ページ内移動用のリンクです
サイト内共通メニューへ移動します
ローカルメニューへ移動します
本文へ移動します

Schneier's CRYPTO-GRAM日本語版 2014年2月号

日本語版 2014年2月25日

SkyDeskサービスでは情報セキュリティや暗号の分野で有名な著者である Bruce Schneier氏の許可を得て、有志により CRYPTO-GRAMニュースレターを日本語翻訳し公開しております。 掲載されている内容はBruce Schneier氏によるものであり、富士ゼロックスやSkyDeskサービスの見解を示したり、記載内容を弊社が支持するものではありません。

2014年2月号もくじ

サイバー空間上の活動に基づく人々の位置の特定

Pierre Omidyar氏の報道機関であるFirstLook誌や、その紹介出版物であるThe Intercept誌と一緒に、Glenn Greenwald氏はNSAに関するレポートを再開した。 国家安全保障の記者であるJeremy Scahill氏と一緒に執筆したGreenwald氏の最初の記事は、無人機による対象個人の暗殺にNSAがどのように寄与しているかに関するものだ。

記事の広範な政治的意味合いは別として、その記事とNSAの文書により、NSAのプログラムがどのように動いているかという情報がさらにわかった。 これらの記事を総合すれば、NSAがサイバー空間での行動から実世界の個人を追跡する方法がわかる。

電子的な活動から個人を見つける事は、データーネットワークを監視するために巨大な能力を必要とするが、技術的には簡単な事であり、 携帯電話のネットワークとインターネットを組合せた一連の技術で解決できる。

全ての携帯電話ネットワークでは、受信可能な携帯電話の大まかな位置を把握している。 これは携帯電話システムが動くために必要な物であり、もしあなたがどの基地局の範囲にいるかシステムが知らなければ、あなたへの呼出しを携帯電話に送る事はできない。 既にこの技術を用いて、NSAが大規模に物理的な監視を行っていることは知られている。

複数の携帯電話基地局を使った三角測量法を使えば、携帯電話会社は携帯電話の位置情報をより正確に知る事ができる。 これらは多くの場合、救急電話をした人など、特定の人に緊急サービスを提供するために行われている。 キャリアの協力による盗聴や、携帯電話と基地局間の通信の傍受により、NSAはこのデータを取得することができる。 以前公開されたNSAの最高機密文書によれば「GSM基地局は、目的のGSMハンドセットに関連した物理的な位置情報として使用することができる。」との事である。

無人飛行機を利用するこ場合、この技術はさらに強力になる。 Greenwald氏とScahill氏は、 「NSAは『仮想基地局』デバイスを備えた無人飛行機も配備しており、実際にこの基地局により、誰にも気付かれることなく、対象者のデバイスを強制的にNSAの受信機に接続させるニセの基地局を作ることができる。」 と述べている。

その無人飛行機は、周辺地域を飛行して毎回信号強度と推測距離を測定しながら、複数回基地局機能を提供することができる。 The Intercept誌の記事では、 「JSOCが使用するNSAの位置情報システムはコード名GILGAMESHとして知られており、そのプログラムでは、特別に作られたデバイスが無人飛行機に搭載されている。無人飛行機が周回している間そのデバイスにより、対象者が使用していると軍が考えているSIMカードや携帯電話の位置を特定することができる。」と述べている。

The Intercept誌の記事に関連した最高機密文書によれば、 「GILGAMESH(PREDATORに基づく能動的位置情報測定)の一部として、このチームは無人航空機(UAV)の運用に用いられている新しい位置情報測定アルゴリズムを開発するために高等数学を用いている。」との事だ。 これは、少なくとも高等数学の一部である。

Greenwald氏とScahill氏がいつも述べているように、対象者が携帯電話の電源を切ったり、仲間とSMSカードを交換したりすれば、このような追跡方法はどれも機能しない。 携帯電話のネットワークが無いイエメンの多くの地域では機能しない。 そのような理由で、NSAはインターネット上の行動をもとに人々を追跡している。

驚くほど多くのインターネットアプリケーションが位置情報を漏洩している。 あなたのスマートフォン上のアプリケーションは、GPS受信機を使って得た位置情報をインターネット上に送信する事ができる。 既に我々は、位置情報を測定するためにNSAがこのデータを収集している事を知っており、 また、多くのアプリケーションは、コンピュータが接続しているネットワークのIPアドレスを送信している。 もしNSAがIPアドレスと位置情報のデータベースを持っているのなら、ユーザの位置の特定に利用することができる。

以前公開されたNSAの最高機密文書によると、そのプログラムにはHAPPYFOOTというコードネームがつけられている。 「HAPPYFOOTは、漏洩した位置情報を用いたサービスや位置情報に用いたアプリケーションデータを集約、分析しIPの地理的な位置情報を推測するものである。」

