アイダホ州の囚人たちが刑務所支給のタブレットで20万ドルあまりのクレジットを偽造

アイダホ州の囚人たちが、刑務所が支給したタブレットのソフトウェアを使い、外界との唯一のつながりである同機の上で25万ドル近いクレジットを偽造した。そのタブレットは刑務所向けに各種サービスや物品を提供している大手事業者JPayが作ったもので、囚人たちはそれを使って、メール、音楽を聴く、送金するなどのタスクができる。一部のサービスは、有料だ。

Associated Pressの記事によると、364名の囚人がソフトウェアの脆弱性を利用して、JPay上の自分の口座の残高を増加させたことに、アイダホ州の刑務所の職員が気づいた。アイダホ州では、JPayはCenturyLinkとパートナーしている。後者はソフトウェアの脆弱性を認めたが、詳細は何も語らず、その後問題は解決した、とだけ述べた。

JPayを悪用した364名のうち、50名の囚人は自分自身に1000ドル以上のクレジットを発行することができた。1万ドル近い者もいる。合計22万5000ドルの被害額の約1/4はJPayが回収できたが、盗まれたクレジットの全額が返済されるまで一部のサービスは中断される。

アイダホ州の矯正局は次のように声明している: “この行為は不慮の事故ではなく意図的である。それはJPayのシステムに関する知識を必要とし、システムの脆弱性を悪用した囚人たちは、各人が複数回のアクションにより自分の口座に不正に与信した”。

JPayのシステムを悪用した者たちは、アイダホ州の複数の刑務所に分散して収監されている。それらは、Idaho State Correctional Institution, Idaho State Correctional Center, South Idaho Correctional Institution, Idaho Correctional Institution-Orofino, そして民営のCorrectional Alternative Placement Planの建物だ。

JPayは同社のWebサイトでこう述べている: “弊社は矯正行政において信頼性の高い名前として知られている。なぜならば弊社は、高速で安全な送金方法を提供しているからである”。…今度の事件で、この‘安全’の部分にクェスチョンマークが付くだろう。同社は、35の州の刑務所にサービスを提供している。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

Chrome のセキュリティにとって大きな一歩: HTTP ページに「保護されていません」と表示されるようになります

Google では、Chrome を最初にリリースした時から、セキュリティを Chrome の基本原則の 1 つと考え、ウェブを閲覧するユーザーの安全を守る(英語)ために常に取り組んできました。Chrome で HTTPS によって暗号化されていないサイトに「保護されていません」と表示し、最終的にはすべての非暗号化サイトにこの警告を表示すると発表(英語)したのは、およそ 2 年前のことです。この警告により、ウェブ上で銀行口座の確認やコンサート チケットの購入などを行う際に、個人情報が保護されるかどうかを簡単に知ることができます。7 月 25 日より、Google はすべての Chrome ユーザーを対象にこの変更のロールアウトを開始しました。

Chrome の最新バージョン(68)から、HTTP ページにアクセスすると、「保護されていません」という通知が新たに表示されるようになります。

暗号化された接続が増えれば、セキュリティが高まる



ウェブサイトを通常の HTTP で読み込む場合、サイトへの接続は暗号化されません。つまり、ネットワーク上にいる誰もが、やり取りされる情報を見ることができ、コンテンツが表示される前に内容を改ざんすることさえできます。HTTPS ではサイトへの接続が暗号化されているため、通信を盗み見ようとしてもアクセスできず、サイトに送信される情報(パスワードやクレジット カード情報など)が開示されることはありません。

Chrome に「保護されていません」という警告を表示することで、ユーザーはアクセスしているサイトへの接続が安全でないことを確認でき、同時にサイトの所有者がサイトのセキュリティを強化するための動機付けとなります。約 2 年前の発表以来、HTTPS の使用は驚異的な伸びを見せました。Google の透明性レポートでは、次のような結果が出ています。
  • Android の Chrome トラフィックは、現在 76% が保護されています(2 年前は 42%)
  • ChromeOS の Chrome トラフィックは、現在 85% が保護されています(2 年前は 67%)
  • 上位 100 位中 83 のウェブサイトが、デフォルトで HTTPS を使用しています(2 年前は 37)
すべての HTTP ページに警告表示を開始するまでに時間がかかることは明らかでしたので、暗号化されていないページでパスワードやクレジット カード情報が収集される場合にマークを付けることから始めました。その後、「保護されていません」という警告が表示される状況をさらに 2 つ追加しました。ユーザーが HTTP ページにデータを入力するときと、シークレット モードで HTTP ページにアクセスしたときです。

Google の最終的な目標は、サイトが安全でない場合にのみ Chrome でマークを表示し、デフォルトのマークのない状態は安全であるようにすることです。2018 年 9 月から「保護された通信」の表示の削除を開始し、徐々にこの目標を実現していく予定です。さらに 2018 年 10 月からは、ユーザーが HTTP ページにデータを入力するときに表示される「保護されていません」の警告を赤に変更する予定です。

10 月に公開される Chrome のバージョン(70)では、HTTP ページにデータを入力すると「保護されていません」という通知が赤字で表示されます。

暗号化を容易にする



Google では、サイトを HTTPS に移行(または新たに構築)しようとしているサイト所有者ができるだけシンプルにコストをかけずに実現できるように、サポートを提供しています。これまで、Google App Engine でのマネージド HTTPS の提供、すべての .app ドメインでの HTTPS 接続の必須化および自動化、(Chrome がプラチナ スポンサーである)Let’s Encrypt による証明書の無料発行と自動認証などの改善を図ってきました。なお、HTTPS への移行中は、Search Console からのメッセージに記載された詳細情報とガイダンスを確認してください。

これからは、サイトが HTTPS でデータを保護していない場合は警告が表示されますので、コンサート チケットを購入したり、オンライン バンキングを利用したりするときもご安心ください。皆様が最も安全なブラウザを使用していると確信できるよう、Google では今後も Chrome のセキュリティを強化していきます。

Google、“コンテキスト・アウェア”なユーザー認証ツールを発表

アプリケーションやオンラインサービス上の情報を保護するにあたり、もはやユーザーネームとパスワードによる認証だけでは不十分だということには、すでに多くの人が気づいているだろう。にもかかわらず、未だほとんどのケースにおいて、このふたつはセキュリティ上の重要なツールとして機能している。問題は、EquifaxAnthemTargetをはじめとするデータ漏えい事件を背景に、ネット上のブラックマーケットで人々のログイン情報が広くやりとりされているという点だ。

Googleはまさにこの問題に取り組むため、本日の(現地時間7/25)Google Nextで、コンテキスト・アウェアなユーザー認証ツールを発表した。このプログラムは、ログイン情報以外の要素を勘案し、ログインしようとしているユーザーが本当にそのアカウントの持ち主なのかを判断できるのだという。

