ロシアのハッカーがNew York Times記者を攻撃との報道

new-york-times-building

報道によるとFBIは、米国ジャーナリストに対するロシア諜報機関が首謀した疑いのあるハッキング事件を捜索している。標的の中には複数のNew York Times記者がいたと、CNNおよびAPは伝えている。

New York Timesは、同紙モスクワ支局が狙われたことを認めたが、攻撃が成功したことを信じる理由はないと語った。

New York Timesや他の新聞社に対する攻撃がロシアによるものとする理由は明らかにされていないが、CNNはこれを最近のDNCハック事件と結びつけている。セキュリティー会社のCrowdStrikeも、使用された戦術やマルウェアを分析した結果、DNCハックをロシアと結びつけたとCEOのGeorge Kurtzは言った

FBI当局者はAPに対して、New York Timesネットワーク全体ではなく、特定の人物が標的とされていたと話した。しかしNew York Timesは捜査内容に関するコメントを拒んだ。

「多くの報道機関と同じく、当社はシステムへの侵入に関して慎重に警戒している」とNew York Times広報担当のEileen MurphyがAPに伝えた。「外部の捜査組織や警察に協力することを含め、対策には様々なアプローチがある」。さらにMurphyは、モスクワ支局を含め同社ネットワークが侵入被害を受けたという証拠がないことを付け加えた

[原文へ]

(翻訳:Nob Takahashi / facebook

フランク・アバグネイルは、詐欺師のように考えてセキュリティーを改善する

Frank Abagnale, a security expert for the FBI, poses for a photograph following an interview in London, U.K., on Wednesday, March 11, 2015. Abagnale, who made $2.5 million in the 1960s as a teenager faking identities as an airline pilot, lawyer and doctor now works with the FBI and others on cybercrime. Photographer: Chris Ratcliffe/Bloomberg via Getty Images

フランク・アバグネイルの巧みな詐欺師としての悪名高き青春は、2002年の映画『キャッチ・ミー・イフ・ユー・キャンでレオナルド・デカプリオが若きフランクを演じて、よく知られるところとなった。しかし、やはりアバグネイルが語りたいのは、捕われて投獄され罪を償った後の人生についてだ。

その後アバグネイルは、詐欺師としてのスキルを善に転じ、セキュリティー・コンサルタントとして40年のキャリアをスタートした。映画にあるように(最近もう一度観た)、アバグネイルは裁判所命令を受け、刑務所を出てFBIで働いたが、裁判所命令が失効した後も、この仕事を天職と受け止め数十年間働き続けた。長年にわたり3000回以上のセキュリティー・セミナーを開催し、企業や警察に最新詐欺師事情を伝えた ― 容易な仕事ではない。

詐欺師はインターネットへ

1960年代、ティーンエージャーのアバグネイルが詐欺師として活動していた頃、もちろんインターネットはなかった ― あるのは紙と口先だけだった。アバグネイルは不正な小切手や改竄した推薦状、偽のバッジや身分証明書等を使って巧みに当時のシステムを回避した。電話を使ったり、図々しく人を操ったりして欲しい物を手に入れたこともあった。

インターネットのおかげで、今の方がずっと簡単だとアバグネイルは言う。なぜなら、ソーシャルエンジニアリングによって比較的容易に他人の情報をアクセスできるからだ。「私はFBIで40年間教えてきた ― 既製の枠組みにとらわれずに考え、ソーシャルエンジニアリングに対応する方法を。今のテクノロジーにソーシャルエンジニアリングで欺せないものはない」と、数ヶ月前のインタビューでアバグネイルは語った。

アバグネイルの若き日の体験は、自身が生涯にわたって利用することになる知識のベースとなった。実践の場がインターネットに変わっても、基本原理は変わらないことがわかった。

私はサイバー専門家ではないが、個人情報詐欺や、インターネット犯罪のやり方について多くのことを知っている。何も変わっていない。

— Frank Abagnale

「私はサイバー専門家ではないが、個人情報詐欺や、インターネット犯罪のやり方について多くのことを知っている。何も変わっていない」と話す。一つの問題は、ほとんどの人が正直で疑うことを知らないことであり、詐欺師はまさにそこを狙う。だからこれほどアバグネイルが必要とされているのだ。悪人たちと同じように考え、企業や警察や個人に何が危ないかを示すことができる。

「あなたの名前と生年月日がわかれば、個人情報を盗むには十分」とアバグネイルは自信満々に言い、近年様々なサイトで起きている侵入事件の結果、クレジットカード番号、社会保障番号、生年月日、その他の個人情報満載のデータベースが、本格的犯罪組織によって運営されていると指摘した。

限界を試す

セミナーを開くとき、アバグネイルは “confidential” と書かれたUSBメモリーを会場の駐車場にいくつか落としておく。すると何人かがそれを拾って会社のパソコンに差し込む。するとこんなメッセージが表示される。「これはテストです。あなたは不合格でした」。これは恥をかかせるためにやっているのではなく、そのたった一つの行動が会社に何十億ドルもの損害を与えるかもしれないことを指摘するためだとアバグネイルは言う。

消費者であれCEOであれ、もっと賢くなる必要があることを改めて伝えなくてはならない。少しだけ賢く、先を見越して、後手にならないよう考える必要がある。

— Frank Abagnale

これは、CrowdStrikeのCTO・共同ファウンダーのDmitri Alperovitchが2月のRSAセキュリティー会議で話した内容と一致する。どれだけ教育をしても、社員の5%は悪質なリンクをクリックすることを調査結果が示している。その同じ社員が、感染したUSBメモリーを拾って自分のパソコンに差し込むかもしれない。いずれにせよこうしたデータを見る限り、ネットワークを保護するのが困難であることは明らかだ。

人々に安全を守る方法を教えるために全国行脚することが使命だと、アバグネイルが考える理由はそこにある。「消費者であれCEOであれ、もっと賢くなる必要があることを改めて伝えなくてはならない。少しだけ賢く、先を見越して、後手にならないよう考える必要がある」。しかし、豊富な資金をもつ犯罪組織には、個人はもちろんほとんどの企業が太刀討ちできないとアバグネイルは打ち明ける。

経験を生かす

68歳になった今も、アバグネイルはTrusonaというスタートアップで仕事の幅を広げている。この会社が開発した認証プラットフォームは、インターネット上の取引きで、個人情報を詐称ができなくすることを目的としている。技術に自信を持つ同社は、自社製品を利用した取引の保証まで行っている。アバグネイルは自分がソフトウェアに詳しくないことを認めているが ― そこはファウンダーのOri Eisenに任せている ― どうやって破るかを考え、それに基づいてEisenがシステムに調整を加えるのだという。

Frank Abagnale speaking at Cloud Identity Summit in New Orleans in June.

Image: Brian Campbell, Ping Identity.