このデータを得る別の方法は、あなたが関心がある地理上の地域から情報を集めることである。 Greenwald氏とScahill氏は 「JSOCにより使用されたGILGAMESHシステムに加えて、CIAはNSAのプラットフォームに似たSHENANIGANSとして知られているシステムを使用している。」と語っている。 以前は非開示だったその作戦では、検索範囲内になる全てのワイヤレスルーター、コンピューター、スマートフォン、他の電子機器などから大量のデータを吸い上げる無人偵察機についたポッドを利用する。

そして再び、FirstLockの話題に関連したNSAの文書によれば、「我々の作戦(VICTORYDANCE)により、イエメンの全ての主要な町のWi-Fiネットワークの位置情報のマッピングは完了している。」という事だ。 ハッカーの世界では、これはウォードライビングとして知られており、無人偵察機による方法もデモンストレーションされている。

スノーデン氏の文書からの別の話には、対象がログインしているWi-Fiネットワークの位置に基づいて個人の位置情報を判定する研究について述べられている。

この方法により、対象者の携帯電話の電源がオフになっていても、SIMカードが外されていたとしても、NSAは誰かを見つけることができる。 もし誰かがインターネットカフェにいて、彼を特定できるアカウントでログインしていれば、NSAはどこにいるのか判定できる。なぜなら、NSAはWi-Fiネットワークがどこにあるのか既に知っているからだ。

記事によると、Guhl氏は奥さんからのメールを読んでいた時、インターネットカフェにいた。 記事にはNSAがどのようにしてそのメールを盗聴したのかは述べられていないが、NSAは彼の居場所を調べるためにそのメールを利用した。

それは想像以上のものだ。 NSAの監視は頑強で、携帯電話およびインターネット上で個人を特定する幾つかの方法をほぼ確実に持っている。 例えば、NSAは個人のスマートフォンをハッキングし、位置情報をNSAに漏洩させることができる。

その技術が魅力的なものである程、重要なポリシーについて疑問に思うのは、FirstLookの記事でも議論した事だが、これら全ての情報がどれくらい信頼できるのかという事だ。 ネットワーク上の行動により実世界の誰か一人の位置を判定するNSAの能力の多くは、企業の監視能力に依存しているものだが、偽陽性がとても高くつくという致命的な違いがある。 GoogleやFacebookの取得した物理的な位置情報が間違っていた場合、自分でない他の誰かにそのレストランの広告を表示するかもしれないだけであるが、 NSAが取得した物理的な位置情報が間違っていた場合、無人飛行機は無実の人を攻撃するかもしれない。

国民が24時間365日トラッキングされる世界になりつつあり、国民が気に留めておくべきこの種のトレードオフが幾つかある。

The Intercept誌の記事
https://firstlook.org/theintercept/article/2014/02/...

NSAによる携帯電話の位置情報のトラッキング
http://www.washingtonpost.com/world/...

NSAの文書
http://www.washingtonpost.com/blogs/the-switch/wp/...
http://apps.washingtonpost.com/g/page/national/...

NSAによる漏洩を起こしやすい携帯電話アプリのトラッキング
http://www.nytimes.com/2014/01/28/world/...

無人飛行機によるウォードライビング
http://blogs.computerworld.com/16767/...

Hassan Guhl氏の暗殺
http://www.washingtonpost.com/world/...

NSAのiPhoneハッキング
http://leaksource.files.wordpress.com/2013/12/...

NSAの監視と企業の能力
https://www.schneier.com/essay-467.html

このエッセイは以前、TheAtlantic.comに掲載された。
http://www.theatlantic.com/technology/archive/2014/...


秘密のITシステムのリスク

世界の空港で手荷物のスキャンに使われているRapiscan 522 B X線システムのセキュリティについて多くのことがわかってきた。 Qualys社の脅威分析部長のBill Rios氏は製品を1つ調達し、これを調査し、 今週あったKaspersky Security Analyst Summitで調査結果を報告した。

その報告は予想していたよりも恐ろしいものだった。 「このシステムは既にサポート切れのWindows 98上で動作しており、アカウント情報を暗号化せずに保管しており、銃や刃物など禁制品.bmp画像を乗客の手荷物画像に挿入することにより検査官を教育期間中、担当者の対応をテストするための『危険な画像の表示』と呼んでいる機能が含まれている。 弱いログインにより、悪者がニセの画像をX線画像に重ねて表示してしまう可能性がある。」

驚くべきことだが、あってはならない事だ。 これらは、電子投票専用マシンやコンピュータ化された医療機器や自動車車載コンピュータなどに見られるのと同じ種類の問題である。 基本的にITシステムが、秘密裏にもしくは公的な精密検査を受けずに設計され使われる場合には常に、結果はとても恐ろしいものになる。

私はこれまで、このような秘密のセキュリティシステムを「不明瞭さによるセキュリティ」であるとして非難してきた。そして今、語気を強め「不明瞭さが危険を意味する」と言いたい。

セキュリティはプロセスであり、 ソフトウェアにとっては、プロセスは繰り返しである。 防御側がセキュアなシステムを構築し、犯罪者、ハッカー、研究者などの攻撃側がセキュリティを破ろうとし、また防御側がシステムを改良するといった事の繰り返しである。 これが、全ての大量流通するソフトウェアのセキュリティを改良する方法であり、 我々が取りうる最良の策なのだ。 そして、公的な検査を受けられないままのシステムでは、そのようなプロセスは閉ざされてしまう。 その結果、Rapiscan 522 B X線システムのようになるのだ。

