セキュリティカメラがWi-Fiネットワークに接続してから98秒後にマルウェアに感染した

61zamoc36rl-_sl1001_

これは、物のインターネット(Internet of Things, IoT)と呼ばれているものの、お粗末な現状を示す好例だ: Robert Stephensが、Wi-Fiで接続されるセキュリティカメラを彼のネットワークにつないだら、それは、それから98秒後に侵された

経験豊富な技術者であるStephensは、当然、最初からセキュリティ対策を講じていた。ネットワークのそのほかのメンバーとカメラは壁で隔てられ、レート制限によりDDoS攻撃にやられないようにしていた。

彼はそのトラフィックを注意深くモニタし、ほかの人たちもよくするように、デバイスを乗っ取ろうとするやつがいないか、見守った。しかし、セキュリティの専門家ですら予想しなかったと思うが、2分弱でそれは起きた。

[据え付けを終わったカメラは自分のバイナリを動かし、そして今では明白に侵入されている。]
[実は、最初の侵入は据え付けから98秒後に起きている。]

そのカメラはWi-Fiに接続されてから98秒後に、デフォルトのログインとパスワードを知っていたMiraiのようなワームにやられた。そのワーム(の先発エージェント)は、自分の新しい家のスペックを調べ、本隊をデバイス上にダウンロードし、そして、Stephensが事前にロックしていなかったら、ありとあらゆる悪行を働いただろう。

そのカメラは、12ドルのスマートウォッチを売ってる会社の、安物のノーブランド品だ。そういうものは、ファームウェアのアップデート、あるいは単純にパスワードの変更だけで問題が解決するが、やり方を知らない人もいるし、技術の分かる人でも2分でやるのは無理だ。

良質な製品なら、最初から完全に保護され、別のデバイスに接続されて、手作業で正しくセットアップされるまで、すべての入力トラフィックをブロックするはずだ。でもここはジャングル、どんな野獣がいても不思議ではない。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Dropbox Businessが企業ユーザーのためのセキュリティを多面的に強化、ソフトウェア管理のオンプレミス並を目指してSymantecとパートナー

dropbox-image

最近のDropboxは、同社のDropbox Businessプロダクトに力を入れていて、今日は同社の企業向け製品を大企業によりアッピールするための広範なアップデートの一環として、セキュリティベンダSymantecとのパートナーシップを発表した。

Dropboxの企業プロダクト担当部長Rob Baesmanによると、今回アドミンツールをアップデートする理由は、ユーザーに一定のコントロール能力を提供するとともに、企業が今すでに使っているセキュリティツールを併用できるようにするためだ。しかも全体の使い勝手は、Dropboxの消費者製品並に使いやすいものでなければならない。

Dropboxがその企業用バージョンをローンチした2014年には、すでに消費者ユーザーが2億7500万いた。今では全ユーザー5億のうち、20万が企業顧客だ。もちろん企業プロダクトをローンチするときも、消費者間における人気をうまく利用するつもりだったのだが、しかし実際にはいろんな問題にぶつかった。

企業のIT部門の多くが、Dropboxの消費者製品はセキュリティに問題がある、と見ていた。彼らは、社員たちが自分個人のアカウントで会社の仕事をシェアすることを嫌った。一方社員たちは、会社にいないときにはもっと簡単に素早くファイルにアクセスしたい、と願っていた。モバイル化がどんどん進んでいる中で、楽に仕事をしたいという彼らの願望を非難するのは無理だ。

企業世界に商機あり、と見たDropboxは、Dropbox Businessを立ち上げた。今日(米国時間11/16)の発表はそのプロダクトのさらなる成熟を表すもので、とくに、パートナーシップとより高度な管理機能によって、Dropbox BusinessをITにとってより魅力的な製品にしようとしている。彼らIT部門が、会社におけるDropboxの利用を強力に制御し、管理するためのツールを、提供するのだ。

今のDropboxは30以上のセキュリティ関連パートナーシップを結んでおり、それらは、データ喪失防止(data loss prevention,DLP)や、エンタープライズモバイル管理(enterprise mobility management, EMM), アイデンティティとアクセスの管理、データの移行(マイグレーション)、eDiscoveryとアナリティクスなど、多岐にわたる。それらの中で今日とくにスポットライトを当てたのがSymantecで、Symantecの企業顧客担当VP Peter Doggartを講演者として招いたほどだ。

Symantecとのパートナーシップは、エンタプライズ顧客がDropbox Businessを安全に使えるようにするとともに、クラウド上のソフトウェアに対するコントロールを、これまでの自社のオンプレミスソフトウェアに対するのと同じぐらいに厳しくするためだ。“長年オンプレミスのDLPを使ってきた顧客は、それとまったく同じポリシーをDropboxに対して適用して、クラウド/オンプレミスの統合を真に強力かつ堅牢にしたいのだ”、とDoggartは説明する。

また、Dropbox自身のネットワークアドミンツールも強化され、企業のネットワークの上でDropboxの企業トラフィックと個人トラフィックを厳密に区別し、管理できるようになった。また、社員による公私混用を認めない企業では、そういう設定もできる。

このようにDropboxは、企業のIT部門の心をつかもうと努力している。20万社の企業顧客は、数として多いように見えるが、しかし5億の消費者ユーザーに比べると大海の一滴だ。今日のようなセキュリティ強化策の発表は、同社が企業分野でのプレゼンスを、もっともっと大きくしていきたいという、願いと努力の表れだ。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

マルウェアを継続的に広める悪質サイトをGoogleは“常習犯”とみなして厳罰に

Googleはこれまで長年、 危険で有害なWebサイトからユーザーを守ってきた。それらは、よく知らないリンクをたまたまクリックしたら連れて行かれる、マルウェアを広めるサイトや、ユーザーのプライベート情報をフィッシングするサイトだ。しかし最近では多くのサイトが、Googleのやり方を迂回する方法を見つけている。改心して行いを正すどころかそれらのサイトは、一時的にGoogleの検証基準に準拠するふりをして、それによってGoogleの警告が出なくなったら再びユーザーを害しはじめる。そこでGoogleはこのたび、そういうサイトに“repeat offenders”(常習犯)のレッテルを貼り、厳しい罰を与えることにした。

過去には、サイトがGoogleのポリシー、Malware, Unwanted Software(押し付けソフトウェア), Phishing, and Social Engineering Policies(ソーシャルエンジニアリング)に違反していたら、検索者に対し警告を表示し、Googleが無害と認めるまでは警告を出し続けた。この検証は自動的に行われるが、サイトのオーナーや管理者がGoogleにリクエストしてもよい。Googleは、そのように説明している

それが、今日から変わる。ポリシー準拠と違反を行ったり来たりしているサイトは上記の“常習犯”と見なされ、向こう30日間、再検証のリクエストができない。つまり1か月まるまる、問答無用で、そのサイトにアクセスしようとしたユーザーには警告が出るのだ。

警告は、そのサイトに行くな、リンク先のページを開くな、という意味だ。そしてユーザーは、そのリンクのあったGoogleの検索ページへ戻される。その問題サイトのトラフィックは、大幅に減るだろう。

その1か月が過ぎたら、当のサイトは再検証をリクエストできる。

この新しい方式は、それまでのポリシーの欠陥をふさぐものだ。欠陥とは、再検証でOKとなったら、警告が出なくなり、するとすぐに彼らは、悪質サイトに戻れることだ。この、一時的に良い子のふりをする戦術は、無限に繰り返すことができた。

Googleによると、新しいポリシーはハックされたサイトには適用されず、マルウェアを広めるなどの有害コンテンツのあるサイトだけが対象だ。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Eメール認証サービスのVailMailがシリーズAで1200万ドルを調達

Turquoise color closed padlock with turquoise color binary code background. Safety concept. Illustration.

