increasingly frequent attacks, on Thursday, June 2, 2011, we were able to confirm that information taken from RSA in March had been used as an element of an attempted broader attack on Lockheed Martin, a major U.S. government defense contractor. Lockheed Martin has stated that this attack was thwarted.
また顧客に対して SecurIDの交換などの対応策を提供するようだ。
As a result, we are expanding our security remediation program to reinforce customers' trust in RSA SecurID tokens and in their overall security posture. This program will continue to include the best practices we first detailed to customers in March, and will further expand two offers we feel will help assure our customers' confidence:
- An offer to replace SecurID tokens for customers with concentrated user bases typically focused on protecting intellectual property and corporate networks.
- An offer to implement risk-based authentication strategies for consumer-focused customers with a large, dispersed user base, typically focused on protecting web-based financial transactions.
We will continue to work with all customers to assess their unique risk profiles and user populations and help them understand which options may be most effective and least disruptive to their business and their users.
ひとつのヤマ場を迎えたという感じ…
(2011/06/08 追記)
EMC Japanからのアナウンスはこちら。
今回「Open Letter to RSA SecurID Customers」の文中で公表させていただいた交換プログラムは、すべてのRSA SecurIDを全数交換するということではありません。後述で示されますように一部ご懸念されているお客様に対応するために、交換プログラムを用意させていただいたということが事実です。
だそうです。
先週の気になるセキュリティニュース (5/15-5/21)
先週はおもしろいネタがあったのに、ここに書くのをすっかり忘れていた。
2011/05/21
ドイツ海賊党(Pirate Party)のサーバが独当局によって押収されるという事件が発生。仏当局からの要請に基づくもので、理由は EDFへの Anonymousによる攻撃(#OperationGreenRights)において、PiratenPad.deが利用されたことにあるらしい*1。
タイミング悪く、ブレーメン州選挙の2日前だったことから、海賊党はかなり抗議したようだ。ドイツではかなり話題になった事件とのこと。
http://www.piratenpartei.de/Pressemitteilung/polizei-beschlagnahmt-server-der-piratenpartei-deutschland-deutschenglishfrancaise
http://torrentfreak.com/pirate-party-servers-raided-by-german-police-110520/
http://peer2peer.blog79.fc2.com/blog-entry-1809.html
http://arstechnica.com/tech-policy/news/2011/05/german-police-seize-pirate-party-servers-looking-at-anons-toolkit.ars
http://etherpad.org/2011/05/20/german-police-raid-etherpad-deployment/
http://ppi.piratenpad.de/Servergate
https://twitter.com/#!/piratenpartei
2011/05/17
AusCERT2011というカンファレンスがオーストラリアのゴールドコーストで 5/15-5/20に開催された。それにあわせて開かれた Bsides Australiaというイベントが 5/15にあり、Christian Heinrichという研究者が MySpaceと Facebookの写真のプライバシー設定の問題について発表した。その際、彼はあまり仲の良くない別の研究者 Chris Gatfordをネタにして、彼の奥さんの写真を許可なく見れるというデモを行った。そのことについて、The Sydney Morning Heraldの Benn Grubbという記者が 5/17に記事を書いた。すると AusCERTカンファレンスに参加していた記者のもとにクイーンズランド警察の刑事が2人やってきて、いろいろと説明を聞いたあと記者を逮捕し、iPadを押収した*2。ただし逮捕といっても話を聞いている間(約 1時間)だけ、そういう状態だったという意味で、iPadを押収されたあとすぐに釈放された*3。発表をした研究者が相手に無許可で Facebookの写真にアクセスして公開したため、相手が警察に文句を言ったところ、こういう結果になったようだ。
逮捕された記者は(事前に許可を求めたうえで)刑事とのやりとりを iPhoneに録音しており、また聴取の際に Tweetもしていたためかなり反響があったようだ。警察の Twitterアカウントもこれに反応している。また記者自身がその時の様子を翌日の記事に書いており、さらに録音された音声がトランスクリプト付きで公開されていてとても興味深い。
