Black Hat Japan 2008 特別インタビューダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(1)

　2008年10月9日に開催されたBlack Hat Japan 2008 の基調講演を行ったダン・カミンスキー氏にインタビューを行った。

特集特集

2008年10月16日（木） 16時45分

　2008年10月9日に開催されたBlack Hat Japan 2008 の基調講演を行ったダン・カミンスキー氏にインタビューを行った。

　今回の来日講演の目的、DNS脆弱性発見からパッチリリースまでの顛末、そして今後のセキュリティの将来像について、株式会社サイバーディフェンス研究所のラウリコルツパルン氏が話を聞いた。

─

ラウリ（文中敬称略） :
　今回の来日講演で出席者に伝えたいテーマは何ですか？

ダン :
　2008年に確認されたバグ全般がテーマです。

　状況は良くありません。というのも、インターネット上の通信相手が正しい人なのかどうかが分からない、認証の問題が広がっているからです。

　発見された設計上のバグの多くは認証に関するものです。承認情報を漏えいする、もしくは承認情報を正しく生成しないため、結果的に受け取った承認情報を信じる根拠がなくなってしまいました。これは最近のバグに全体的に共通するテーマの一つです。この問題には、次の2つのポイントがあると思います。

　1つ目は、我々が目にしているDNSの欠陥の上に、ほとんどのインターネットサービスが依存しており、これからシステムの構築を行う際には、それらの欠陥を意識すべきであるということです。自分の会社、自分のシステム、自分のパソコンという狭い制約にとらわれず、その枠を広げて考えるということが重要です。今回の基調講演はDNS関連の話で、その半分はSSL関連になりましたが、Webアプリケーションや、デスクトップ・アプリケーションとの密接な関係についても話しました。私が、このDNSの攻撃を初めて目にしたとき多くの人々は、「SSLが助けてくれるさ」とか「そんなことはずっと前から知っているけど、サーバは外部に公開されていないからね」と言っていました。

　2つ目は、安全を保つために考えなければならないことが山ほどあるにもかかわらず、立ち止まってそれを真剣に考えた人が誰もいないということです。私は人々に対して、彼らが関わっているシステムと現在発生している攻撃との関連性に関する啓蒙活動を行い、認証の問題が存在し続けていること、自分の通信相手が誰なのかわかるのか、そしてどうしてそう思うのかなどを問いかけてきました。なぜならば、我々が利用しているのは非常に古いシステムで、なんと25年間も変わらず動き続け、そしてずっと同じ問題を持ち続けているからです。

ラウリ :
　今、2つの話題が出ました。1つ目は古いシステムについて、2つ目は認証の仕組についてでしたが、これらがあなたが基調講演で扱った、現在の混乱の原因となっているということですね。

ダン :
　名前からIPアドレスを提供するという古いシステムが現在でも稼働しており、過去25年間に開発された、そのシステムに依存しているネットワーク・ソフトウェアは膨大な数に上ります。DNSに何かがあった時に何が壊れるのかいう問題は、かなり厄介です。たったひとつの設計上のバグによって、これだけ大きな悪影響があるなんて、技術に携わる人間として、恥ずかしいことだと思います。

　「インターネットが敵意に満ち溢れているなんてことは百も承知だ」と語る人々はたくさんいます。私も、セキュリティに関わる他の人々もそうです。しかし、実際に書かれたプログラムコードを見てみると、「インターネットが敵意に満ちている」とわかっている人たちが書いたはずなのに、ほとんどのプログラムは、いまだにセキュリティを意識せずに書かれています。実際のところ、WebサーバやWebブラウザのように、過去に何度も攻撃を受けたソフトウェアしかセキュリティの強化は行われていません。セキュリティ対策が行われているのは、膨大なネットワーク・ソフトウェアのごく一部でしかないのです。それ以外のソフトウェアは、DNS同様に、セキュリティの優先順位が低かった25年前と変わりないと言えるでしょう。

ラウリ :
　あなたが発表したDNSの脆弱性は世界的な注目を浴びました。反対に、非常に小規模で人に気づかれないような攻撃が行われているソフトウェアは、他にもあると思いますか？

ダン :
　2008年の現在、昔と状況が変わりました。攻撃者は、自分の家族を養うために攻撃をしています。攻撃者が子供なのではなく、攻撃者に子供がいるのです。目的がお金儲けになった訳です。攻撃は対象を絞った小規模なものとなり、人に気づかれないものになっています。