DMARCという認証技術とそれに関連するオープンプロトコルを利用したVailMailのサービスを利用することで、Eメール認証のプロセスを簡略化し、企業用メールの受信ボックスをスパムやフィッシングメールから保護することができる。これにより、独自ドメインネームを使ったフィッシングメールによって企業が攻撃されるのを防ぐことができるだけでなく、自社内外のEメールサービスがどのように利用されているかということを監視できるようにもなる。

本日、VailmailはシリーズAで1200万ドルを調達したことを発表した。リード投資家はShasta Venturesで、Flybridge CapitalとBloomberg Betaも本ラウンドに参加している。これにより、同社がこれまでに調達した合計金額は1350万ドルとなる。

このタイミングでの調達に踏み切った理由として(同社にはまだ18か月分の運転資金が残っている)、CEOのAlexander Garcia-Tobarは「私たちのテクノロジー・プラットフォームに新しい機能を追加し、Eメール認証を市場に浸透させる良いタイミングでした。また、創業後まもない企業が次々にEメール認証を導入しており、それにより生まれた大きな需要を取り込むにも良いタイミングだったのです」と話す。その理由を踏まえれば、新しく調達資金はプラットフォームのさらなる開発と、新しく獲得したクライアントへの対応するために使われると同社が話したことには納得がいく。それに加え、Vailmailは独自のエコシステムを構築するために、APIの開発にも着手している。現在、チームの人数は20人以下であるが、今後16ヶ月でその数字を3倍に伸ばす予定だ。

DMARC(Domain-based Message Authentication, Reporting and Conformanceの略)は、Eメール認証の標準的なプロトコルだ。実質ほとんどのEメールサービスがこのプロトコルをサポートしているものの、その導入はまだ比較的難しいとVailMailは話す。同社のサービスを利用すればEメール認証の管理・自動化ができ、シンプルなインターフェイスでサービスの管理やスレッドの監視をすることもできる。

valimail_1

複雑なスピアフィッシング攻撃による被害が増えつつあるなか(しかも、そのような攻撃には内部ドメインや、信頼性の高いドメインが利用される)、企業をその攻撃から守るというビジネスはVCに魅力的な投資対象として映ったようだ。

2016年に黒字化を達成したと話すVailMailは、UberやYelp、Twillio、Fenwick&Westなどの企業を顧客として獲得した。VailMailは「世界中で27億通も存在するEメールの認証を自動化することが可能だ」という表現を好んで使う。もちろん、これはサービスの規模を実際より大きく見せるための大げさな表現だ。現在、世界中の受信ボックスに入ってくるEメールは1日あたり27億通である。つまり、プレスリリースに使われているこの数字がどれだけ見栄えが良くても、それは単にVailMailが標準的なプロトコルを利用しているということを表しているに過ぎない。私がVailMailに確認したところ、同社のプラットフォームで認証されるEメールの数は一ヶ月あたり15億通で、顧客の数は現在24社だという。同社はこれまでに4000万通のフィッシング・メールからクライアントを守ってきたと話している。

[原文]

(翻訳:木村 拓哉 /Website /Facebook /Twitter

車のセキュリティを守るデバイスErnestがKickstarterでキャンペーンを開始、共有経済の時代における権利保護とは?

ernest

Ernestは、説明が難しい。それはデバイスだけど、2台のデバイスで、アプリでもあるし、そしてファウンダーのArturs Pumpursによると、それは一種の仮想執事だ。ユーザーの車の安全を確保し、運転者に現在位置を教え、自動ドア方式のガレージのある人にはドアの開閉をする。これのKickstarterキャンペーンは、10月28日から12月7日までだ。

このプロジェクトは、Bluetoothを使って車を保護するデバイスとして構想された(Bluetooth 4.0)。ユーザーがインストールすることもできるが、たぶんインストールはプロがやることになるだろう。車にイモビライザー(盗難防止装置)がついてると、Ernestはオーナーを認識するまで燃料がエンジンに行かないようにする。ただしほかの人がその人のデバイスで自分の車を運転できるように、設定はできるし、その設定を無効にもできる。

ErnestにはGPSデバイスもあり、車の位置を教える(そんな車載アプリは今多いが)。スピードや走行距離なども教える。車をどこに置いたか思い出せなかったり、あるいはほかの人に貸してるとき、その所在が分かる。

自動開閉式の門やガレージにも、同様の、Bluetoothによる共有化ができる。ただし各ドアにはそれら専用のErnestが別途必要だ。スマートフォン上のアプリは、一つでよい。ドアの開閉権も、車と同様、共有化でき、共有の停止もできる。

Ernestは個人や家族のカーライフには便利だが、共有経済におけるセキュリティには問題がありそうだ。車とガレージをほかの人と共有した場合には、たとえば自分の休暇期間が終わったら共有も無効になる、といった設定ができるとよいだろう。また、どの人がどんだけ走ったかを、知りたいかもね。アプリで、現在の使用者を設定できるとよいかもしれない。

お値段はKickstarterで60ドルからだから、大量の車を抱えるタクシー会社など用には高すぎるかもしれない。日常の共有関係がそれほど複雑多様でないユーザーなら、無事に使えそうだ。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Dyn DNSに対するDDoS攻撃はスクリプトキディによる犯行か

troll-2

経営リスクを分析するFlashPointは、先週発生したDynのDNSへのサイバー攻撃に関する予備調査結果を公表した。ロシア政府などに支援されたプロのハッカーによる攻撃ではないかとも噂されていたなかで、彼らが下した結論とは、今回の攻撃はアマチュアのハッカーによるものだった可能が高いというものだった。

先週の金曜日に起きたDynのドメインネームシステムに対するDDoS攻撃は、様々なWebサービスに大きな影響を与える結果となった。PayPal、Twitter、Reddit、GitHub、Amazon、Netflix、Spotify、RuneScapeなどのWebサービスでアクセス障害が発生したのだ。

ロシア政府の関与が噂されたのに加え、ハッカー集団のNew World Hackersをはじめとする様々な組織が、自分たちがこのサイバー攻撃の首謀者であると主張した。おかしなことに、あのWikiLeaksも同組織のサポーターが関与した可能性があるとツイートしている(おそらくジョークだろう)。

FlashPointはこれらの主張について「疑わしい」、「嘘である可能性が高い」とコメントし、その代わりにスクリプトキディ(他人が製作したスクリプトを悪用して興味本位で第三者に被害を与えるハッカー)たちによる犯行だったという説を主張しているのだ。

彼らがこの結果にたどり着く根拠となったのは、今回の調査で新たに分かった証拠の数々だ。今回の攻撃に使われたインフラストラクチャーは、Dynだけでなく有名なビデオゲーム企業にも攻撃を加えていたのだ。

「同社のサービスにはなんら影響がなかったとは言え、ビデオゲーム企業が標的にされたという事実はプロのハクティビスト、政府主導のハッカー、または社会的正義を掲げるコミュニティが関与していたという可能性を低め、オンラインのハッキング・フォーラムに現れるようなアマチュアによる犯行だった可能性を高めています」とFlashPointのAllison Nixon、John Costello、Zach Wikholmは分析資料のなかで語る。

Dyn DNSへの攻撃は、Miraiと呼ばれるマルウェアに感染したデジタルビデオレコーダーとWebカメラによって構成されたボットネットが引き起こしたものだ。このボットネットをコントロールするマルウェアのソースコードは今月初めにGitHubで公開されている。また、Miraiをリリースしたのはhackforums[.]netというハッキング・フォーラムに頻繁に現れるハッカーだったとFlashPointは主張している。

このような状況証拠は、英語で書かれたハッカー・フォーラムの読者と今回のサイバー攻撃とのつながりを示している。また、このhackforums[.]netはビデオゲーム会社を標的にしていることで有名なフォーラムであることをFlashPointは指摘している。

同社は「ある程度の自信をもって」この結論にたどり着いたと話す。

このコミュニティは「booters」や「stressers」と呼ばれる商業用DDoSツールの開発方法及びその使用方法を掲載していることで知られています。ハッカーたちはその「貸しDDoSサービス」とも言える有料サービスをオンラインで提供しており、マルウェアのMiraiやボットネットに関与しているハッカーの1人はこのフォーラムに頻繁に出入りしていることが知られています。「Anna-Senpai」というハンドルネームで活動するハッカーが10月初旬にMiraiのソースコードを公開しており、この人物こそが今月初めに「Krebs on Security 」とホスティングサービスプロバイダーのOVHを攻撃した人物だと考えられています。このフォーラムに頻繁に現れるハッカーたちはこれまでにも同様のサイバー攻撃を仕掛けていたことが知られていますが、それらの攻撃は今回よりもはるかに規模の小さなものでした。

FlashPointはさらに、ターゲットとなった企業が広範囲に及んでいること、そして金銭的な要求がなかったことから、今回の攻撃に金銭的または政治的なモチベーションがあったとは思えないと主張している。つまり、自分の能力を誇示したり何かを破壊することをモチベーションとするハッカーによる犯行だった可能性が高いということだ。そのようなハッカーたちは俗にスクリプトキディと呼ばれている。