賢いセキュリティエンジニアは、自分のシステムを公的な検査を受けるようにする。それが改良するための方法だからだ。 本当に酷いエンジニアは自分の悪い設計をセキュリティであるとして隠すだけでなく、セキュリティ上の欠陥を過小評価しようとする。 Rapiscanが、研究者が評価したのは古いソフトウェアであり、新しいものではこれらの問題は修正されているとか、その攻撃は理論上のものであり実際は成功しないとか、研究者自体に問題があるとか主張するのを待っている。 そのような対応はこれまでにも多く見てきた。

http://www.wired.com/threatlevel/2014/02/...
http://www.darkreading.com/attacks-breaches/...

他のシステムの危険性
https://www.usenix.org/legacy/events/evt08/tech/...
https://www.usenix.org/legacy/event/evt07/tech/...
http://www.cs.berkeley.edu/~daw/papers/sarasota07.pdf
https://spqr.eecs.umich.edu/papers/b1kohFINAL2.pdf
http://www.autosec.org/pubs/cars-usenixsec2011.pdf

不明瞭によるセキュリティ
https://www.schneier.com/crypto-gram-0205.html#1

セキュリティはプロセスである
https://www.schneier.com/essay-062.html


今日のNSA脆弱性攻撃

Der Spiegel誌により公開されたNSAの最高機密文書の一つは、NSAのTailored Access Group(TAO: カスタムの不正アクセス技術のグループ)による「脆弱性の組込み」に関する50ページにもなるカタログだ。 個々の脆弱性の組込みは多岐に渡り一度に見せられたので、その多くはセキュリティのコミュニティでも議論された事がないものだった。 (そして、ページは画像だったので見出しや検索が面倒なのだ。) これを見やすくするために、私のブログで「今日の脆弱性攻撃」を公開している。

* SIERRAMONTANAは永続的なDNTに対するマルウェア、OSのアップグレードや、ルーターのコンパクトフラッシュの物理的な置き換えを含む全ての置き換えでも残り続ける。
https://www.schneier.com/blog/archives/2014/01/...

* STUCCOMONTANAも永続的なDNTに対するマルウェアで、OSのアップグレードや、ルーターのコンパクトフラッシュの物理的な置き換えを含む全ての置き換えでも残り続ける。
https://www.schneier.com/blog/archives/2014/01/...

* CTX4000はポータブル型の無変調連続波(CW)レーダーユニットであり、異なるネットワークされていないターゲットシステムを解析するのに使われる。主に、VAGRANTやDROPMIREの収集に使われる。
https://www.schneier.com/blog/archives/2014/01/...

* LOUDAUTOは、旧型の高周波音声の反射に基づくシステムであり、レーダーや基本後処理を用いて対象空間の音声を提供する。
https://www.schneier.com/blog/archives/2014/01/...

* NIGHTSTANDは802.11無線LANに対する能動的な脆弱性攻撃で、ペイロードや脆弱性攻撃データを対象空間へ配信するためのツールである。NIGHTSTANDは主に、有線による対象へのアクセスが不可能な作戦の場合に使用される。
https://www.schneier.com/blog/archives/2014/01/...

* NIGHTWATCHは、プログレッシブスキャン(インターレースでないVAGRANT信号)を処理するために特別に設計されたハードウェアを搭載するPCである。
https://www.schneier.com/blog/archives/2014/01/...

* PHOTOANGLOは、CTX4000のリプレースとなる新しいレーダーシステムのための、NSAとGCHQによる共同開発プロジェクトである。
https://www.schneier.com/blog/archives/2014/01/...

* SPARROW IIは、BLINDDATEツールが動作する組込みコンピュータシステムである。 SPARROW IIは、GPSや複数の無線ネットワークカードを追加するためのミニPCIスロットを持つWLAN情報を収集する統合システムである。
https://www.schneier.com/blog/archives/2014/01/...

* TAWDRYYARDは高周波リトロリフレクタービーコンであり、大まかな物体の位置を示すレーダー機能を提供する。
https://www.schneier.com/blog/archives/2014/01/...

* GINSUは、CNEのインプラント、KONGUR、PCIバスハードウェアインプラントを持つ対象システム、BULLDOZERと連携するソフトウェアアプリケーションである。 この技術は、(BULLDOZERのインストールのために)少なくとも一つのPCIコネクタを持つ、Microsoft Windows 9x、2000、2003、XPやVisitaの動作する任意のデスクトップPCをサポートしている。
https://www.schneier.com/blog/archives/2014/01/...

* HOWLERMONKEYはカスタム開発された短距離、中距離の組込み高周波トランシーバーである。 これは、完全なインプラントのためにデジタルコアと組み合わせて使用される。
https://www.schneier.com/blog/archives/2014/01/...