コンテキスト・アウェア・アクセスによって、ウェブサービスの管理者はユーザーをより正確に認証するための追加情報を設定できるようになる。「コンテキスト・アウェア・アクセスを使えば、ユーザーのアイデンティティや位置、リクエストの文脈(コンテキスト)などから、GCP APIやリソース、G Suite、さらにはサードパーティー製SaaSアプリへのアクセスをより細かく管理できるようになる」とGoogleは説明する。

サービスにアクセスしようとしているユーザーについて詳しく知るには、そのユーザーがどこからログインしようとしているかや、ログインに使われているマシンのIPアドレス、時間などの文脈情報を把握することが重要だ。そうすれば、これまでのユーザー行動と照らし合わせ、本当にそのユーザーがアカウントの持ち主なのかを推測しやすくなる。

これは、従来のセキュリティの責任に関する考え方の対極にあると言えるだろう。Googleはこれまでのようにユーザーにだけアイデンティティ証明の責任を負わせるのではなく、必要に応じて運営者側にもある程度の責任(とコントロール)を与えようとしているのだ。

Googleがこのセキュリティツールを開発した背景には、今やユーザーは物理的な場所に縛られなくなっているという現実がある。彼らはモバイルデバイスを頻繁に使い、ウェブ上のアプリやクラウドサービスを利用しているため(さらに上記のようなデータ漏えい事件も相まって)、ユーザー認証のハードルは上がっている。

このプログラムは2011年からGoogleが取り組んでいる「BeyondCorpビジョン」と呼ばれる施策の一環で、彼らの狙いは、オフィスのように明確な境界線がある空間にいないユーザーを支援すること。モバイルやクラウドが一般に普及する前は、決まった場所からシステムにアクセスするのが一般的だった。そのため、もし誰かが外部からアクセスしようとしても、すぐに侵入者を特定し追い出すことができたのだ。

しかしモバイルとクラウドの登場で環境が大きく変わったため、Googleは「ゼロ・トラスト」という概念を打ち出した。これは、サービス上にいるユーザーを1人も信頼しないという前提で、運営者はセキュリティ対策をとらなければならないという考え方だ。ユーザーのアイデンティティはその中心にあると言えるが、たとえゼロトラストモデルのもとでも、運営者はユーザーが自由にサービスにログインし、ビジネスを行える仕組みを整えなければならない。そこで、Googleが今回発表したツールを使えば、ゼロトラストモデルを採用した運営者も、ユーザーネームとパスワード以外にユーザーを認証するための情報を手に入れられるということだ。

コンテキスト・アウェア・アクセスは、現地時間7/25よりVPC Service Controlsのユーザーに対して公開される。Googleによれば、近日中にCloud Identity & Access Management(IAM)やCloud Identity-Aware Proxy(IAP)、Cloud Identityのユーザーも同ツールを利用できるようになるようだ。

Image Credits: pressureUA / Getty Images

原文へ

(翻訳:Atsushi Yukutake

Googleドライブに暗号化サービス導入――Virtruと提携発表

企業及び個人ユーザー向けメール暗号化サービスで知られるVirtruは今日(米国時間7/25)、Googleと提携したことを発表した。これによりVirtruの暗号化テクノロジーがGoogle Driveで利用できるようになる。

数年前にはVirtruはGoogleの承認を得ないままGmailに自社の暗号化サービスを接続していたが、最近ではGoogleもVirtruの方式に価値を認め、全面的に協力するようになっていた。

Virtruの新しいData Protection for Google DriveはGmail向け暗号化サービスをGoogleドライブのファイルに拡張する。ファイルはクラウドにアップロードする前に暗号化される。万一ファイルが組織などの外に漏れても暗号化されたままなので安全だ。暗号化鍵はユーザーが全面的な管理権限を持つためGoogle自身もファイルの平文の内容にはアクセスできない。管理者は暗号化キーだけでなく、個別ファイル、フォルダー、チームドライブに誰がアクセスできるかを管理することができる。

VirtruのサービスはTrusted Data Formatを用いてる。これは同社の共同ファウンダー、CTOのWill AckerlyがNSA職員だった時代に開発したオープン規格だ。

Virtruはプログラマーのハックとして始まったプロジェクトだが、 今回の提携で Googleの G Suiteのデータ保護のための唯一のパートナーとなった。共同ファウンダー、CEOのJohn Ackerlyは私の取材に対して、「われわれは目指していたこと達成できた」と述べた。実際 VirtruのエンジニアはGoogleと密接に協力して開発を行っている。John AckerlyはまたEUのGDPR(一般データ保護規則)の施行に伴い、データのプライバシーに関して再び関心が高まっていることが、特にヨーロッパで、多くのビジネスチャンスを生んでいると述べた。Virtru自身、ヨーロッパにオフィスを開設し、現地のカスタマーサポートに当っている。トータルで8000の組織がVirtruのサービスを利用しているという。

なお今回Googleとの提携が発表されたが、同社はMicrosoftのOffice 365についてもメールの暗号化によりデータ保護をサポートしている

画像:Jaap Arriens/NurPhoto via Getty Images / Getty Images

[原文へ]

(翻訳:滑川海彦@Facebook Google+

エンタープライズG Suiteのアドミンのセキュリティ能力を高度化するツールをGoogleが提供

今日(米国時間7/24)行われたGoogleのCloud Nextカンファレンスでは、G Suiteのアップデートが数多く発表され、その多くはユーザー体験にフォーカスしていたが、それに加えて、アドミンのための新しいセキュリティ調査ツールも紹介された。それはセキュリティの問題を防止ないし検出するための既存のツールを補うもので、G Suiteセキュリティセンターを一層強化することがねらいだ。

G Suiteのプロダクトマネージャ担当VP David Thackerは、次のように語る: “G Suiteのセキュリティセンターの全体的な目標は、アドミニストレーターに、彼らが防止し検出しなければならないものが見えるようにして、セキュリティ問題の解決を促すことだ。今年の初めには、このセキュリティセンターの主要部位を立ち上げて、アドミンによる防止と検出という課題に向けて足場を作った”。

そのツールセットは今回で第三世代となるが、それは、直面している脅威をアドミンがよく理解し、その対策がよく分かっているようにすることが目標だ。Thackerによると、そのためにアナリストとアドミンは多くのさまざまなデータに対し高度なクェリを発行して侵犯されたユーザーを同定し、実際に起きたことを正確に調べられるようになる。このツールによってさらにアドミンは、特定のファイルへのアクセスを遮断したり、悪意あるメールを削除したりできる。“そのためにログを分析したりする必要はない。それをやるためには、長時間かけて複雑なスクリプトを書いたり動かしたりしなければならないからね”、とThackerは言っている。

この新しいセキュリティツールは、G Suite Enterpriseの顧客のEarly Adopter Programとして利用できる。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

