GoogleがChromeとアプリの履歴、位置情報履歴の自動削除機能を発表

Google

よほど知識があり、よほど慎重に設定しないとGoogleはユーザーのオンライン上の行動を驚くほど詳しく記録してしまう。ChromeやGoogleマップを使っているなら訪問したサイトの閲覧履歴や位置情報が含まれる。こうした情報を記録させないようオプトアウトしたり、すでに記録された情報を削除したりすることは常に可能だが、面倒な操作が必要だった。加えて、そうすべき理由はいろいろあるにせよ、オプトアウトしてしまうとGoogleのパーソナライズ機能のほとんどを失うことになる。そこでGoogleは利便性とセキュリティーの妥協地点を設けることとした。

米国時間5月1日、Googleはウェブ訪問およびアプリ利用の履歴と位置情報を自動削除できる機能を発表した。ユーザーはGoogleがこうした情報を記録しておく期間を指定できるようになった。ユーザーはこの期間として3カ月または18カ月を指定できる。

期限を過ぎたデータは自動的に削除される。Googleに許可したデータの保存期間に応じてユーザーは行動履歴に基づく推薦などのパーソナライズサービスを受けられる。Googleからの推薦やカスタム検索は最大3カ月ないし18カ月の期間に得られたデータのみをベースにしているので、保存期間の上限を設けなかった場合より精度は限定的なものとなる。とはいえばパーソナライズサービスが受けられるのは便利だ。

当面この自動削除機能はGoogleの各種アプリの履歴をカバーする。つまりChromeやGoogleマップの位置情報の他にもAndroid向けのGoogleの新しいホーム画面、Google Discoverからの通知データもすべて削除される。

もちろんこうしたデータが削除されてもユーザーのGoogleアカウントには大量の個人情報が残されている。例えば、音声入力やYouTubeの検索・視聴などのデータは手付かずだ。しかし今後はGoogleもこうしたデータを自動削除対象に含めていくものと個人的には期待している。

画像:Tomohiro Ohsumi/Getty Images / Getty Images

【編集部注】この機能は数週間以内にすべてのユーザーが利用できるようになる模様。なお現在でもブラウザ右上などに表示されるGoogleアカウントのアイコンからアクティビティ管理を開けば個別に履歴を管理できる。

原文へ

(翻訳:滑川海彦@Facebook

画像:Tomohiro Ohsumi/Getty Images / Getty Images

アップルがスクリーンタイム監視アプリ削除の正当性を主張

Apple(アップル)は、App Storeから一部のペアレンタルコントロールアプリを削除したことに関して新たな声明を発表し、正当性を主張した。

同社は、親が子供のスクリーンタイムをより強くコントロールすることを謳った一部のアプリを削除したとして、非難を浴びているが、Appleはそれらのアプリがプライバシーに立ち入りすぎるテクノロジーを利用しているためだと説明した。

「最近当社はいくつかのペアレンタルコントロールアプリをApp Storeから削除したが、理由は単純であり、それらのアプリユーザーのプライバシーとセキュリティーを危険に曝すからだ。なぜ、どうやってこれが起きたのかを理解することが重要だ」と同社は声明で述べた。

問題の核心は、同社がApp Storeから削除したペアレンタルコントロールアプリが使用していたモバイルデバイス管理(MDM)技術にある、と同社は言った。

このデバイス管理ツールは、端末ユーザーの位置情報、利用しているアプリ、メールアカウント、カメラの許可状況、閲覧履歴などの制御とアクセスをサードパーティーに与える。

「当社は非エンタープライズ・デベロッパーによるMDMの利用について2017年に調査を始め、2017年中頃にその結果に沿ってガイドラインを改定した」と同社は言った。

Appleは、企業が社有デバイスや内部データを監視する目的でこの技術を使うことは正当な利用方法であることを認めているが、パーソナルな消費者向けアプリがユーザーの端末にMDMをインストールすることは、明確なApp Storeポリシー違反であると言った。

Appleは該当するアプリデベロッパーに対してApp Storeガイドラインに違反している旨を知らせ、App Storeから削除されないために30日以内にアップデートを提出するように伝えた。

Appleがスクリーンタイムアプリに関してデベロッパーに警告していたことは昨年12月にTCが報じている

「何社かのデベロッパーはポリシーに沿うようアプリを改訂するアップデートを発行した」とAppleは声明で言った。「それ以外のアプリはApp Storeから削除された」

Appleが目を光らせるサードパーティ製スクリーンタイムアプリ

[原文へ]

(翻訳:Nob Takahashi / facebook

マイクロソフトはパスワードを期限切れにするポリシーの廃止を検討

Microsoft(マイクロソフト)は、ユーザーに定期的に自分のログインパスワードを変更することを要求するWindowsのポリシーを廃止することを提案した。

公式のブログ記事でMicrosoftは、新たなセキュリティ設定のベースラインの草案では、数週間ごと、あるいは数ヶ月ごとにパスワードを変更することをユーザーに強制することをやめたと明かしている。対象となるのは、ネットワークのグループポリシーによってアカウントが制御されているユーザーだ。

Microsoftのセキュリティベースラインのドキュメントの草案には、企業のネットワークに接続しているすべてのユーザーのグループに効力のある推奨ポリシーが記述されている。その中には、特定の機能やサービスを制限することで誤用や悪用を防ぐためのルールや、マルウェアがシステムやネットワークを攻撃するのに利用する可能性のある機能を隔離する際のルールなどが含まれている。

同社によれば、これまでのパスワード変更ポリシーは「古風で時代遅れになった存在価値の低い対策」であり、もはや「意味があるとは考えられない」としている。

以下は、MicrosoftのAaron Margosis氏の見解だ。

定期的にパスワードを期限切れにすることは、パスワード(またはハッシュ)がその有効期間中に盗まれて、不正に使用されるということを想定した状況にだけ有効な防御策です。もしパスワード盗まれていなければ、それを無効にする必要はありません。逆にもしパスワードが盗まれたという証拠があるなら、むしろ直ちに行動すべきであって、有効期限が切れるのを待ってから問題に対処するという手はないでしょう。

仮にパスワードが盗まれた可能性が高いと考えられる場合、その盗まれたパスワードの使用を許可し続けることが許容される期間は何日間でしょうか? Windowsのデフォルトでは42日です。それは、ばかばかしほど長い期間のように思われるのではないでしょうか?まあ、そのとおりです。私たちの現在のベースラインでは60日としています。以前は90日でした。というのも、頻繁な期限切れを強制すると、また別の問題が起こるからです。そして、もしパスワードが盗まれるということがないのであれば、そうした問題が起こるだけで、ほかには何のメリットもないのです。さらに、もしあなたのユーザーが、無防備にも駐車場でアンケートに答え、飴玉と引き換えに自分のパスワードを渡してしまったら、パスワードを期限切れにするというポリシーには、何の意味もなくなってしまいます。

そうしたポリシーをベースラインから除外する方が、別の日数や、期限切れそのものの廃止を推奨するよりも、組織ごとのニーズに合わせてベストな方法を選択できるはずです。しかもガイダンスに違反することもありません。それと同時に、私たちはまた別の保護方法を強く推奨することを、改めて明らかにしなければなりません。それはベースラインとして表現できる類のものではありませんが。

言い換えれば、Microsoftは、定期的にパスワードを変更することよりも、強力で長くユニークなパスワードの使用を重視することにしたのだ。

数週間、または数カ月ごとにパスワードを変更することは、日常的にWindowsを使っているユーザーをイラつかせるだけではない。利益よりもむしろ害をもたらすことになるという指摘もある。元FTC(米国連邦取引委員会)のチーフテクノロジスト、Lorrie Cranor氏は2016年のブログ記事で、ユーザーに頻繁にパスワードの変更を強制すると、パスワードが弱いものになってしまう可能性があると書いている。

「研究者は、すでにユーザーのパスワードを手に入れた攻撃者は、パスワードの変更によってひるむことは考えにくいと指摘しています」と、彼女は述べている。「いったんパスワードを知った攻撃者は、ユーザーが変更した後のパスワードも容易に推測できることが多いのです」。

その後間もなく、連邦政府にサイバーセキュリティの実践およびポリシーについて助言する立場にあるNIST(米国標準技術局)は、それまでの助言を改訂し、定期的なパスワード変更を義務付けるポリシーを削除した。

すでに退官したNISTの元マネージャ、Bill Burr氏は、パスワードを期限切れにすることを推奨するポリシーを2003年に策定した張本人だが、2017年のインタビューでは、そのことを悔やんでいる。そのルールは、「実際にはユーザビリティに悪影響を及ぼしました」というのだ。