　我々が今日、目にしているDNS関連の攻撃は、ターゲットを限定した、巧妙に計画された攻撃になってきました。たとえば、テキサス州のオースティンで確認された攻撃がそうで、AT&TのインターネットサービスのDNSを書き換え、Googleへのトラフィックを悪用して攻撃者に広告収入が入るように改変されました。これもお金儲けが目的です。Chinanet.comへの攻撃も、DNSを悪用した攻撃と特定されてはいませんが、何かがDNSに起こっています。

　サーバに侵入してマルウェアを仕掛けることも、お金を生み出します。すべてを破壊し尽くすような大規模な攻撃は、何の利益も生みません。利益を生まないがために、行われないのです。

　更に言うならば、我々が考えうるもっとも破壊力がある攻撃は、Fortune 500クラスの企業のメールの盗聴と改変ですが、これらを検知するのは不可能だと言っていいでしょう。また、誰かが奨励したり、報奨金を用意が用意されでもしない限り、誰もそのような攻撃を受けたことを明らかにはしないでしょう。そもそも、そのような攻撃を受けているということに気がつくことすらできないと思います。それでもメールは届くからです。

ラウリ :
　それを知るには、どのような手段があるのでしょうか？

ダン :
　DoxPara Research というWebサイトがあり、そのサイトには「check my dns」というDNSサーバの安全性をチェックするボタンがあります。

DoxPara Research
http://www.doxpara.com

　また、実験段階ですが…

【翻訳／記事構成：　日吉龍／SCAN編集部】

　インタビュー：ラウリコルツパルン

　エストニア出身。タリン技術大学で8年間ネットワーク管理者を務める。2003年、ヨーロッパで開催されたセキュリティ専門コミュニティ「zone-h」のハッキングミッションを史上最速でクリア後、zone-h のメンバーとして、世界各国でセミナー講師を務め、2004年からサイバーディフェンス研究所技術開発部特別分析官。研修講師及びペネトレーションテストに従事。

　今回の取材を終え「インターネットを通じて提供されるサービスが増え、その利用者が増えることで、認証という攻撃ポイントは爆発的に増加している。データを守る側のセキュリティ対策は一定の効果が上がっているから、今後は認証を狙ったソーシャルエンジニアリング的な攻撃が増えるだろう」と感想を語った。

　サイバーディフェンス研究所メンバー（後列右ラウリ氏）
http://www.cyberdefense.jp/company_profile/about.html
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

Black Hat Japan 2008 特別インタビューダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(1)

Scan PREMIUM 会員限定記事

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事～成都404

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事 ～ 成都404

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

OpenSSLにサービス運用妨害（DoS）の脆弱性

マイクロソフトが 4 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 1 件

a-blog cms に複数の脆弱性

複数の HTTP/2 実装に CONTINUATION フレームの取り扱い不備

WordPress 用プラグイン Ninja Forms に複数の脆弱性

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

インシデント・事故 記事一覧へ

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

チラシ記載の QR コードを誤って管理者用 URL から作成、申込者の個人情報が閲覧可能に

委託事業者が回収処理した国民健康保険証、拾得物として警察署に届く

「落ちていたので」と手紙が届く ～ 中学校の教育相談アンケート票を紛失

日水コン コーポレートサイトに不正アクセス、個人情報一部流出の可能性

調査・レポート・白書・ガイドライン 記事一覧へ

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

日本のセキュリティ人材の 74 ％、2023年に昇給なし

炎上件数最多は知識や配慮不足「2023年炎上レポート」公開

研修・セミナー・カンファレンス 記事一覧へ

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

「イエラエが、今、SOCサービスを始める意義」とは？ 「IERAE DAYS」トークセッションレポート公開

警察庁、総務省それぞれの最新の取り組みは？ 官民連携、国際連携を通してより安全なサイバー空間の実現を ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

デロイトと JFEスチール、サイバーセキュリティの合弁会社設立

BBSec、地方公共団体のセキュリティ課題に対応するアセスメントサービス

「GMOサイバー攻撃 ネットde診断」FortiGate に対応

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事～成都404

脆弱性と脅威記事一覧へ

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

インシデント・事故記事一覧へ

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

「落ちていたので」と手紙が届く～中学校の教育相談アンケート票を紛失

日水コンコーポレートサイトに不正アクセス、個人情報一部流出の可能性

調査・レポート・白書・ガイドライン記事一覧へ

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

「イエラエが、今、SOCサービスを始める意義」とは？「IERAE DAYS」トークセッションレポート公開

警察庁、総務省それぞれの最新の取り組みは？官民連携、国際連携を通してより安全なサイバー空間の実現を～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

「GMOサイバー攻撃ネットde診断」FortiGate に対応

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