GM、フォード、テスラ、トヨタなど、多数の自動車メーカーの企業秘密が誰でもアクセス可能状態になっていた

セキュリティを研究するUpGuard Cyber​​ Riskは、先の金曜日に、GM、フィアット・クライスラー、フォード、テスラ、トヨタ、ティッセンクルップ、そしてフォルクスワーゲンを含む100社以上の製造会社の重要ドキュメントが、Level One Roboticsが所有するサーバー上で誰でもアクセス可能な状態になっていたと発表した。

UpGuard Cyber Riskによれば、工業オートメーションサービスを提供するLevel One Roboticsのサーバーが、大量のデータセットのバックアップを行う際に使われるファイルプロトコルであるrsyncを通して、誰でもアクセス可能な状態になったいたのだ。このデータ漏洩を最初に報じたのはNew York Timesだった。

セキュリティ研究者によれば、このrsyncサーバーにはアクセス制限が掛けられていなかった。すなわち、どんなrsyncクライアントでも、rsyncポートに接続すればデータをダウンロードできたということだ。UpGuard Cyber Riskは、どのようにその情報漏洩状態を発見したのかをここで報告している。これを読めば、一見セキュリティがしっかり守られているように見える大企業のサプライチェーンの中の1企業が、全体にどのように影響をもたらすかがわかる。

このことが意味することは、もしどこを見れば良いかを知っていれば、自動車メーカーによって守られている企業秘密にアクセスできるということだ。今回悪意のある第三者が、実際にデータを手にしたのか否かは不明だ。影響を受けた自動車メーカーの少なくとも1つの情報源がTechCrunchに語ったところによれば、機密もしくは独占的なデータが公開されていたようには見えないということだ。

UpGuardによる教訓は次のようなものだ:rsyncのアクセスはIPアドレスによって制限されるべきである。研究者たちはまた、クライアントがデータを受信するためには認証を行わなければならないように、rsyncのユーザー設定を行うことを推奨する。こうした措置を行っていなければ、rsyncは誰からでもアクセスできる、と研究者は指摘する。

この事案は、157ギガバイトのデータをアクセス可能な状態にしていた。組立ラインの設計図、工場フロアプランとレイアウト、ロボットの配置やドキュメント、IDバッチ申請フォーム、そしてVPNアクセス申請フォームといった、10年分におよぶ情報の宝の山だったのだ。公開されていたデータの中には、テスラのものも含む重要な機密保持契約(NDA)も含まれていた。

他にもLevel Oneの一部の従業員の個人情報の詳細、例えば運転免許証やパスポートのスキャンイメージや、Level Oneのビジネスデータ、例えば請求書、契約書、銀行口座の詳細などがアクセス可能な状態になっていた。

セキュリティチームがこの問題を発見したのは米国時間7月1日である。彼らは7月9日にはLevel Oneへ接触を行い、翌日には問題に対する措置が行われ公開は停止した。

[原文へ]
(翻訳:sako)

画像: Guus Schoonewille/AFP / Getty Images

サーバーレスコードを保護するPureSecがベータを終了

イスラエルのスタートアップPureSecは、本日(米国時間7月19日)ベータを終了し、サーバーレスコンピューティングをよりセキュアに保つ手段の提供を始めた。

サーバーレスコンピューティングは、特定のイベントが発生したときに自動的にアクションをトリガーする。このためプログラミング作業がファンクションの記述へと簡素化される。クラウドベンダーがインフラを担当するので、そこで開発者たちは核となるコードを書くだけとなる。まるで技術者のためのシャングリラ(理想郷)のように聞こえるかもしれないが、現実的にはセキュリティ上の懸念が残されている。

ほんの数ミリ秒で終わってしまうプロセスは従来型の攻撃の対象にはならないと思うかも知れないが、実際はサーバーレスファンクションは人間によるチェックと調整が不要になるように設計されるため、もしファンクションの設定が不適切なら脆弱なものになってしまう、と同社の共同創業者Ory Segalは語る。

他の種類のクラウドセキュリティと同様に、サーバーレスコンピューティングにも共通のセキュリティモデルがある。ベンダーの立場からは、データセンターやシステムが安全であることはベンダー側が保証するが、アプリケーションレベルでは開発者側の責任となる。確かに、これまで私たちは、アプリーケーションの脆弱性が放置され、その結果データが漏洩した多くの事例を目撃してきた。

Segalによれば、1つのファンクションはアクションを実行するわずか数行のコードに過ぎないかもしれないが、そうしたアクションは通常1つ以上の外部サービスとのやりとりを伴っていると言う。その際に、ファンクションを操作して、意図されていなかった事、例えば悪意あるコードを挿入するといったことを行うチャンスが現れる。

PureSecのプロダクトは、サーバーレスコードの中を見て、コードの中に残存しているかもしれない脆弱性について指摘してくれる。もしお望みなら、そうした問題を修正することさえ可能だ。また、ダッシュボードからコードのセキュリティプロファイルを設定し、問題が発生した際に、それらを追跡するためのアクティビティのログを表示することもできる。

スクリーンショット: PureSec

 

Segalは、同社が創業した2016年は、AWSがLambdaサーバーレスプロダクトをローンチしてからわずか2年後のことだったと語る。当時、それは広く使われておらず理解されてもいなかった。今でもサーバレスコンピューティングは開発の初期段階にとどまっているが、成長させるためにはセキュリティのような下支えをするツール群の登場が必要なのだ。

PureSecはサーバーレスのセキュリティを提供するためにゼロから開発されており、それ自身もサーバーレスアーキテクチャ上に構築されている。Segalが指摘するように、従来のセキュリティプロダクトは、対象がサーバーにせよネットワークにせよ、何かを事前に展開しておくためのインフラを必要としている。だがサーバーレスアーキテクチャの下では、イベントがトリガーされるまでは、展開される基盤アーキテクチャは決まっていない。クラウドプロバイダーはプロセスを完了させるために必要な、計算力、メモリ、そしてストレージをイベントに応じて決定して行くのだ。

Crunchbaseによると、同社は今日までベータ版で、シード投資で300万ドルを調達している。テルアビブの拠点には11人の従業員がいる。

[原文へ]
(翻訳:sako)
画像: Doucefleur / Getty Images

AppleのiCloudの中国のユーザーはオプトアウトしないかぎりデータを国営企業に握られる

中国に住んでいる中国人で、iCloudのデータをローカルに保存させることをまだオプトアウトしていない人は、それを今やるべき良い理由がある。その情報は、中国のiCloudユーザーに帰属するデータであり、メールやテキストメッセージなども含まれる。それらをこれからは、中国の国営通信社China Telecomがどこかに保存するのだ。

この事業者のクラウドストレージ部門であるTianyiが、iCloud Chinaを支配する、とChina TelecomのWeChatポストが言っている。Appleも本誌TechCrunchに対して、この変更事項を確認した。