* IRATEMONKは、マスターブートレコード(MBR)の置き換えにより、ハードドライブファームウェアの実行権を得ることにより、デスクトップやノートPCで実行されるソフトウェアアプリケーションである。 この技術はRAIDハードウェアのない、Western Digital、Seagate、Maxtor、Samsungなど様々なハードディスクからブートするシステムをサポートしている。 サポートしているファイルシステムはFAT、NTFS、EXT3、UFSである。
https://www.schneier.com/blog/archives/2014/01/...

* JUNIORMINTは典型的な組込みシステムで使われる小さいプリント回路基板(PCB)の中でも、大きさの制約を受けるシステムで使われる小さいフリップチップモジュール(FCM)でもパッケージ可能なデジタルコアである。
https://www.schneier.com/blog/archives/2014/02/...

* MAESTRO-IIは、大きさの制約のあるインプラントで使われるミニチップモジュール(MCM)にパッケージできる小型のデジタルコアである。
https://www.schneier.com/blog/archives/2014/02/...

* SOMBERKNAVEは、インターネット通信を独立したターゲットに変換するWindows XPの無線ソフトウェアインプラントである。 SOMBERKNAVEは、TCPのトラフィックを指定されたプロセスから使われていない組込みの802.11ネットワークデバイスによる2番目のネットワークから不正にルーティングするソフトウェアインプラントである。 インターネットに接続された無線LANアクセスポイントが存在する場合に、SOMBERKNAVEにより、OLYMPUSやVALIDATORが802.11を経由して無線LAN接続されていない対象コンピュータから通話するために用いられる。
https://www.schneier.com/blog/archives/2014/02/...

* SWAPは、OSがロードされる前に、マザーボードのBIOSおよびハードディスクのHost Protected Areaをを脆弱性攻撃し、定期実行権を得るソフトウェアアプリケーションである。 この技術は、FAT32、NTFS、EXT2、EXT3、UFS1.0のファイルシステムを持つWindows、Linux、FreeBSD、Solarisの動作するシングルおよびマルチプロセッサシステムをサポートしている。
https://www.schneier.com/blog/archives/2014/02/...

* TRINITYはサイズの制限のある場所の埋め込みに使われるMulti-Chip Module(MCM)の中にパッケージングされる小型のデジタルコアである。
https://www.schneier.com/blog/archives/2014/02/...

* WISTFULTOLLは、Windows Management Instrumentation(WMI)呼び出しとレジストリの取得を用いて、対象からフォレンジック情報を植え付けたり取得するUNITEDRAKEおよびSTRAITBIZARREのプラグインである。
https://www.schneier.com/blog/archives/2014/02/...

* SURLYSPAWNはデータ高周波リトロリフレクターである。 これにより、レーダー内に現れた場合、(キーボードや低いデータレートのデジタルデバイスなどの)ターゲットデータを送信することができる。
https://www.schneier.com/blog/archives/2014/02/...

* DROPOUTJEEPは、特定のSIGINT機能を提供するためのモジューラー機能アプリケーションを統合したApple iPhoneのために埋め込まれるソフトウェアである。 デバイスからファイルを送受信する機能、SMS、連絡先リスト、音声メール、位置情報、マイク、カメラのキャプチャ、基地局情報などを取得する機能がある。
https://www.schneier.com/blog/archives/2014/02/...

* GOPHERSETは、GSM SIMカードのために埋め込まれるソフトウェアである。 このソフトウェアは対象者の携帯電話機の連絡先リスト、SMS、通話履歴を取り出し、SMSによりユーザが指定した電話番号に送信する。

* MONKEYCALENDARは、GSM SIMカードのために埋め込まれるソフトウェアである。 このソフトウェアは、対象者の携帯電話機の位置情報を取り出し、SMSによりユーザが指定した電話番号に送信する。

ブログ上のコメント欄で、脆弱性攻撃の動作原理、発見方法、2008年にカタログに掲載されてからの想定される攻撃の改良など、自由に議論してほしい。

これは明らかなのに多くの人々が混乱しているようだが、私はこれらの文書を暴露した人物ではない。 Der Spiegel誌がこれらの文書を12月に公開し、 全ての国家諜報機関、インターネット上の犯罪シンジケート、テロ組織が既にこのページを熟読している。 これらのページについて、きちんと見ておらず議論していないのは我々の方だ。 それが、これら毎日の投稿のポイントなのだ。

読者と私とのこの問題に関する良い意見交換がここに掲載されている。
https://www.schneier.com/blog/archives/2014/02/...


