 |
 |
記事検索 |
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
| 海の向こうの“セキュリティ” | |||||||||||||
 |
|||||||||||||
|
第31回：「CanSecWest 2009」のクラッキングコンテスト「PWN2OWN」 ほか
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
3月は、英BBCのボットネット購入やロシアの青年組織幹部が一昨年のエストニアに対するサイバー攻撃への関与を認めるなど、話題に事欠かない1カ月でしたが、今回はまず、昨年4月の本連載でも紹介したCanSecWestのクラッキングコンテスト「PWN2OWN」の話題から紹介します。 ■「CanSecWest 2009」のクラッキングコンテスト「PWN2OWN」
10回目となるCanSecWestの年次会合「CanSecWest Vancouver 2009」が3月16日から3月20日までカナダのバンクーバーで開催されました。 今回も、いわゆる「クラッキングコンテスト」である「PWN2OWN」が3月18日から3月20日までの3日間行なわれました。昨年のターゲットはOS（Ubuntu Linux、Windows Vista、Mac OS X 10.5) でしたが、今年はWebブラウザと携帯電話を対象としています。 まず、WebブラウザはInternet Explorer（IE）8、Firefox、Google Chrome、Safariの4種類。いずれもコンテスト実施時点での最新のパッチが適用された状態にしてあります。
・Windows 7（Sony VAIO）
・Mac OS X (Apple MacBook) ユーザーがこれらのブラウザを使って攻撃用のWebページにアクセスしただけでコードを実行させることができたら、クラッキング成功と見なされ、賞金5000ドルとクラックしたノートパソコンが授与されます。 また、Webブラウザの設定は以下の通り。
1日目： 標準インストール、プラグインなし 一方、携帯電話（OS）は以下の5種類。
- BlackBerry こちらは、ユーザーデータなどの情報を失わせたり、金銭的コストを負わせたりすればクラッキング成功と見なされ、賞金1万ドルと携帯電話本体（＋1年間の使用契約）が授与されます。 携帯電話側の設定や攻撃のルールは以下の通り。
1日目： メールの受信のみ 実際のコンテストは30分を1スロットとして、参加者が順に行ない、先にクラッキングに成功した者だけが賞品をもらうことができます。順番という「運」によって賞品を手に入れられるか否かが決まるので必ずしも公平ではないですが、一種の「お遊び」としてのイベントなので、これでもよいのでしょう。なお、賞金は順番によらず、成功すればもらえるようです。 さて、実際のコンテストの内容ですが、結論から言えば、成果があったのは初日だけ。2日目以降は特に進展がありませんでした。 まず、Webブラウザは、Google Chrome以外の3つは初日でクラッキングに成功。一方、携帯電話はいずれも最後まで成功しませんでした。なお、Google Chromeは、多少不安定になるところまでは行ったようですが、クラッキング成功とまでは至らなかったようです。 今回のPWN2OWNの成果として評価すべきは、ブラウザの4つの未公開の脆弱性を明らかにすることができた点です。いずれの脆弱性もこのイベントに資金提供しているTippingPoint社のZero Day Initiativeを通じて各ベンダーに通知され、うち1つは既に修正されています（詳細は後述）。 まず、最初にクラッキングに成功したのは、Charlie Miller氏。昨年のPWN2OWNで最初にクラッキングに成功し、MacBook Airを手に入れた人物でもあります。今回はコンテスト開始後、最初のスロット、しかもわずか数分でSafariの未公開の脆弱性を使ってクラッキングに成功。あっという間に賞金5000ドルとMacBookを手にしました。 次に成功したのは、Nils氏。IE8の未公開の脆弱性を使い、賞金5000ドルとSony VAIOを手に入れました。続けてNils氏は、Miller氏とは異なる脆弱性を使ってSafariのクラッキングに成功。MacBookは既にMiller氏のものになっていましたが、賞金5000ドルを獲得しました。 さらにNils氏は別スロットで、Firefoxのクラッキングにも成功。結局、Nils氏は初日で VAIOと賞金1万5000ドルを手に入れたのです。 初日はこのまま終了し、2日目以降は何も進展がないままイベントは終了しました。結果として、IE8に1件、Firefoxに1件、Safariに2件の計4件の脆弱性が明らかになりました。 