Appleのデータが同社のアメリカのサーバーから中国のサーバーへ移行することは、中国政府が個人や企業の微妙なデータに容易にアクセスできることを意味する、という大きな懸念がある。その発表の前には、中国のユーザーの暗号鍵もすべてアメリカに保存されていたから、当局が情報にアクセスするためにはアメリカの法律でそれを認められなければならない。それがこれからは、中国の法廷と、政府の情報管理者の管轄になる。

Appleの言い分は、中国当局の許可を得るためにはそうせざるを得なかった、というものだ。それは、納得できる説明ではない。

皮肉にもアメリカ政府は、国の安全保障を理由に中国の通信機器メーカーZTEを追及している。中国当局とのつながり、という嫌疑もある。それなのにアメリカの巨大企業のひとつが、ユーザーデータを中国の国営企業に委(ゆだ)ねているのだ。

唯一の救いは、中国のAppleユーザーはiCloudのアカウントで中国以外の国を指定すれば、ローカルデータの保存をオプトアウトできることだ。でも、今日(米国時間7/17)それをしても、実際にデータが移転したのか、中国のサーバーからは確実に削除されたのか、確認できない。だから新しいアカウントを作るのが現時点では最良のオプションかもしれない。

情報をありがとう、@yuanfenyang

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

InstagramがSMSを使わない二要素認証を導入、SIMを悪用するハッカーを撃退

ハッカーは被害者の電話番号を別のSIMカードに割り当て、それを使ってパスワードを変え、Instagramなどのアカウント情報を盗み、それらをBitcoinで売る。今日(米国時間7/17)のMotherboard誌のおそろしい記事によると、とくにInstagramのアカウントには、SMSを使う二要素認証しかなく、しかもユーザーはテキストメッセージでパスワードやログインコードを変えたりするので、きわめて危険である。

しかしInstagramによると同社は今、SMSを使わない二要素認証を構築中だ。それはGoogle AuthenticatorやDuoなどのセキュリティアプリを利用し、ログインに必要な特殊なコードを生成するが、それは、電話番号がハッカーのSIMカードに移されていたら生成されない。

InstagramのAndroidアプリのAPKの中にはすでに、近くアップグレードされる二要素認証(2 factor authentification, 2FA)のコードが含まれている、と本誌の常連たれこみ屋Jane Manchun Wongが言っている。これまでも本誌TechCrunchは彼女のおかげで、Instagram Video CallingUsage Insightssoundtracks for Storiesなどのスクープをものにできた。

そのスクリーンショットをInstagramのスポークスパーソンに見せたら、同社がSMSを使わない2FAに取り組んでいることを認めてこう言った: “Instagramのアカウントのセキュリティを改良する努力は継続的に行っており、二要素認証の強化もその一環だ”。

Instagramは、ユーザー数が4億に達した2016年にもまだ2FAをやっていなかった。2015年の11月にぼくは、Seriously. Instagram needs two-factor authenticationという記事を書いた。ぼくの友だちでInstagramのストップモーションアニメのスター的な作者Rachel Ryleがハックされ、収入源でもあるスポンサーを失った。Instagramはその話を聞いて、三か月後にSMSを使うもっともベーシックな2FAを開始した

でもその後、SIMの悪用が、ますます多くなってきた。ハッカーがよく使う手は、モバイルのキャリアに電話をしてユーザーになりすましたり、社員を騙したりしてユーザーの番号を自分のSIMカードに移す。そして彼らは、Motherboardが報じているように、ユーザーの人に見せたくない写真や、暗号通貨の空のウォレットなどを盗み、また@tとか@Rainbowのような人気のソーシャルメディアハンドルを売ったりする。SIMの悪用には、ハッカーの金儲けの機会がたくさん転がっている。この記事には、自分の電話番号の守り方が書かれている。

このハッキングのテクニックがもっともっと、広く知れ渡るようになれば、多くのアプリがSMSに依存しない2FAを採用するだろう。そしてモバイルのプロバイダーは電話番号の他のSIMへの移行をより困難にし、ユーザーは自分のアカウントを守るための面倒な作業を我慢するだろう。自分自身の本人性も、そしてそのお金なども、ますますデジタル化が進めば、そのPINコードや認証アプリが、家の戸締まりと同じぐらい重要になる。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

Valimailを使うとハッカーがメールであなたのボスになりすますことがなくなる

詐欺的な偽メールの到来を防ぐValimailが今日(米国時間7/11)、そのなりすまし撃退サービスに新しい機能を加えた。これで、悪質なハッカーたちがメールで自己を詐称することが、一層難しくなるだろう。

Valimailは最初、ユーザーの発信メールの信頼度を高める方向にフォーカスしていたが、Valimail Defendと呼ばれる新たなソリューションでは、偽の着信メールを利用する二つのタイプの攻撃に焦点を当てている。よく似た名前のドメイン(たとえばtech-crunch.com…本物はtechcrunch.com)を使うやつと、友だちなどへの“なりすまし”だ。後者は、たとえば同じ会社の中など、一見正しいアドレスを使用する。

ValimailのCEOで協同ファウンダーのAlexander García-Tobarは語る: “うちのクラウドファーストななりすまし撃退ソリューションは、最初から完全に自動化するつもりだった。その結果今では、顧客のドメインをなりすましから守る能力では最高、と評価されている。その最新の進化であるValimail Defendは、これまでの経験を踏まえて、エンタープライズや政府機関にメールのなりすましに対するもっとも進んだ保護を提供する”。

その新しいサービスは今年のQ3に可利用になり、既存のValimail Enforceブランドのソリューションを補完する。後者は、DMARCの強制やそのほかのテクニックで、発信メールの認証などのサービスを提供する。

セキュリティ侵犯の多くがなりすましメールを利用しているから、その対策は企業のセキュリティの最重要な目標になっている。しかしそういう詐欺的行為の多くは、ごく基本的なルールベースのアプローチで防止できる。しかしValimailの主張では、そういうルールの適用処理そのものは、機械学習を使う方がはるかに効果的である。

現在のValimailの顧客には、Splunk, City National Bank, Yelpnなどがいる。Yelpの技術部長Vivek Ramanはこう語る: “Valimailの自動化方式は効果的であると同時に効率的だ。ほかの方法は長時間かかる人海作戦が多いが、Valimailなら人手も時間も要らない。この次世代型の自動化なりすまし撃退技術には、とても感嘆している。Valimailは、完全なエンドツーエンドのソリューションだ”。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

アメリカ空軍のドローンのドキュメンテーションがダークウェブで200ドルで売られていた

ダークウェブ(dark web, 闇ウェブ)の上には、あなたが想像すらしなかったものがある。6月にはセキュリティ調査企業Recorded Futureの危機情報(threat intelligence)チームInsikt Groupが、ダークウェブのマーケットプレース上の犯罪行為をモニタしているときに、アメリカの機密軍事情報が売られていることを発見した。