先月の米国会議員団へのNSAに関する概要説明

1月のある朝、国会のLofgren議員、Sensenbrenner議員、Bobby Scott議員、Goodlatte議員、Mike Thompson議員、Amash議員の6名と1時間を密室で過ごした。 他にスタッフはおらず、公開もされず、彼らだけだ。 Lofgren議員および数名はNSAの代表であり、私からNSAについて概要説明をするように求められた。 Lofgren議員は、NSAは議員団の活動の手助けをしておらず、NSAはスノーデン氏のドキュメントを閲覧できるLofgren議員に、NSAが行っている事を議員団に説明するようにと語った。 もちろん、私はその会合の詳細を述べるつもりはないが、公平で興味のある事については述べようと思う。 国会がNSAぬきで情報を得るのにそのように苦労し、私に尋ねる必要があったという事は、非常に奇妙に話だ。 私は本当に米国がうまく行くように監督していきたいのだ。

この会合の超現実的な部分として、議員団は公開される事の無い最高機密情報について私に語るように求めたので、機密情報隔離施設(SCIF)で本会合を行うように進言した。 そこで問題なのは、私はその閲覧権限を持たない者なので、SCIFへ入る事が許されていなかった事だ。 その結果、我々は一般の会議室で会合を行った。

これは本当に異常な事だ。


ニュース

犯罪者は携帯電話により人をトラッキングし始めた。 「Brooklynの地主であるMenachem Stark氏が誘拐されプロの殺し屋に殺されたという話をさらに裏づけるように、警察筋によると、ニューヨーク市警が彼の行動をトラッキングするためと見られる、車の下に取り付けられた携帯電話を発見した。」とPost紙は伝えている。 おそらく犯人は、携帯電話のGPS情報をどこかのデータベースに送信する「子供のトラッキング」アプリの一種をインストールしたようだ。
http://nymag.com/daily/intelligencer/2014/01/...
http://nymag.com/daily/intelligencer/2014/01/...
http://nypost.com/2014/01/12/...

1890年代後半のEdward Elgarの暗号パズル
http://nautil.us/issue/6/secret-codes/...

PowerLocker(もしくはPrisonLocker)と呼ばれるBlowfishを使った新しい種類のマルウェアが出現した。
http://arstechnica.com/security/2014/01/...

NTPを使った新しいタイプのDDOS攻撃
http://www.tomsguide.com/us/...

アドウェアベンダーはChromeの拡張を購入し不正利用しており、これは良い開発ではない。
http://arstechnica.com/security/2014/01/...

私が組込みシステムのセキュリティリスクに関するエッセイを公開した一週間足らずで、スパムメールを送る冷蔵庫に関するProofpoint社の報告書が出るのは話がうますぎる。 私はブログには書いていないので、懐疑的だ。 さらにはArs Technica社がこの報告書に関する良い分析をしており、これも懐疑的だ。 いずれのケースも、遅かれ早かれ起きるだろう。
http://www.proofpoint.com/about-us/press-releases/...
http://arstechnica.com/security/2014/01/...

Tim Harford氏が消費者市場操作に関して講演した。
http://timharford.com/2014/01/...
これは、市場操作とそれに対する防御のセキュリティの話だ。 現代の市場システムに関する私の心配事の一つは、市場操作を行う者の技術が向上している事だ。 我々は彼らの市場操作に対して技術的に、もしくは法律的に禁止するような良いセキュリティを必要としている。

携帯電話会社がどのようにしてあなたを丸裸にするかに関する記事
http://www.salon.com/2014/01/10/...

これは、所得の不公平さをセキュリティの問題として特徴付けている興味深い方法だ。
https://www.schneier.com/blog/archives/2014/01/...

これは違法コピーだが、私の著書「Applied Cryptography」がオンラインで閲覧可能になった。これを見ながら、20年も経ったのかと驚いた。
https://skydrive.live.com/view.aspx?...

Microsoft社はWindows XPのサポートを終了しようとしている。 問題は、ほとんどのATMがWindows XPを使っている事であり、 MicrosoftがXPのセキュリティアップデートを終了すれば、これらのATMの脆弱性は増大するという事だ。 しかしながら、これらのATMのうち幾つがパッチをきちんと当ててきているかという事を質問しなければならない。
http://www.microsoft.com/en-us/windows/enterprise/...
http://www.businessweek.com/articles/2014-01-16/...
https://www.schneier.com/essay-468.html

EUはデータ漏洩について罰金を引き上げるかもしれない。
http://www.bbc.co.uk/news/technology-25825690
これはとても理にかなっている。 罰金が企業の振る舞いを変えることを意味したものならば、単に罰金を払うことをせずに、企業は罰金を払わなくて済むようにすることがスマートなビジネス戦略であると考える必要がある。

これは恐怖の政治に関するとても良いエッセイだ。
http://opinionator.blogs.nytimes.com/2014/01/19/...

Scott Savage氏とDonald M. Waldman氏による興味深い論文:「オンラインプライバシーの価値」
http://papers.ssrn.com/sol3/papers.cfm?...
売り上げは人々のプライバシー情報を捉えるための最適なポイントではないが、興味深い分析だ。 行われている時点で、他の多くの要素があるが、プライバシーは最も顕著なものであるとは言えない。

トゥンガラガエル(学名:Physalaemus pustulosus)のオスはメスを惹き付けるために啼くが、その鳴き声は同時に水中で波を発生させ、それがライバルのオスのカエルやカエルを食べるコウモリに盗聴されてしまうというサイドチャンネル攻撃
http://www.wired.com/wiredscience/2014/01/...

