ACE KG 発表2004/5/13 出版

セキュリティの入門書

セキュリティを正しく理解できます

本日のアウトライン

はじめに 背景 目的

セキュリティとは 攻撃手法解析 まとめ

背景

今のインターネット 悪意のある人がいっぱい

crack!!

crack!!

crack!!

ぬるぽ !!crack!!

crack!!

インターネット上の被害件数の増加

悪意のある人がすること

一般ユーザを陥れる システムをクラッキングするetc…

一般ユーザを陥れる

キンタマウィルス Winny を介して広がるウィルス PC のファイルを公開

ユーザー名 組織名 デスクトップ画像 ファイル

被害事例 メッセンジャーの過去ログが流出

不倫が発覚！！

システムをクラッキングする Web の改ざん

2003 年 12 月 24 日，文部科学省管理下の Web サイトがクラッカーによる改ざんの被害に遭った

そんなわけで．．．（余談）

Symantec 社の収益 会計年度 2003 年度　収益 : 14 億 700 万 US ドル 会計年度 2002 年度　収益 : 10 億 7140 万 US ドル 会計年度 2001 年度　収益 : 9 億 4420 万 US ドル 会計年度 2000 年度　収益 : 8 億 2660 万 US ドル 会計年度 1999 年度　収益 : 6 億 3220 万 US ドル

( ﾟ Д ﾟ ) ｳﾏｰ

目的

RG のみなさんは一般ユーザである以上に，システムの開発者や管理者でもある

セキュリティに関しての知識を深める

セキュリティとは

セキュリティとは

攻撃者から重要なものを守ること

セキュリティ≠暗号化 セキュリティ≠アンチウィルスをいれる

何が満たされていれば，守られていると言えるのか？

Confidentiality - 機密性

Integrity - 完全性

Availability - 可用性

実世界で機密性が保証されてない状態

1.Confidentiality機密性許可されている人だけが情報にアクセスできるか？

あややたんのビデオでしよう。ﾊｧﾊｧ

実世界で完全性が保証されてない状態

あややたんのビデオで

しよう。ﾊｧﾊｧ

グロ画像だｳﾎﾞｧｰ

2 ． Integrity完全性情報の整合性が取れているか？

実世界で可用性が保証されてない状態

あややたんのビデオで

しよう。ﾊｧﾊｧ

つながんねーよｳﾜｧｰﾝ

3 ． Availability可用性必要な時に情報にアクセス出来るか？

ダウンさせる

セキュリティを実現するには

敵を知り、己を知れば百戦危うからず

攻撃手法を知り，その対策方法を考える

攻撃手法

ターゲットは何か？ クライアント端末 ( 一般ユーザのコンピュー

タ ) ネットワーク上の通信 サーバ ( サービス提供者のコンピュータ )

1. クライアント端末 ( 一般ユーザのコンピュータ )

2. ネットワーク上の通信3. サーバ ( サービス提供者のコンピュータ )

攻撃手法解析

ターゲット

クライアント端末 ( 一般ユーザのコンピュータ )をターゲットとした攻撃

1. 攻撃の対象とするもの ユーザの個人情報

メッセンジャーログ メールデータ Web ブラウザの履歴 パスワード

2. 攻撃手法 パスワードのクラック ウィルス ソーシャルエンジニアリング

パスワードのクラックとは

他人のパスワードを解析し、探り当てること ブルートフォース 辞書攻撃

パスワードのクラック　 - ブルートフォース

考えられるパスワードの組み合わせ全てを試す 組み合わせは莫大であるため大変効率が悪い

パスワードのクラック - 辞書攻撃

辞書にある単語を全て試す 大文字小文字の混在や数字を加えたりする

自動処理をさせれば短時間で入力できるため、基本的なパスワード破りの手口として用いられている。

辞書攻撃ソフト ー John The Ripper母音を削る

Jhn

複数の単語をつなげる John-The-Ripper

大文字小文字をばらばらに jOHn

キーボードで一つ右のキーに Kpjm

後ろに数字や記号をつける John2

実例 John the ripper version 1.6

Intel(R) Pentium(R) 4 CPU 2.60GHz

解析 asdfasdf

11秒 Tom1

15秒 (FW8Y (*Bf

・・・・

対策対策 複雑なパスワードにする

パスワードを長くする 意味のある単語は使わない 記号とか数字を混ぜる 大文字小文字も混ぜる

ウィルスとは ウィルスに意味

悪意のあるコード 実行ファイルに寄生

ウィルスの行動パターン 寄生 潜伏 発病

実行ファイルに寄生 実行ファイルの後ろに

ウィルスのコードをくっつける

実行ファイルのヘッダにあるスタートアップ・コードのアドレスをウィルスのコードのアドレスに書き換える

ウィルスのコードの最後に実行ファイルの本来のスタートアップ・コードを実行するようにする

ヘッダ

本体

ウィルスコード

main()