Insiktの説明によると、一人の英語を話すハッカーが、無人航空機MQ-9 Reaperのドキュメンテーションがある、とほのめかした。そして驚いたことにそのハッカーは、それを150ドルか200ドルで売る、と言うのだ。

Insikt Groupによると、そのドキュメントは極秘扱いではなかったが、いくつかの機密資料を含んでいた:

  • M1 Abramsメンテナンス・マニュアル
  • 戦車小隊訓練教程
  • 搭乗員生存教程(サバイバルコース)
  • 簡易爆発物対抗戦術

Insiktは、そのほかのドキュメントもアメリカ陸軍の職員やペンタゴンから盗まれたようだ、と言っているが、しかしその情報のソースは確認されていない。

そのハッカーは、フォーラムに参加してこれらのドキュメントをあからさまに売るつもりだったようで、米軍の不注意な職員からそのほかの軍事文書を入手したこともある、と認めた。Insikt Groupが調べていくと、ハッカーはドキュメントを、不正な構成のFTPログイン認証情報を使い、Netgearのルーターにアクセスして入手したことが分かった。ハックしたドローンのドキュメントのソースについて尋ねると、その犯人はMQ-1 Predatorドローンからの撮影記録にもアクセスした、と認めた。

彼の手口はこうだ(出典–Insikt Group):

犯人は、Webサイトだけでなくコンピューター本体を検索できる検索エンジンShodanを使ってインターネットを広範囲にスキャンし、著名なサイトで標準的なポート21(FTP)を使っている構成不良なルーターを見つけ、そこから侵入したマシンから貴重なドキュメントをハイジャックした。

上記の方法でハッカーはまず、ネバダ州クリーチの空軍基地にある第432航空機メンテナンス中隊Reaperドローンメンテナンス担当部隊の大尉のコンピューターに侵入し、機密ドキュメントのキャッシュを盗んだ。その中には、Reaperのメンテナンス教本やReaperメンテナンス部隊に配属された航空兵の名簿もあった。教本のたぐいは極秘文書ではないが、敵対勢力の手に渡ると、そのもっとも技術的に高度な航空機〔Reaperドローン〕の技術的能力や弱点を探る手がかりになりえる。

Insikt Groupによると、ハッカーが軍事機密をオープンなマーケットプレースで売ることは“きわめて稀”である。“平凡な技術的能力しか持たないハッカーが単独でいくつかの脆弱な軍部ターゲットを見つけ、わずか1週間で高度に機密的な情報を気づかれずに取り出せたことは、もっと高度な技術と豊富な財政力を持つ確信犯組織だったら何ができるだろうか、という怖ろしい想定にわれわれを導く”、と同グループは警告している。

画像クレジット: Andrew Lee/アメリカ合衆国空軍

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

既存のビデオの無断再ロードを見つけて削除するツールをYouTubeが提供開始

YouTube上のビデオの再ロードは、ほかの人の作品で利益を得ようとする詐欺的チャネルが好む手段だ。著作権保有者が自分のコンテンツを守る方法はいろいろあるが、しかし今日(米国時間7/11)は、このサービス自身が新しいツールを導入した。それは、アップロードされたビデオをスキャンして、既存のビデオとの同一性や類似性をチェックするツールだ。

この“copyright match,”と呼ばれるツールは、短いクリップは対象とせず、ビデオ全編だけを対象にする。またYouTubeの重要な注記によると、ビデオの作者がそのビデオを最初にアップロードする/した人物でなければならない。ツールは単純な時間順で“再利用”を判断するからだ。

そのツールがマッチを見つけたら作者は、自分のつまらない猫のビデオを誰かが気に入ってくれた、と満足して何もしないか、偽作者に連絡して事情を聞くか、あるいはYouTubeにそれを削除してもらう。この最後のオプションが、たぶんいちばん多いだろう。

しかしこれは、YouTubeの既存のプログラムContent IDによく似ており、使われている技術もほぼ同じではないかと思われる。しかしYouTubeによると、このツールは無断の再アップロードの検出に力点が置かれている。これに対してContent IDは、音楽や音楽ビデオや、トレイラー、演奏の録画などの著作権保有者のためのツールだ。

来週からこのコピーライトマッチツールは10万あまりのクリエイター/サブスクライバー向けに展開される。そして数か月後には、一般ユーザーも使える予定だ。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

Netgearのセキュリティカメラ部門Arloがスピンオフして早くもIPOを申請

NetgearArlo事業部は、このネットワーキング企業にとって意外なヒットだった。その一連のカメラは市場にとって比較的新しかったが、でもコネクテッドセキュリティの分野を完全に支配し、同社に新しい活力をもたらした。

2月にNetgearは、取締役会の全会一致でArloをスピンオフし、IPOの計画も発表した。そして今週同社は、そのためのS-1書類をSECに提出した。このセキュリティカメラ企業はさらに、ニューヨーク証券取引所に“ARLO”というチッカーシンボルを申請した。準備万端だね。

発表されたプレスリリースによると、株数とか値域は未定だ。しかし今年の初めには、普通株の20%弱を発行し、残りは会社が保有する、とほのめかしていた。いずれにしても、すべて、SECの承認待ちである。

同社によると: “今回の株式公募における主幹事会社はBofA Merrill Lynch, Deutsche Bank Securities, そしてGuggenheim Securitiesである。Raymond James, Cowen, およびImperial Capitalが共同幹事会社となる”。

Arlo部門は、Netgearにとって大成功だった。Ring, Nest, Canaryといった強敵のいる、混みあった市場なのに、健闘した。同部門は2016年から2017年にかけて、売上が倍増した。それは市場が成熟して、コネクテッドホームデバイスの本格的な普及が始まっているからだ。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

シドニー空港がフェイススキャン(顔認識)によるチェックインを試行

オーストラリアは、パスポートによるチェックインをフェイススキャンに置き換えようとしている。その、昨年発表された計画が今週の初めから、シドニー空港でQantasの乗客に対して試行されることになった。それは、従来の紙のパスポートに依存する“不便”を駆逐する試みだ。

シドニー空港のCEO Geoff Culbertが、プレスに配った声明でこう述べている: “この計画で最初から協働しているQantasと、このたび共に試行期を迎えられたことは、まことに喜ばしい。未来には、チェックイン時にパスポートとバッグで曲芸を演じたり、ポケットやスマートフォンの中を探しまくって搭乗券を見せることが、まったくなくなるだろう。最初から最後まで、お客様のお顔がパスポートであり搭乗券なのだ”。

まだきわめて初期的な段階だが、ここまで来るだけでも相当な時間を要している。このような技術をシドニーの年間4300万名の乗客に対し実装することは、相当大きな事業だ。しかも、それに随伴するセキュリティやプライバシーの課題も、複雑極まりない。