画像クレジット:Getty Images

原文へ

(翻訳:Fumihiko Shibata)

英国はファーウェイを5Gサプライヤーにすることに難色

【抄訳】
中国の通信機器ベンダーの関与が国のセキュリティにリスクをもたらすとの懸念にもかかわらず、イギリスの政府は、同国の5Gネットワークの一部の中核的でない部分に関してファーウェイ(Huawei)をサプライヤーとして認めることになった。しかし政府の記者発表によれば、ネットワークの中核的な部分からは除外される。

米国時間4月23日の国家安全保障会議の会合における英国メイ首相の決定を今朝のテレグラフ紙が報じた。同紙によると、複数の閣僚が彼女のアプローチに懸念を表明した。それらは、内務大臣と外務大臣、防衛大臣、通商大臣、国際開発大臣である。

FT(フィナンシャル・タイムズ)は、英国の5Gネットワークへのファーウェイの関与に厳しい制約を課すのは、閣僚たちが提起した懸念のレベルが高いことを反映している、と報じている。

5Gによる次世代ネットワークの構築にファーウェイの部分的関与を許すというメイ首相の黃信号的決定の1か月前には、英国監督機関がこの中国企業のセキュリティへのアプローチを評価して厳しい報告書を提出したばかりだ。

ファーウェイ・サイバーセキュリティ評価センター監督委員会(Huawei Cyber Security Evaluation Centre Oversight Board)の第5次年次報告書は、同社のソフトウェアエンジニアリングとサイバーセキュリティの能力には「深刻かつ意図的な欠陥がある」と酷評している。

監督委員会はしかし全面的な禁令を促すことはせず、「英国の重要なネットワークへのファーウェイの関与が国のセキュリティにもたらすすべてのリスクは、長期的には十分に軽減できる、という限定的な確証しか提供できない」と言うにとどめている。

しかし2月にブリュッセルで行われたサイバーセキュリティカンファレンスで英国の国家サイバーセキュリティセンター(National Cyber Security Centre, NCSC)のCEOを務めるCiaran Martin氏は、ファーウェイがもたらすいかなるリスクでも英当局は軽減できる、と確信を述べた。

【中略】

オックスフォード大学のサイバーセキュリティ専門家Lukasz Olejnik博士はこう言う。「これ(ファーウェイの部分的認可)は、そろそろファーウェイ問題にけりをつけたいと願っている政府の、とりあえずまあまあの落とし所だから、別に意外ではない」。

【中略】

しかし、ファーウェイには手を出させない、ネットワークの中核的部分とは何なのか、その定義が難しそうだ。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

今週のサイバーセキュリティ関連ニュースまとめ

今週も忙しかった。 サイバーセキュリティに関するものだけでも、すべてのニュースについていくのは大変だ。そこで、今週の重大なサイバーセキュリティ関連記事を、TechCrunchに掲載されたものを中心に、いくつか集めてみた。最新のハッキング、プライバシー侵害、セキュリティに関する話題。どれも知っておくべきものばかりだ。

Facebookはパスワード漏洩が「数百万」のInstagramユーザーに影響を及ぼしたことを表明

TechCrunch:William Barr司法長官が、非常に期待されていたMuellerのレポートの概要を1週間以内に発表することにしたというニュースに世間の注目が集まっていた最中、Facebookは自ら1ヶ月前に公開したブログ記事を密かに書き変えていた。数年に渡って放置されていた、パスワードを平文で保存するというバグによって影響を受けたInstagramのアカウントの数を変更していたのだ。Facebookは、最初に見積もった「数十万」ではなく、「数百万」のアカウントが影響を受けていたことを認めた。そのタイミングは偶然ではなかった。Facebookにとって良くない知らせを隠すための絶好の機会だったのだ。CNNのDonie O’Sullivan氏は、これを、米国の中間選挙の前日に、Facebookがミャンマーでの大量虐殺に果たした役割を詳しく記した報告書を削除して以来、「最も卑劣な」行為だと非難した。

【日本語版関連記事】
Facebookがパスワードが漏れたInstagramユーザー数を「数百万人」に訂正

ユタ州は警察が令状なしにデジタルデータを検索することを禁止

Fobes:プライバシー擁護派には朗報だ。今週、ユタ州では合衆国憲法修正第4条の大きな抜け穴がふさがれた。以前は、州の法執行機関は、インターネットプロバイダーや、クラウドプロバイダーに対する召喚状さえあれば、誰のものであれ、電子メール、写真、ビデオ、オーディオといったデジタルコンテンツにアクセスすることが可能だった。今後は、HB 57、つまり電子情報またはデータのプライバシー保護法の導入によって、警察は相当な理由に基づく令状を必要とするようになった。もはや、令状なしの法的尋問は許されない。

謎のエージェントがイランのハッカーをハックしてコードを破棄

Wired:今週のニュースに埋もれそうになっていた驚くべき発見がある。未だ何者か知れない誰かが、OilRigまたはAPT34として知られるイランのハッカーグループの秘密を、Telegramチャンネルで暴露し始めたという。これは、Alphabetのサイバーセキュリティ会社、Chronicleからの情報だ。もし事実なら、これはそのハッカーグループの運用上のセキュリティに対する壊滅的な侵害となるだろう。Shadow Brokersが、NSA(米国家安全保障局)によって開発された極秘のハッキングツールを盗んで公開してから、まだほんの2、3年しか経っていない。

ウェザーチャンネルが1時間以上オフラインに

ウォールストリートジャーナル:米国時間4月18日木曜日、The Weather Channelはランサムウェアの攻撃により、1時間以上にわたってオフラインとなった。ウェザーチャンネルのツイートによると、バックアップシステムを使って起動した後で、ようやくライブ番組を回復させることができたという。FBIは調査中と述べている。これは、アルミニウムメーカーのNorsk Hydroや、飲料大手のArizona Beveragesに続く、ランサムウェアが大企業を襲った最新の事例だ。

ムラーレポートから、選挙のハッキング、暗号化されたメッセージ、トロール工場など

TechCrunch:2016年の米大統領選挙から2年、ロシアによる選挙妨害に対する特別検察官による捜査は終了した。TechCrunchは、技術的な視点から、次のような知っておくべきポイントを取り上げた。つまり、背後にロシアがつくハッカーがHillary Clinton氏の選挙運動に侵入した方法、暗号化されたメッセージングアプリを使って捜査を妨害した方法、ロシアによる選挙システムへの侵入はどの程度成功したのか、トロール(荒し)工場とその偽情報が選挙に対してどのような役割を果たしたのか、などについて解説した。

【日本語版関連記事】
ムラー特別検察官報告の公表で民主党ヒラリー候補の大統領選に新しい光

FTCはプライバシー侵害についてマーク・ザッカーバーグ氏との対決を望む

ワシントン・ポスト紙コロンFacebookは、これまで以上にFTC(連邦取引委員会)から厳しい視線で見られている。今週のレポートによると、ソーシャルメディア大手の創立者であるMark Zuckerberg(マーク・ザッカーバーグ)氏もFTCの照準に入る可能性があるという。これは、Cambridge Analyticaのスキャンダル以降の、Facebookに対する継続的な責任追求の一環だ。その後も、次から次へとセキュリティに関する事件が起こり、消費者データの不適切な管理や、重大な倫理規定違反があったことを受けてのもの。

サイバーセキュリティ会社Verintがランサムウェアにやられる

ZDNet:サイバーセキュリティ会社のVerintも、今週ランサムウェアの被害を受けた。「この上ない皮肉」と揶揄されるのも無理はない。同社は感染に対処するため、別のセキュリティ会社に頼らざるを得なかった。これは、インド最大のアウトソーシング企業の1つ、Wiproがハッカーに打撃を受けたのと同じ週に起こった。Wiproは、当初侵入されたことを否定していたが、このニュースを報じたセキュリティ関連のレポーター、Brian Krebs氏が、侵入のあった翌日に開かれた同社の決算説明会に出て真実を正した。もちろん、このやり取りは記録され、Wiproの最高執行責任者、Bhanu Ballapuram氏は、それが事実であることを認めざるを得なかった。

フランス政府のメッセージングアプリのセキュリティ欠陥により機密の会話が暴露

TechCrunch:Baptiste Robert氏は、ユーザーアカウントの作成に成功した。このアプリは、オープンソースのSignal Protocolを使用している。不注意から政府関連以外の電子メールアドレスによるアクセスを許可し、アプリの公開チャンネルを露出してしまったのだ。