そうやってアバグネイルはセキュリティーに貢献してきた。テクノロジーが大きく変化した今も、悪人たちと同じように考えることで、セキュリティーの脆弱性を見つけることができる。しかしアバグネイルが今驚いているのは、自分が16から21までの間にやったことではなく、それ以降に起きたことだという。

もちろんアバグネイルは、自身の犯罪の歴史や、若い頃の行動を誇りに思っていない。6月にニュー・オリンズで行われたCloud Identity Summitでこう言っていた。「捕まることはいつもわかっていた。そう思わないのは愚か者だけだ」。

アバグネイルは大統領恩赦を3回拒否している。どんな書類も自分のやったことを消すことはできないと信じているからだ。それでも機会を与えられたことに感謝している。人生を好転させる機会も与えられ、結婚して息子を3人もうけることができた。

「私たちはすばらしい国に住んでいる。社会に借りを返し、やり直してポジティブなことを始めることができる」とアバグネイルは言った。40年以上にわたり、この男が実際にそれを成し遂げてきたことは間違いない。


[原文へ]

(翻訳:Nob Takahashi / facebook

「スマート」ロックは、ハッカーの簡単なトリックで破られる

august-smart-lock

モノのインターネット(あれをそう呼ばなくてはいけないのであれば)が酷い、というのは公然の秘密だ ― 標準についても相互利用についてもセキュリティーについても。もっとも、スマート電球やコーヒーメーカーに、高度なセキュリティーは実際必要ない。しかし、玄関ドアのスマートロックは、簡単にハックされるべきではない。

今年のDEF CONで、平均的スマートロック― 高級なものでも ― を信用できるようになるまでの道はまだ長い、という発表が2件あった。これに驚く人もいるだろうが、何年も前から言い続けた人たちもいる。こういう連中はいつでも嬉々として危険性を証明してみせる。

Merculite SecurityのAnthony RoseとBen Ramseyは、200ドル以下で揃う市販の道具を使って、 ちょっとしたロックハッキングを披露した。難易度は様々だったが、最終的に16台中12台が破られた。

Quicklock、iBluLock、およびPlantrac oのスマートロックは、パスワードを平文テキストで通信しているため、Bluetooth盗聴器を持つあらゆる人に対して脆弱だ。正規のユーザーがドアを解錠した時に無線傍受したデータを再生しただけで開いた錠もあった。1バイトを暗号化したデータを受信するとフェイルステートに入り、デフォルトで解錠状態になるものも。

vulnerable_locks

これも注目すべき情報。ふたりがちょっとしたウォードライビング(無防備な無線ネットーワークを探すドライブ)をしたところ、自らスマートロックであることを名乗るものがたくさんあり、アタッカーが攻撃対象を見つけやすくしていた。

全体的にかなり悲惨な状況だが、RoseとRamseyの挑戦に耐えたものもあった。NokeとMasterlockのスマート南京錠が生き残り、Kwikset Kevoも頑張ったが、それもネジ回しで開けられるまでだった。もちろんこれは反則だが、問題であることに変わりはない。

おそらく最も心配なのは、不具合を知らされた12社のうち、返答があったのは1社だけだったという事実だろう。しかもその1社も修正の計画はない。

Merculite社が破れなかったうちの一つ、Augustドアロックは、中では比較的よく知られたブランドだ。幸い、別の誰かがすでにこれを破壊するミッションを遂行しいる。

Jmaxxzの楽しませるミーム満載のプレゼンテーションは、Augustの説明に多くの嘘があることを暴いた。不法侵入者が暗証番号を探すためにあなたのログを狙う可能性は低いかもしれないが、セキュリティーホールは本物だ。

why_god_bluetooth

パケットモニタリングなど従来の方法では入手の難しかったデータが、ログなどに平文テキストで入っていることがある。Jmaxxzは、必要以上に手間を掛けたくないタイプのハッカーだが、当然のことだろう。

Augustについけは、良い点と悪い点がある。そして会社の名誉のために書いておくが、同社の対応は迅速で、多くのセキュリティーホールがすでに修正されているとハッカーは言っている。とは言え、APIコールの文字列を “user” から “superuser” に変えるだけで、ゲストユーザーがロックのパーミッションが得られるというのは信じがたいことではある。

今のところ、スマートロックの長所は利便性であり、短所はセキュリティーのようだ。 プール小屋や義母の家のセキュリティーが平均以下でも気にならないなら、キーチェーンを軽くする良い方法だろう ― ただし、玄関のドアに関しては、もっと良い方法を考えるべきだ。

原文へ
 
(翻訳:Nob Takahashi / facebook

YouTubeは接続の97%がHTTPS化、とGoogleが発表…残りの3%はまだ時間がかかりそう

Old Vault Door in Bank

この春Googleは、同社のTransparency Reportに新しい章を設けて、同社のサーバーとユーザーのデバイスとのあいだのHTTPS接続の現状を明らかにした。しかしそのときはGoogle Drive, Finance, Gmail, Maps, Newsなど同社のメインのプロダクトのデータだけだった。そして今日(米国時間8/1)Googleは、YouTubeとGoogle Calendarを、その仲間に加えた

YouTubeでは今、すべての接続の97%がHTTPSであり、Calendarでは93%だ。

2016-08-01_1028

YouTubeはなにしろ大きいから、Googleが何をやるにしても簡単ではない。でも同社によると、YouTubeの膨大なトラフィックも同社自身のCDN Global Cacheにより、暗号化しても比較的容易に扱える。それは、HTTPSの中核的アルゴリズムAESにハードウェアによるアクセラレーション(加速)を適用していることが、大きく寄与している。

Googleの主張では、HTTPS接続はYouTubeのユーザー体験も改善する。今日発表された声明によると、“ユーザーはYouTubeのビデオを携帯電話やスマートTVなど、さまざまなデバイスで見る。そこでわれわれは、あらゆるデバイスでHTTPSをA/Bテストし、ユーザーにネガティブな影響が及ばないようにした。その結果、HTTPSは多くのクライアントの体験の質を良くすることが判明した。コンテンツの真正性が確証されることによって、〔粗悪コンテンツによる〕さまざまなストリーミングエラーを排除できたからだ”、ということである。

YouTubeに関しては、まだGoogleのテストから漏れたデバイスがとても多いと思われるから、上で言っていることはおそらく100%真実ではないだろう。でもGmailの場合と同じく、同社は時間をかけて安全でない接続を排除していくだろう。同社のスポークスパーソンは、それがいつになるかは明言できない、と述べた。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Androidのユーザーアカウントに不審なデバイスからのアクセスがあったらリアルタイムで通知が来る

screen-shot-2016-08-01-at-1-48-42-pm

Googleが今日(米国時間8/1)、Androidユーザーのための新しいセキュリティ機能を発表した。それは、そのユーザーのGoogleのアカウントに新しいデバイスが加わったら、今使っているAndroidデバイスに通知が来るのだ。その通知は、“Did you just sign in?”(今サインインされましたか?)、と尋ねる。そしてそれが不審な行為であれば、ユーザーはただちに対応できる。

まず、通知の画面にある“Review Account Activity”(アカウントの活動を調べる)をタップすると、最近そのアカウントで使われたデバイスの一覧が出る。そこには、使われたデバイスの種類、日時、位置、IPアドレス、そしてサインインに使われたブラウザーも表示される。

そして、そのアクセスが確かに自分のものなら、[YES, THAT WAS ME](はい、それは私でした)をタップし、誰かがパスワードを盗んでアクセスしたのなら、[NO, SECURE ACCOUNT](違います、アカウントを守ってください)をタップする。

image02

デバイスの通知は、昨年からメールで行われている。しかしGoogleによれば、今回のようにデバイス本体のプッシュ通知を使った方が、ユーザーのアクションに結びつきやすい。実際に、メールのときよりも4倍多くのユーザーが情報を見ているそうだ。しかも通知はリアルタイムで送られるから、ユーザーは自分のアカウントを悪用される前にただちに対応できる。

Googleは今日、そのほかのセキュリティ機能として、二段階認証とシングルサインオンを導入した。でも、デバイスの通知は、これまでなかった機能だ。Appleには何年も前からこれと同じようなデバイス通知機能があり、不審なサインインや、最近かなり長くサインインしてない場合は、メールまたはプッシュ通知で知らせる。