セキュリティ企業のF-SecureでCHief Research Officerを務めるMikko Hypponenは、このFlashPointの分析に賛同している。「彼らは正しいと思います」と彼はTechCrunchとのインタビューで語る。「金曜日に起きたサイバー攻撃に、金銭的あるいは政治的なモチベーションがあったとは思いません。あの攻撃にはハッキリとした標的がなく、明確なモチベーションを見つけるのは難しい。なので、愉快犯による犯行だったのでしょう」。

サイバー攻撃に利用されたWebカメラがリコールされる一方で、IoTの安全性に関する問題は企業が単体で解決できる問題ではない。また、高いスキルを持つプロのハッカーでなくても、簡単に入手できるソフトウェアでボットネットをコントロールすれば、社会に大きな影響を与えるようなサイバー攻撃を仕掛けることができるかもしれないのだ。プロのサイバー攻撃の標的はもっとハッキリしており、公衆からの注目を得ることを避けようとしている。彼らのモチベーションは世界が焼け落ちるところを見ることではなく、もっと経済的なものだ。

今年の夏にIoTセキュリティのDojo-Labsを買収したセキュリティ企業のBullGuradは、ユーザーの個人ネットワークに接続されたIoTデバイスがShodanのサーチエンジンに掲載されているかどうかチェックできる無料のIoTスキャナー・ツールを提供している。Shodanのサーチエンジンは外部からアクセス可能なIoTデバイスをリストアップしており、そこに掲載されているデバイスはハッキングの対象になる可能性がある。

同社によれば、これまでに同社のツールによってスキャンされたユニークIPアドレスの数は10万以上にもおよび、そのうち4.6%のデバイスに脆弱性があることを発見したという。世界中に約40億台ものIoTデバイスが存在することから推定すれば、脆弱性のあるIoTデバイスは世界全体で1億8500万台も存在することになるとBullGuardは話す。

「IoTの脆弱性に対する本当の解決策はまだありません」とF-SecureのHypponenは話す。「IoTリスクに対応できる新しいセキュリティが必要ですが、消費者からデバイスの安全性を求める声はありません」。

IoTのセキュリティ強化を求める消費者は少ないものの、F-SecureはF-Secure Senseと呼ばれるセキュリティ製品の開発に取り組んでいる。だが、現状はまだそのツールに対する需要をテストしている段階だとHypponenは話す。彼によれば、IoTデバイスのセキュリティを強化するという動きは消費者からではなく、ネットワークからデータが流出することを恐れる企業から生まれるだろうと考えている。

「この状況に変化が起きるのは、IoTデバイスを標的としたサイバー攻撃ではなく、その背後にあるネットワークを標的とする大規模なサーバー攻撃が起きたときでしょう。人々のホームネットワークがランサムウェアに感染し、休暇中の写真が人質に取られ、しかもその攻撃がIoT洗濯機から侵入してきた時です。すると彼らは”対策するべきかも”ということに気付くのです」と話し、「これは今にも起きつつあることだ」と付け加えた。

「なので、ハッカーの攻撃対象はIoTデバイスではありません。IoTデバイスはベクトルです。彼らはそれをネットワークに侵入するための入口として利用しているのです。そして大半の場合、ネットワークをつなぐ鎖の弱点となるのが、IoTデバイスなのです」。

[原文]

(翻訳: 木村 拓哉 /Website /Facebook /Twitter

K-12校(小学校から高校まで)の生徒たちのインターネット安全性を守るために、Securlyが400万ドルを調達

schoolbus

Childrens’ Internet Protection Act(児童インターネット保護法)の規制によって、生徒にインターネットアクセスを提供する米国内の学校では 、生徒が猥褻あるいは有害なオンラインコンテンツにアクセスすることを防ぐために、一般にウェブフィルタリングシステムを使用しなければならない。

この法律は、元々2000年に制定され、2011年に改訂されたが、そもそもは資金力のある企業のために作られたエンタープライズソリューションを、学校で使う羽目になり、学区のIT部門には大きな負担が強いられた。

そこで、サンノゼのスタートアップSecurlyが、シリーズAのラウンドで400万ドルを調達した。そのクラウドベースのウェブフィルタリングシステムのサポート範囲を、米国内そして全世界の似たような規制のあるK-12スクール(小学校から高校までに相当)に広げることが目的である。

SecurlyのCEO兼創業者のVinay Mahadikによれば、同社は、学校と両親に「子供のためのプラグアンドプレイセキュリティ」を提供することを目指している。

同社は、新しく調達した資金の一部を、子供たちが他の子供を傷つけようとしたり、自傷行為に及ぼうとしたり、または自殺を仄めかしたりしている場合を検知した際に、テキストメッセージ(ショートメール)を介して両親に警告を送るツールの構築に投資する計画だ。

同社は自然言語処理、感情学習、その他の機械学習技術を使って、子供たちが深刻なトピックを調べているのか、それとも本当に有害な行為に及ぼうとしているのかの違いを判断する。

Securlyは両親に対して、自分の子供たちがどのように学校でインターネットを利用しているのかを、メールを介して広範で詳細なアウトラインとしてレポートを提供するサービスを既に開始している。まもなく、同社は親たちが能動的に彼らの子供たちのデジタル習慣についての情報を得ることができるポータルやアプリを提供する、とMahadikは述べた。

より幼い子の場合には、より詳細なインターネット利用の情報を、親は入手することができる。子供たち自身がプライバシーを理解し欲するようになる、10から12歳といった年齢に達した際には、Securlyは、特定のゲーム、アプリ、検索、そして個々の子供が訪問したサイトといったものよりも、全体の広い傾向についてのレポートを提供する。

現在同社は学区に対して直接そのソフトウェアを販売している。Securlyをインストールするには、IT管理者は、スタートアップから特別なIPアドレスを入手する必要がある、それは学校のDNSサーバーに登録され、15分以内にはその学区の学校はウェブフィルターによって保護されるようになる。

教育に焦点を当てるベンチャー企業Owl Venturesが、SecurlyのラウンドAを主導した。

Owl VenturesのAmit A. Patelは、生徒たちのレベルに応じて、学校が独自に何が適切かのポリシーを設定することができる手段を提供しているSecurlyのことを称賛した。幼稚園児と中学生ではオンラインで見るものの安全性に大きな違いがある、と彼は指摘した。

そしてPateは、OwlがSecurlyを支援する理由は、米国内の教育マーケットだけでも巨大な可能性があること、のみならず国際的にも成功する可能性があり、一般消費者向けのプロダクトとしても使えることだ、と語った。

「米国内および世界各地の学校は、彼らの教育により多くの技術を取り込み始めたところです、これは普遍的に必要になると考えています。この会社(Securly)は、世界中の学生を支援することができて、それを上手くいかせるために、繰り返さなければならないカリキュラムを必要としないのです」と彼は指摘した。

投資家は、Securelyが新たに得た資金を使って、インターネット接続機器へのペアレンタル・コントロールを備えた、同社アプリの家庭版を開発することを期待している。そして、そのプロダクトを米国中の学校に普及させる努力を継続することも。

[ 原文へ ]
(翻訳:Sako)

Qualcommがネットワークカメラの汎用機能性に本腰、多様な機能を満載した参考製品を発表

unnamed-11

今週香港で行われたQualcomm 4G/5G Summitでは、同社の将来像を示す二つの重要な発表が行われた。本社のある好天の日の多い南カルフォルニアから、ずっと遠い場所で例年のカンファレンスを行った同社は、もちろんいくつかの(1)新しいチップを発表したが、それらと並んで、同社が将来の主力製品とすることを目指す、(2)汎用のカメラ機能も発表された。

汎用、というのは、これまで同社はさまざまなスマートフォン用カメラを(同社によると数十億台も)サポートしてきたが、これからは、360度VR、IPセキュリティカメラ、車載カメラ、人体装着カメラ(bodycams)、アクション/スポーツカメラ(GoProに対抗)などなど、ネットワーキング機能を持つあらゆるタイプのカメラに対応する、という意味だ。

また、サポートを計画しているカメラの機能性も、ワイヤレス(4G, Wi-Fi and Bluetooth)、深層学習(ディープラーニング)、ビデオアナリティクス、4Kエンコーディング、各種セキュリティ機能と、きわめて多様だ。同社は、発表に先立つメッセージで、こう述べている: “まるっきり矛盾しているようだが、IoTネットワークでもっともセキュリティの弱いデバイスが、セキュリティカメラなのだ”。