画像クレジット:Shutterstock

原文へ

(翻訳:Fumihiko Shibata)

ホットスポット検索アプリが200万件以上のWi-Fiパスワードを流出させた

人気のAndroid用ホットスポット検索アプリが200万箇所以上のWi-Fiネットワークのパスワードを流出させた。

何千人ものユーザーがダウンロードしたそのアプリを使うと、近くのWi-Fiネットワークを見つけることができる。ユーザーがWi-Fiパスワードを端末からアップロードすると、他のユーザーがそれを利用できる。

しかし、200万以上のWi-Fiパスワードが保存されたそのデータベースが保護されずに露出され、誰でも中身をアクセスして一括ダウンロードできる状態になっていた。

セキュリティー研究者でGDI FoundationのメンバーであるSanyam Jai氏がこのデータベースを発見し、TechCrunchに報告した。

本誌は2週間以上をかけて中国に拠点があると思われるデベロッパーに接触を試みたが成功していない。最終的にホスト運営者のDigitalOceanに連絡をとったところ、同社はその日のうちにデータベースを閉鎖した。

「我々はユーザーに告知し、データベースがさらされていたサーバーをオフラインにした」と広報担当者が本誌に伝えた。

各レコードには、Wi-Fiネットワークの名前、正確な位置情報、基本サービス識別子(BSSID)およびネットワークパスワードが平文テキスト形式で保存されていた

アプリの開発者は、公開ホットスポットのパスワードのみを提供していると称していたが、調べたところ大量の家庭用Wi-Fiネットワークのデータが見つかった。流出したデータにネットワーク所有者の連絡先情報は含まれていないが、位置情報を地図に照らし合わせたところ、完全な居住エリアや企業の存在しない地域が見つかった。

同アプリは、ユーザーがネットワークオーナーの了解を得ることを要求しておらず、Wi-Fiネットワークの不正アクセスを可能にしていた。ネットワークにアクセスすることで、攻撃者がルーター設定を変更してDNSサーバーを改変し、無防備なユーザーを悪意のあるウェブサイトに誘導する可能性がある。攻撃者は、ネットワークを流れる暗号化されていなデータを読み取り、パスワードや秘密を盗み出すこともできる。

流出した数万件はのWi-Fiパスワードは、米国拠点のネットワークのものだった。

[原文へ]

(翻訳:Nob Takahashi / facebook

ハッカーがメキシコ大使館の文書を大量にネット公開

ハッカーが、グアテマラのメキシコ大使館から大量の文書を盗みネットで公開した。

@0x55Taylorというハンドル名で活動しているそのハッカーは、盗んだデータへのリンクを先週ツイートした。クラウドのホストが削除したため、現在データはダウンロードできないが、ハッカーはTechCrunchに文書を提供し、内容の確認を求めた。

このハッカーはTechCrunchに、「メキシコ大使館に関連するグアテマラの脆弱なサーバーが侵入され、私が文書とデータベースをすべてダウンロードした」と伝えた。彼はメキシコ当局に連絡をとったが、無視されたと語った。

その前のハッカーとのやり取りの中で、彼は問題を報告して懸賞金をもらおうとしていると言っていた。「しかし、返事がなかったので公開した」と彼は言った。

4800件を超える文書が盗まれ、そのほとんどがグアテマラの首都にあるメキシコ大使館の内部情報に関するものであり、出生、死亡登録などの領事業務、収監あるいは投獄されたメキシコ国民や旅券発行などに関する文書が含まれていた。

1000件以上のパスポート(外交官に発行されたものを含む)が盗まれた

1000件以上の機密性の理解個人情報資料(パスポート、ビザ、出生証明書などのスキャンデータ)が発見され、その多くは外交官を含むメキシコ国民のものだったが、グアテマラ国民のものもあった。

支払いカードの両面をスキャンした文書もあった。

メキシコ外交官に発行された外交官ビザ

盗難データには、大使館員に外交上の権利、特権を付与する文書も含まれていた。外交特権は、大使館職員が現地の政府および警察から保護される一定の権利を与える。TechCrunchが見た在グアテマラのメキシコ大使であるLuis Manual Lopez Moreno氏が署名した文書は、外交通信文書用袋で運ぶように指示されていた。この袋は国の間で公式文書を輸送するために用いるもので、警察や税関の検査を受けない。

多くのファイルに「機密」と書かれていたが、ハックされたデータがメキシコ政府にとって機密文書に分類されるものを含んでいたかどうかは不明だ。ほかには、職員の医療費、休暇、車両証明書などに関する国際管理文書があった。

米国時間4月19日、在ニューヨーク総領事の広報官Geraldo Izzo氏は、本件を「非常に深刻な問題」と考えていると語ったが、すぐにコメントは出さなかった。

4月19日の金曜日はメキシコの祝日だった。

関連記事:

[原文へ]

(翻訳:Nob Takahashi / facebook

英国の「最悪のパスワード」は想像以上だった

人名、サッカー選手、ミュージシャン、架空の人物。これらがパスワードの年間ワーストランキングの上位を占めた。英国の政府機関である国家サイバーセキュリティーセンター(NCSC)による。

しかし、ひどいパスワードの中でも「123456」を超えるものはない。

ベテランのセキュリティー専門家にとっては驚きではない。この6桁の数字は、その利用範囲の広さから過去何年にもわたり最悪パスワードの名をほしいままにしている。このあとに続くのが、なんと、なんと「123456789」だ。

NCSCは、3000万人の「カモ」がこの2つのパスワードだけを使っていると言った。これはセキュリティー研究者Troy Hunt氏が運営するウェブサイトであるPwned Passwordsのデータに基づく最新の盗難分析による。Hunt氏はHave I Been Pwnedという盗難通知サイトも運営している。

「サイバーセキュリティーは難しそうだと感じる人が多いことは理解しているが、NCSCは人々が被害を大きく減らすのに役立つ身近なアドバイスをたくさん提供している」とNCSCの技術ディレクターであるDr. Ian Levyは言った。「パスワードの使いまわしは、避けることのできる最大のリスクだ。自分の名前や地元のフットボールチーム名やお気に入りのバンド名のような想像できるもので、大切なデータを保護すべきではない」。

弱いパスワードは問題だ。侵入を企てるロボットが簡単に予測できるだけでなく、企業のデータ漏洩で盗まれたときにも侵入されやすい。「モノのインターネット」のデフォルトパスワードがそのまま使われることも多く、スマートデバイスを狙う邪悪な目的のロボットの乗っ取られる恐れがある。

私たちになにができるのか?

TechCrunchは、無料のサイバーセキュリティーガイドをいくつか公開しているので、適切な行動に役立ててほしい。パスワードマネージャーを使うことは大きな一歩だ。パスワードマネージャーは、パスワードを生成して安全に保管するので、人間はいちいち覚える必要がない。もう一つが二要素認証で、パスワードにもう一段階の障壁を加えることで、最強のハッカーであってもあなたのアカウントへに侵入することは難しい。

安全のためにかかる時間は長くない。ある日の1時間を割くことがスタートだ

[原文へ]

(翻訳:Nob Takahashi / facebook

マルウェア研究家マーカス・ハチンズが有罪を認めた

マルウェア研究家のマーカス・ハチンズ(Marcus Hutchins)が、銀行を狙う強力なマルウェアを作り、そして売ったとされる嫌疑で2つの訴因に有罪を認め、アメリカの検察との長期戦を終わらせた。

英国籍のハチンズはMalwareTechというハンドル名を名乗り、2017年8月に、ラスベガスで行われたセキュリティカンファレンスDef Conから英国へ帰国しようとしたところを逮捕された。検察はハチンズを、さかのぼる2014年に銀行を狙うマルウェアKronosの作成に関与したとして告発した。その後彼は、保釈で出獄した。

司法取引協定がウィスコンシン州東部地裁に提出され、そこでこの訴件は米国時間4月19日に審理された。彼の裁判は今年後半に開始されると決まった。

ハチンズは、Kronosを配布した罪を認めることに同意した。それは銀行のウェブサイトからパスワードとそのほかの認証情報を盗むためのトロイの木馬だ。最近の数年間そのトロイの木馬は拡散を続けた。彼また、第二の訴因である共謀罪でも有罪を認めた。