この機能の全Androidユーザーへの展開には、二週間かかるそうだ。

〔訳注: まだ日本語化されていないので、訳文中の日本語メッセージは正規のものではありません。〕

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

SMSを使った二要素認証を非推奨〜禁止へ、米国立技術規格研究所NISTの新ガイダンス案

nix-2fa

二要素認証(2-factor authentication, 2FA)は優れものだから、それを標準的機能として採用するサービスが増えている。しかし二要素認証のいちばん多い実装方法のひとつであるSMSを、NISTは除(の)け者にしようとしている。

NISTは計測や測定に関する全国共通のガイドラインや規則を作るお役所だが、当然ながらその関連技術分野は多く、セキュアな電子的通信に関連する技術にも、目を配っている。

このお役所が近く発表する二つの公式声明は、認証やセキュリティに関連するさまざまな推奨をアップデートし、またそれらのドキュメントを公開意見聴取(public preview)にさらす。つまり声明の内容は推奨の変更に関する公開草案だから、意見に対しては、NIST自身からの公式の応答を要する。

しかしNISTは、それがお役所仕事になるのを防ぐために、草案に対する意見やコメントを述べる新たな場としてGitHubを選んだ。それについて、“すでに関連コミュニティが集まってコラボレーションしている場にわれわれも参加することは、きわめて妥当である”、と説明している

ただしその公開意見聴取は、テキスト本体に質問や意見を書き込むという、ちょっとひどいやり方だ。すでに、“これじゃあ難しすぎるよ”、という内部者のコメントが記入されている。

いずれにしても、変更箇所はものすごく多い。でも、われわれ平均的アメリカ人にとっていちばん重要なのはたぶん、これからは“帯域外認証の手段(out of band authenticator, OOB)”としてSMSを使うな、というくだりだろう。2FAのための使い捨てコードの送付に、SMSを使うな、というのだ。

公共的移動(モバイル)電話ネットワーク上でSMSメッセージを使って帯域外確認を行うのなら、確認者は、その電話番号が実際にモバイルネットワークに結びついていること、VoIP(などのソフトウェアサービス)に結びついていないことを、確認しなければならない。それから確認者は、SMSメッセージをその既登録の電話番号へ送る。その既登録の電話番号の変更は、変更時に二要素認証を不能にしないかぎり、不可能である。そこで、SMSを用いるOOBを非推奨とする。またこのガイダンスの今後のリリースにおいては、不許可とする。

当面は、電話番号が仮想番号でないかぎり、SMSの利用は続けられるが、通信内容の露見や変造の危険性は、SMSの場合とても大きい。NISTは今は黙っているが、みんながコメントを書き込む期間が終われば、もっといろんなことを言うだろう。でも、上の太字の部分が明確に示しているように、SMSメッセージの利用は遠からず、“良からぬ行い”と見なされることになる。

代わりに、2FAの専用アプリケーション、Google AuthenticatorやRSA SecurIDなどを使うか、ドングルを使用するセキュリティサービスを利用するとよいだろう。SMSが使えなくなっても、代わりの選択肢はたくさんある。SMSは、簡単、だけがメリットだった。

NISTの変更提案の、そのほかの主なものは、以下のとおり:

  • LOAを構成部品のそれとする〔製品の全長とはしない〕
  • アイデンティティ証明を完全に改訂する
  • パスワードに関するガイダンスを完全に更新する
  • トークンなどセキュアでない認証手段を廃止する
  • フェデレーション〔複数サービス連合、≒SSO〕を要件とし推奨する
  • バイオメトリクスの適用対象を拡大
  • プライバシーの要件(作成中)
  • 有用性に関する検討事項(作成中)

さてみなさまは、ドキュメントそのものを見た方がよいかもしれない。リンクは序文の冒頭にある。コメントしたい人は、GitHubのイシュートラッカーを使おう。その詳細はここにある

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Googleの透明性報告を見ると各国政府がリクエストした個人情報の件数が分かる(2015年後半は記録的な多さ)

FILE - This Oct. 20, 2015, file photo, shows a sign outside Google headquarters in Mountain View, Calif. Google unveils its vision for phones, cars, virtual reality and more during its annual conference for software developers, beginning Wednesday, May 18, 2016. (AP Photo/Marcio Jose Sanchez, File)

Googleは2015年の後半に世界各国の法執行機関から、初めて40000件を超える記録破りのデータリクエストを受け取った。その年の前半には35365件、前年同期には30140件だった。Googleの最新の透明性報告(transparency report)が、そう報告している。

Googleの透明性報告は、それを見ると、各国の政府や州が私たちのデータを利用しアクセスしようとしている様子が分かるから、重要なリソースだ。また、常時大量のインターネットデータを保有しているGoogleが、どれだけそのリクエストに応じているかが分かる点でも重要だ。その詳細はかなり専門的だが、それは私たちの知る権利の端緒であり、Twitter, Facebook, Lineなど、ユーザーの機密データを扱うこともあるそのほかの消費者テク企業も、同様の報告を発表している。

“これらの報告を公開する義務を積極的に引き受けていることは、Googleの誇りである。それによって政府の国民監視法やその実践を全世界的に知ることができる”、とGoogleのブログ記事は述べている。

国別でデータリクエストがいちばん多いのはアメリカである。アメリカ政府は27157名のGoogleユーザーに関し12523件のデータをリクエストし、Googleはその79%に対して何らかのデータを提供している。リクエスト総数は2015年前半では12002件だった。

リクエスト数の次位から5位までは、

(以下、2015前半→後半)
・ドイツ(3903→7419)
・フランス(3489→4174)
・イギリス(3146→3497)
・インド(3087→3265)

下のスライドの3枚目の図が示すように、リクエスト総数に対するデータ提供件数の比率は、近年、下降気味である。

  1. screenshot-2016-07-19-19-33-11.png

  2. screenshot-2016-07-19-19-33-01.png

  3. screenshot-2016-07-19-19-32-53.png

国別の分類はここで見られる。報告にはHTTPSサイトの詳細と、安全なWeb閲覧やメール利用の詳報も記述されている。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

MITの匿名ネットワーク通信プロトコルRiffleはTorの長年の王座を揺るがすか

shutterstock_1719293211

Torはこれまでずっと、匿名通信の定番的なサービスだった。しかし、だからこそTorは、NSAやFBIにとっておいしいターゲットのひとつだった。でも、今度MITで作られた新しい匿名化プロトコルは、こんな、金も権力もたっぷりある攻撃者に対して、Torよりももっとしなやかで強いかもしれない。

Torの問題は、敵がネットワーク上の十分にたくさんのノードにアクセスできれば、パケットがどこをどう辿って来たかを、調べられることだ。通信の内容は分からなくても、パン屑をたどることによって、最初の送信者を突き止められるだろう。少なくとも、理論的には。

そこでMITの院生Albert Kwonが率いるチームはスイスのEPFL(国立工科大学)と協働して、Torの匿名化技術を跳び越えるためのまったく新しいプラットホームRiffleに取り組んでいる。

Kwonはこう言う: “Torは攻撃の隙(すき)を作らないため、レイテンシーをできるかぎり低くしようとしている。Riffleのねらいは、できるだけ多くのトラフィック分析に対して、抵抗性を持たせることだ”。

Torは”The Onion Router”(玉ねぎルーター(router, 経路作り))の頭字語で、メッセージをまるで玉ねぎのように複数の暗号化層で包む。Riffleはこれに加えて、攻撃者を困らせるための二つの方法を導入している。

まず、受信したメッセージの順序をサーバーが変えて次のノードに渡す。そのようにして、メタデータを利用して入信と送信のパケットを調べようとする行為を、妨害する。

また、本物のメッセージをダミーに置き換え、それを追ってターゲットを捉えようとする悪質なサーバーを、二段階で防ぐ。まずメッセージは、一つではなく複数のサーバーへ送られる。そして、送信メッセージを、そのサーバーが受信したメッセージであることを証明できるための、それ単独で真偽を検証できる数学的証拠で署名する。このようにすると、メッセージに手を加えたサーバーを一度に見抜くことができる。