高度なウィルス

ポリモーフィックウィルス 感染するごとにランダムに暗号化する

メタモーフィックウィルス ウィルスのコードが変わったりする

Entry Point Obscuring エントリーポイントではなくその他のコード

を書き換える

対策対策 アンチウィルスを利用する

Norton Antivirus ウィルスバスター McAfee Virus Scan

ソーシャルエンジニアリングとは

社会的な行動による情報取得 人を欺いて情報を盗む

電話やメールで管理者のフリをする オフラインで，情報を盗む

管理者の会話を盗み聞き パスワードを後ろから盗み見る オフィスのゴミをあさる

事例（ 1） 1998 年 7月、米シカゴのフォックス TV系列の Webページが改竄された．

犯人は 14歳の少年

手法1. 少年は ISP の初期パスワードを入手2. ISPへ「パスワードを忘れたのでリセットしてくださ

い」と電話

3. ISP は依頼どおりにパスワードをリセットした

事例（ 2 ） 7 割強の人が，チョコレートと交換に会社で使用

しているパスワードを教えた リバプールストリート駅で， 172 人の通勤者 質問

チョコレートバー 1本と交換に勤め先で使用しているパスワードを教えて欲しい

結果 37％の人が即座にこれに応じた． 別の 34％の人は、「ペットや子供の名前でも使って

いるのだろう」と質問者が言うと，あきらめてパスワードを明らかした．http://japan.cnet.com/news/sec/story/0,2000050480,20065583,00.htm?tag=nl

対策対策 周りの人を攻撃者として疑う（悲しいけど） 重要な内容の会話は避ける

機密書類はシュレッドする 掲示板などへ余計な情報は書き込まない

家族構成 友達の名前

1. クライアント端末 ( 一般ユーザのコンピュータ )

2. ネットワーク上の通信3. サーバ ( サービス提供者のコンピュータ )

攻撃手法解析

ターゲット

ネットワーク上の通信をターゲットとした攻撃

1. 攻撃の対象とするもの 通信内容

2. 攻撃手法と対策 Man In the Middle

Man In The Middle とは 通信に介入して、両端の端末に知られることなく

通信の内容を傍受・改ざんを行う

攻撃例

A さん 悪人 amazon.comA です。ぁゃゃの CD を買います。A の住所に送ってください。

A です。モーニング娘。の CD を買います。悪人さんの住所に送ってください

ではモーニング娘の CD を悪人さんの住所に郵送します。代金は A さんのクレジットカードから落とします。

モーニング娘。の CD がほしい

なぁ

対策対策 通信相手との認証と暗号化が必要

書き換えられ

ない・・・

暗号化

1. クライアント端末 ( 一般ユーザのコンピュータ )

2. ネットワーク上の通信3. サーバ ( サービス提供者のコンピュータ )

攻撃手法解析

ターゲット

サーバ ( サービス提供者のコンピュータ )をターゲットとした攻撃

1. 攻撃対象 DNS サービス Web サービス

2. 攻撃手法 DoS バッファオーバーラン XSS

DoS 攻撃とは

サーバにデータを大量させるたりすることに送って，回線速度を低下させたり，過負荷でダウン

DoS 攻撃 事例（ 1）

2002 年 10 月 21 日，世界 13 のルートサーバに一斉に DoS 攻撃が仕掛けられた

2基が正常なネットワーク・トラフィックに対応できなくなり、他の 7 基が断続的に停止

攻撃例

SYN

大量の SYN 要求をサーバに送信し，サーバの機能を阻害する

対策対策 ある一定量以上の同一 IP アドレスからの

SYN 要求は受け付けないようにする ゲートウェイを設置

バッファオーバーランとは

システムが想定している以上のデータをバッファに書き込み，領域外にデータを書き込む

スタック領域のバッファに，このバグがある場合，攻撃者が任意のコードを実行可能となる可能性がある

バッファオーバーランの仕組み

void funcitonA(){

int a;

functionB();

…

}

void functionB(){

char buffer[10];

…

} Function A のローカル変数

Function B が終わった後に実行するコードのアドレス

Function B のローカル変数適当なデータ

void virus(){

// ファイル消しまくり

}

virus() のアドレス

virus() のコード

スタック

対策対策 定期的にサーバアプリケーションをアッ

プデート サービスのセキュリティホールを把握

アプリケーションセキュリティに関連したメーリングリストの購読 CERT JPCERT

クロスサイトスクリプティングとは

ユーザに Web ブラウザで不正スクリプトを実行させる攻撃

複数のサイトにまたがって攻撃の仕掛けをつくるため、“クロスサイト”　という

クロスサイト・スクリプティング手法

< script>alert(“XS

クロスサイト・スクリプティング手法

クロスサイトスクリプティング事例 Hotmail と Yahoo! Mail にクロスサイトスクリプティングの脆弱性（ 2003.3.23 ）

情報安全社の Web サイトにクロスサイトスクリプティング脆弱性 (2002.6.24)

政党のWebサイトにクロスサイトスクリプティングの脆弱性が(2002.4.10)

みずほ銀行のWebサイトにクロスサイトスクリプティングの脆弱性(2002.4.3)

MewSoft Auction 3.0 のクロスサイトスクリプティングの脆弱性

PHP Classifieds 6.0.5 のクロスサイトスクリプティングの脆弱性

eFax.com ウェブサイトのクロスサイトスクリプティングの脆弱性

クロスサイトスクリプティングの概要脆弱性のあるサイト 悪意のあるサイト

ユーザ登録

掲示板情報漏洩

1． Cookie に　保存

2 ．脆弱性のあるページを閲覧

4．悪意のあるサイトへ cookie の情報が送信される

3 ．悪意のあるコードを実行

対策 リンクをむやみにクリックしない 電子メールをむやみに空けない インターネット・エクスプローラーではセキュリ

ティ設定を高にする。

総評

ユーザの入力を受け付けるすべての Webアプリケーションは、タグやスクリプトなどの予期しない動作を起こしかねない文字列に関しては、慎重にチェックして無害化しなくてはならない。

セキュリティの脆弱性がある Web アプリケーションはすべて攻撃者によって利用されてしまう可能性がある。