これらの多様な機能性を、Snapdragon 625プロセッサーとLinuxオペレーティングシステムが支える。同社の参考設計/デザインであるSnapdragon 625 IPカメラ(上図)にも、これらの機能が実装されている。同社が、世界中のあらゆるカメラメーカーに採用して欲しいと願っている、この参考製品のハードウェアとソフトウェアの組み合わせは、Thundercomm Technologyとのパートナーシップにより作られた。

この参考製品がOEM各社に提供されるのは、年内を予定している。そして実際の商用製品が登場するのは、“その直後だろう”、という。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

強力なDDos攻撃アプリケーションMiraiがGitHub上でオープンソース化、逮捕回避のための煙幕か

enterprise-security

KrebsOnSecurityやそのほかのWebサーバーに大きなダメージを与えたボットネットのMiraiは、セキュリティの脆弱なIoTデバイスを利用して、大規模なDoS攻撃を仕掛ける。しかしその作者はこのほど、それのソースコードをGithub上に公開したらしい。

Cで書かれたその短いコードは、IPカメラなどインターネットに接続されたデバイスの上で実行される。rootのパスワードを試行によって探り当て、デバイスに侵入、事前に決めてあったターゲットにトラフィックを送る。試行するパスワードが書かれているコードは、このファイルにある。

screen-shot-2016-10-10-at-10-46-27-am

ハッカーはこのボットネットを使って、620GbpsのDDoSをKrebsOnSecurityへ送った。そこはBrian Krebsのセキュリティに関するブログとして、かねてから人気のサイトだ。そのボットネットは強力ではあるものの、当のIoTデバイスをリブートすれば止まる。また、デバイス側のシステムアップデートにより、被害機は徐々に減っているようだ。コードをHackforumsにポストしたハッカーのAnna-senpaiはこう述べている、“Miraiでは、telnetからだけで最大380k(38万)のボットを取り出していた。でもKrebsをDDoSしてからは、徐々にISPたちがそれらを掃除するようになった。今では最大は300k程度で、しかも減りつつある”。

Krebsはハッカーたちの逮捕を求めており、今回のコード公開は利他的動機によるものではない、と見ている。

彼曰く: “Anna-senpaiがMiraiのソースコードを公開した理由はよく分からないが、利他的な行為ではありえないだろう。悪質なソフトを開発している連中は、警察や警備会社などに居場所を突き止められそうになったら、ソースコードをばらまいて煙幕を張る。公開して誰でもダウンロードできるようにすると、コードの持ち主が即犯人、とは言えなくなるからね”。

そのコードは今Githubにあり、どうやら本物のようだ。ぼくはコンパイルしていないが、ファイルにはおもしろい情報がいろいろある。教材としての利用価値は、十分にあるだろう。もちろん、悪い連中にとっても、利用価値は十分あるけどね。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

それで良いのかGoogle(Not OK, Google)

0108

昨日サンフランシスコで開催されたハードウェアの発表イベントで、Alphabetは、更に幅広く消費者の個人データ(それも、これまで以上に個人的な性質の情報の)収集に向かう野心を表明した。この先コンピューティングが静的なデスクトップやスクリーンを離れ、相互結合したデバイスのクラウドと合体し、更なるデータの生成に向かう動きを加速するためである。

新しい2種類の「Googleデザイン」旗艦Androidスマートフォン(Pixel)と共に、同社のAIアシスタント(Google Assistant)が最初からインストールされたAndroid、そしてユーザーの写真とビデオをGoogleのクラウドに吸い上げる容量無限のクラウドストレージも提供され、また厄介な家庭内のインターネット接続をすべて引き受けるGoogle Wifiルーターもある; Google Homeは常に接続されたスピーカーを通して耳を澄ましていて、Google Assistantを介して声で制御され、またサードパーティ製のIoT機器(たとえばフィリップスのHue電球)を制限付きだがサポートする;新しくなったChromecast(Ultra)は任意の古いTVパネルをインターネット利用可なものにする;そして、Googleの使い捨てではない携帯VR再生機、別名ソフトタッチDaydream Viewヘッドセット がある ‐ 万一消費者の目がデータ収集型スマートホームの外へさまよい出たいと思ったときに、逃げ込むための仮想現実を提供するために。

GoogleブランドのためにAlphabetが描く野望は明快だ:Googleの情報整理頭脳を家庭の中心に埋め込みたいのだ ‐ すなわち、消費者たちにとって高度な個人データを定常的にそこに流し込まない選択肢を選ぶことが不可能になるということだ(もちろん、Google Homeにはミュートボタンがついている、実際にはそれが音量を喋ることを止めるためにボタンを押す必要があるが…)。

言い換えれば、あなたの日々の活動が、Googleの活動そのものなのだ

「私たちはモバイルファーストの世界からAIファーストの世界に移りつつあります」と、昨日のイベントのキックオフでCEOのサンダー・ピチャイは語った。そしてAIは、もちろん、これまでの技術が持っていなかったようなデータへの食欲を持っている。機械学習は、自身の有用性を手に入れるために情報を必要とする。手探りでは機能できない、データ駆動型の領域なのだ。

よってAlphabetのハードウェアのためのビジョン「Made by Google」は、消費者たちに対して利便性の誓いを販売することである。そして、全てを接続するデバイスと共にこの販売ピッチが、パーソナルスペースをユーザー情報データベースへと変容させ、この先何十年にも渡って広告エンジンに燃料を供給し続けることが可能になるのだ。

Made by Google

デジタル消費者の大部分の問い合わせと好奇心が1つのGoogleブランド検索エンジンに注ぎ込まれるようになったとき、私たちは現代の情報社会のはるか奥深くに入り込んでしまったことになる。このため、Alphabet(以前はGoogleのブランド名を身に着けていた)はとても長く険しい道をAndoridを広くそして深く普及させるために突き進み、電話を超えて幅広いハードウェアの世界にたどり着いたのだ。

そして今、Alphabetはそのプロセスを、よりシンプルなデスクトップウェブの時代と同様に、Googleを手放し難くすためのAI駆動の消費者向けサービス層を用いて、加速しようとしている。

ということで、昨日の大規模なコネクテッドハードウェアのお披露目大会は、実際には、IoT時代に向けて、Googleブランドを頼りになるキーワードとして再活性化し、位置付けの再確認を行わせるためのものでもあったのだ。

特に、AmazonのAlexaやAppleのSiriといったライバル仮想アシスタント技術とは異なり、Alphabetはしっかりと消費者向けのAI界面の端にGoogleブランド名を保持している。そのスマートホームやAIアシスタントを購入した者に、Googleブランド名を文字通り、毎日毎時間声で与えることを要求するのだ。

「OK Google、子供の寝室のライトを消して…」

うーん。

個人的にはそれだけで十分不愉快だ。しかし本当の意味で「not OK, Google」なのは、急速に浮かび上がってきたプライバシーに関するトレードオフなのだ。そしてアルファベットが、こうした懸念を無視していくやりかたも。

「私たちは、あなたが身の回りの仕事を片付けることのお手伝いをしたい」というのが、Googleブランドのスマートホーム、そしてGoogle AI一般についてのピチャイのピッチだった。

「誰でも、何処でも役に立てることのできるパーソナルGoogleを構築することに私たちは興奮しています」というのが、なりふり構わぬAIへの突進に話を添える、彼のまた別のマーケティングフレーズだ。

その通り – 彼は文字通り、このように言っている…

彼が言っていないことの方がはるかに興味深い。すなわち、お好みのレストランを予測したり、通勤経路上の支障がどのようなものかを尋ねたりできるような「カスタムな利便性」の約束を果すためには、あなたの個人情報、嗜好、嗜癖、ちょっとした過ち、偏見…そうしたことを限りなく収集し、データマイニングを継続的に行うことになるのだ。

AIが、データの要求を止めることはない。気まぐれな人間が関心を失いがちな点である。

なので、「誰でも、何処でも役に立てることのできるパーソナルGoogle」構築の対価は、実際には「誰でも、何処でもプライバシーゼロ」ということなのだ。

なので、「誰でも、何処でも役に立てることのできるパーソナルGoogle」構築の対価は、実際には「誰でも、何処でもプライバシーゼロ」ということなのだ。

さてそう考えると「OK, Google」という言葉も、それほどOKには響かないような気がしてこないだろうか。

(同僚の1人が以前、Google Assistantの前身であるGoogle Nowをオフしたきっかけを語ってくれた。彼が日曜の夜に時々行くバーへの到着時刻を、頼まないのに教えてくるようになったからだ。彼はこう付け加えたそうだ「おまえにそんなことまで知っていて欲しくない」)。

なので私たちは、ピチャイの「パーソナルGoogle」ピッチの中にセキュリティとプライバシーに関する言及が全く無かったということに驚くべきではないし、消費者がハードウェアと引き換えにプライバシー(と現金を)渡す際に、彼らが実は決心しなければならない巨大なトレードオフについてGoogleが説明し損なったことを見逃すべきではない。

徐々に親密な関係をGoogleとの間に築いていくこととの引き換えに、消費者が期待する巨大な「利便性」に関しては、まだほんのわずかの実体しかない。

「まだほんの初期段階ですが、全てが一体として動作したときに、Google Assistantはあなたが仕事をやり遂げるお手伝いをすることができるようになります。必要な情報を、必要なときに、どこにいたとしても、取り寄せることができるのです」とピチャイは書いている。頼りにならない曖昧な約束ランキングとしては高得点をつけるに違いない。

彼は「次の10年の間に、ユーザーに対して驚くようなことを提供できる」ことに関しては「自信がある」と付け加えた。

言い換えればこうだ、あなたのデータの扱いに関しては私たちを全面的に信頼して欲しい!