これらのテクニック…mixnetsdining-cryptographerネットワーク(DCN)…はどちらも前からあるが、深刻な欠陥が両者の採用を妨げていた。二つを同じシステムで使うなんて、ましてや…である。DCNはスケーラビリティがなくて帯域を大食らいする。mixnetsが必要とする証明は、計算が高価すぎて低いレイテンシーを維持できない。

riffle_diagram

Kwonらのチームは、これらの弱点を避けることのできる実装方法を考案した。その技術的詳細はこのペーパー(PDF)に載っているが、そのキモは、公開鍵と秘密鍵(対称鍵)を併用することだ。それは、Webで使われているやり方と、あまり変わらない。

古い技術をこのように変えることによって、それらを実装したネットワークはアクティブとパッシブの両方の攻撃に耐性を持つだけでなく、スケーラビリティもよくて、処理時間も多くない。彼ら研究者たちの推計では、数百名のユーザーによるファイル共有が理論値で100KB/s、マイクロブログのように帯域集約的ではない使い方では、10万名のユーザーを10秒未満のレイテンシーで扱える。

Kwonによると、開発と試行に利用したのはギガビットLAN上の3台のサーバーだが、意外にも、サーバーを増やすと、ある面では性能が低下した。

“サーバーが多ければセキュリティは増すが”、とKwonは書いている。“しかしながら、パフォーマンスの点では、すべてのメッセージがすべてのサーバーを経由するのだから、サーバーが少ない方がよい”。

このプロトコルは、普遍的で大きなグローバルネットワークよりも、小さなセキュアなネットワークがねらいだが、でもほとんどの国や地域社会で、匿名ノード10万は十分な数だろう。

Riffleのダウンロード可能なバージョンはまだないが、Kwonによると、現状はプロトタイプだから、公開するためにはまずコードの掃除が必要、ということ。商用化の計画はないし、Torを置換する気もない。もちろん、ある面では、Torよりもずっと優れているのだが。

TorとRiffleの両者について、“設計目標は互いに排他的(両立しない)面もあるが、しかし一方ではそれらは互いに補完的でもあり、Riffleのセキュリティと、Torの大きな匿名集合の両方を利用できる”、とKwonは書いている。

Kwonのサイトをときどき覗いて、今後のアップデートに注目したい。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

本職のセキュリティ技術者が旅先のウィーンでATM盗視機を発見

これはすごい。旅行でオーストリアのウィーンへ行ったサイバーセキュリティのエキスパートBenjamin Tedescoは、そこでATMを使おうとした。しかし何でもまず疑う彼は、カードリーダーをちょっと調べてみて、それが本物のカードスロット(挿入口)とそっくりのスキマー(skimmer,盗視機)であることを発見した。

“被害妄想はお金を守る”、まったく、彼の言うとおりだ。

Tedescoはスキマーを取り外して写真を何枚か撮り、家に帰ってから詳しく調べようと思った(カードのデータがまだ載ってるかもしれない)。何人かのRedditユーザーが、ピンホールカメラがあることに気づいた。たぶん、暗証番号を読むためだろう。そうなると、彼らは盗難カードを何枚でも作れる。

ATMを使うときは、必ずチェックしよう。ふつうは、こんなツールのインストールを防ぐためのチェッカーが何重にも設けられているが、ときにはそれらが故障していてハッカーにやられる。おかしいなと思ったら、ATMやカードスロットを、押したり引いたり、こすったりしてみよう。

AAEAAQAAAAAAAAiDAAAAJDQ4ODQxZjM5LTU0ZDktNDE2ZC1iM2QwLWM5ZTcyZmM1ODI2Mw

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

米国防総省、バグ探し懸賞プログラム “Hack the Pentagon” を拡大

tcdisrupt_ny16-8781

軍隊をハックしたいって? 国防総省(DoD)は、自らのシステムをハッカーが(訴えらることなく)テストする機会を増やそうとしている。

同省は今日(米国時間6/12)Hack the Pentagon[ペンタゴンをハックせよ]プログラムを拡大して、さらに多くの国防総省システムとネットワークを対象に加えることを発表した。Hack the Pentagonは、システムの脆弱性を見つけて報告したハッカーに現金報奨を与えるもので、既に効果を発揮している ― 最初にバグが報告されたのは、プログラムが始まった13分後だった。

当初はパイロットプログラムとして今年の4/18~5/12の期間限定で実施され、わずか5箇所のDoDウェブサイトが対象だったが、同省はさらに多くのウェブサイトやシステムの脆弱性を見つけるべく、プログラムを恒久化する計画だ。Hack the Pentagonは、米国政府にとって初めての、脆弱性を発見したハッカーに報酬を支払うバグ探し懸賞プログラムだ。

「パイロットプログラムは成功したが、あれは公開ウェブサイトに対するクラウドソースによるセキュリティーの概念をテストしただけだった。DoDの他のあらゆるセキュリティー問題についても、この方式が成功するものど信じている」とDoDの広報担当者が声明で語った。

Hack the Pentagonは、バグ探し懸賞プラットフォームのHackerOneが運用しており、パイロットプログラムでは、138種類のバグが報告され、計7万1200ドルの賞金がハッカーに支払われた。

プログラム参加者の一人、David Dworkenは高校を卒業したばかりだ。彼は22件のバグをDoDに報告し、学校の休み時間に見つけたものだと言っている。

DoDは、プログラム強化に向けて3つの点に力を入れている:脆弱性公開プロセスの開発、バグ懸賞プログラムの拡大、およびDoD契約者がシステム上でテストすることを推進するインセンティブの導入だ。

「こうした取り組みを通じて、Hack the Pentagonの成果を生かし、DoDのネットワーク、システム、および情報の安全を守る方法を進化させていく」とDoDの広報担当者は言った。

[原文へ]

(翻訳:Nob Takahashi / facebook

サイバーテロとシリコンバレーの役割

Hand working at laptop computer illustrating cyber crime

【編集部注:執筆者のBrian Michael Jenkinsは、RAND Corporationのシニア・アドバイザー。】

少なくとも現時点で、サイバーテロリストたちは世界のどこかの地下室から欧米文明を破壊するのに必要なテクノロジーを利用していない。

国家情報長官のJames Clapperは、「サイバー・ハルマゲドン」シナリオの可能性を当面否定しているが、新たな技術進歩はテロリストたちを、注目されることがる目的のローテクな殺人から、社会の資源や組織を破壊する目的のハイテクな破壊行為へと走らせる可能性をもっている。

先進社会の多くが防衛費を縮小する中、テロリズムの脅威は国土安全の懸念を高めている。テロリストは最前線と家庭も、戦士と一般市民も区別しない。

テロの脅威は、時には誇張されて、実際に起きる前から政府にテロ攻撃を防ぐよう圧力を与える。これは、意思が行動に移る前に介入することを意味している。テロリスト予備軍の心に悪が潜んでいることを知る一つの方法は、人々が話し、書いている内容を監視することだ。警察は常にそうしていると宣言しているが、民主主義には、それがいつ、どんな条件で許されるかに関する厳格な規則がある。

テロリストは最前線と家庭も、戦士と一般市民も区別しない。

情報技術の進歩は、市民と政府との関係を再定義し、新たな緊張を生み出した。現在政府は、我々のプライベートなやり取りや個人の生活に関する情報を大量に取得し、保管し、分析する、過去に類を見ない能力を持っている。そのようなデータを政府が所有することだけでも、アメリカ流の政治形態に反する、統制と脅威の可能性を意味していると指摘する人々もいる。

