Black Hat Japan 2008 特別インタビューダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(2)

　2008年10月9日に開催されたBlack Hat Japan 2008 の基調講演を行ったダン・カミンスキー氏にインタビューを行った。

特集特集

2008年10月23日（木） 16時45分

　2008年10月9日に開催されたBlack Hat Japan 2008 の基調講演を行ったダン・カミンスキー氏にインタビューを行った。

　今回の来日講演の目的、DNS脆弱性発見からパッチリリースまでの顛末、そして今後のセキュリティの将来像について、株式会社サイバーディフェンス研究所のラウリ・コルツパルン氏が話を聞いた。

─

ラウリ :
　DNSの場合、ネットワークをテストするテストツールがありました。一般的な管理者にとって、万人に影響を及ぼす、この手の大規模かつ昔から利用されているプログラムの脆弱性に対する解決策は、何になるのでしょうか？

ダン :
　2008年7月8日に、主要なプラットフォーム向けのパッチが一斉にリリースされています。パッチも有効な解ではありますが、完璧ではありません。理論的には、パッチをくぐり抜ける攻撃もあり得ます。しかし、完璧だけが答えではありません。

　7月の時点で可能だったパッチの適用以上の対策は、ややこしくて複雑でした。もっとストレートで分かりやすい何かが必要とされているのです。全体のプロセスが実用主義ベースで固められており、人々に合理的に期待できるのは、常にパッチを書き続け、攻撃手法を記したガイドを世に出さないことくらいです。我々はよりよい答えに近づくためにベストを尽くしていますが、未だ到達できていません。

ラウリ :
　信頼できるDNSを利用するにはどうすればいいのでしょうか？

ダン :
　最低でも7月のパッチをDNSサーバに適用することです。プラットフォームを問わず、パッチがあるならば適用の必要があり、パッチがなければそれは不要です。

　また、パッチの適用の有無にかかわらず、ファイアウォールやネットワークゲートウェイの配置状況を確認する必要があります。パッチを適用したとしても、大問題に発展しうる原因はいくつも転がっています。

　修正を試みても、修正ができない場合もあります。アプライアンス化された製品が少なくないためです。

　ですから、7月時点でのゴールはテストでした。バグを発見し、パッチを書き、パッチを適用するという過程の最後の2つは、つまらない過程です。大昔のコードを読んで修正したいという物好きな人は、まずいないでしょう。

　セキュリティの専門家として、私が安全を守らなければならない顧客の中には私の母もいます。彼女は何とかインターネットを利用できているレベルです。彼女が利用するISPが、わたしの仕事の成果に基づいてパッチを適用してくれなければ、彼女のインターネットでの安全は保証されません。

ラウリ :
　なぜDNSのバグがそれほど大問題になったと考えていますか？

ダン :
　人々は設計上のバグを再び重視するようになりました。一時期、とにかくバッファオーバーフロー攻撃のような、攻撃に関する知識が重視されましたが、それらのバグを悪用することは簡単ではありませんでした。しかし、設計上、仕様上の欠陥を見つけることができたら、それは即座に悪用することができます。仕様上のバグの場合、システムは仕様通りの動作をしているものの、そのような動きはするべきではないというだけだからです。欠陥を見つけることができたら、それを攻撃に利用するのは簡単なのです。

　別の側面として、設計は最初に考えられると共に、ゼロから検討される傾向があります。それから、すべての部品をどのように組み合わせるのかを考えるのです。認証と通信相手の確認に利用するソフトウェアの多くは非常に古く、1980年代から1990年代に開発されました。

　当時はセキュリティは重視されておらず、1997年もしくは1998年あたりまでは存在していないも同然でした。設計時点でセキュリティが考慮されていないため、認証は壊れているのです。

　私はCookie Monster問題を思い出さずにはいられません。この問題は、Webの誕生時から、RFCの中に存在していました。CookieはWebの誕生時から存在していましたが、いまだに壊れているのです。

　DNSは1983年にRFCから生まれましたが、いまだに壊れています。その他にも壊れているものはいくつもあります。ソフトウェアは自然には修正されないのです。

ラウリ :
　データを直接攻撃する方法から、そのデータに正当なアクセス権を持つ人物になりすます、攻撃よりは詐欺的な手法にセキュリティトレンドがシフトしていると私は思っていますが、どう思いますか？

ダン :
　その通りだと思います。データはお金です。不正な手段で得たデータをお金に変えることができるからです。そして、そのデータへのアクセスは、認証が制御しています。そのため、データではなく認証が攻撃されるのです。