これは攻撃者が、対象のメールアドレスやTwitterアカウントを変更するため他人のGoDaddyドメイン登録を乗っ取ったという、とても興味深いソーシャルエンジニアリングの話で、とても複雑な攻撃だ。
https://medium.com/p/24eb09e026dd
認証のためにクレジットカード番号を使うという間違った使用方法のために、Matt Honan氏はハッキングされた。
http://www.wired.com/gadgetlab/2012/08/...

ある中国人の男がファーストクラスの航空券を購入し、翌日また来れるように継続してチケットを翌日に変更することにより、一年間ほど毎日空港のラウンジで無料で食事をするために使った。 1年の期限が近づいた時に、彼はそのチケットをキャンセルし返金してもらった。
http://www.thestar.com.my/News/Nation/2014/01/24/...
https://news.ycombinator.com/item?id=7177306
そのような事件により、これに対する対策を行う価値があるのかは私にはわからない。

1971年の素晴らしいソーシャルエンジニアリング攻撃
https://www.schneier.com/blog/archives/2014/02/...

Steven J. Murdoch氏とRoss Anderson氏による今年の金融暗号カンファレンスにおける興味深い論文「多くのペイメントシステムが失敗しているセキュリティプロトコルと証拠」
http://www.cl.cam.ac.uk/~sjm217/papers/fc14evidence.pdf
http://www.lightbluetouchpaper.org/2014/02/05/...

Cory Doctorow氏がデジタル著作権保護(DRM)と法律に関する歴史をうまく紐解いており、そこではいかにDRMソフトウェアがエンドユーザのセキュリティに反しており、この問題を認識するために法律を信じてきていたか推測している。
http://www.theguardian.com/technology/blog/2014/feb/...

新しい国家によるスパイ活動マルウェア 「The Mask」がKaspersky Labsにより発見された。 これは、少なくとも7年間発見されずに動いていた。 これまで通り、我々はマルウェアの開発者を攻撃対象リストから推測することができる。 スペイン語圏の攻撃対象者に普及しており、モロッコに感染者が多く、ジブラルタル海峡がリストにあることから、スペイン国家がこれに関与していた疑いがある。 私の想像では、関与国は非難を避けるために興味のないターゲットにも感染させ始めたが、マルウェアは発見されていないと思っているようだ。 もし本当にスペインならば、次はフォークランド諸島のサイトを攻撃し、モロッコとは別のツールを使うだろう。
http://www.kaspersky.com/about/news/virus/2014/...
http://www.wired.com/threatlevel/2014/02/mask/
http://arstechnica.com/security/2014/02/...
http://threatpost.com/...


NSAのニュース

NSAは毎日、数億ものSMSメッセージを収集している事は皆が知っている。 さらに、幾つかのコードネームがわかってきた。 DISHFIREは、SMSメッセージとそのメタデータを収集するNSAのプログラムであり、 PREFERは、SMSメッセージとメタデータを自動的に解析するNSAのプログラムである。 この資料によると、これらのプログラムは単にSMSメッセージだけでなく、連絡先情報、SIMカードの変更、不在着信、国外でのローミング情報、旅行日程、口座取引情報なども含まれている。
http://www.theguardian.com/world/2014/jan/16/...

NSAの大量情報収集プログラムの効果について疑問をなげかける2つの報告書が公開された。 1つめは左翼系のNew American Foundationのものであり、
http://natsec.newamerica.net/nsa/analysis 2つめは右翼系のHoover InstituteのMarshall Erwin氏によるものだ。
http://justsecurity.org/2014/01/13/...

NSAは情報流出を目的としたスマートフォンアプリケーションからデータを収集している。
http://www.nytimes.com/2014/01/28/world/...
http://www.theguardian.com/world/2014/jan/27/...
http://www.propublica.org/article/...

このスノーデン氏の暴露の一覧、
http://www.lawfareblog.com/...
NSAの資料の3つの一覧と、3つのサマリはとても良い。
https://www.eff.org/nsa-spying/nsadocs
https://www.aclu.org/...
http://cryptome.org/2013/11/snowden-tally.htm
http://www.mindmeister.com/326632176/nsa-css
http://www.tedgioia.com/nsa_facts.html
https://nsa-observer.laquadrature.net/
また、この全ての暴露の一覧のパロディのウェブサイトは素晴らしい。
http://nsa.gov1.info/

自分でニセのNSAプログラムを作る事ができる。
http://divergentdave.github.io/nsa-o-matic/
また、ニセのTAOのマルウェアのようなものを作ることができる。
http://ternus.github.io/nsaproductgenerator/
悲しい事に、NSAは自分の研究開発ロードマップを作るのにこれらを使うだろう。


米国プライバシーと国民の自由に関する監視委員会(PCLOB)によるNSA大量監視への非難

オバマ大統領がNSAの監視についてスピーチした理由がようやくわかった。大統領はPCLOBを前に進めたかったのだ。

PCLOBは、NSAによる大量監視が違法であり終了させる必要があるという報告書を公開した。

この報告書や大統領のスピーチなど、私がイライラするのは、これらが携帯電話の通話記録の一括収集にフォーカスしている点だ。 通話、メール、連絡先リスト、友達リスト、SMS、携帯電話の位置情報、請求書、カレンダーなど数多くの一括収集が行われており、 我々が本当に必要なのはこれに関する法律と法廷での意見だ。 しかしながら、携帯電話の通話記録が最初に漏洩したので、みなが注目してしまっているのだ。

http://www.nytimes.com/2014/01/23/us/politics/...
http://www.washingtonpost.com/world/...
http://epic.org/2014/01/...
https://www.eff.org/deeplinks/2014/01/...