国家の安全と戦争が、デジタル時代にあわせて再定義される中、シリコンバレーは反テロリズムの先鋒に立つ必要がある。情報革命を駆り立てている発明家や起業家たちは、悪意ある侵入から最重要システムを守る方法を見つけ出す必要がある。そこは、政府の社会を守る取り組みと、個人の権利とプライバシーとの戦いの中心でもある。

テロリストの戦術は何世紀にもわたって用いられてきたが、1960年代後半の技術進歩は、新たな脆弱性と能力を生み出した。近代のジェット機による航行は世界中のテロリストに移動能力を与え、人質と被害者の空飛ぶ収容場所を提供した。地方テロリストのキャンペーンは容易に国際的になる。小型の武器や爆発物が広く一般に入手可能になった。何よりも重要なのは、通信技術 ー 無線、テレビ、通信衛星 ー によってテロリストが国際舞台への足がかりを得たことだ。

テロリズムは演劇であり、恐怖と警戒の雰囲気を作り出すように演出された暴力によって、テロリストと彼らがもたらす脅威の重要性と威力を人々に誇張させる。テロリズムの実際の被害者は、テロリストとは無関係だ。われわれが敵対してするテロリストはコミュニケーションが戦いの半分を占めていることを知っている ー 重要なのは何をするかではなく、それがどう認識され、描かれるかだ。

1970年代の終わりに、私たちアナリストは、テロリストがどんな新兵器を入手し、戦闘に利用するかを探ろうとした。われわれは、精密誘導地対空ミサイルや、化学、生物兵器、さらには核兵器までも心配したが、最も重要な進歩を見逃していた ー 近代インターネットの始まりは、テロリスト兵器庫て最重要な武器となっていたのだ。

シリコンバレーはすでに自らをテロリズムとの戦いの中心に位置づけているのかもしれない。

宣伝プラットフォームとしてのインターネットは、編集や政府の介入を受けることなく膨大な聴衆と直接やりとりする機会をテロリストに与えた。それはまたテロリスト同士が容易に連絡を取り合うことも可能にし、志を同じくする狂信者たちの仮想コミュニティーを作り上げた。標的に関する情報や、爆弾製造や他の暴力技術の方法も提供した。

ソーシャルメディアはさらにそれを助長し、今日のテロリストは無数の若者たちに好まれる方法を使って直接通信する能力を持っている。いわるるイスラム国は、ソーシャルメディアを効果的に利用して、その目的を宣伝し、兵士予備軍を惹きつけている。

しかしインターネットは、あからさまに急進化することなく、代理となって参加することも可能にしている。グループの仲間に入らなくてもよい。参加者は仮想的だが実生活の体験を得ることができる。心理的満足感はネット上でテロリストのふりをするだけでも得られる。

インターネット以前の1970年代、米国は年間平均50〜60のテロリスト爆破事件を扱っていた ー 振り返ってみれば驚くべき数字だ。9/11攻撃以降の約15年間、米国内のテロ爆破は年間2〜3件であり、致命的なものはほとんどない。

そうした攻撃は、海外で進行中の紛争に関連した過激派思想や不和に動機づけられた様々なグループによって引き起こされていた。しかし9/11以降、米国で起きた聖戦士テロリスト事件約60件のうち、2/3が一人の人間によって起さられている。グループのメンバーという概念は事実上なく、制度化された教えもない。新しい首謀者はほぼ常に素人である。

今のテロリストたちが与える脅威は未だに原始的で手動でローテクだが、同時期のテロリストたちはインターネットのナビゲーションにも長けていて、ハイテク敵となって経済的妨害行為で脅しをかけるようになる可能性を持っつている。個人を人質に取る代わりに、システムを人質にするかもしれない。

1970年代、テロリズムアナリストたちの「レッドチーム」は、どうやってそれが行われるかは考え、社会を著しく破壊するためには、膨大な資源が必要であるという結論をくだした。しかし、モノのインターネットの成長するネットワークはそれを変えるかもしれない。

破壊、妨害、恐怖によって社会の膨大な資源を安全対策に転用することを強要する能力は、いつも解決できるとは限らない不満を持ついっそう小さなグループへと下りていった。この傾向に民主主義がどう対応し、民主主義であり続けるかは、われわれテクノロジー時代の主要な課題の一つだ。

シリコンバレーはその課題に挑戦するべく意気込んでいる、というのが最近カリフォルニア州サンタクラリタで行われたイノベータと起業家の年次カンファレンス、TiEconで私が感じた兆候だ。参加者の中には、セキュリティ支援に現在使われているテクノロジーをすでに作ったところもあった。他にも刺激的な新技術やアイデアがすでに開発されている。それらは、武器や爆発物、放射性物質その他危険物の検出、分析、その他の対策方法など、物理的セキュリティおよび情報保護に対する新たなアプローチだ。。

このような進歩の可能性を武器に、シリコンバレーはすでに自らをテロリズムとの戦いの中心に位置づけているのかもしれない。

原文へ
 
(翻訳:Nob Takahashi / facebook

Mozillaがオープンソースコードのセキュリティアップのためにファンドを立ち上げ、次のHeartbleedを防ぐ

heartbleed

Mozillaが今日(米国時間6/9)、オープンソースのコードをよりセキュアにするためのファンドSecure Open Source(SOS)を立ち上げる、と発表した。このファンドは、Mozilla Open Source Support事業からの50万ドルの助成金を最初の資金とし、オープンソースのプロジェクトに監査と修正の機会を与えることによって、次のHeartbleed事件やShellshock事件が起きることを防ごうとするものだ。

Mozillaはまた、オープンソースの恩恵を受けている企業や教育機関、政府機関などに対して、ファンドへの参加を求めている。今日の声明の中で、“これらオープンソースの受益者たちに資金提供を求めることによって、よりセキュアなインターネットを築いていきたい”、とMozillaのChris Rileyが述べている。

具体的には、SOS Fundがセキュリティ企業に費用を払ってプロジェクトのコードを監査し、またプロジェクトのメンテナーと協力してコードの修正を実装、さらに情報の開示も正しく行っていく。修正の検証にも、必要ならお金を払う。

Mozillaによると、このやり方をすでに3つのプロジェクトでテストしている(PCRE, libjpeg-turbo, phpMyAdmin)。これら最初のテストによって、43のバグが見つかり、中には深刻な脆弱性もあった。最初のテストでMozillaは、Cure53NCC Groupと協働した。

“われわれが頼りにしているコードのあまりにも多くが、オープンソースのソフトウェアを使っている。それは商用製品にも埋め込まれ、インターネットのオペレーションの重要な部分を提供している”、Center for Strategic and International StudiesのSVPでディレクターでもあるJames A. Lewisが、今日の声明文の中でこう語っている。“それだけ重要なコードでありながら、オープンソースのコードはパッチやアップデートがお留守になることがきわめて多い。どのソフトウェアにも、悪用されうる欠陥がある。それは、コードの本質だ。そういうバグが放置されたら、犯罪と破壊行為のための機会を作り出す。MozillaのSOSファンドは、オープンソース中のバグ発見と修正のためのインセンティブを作って、サイバーセキュリティにおけるギャップを埋める”。