ハチンズは最大で10年の懲役刑に直面している。検察は、そのほかの訴因を取り下げた。

自分のウェブサイト上の短い声明で、ハチンズはこう言っている。「これらの行為を悔い自分の過ちに関し全面的に責任を取る」。

「大人になってからは自分が数年前に誤用した同じスキルを建設的な目的に使ってきた。今後も自分の時間を、人びとをマルウェアの攻撃から護るために捧げ続けたい」。

彼の弁護士Marcia Hofmann氏はコメントの求めにすぐには応じなかった。

ハチンズは、逮捕の数カ月前の2017年5月にWannaCryランサムウェアの犯行の拡散を止めて有名になった。その犯行は、国家安全保障局(National Security Agency、NSA)が開発し、のちにリークした強力なハッキングツールを使って何千ものWindowsコンピューターにバックドアを作り、ランサムウェアをインストールした。後日それは北朝鮮が支援するハッカーのしわざとされ、イギリスの病院や世界中の大企業のインターネット接続を断ち業務を麻痺させた。

彼はマルウェアのコードの中に見つけたドメインネームを登録することによって、感染の拡大を止め、それによって英雄視された。

保釈の前後にハチンズはセキュリティコミュニティからさらに賞賛され尊敬された。彼はマルウェア分析の分野に寄与貢献し、また自分の発見を公開して、そこから他の人びとが学べるようにしたからだ。

司法省のスポークスパーソンNicole Navas氏は、コメントを断った。

関連記事: WannaCryのヒーローの支持者グループ、クラウドファンディングで裁判費用を募金

[原文へ]
(翻訳:iwatani、a.k.a. hiwa

Facebookがパスワードが漏れたInstagramユーザー数を「数百万人」に訂正

Facebookは、同社のパスワード漏出問題の影響を受けたInstagramユーザーが当初発表した「数万人」ではなく「数百万人」に上ることを正式に認めた。ソーシャルメディアの巨人は、3月21日に公開された公式ブログ記事を更新してこの新情報を正式に発表した。

「我々は、Instagramのパスワードがテキスト形式で保存されたログを新たに発見した」と同社は言った。「現在当社は、この問題が数百万人のInstagramユーザーに影響を与えたと推測している。これまでと同様、該当ユーザーには通知する予定だ」。

「当社の調査の結果、保存されていたこれらのパスワードは社内、社外を通じて悪用もしくは不正使用されていないという結論を下した」と更新記事は伝えているが、どうやってその結論に達したかについては未だに発言していない。なおソーシャルメディアの巨人は、影響を受けたのが何百(何千)万人なのかも言っていない。

先日Facebookは、「数億人」のユーザーアカウントやパスワードが何年にもわたり通常テキスト形式で保存されていたことを認め、その時期は2012年にまで遡ると言われている。同社によると、その暗号化されていないパスワードは、エンジニアやデベロッパー約2000人がアクセス可能なログの中に保存されていた。ただしデータは社外には漏出していない。Facebookは未だにこのバグがどのようにして起きたのかを説明していない。

Facebookがブログを更新したのは午前10時(米国東海岸時間)で、ロシア選挙介入に関するムラーレポートが発表される1時間前だった。広報担当のLiz Bougeois氏に問い合わせたところ、Facebookは未だに「正確な数字」は掴んでいないと言い、新たなログが発見された正確な時期についても発言を拒んだ。

[原文へ]

(翻訳:Nob Takahashi / facebook

ムラー特別検察官報告の公表で民主党ヒラリー候補の大統領選に新しい光

米国時間4月18日に公表されたムラー特別検察官の報告書は、ロシア政府が2016年の大統領選でヒラリー・クリントン候補の選対と民主党全国委員会のコンピューターをいかにハックしていたかに関する新しい情報を含んでいた。

ある時点でロシア機関は大量の機密情報をハッキングするために 米国内に設置されたサーバーから作戦を実行していたと報告は述べている。

今回公表された情報の多くはビクトル・ボリソビッチ・ネティクショ(Viktor Borisovich Netyksho)らに対する2018年7月の起訴状によって知られていた。 ネティクショはロシア軍情報機関GRUのサイバー作戦部署のユニット26165のメンバーで、ムラー特別検察官の起訴状はコロンビア地区連邦裁判所大陪審に付され「起訴相当」と認められている。

しかし今回司法省から発表された488ページに上る報告書には新しい情報も含まれており、GRUの米国に対するハッキングに新しい光を当てるものとなっている。

GRUのエージェントは、ヒラリー選対のコンピュータシステムに侵入するために、わずか5日間でスピアフィッシング(特定標的攻撃)メールを選対の職員、ボランティアに大量に送りつけていた。

GRUのハッカーはヒラリー選対の委員長、ジョン・ポデスタ氏のメールアカウントにも侵入しており、この内容は後に公開された。

GRUはハッキングで得られたパスワードなどの認証情報を利用して数日後には民主党議員選挙対策委員会のシステムに侵入することに成功した。GRUのハッカーはシステム管理者のログイン情報を得てサーバーに対する「無制限のアクセス」が可能になり、数週間で民主党ネットワーク内の29台のコンピューターに侵入することができた。

GRUのハッカーはファンシーベア(Fancy Bear)というニックネームで知られていたが、内部には特定の任務を担当するユニットが存在した。ムラー報告は特にユニット26165を米政府、政党のハッキングを行うグループとして認定している。報告ではこのユニットを「DCCC(民主党議員選対)、DNC(民主党全国委員会)およびヒラリー・クリントン選対と関係者を主たるターゲットとする組織」と述べている。

ハッカーは参加ユーザーのパスワードなどの情報を入手するためにMimikatzなど数種類のツールを用いていた。MimitatzははWindowsコンピューターのメモリをダンプしてパスワードなどの認証情報を入手するハッキングツールだ。X-Agentはユーザーのコンピューターのスクリーンショットとキー入力ログを得られる。X-Tunnelはハッキングしたネットワーク内の大量のデータを素早くGRUのサーバーにコピーできる。

ムラーはユニット26165はGRU自身のサーバーとターゲットのサーバーの間に「中間サーバー」を何段階か挟むことで直接の関連を隠そうとしたと認定している。ムラーによれば、こうした中間サーバーはアリゾナに設置されていたという。これは注目を避け、外国勢力介入の証拠を残さないためだったのだろう。

この作戦でヒラリー・クリントン選対のサーバーに保存されちた情報70GBのすべてと民主党全国委員会の300GBのデータの一部がロシアの手に渡った。

一方、ハッキングで入手した情報を公表、拡散すためにGRUは別の組織を作っていた。ユニット74455は不正に入手したデータを拡散するとあめに2つの架空の組織、人物を作り上げた。DCLeaksはハッキングされた資料をホストするウェブサイトで、Guccifer 2.0はジャーナリストに対応するハッカー代表の役割だった。

米政府の圧力を受けてソーシャルメディアはこの2組織のアカウントを停止した。その後、ハッキングされた数千のファイルの内容はWikiLeaks.を通じて公開されている。

ムラーの報告には2016年7月のトランプ(当時)候補の発言とハッキングの関係についても述べている。「ヒラリー・クリントン候補のサーバーから行方不明になっている3万通のメールが発見されることを望む」とトランプ候補が記者会見で述べた。クリントン候補は国務長官になった後も私的サーバーで公的メールをやり取りしていたが、調査時に大量のメールが紛失していることが問題となった。ムラーによれば、トランプ発言の「およそ5時間後」にGRUのハッカーはヒラリー・クリントン候補のオフィスをターゲットにし始めたという。

Unit 26165のターゲットにはヒラリー選対の幹部も含まれていた。ムラーは「これらのメールアカウントは一般に知られていなかった。GRUがどのようにしてこれらのアカウントの存在を知ったのかは不明」だと述べている。

ムラーによればトランプ選対は「ヒラリー・クリントン(が国務長官だった時代の)私的サーバーから消えたメール」を発見しようと努力していたと述べている。トランプはマイケル・フリン氏(安全保障担当補佐官に任命されたがロシア疑惑で辞任)との私的会話でこうしたメールの内容をロシアから得ることができないか尋ねている。この紛失メールを探した人物の1人が2017年5月に自殺したピーター・スミス氏だった。iスミスはロシアのハッカーと接触があったと非難されていたが、ムラー報告は事実ではないとしている。

こうしたトランプ選対の行動はキャンペーン全体を違法なものとするものだったとはいえない。ではすべて合法的だったか?そうではないかもしれない。

CNNの法律千専門家、Elie Hon氏によれば、 「現行法規の下では、ハッキングによって得られた情報を公表しても公表者自身がハッキング行為を共謀したのでないかぎり違法とはならない。特別検察官の報告はトランプ選対の関係者がハッキングで得られた情報を拡散したことがないとは言っていない」ということだ。