http://www.smh.com.au/technology/security/security-experts-go-to-war-wife-targeted-20110517-1eqsm.html
http://www.smh.com.au/technology/technology-news/grubbs-story-privacy-news-and-the-strong-arm-of-the-law-20110518-1esn9.html
http://www.smh.com.au/technology/technology-news/journalists-facebook-arrest-transcript-of-police-interview-20110518-1esrr.html
http://www.smh.com.au/technology/technology-news/cyber-law-risks-making-the-ordinary-criminal-expert-20110518-1esm7.html
http://www.smh.com.au/technology/technology-news/facebook-breakins-police-say-receiving-photos-like-taking-stolen-tvs-20110518-1esad.html
もう止まらない…
(2011/07/05 更新)
PSN再開後も Sonyの関連会社のサイトで次々と問題が見つかり、もう止まらない状態になっています。おそらく今後しばらく続くと思いますが、以前のものも含めて先月から今日までの途中経過を整理しておきます。ただしこれらにどの程度関連性があるのかは、全くもって不明です。
(注) 以下の日付は公表された日ではなく、実際にインシデントが発生した日にしています。(ただし不明な場合は公開された日)
- 4/16-17
- PC向けオンラインゲームを運営する米Sony Online Entertainment（SOE）のシステムに外部から何者かが侵入。約2,460万アカウント全員分の個人情報が盗まれたことが後に確認された。
- 4/17-19
- Playstation Network (PSN)のシステムに外部から何者かが侵入。約7,700万アカウント全員分の個人情報が盗まれたことが後に確認された。
- 5/5
- Sony Music Greece (sonymusic.gr) のサイトの一部が b4d_viperaによって改竄される。約8,400人分の個人情報が流出。
- 5/6
- Sony Electronics (sel.sony.com)のサイトで、約2,500人分の個人情報が流出。2001年の懸賞に応募した人の情報が含まれている Excelファイルに誰でもアクセスできる状態だった。
- 5/11
- Sony Music Indonesia (sonymusic.co.id)のサイトの一部が k4L0ng666によって改竄される。
- 5/18
- 再開したばかりのPSNで、パスワードリセットの処理に問題が見つかる。メールアドレスと誕生日がわかれば、送られてくるメールを確認せずにリセットできる状態だった。
- 5/24
- LulzSecが Sony Music Japan (sonymusic.co.jp) のサイトで SQL Injectionを発見、公開。
- 5/24
- Canadaにある Sony Ericsson (ca.eshop.sonyericsson.com) のサイトで Idahc が SQL Injectionを発見、公開。約2,000人分の個人情報が流出。
- 5/28
- Playstation Store (store.playstation.com) のサイトで XSSが発見、公開。情報ソースは 2ch。
- 5/31
- LulzSecが Sony Pictures, Sony BMG Belgium, Sony BMG Netherlands の各サイトで SQL Injectionを発見。取得した情報の一部を6/3に公開。Sony Picturesからは37,500人分の個人情報が流出。
- 6/5
- Sony Music Russiaのサイトで SQL Injectionが発見、公開。LulzSecが公開したが、オリジナルは過去に報告済みのもののようだ。(LulzSecは自分達が見つけたものではないとコメントしている)
- 6/6
- LulzSecが Sony Computer Entertainmentの Developer Network (scedev.net)のサイトのソースコードを公開。情報取得の経緯については触れていない。
- 6/8
- ソニーポイントで 6/8未明、なりすましによる被害が発生。95件のメールアドレスが利用され、278,000ポイント(約28万円相当)が不正に交換される。
- 6/9
- Sony Music Portugal (sonymusic.pt) のサイトで Idahc が SQL Injectionを発見、公開。約350人分のメールアドレスが流出。
- 6/20
- Sony Pictures France (sonypictures.fr) のサイトで Idahcと Auth3ntiqが SQL Injectionを発見、公開。約70人分のメールアドレスが流出。
- 7/5
- Sony Music Ireland (sonymusic.ie)のサイトが何者かに改ざんされ、偽のニュース情報が掲載される。
他にも細かいものはいろいろありますね。
(2011/05/25 更新) 一部日付が間違っていたので修正しました。@kitagawa_takujiさん、ご指摘ありがとうございます。あと最新情報を追加しました。
(2011/05/29 更新) 最新情報を追加しました。まだまだこれからだよ〜、と呟いている人がいてコワいですw
(2011/06/04 更新) 最新情報を追加しました。予告通りに @LulzSecから出てきました。
(2011/06/07 更新) 最新情報を追加しました。上記よりもさらに過去のものまで含めたまとめが attrition.orgで公開されています。
(2011/06/10 更新) 最新情報を追加しました。Sony Picturesからのアナウンスにあわせて、情報流出の人数を訂正しました。
(2011/06/20 更新) 最新情報を追加しました。
(2011/07/05 更新) 最新情報を追加しました。
PSNのサーバーで稼動していたソフトウェアのバージョンは古かったのか?