公共の見地から、セキュリティを疑問視する声も、当然ながらある。

キャンベラ大学のBruce Baer Arnold助教授は、The Financial Review誌宛ての声明で、こう語る: “テロの防止などをセキュリティの根拠として挙げるのなら、ショッピングモールや公共の広場、メルボルンクリケット場のようなスタジアムなどでも採用すべきだ。人が集まるところなら、どこにでもだ。でもそれは、資金的にも技術的にも大げさすぎる。バイオメトリクスはきわめて強力で本物の社会的利益を作りだすが、同時に本物の危害も作りだす。昔から、金槌を持っていると何もかも釘に見える、と言うが、テクノロジーの過信にもその危険性がある”。

試行は最初、一部の国際線の便に対して行われ、チェックインと搭乗と待合室入場と手荷物預けの場面で顔チェックを行う。そして今後は、モバイルのチェックインや通関でも実装したい、と言っている。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

Gmailの内容がサードパーティ開発者に読まれている可能性あり?Googleは「ユーザーの同意を得ている」と説明

eng-logo-2015Googleがサードパーティ製アプリの開発者に対して、ユーザーのGmailの内容を読むことができる権限を与えているとの報道が伝えられています。タイムスタンプや受信者、送信者およびテキスト内容まで、すべてAIや人間の従業員が閲覧できる可能性があるとのこと。

こうした「ユーザーのGmailを読む」権限は、一応はユーザーが同意を与えた場合のみ与えられるもの。ただしユーザーがどのようなアクセス許可を与えているのか十分に理解しているかどうかは疑わしいと、同報道を伝える米WSJは指摘しています。

さらにWSJの取材に対して、Googleは同社の従業員がGmailの内容を読むこともあると回答。ただし「かなり特殊な場合」とした上で「セキュリティ上の理由、バグや不具合の調査」に必要なときのみに限られるとしています。
サードパーティ製アプリとして例示されているのは2つ。1つは「Return Path」で、マーケティング担当者向けに1日1億件以上の電子メールを分析するもの。事情通によれば、開発元の従業員は2年前に約8000件のメールを閲覧したとされています。

もう1つのアプリは、ユーザーのメール運用を支援する「Edison Software」。こちらはスマートリプライ(返事の自動作成)機能開発のために、人間の従業員が何百人ものユーザーのメールを読んだと伝えられています。

両社の担当者は、こうした慣行はユーザー契約に基づいて行われており、従業員は閲覧したメールに関して「できること」と「できないこと」の厳格な規約に従っていると回答したとのこと。

とはいえ、WSJがGmai統合サードパーティ製アプリに関わった現従業員および元従業員、20人以上にインタビューした結果、このようなルールは厳密には守られていないとか。

Googleのデベロッパー契約では、ユーザーの個人情報を「本人からの明示的な同意なしに」他の誰かに公開することを禁じているものの、サードパーティ開発者たちは「Googleがこれらのポリシーを実施することはほとんどない」と述べたとも伝えられています。

こうした一連の報道に対して、Googleは公式ブログで「Gmailのセキュリティとプライバシーの確保」というエントリを公開。同社がGmailと統合されたアプリおよびアプリ開発者を徹底的に調査していると述べた上で、「データの透明性と(ユーザーによる)制御」がプライバシー保護の重要な原則であると強調。

本エントリでは、サードパーティ製アプリがGmailのデータにアクセスする前に、アクセスできるデータの種類とデータの使用方法を明確に示す許可画面が表示される基本ポリシーを再確認。その上で、ユーザーに対して確認画面を確認することを強く推奨しています。

一応、サードパーティがユーザーのGmailを閲覧する上で、形式的には相手の許可を得ているものの、実際は「プライベートなメールの内容まで読んでいいと同意した」とは流れ作業の中では認識しにくいもの。

さらにいうと、これまでGoogleが全てのアプリについて「権限付与への同意」を徹底してきたかは、厳密には検証できません。今後はサードパーティ製アプリの登録画面で「メールを閲覧していい」と許可を求める文言がないかどうか、十分に注意を払いたいところです。

Engadget 日本版からの転載。

Tinderがハッキングや脅迫を防ぐためにセキュリティを強化

今週Tinderは、オレゴン州上院議員Ron Wydenから送られた、同社のアプリに存在する(脅迫やその他のプライバシー侵害につながる可能性がある)セキュリティホールを塞ぐ要請の書簡に回答した。

Wyden上院議員宛ての書簡の中で、Match Group法務顧問Jared Sineは、アプリに加えられた最新の変更について説明している。それによれば6月19日の時点で「スワイプデータはパディングされ、全てのアクションデータはいまや同じサイズになった」ということだ。またSineは、モバイルアプリ上の画像データは2月6日の時点で完全に暗号化されるようになったこと、一方ウェブバージョンのTinderでは画像は既に暗号化済だったことも付け加えた。

Tinderの問題は、まずCheckmarxの調査チームによる報告書の中で指摘された。そこではアプリの「好ましくない脆弱性」と、脅迫につながる可能性が報告されていた:

AndroidとiOSの両方のバージョンに見られるアプリの脆弱性により、ユーザーと同じネットワークを使用する攻撃者は、アプリ上でのすべての動きを監視することができる。また攻撃者は、ユーザーが見ているプロフィール写真に関しても操作することが可能となり、それらを不適切なコンテンツに差し替えたり、悪質な広告を流したり、その他の悪意あるコンテンツを表示することができる(本報告書の中で例示されてる)。

このプロセスには機密情報の盗難や、直接的な金銭的影響はないものの、脆弱なユーザーを標的にした攻撃者が、犠牲者を恐喝し、Tinderプロファイルやアプリの動作から高度な個人情報を抜き出し暴露する危険性がある。

2月には、WydenがTinderに対して、サーバーとアプリの間を移動する全てのデータを暗号化たり、データパディングを行うことによってハッカーの目からそれらを区別しにくくしたりして、脆弱性の問題に対処するように要請していた。当時TechCrunchに届けられた声明によれば、TinderはWyden上院議員の懸念を受けて、そのプライバシー保護を強化の一環として、すでにプロフィール写真の暗号化を実装したと述べていた。

「すべてのテクノロジー会社と同様に、悪意のあるハッカーやサイバー犯罪者との戦いにおいて防御を強化するために、私たちは常に努力している」とSineは述べている。「私たちの目標は、業界のベストプラクティスに見合うだけでなく、それらを上回るプロトコルとシステムを持つことである」。

[原文へ]
(翻訳:sako)

Gentoo LinuxのGitHubリポジトリにハッカーが侵入、無傷なコードをバックアップから復元

セキュリティ企業Sophosの研究者たちによると、人気のLinuxディストリビューションGentooが“完全にやられて”、現在そこにあるコードはどれも信頼できない、という。そして彼らは直後にアップデートをポストし、コードはすべて無事だった、と述べた。ただし彼らはGitHubのリポジトリをpullし、彼らが完全無欠なコードのフレッシュコピーをアップロードするまでは現状を維持する、と言っている。