ううーん。

今週EFFも、いかにAIがユーザーのプライバシーと衝突するかについてGoogleを非難している、特に最近のプロダクトAlloメッセージングアプリがその対象だ。そのアプリにはGoogle Assistantも組み込まれていて、ディフォルトでAlloはAIを利用するので、アプリはエンドツーエンドの暗号化をディフォルトでは提供しない。単なるオプションとして提供されるだけだ。この理由は勿論、Google AIがあなたのメッセージを読むことができなければ、Google AIは機能することができないからだ。

Alloがエンドツーエンドの暗号化を「めだたない」ところに押し込んでいるやり方が批判の対象になっていて、EFFはそれをユーザーを混乱させ、機密データの漏洩に繋がるものではと考えている。そしてGoogleを「ユーザーに対して暗号化というものは、たまに使えばいいものだという考えを植え付ける」として非難しているのだ ‐ そしてこのように結論付けている:「より責任あるメッセージングアプリは、機械学習とAIではなく、セキュリティとプライバシーがディフォルトであるべきである」。

さて、それがGoogle HomeなのかGoogle Alloなのかはともかく、Googleは消費者たちに比類なく便利なAI駆動の魔法体験を約束している。しかしそのためには厳しい問いに答えなければならない。

このアドテックの巨人は、そのプロダクト体験を支配してきたように、物語を支配しようと努力している。GoogleのCEOは「驚くべきこと」がパイプを下って、皆がGoogleを信頼しデータを委ねる世界にやってくると語っただけで、小説1984のビッグブラザー(監視機能を備えたAI)の世界に迫っていると言ったわけではないが、Googleのプロダクトは同じくらい不誠実なものだ;ユーザーにより多くを共有させ、より考えることを減らすことを促すようにデザインされているという意味で。

そして、それは本当に責任ある態度とは逆のものだ。

だからノー。Not OK Google。

[ 原文へ ]
(翻訳:Sako)

MicrosoftのEdgeにブラウザーに強力な企業向けセキュリティ機能を導入、Office 365にも

dsc06785

MicrosoftのIgniteカンファレンスで今日(米国時間9/26)、同社のEdgeブラウザーが企業環境でもっと安全になる、と発表された。

Microsoftは今日のイベントに先立つ記者会見で、いわゆるWindows Defender Application GuardがWindows 10を不審なブラウザーセッションから隔離する、ブラウザーはハードウェアと直接結びついたコンテナの中で動く、と説明した。Microsoftによると、ほかのブラウザーが利用しているコンテナはハードウェアベースの保護ではないので、よくあるタイプの攻撃の90%に対して弱い、という。

Microsoftのこの新しいツールでは、マルウェアがマシンやネットワークのそのほかの部分にタッチできない。コードはコンテナの中だけで動くので、いわばそれは“最高に警備の厳しい刑務所”のようなものだ、という。

defender_app_guard_windows

このサービスはWindows 10とEdgeだけだから、企業にとってもわかりやすく扱いやすいだろう。まだ一般的にダウンロードはできないが、企業ユーザーは2017年の前半には試用できる。2017年の後半に、一般展開だそうだ。

このApplication Guardに加えてMicrosoftは今日、Office 365のセキュリティ機能をいろいろ発表した。たとえばOffice 365のAdvanced Threat Protectionは、ユーザーが悪質なURLをクリックするのを防ぐ。そしてそれは、SharePoint, OneDrive for Business, Word, Excel, PowerPointに対応している。

また、近くセキュリティ担当アドミンに提供されるツールでは、Microsoftが何百万ものマシンから集めたWindowsやAzureのデータを利用して、先取り的にユーザーのマシンを保護する。この新しいサービスは金融業界のアドミンなどを対象とし、類似のネットワークからMicrosoftが集めたデータに基づいて、ユーザー企業のネットワークを保護する。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Uberがドライバーの本人確認のため自撮りチェックを導入予定

hero_id_placeface_1080-1834x1032

Uberは新たに自撮りセキュリティチェックを導入予定で、今後同チェックをアメリカ全土に拡大していく計画だ。これはドライバー向けのチェックで、ドライバー詐称への対策とされており、今後は、ユーザーをピックアップするドライバーが、アプリに表示されている写真の人物と同一であることの信用性が高まる。

このシステムは、Real-Time ID Checkと呼ばれており、Microsoftの機械学習テクノロジーを利用し、その場で撮影された自撮り写真と登録写真を比較することができる。Uberは、このシステムをドライバー・ユーザー両者のためのセキュリティ対策だと話している。ドライバーは、”定期的に”料金を受け取る前に、Uberのドライバー用アプリを使って自撮りするように促され、もしもその写真が登録写真とマッチしない場合、Uberがさらなる調査を行うため、そのドライバーのアカウントは凍結されるようになっている。

ユーザー側の利点は明白で、少なくとも自分のドライバーが、他のドライバーの携帯電話やアカウントを使った人ではなく、Uberの(バックグラウンドチェックを含む)採用プロセスを経た人だと信用することができる。もちろん、これは完璧な安全策ではないが(そもそもそんなものは存在しないが)、ドライバーの身元を確認することで、ユーザーが危険にさらされるような、極端なケースを防ぐことには間違いなくつながるだろう。さらに、中国で発生している”ゴーストドライバー”のような事象も防ぐことができると考えられる。

real_time_id_check_frame_1080-1一方Uberは、このシステムがドライバー側の利点も考慮して作られた安全策だと語る。ログインごとに追加の確認作業が発生することで、ドライバー詐称を防ぎ、ドライバーをなりすまし犯罪から守ることができると同社は考えているのだ。どうやらUberは、銀行口座のセキュリティのようなものを想起させようとしているのだろう。TechCrunchは、登録写真との比較目的に撮影された自撮り写真の、データ保管に関するポリシーについてUberに尋ねたが、この記事の公開時点では回答を得られていない。

自撮りチェックシステムは、パイロットテストがはじまってから数ヶ月が経過しており、Uberによれば、報告されたミスマッチのほとんどが、そもそも登録写真が鮮明でないことによるものだった。さらにUberは、テストに参加したドライバーの99%は問題なく照合されたと話しており、システムが照合に失敗したうち、ほんの数%だけのケースで、実際のドライバーが登録者とマッチしていなかったことになる。

Real-Time ID CheckはUberがオペレーションを行っているアメリカの都市で導入される予定だ。海外市場でも導入予定なのか(また、導入されるならいつ頃を予定しているのか)についてUberに確認したが、こちらについても未だ回答を得られていない。

原文へ

(翻訳:Atsushi Yukutake/ Twitter

米Yahoo、国家に支援された攻撃により個人情報5億人分がリークと確認

yahoo-logo

すでに予告されていたとおり、今日(米国時間9/22)、米Yahooは捜査当局と協力してデータ漏洩問題の調査に当たっていることをことを確認した

Yahooによればこの漏洩で「少なくとも5億人のユーザーの個人情報に影響が及んだ」とされる。 同社によれば、情報窃取が行われたのは2014年で、犯人は「国家の支援を受けたグループ」だとされる。盗まれた情報にはユーザー氏名、メールアドレス、電話番号、生年月日、パスワード(大部分はbcryptによって暗号化ずみ)だ。また一部のケースではセキュリティー質問とその答えが漏洩している(暗号化されている場合もされていない場合もあるという)。