PSNのサーバーで稼動していたソフトウェアはバージョンが古かったのではないか? そしてその古いソフトウェアの脆弱性を攻撃者に狙われたのではないか? そんな情報が真しやかに流れている。はたして本当だろうか?
この説の根拠になっている情報にはいくつかある。
- 5月1日のSCEの会見で、「既知の脆弱性を突かれた」と発言している
- PS3ハッカー達の 2月のIRCのチャットログに、PSNは Apacheのバージョンが古いという発言がある
- PSNに対して実施されたと見られる Nmapのポートスキャン結果が複数公開されている
- PSNにログインした時に表示されたエラーメッセージが公開されている
まず1番目の情報から。会見では「アプリケーションサーバにおける既知の脆弱性を突かれた」「世の中には知られていたが、SNEIの担当者は把握できていなかった。」と述べている。既知としか言っていないが、おそらく 0dayではなかっただろうと思われる。したがってこの脆弱性に対応する新しいバージョンがすでにリリースされていたと考えるのが自然だろう。
(会見内容に関する記事)
http://japanese.engadget.com/2011/05/01/playstation-network-qriocity/
http://www.4gamer.net/games/036/G003636/20110501003/
次に2番目。これは #ps3devという IRCのチャネルでの会話。公開されたログの内容から、この時点でPSNのサーバーのいくつかで Apacheのバージョンが古かったのではないかと考えられる。ただし、あくまでも外部から見える情報(バナーなど)を見て推測しているようだ。したがって必ずしも実際のサーバーのバージョンと一致している保証はない。たとえば RHELなどでパッケージを利用してソフトウェアを更新した場合、バナー情報はそのままになるが、ソフトウェアは更新された状態になっている。したがってバナー情報をそのまま鵜呑みにはできない。
(Apacheのバージョンについて触れている会話。チャットのログから引用)
http://173.255.232.215/logs/efnet/ps3dev/2011-02-16[13:41:56]
if sony is watching this channel they should know that running an older version of apache on a redhat server with known vulnerabilities is not wise, especially when that server freely reports its version and its the auth server
[13:42:33]its not old version, they just didnt update the banner
[13:43:03]I consider apache 2.2.15 old
[13:43:08]which server
[13:43:11]it also has known vulnerabilities
[13:43:20]auth.np.ac.playstation.net
[13:43:23]ya the displayed version u see via banner is not the real version (上のチャットに出てくる trixter氏と SKFU氏へのインタビュー記事）
http://www.wired.com/threatlevel/2011/04/trixter/
次に3番目。PSNのネットワーク(199.108.4.0/24)に対して、侵入直前の4月に実施された Nmapによるポートスキャンの結果が公開されている。誰が行ったものかはよくわからないが*1、別の日に実施されたものが複数ある。この内容を見ると、PSNの複数のサーバーで、Apache/Tomcat/OpenSSHのバージョンが古いことが示されている。ただし先程と同様にこれもバナー情報にもとづくものなので注意が必要だ。内容としては 2番目と整合性がとれている。
(公開されている Nmapのスキャン結果)
http://pastebin.com/cFPQjCdi (4月5日)
http://pastebin.com/jc05tQE3 (4月9日)
最後に4番目。これは 3/11に PSNにログインした際に表示されたというエラーメッセージ。ここでも Tomcatのバージョンが古いことが示されている。またそのバージョンは Nmapの結果に出ているバージョンと同じものだ。
