 |
 |
記事検索 |
イベントレポート |
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
新たなシステム脅威の可能性とWinnyの脆弱性～米eEyeの鵜飼氏講演 |
||||||||||||||||||
|
||||||||||||||||||
|
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
||||||||||||||||||
|
住商情報システムは12日、脆弱性管理に関するセミナー「eEye Security Forum/Spring 2006」を開催した。セミナーでは、米eEye Digital Securityの鵜飼裕司氏が、ルータやイーサネットカードで動作するrootkitの可能性や、Winnyの解析と発見した脆弱性の概要に関する講演を行なった。 ● ルータやイーサネットカードなど、システム「外」に潜む危険性
鵜飼氏は、デスクトップOSを不正利用するためのrootkitが広く利用され始め、深刻な問題となっているという現状を紹介。こうしたrootkitの検出は困難ではあるものの、PCという同じシステム上で動作している限りは、理論的には検出が可能だとした。 一方、鵜飼氏が今後の脅威として想定しているのは、ルータやイーサネットカードなどの上で動作するrootkitだ。ルータやイーサネットカードといったデバイスは、高機能化に伴ってCPUやメモリを搭載した小さなコンピュータと同様な存在になってきている。これらのデバイス上で動作するrootkitが開発されれば、ネットワーク上に流れるパケットの改竄などが可能となり、しかも検出はさらに困難になることが予想される。 鵜飼氏は実際のブロードバンドルータを攻撃対象として、外部からの攻撃によりrootkitの設置が可能であるかを確認。ルータの脆弱性を利用して改造したファームウェアを送り込むことに成功したという。 攻撃方法を見つけるための手法としては、ブロードバンドルータで利用されているCPUのデバッグ用のピンを抜き出し、組み込みシステムを開発する際に用いる装置に接続することで、メモリやレジスタなど内部の挙動を確認。こうした調査により、バッファオーバーフローの脆弱性が存在することが確認できたという。発見した脆弱性は、外部からも攻撃可能なものだったが、標準設定ではLAN側からの攻撃のみが可能となっていた。 さらに、ルータのファームウェアを解析し、ファームウェアが利用しているAPIを特定。これにより、脆弱性を利用してルータのファームウェア書き換え動作を起こさせるコードを実行させ、改造版のファームウェアを設置することに成功した。 改造版のファームウェアでは、パケットの受信ルーチンに手を加えることで、受信したパケットを改竄することができることを確認。これにより、ユーザーがダウンロードしているファイルをリアルタイムで書き換えるといった動作が可能になるという。また、こうした手法の他にも、DNSの問い合わせに対して偽のアドレスを返すといった動作や、受信パケットを別のマシンに送信する盗聴型のコードなどの作成が容易に考えられるとしている。 また、鵜飼氏は同様の危険性として、ネットワークカードのファームウェアを書き換えることで、パケットの盗聴や改竄が可能となることも確認。さらに、ネットワークカードのファームウェアからはホストマシンの物理メモリに自由にアクセス可能であることから、カーネルの書き換えなどさらに応用範囲の広い悪用が可能になると指摘した。 鵜飼氏はこれらの実験から、ブロードバンドルータのような外部デバイスにrootkitを設置することで、メインシステムの侵害も可能であることが検証できたと指摘。対策としては、ハードウェアにデバッグ用のポートなど解析を容易にする機能を残したままにしておかないことや、ファームウェアの脆弱性検査の徹底などが考えられるが、バックドアの隠れる場所は無限に存在し、抜本的な対策が必要であると警告した。
● Winnyの脆弱性により大規模攻撃の可能性が セミナー後半の講演では、Winnyの解析結果と、脆弱性の分析に関する説明が行なわれた。鵜飼氏はWinnyを分析した結果、ヒープオーバーフローの脆弱性が存在することを確認したとしてIPAに脆弱性の通知を行なうとともに、4月21日にセキュリティアドバイザリを公開している。鵜飼氏はWinnyの解析にあたり、作者の金子氏の著書「Winnyの技術」を参照するとともに、書籍には書かれていない細かい挙動やプロトコルの詳細についてはコードを直接分析した。また、同様の解析により、デコンパイルされたWinnyのソースコードに相当するようなコードも、すでにネット上に出回っていることを確認したという。 分析の結果からは、既に伝えられているようにパケットの暗号化については容易に解読が可能であることや、ネットワークフィルター製品などがWinnyの通信を遮断する際に利用できる特徴的なパケットの存在、他ノードの情報が収集できるコマンドの詳細などが判明。これにより、Winnyネットワークの全体像を把握することはそれほど難しくないことがわかったという。 こうした分析から、鵜飼氏らはWinnyネットワークの可視化システムの開発に着手。Winnyネットワークを監視し、ノード数の推移や特定ファイルの拡散状況、特定ファイルを保有するノード一覧、特定ノードが保有するファイル一覧といった情報を見ることができるという。これにより、特定のファイルを保持するノードのIPアドレスが判明するため、プロバイダ責任制限法に基づいて削除要請を行なうことや、違法ファイル交換を行なうユーザーに対する抑止力になるのではないかとしている。 また、鵜飼氏は分析を進める過程で、Winnyにヒープオーバーフローの脆弱性が存在することも確認。ファイル転送用ポートに対して細工したパケットを送信することで、任意のコマンドを実行させられる危険度の高い脆弱性であるという。 鵜飼氏は、Winnyの解析を始めてすぐにこの脆弱性を発見。しかも、Winnyのノード一覧も数時間で列挙できることがわかったため、脆弱な数十万のノードがすぐにも悪用されかねない危険な状況にあると判断したが、作者による修正が困難というWinnyの特殊な状況を考え、IPAに脆弱性情報の取り扱いを依頼したという。 現在でも、作者の金子氏によるWinnyの正式な修正版はリリースされていない。また、第三者によるパッチも何種類かリリースされているが、中には脆弱性をふさぎきれていないパッチもあり、危険な状態であるとしている。また、こうしたパッチをリリースすることも著作権法違反幇助の罪に問われる可能性があり、鵜飼氏もパッチの提供は可能な状態だが「公開は控えた方が良い」とアドバイスを受けているという。 鵜飼氏は「Winnyには致命的な脆弱性があり、大規模攻撃が発生する可能性がある。Winnyや匿名P2Pファイル交換について、技術的、社会的な側面からの議論がもっと必要だ」として、脅威を前にしてより具体的な対策が求められていると指摘。また、eEye Digital SecurityではWinnyネットワーク可視化システムの開発を進め、こうした脅威に対してどのような対策が取れるかを検討していきたいとした。 Winnyネットワーク可視化システムについては、「Share」など他のP2Pファイル共有ソフトについての対応も進めているという。また、鵜飼氏は米国在住中ということもあり「Winnyについては調査を開始したばかりで、日本の状況を把握している最中だが、米国では同様の例がなく日本特有の問題と考えている」として、さらに調査を進めていきたいと語った。
関連情報 ■URL 住商情報システム http://www.scs.co.jp/ eEye Digital Security http://www.eeye.com/ ■関連記事 ・ 「Winnyの脆弱性は悪用が容易な危険なもの」脆弱性を発見した米eEyeが警告（2006/04/24）
（ 三柳英樹 ）
- ページの先頭へ-
|