これはデータ漏洩史上もっとも大掛かりで悪質なケースだ。犯人が国家的支援を疑われているだけでなく、窃取された個人情報の規模も内容も深刻な影響が懸念される。

2段階認証が設定されていない場合、セキュリティー質問とその答えが平文で得られればハッカーはさまざまなパスワード保護の仕組みをスキップして自由に新しいパスワードを設定できる。

Yahooでは暗号化されていなかったセキュリティー質問とその答えをすべて無効にしたという。しかしユーザーはこうした質問と答えをさまざまなサイトで使いまわしているというのが現実だ。

ただし、Yahooによれば、犯人は保護されていないパスワード・ファイルへのアクセスには失敗している。またクレジットカード情報、銀行口座などの支払情報も漏洩していない。これらは今回漏洩が確認されたのとは全く別のシステムに保管されていた。

今日の午前11時30分(太平洋時間)から、Yahooは影響を受けたユーザーにメールによる通知を開始した。このメールでYahooはパスワードの変更と新たな認証方法の追加を求めている。また2014年以來パスワードを変更していないユーザーに新たなパスワードを設定するよう求めている。

以下にエンベッドしたのはYahoo USがユーザーに送付したメールの内容だ。

  1. screen-shot-2016-09-22-at-3-09-57-pm.png

  2. screen-shot-2016-09-22-at-3-09-49-pm.png

Yahooは今回の漏洩で影響を受けなかったユーザーもYahoo Account Keyという新たな認証ツールを採用するよう強く勧めている。

Yahooはこの件に関して捜査当局と協力していること述べた。いわゆる「国家的支援を受けた攻撃者グループ」が現在同社のネットワークに侵入している証拠は見出されていないが、捜査は継続されている。

こうした大規模な漏洩が起きた場合、他のハッカーも「尻馬に乗って利益を得る」ことを図るのが通例だ。

ユーザーはフィッシング・メールによる攻撃を頻繁に受けることになる。こうしたメールはパスワードのリセットを助ける振りをしているが、リンクをクリックするとパスワードを含む個人情報を盗み取ることを目的とする偽サイトにリダイレクトされることになる。Yahooはユーザーがこうした悪質なメールに警戒するよう呼びかけている。ユーザー側からの要求なしに勝手に送りつけられてきたメールに含まれるリンクををクリックしたり、メールに返信したりするのは非常に危険だ。

データ漏洩に対する疑問に関してはYahooがこちらにヘルプページを開設している。 https://yahoo.com/security-update.

ただしQ&Aには「ハッシュされたパスワードとはどういう意味ですか?」といった基礎的な知識が掲載されているだけでデータ漏洩のそのものに関する情報は少ない。なおQ&AはTumblrのユーザーアカウントは今回の漏洩の影響を受けていないとしている。【略】

アップデート:

以下はFBの声明。「FBIは漏洩の事実を承知している」とある。

Verizon PRの声明によると、Verizonがこの漏洩問題を知ったのは2日前だという。

[原文へ]

(翻訳:滑川海彦@Facebook Google+

アホらしいほど単純なセキュリティシステムStilla、Indiegogoで資金募集中

今なら29ドルでStillaが手に入る〔米国時間9/14: 午後9時〕。この単純なセキュリティシステムは約1週間前にIndiegogoに登場し、すでに600名あまりの支援者からほぼ44000ドルを集めている。

この小石のようなデバイスの最強のセールスポイントは、単純であること。中に加速度計とBluetoothの送信機、上面にライトがある。完成した市販バージョンでは、スピーカーもある。電源は時計用の電池で、交換できる。

OLYMPUS DIGITAL CAMERA

握り締めるとonになり、それをハンドバッグの中に入れたり、なにかだいじなもの、たとえばベビーカーにくっつける。加速度計が動きを検出し、iOSやAndroidのデバイス(主にスマートフォンだろう)に警報を送る。デバイスのスピーカーから警報音が鳴る。

たったこれだけだ。

動きを検出するアルゴリズムは、列車の振動など無害な動きは無視する。またその感度を、アプリから調節できる。

Indiegogoのキャンペーンはまだあと21日ある。ただし一人一個だ。発売は来年の3月を予定している。

OLYMPUS DIGITAL CAMERA

OLYMPUS DIGITAL CAMERA

disrupt

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Mac用のデスクトップクライアントがOS Xのセキュリティを侵しているという批判にDropboxが答える

dropbox_-_log_in

Dropboxが、同社のクラウドストレージサービスの、Apple MacOS用のデスクトップクライアントの実装をめぐる懸念に答え、またその統合化機能や、OSにリクエストしているパーミッションに関しては、もっとユーザーとコミュニケーションすべきだった、と反省を述べた。

Dropboxでデスクトップクライアントを担当するチームのBen Newhouseが、こう述べる: “DropboxのOSとの統合について、もっとよく伝えるべきだったことは明らかだ。パーミッションは一回求めているが、何をどうしているのかを説明しなかった。それは、直さなければならない”。

Dropboxのデスクトップクライアントに関する懸念は今日(米国時間9/10)Hacker NewsTwitterに載ったが、それらはAppleのhelpのブログにあった最近の二つの記事がきっかけだ。その記事の筆者は、DropboxによるOS Xのセキュリティのハック、という言い方をして、それを詳しく説明している。AppleHelpWriterの記事には、Dropboxが“TCCデータベースに対するSQL攻撃を使ってAppleの認証ポリシーを迂回している”、と書かれている。

その申し立ては、Dropboxが偽のダイアログボックスを作って、ユーザーのパスワードが正しくないと騙そうとしている、というものだが、さらに続けて、OS XのセキュリティダイアログボックスのDropboxによる実装は、ユーザーを騙してアドミンのパスワードを入力させ、DropboxがMacのアクセスパーミッションリストからシステムにrootアクセスするためだ、と批判している。

//platform.twitter.com/widgets.js

Newhouseは、デスクトップクライアントが必要とするパーミッションのスコープに対する批判に対してこう言う: “実際に使う特権しか求めていない。でも残念ながら一部のパーミッションは、われわれが望むような細かい粒度ではない”。

“アクセシビリティのAPIをDropboxのバッジ(Officeの統合)や、そのほかの統合(ウィンドウを見つけるなどのUIの対話的操作)に使っている”。

“内蔵のファイルシステムAPIで不十分なときは、上位のアクセスを使っている。このような依存性を取り除くよう、今Appleと協働しており、もうすぐわれわれが必要とする状態になるだろう”。

Newhouseは、Macユーザーのアドミンパスワードを見たり保存したりはしていない、と断言した。

“アドミンパスワードは絶対に見ないし保存しない。表示されるダイアログボックスはネイティブのOS X API(Appleが作ったもの)だ”、と彼は語る。

ではなぜそもそも、Dropboxはアドミン特権を必要とするのか? 彼は言う、“最初に特権をチェックしセットする。そのねらいは、Dropboxが正しく機能し、OSの複数のアップデートにも対応できるためだ。人びとを心配させたり、彼らの選択を無視するためではない”。

“今うちでは、全員がこの問題に取り組んでいる。われわれが起こしてしまった怒りや不安や混乱については、お詫び申し上げたい。こういう問題では、今後はもっと良いやり方をしなければならない、と自覚している”。

でも結局DropboxはAccessibilityを利用してrootアクセスを獲得しているわけだから、一部の批判者は納得しない。

Newhouseの声明に対してHacker Newsのコメンターriobardが書いている: “現時点では、Dropboxがそのような迂回路を必要とする理由について、十分な説得力のある技術的な詳細説明が得られないかぎり、非難はやまないし、壊れた信頼を再建することもできないだろう”。

“あなた(Newhouse)のレスに挙げられている、Accessibility APIを必要とする理由は、かなり曖昧である。とくに、Microsoft製品を持っていないMacユーザーにとっては、自分のシステムを汚されたことになる。ぼくは、DropboxをMacから削除した。リーズナブルな説明と対策が得られるまで、二度と再インストールしないだろう”。

おなじくHacker Newsのコメンターkybernetykは、パーミッションの粒度が大きいというNewhouseの説明を、“何でもできる(catch all)パーミッションを、やわらかくぼかして言ってるだけだ”、という。

“これからはマルウェアがDropboxのスクリプトをターゲットにして、ユーザーのシステムにタダ乗りするだろう”、とHacker Newsのユーザーpartycoderは書いている。