自分のコードのセキュリティ監査を申請したいデベロッパーは、ここで申し込む。それらのコードはオープンソースで、しかも現状でメンテナンスが持続しているものでなければならない。Mozillaは、それらのソフトウェアが広く利用されていることや、その機能性の継続がインターネットやWebにとって重要であることも検証する。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Twitterは個人情報がネットで売られた後、こうしてアカウントを保護した

twitter-140-media

昨日(米国時間6/7)午後、Twitter侵入の噂が流れ始めた。もちろんTwitterで。セキュリティー研究者らは、パスワードを変更し、二要素認証を有効にするようユーザーに警告した。二要素認証とは、信頼できる端末に送られた暗証コードを使ってログインの個人認証を行うものだ。

しかし噂は間違っていた ― 少なくとも部分的に。数百万人分のTwitterハンドルとパスワードが闇サイトで売りに出されたものの、Twitterは侵入被害を受けなかった。データを掲載したLeakedSourceは、ログイン情報はマルウェアを使って収集されたものと推察しており、Twitter自身のセキュリティーチームもこの説を支持している。

「問題のTwitter ユーザー名とパスワードは、他の最近の侵入で得た情報と、あらゆるサイトのパスワードを盗むマルウェアの情報とを組み合わせたものかもしれない」とTwitterの情報セキュリティー責任者、Michael Coatesがこの件に関するブログ記事に書いた。

Twitterは、自社ユーザーのアカウントを保護するために比較的すばやく動いた ― 今日(米国時間6/9)情報が漏洩したユーザー全員に対して強制的にパスワードをリセットした。

Twitterは大量のパスワードをネットでばらまかれたソーシャルメディア会社として最新の被害者だ ― 5月には、Myspaceの個人情報3.6億人分LinkedInの認証情報1億人分が売りに出された。

Wiredのインタビューで、ユーザーのログイン情報を売っているハッカーの一人は、当初は特定個人のアカウントをターゲットにするスパム業者等に直接売り込み、その後公開販売したと話した。その人物はWiredに、LinkedInのデータだけで約2万ドルになったと話した。

Coatesによると、Twitterrは他サイトから盗まれたデータを調ベ、Twitter自身の記録と相互チェックしてどのアカウントが脆弱かを検証し、強制パスワードリセット等の特別な保護対策を実施している。

「犯人は公開されたユーザー名、メールアドレス、パスワードデータ等を探し、自動化システムによってこのログインデータとパスワードをあらゆる有名ウェブサイトでテストしようとした。同じユーザー名とパスワードを複数サイトで使っている人は、アカウントを自動的に乗っ取られた可能性がある」とCoatesは書いている。

Twitterは位置情報、使用端末、ログイン履歴等の不自然な行動を監視することによって、脆弱なユーザーを保護している、とCoatesは言った。

さらにCoatesは、Twitterアカウントのものされているパスワードの一部は正しくないことも指摘した。一部のハッカーは「古い盗難データをまとめたり、複数の侵入データからアカウントを構成して、ウェブサイト Xのログイン情報とパスワードだと称して販売している」と彼は説明した。

Twitterは、二要素認証、強力で他と異なるパスワード、およびパスワードマネージャーを使ってアカウントの安全を保つことを推奨している。

[原文へ]

(翻訳:Nob Takahashi / facebook

Google、パスワード不要のログインを年内にもAndroidアプリに提供へ

screen-shot-2016-05-20-at-3-27-45-pm

Googleはパスワードを廃止するしくみを計画している。様々な特徴 ― タイピングのパターン、歩き方のパターン、ユーザーの現在位置、等々 ― を組み合わせることによって個人を特定するシステムで、テストがうまくいけば年内にもAndroidデベロッパーに提供される予定だ。金曜日午後にGoogle I/Oデベロッパーカンファレンスで行われた目立たない発表の中で、Googleの研究開発部門ATAPのDaniel Kaufmanが、Project Abacusの最新状況を説明した。二要素認証に代えて生体認証を使うシステムの名前だ。

覚えているかもしれないが、Project Abacusは昨年のGoogle I/Oで初めて紹介され、パスワードと暗証番号の面倒からユーザーを解放する野心的計画と説明された。

今日、セキュアなログイン ― 銀行やエンタープライズ環境で用いられているもの ― は単なるユーザー名とパスワード以上を要求する。さらにSMSやメールで携帯電話に送られてくる特別な暗証番号の入力も要求することが多い。これは一般に「二要素認証」と呼ばれ、ユーザーの知っているもの(パスワード)と、ユーザーの所有するもの(例えば携帯電話)を組み合わせることから、そう呼ばれている。

Project Abacusでは、ユーザーは端末のアンロックやアプリへのサインインを、蓄積された「信頼スコア」に基づいて行う。このスコアは様々な要素を用いて計算され、例えば、ユーザーのタイプするパターン、現在位置、話すスピードやパターン、顔認識、等々が使用される。

既にGoogleは同様の技術をAndroid端末(Android 5.0以降)に“Smart Lock” という名前で実装しており、ユーザーが信頼された位置にいるか、信頼されたBluetoothデバイスが接続されているか、本人がデバイスを持っているか、あるいはデバイスがユーザーの顔を認識すると自動的に端末がアンロックされる(ちなみにSmart Lock for Passwordsは、単にウェブサイトやアプリのパスワードを保存して、次に訪れた時に自動入力する機能)。

Project Abacusはちょっと違う。端末のバッググラウンドで動作し、ユーザーのデータを連続的に収集して信頼スコアを生成する。

基本的にこのスコアは、本人であると言っている人がどの程度確かに本人であるかを示す。もしスコアが十分高くなければ、アプリは昔に戻ってパスワードを尋ねることができる。ATAPは、アプリによって異なる信頼スコアを要求することもできると以前言っていた。例えば、銀行はモバイルゲームよりも高いスコアを要求するかもしれない。

google-io-2015-atap0069

Google I/O 2015でProject Abacusがデビューした時

「誰でもスマホを持っていて、そこにはあらゆるセンサーが入っている。私が誰かをわかってくれれば、パスワードは必要なくなるはず。スマホを使うことに専念できるべきだ」とKaufmanは説明し、パスワードベースの個人認証の問題点を指摘した。

彼によると、Googleの検索や機械学習グループの技術者たちがProject Abacusのアイデアに注目し、「信頼API」(Trust API)というものを作った。このAPIは来月から銀行でテストに入る。

6月に「いくつかの非常に大きい金融機関」が信頼APIの初期テストを開始する、とKaufmanは言った。

「これがうまく行けば、世界中のAndroidデベロッパーが年内には利用できるようになる」と付け加えた。

Kaufmanはすぐに他のATAPプロジェクトの話に移り、つながった衣服モジュラー・スマートフォンレーダーセンサー等々について話した。他の技術も楽しみではあるが、この「信頼API」は特に、スマートフォンでアプリを使うやり方に関して、現実世界の変化を生むものだ。これはまた、アプリのコンテンツを安全に守る新しい方法にもなる ― 本人以外がスマートフォンを手に入れアンロックできたときでも、ソフトウェアが〈本人でない〉と判定すれば、あらゆるアプリを自動的にロックすることができる。

昨年Googleは、Project Abacusが全米28州、33校の大学で試行されていると言った。銀行での利用は大きな進展だ。そして年内にはAndroidデベロッパーが自分のアプリに実装できるようになれば、Googleはユーザー認証に関して、ライバルシステムであるAppleの指紋認証ベースのTouchIDに対して、独自の優位性を得ることができるかもしれない。

[原文へ]

(翻訳:Nob Takahashi / facebook

LinkedIn、2012年のハックで漏洩したメールとパスワード1.17億人分がネットに公開

linkedin-logo

2012年のLinkedInのハック事件は、今もユーザーに問題を起こしている。同社は今日(米国時間5/18)、当時奪われた別のデータセットが公表され、そこには1億人分以上のLinkedInメンバーのメールアドレスとパスワードが含まれていると発表した。新たなデータ漏洩を受け、LinkedInはアカウントを検証し、影響を受けたユーザーに連絡を取り、パスワードを変更できるよう作業を進めていると言っている。