報告書
https://www.eff.org/files/2014/01/23/...

通話記録の収集
http://www.washingtonpost.com/world/...

メールの収集
http://www.theguardian.com/world/2013/jun/27/...

アドレス帳の収集
http://www.washingtonpost.com/world/...

お友達リストの収集
http://www.washingtonpost.com/world/...

SMSの収集
http://www.theguardian.com/world/2014/jan/16/...

ケータイ位置情報の収集
http://www.washingtonpost.com/world/...

カレンダー情報の収集
http://www.washingtonpost.com/world/...

通話記録の収集
http://www.theguardian.com/world/2013/jun/06/...


ベルギーの暗号学者へのNSAとGCHQによるハッキングの告発

ベルギーの暗号学者 Jean-Jacques Quisquaterのコンピュータがハッキングされ、NSAあるいはGCHQが非難されているという数多くのニュースが報道されている。 たくさんの仮説や誇張があるが、その多くはGCHQがベルギーの電話会社 Belgacom を攻撃したという事に関するものだ。

私はそれについて懐疑的だが、攻撃についてでなくNSAあるいはGCHQの関与についてである。 私は、多くの学術的暗号研究には実質的な価値はあまりなく、Quisquater氏は広く使われている暗号について実践的な暗号解析には関与していなかったと思う。 学術的な暗号学者へ国家の少人数によるのスパイを過去のものにはしたくないが、これはありきたりの犯罪のようだが、誰にもわからないだろう。しかし、奇妙な事件が起きたものだ。

http://www.standaard.be/cnt/dmf20140201_011
http://www.infosecurity-magazine.com/view/36732/...
http://www.pcworld.com/article/2093700/...
http://www.theregister.co.uk/2014/02/03/...
http://beta.slashdot.org/story/197675

GCHQによるBelgacomの攻撃
http://www.spiegel.de/international/europe/...
http://www.spiegel.de/international/world/...


シュナイアー氏のニュース

私は2月24日から28日の間、サンフランシスコで開催されるRSAカンファレンスで講演する。
http://www.rsaconference.com/events/us14

今月のはじめに、MITでNSAに関する講演をした。 ビデオも公開されている。
http://bigdata.csail.mit.edu/node/154
上のページのビデオが見れない時は、このリンクを試してほしい。
https://d1baxxa0joomi3.cloudfront.net/...


IPアドレスとユーザデータのカナダCSECによる監視分析

スノーデン氏の文書に関する最新の話題はカナダからのもので、そこではCSEC(通信収集と諜報を支援するカナダの政府機関)が旅行者を追跡するために空港のWi-Fi情報を使用していたと主張している。 これは真実ではない。 この最高機密資料が示しているのは、ネットワーク上で長い時間かけて得られたユーザのIDのデータベースを用いて異なるIPネットワークを特定するための実証プロジェクトである。 これは、単に空港のWi-Fiセッションを盗聴するよりも、実際には興味深い話ではない。 Boingo公衆無線サービスと通信キャリアなら、とても簡単な事だからだ。

その「スパイ技術開発者」というカッコイイ肩書きを持つ研究者は、作成された「カナダの特別な情報ソース」から2週間分のIDデータで調査を開始した。 (資料には、あるインターネット企業にデータを提出するよう強制したとか、あるインターネットサービスを盗聴し不正にデータを入手したなどとは書かれていなかった。) これはおそらくFacebookのログインのように、ネットワーク上で特定の時に見られるユーザIDのリストだったのだろう。 (FacebookやGoogleやYahooや他のサイトは、結局SSLをデフォルトで使うようになったため、このデータの取得は難しくなった。) 彼らはQuova社(現 Neustar社)のIPアドレスの位置情報のデータベースも持っていた。 基本的に疑問なのは、彼らが特定できたのはどのような種類の無線LANホットスポットのIPアドレスだったのかという事だ。

空港は、ホテルやオフィスで得られるIPアドレスとは違う。 そして実際に、それがどのようなデータに見えるかという事だ。 空港のネットワークにおいて、個人のIDは一度だけ、とても短い時間現れる。 ホテルでは個人のIDは数日間現れるだろうし、 オフィスではIDは、一般に9時から5時、月曜から金曜の間現れるといった事だ。