画像:Gattyimages

原文へ

(翻訳:滑川海彦@Facebook

米連邦通信委員会が中国移動通信の通信インフラ参入申請を却下

FCC(連邦通信委員会)は中国移動通信(China Mobile)の米国市場参入の申請を却下する見込みだ。国営企業の中国移動は移動体通信プロバイダーとして世界最大であり、米国においてモバイルネットワークサービスの提供を申請していた。これに対し、FCC委員長は安全保障上のリスクを理由として認可に反対するという意見を公開した。米国のテレコムサービスにおいて重要なプレイヤーとなるという中国の試みはまた後退を余儀なくされそうだ。

中国移動は米国のモバイルインフラにおいて音声、データ通信事業を展開することを申請していた。FCCの広報担当者の電話記者会見によれば、米国のモバイルキャリアが中国にモバイルキャリアと通信を行う場合、そのインフラは現在中国側にある。

中国移動の申請を却下するというFCCの草案は明日公開され、5月に委員会で投票が行われる。申請は2011年に提出されていたが、今回アジット・パイFCC委員長はここれを正式に却下しようとしている。米国の安全保障上、決定的重要性9を持つインフラを外国組織が建設、運営しようとする場合、行政府の承認を必要とする。しかしトランプ政権は昨年この申請は認められるべきでないという見解を明らかにしていた。

ここ数ヶ月FCCの担当チームは中国移動のこれまでの活動を調査していた。アジット・パイ氏はその結果を次のように要約した。

中国移動の米国におけるテレコミュニケーションサービスを許可することは国家安全保障および法執行活動に深刻、重大なリスクを生じさせることが明白となった。このため中国移動の申請を認めることは公衆の利益に合致しないものと私は信じる。

外国勢力が重要な米国のインフラに参入を図るときに安全保障上の問題が伴うのは必然的だ。このような場合、リスクを軽減するための何らかの制限を課し、あるいは相手国政府との間で協定を結ぶことがある。たとえばドイツ企業がハード、ソフトで米国の通信インフラに参入する場合、こうした企業は米司法当局にデータへのアクセスを認め、ドイツの司法当局は捜査上の情報を米国に提供するなどの条件の下に認可される場合がある。

しかしこうした条件付き認可が行われるのは相手国との間に基本的な価値観の一致がある場合に限られる。問題の企業を(間接、直接に)所有している国家との間に信頼関係が存在シない場合は不可能だというのがFCCの見解だ。これはHuawei(ファーウェイ)が米国の5Gネットワーク構築に参加しようとしたのを退けたのとほぼ同様の理由だ。連邦政府は中国政府の強い影響下にある組織にはインフラ市場への参入の許可を与えないとしてきた。

「こうした理由による申請の却下は前例がないわけではないが、今回のケースでは行政府がFCCに対して安全保障上の理由により申請を却下すべきただと勧告した初めてのケースだという点に特に注意すべきだ」とパイ委員長は別の覚書で述べている。

すでに緊張している米中関係をさらに悪化させるかもしれないが、中国移動はこの結論を予期していたはずだ。申請がワシントンの官僚的手続きのブラックホールに吸い込まれた3年ないし4年たってもなんの回答もなかった時点で希望を捨てていたと思われる。

申請却下の決定の草稿は明日公開される。これには決定に至った理由と関連する証拠が含まれるはずだ。 FCCとしての賛否は5月9日に開催される公開の委員会における投票で決定される。

原文へ

(翻訳:滑川海彦@Facebook

GoogleがGKE Advancedでコンテナサービスをエンタープライズ向けに拡充

Google Cloudは長年、Kubernetes Engine(GKE)でそのプラットホーム上でコンテナを動かすためのマネージドサービスを提供してきた。Kubernetesユーザーのニーズはさまざまだが、でもこれまでのところGoogleはGKEの単一のティアのみを提供し、それは必ずしも、同社が顧客として捉えようとしているハイエンドのエンタープライズユーザーには向いていなかった。しかしながら米国時間4月16日に同社は、新しい機能を数多く備え、SLAに経済的条件を導入し、セキュリティと自動化の機能を高めた、より高度なエディションのGKEであるGKE Advancedを発表した。GKE Advancedはいわば、GKEのエンタープライズバージョンだ。

この新しいサービスは本年の第2四半期にローンチするが、料金はまだ発表されていない。通常のバージョンのGKEは、GKE Standardと呼ばれる。Googleによるとこのサービスは、社内的に何年間も複雑なコンテナインフラストラクチャを動かしてきた経験から学んだことが、ベースになっている。

エンタープライズの顧客にとっては、SLAに経済的条件(SLOが達成されないときの返金制)が盛られていることが嬉しいボーナスだ。ここでの基本的な約束は、リージョナルクラスターの保証可用性(SLO)が99.95%であることだ。

マネージドなKubernetes環境を選んだユーザーの多くは、クラスターを自分で管理する面倒を避けたいからそうしている。しかしGKE Standardでは、クラスターのスケーリングに関してユーザーが一部の作業をしなければならない。そこでGKE AdvancedではVertical Pod Autoscalerと呼ばれるツールがリソースの使用状況をたえずウォッチし、必要に応じてリソースの伸縮を図る。またNode Auto Provisioningツールは、GKE Standardにあるクラスターオートスケーリングの高性能バージョンだ。

GKE Advancedは本体のこれらの機能だけでなく、GKE Sandboxのようなセキュリティ機能も加えている。このサンドボックスは目下ベータだが、GKE Advancedだけにしかない機能になる。そして、コンテナ環境では署名があって検証されたイメージだけしか使われないように強制する。

このサンドボックスは、GoogleのコンテナサンドボックスランタイムgVisorを用いる。これによってどのサンドボックスも自分だけ用のユーザースペースカーネルを取得し、セキュリティの層がひとつ増える。またBinary AuthorizationによってGKE Advancedのユーザーは、すべてのコンテナイメージが信頼された機関によって署名されてからでないとプロダクションに入れられないようにできる。コンテナに悪意あるコードを潜ませることは論理的には可能だが、コンテナのリリースにこのプロセスが課せられることによって、検定され認可されたコンテナのみがその環境で動けるようになる。

GKE AdvancedにはGKEの利用計測機能があるので、社内での利用状況に応じて各部門に課金の適性な分担を求めることもできる。これもやはり、GKE Advancedのみの機能だ。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

パスワードを盗みYouTubeのクリック数を稼ぐ新しいマルウェア

セキュリティリサーチャーたちが、ちょっと珍しい新種のマルウェアを発見した。ブラウザに保存された利用者のパスワードや支払い方法を盗み出すだけでなく、密かにYouTubeの閲覧数を稼ぎ、収益も得るのだ。

このマルウェアScranosは、ルートキットの機能と共に感染し、脆弱なWindowsコンピュータに侵入して、コンピュータの再起動後も永続的なアクセスを維持する。Bitdefenderが4月16日に発表した報告によれば、Scranosはわずか数カ月前に出現したものだが、最初に発見された昨年11月以降その感染数は急増しているということだ。

「動機は純粋に金銭的なものですね」と電子メールで返信をしてきたのは、Bitdefenderで調査と報告を担当するディレクターのBogdan Botezatu氏だ。「犯人たちは広告を悪用し、サードパーティのマルウェアを配信するために、できるだけ多くのデバイスに感染させることで、ボットネットを広げてビジネスを強固にすることに関心があるようです」と彼は語る。

Bitdefenderは、ビデオプレーヤーや電子書籍リーダーのような本物のアプリのようなふりをして、トロイの木馬化したマルウェアがダウンロードされ拡散していることを発見した。こうした不正なアプリは、コンピューター上でブロックされるのを防ぐため、やはり不正に生成された証明書でデジタル署名されていることが多い。

「このアプローチを利用することで、ハッカーはよりターゲットに感染しやすくできるのです」とBotezatu氏は語る。いったんインストールされてしまうと、ルートキットは存在し続け、その司令サーバーに接続して、悪意あるコンポーネントをさらにダウンロードする。

こうしてダウンロードされた第2陣のコードは、Facebook、YouTube、Amazon、Airbnbアカウントをターゲットにして、Chrome、Firefox、Edge、Baidu、Yandexなどの一般的なブラウザにカスタムコードを挿入し、マルウェア運用者にデータを収集して送り返すのだ。