かなり時間がたっているので覚えていないかもしれないが、去る2012年にハッカーがLinkedInに侵入し、650万人分の暗号化パスワードを盗み、ロシアのハッカーフォーラムに掲載した。パスワードはソルトなしのSHA-1 hash形式で保存されていたため、数十万件がすぐに破られた。

Motherboardの最新記事によると、現在 “Peace” と名乗るハッカーが、1.17億人分のLinkedInメンバーのメールアドレスとパスワードを、地下市場でbitcoin 2200ドルで売ろうとしている。データセットには全部で1.67億件のアカウントが入っていたが、メールと暗号化パスワードの両方が含まれていたのはそのうち1.17億件だけだった。

このデータセットは2012年のハックで流出したものなので、パスワードは同じ方法 ― 「ソルトなし」 ― で暗号化されており、これは容易に破られることを意味している。事実、Motherboardによると、90%のパスワードが72時間以内に解読されたという。被害者の中には2012年以来同じパスワートを使っている人もいる、と記事は伝えている。

現在のLinkedInユーザーが心配すべきかどうかは、いくつかの要素に絞られる。2012年のハックの時にアカウントを持っていたか?その後パスワードを変更したか? そのパスワードを別のウェブサイトで流用していたか?

もし自信がなければ、とにかくパスワードを変更すること。同じパスワードを使っているかもしれない他の重要なサイトも同様だ。

LinkedInは、侵入事件以来セキュリティー基準を高め、暗号化を強化し、メールによる確認と二要素認証を導入したと言っている。しかし、このハックは新たな保護対策が行われる前に起きたものだ。メールとパスワードを組み合わせをハッカーに知られたユーザーは危険に曝されている。

[原文へ]

(翻訳:Nob Takahashi / facebook

GoogleがBlogspotのすべてのサイトでHTTPS接続をデフォルト化

fig1

Googleが今日(米国時間5/3)から、同社のBlogspotドメイン上のすべてのサイトで、HTTPS接続をデフォルトにする

GoogleがBlogpostを最初にHTTPS化したのは昨年の9月だったが、そのときはまだ、オプトインの機能だった。今日からは、暗号化接続がデフォルトで有効となる。

なお、これが適用されるのはBlogspotのブログだけで、それらはドメインが.blogspot.comだ。独自のドメイン名を使っているブログは、HTTPSにならない。

Blogspotのユーザーは、現在も意外と多くて、Alexaのグローバルなランクでは43位のサイトだ。彼らは自分のブログのユーザーを自動的に、HTTPSバージョンのブログへリダイレクトできる。

すなわちデフォルトでは、BlogspotはHTTPとHTTPSの両方を提供する。テンプレートやウィジェットの多くが、HTTPSでは正しく動作しないかもしれないからだ。HTTPSに切り替える前に、両バージョンをテストした方がよいだろう。

WordPress.comが、同社のネットワーク上のすべてのサイトでHTTPSのサポートを提供したのは2014年からで、最近はカスタムドメインもサポートしている。

独自に自分のブログをやっている人も、Let’s Encryptの証明発行事業を利用すれば、独自に運用しているサイト上で正しい証明を容易に入手でき、HTTPSを有効にできる。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

TorからFacebookを利用しているユーザーが月間100万を超えた…Facebookはさまざまな奨励策を提供

p1040182

【抄訳】
Torでブラウザーを匿名化してFacebookにアクセスしている人が今月初めて100万を突破した、とFacebookが発表した

Tor(The Onion Router)は、暗号化と、ボランティアの全世界的なリレーによる、インターネット接続のランダムなルーティングにより、Webユーザーのプライバシーを守るネットワーク技術だ。それを使うと、個々のWeb接続をその起点のユーザーまでさかのぼって調べることが、困難になる。

Facebookは2014年10月に、Tor専用のonionというURLを作り、Torからの接続がより容易にできるようにした。そうしないと、おかしなルーティングをしているトラフィックを、サイトのセキュリティ機能が異常と判断する可能性があるからだ。

今年はさらにFacebookは、AndroidのOrbotプロキシをサポートして、Android上のFacebookユーザーがTorを容易に利用できるようにした。

今日の同社によると、過去数年間のTorの利用者数は毎年一定の率で増え(2015年6月で52万5000)、そして今月ついに100万を超えた。ただし、今年の1月でFacebookのユーザー数は15億9000万あまりだから、100万は大海の一滴にすぎない。

Facebookは今日の発表声明の中でこう言っている: “この[Torユーザーの]成長は、TorからFacebookを利用するという人びとの選択と、それが彼らに提供する価値の反映である。今後も彼らがフィードバックを提供してくれて、それにより弊社が改良を続けられることを期待する”。

ソーシャルメディアサービスは、人びとが自分のデータを一般公開することによって、お互いを見つけやすく知りやすくすることがビジネスモデルだから、そんなサービスにTorのネットワークを使ってアクセスするのは(そのかんじんのデータがプライベートになるのだから)意味がない、という議論もある。しかしTorはそれに対して、それでも、この機能が人びとにとって有益であるような、特別のユースケースがある、と指摘する。たとえばそれは、位置を不明にすることだ。

ランダムな複数者のリレーネットワークによるルーティングシステムは、ユーザーの物理的な位置を偽装する。Facebookから取ったそのユーザーの位置データも、その偽装位置のデータになる。ただしMessengerのメッセージで、“今シカゴにいるよー”なんて本当のことを書いたらだめだけど。

そしてユーザーの物理的な位置データが隠されるため、ユーザーが誰であるかも知られなくなる。Torのこの特性は、本人性を知られたくない政治活動家などに利用される。また、インターネットアクセスに国による検閲があるところ、たとえばFacebookが禁じられているイランなどでは、Tor経由でならFacebookにアクセスできる。

以上のことをFacebookはかなり抽象的に、“人びとはプライバシーとセキュリティと身の安全に関わるさまざまな理由で”、Torを利用している、と説明している。

〔Onion(玉ねぎ)という名前は、皮をむいてもむいても芯(本人)に到達しないという、多重リレー構造を表している。英語Wikipedia日本語)〕

【後略】

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

GoogleのChrome Web Storeは新しいユーザーデータ保護指針に違反しているエクステンションやアプリを排除する

Chrome lapel pin

Googleが、Chrome WebブラウザーのエクステンションやアプリのマーケットプレースChrome Web Storeを掃除している。同社によるとその一環として、同社はUser Data Policyを改定し、顧客データの扱い方に関するさらなる透明性をデベロッパーに求める。中でもとくに、データを収集するときにはユーザーの同意を必須とする。

改定の動機はおそらく、Chrome Web Storeに最近マルウェアがポストされたことだろう。その不埒なエクステンションは、ユーザーをスパイして個人情報を集めたりするのだ。またSnowdenによる内部告発があってから以降は、政府機関も、EUに倣って、ユーザーデータ保護の法制化に前向きになっているから、その流れに乗る意味もある。

1月にセキュリティ企業Malwarebytesが見つけた悪質なエクステンションは、取下げられたときすでに1000回もダウンロードされていた。マルウェア問題の典型とも言えるこのエクステンションは、 贅沢なパーミッションを要求し、インストールされるとリモートのサーバーと通信して広告をプッシュする。

icalc-store

それを削除すると、すぐに別のマルウェアにリプレースされ、それはユーザーをソーシャルネットワークサイトへリダイレクトする。そのセキュリティ企業によると、最近の“アドウェア”(adware,広告持ち込み型マルウェア)は、エクステンションを利用して無料のクーポンやレシピ、ビデオなどをプッシュするものが増えており、またユーザーのWeb閲覧習慣を捉えてそれを、広告のターゲティングのためにマーケティング企業に売るマルウェアメーカーもある。