Gentooの管理者たちは、次のように書いている: “本日6月28日のほぼ20:20 UTCに、未知の個人〔複数形〕がGitHub Gentooのコントロールを取得し、リポジトリのコンテンツと、そこにあるページを改変した。被害の範囲を目下調査中であり、コード編成とリポジトリのコントロールを取り戻すべく、努力している。現時点では、github上でホストされているすべてのコードが侵害された、と見なすべきである。ただし、Gentoo自身のインフラストラクチャの上でホストされているコードには、被害が及んでいない。そしてGithubはそのミラーにすぎないので、gentoo.orgからrsyncまたはwebrsyncするかぎり、何も問題はない”。

Gentooのアドミンたちがコードの自分たち用のコピーを保存しているので、回復不可能なまでに破壊されたコードは存在しない。Gentooによると、被害を受けたコードにはマルウェアやバグが潜んでいる可能性があるので、復旧するまではGitHubバージョンは避けるように、ということだ。

“Gentoo Infrastructureのチームが侵入箇所を同定し、悪用されたアカウントをロックした”、とアドミンたちは書いている。“GentooのコードとMuslおよびsystemdは、GitHubの三つのリポジトリにある。これらのリポジトリのすべてが、既知の良好な状態へリセットされた”、という。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

ウェブスパムに対する Google の取り組み – ウェブスパム レポート 2017

Google が常に心がけているのは、Google 検索で情報を探しているユーザーにできる限り質の高い検索結果を提供することです。しかし、検索結果の掲載順位を操作し、そこから利益を得ようとする悪質な行為も後を絶ちません。こうした行為は、「世界中の情報を整理し、世界中の人々がアクセスできて使えるようにする」という Google の使命とは相反するものです。Google は長年にわたって、こうした検索における不正行為やスパムとの闘いに多大な労力を費やしてきました。ここでは、2017 年に Google がどのように不正行為と闘っていたかを紹介します。

Google では、ウェブマスター向けガイドライン(品質に関するガイドライン)に違反するさまざまなタイプの不正行為をまとめて「スパム」と呼んでいます。独自に分析したところ、ユーザーが検索結果からアクセスしたサイトがスパムサイトだった割合は長年 1% を下回っており、さらにここ数年は 0.5% 以下に抑えることができています。

2017 年のウェブスパムの傾向と Google の取り組み

スパムとの闘いはまさにイタチごっこです。対策をとれば、スパマーたちがそれをすり抜ける方法を編み出してきます。2017 年を象徴する傾向の 1 つが、掲載順位の操作やマルウェアの拡散を目的とするウェブサイトへのハッキングの増加でした。ハッキングされたウェブサイトは、ユーザーにとって重大な脅威となります。ハッカーはサイトを完全な支配下に置いて、ホームページを改ざんしたり、有益なコンテンツを削除したり、マルウェアや有害なコードを挿入したりできるからです。また、パソコンなどのキー入力を記録したり、オンライン バンキングや金融取引のログイン認証情報を盗んだりすることもあります。2017 年はこの脅威を軽減することに力を入れ、ハッキングされたサイトの 80% 以上を検知して検索結果から除外できるようになりました。しかしハッキングは、検索を行うユーザーだけでなく、ウェブサイトの所有者にとっても深刻な脅威です。そこで Google では、所有者がウェブサイトを安全に運営できるよう、サイトのセキュリティを強化するための実践的なガイドを提供するとともに、サイトがハッキングされたときの対処方法をまとめたガイドも一新しました。このガイドは 19 の言語でご利用いただけます。

Google は、堅牢なコンテンツ管理システム(CMS)の重要性も認識しています。多くののウェブサイトは、主要な CMS のいずれかで運営されています。そしてスパマーは、ユーザー生成コンテンツを悪用する(たとえばコメント欄やフォーラムにスパム コンテンツを投稿する)方法を見つけることで、CMS のセキュリティ上の弱点を突いてきます。Google は、主要な CMS を提供している WordPress や Joomla がフォーラム、コメント欄、ウェブサイトを悪用するスパム行為への対策を取れるよう緊密に連携し、支援しています。

他にも典型的な不正行為として挙げられるのが「リンクの操作」です。リンクは、Google 検索での掲載順位を決める基礎的な要素の 1 つです。2017 年は、ランキング手法の改善と手動による対策の強化を通じて不自然なリンクの削除に力を注ぎ、スパムリンクを前年比でほぼ半数にまで減らしました。

より快適なウェブの実現に向けたユーザーやウェブマスターとの連携

Google は皆様からの報告を歓迎します。スパムの検出やブロックは自動化されたシステムにより常に行われていますが、「フィッシングの疑いがある」といった報告はいつでもお寄せください。検索スパムに関するユーザーからの報告は、昨年 1 年間で 9 万件近く寄せられました。

スパムやマルウェアなどの問題を Google に報告していただくことは、サイトの所有者や検索ユーザーを不正行為から守ることにつながります。報告フォームは、スパムフィッシングマルウェア用にそれぞれ用意しています。これまでにご報告いただいたすべての方に感謝するとともに、今後も引き続きご協力いただきますようお願いいたします。

さらに Google は、ウェブ エコシステムの健全性を維持するため、ウェブマスターのみなさまとも積極的に連携しています。

昨年は、ウェブサイトに問題があることが特定されたサイトの所有者宛てに、Search Console を通じて 4,500 万通のメッセージを送信しました。そのうち 600 万通を超えるメッセージが手動による対策に関わるものです。透明性のあるコミュニケーションにより、ウェブマスターのみなさまがウェブサイトが手動による対策の対象になった理由や問題を解決する方法を理解することができるようにしています。

新しい Search Console のベータ版をリリース(英語)したのも昨年でした。当初は一部のユーザーに限定してリリースし、その後すべての Search Console ユーザーに公開しました。ユーザーの皆様が何を必要としているかをお伺いして、検索パフォーマンス レポートや、インデックス カバレッジ レポートなど、要望の多かった機能から順に追加しています。こうした機能の拡充により、Google 検索での掲載の最適化がさらに簡単になっています。

Google は、セーフ ブラウジングの保護機能を強化し、不正なコンテンツ等からユーザーを保護しています。昨年は、この機能を大幅に改良しました。macOS 端末(英語)への保護対象の拡大、Chrome へのフィッシング予測保護機能(英語)の追加、望ましくないモバイル ソフトウェア(英語)への厳正な対処などのほか、不正な Chrome 拡張機能のインストール(英語)からユーザーを保護するために大幅な改善を加えました。