ラウリ :
　なりすますことなくデータを得る方法はないのでしょうか？

ダン :
　たとえば、単純にWebサイトのインフラを攻撃するのではなく、ユーザの承認情報をハイジャックしたり、別のシステムの承認情報をハイジャックしたりすることができるバグが次々と発見されています。これはDNSのバグには当てはまりませんでしたが、インフラの末端に取り付いて、それからインフラの別の部分への到達を目指すのです。

　今回の講演の中に入れることが出来なかった話題のひとつになるのですが、バックエンドシステムに何があるのかを考える必要があります。たとえば、データベースからデータをロードするバックエンドシステムはデータベースの場所を知らず、DNSにそれを聞くのです。この2つのシステムが横に並んでおり、隣のマシンと通信をしたいだけであっても、DNSが30,000マイル先だと答えるとその通りにしてしまうのです。

ラウリ :
　もし、DNSの問題が解決したとして、次に問題になるのは何だと考えていますか？

ダン :
　私は常にインフラのバグに注目しています。というのも、インフラに影響を与えるバグは、注目されるからです。注目を集め、実際に大きな影響が出たため、DNSの問題が発生してからインフラにさらに注目が集まるようになりました。

　今後は、ネットワークプログラムがより多くの攻撃を受けることになるでしょう。悪人達は次のように言っています…

【翻訳／記事構成：　日吉龍／SCAN編集部】

　インタビュー：ラウリ・コルツパルン

　エストニア出身。タリン技術大学で8年間ネットワーク管理者を務める。2003年、ヨーロッパで開催されたセキュリティ専門コミュニティ「zone-h」のハッキングミッションを史上最速でクリア後、zone-h のメンバーとして、世界各国でセミナー講師を務め、2004年からサイバーディフェンス研究所技術開発部特別分析官。研修講師及びペネトレーションテストに従事。

　今回の取材を終え「インターネットを通じて提供されるサービスが増え、その利用者が増えることで、認証という攻撃ポイントは爆発的に増加している。データを守る側のセキュリティ対策は一定の効果が上がっているから、今後は認証を狙ったソーシャルエンジニアリング的な攻撃が増えるだろう」と感想を語った。

　サイバーディフェンス研究所メンバー（後列右ラウリ氏）
http://www.cyberdefense.jp/company_profile/about.html

【関連記事】
Black Hat Japan 2008 特別インタビュー
ダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(1)
https://www.netsecurity.ne.jp/3_12304.html
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

Black Hat Japan 2008 特別インタビューダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(2)

Scan PREMIUM 会員限定記事

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事～成都404

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事 ～ 成都404

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

OpenSSLにサービス運用妨害（DoS）の脆弱性

マイクロソフトが 4 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 1 件

a-blog cms に複数の脆弱性

複数の HTTP/2 実装に CONTINUATION フレームの取り扱い不備

WordPress 用プラグイン Ninja Forms に複数の脆弱性

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

インシデント・事故 記事一覧へ

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

チラシ記載の QR コードを誤って管理者用 URL から作成、申込者の個人情報が閲覧可能に

委託事業者が回収処理した国民健康保険証、拾得物として警察署に届く

「落ちていたので」と手紙が届く ～ 中学校の教育相談アンケート票を紛失

日水コン コーポレートサイトに不正アクセス、個人情報一部流出の可能性

調査・レポート・白書・ガイドライン 記事一覧へ

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

日本のセキュリティ人材の 74 ％、2023年に昇給なし

炎上件数最多は知識や配慮不足「2023年炎上レポート」公開

研修・セミナー・カンファレンス 記事一覧へ

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

「イエラエが、今、SOCサービスを始める意義」とは？ 「IERAE DAYS」トークセッションレポート公開

警察庁、総務省それぞれの最新の取り組みは？ 官民連携、国際連携を通してより安全なサイバー空間の実現を ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

デロイトと JFEスチール、サイバーセキュリティの合弁会社設立

BBSec、地方公共団体のセキュリティ課題に対応するアセスメントサービス

「GMOサイバー攻撃 ネットde診断」FortiGate に対応

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

Non State Actor 図鑑（3）APT アクターも「飲みニケーション」大事～成都404

脆弱性と脅威記事一覧へ

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

インシデント・事故記事一覧へ

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

「落ちていたので」と手紙が届く～中学校の教育相談アンケート票を紛失

日水コンコーポレートサイトに不正アクセス、個人情報一部流出の可能性

調査・レポート・白書・ガイドライン記事一覧へ

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

「イエラエが、今、SOCサービスを始める意義」とは？「IERAE DAYS」トークセッションレポート公開

警察庁、総務省それぞれの最新の取り組みは？官民連携、国際連携を通してより安全なサイバー空間の実現を～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

「GMOサイバー攻撃ネットde診断」FortiGate に対応

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