しかし悪質なエクステンションはGoogleにとって旧聞である。Chrome Web Storeは何年も前から、この問題を抱えている。過去にGoogleは、Web Storeが直接提供していないエクステンションのインストールを、禁じようとした。理屈としては、Web Storeが直接関与できればエクステンションを取り下げたり無効にできたりするから、ユーザーの保護に貢献するだろう。

しかしこれからのGoogleは、ユーザーのプライバシーの保護に関して、Chrome自身と同等のガイドラインをデベロッパーにも守らせようとする。

Chromeのブログ記事によると、この新しいポリシーにより、次のような新しい要求がデベロッパーに課せられる:

  • ユーザーデータの取り扱いに関して透明であり、プライバシーに関して行っていることを開示すること

  • 個人の機密情報を扱うときにはプライバシーポリシーをユーザーに開示し、暗号化を使用すること

  • ユーザーの個人情報や機密情報を収集するときには、大きく目立つ方法でユーザーの同意を求め、データの利用が主要な機能と無関係なときは、そのことも大きく目立つように開示すること

こんなことが、何年も前のストアの開店時にデベロッパーに対して言われなかったこと、今になってやっと言われることは、ユーザーの気分としては不安である。

このポリシーは、エクステンション等の主要機能とは無関係にユーザーのWeb閲覧行動を集めることも禁じている。とくにおもしろいのは、これによっていくつかの“ビジネス”に影響が及ぶことだ。

というのも、今では多くの企業が、一見無害なブラウザーエクステンションを利用して、さまざまな目的のために閲覧データを集めている。たとえばWebアナリティクスのSimilarWebによると、同社は“数百の”プラグインを利用して何百万人ものユーザーに接触していたこともある。それらのプラグインの中には、閲覧データを集めて、ユーザーが今いるサイトのランクやリーチを情報として教えるものもあったが、意図が明確でないプラグインも少なくない。そんなプラグインでプライバシーポリシーが表示されても、それを読まないユーザーがほどんどだろう。

Googleによると、デベロッパーは2016年7月14日までに、新しいポリシーに適合しなければならない。翌7月15日には、今回アップデートされたUser Data Policyに違反しているエクステンションやアプリはChrome Web Storeから削除される。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

オバマ大統領ががMicrosoftやUberの出身者たちを国のサイバーセキュリティー委員会の委員に任命

800px-whitehousesouthfacade

大統領が今日(米国時間4/13)、Committee on Enhancing National Cybersecurity(全国サイバーセキュリティー強化委員会)の委員を任命した。それはほぼ予想通りの顔ぶれで、テクノロジー業界の大物たちと、数名の学者、そしてNSAの元局長だ。え?何だって?

そう、Keith Alexander将軍はNSAの(国民を対象とする)監視機構が大きく肥大していく時期に局長を務めた。彼は、今度の委員会の委員リストのトップに載っている。悪魔はその正体をよく知っておいた方が良い、とは言うけれど、はてさて…。

そのほかの委員は、以下のとおり。肩書は、現在、または最近までのものだ:

  • Annie I. Antón, ジョージア工科大学School of Interactive Computingの学長
  • Ajay Banga, MasterCardの社長兼CEO
  • Steven Chabinsky, CrowdStrikeのCRO(Chief Risk Officer)で法務部長
  • Patrick Gallagher, ピッツバーグ大学の総長でCEO
  • Peter Lee, Microsoft ResearchのCVP(元DARPAの企画担当)
  • Herbert Lin, スタンフォード大学のサイバーポリシーとセキュリティの研究員
  • Heather Murren, 投資家でジョンズホプキンス大学の理事
  • Joe Sullivan, Uber(そして前はFacebook)のCSO(chief security officer)。
  • Maggie Wilderotter, Frontier Communicationsの(長期の)元CEO

では、この委員会は何をするのか? それは、政府のテクノロジー政策の全体をオーバホールしようとするオバマ大統領の大きな政策の一環だ。その計画はCybersecurity National Action Pla(CNAP)と呼ばれ、今年の早い時期に発表された。政府によるCNAPの概要書のトップに、当委員会が強調されている

当委員会は、サイバーセキュリティや公共の安全、プライバシー、政府と各種関連機関との連携などについて短期的および長期的な勧告を行う。実行権はなく、一種の顧問団である。

皮肉なことに当委員会の委員が発表された同じ日に、ある法案が提出された。それは、当委員会が有能であれば、まさに彼らの最初の勧告の素材になるであろう。その勧告とは、この法案を地中深く埋めて、映画「ジュラシックパーク」の冒頭で使われていた超音波探査機でも使わなければ、どこにあるのか分からないようにすることだ。しかし、実際にはその必要はないだろう(この法案はガラクタだ)。でも、ちゃんと見張っていた方が良いね。

当委員会の詳しい職務はここに記されている。順調に行けば、最終報告書が今年の12月1日に大統領に提出され、彼にはそれを実装しないための十分な時間が与えられる*。これはもちろんジョークだが、この激しい選挙戦の期間に十分な改革を達成することはほぼ不可能だろう。ただし調査研究のための期間としては十分なので、自分たちの複数の小委員会ぐらいは作れるかもしれない。〔*: 実装しないための十分な時間==実装するためには時間が足りない。〕

定期的な公開ミーティングも計画にはあるから、自分の発言をぜひ彼らに聞かれて記録されてほしい人は、委員会のスケジュールによく注意していよう。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))

Google、Gmaiのセキュリティー警告を強化

gmail-autocomplete

Googleは、Gmail内でのセキュリティー警告の可視性を高めることで、同サービスの10億人を超えるアクティブユーザーを守ろうとしている。

Googleは、「セーフ・ブラウジング」通知を拡張し、ユーザーがメール内の不審なリンクを開こうとするとリンク先が開く前に、フルページの警告を発するようにした。これまではリンクをクリックする前に警告を表示していたが、クリック後に大きく目立つ警告画面を表示することで、Googleは悪意あるサイトを実際に訪れる人を減らそうとしている。

Googleは、Gmail内の国家支援攻撃の警告も拡張する。これはその後Facebookでも対応したものだが、この警告もフルページになる。多くの人に影響を与えるものではないが ― この種の通知を受け取った人はユーザーの0.1%にすぎない、とGoogleは言っている ― 影響の大きさは計り知れない。

「この種の警告を受けるユーザーは、活動家、ジャーナリスト、政治家等、世界で大胆な態度を取っている人たちが多い」とGoogleはブログ記事に書いている。

Googleは、メール暗号化の標準化推進も続けている。これも活動家やその他のハッキングや監視の対象となり得る人たちにとって不可欠な機能だ。同社はComcast、Microsoft、Yahoo等複数の企業と協力して、メッセージのセキュリティーを高めるべく新しいEメールシステムを提案している。

これは一夜にして実現できるものではなく、Goolgeは自社サービスを使って、暗号化メールの利用拡大に長年努めてきた。先月から、安全でない接続を通じてメールを送受信しようとするGmailユーザーへの警告を開始し、その結果Gmailユーザー宛に暗号化接続を使用して送られてくるメールが25%増加した、とGoogleは言っている。

「われわれはこの結果に大いに勇気づけられた。暗号化は比較的容易な実装でユーザーに大きな利益を与えられることから、今後も進展は続くと期待している」とGoogleは言った。

[原文へ]

(翻訳:Nob Takahashi / facebook