なお、今回明らかになったFirefoxの脆弱性は、先日公開された「Firefox 3.0.8」で修正されています（Mozilla Foundation セキュリティアドバイザリ 2009-13：XULツリー要素を通じた任意のコード実行）。 今回、携帯電話に対する攻撃に誰も成功しなかったことに対して、主催者側は「携帯電話は制約が大きく、攻撃が難しい」といった見解を述べています。しかし、携帯電話に対する脅威がないわけではなく、今後の研究課題として重要であるとの考えから、来年もまた携帯電話に対するクラッキングコンテストを行なうとしています。 なかなか興味深いイベントですが、日本からの参加者は非常に少なかったそうです。オープンなカンファレンスではありますが、多分に「内輪ウケ」の要素があるコミュニティのイベントなだけに、外部の人間には少々敷居の高さを感じなくはありません。それでも日本からもこのようなイベントに参加し、関係者とのコネクションを作ることは非常に重要なことだと考えます。来年のカンファレンスでは、日本から1人でも多くの方が参加してくださることを願っています。 ■URLCanSecWest http://cansecwest.com/ TippingPoint DVLabs http://dvlabs.tippingpoint.com/blog/ Zero Day Initiative http://www.zerodayinitiative.com/ Mozilla Foundation セキュリティアドバイザリ 2009-13 XULツリー要素を通じた任意のコード実行 http://www.mozilla-japan.org/security/announce/2009/mfsa2009-13.html ■イタリアで服役中のルーマニア人クラッカーが地方検事に雇われた？ インターネット犯罪を犯した人物が服役後にセキュリティの専門家として企業に雇われた例はよくあります。また、中国では「お祈りパンダ」ウイルスを作って逮捕された犯人が獄中で修正ソフトを作らされたといった例もありました。そして、それらの延長上とも言える出来事として、服役中の犯人がインターネット犯罪防止のために公的機関に雇われ、パートタイムで働くことになるかもしれないとの報道がありました。 問題の人物は、イタリア北部の都市コモの刑務所に服役中の22歳のルーマニア人青年 Gabriel Bogdan Ionescu氏。彼は、イタリアの郵便局を模した偽サイトを用意し、そこで詐取した口座から金を盗み取った罪で、2007年にイタリア当局に逮捕され、現在、懲役3年の刑に服しています。 ところが、彼は「只者」ではありませんでした。2007年のバルカン情報オリンピックの金メダリストであり、ブカレスト工科大学への無試験での入学が認められていたほどの実力を有している人物だったのです。そのようなこともあり、前途ある若者の才能の芽を潰してはいけないとの判断があったのか、イタリア当局は2008年10月、彼がミラノ工科大学の入試を受けることを認めました。その結果、彼は学部史上の最高点を獲得し、入学が許可されたのです。 そのような中、服役している刑務所のあるコモの地方検察局と契約し、モニタリングやインターネット犯罪防止を行っている専門企業のWay-Logが、彼に対してパートタイムでの雇用をオファーしたのです。 実際にパートタイムで仕事をするとなると、コモの裁判所が、彼の収監を解き、「house arrest（自宅軟禁）」とすることを許可しなくてはなりませんが、彼の弁護士は許可が下りることに強い自信を示しているようです。 確かに非凡な才能を有効に活用し、犯罪防止に結び付けようと言うのは決して「悪いこと」だとは思いません。しかし今回の場合は、イタリアの大学に入学し、その上、イタリアの企業で働けるという点で、彼にとってはルーマニアにいたときよりも、むしろ恵まれた環境にあると言えるかもしれません。これでは、インターネット犯罪を犯す者が、ますます増えてしまう可能性もないとは言えません。もちろん彼ほどの能力を持つものばかりではないでしょうが、本当の意味での犯罪の抑止のためには、服役中はきちんと罪を償うことに専念させるべきではないでしょうか。どうしても彼の才能や能力を使いたいのであれば、それは出所後にすべきでしょう。 ■URLSoftpedia（2009年2月27日付記事） Italian Authorities Want to Hire a Romanian Hacker Genius http://news.softpedia.com/news/Italian-Authorities-Want-to-Hire-a-Romanian-Hacker-Genius-105597.shtml BalkanInsight.com（2009年2月27日付記事） Italy To Hire Convicted Romanian Hacker http://www.balkaninsight.com/en/main/news/17062/ (2009/04/07)
- ページの先頭へ-
|