Dropboxのやり方に納得しなかったMacユーザーや、アプリケーションにrootアクセスを認めることにセキュリティの不安を感じる方は、AppleHelpWriterのこの記事を読んでみよう。DropboxをOS Xの Accessibilityのプリファレンスから削除するやり方が、詳しく書かれている。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

ChromeはHTTPの死を早めている…1月からHTTPSでないページに警告を表示

chrome1

2016年は、HTTPがついに死ぬ年かもしれない。

Chromeのセキュリティチームの今日(米国時間9/8)の発表によると、2017年の1月からこのブラウザーは、パスワードやクレジットカードのデータの送信にHTTPを使っているWebサイトを「危険(insecure)」とマークする。その警告はブラウザーのアドレスバーに表示され、個人情報が見られたり盗まれたりするかもしれない、とユーザーに注意を促す。

さらにその後Chromeは、ユーザーがブラウザーの“匿名”モードで見ているHTTPページにはページの上に警告を表示する。そして今後は、閲覧モードがなんであれ、すべてのHTTPページに警告を出す。

その目的は、サイトのオーナーに、安全なHTTPSへの切り替えを促すことだろう。HTTPSはデータを暗号化して送信するから、悪い人などによるページの内容の読み取りや書き換えが困難になる。ChromeのEmily Schechterが、この方針を伝えるブログ記事で次のように述べている: “HTTPSへの移行の開始を待ってはいけない。HTTPSは以前に比べて使いやすく費用も安くなっており、Webの最良パフォーマンスと、機密性があってHTTPには適さないような強力新し機能の、両方を可能にする”。

Webサイトへの接続をより安全にしようとしているのは、Chromeを提供しているGoogleだけではない。Appleもちょっと前に、アプリのデベロッパーは2016年の終わりまでにiOSアプリの接続をすべてHTTPSにすべし、と声明した。そしてFacebookのInstant ArticlesはHTTPSでサーブされるから、出版元のWebサイトがHTTPSでなくても、読者は安全に記事を読める。こうして世界最大のテクノロジー企業が揃って圧力をかけ始めているから、HTTPSによって安全が確保されるユーザーの数が、これからは全世界的に一挙に増えるだろう。

Schechterによると、今すでにWebサイトのHTTPSへの移行は徐々に進んでいる。彼女によると、“Webのトラフィックの相当部分がすでにHTTPSへの移行を済ませていて、最近ではデスクトップのChromeでロードされるページの半分以上がHTTPSでサーブされており、変化の大きな節目に到達している”、そうだ。

来年1月になるとChromeのユーザーは、ブラウザーのアドレスバーに、こんな警告を見ることになる:

screen-shot-2016-09-08-at-9-46-28-am

そしてページ上に警告が表示されるようになると、こうなる:

screen-shot-2016-09-08-at-9-47-42-am

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Oktaがアイデンティティ管理サービスをAPI呼び出しにも適用

People on phones with social media icon chalkboard

Oktaが今日(米国時間8/29)、ラスベガスで開かれたカスタマーカンファレンスOktaneで、同社のアイデンティティサービスをAPIにも適用する、と発表した。

これまでずっとOktaは、人びとをServiceNow, Salesforce, Office 365などのクラウドアプリケーションにセキュアに接続するサービスを提供してきたが、2年前にはそれに加えて、顧客企業の社員たちがそれらのクラウドアプリケーションにアクセスするために使うデバイスをコントロールする機能の、提供を開始した

今日の発表で同社は、そのプログラムが既存の複数のサービスを利用していることを明かした。たとえば位置に関してはGoogle Maps、通信に関してはTwilio、決済はBraintree、というように。それは単一のプログラムのようでありながら、そのユーザー体験は複数のゲートウェイを横断して提供されている。

“このことによって実は、うちの顧客はコントロールをAPIにも拡張できるんだ”、とOktaのCEO Todd McKinnonは語る。

彼によるとそれには、二つの方式がある。APIはアドミンやプログラマーがアクセスすることが多いが、Oktaにより企業はこのアクセスをポリシーで管理できる。また、APIのゲートウェイへのアクセスを試みた者のID等を、監査証跡(オーディットトレイル)に残すこともできる。

“ハッカーは弱点を見つけることが上手だから、システムがAPIをロックしていないこともきっと見つけるだろう。しかしそこに強力なアクセスポリシーがあれば、多くの場合、弱点の補強が可能だ”、とMcKinnonは述べる。

OktaのAPIシステムはOAuth 2.0によるアクセスコントロールとOktaのポリシーエンジンを併用し、アドミンにアクセスコントロールパネルを提供する。またApigeeやMuleSoftなどのAPIアクセス管理のベンダーともパートナーしている。

Oktaは今、岐路に立っている。昨年9月には12億ドルの評価額で7500万ドルという巨額なラウンドを発表して、企業のセレブたちが集まるユニコーンクラブの仲間入りをした。同社は2009年の立ち上げ以来、累計で2億3000万ドルの大金を調達し、昨年の資金調達のときの発表声明は、向こう12〜18か月以内にIPOがありそうなことを、示唆している。

しかしその後、テクノロジー企業のIPOのペースは鈍化し、今回のMcKinnonも、時期については何も言えない、と慎重な姿勢を示した。

彼はこう言う: “誰かが時期をはっきり言ったら、それはたぶん上場しない、という意味なんだ。一般的に、過去数年間を見ても、上場したからすごく良くなった、という企業はあまりないからね”。

彼によると、最近の業界の最大の変化は、市場が成長を重視しなくなり、むしろ投資効果や費用効果の悪いところがネガティブに評価されていることだ。“だから、単なる成長ではなく、投資効率の良い成長でないと市場は評価しなくなったのだ”、と彼は語る。

ではOktaは、そんな成長をどうやって達成するのか。去年McKinnonが言った12〜18か月は、まだ過ぎていないのだが。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Dropboxの2012年の事件では社員のパスワード再利用により6000万あまりのユーザー認証情報が盗まれていた

adobe_dropbox_ipad-3

【抄訳】
Dropboxが今週初めに開示したところによると、同社の大量のユーザーの、2012年に取得された〔==盗まれた〕認証情報が、闇のWebを放浪している。しかしその実際の数は、最初に考えられたものよりも、はるかに大きかったかもしれない。

最初にMotherboardが報じ本誌TechCrunchの情報筋が確認したところによると、6000万あまりのアカウントの認証情報が盗まれた。今回Dropboxがパスワードの侵害を開示したことは、2012年の事件のときの同社の態度に比べると、進化している。そのとき同社は、ユーザーのメールが唯一の盗まれたデータだ、と言った。

2012年のときのブログ記事は、こんなだ:

盗まれたパスワードは、プロジェクトのドキュメントやユーザーのメールアドレスのあるDropboxの社員のアカウントにアクセスするためにも使われた。この不正なアクセスが、スパムに導いたものと思われる。これに関しお詫び申し上げるとともに、新たなコントロール要素を加えることによって確実な再発防止を図ったことを、ご報告申し上げたい。

このブログ記事によると、Dropboxは2012年に、社員のパスワードが取得されてメールアドレスのあるドキュメントへのアクセスに使われた、と開示した。しかしその窃盗行為によって複数のパスワードが取得されたことは、開示しなかった。Dropboxはユーザーのパスワードを暗号化しソルトして保存しており、そのことは技術的にも正確であり、したがってハッカーは暗号化されているファイルを取得できただけであり、その上のパスワードを解読することはできない、と思われる。しかし、最初に開示したものよりも多くの情報が盗まれていたにもかかわらず、その侵害の開示にこんなに長い時間〔ほぼ4年〕がかかったことは、奇異である。

Dropboxの筋によると、最初に2012年に開示したユーザーのメールに加えて、それらのメールに結びついている一群の暗号化されたパスワードも盗まれた。その侵害の時点ではDropboxは、当時の標準アルゴリズムである暗号化アルゴリズムSHA-1の使用をやめて、より堅牢なbcryptに代えようとしていた。盗まれたパスワードの一部はSHA-1で暗号化され、3200万はbcryptで暗号化されていた、とMotherboardは報じている。パスワードはまた、暗号化を強化するためのランダムなデータ列、いわゆるソルト(salt, 塩)で守られていた。これらのパスワードは今、ネット上に投げ捨てられているが、それらを保護している暗号がこじ開けられた形跡はない。

2012年11月のForbes誌のインタビューでDropboxのCEO Drew Houstonは、ユーザー数は1億、前年同期より倍増、と述べた。いちばん最近の発表では、登録ユーザー数は5億であるが、各月のアクティブユーザー数は公表されていない。ハックが起きたときのユーザー数もほぼ1億なら、その3/5が侵害の被害者だから、ものすごい数だ。