「動機は純粋に金銭的なものです…彼らは利益を得るために、広告を自身のチャネル上で消費することで、広告詐欺を行っているのです」BitdefenderのBogdan Botezatu氏談

Bitdefender氏によると、その中でも中心的なものがYouTubeコンポーネントだという。このマルウェアはChromeをデバッグモードで開き、コードを使ってデスクトップやタスクバー上のブラウザウィンドウを隠してしまう。騙されたブラウザはバックグラウンドでYouTubeのビデオを開き、音は消されて、司令サーバーによって指定されたチャネルへの登録が行われて、広告がクリックされる。

リサーチャーたちによれば、マルウェアは異なるチャンネルを通して4本のYouTubeビデオを「積極的に」宣伝し、そのことで被害者のコンピュータを事実上のクリックファームに変えて、ビデオ収益を生み出していた。

「彼らは利益を得るために、広告を自身のチャネル上で消費することで、広告詐欺を行っているのです」とBotezatu氏は語る。「彼らは、特定の『インフルエンサー』アカウントを成長させることができるように、お金を稼ぎ視聴者を増やしながらアカウントを成長させています」。

また別のダウンロードコンポーネントは、マルウェアが被害者のFacebookから友達申請を、フィッシングメッセージと共に乱発できるようにするというものだ。ユーザーのセッションクッキー情報を吸い上げることにより、Androidアドウェアアプリへ誘う悪質なリンクを、チャットメッセージを介して送信する。

「ユーザーがFacebookアカウントにログインしている場合には、それはユーザーのふりをして、ユーザーのコンピュータから特定のウェブページにアクセスしてアカウントからデータを抽出する。また不明なデバイス警告が発せられて疑惑を引き起こさないように振る舞っている」とレポートには書かれている。「抽出できる情報は、友人の数、およびユーザーがページを管理しているか否か、あるいはアカウントに支払い情報が関連付けられていないかなどである」。このマルウェアはまた、Instagramのセッションクッキーとユーザーのフォロワーの数を盗もうとする。

その他の悪意あるコンポーネントを使うことで、このマルウェアは、Steamアカウントからデータを盗み出し、Internet Explorerにアドウェアを注入し、不正なChrome拡張機能を実行し、ユーザーの閲覧履歴を収集してアップロードすることが可能なのだ。

Botezatu氏は「これは準備に膨大な時間と労力が注ぎ込まれた、非常に洗練された脅威です」と語る。リサーチャーたちは、ボットネットは既に、少なくとも数万のデバイスに影響が及ぼしているだろうと考えている。

「ルートキットベースのマルウェアは、並外れたレベルの高度さと専門性を見せつけています」と彼は語った。

Researchers find a new malware-friendly hosting site after a spike in attacks

画像クレジット: Lino Mirgele / Getty Images

[原文へ]

(翻訳:sako)

あなたのスマート家電を見張る研究目的のツールが登場

プリンストン大学の研究チームが、スマート家電が何をしているかをあなたが(そして研究者チームが)調べることのできるWebアプリを開発した。

「IoT Inspector」というオープンソースのツールは、ここからダウンロードできる(現在はmacOS版のみで、Windows版とLinux版が計画されている)。

研究者たちはブログで、この取り組みの目的はインターネットに接続する装置のネットワークトラフィックを分析するシンプルなツールを消費者に提供することであると述べている。スマートスピーカーやWi-Fi対応のロボット掃除機といったデバイスのデータが第三者と共有されているかどうか(あるいは実際にこうしたガジェットからどの程度データが盗み出されているか)を確かめられるようにするというのが基本的な考えだ。

IoT Inspectorを研究室でテストした研究者は、Chromecastデバイスはアクティブに使われていないときでもしょっちゅうGoogleのサーバーに接続していることがわかったと述べている。

Geeni社のスマート電球もクラウドと頻繁に通信し、IoTデバイスを制御するプラットフォームで中国を拠点をする企業が運営しているURL(tuyaus.com)経由でトラフィックを送受信していることがわかったと言う。

このようにデバイスを調べる方法は、ほかにもある。たとえばWireSharkのようなパケット分析ソフトを使ってIoTのトラフィックをキャプチャするワイヤレスホットスポットをセットアップする方法などだ。しかし専門知識が必要で、消費者にとっては難しい。

研究者は、今回開発したWebアプリは専用のハードウェアや複雑なセットアップを必要としないので、自分でデバイスのパケットを傍受するよりも簡単に調べられるとしている。

ちょっとした問題がひとつある。このWebアプリはSafariでは動作しない。FirefoxかGoogle Chrome(またはChromiumベースのブラウザ)が必要だ。

注意が必要なのは、プリンストン大学のチームはIoTの研究に役立てるためにデータを収集しようとしていることだ。このツールを使う人は、スマート家電の研究に貢献することになる。

研究チームのプロジェクト名は「消費者向けIoTデバイスがもつプライバシー、セキュリティ、パフォーマンスのリスクを特定する」である。主任研究員は、同大学コンピュータサイエンス学部のNick Feamster教授とポスドク研究者のDanny Yuxing Huang氏である。

プリンストン大学のチームは、IoTデバイスのプライバシーとセキュリティのリスクおよびネットワークパフォーマンスのリスクを研究するのが目的であるとしている。しかし、通常の研究倫理承認プロセスを経た後でプリンストン大学以外の研究者にもデータ全体を共有する可能性があるとも述べている。したがってIoT Inspectorを使う人は、少なくとも1つの研究プロジェクトに参加することになる(ただし、デバイスごと、あるいはアカウントごとに、収集されたデータを削除することもできる)。

研究チームは以下のように述べている。「IoT Inspectorに関しては、私たちがオープンソースをつくる最初の研究コミュニティだ。このオープンソースは、各デバイスにIDを付け、実際のIoTネットワークトラフィックのデータセットを匿名化したものである。データ分析やデータ収集の改善、またIoTのセキュリティやプライバシー、ネットワークパフォーマンスといった関連分野の知見を深めるために私たちと協力する研究者を募っている」

研究チームは広範囲にわたるFAQを作成している。ツールの使用を考えている人は、ネットワークのトラフィックを見張ることを明示的に意図したこのソフトウェアに関わる前に必ず読むべきだ(トラフィックのデータを横取りするためにARPスプーフィングを使用しているため、ネットワークが遅くなるおそれがあり、またソフトウェアにバグがあるかもしれない)。

トラフィック分析ツールによって集められたデータセットは匿名化される。また研究チームはパブリックIPや位置情報は収集しないと明言している。しかしそれでもプライバシーのリスクはある。例えばあなたの本名がスマート家電の名前に使われているかもしれない。繰り返すが、参加するならFAQを熟読してほしい。

ネットワーク上のIoTデバイスに対して、ツールは複数のデータポイントを収集し、プリンストン大学にあるサーバーに送る。収集されるデータには、DNSリクエストとレスポンス、送信先IPアドレスとポート、ハッシュ化されたMACアドレス、トラフィックの統計情報、TLSクライアントのハンドシェイク、デバイスの製造業者が含まれる。

このツールはスマート家電の研究を目的としているため、デフォルトではコンピュータやタブレット、スマートフォンを追跡しないように設計されている。利用者は、セットアップ中にデバイスの電源を落としたりデバイスのMACアドレスを指定したりして、個々のスマートデバイスを手動で追跡対象から取り除くこともできる。

IoT Inspectorが動作しているネットワーク上にあるスマートデバイスを、最大50台を追跡することができる。51台以上のデバイスを持っている人は、研究チームに連絡してこの制限を引き上げてもらうことができる。

プロジェクトチームは、アプリをMacにインストールする手順のビデオを作成して公開している。

[原文へ]

(翻訳:Kaori Koyama)

米国土安全保障省が企業用VPNアプリケーションのセキュリティの欠陥を警告

米国の国土安全保障省のサイバーセキュリティ部門が発行した警告によると、企業用のVPN(Virtual Private Networking、仮想非公開通信網)アプリケーションの一部には、セキュリティ関連のバグにより、遠方からアクセスした犯人が会社の内部的ネットワークに侵入できるものがある。

カーネギーメロン大学の脆弱性開示センターCERT/CCの一般公開開示を受けて米国時間4月12日には、国のCybersecurity and Infrastructure Security Agencyが警告を発行した