(エラーメッセージに関する記事)
http://www.redspin.com/blog/2011/05/05/sony-psn-breach-%E2%80%93-how-bad-was-their-security-a-look-into-error-messages/
もしかすると他にも情報源はあるのかもしれないが、私が把握しているのはこれくらい。以上のことから、(おそらく)別々の情報源と思われるものがいずれも同じ結果を示していて、それらが互いに矛盾しないことから、実際に PSNのサーバーで稼動していたソフトウェアは最新ではなかった疑いが強い。もちろんこれらの情報の信憑性に疑問をはさむ余地はあるが、積極的に嘘をつく理由が見い出せない。今のところ各情報源の信憑性は高いと私は判断している。
この疑惑について先日の公聴会に出席したセキュリティ専門家の Gene Spafford氏も書簡で述べている。もっとも Sonyは公聴会を欠席したので疑問に答えてくれていない。しかし報道によると、Sonyのシニアディレクターである Patrick Seybold氏はこの疑惑をはっきりと否定しているようだ。以下の記事では、PSNもSOEもサーバーは最新の状態に更新されていたと述べている。
(All Things Digitalの記事から、該当発言部分を引用)
http://newenterprise.allthingsd.com/20110506/exclusive-sony-considers-offering-reward-to-help-catch-hackers/“The previous network for Sony Network Entertainment International and Sony Online Entertainment used servers that were patched and updated recently, and had multiple security measures in place, including firewalls.”
実際のところはどうだったのだろう。Sonyが情報を公開してくれない限りわからないし、公開するとも思えない。しかし本当にパッチがあたっていたのなら、既知の脆弱性を突かれて侵入されるというのはどうも矛盾している。やはり古いバージョンのソフトウェアが稼動していたと考えるのが自然ではないだろうか。
同じファイルなんだから、みんなで仲良くシェアしましょう！(Dropbox談)
このところセキュリティ面での問題について何かと叩かれている Dropbox。先月は利用規約の改訂で批判され、クライアントの実装上の問題を指摘されて改修し、先週になってついに FTCに是正の申し立てまでされてしまった。
一番の問題はこの前のエントリにも書いたように、ユーザーデータを暗号化する鍵をユーザーではなく Dropboxが管理している点だ。もちろん Dropboxもその点は十分認識していて、厳重なアクセスコントロールを行っており従業員がユーザーデータにアクセスできないようにしていると主張している。しかしすでに言われているように、他の類似のサービスでは鍵はユーザーだけが持っていて、サービス提供者側は保持しないものも多い。なぜ Dropboxにそれができないのか? 批判される大きなポイントである。
それと上記の問題ほどではないが、もう一つ別の問題も指摘されている。どうやら Dropboxはファイルのアップロードの際にハッシュを計算して、重複チェックを行っているらしい。
http://www.infosecurity-magazine.com/view/18017/dropbox-security-flaw-revealed/
This means that, if user A uploads, for example, pictures with a given hash-tag and then user B uploads the same name/sized file - with the same hash-tag - their version is not actually uploaded.
Put simply, he claims, users A and B share access to user A's first file, without user A's permission.