社員のパスワードを使ったハッカーは、それをLinkedInの侵害から再利用して、Dropboxの社内ネットワークにアクセスし、ユーザーの認証情報を盗んだ、と情報筋は言っている。だから責任の100%がDropboxにあるわけではないが、企業内のセキュリティが破られたことは事実であり、パスワード再利用の危険性と、その被害が企業環境の内部にも及びうることを示している。

Dropboxは、社員が自分の企業アカウントのパスワードを再利用しないために、すべての社員に対してパスワード管理サービス1Passwordをライセンスし、ユニークで強力なパスワードを使うよう奨励している。同社セキュリティ担当のPatrick Heimによれば、これらに加えて、すべての社内システムで二要素認証を必須にしている。

【後略】

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Operaのブラウザーデータをシンクするサービスからユーザーデータが漏洩、詳細を調査中

screenshot-2016-08-27-13-24-19

Operaは最近、そのブラウザー事業を中国のコンソーシアムに売ることに合意したが、今週はそのサービスの一つが、サーバーをハッカーに侵入されたため、ユーザーのパスワードをリセットした。

同社によると、犯人はOpera Syncへのアクセスを獲得した。これはユーザーがブラウザーのデータや設定を複数のプラットホーム間でシンク(同期化)できるためのサービスだ。現在まだ調査中だが、初期的な結論としては、犯行によりパスワードとログイン名などのユーザーデータが漏洩したようだ。

Operaはその幅広いプロダクト全体で3億5000万のユーザーを抱えているが、その中でSyncサービスのユーザーはごく少数だ。先月の時点でアクティブユーザーが170万だったが、もっと多くのノンアクティブの登録ユーザーも、Operaにパスワード等のデータを提供している。同社はすべてのパスワードをリセットし、Syncの全登録ユーザーにメールで詳細を伝えた。

またブログ記事では次のように説明している: “パスワードはすべて(同期化のためには)暗号化され、(認証のためには)ソルトされハッシュされて保存されていたが、それでもわれわれはOpera Syncのすべてのアカウントのパスワードを、念のためリセットした”。

Dropboxが、パスワードを2012年以降変えていないアカウントのパスワードをリセットすると発表したその翌日に、Operaがやられたというニュースが飛び込んできた。Dropboxの決定は、2012年に起きたLinkedInに対する大規模なハックへの懸念が契機だ。そのときは、1億1700万のアカウントの認証情報がネット上にポストされた。

Operaの事件はそれとは無関係なようだし、ハック攻撃の対象はたった一つのサービスに限定されているようだ。しかし調査がすべて終われば、詳しい実態がさらに明らかになるだろう。

攻撃の噂は1か月前からあった。そのころはOperaが、そのブラウザー事業とプライバシーアプリと中国の合弁事業を、中国のコンソーシアムに6億ドルで売る、と発表した直後だった。そのコンソーシアムのトップQihoo 360は、ウィルス対策の企業だ。最初の合意ではOpera全体を12億ドルで売るとなっていたが、株主たちの承認が期日内に得られなかったため、新たな合意案が作られた。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Appleが今日公開したiOSアップデートは、脆弱性利用への政府機関の関与をほのめかしている。

219233_ahmed_mansoor-1

Appleが本日リリースしたiOS9.3.5へ更新しよう。もしあなたが著名な人権活動家なら特に。つい最近すんでのところで回避された、そうした著名人物に向けられていた攻撃は、今回のパッチで対処された1つではなく3つのゼロデイ脆弱性を用いていた。その後の調査では、これらは謎めいたサイバーセキュリティ企業の仕事であることが示唆されている。この企業のソフトウェアは、政府によって何年にもわたり政治的ターゲットへの不正アクセスの試みに使われていたものと思われる。

UAEを拠点とする受賞歴のある活動家Ahmed Mansoor(写真上)は、2週間前に、被拘禁者が拷問を受けていることに関するもっともらしい情報を、いくつかの不審なSMSテキストメッセージとして受信した – しかし、過去幾度も高性能の「合法的盗聴」ツールの攻撃に晒されてきたMansoorは、このSMSテキストをカナダのセキュリティ研究組織Citizen Labに送ることにした。

Mansoorに送られたSMSテキスト

Mansoorに送られたSMSテキスト

Lookout Securityの協力を得つつ、Citizen Labはウサギの穴を下って行き、それが予想外に深かったことを発見した

もちろんSMSテキストは罠だったのだが、それは前例のない複雑さを持つものだった。その1つのリンクは、3つの独立して深刻度の高いiOS内の脆弱性を浮かび上がらせるものだった ‐ 任意のコードをWebKit経由で実行する、カーネルへのアクセスを取得する、そしてカーネル内でコードを実行するものだ。こうした独立した3種のゼロデイ脆弱性が同時に見つかることはとても珍しい。

この結果は、電話内の全てのデータと通信に対する完全なアクセスを許可する悪意あるコードをその体内に注入されたワンステップ脱獄に他ならない ‐ 互いの上に構築されたこの三重の脅威は、「Trident(三叉の矛)」という相応しい仇名を与えられている。

ハッキングチームのリークした電子メールより。インストールされたPegasusが手の届く範囲を示したイラスト。

ハッキングチームのリークした電子メールより。インストールされたPegasusから手の届く範囲を示したイラスト。

これらの脆弱性は直ちにAppleに伝えられ、その10日後 – 今日 – それらを修正するパッチが配布された。Appleは以下のステートメント以外のコメントは拒否した:「私たちはこの脆弱性を知らされ、すぐにiOS 9.3.5で修正しました。潜在的なセキュリティ攻撃から身を守るために、常にiOSの最新バージョンをダウンロードすることを、すべてのお客さまに推奨します」。

このコードの影響がiOS7まで遡るという事実は注意しておくべきだろう。この攻撃それほどの長期に渡って使われていて、単純に広範囲に効果的だったのだ。

Tridentの攻略後すぐに、デバイスに上に取り込まれる可能性のあったマルウェアは、イスラエルのサイバーセキュリティ企業NSOグループが販売しているスパイウェアソフトウェアのPegasusであることが、研究者たちによって暴かれた。これが、実際に捕獲されたのは初めてだ(おそらくそれに取り組んだチームはベレロポーン【キマイラを退治したギリシャ神話の神。ペガサスを乗りこなす】と呼ばれているに違いない)。

PegasusはSMSテキストを送りつけてきたハッキングチームが明らかに利用していたツールの1つだった ‐ そしてその事実は、彼らの電子メールが漏洩した際に、図らずも明らかになった。Citizen Labの遡及的調査は、アラブ首長国連邦(UAE)でStealth Falconという名で追跡されていた別の脅威の中にも、NSOの仕事の痕跡を発見した。更には、NSOのシグネチャはメキシコ人ジャーナリストRafael Cabreraをターゲットにしたマルウェア上にも発見された:彼は同国の大統領の信用を損なう可能性のある原稿に取り組んでいた。

NSOを所有、あるいは少なくとも同社に投資をしている、と伝えられているサンフランシスコの投資会社Francisco Partnersは、問い合わせに対して回答していない。

そしてPegasusとNSOは、長期間にわたってその身を潜め続けている、情況証拠しか存在していないが、そのことは同社が長い間政府に対して高度に洗練された侵入ソフトウェアを提供してきたことを示唆している。そして予想されたことだが、このソフトウェアは、テロリストやスパイの類に対してのみ使われてきたのではなく(あるいは全く使われておらず)、政府の利益に反する行為を行う市民に対しても使われてきたのだ。

Citizen Labsは、その結論でうまくそれをまとめている:

Citizen Labやその他の組織は、先進的な「合法的盗聴」スパイウェアの利用によって、いくつかの政府や政府機関が強い監督体制なしに、ジャーナリスト、活動家、そして人権運動家を標的にした嫌がらせが可能になることを、これまでも繰り返し実証してきた。もしスパイウェア企業たちが、人権を損なう局面における自社のプロダクトの役割を認めたり、こうした喫緊の懸念にアプローチしたりすることに、気が進まないというのなら、彼らはこれからも政府やその他の関係者による更なる干渉の強大化を続けるということである。

常に気を配ろう、そして携帯電話は最新にしておこう。グローバルインターネットは危険な場所なのだ。

[ 原文へ ]
(翻訳:Sako)