Cisco、Palo Alto Networks、Pulse Secure、およびF5 Networks、計4社の作ったVPNアプリケーションは認証トークンとセッションクッキーをユーザーのコンピューターに不正に保存する。これらは消費者ユーザーがプライバシーを護るために従来から利用してきた消費者向けVPNアプリケーションではなく、遠方の社員らが会社のネットワーク上のリソースにアクセスできるために、通常は企業のITスタッフが設置する企業向けVPNアプリケーションだ。

これらのアプリケーションはユーザーのパスワードからトークンを作り出し、ユーザーのコンピューターに保存してユーザーをログイン状態に保ち、彼らが毎回パスワードを入力しなくてもよいようにする。しかしそのトークンが盗まれると、ユーザーのアカウントにパスワード不要でアクセスできるようになる。

マルウェアなどを利用してユーザーのコンピューターにアクセスした犯人は、トークンを盗み、それらを使って、そのユーザーと同じ授権レベルで企業のネットワークにアクセスできる。つまり会社のアプリケーションやシステム、データ等にアクセスできる。

今のところ、Palo Alto Networksのみが、同社のGlobalProtectアプリケーションが脆弱であることを確認している。同社は、WindowsとMacの両クライアント向けにパッチを発行した

CiscoとPulse Secureはアプリケーションをパッチしていない。F5 Networksは、トークンの不正な保存を少なくとも2013年から知っていたが、パッチをリリースする代わりに、二要素認証の利用をユーザーに勧めているそうだ。

CERTの警告によると、同様の欠陥はそのほかの数百ものアプリケーションにある、とされるが、それらを確認するテストはこれからの課題だ。

関連記事: サイバーセキュリティ強化のためにチェックすべきトップ5

画像クレジット: TechCrunch

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

ザッカーバーグ氏の個人的警備にFacebookは22億円超を支出

2018年は確かに、Facebookにとって厳しい年だった。その年、Cambridge Analyticaのスキャンダルと人々の高まる怒りによろめき続けた同社は、創業者に対する憎悪にも対応しなければならず、彼と家族の安全を護るために巨額を出費した。

FacebookのCEOであるMark Zuckerberg(マーク・ザッカーバーグ)氏の年俸は1ドルであり、ボーナスもないが、しかし主にセキュリティ関連のそのほかの報酬として数百万ドルを取得している。米国時間4月12日の午後発表されたSECの文書の中で同社は、2018年にザッカーバーグ氏が2200万ドル(約24.6億円)のそのほかの報酬を取得したことを明かしている。2017年にはそれは、900万ドルあまりだった。

2018年の数字のうち260万ドルは、ザッカーバーグ氏のプライベートジェットによる個人的旅行のための支出だが、そのほかの2000万ドル(約22億円)近くは彼個人のセキュリティ費用に関連している。

彼は2018年の個人的旅行や住居の警備費用として、税引き前の額で995万6847ドル(約11億円)が支払われている。さらにそのほかに、彼と彼の家族の個人的セキュリティに関連するそのほかの費用として、税引き前の手当1000万ドルを会社は支払っている。これらをすべて合わせると、2017年の彼の個人的警備の費用の3倍近くになる。

同社のそのSEC文書は、次のように述べている。「弊社の高い社会的可視性に鑑み、弊社の報酬および企業統治委員会は、ザッカーバーグ氏の、彼が弊社のファウンダーであり、CEO、会長、および過半数株主であることに直接起因する彼の安全性への具体的な脅威に基づく、安全性の懸念に対処するために、彼に全体的なセキュリティ事業’を授権している。

個人的セキュリティ事業に基づく報酬は、FacebookのCOO Sheryl Sandbergにも与えられている。彼女は2018年にそのほかの報酬を380万ドル取得しており、うち290万ドルは彼女の個人的セキュリティ費用である。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

Instagramストーリーの公開範囲にバグがあった

米国時間4月10日、またもFacebookのアプリにバグが発覚した。Instagramのストーリーの公開範囲を設定するプロセスにバグがあり、フォローしていないユーザーにも表示されてしまう例が起きて起きていた。

Facebookの声明によれば現在は修正ずみだというが、TechCrunchが最初にこの問題を知ったのはInternetRyanが自分のInstagramストーリーのトレイに見知らぬユーザーが現れたの気づいたとツイートしたときだった。InternetRyanは私をメンションして調査するよう促した。 下にエンベッドしたスクリーンショットはInteretRyanが撮ったもので、名前が黒く塗られているユーザーをフォローしていないことは青い「Followする」ボタンが表示されていることでも明らかだった。TechCrunchがこの問題を Instagramに問い合わせたところ、「バグが存在したが、修正された」という回答があった。

Instagramではさらに原因を調査中だが、バグそのものは気づいてから数時間後には修正したという。フォローしていないユーザーのプロフィール画像をクリックしてもInstagramのプライバシー設定機能に弾かれてしまい、コンテンツそのものを見ることはできなかったのは幸いだった。Facebookのストーリーズには影響はなかった。しかしこのバグは5億人といわれるInstagramストーリーズのユーザーのプライバシーを正しく処理できる能力がFacebookという企業にあるのかどうかについて深刻な疑問を投げかけることになった。

Instagramの広報担当者は以下のように声明した。

われわれは少数のユーザーのInstagramストーリーのトレイにフォローしていないユーザーが表示されるという問題が起きたことを認識している。アカウントが非公開に設定されていれば、ストーリーの内容をフォローしていないユーザーが見ることはできない。この問題の原因となったバグはすでに修正されている。

この1年はFacebookのプライバシーとセキュリティーのチームにとって多難なものとなった。メディアで大騒ぎされたフェイクニュースや大統領選介入疑惑などの政治的問題を別としても、FacebookとInstagramgは数々の技術的トラブルに襲われた。Facebookでは」1400万人のユーザーのプライバシー設定が勝手に変わってしまった680万のユーザーの写真が投稿できなかったなどの問題が起きた。Instagramはバグでフォロワーアカウントが壊れたりフィードが横にスクロールしてしまったりした。Facebookでは昨年、5000万人の個人情報が漏洩するという大惨事が起きたが、先月は創立以来最大、最長のダウンに見舞われた。

FacebooとInstagramは過去に人類が経験したことがない大規模ネットワークを作り上げた。この巨大なスケールはFacebookを極めて資本効率の高い企業に押し上げたが、同時に多数の技術的問題も浮上することとなった。ひとたび不具合が起きればその影響も巨大となる。これだけ問題を起こしている以上、早急にFacebookのシステムに対する監査体制の整備が必要とされる。

原文へ

(翻訳:滑川海彦@Facebook

Google Cloudがゼロトラストフレームワークに基づく新しいアイデンティティツールを発表

米国時間4月10日、Google CloudCloud Nextカンファレンスにおいて、「BeyondCorp」というゼロトラストセキュリティモデルのコンテキスト内でIDとアクセス管理をシンプルにする、新しいアイデンティティツールを発表した。

ゼロトラストはその名が示す通り、ネットワークを利用する人を誰も信用できないことを前提とするという意味だ。クラウド以前の時代には、ファイアウォールを設定し、承認された利用者がネットワーク内にいると何らかの合理的な確信をもって考えることができた。クラウドによってこの状況は変わり、その変化を考慮したモダンなセキュリティ体制を提供するためにゼロトラストが生まれた。

Googleは、開発者の負担を減らして簡単にアプリケーションにIDを組み込めるようにしたいと考えている。IDはアプリケーションにアクセスするためだけのものではなく、特にBeyondCorpのアプローチのコンテキストにおいてはセキュリティレイヤーに欠かせない部分と考えられる。その人が誰であるかがわかっていて、かつその人がどのようなやりとりをしているかのコンテキストを理解できれば、その人は名乗っている通りの人なのかどうかに関する有力な手がかりになる。

これにより、アプリケーションを保護するだけでなく、仮想マシンからAPIまでシステム全体がすべて同じように保護されることになる。Googleはブログの投稿で「ここ数カ月にわたり、我々はウェブアプリケーション、VM、Google Cloud Platform(GCP)のAPIを保護するために、Cloud Identity-Aware Proxy(IAP)とV​PC Service Controlsにコンテキスト認識アクセス機能のベータ版を追加してきた。今日、我々はこの機能をCloud IAPで広く使えるようにし、G Suiteアプリケーションへのアクセスを保護するためにこの機能のベータ版をCloud Identity​にも拡張した」と紹介している。