ウェブマスターの皆様とコミュニケーションするためのチャンネルも多数ご用意しています。オンラインやオフラインで皆様のお話を伺う専門スタッフを配置するとともに、オンライン オフィス アワー、オンライン イベント、オフライン イベントは世界 60 以上の都市で 250 回以上開催し、22 万人を超えるウェブサイトの所有者、ウェブマスター、デジタル マーケティング担当者の皆様にご参加いただきました。また、公式のヘルプ フォーラムでは、さまざまな言語で寄せられた膨大な数の質問にお答えしています。昨年 1 年間にフォーラムで生成されたスレッドは 6 万 3 千件にのぼり、世界中の 100 人以上のトップレベル ユーザーが 28 万件もの回答を投稿してくれました(詳しくはこちらの投稿をご覧ください)。フォーラムブログSEO スターター ガイドに加え、Google ウェブマスターの YouTube チャンネルでもさまざまなヒントやアイデアを紹介しています。新たに SEO スニペットという動画シリーズも始まりました。SEO に関する具体的な質問に、スペシャリストが簡潔かつ的確にお答えしています。この機会にぜひチャンネル登録してください。

以上のように、昨年 1 年間でさまざまな改善を施しましたが、もちろんこれで終わりではありません。Google が追い求めるのは、不正行為を一切心配する必要のないユーザー エクスペリエンスの実現です。これからもウェブ エコシステムに関わる皆様のご協力をいただきながら、引き続き改善に取り組んでまいります。

Docker Hubから誰でもダウンロードできるコンテナイメージに暗号通貨採掘ボットが潜んでいた

セキュリティ企業のFortinetKromtechが、17の汚染されたDockerコンテナを見つけた。それらはダウンロードできるイメージだが、中に暗号通貨を採掘するプログラムが潜んでいる。さらに調べた結果、それらが500万回ダウンロードされたことが分かった。ハッカーは安全でないコンテナにコマンドを注入し、それらのコマンドが、本来なら健全なWebアプリケーションの中へこの採掘コードをダウンロードしたのだろう。研究者たちがそれらのコンテナを見つけたのは、ユーザーのイメージのためのリポジトリDocker Hubの上だ。

研究者の一人David Maciejakはこう書いている: “もちろん、これらがマニュアルで(手作業で)デプロイされたのではないことは確実だ。というか、犯行は完全に自動化されていたらしい。いちばん高い可能性として、犯人は構成が正しくないDockerとKubernetesのインストールを見つけるスクリプトを作ったのだろう。Dockerはクライアント/サーバシステムだから、REST APIで完全にリモートで管理できる”。

そのコンテナは今やどこにもないが、ハッカーは最大で9万ドルの暗号通貨を持ち逃げしたかもしれない。小額だが、このようなハックとしてはかなりの額だ。

Kromtechのレポートを書いた著者の一人はこう語る: “Kubernetesのようなオーケストレーションプラットホームの構成を間違えて、外部に公開された状態になってるところがとても増えているから、ハッカーはこれらのプラットホームにMoneroの採掘を強制する完全自動化ツールを作れるのだ。悪質なイメージをDocker Hubのレジストリにプッシュし、それを被害者のシステムから取り出す。この方法でハッカーは544.74Moneroを採掘できた。ほぼ9万ドルに相当する”。

DockerのセキュリティのトップDavid Lawrenceは、Threatpostのレポートでこう書いている: “GitHubやDocker Hubのような公開リポジトリは、コミュニティの便宜のためにある。でも、オープンで公共的なリポジトリやオープンソースのコードを扱うときには、お勧めしたいベストプラクティスがいくつかある。1)コンテンツの作者が分かること、2)実行の前に画像はスキャンすること、3)そしてDocker Hubにあるキュレートされたオフィシャルな画像を使うこと、4)できるかぎりDocker Storeの認定コンテンツを使うこと”。

興味深いのは、最近のハッカーはAmazonのAWS Elastic Computeのサーバーよりも、そのほかのコンテナベースのシステムを襲う傾向がある。DockerとKubernetesのコンテナを管理するセキュリティシステムはいろいろあるが、ユーザーも自分の脆弱性に警戒し、しっかり評価して、ハッカーにやられるスキがないようにしよう。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa

MicrosoftはWindows IoTデバイスのアップデートを10年間保証

もしWindows 10 IoT Core Serviceを実行する重要なIoT機器を持っていたとしたら、ある一定期間はそのセキュリティやOSのパッチに関して、心配したくはないだろう。Microsoftはこの種のデバイスを運用している顧客に対して、10年間アップデートを保証する新しいプログラムを提供することで安心させようとしている。

基本的なアイデアは、サードパーティのパートナーがWindows 10 IoT Core Service上にアプリケーションを構築する際に、Microsoftに支払いを行うことで、開発機器に対するアップデートを10年間受けられることが保証されるというものだ。これは、パッチの適用されていないアプリケーションによって、対象となる重要機器が脆弱となることが起きないことを顧客に保証する役を果たす。

とはいえ、このサービスはアップデートの提供以上のことも行う。OEMに対して、アップデートを管理し、デバイスの健康状態を評価することもできるようにするのだ。

「Windows IoT Core Serviceは、パートナーたちが、業界をリードするサポートによってバックアップされた、セキュアなIoTデバイスを商品化することを可能にします。したがって、デバイスメーカーは、OS、アプリケーション、およびOEM固有のファイル設定のアップデートを管理する能力を持つことなります」と、新興市場向けビジネス開発のディレクターであるDinesh Narayananは説明する。

このことにより、OEM企業はヘルスケア機器やATMのような機械向けのWindowsベースのアプリケションを開発し、その機能を長期間に渡って維持していくことが可能になる。こうしたデバイスは、例えばPCやタブレットなどに比べて、長期間に渡って使われる傾向があるため、こうした長期間のアップデートサービスは特に重要なのだ。「私たちは、長いライフサイクルを持つこれらのデバイスのために、サポートを延長し、そのサポートに長期にわたり取り組んでいきたいと思っています」とNarayananは言う。

長期のサポートが提供される中で、顧客たちはDevice Update Centerにアクセスし、いつどのようにデバイスがアップデートされるかをカスタマイズすることも可能だ。また、 Device Health Attestation(デバイス健全性認証)と呼ばれる別レベルのセキュリティも含まれている。これによってOEMは、機器のアップデートを行う前に、サードパーティのサービスを用いてその信頼性を評価することができる。

これらのすべてが、成長するIoT分野でMicrosoftに足がかりを与え、これらのデバイスの増加と共に、オペレーティングシステムを提供できるようにデザインされている。場合によってかなり異なる場合があるが、ガートナーは2020年には少なくとも200億台の機器がオンラインになるだろうと予想している。

これらの機器すべてがWindowsによって動作したり、高度な管理機能を必要とするわけではないが、ベンダーは、デバイスを管理しアップデートを行うこのプログラムを利用することで、高度な管理機能を手に入れることができる。そしてIoTの文脈で考えたとき、それはとても重要な点となるだろう。

[原文へ]
(翻訳:sako)

画像クレジット: Prasit photo / Getty Images