Dropboxはディスク容量を節約するために、アップロード前に同じファイルを他のユーザーがアップロードしているかチェックし、もし既にサーバーにあればそのファイルをアップロードしないようなのだ。既に同じファイルが存在する場合どうなるか。あとからアップロードしたユーザーは、先にアップロードされていたファイルにそのままアクセスすることになる。イメージでいうとシンボリックリンク*1やショートカットみたいなものだろうか(ただし複数のユーザーにまたがっているが)。このあたり Dropbox側は詳しく説明していないのでよくわからない(先に存在したファイルが変更されたらどうなるのだろう?)。
ここで指摘されている問題点の一つは、異なるファイルが同じハッシュ値を持つ場合がありうることだ。Dropboxが具体的にどういう方法で計算しているのかわからないのだが、安全とは言えないハッシュアルゴリズムを使っている場合には問題が起こりうる。例えば MD5であれば、同じハッシュ値も持ちながら異なる動作をする複数のファイルを作れることがすでに明らかになっている。
するとこんなシナリオが想定できる。
- あらかじめ同じハッシュ値をもつ有害なファイル(マルウェア)と無害なファイルを作る
- 有害なファイルを Dropboxにアップロードしておく
- 無害なファイルを何らかの方法で拡散させる
- 無害なファイルを受け取ったユーザーがそれを Dropboxにアップロードすると、実際には違う有害なファイル(ハッシュ値が同じ)をアップロードしたことになる
- このファイルによってユーザーがマルウェアに感染する
フツーに考えたらマルウェアを直接ばらまいたほうが手っ取り早いし、こんな手間をかけるわけがないので、可能性としては限りなくゼロに近いシナリオではある。こういう可能性を生む設計はいかがなものか、という話だ。このシナリオ以外でも全く別のファイルがたまたま同じハッシュ値を持つ可能性はあるにはある。しかしまあハッシュの計算方法が適切なら、こうした衝突は簡単には起きないので、それほど問題ではないだろう。(ただし、知らないうちに他人と同じファイルを「シェア」している、という問題は残る。)
さてこの騒動、Dropboxはどう乗り切るのかな??
Anonymousが仲間割れ? またなの?
当事者達へのインタビュー記事
http://www.thinq.co.uk/2011/5/9/exclusive-anonops-splinter-group-speaks-out/
http://www.thinq.co.uk/2011/5/10/anonops-accuses-coup-leader-bullying/
http://www.thetechherald.com/article.php/201119/7163/The-fighting-continues-as-AnonOps-stages-a-comeback
Anonymous側の主張
Ryanが公開した ID, IPアドレスおよびログ
5/9 AnonOpsの IRCオペレータの一人 Ryanが "クーデター"を起こした。彼は AnonOpsが Owenを初めとする少数のリーダーによって運営されており非民主的であることに反発。AnonOps.net/AnonOps.ruのドメインを支配下におき、これらのドメインへのアクセスを自分のサーバーにリダイレクト。アクセスしてきた 653ユーザーの IDとIPアドレスを公開した。また他の AnonOpsのサーバーに対しては Botnetを利用した DDoS攻撃をしかけてきた。Ryan曰く「AnonOpsを安全に運営するための唯一の方法は、現状がいかに脆弱であるかをユーザーに示すことだった」と言っている。
AnonOpsも当然これに対抗。AnonOps.inに今回の件についてのメッセージを掲載。.ru/.netにはアクセスしないようにメンバーに呼びかけた。また Ryanの行動に怒ったメンバーの一人が AnonOps.netを逆にハック。Ryanの個人情報を晒した。彼らは .net/.ruの代わりに、IRCサーバーを別の場所(AnonOps.in)に準備しているようだ。
AnonOps側は「IRCサーバーの一部が使えなくなっただけ」と事態を沈静化させようとしている。
ところでこのインタビューで明らかになったことがもう一つ。Ryanは OpSonyやその他のオペレーションにおいて、LOICではなく他の Botnetを利用して攻撃を行っていたようだ。Ryanは自分がサポートしなければ OpSonyはどうなるかわからなかったとも述べている。またRyanを支援するメンバーの一人は、OpSonyなどいくつかのオペレーションにはそもそも賛成できなかったと言っている。このあたり、運営方針に対する意見の相違があったのだろう。
なおこうした Anonymous内部でのいざこざは今回が初めてではない。つい最近も元Anonymousメンバーのグループが Anonymousで活動中のメンバーに関する個人情報を暴露し、Anonymousも対抗するという事件が起きたばかりだ。