コンテキスト認識アクセスのハイレベルアーキテクチャ 提供:Google

このコンテキスト認識アクセスのレイヤーは、クラウド全体にわたってこれらの領域をすべて保護する。同社は「コンテキスト認識アクセスにより、ユーザーのIDとリクエストのコンテキストに基づいて、アプリケーションとインフラストラクチャへのきめ細かいアクセスを定義し実行できる。組織のセキュリティ体制を強化しつつ、ユーザーは事実上どのデバイスからでも、どこからでも、簡単にアプリケーションとインフラストラクチャのリソースに、簡単に、これまで以上に安全にアクセスできるようになる」と記している。

G Suiteの保護はベータ版だが、それ以外は米国時間の4月10日から利用できるようになっている。

Image Credits: LeoWolfert / Getty Images

[原文へ]

(翻訳:Kaori Koyama)

FacebookやTwitterの設定を調整するプライバシーアシスタントのJumbo

Jumboはハイテクの巨人たちにとっては悪夢かもしれないが、彼らの怪しげなプライバシー取扱手段の犠牲者たちにとっては救世主となるかもしれない。

Jumboは、30に及ぶFacebookのプライバシー設定を調整して、より強固なプライバシー保護を与えたり、古いツィートを携帯電話に保存したあと削除することなどによって、ユーザーの時間や気まずい気持ちを救ってくれるアプリだ。Google検索やAmazon Alexaの履歴を消去することも可能であり、またInstagramやTinderのクリーンアップ機能も準備中だ。

スタートアップは米国時間4月9日、沈黙を破ってJumboプライバシーアシスタントアプリをiPhone向けにリリースした(Android用も程なくリリースされる予定)。手動で行うためには膨大な時間と調査を必要としかねない作業が、Jumboを使うことでわずか数ステップで適切に完了する。

ここで浮かぶ疑問は、ハイテクの最大手企業たちがJumboの運営を許すのか、あるいはそのアクセスを潰すのかということだ。実際Facebook、Twitter、その他の企業は、Jumboのような機能を構築するか、それら自身のアプリを使いやすくする必要があった筈なのだ。なぜならそうすることで、ユーザーたちの自信と理解が高まり、アプリの利用頻度も上がる筈だからだ。しかし一方、彼らのビジネスモデルは、できるだけ多くの利用者のデータを収集して活用し、より広く表示されるコンテンツから利用者のエンゲージメントを絞り出すことに頼っていることが多いため、巨人たちにはJumboをブロックするための言い訳を探したくなる動機がある。
「プライバシーは人びとが望んでいるものですが、また同時に、それに対処するには時間がかかりすぎるものなのです」と説明するのはJumboの創業者ピエール・バラード氏である。バラード氏はかつて、人気カレンダーアプリSunriseを開発し、2015年にMicrosoftに対して売却した経験を持つ。「ということで、ユーザーには2つの選択肢が残ることになります。Facebookを離れるか、もしくは何もしないかです」。

Jumboはたとえ怠惰な人であっても、簡単に自分自身を保護することができる。「私はJumboを使って、自分のTwitter全体をきれいにしました。いまの個人的な気持ちは…より軽やかです。FacebookではJumboが私のプライバシー設定を変えてくれたので、より安全に感じるようになりました」。ケンブリッジ・アナリティカのスキャンダルに触発されて、彼はプラットフォームたちは、私たちの大量のデータを今までのように管理する権利は失ったと信じているのだ。

バラード氏のSunriseの実績と、Dropboxのボトムアップ式フリーミアム戦略(プレミアムサブスクリプションとエンタープライズ機能の追加)が、既に投資家たちをJumboに引きつけている。同社はThrive Capitalのジョッシュ・ミラー氏とNextview Venturesのロブ・ゴー氏が率いるシードラウンドで350万ドルを調達した。「お二人ともプライバシーが基本的人権であることを信じていらっしゃいます」とバラード氏は語る。ミラー氏は彼のリンク共有アプリBranchを2014年にFacebookへ売却した。つまり彼の投資は、内部の知識がある人にはJumboの必要性が見えていることを示している。ニューヨークにいるバラード氏の6人のチームは、調達した資金を使って、新機能を開発し、プライバシーを呼び覚まそうとしているのである。

Jumboの仕組み

まずJumboによるFacebook設定の修正を見てみよう。このアプリは、従来の「Facebook Connect」機能を使用するのではなく、Facebookにアクセスするミニブラウザーをオープンし、ユーザー名とパスワードの入力を求める。それはすぐにJumboをブロックするので、私たちはFacebookに対してそのアクセスが許されるべきものであることを教える。そうすることで、Jumboはプライバシー制御設定を、弱、中、または強に設定することができるようになる。とはいえ既に手動で厳しく設定しているプライバシー設定に関しては、それを緩めることはしない。

バラード氏の説明によれば、Facebookには設定を変更するためのAPIがないため、Jumboは「FacebookのWebサイト上で『ユーザー』として振る舞って、スクリプトとしてボタンをタップし、Jumboに依頼した変更をFacebookに対して加える」のである。彼は、Facebookがこの操作のためのAPIを作ることを望んでいると言っているが、彼のスクリプトがポリシー違反とみなされる可能性は高いだろう。

たとえばJumboは、電話番号を利用してユーザーを検索できる人を、強なら友達のみ、中なら友達の友達に変えるが、弱の場合はJumboは設定を変えない。時にはそれはより強い姿勢もとる。広告主がアップロードした連絡先情報に基づいて広告を表示する機能では、強と中の両方の設定ではこのタイプのすべての広告が非表示になる。一方弱では設定は変わらない。

Jumboが調整することができるリストに含まれる項目は、例えば、ユーザーの将来の投稿を見ることができる人、ユーザーのフォローしているページとリスト、ユーザーの友達リストを見ることができる人、ユーザーの性的嗜好を見ることができる人、写真やビデオの中で自分をFacebookに認識して欲しいか否か、ユーザーのタイムラインに投稿できる人、ユーザーの投稿に追加されようとしているタグをレビューできるようにするか否かなどである。完全なリストはここで見ることができる。

Twitterの場合は、これまでのツイートをすべて削除するのか、それとも1日、1週間、1カ月(推奨)、または3か月以上経過しているものを削除するのかを選択することができる。すべての処理が携帯電話上でローカルに処理されるので、Jumboがデータを見ることは決してない。ツイートを削除する前に、アプリがそれらのツイートをアプリのMemoriesタブの中にアーカイブする。残念ながら、現在そこからツイートをエクスポートする方法はないが、Jumboは間もなくDropboxとiCloudの接続を提供するので、ツイートを遡ってダウンロードすることが可能になるだろう。TwitterのAPIの制限により、ユーザーのツイートのうち数日ごとに3200ツイートだけしか削除できないため、大量にツイートを行っている場合には何回か繰り返し操作を行う必要があるだろう。

その他の統合はもっと簡単なものだ。Googleでは、あなたの検索履歴を削除する。Alexaの場合は、Amazonが保存した音声録音を削除する。現在開発が進んでいるのでは、古いInstagramの写真やビデオ、そして古いTinderマッチやチャットスレッドを一掃する機能である。

全体として、Jumboはユーザーのデータを一切見ることがないように設計されている。「ユーザーのデータをクラウド内で処理するサーバーサイドコンポーネントはありません」とバラード氏は言う。その代わりに、すべてがユーザーの電話機内でローカルに処理される。つまり、理論的には、データをJumboに預ける必要はなく、単にそこにあるものを正しく変更するだけなのだ。スタートアップは、ソースコードの一部をオープンソース化して、それがスパイではないことを証明する予定である。

ツイートを削除できるアプリは他にもあるが、本格的なプライバシーアシスタントになるように設計されたものは他にない。だがおそらく、ハイテク巨人たちが、Jumboが意図したとおりに実行できるままにしておくと考えるのは、少々理想主義に過ぎるだろう。バラード氏は、もしハイテク大手がJumboをブロックしたら、プライバシー擁護側からの盛大な反発が巻き起こるくらい、十分なユーザーからの支持が得られることを望んでいると語る。「もしソーシャルネットワークが私たちをブロックした場合、それらが再び機能できるようにするための解決策が見つかるまで、そのソーシャルネットのJumbo内への統合を無効にします」。

しかし、たとえそれがプラットフォームに禁止されたとしても、Jumboはプライバシーがオフラインでどのように扱われるべきかに関する、重要な議論を巻き起こすことになるだろう。私たちがあまり保護されていない状況の下でお金を稼いできた企業たちに、私たちはプライバシのデフォルト設定をお任せにしてきた。そのコントロールをユーザー自身の手に渡すべき時がやってきたのだ。

[原文へ]

(翻訳:sako)