とても基本的な事だ。 ここで彼に興味があるのは、この種類のデータをどのように利用するかだ。 この資料では2つの利用例を示している。 最初のは明らかなもので、監視対象となるIDを知っている場合、対象が空港やホテルにいる際に警告を出すというものだ。 資料では「対象や敵が飛行機での移動やホテルを対象としている」ことを指摘しているが、現実的には、対象が旅行中であることを知るのに使われるだろう。

2つめの利用例は、ある時間にある地域を訪れたと知っている人を特定するために利用するというものだ。 資料にあった例は、誘拐だ。 犯人が田舎にいた場合、身代金を要求する電話をそのような地域からかけるリスクをおかすことはできない。 そうする代わりに、犯人はそのような電話をするために都会まで出てくるだろう。 犯人はそのような方法では特定されないように、架空名義やプリペイドの携帯電話を使用する。 しかしながら、インターネット上で特定できるスマートフォンを持っているとすれば、そのデータを用いれば犯人を見つけることができるかもしれないのだ。 即ち、犯人は、身代金要求の通話をした同じ事時刻にその場所で使われた唯一のIDであり、他の時には使われていないものかもしれないのだ。

2つめの利用例のテスト結果は成功ではあったが、とても時間のかかるものだった。 この資料は、NSAの研究のトライアルとしての協同研究環境(CARE: Collaborative Analysis Research Environment)と呼ばれるような研究機関の技術的あるいは予算的な促進をしているように思える。 CAREによりこのような犯人の発見が「2時間から数秒」に短縮されたとしている。 この資料は2012年5月のものなので、恐らく研究は終了し、今は実運用に入っているだろう。 我々は、このような特定の研究プロジェクトが実運用に入ったかはわからないが、CSEC、NSAやFive Eyesといった残りの諜報機関はこの種のデータの興味深い利用を行っているだろう。

スノーデン氏の文書は2013年の6月のものなので、話題の中心はデータ収集についてであり、 このデータがどのように解析され利用されたかは、あまり報告されていない。 携帯電話の位置情報データベースは、とても魅力的な分析プログラムと関連付けられるだろう。 このデータに対して行われた幾つかの解析は、少なくとも収集することよりも重要であり、国民が反応する内容だろう。 この種の解析は、全ての収集されたデータに対して行われている。 異なる幾つかのデータベースが、様々な目的のために相互に関連付けられている。 この資料の元となる幾つかの参考文献を見てみると、これらは私がまさに探している事だった。 そして、ユビキタス監視社会の悪影響を考える際には、今回の話題が我々が考えなければならない事なのだ。

この問題の記事
http://www.cbc.ca/news/politics/...

CSECの資料
http://www.cbc.ca/news2/pdf/airports_redacted.pdf

NSAの携帯電話位置情報データベース
http://www.washingtonpost.com/world/...

NSAの携帯電話位置情報解析プログラム
http://www.washingtonpost.com/blogs/the-switch/wp/...

Microsoft社は同種の研究を行っており、特許取得している
http://cseweb.ucsd.edu/~apitsill/papers/hotnets10.pdf
http://patft.uspto.gov/netacgi/nph-Parser?...



CRYPTO-GRAMについて

CRYPTO-GRAMは、1998年よりコンピュータやその他のセキュリティに関してサマリ、分析、洞察、解説を提供している無料月刊ニュースレターです。ニュースレターの購読、購読解除、送付メールアドレスの変更は<http://www.schneier.com/crypto-gram.html>のウェブページから可能です。過去のニュースレターもまた同じURLで提供しています。

CRYPTO-GRAMは、一部でも全体でも、有用だと思われる同僚や友人に自由に転送できます。 CRYPTO-GRAMの出版印刷の許諾も、これが完全な形で印刷される限り許可します。

CRYPTO-GRAMはBruce Schneierにより執筆されています。 Bruce Schneierは国際的に知られているセキュリティ専門家であり、Economist誌では 「セキュリティ導師」と呼ばれています。 「Schneier on Security」、 「Beyond Fear」、 「Secrets and Lies」、 「Applied Cryptography」など12の書籍、 数百に渡る記事、エッセイ、学術論文の著者です。 影響力のあるCRYPTO-GRAMニュースレターや自身のブログ 「Schneier on Security」は25万人以上の人に読まれています。 専門家として国会で証言したり、テレビやラジオなどで頻繁にゲストとして招かれ ており、幾つかの政府委員会の委員を受嘱したり、 刊行物で引用などされています。 Schneierは、Berkman Center for Internetおよび Society at Harverd Law Schoolのフェロー、 New America FoundationのOpen Technology Instituteのプログラムフェロー、 Electronic Frontier Foundationの理事メンバ、 Electronic Privacy Information Centerの顧問、 Co3 Systems, Inc.の最高技術責任者を務めています。 詳細はホームページをご覧ください。<http://www.schneier.com>

CRYPTO-GRAMは個人的なニュースレターです。ここで示された主張は必ずしもCo3 Systems, Inc.によるものではありません。

Copyright (c) 2014 by Bruce Schneier.

お問い合わせ

この翻訳に関するお問い合わせは<cryptogramjp@skydesk.jp>までお送りください。

このページのトップへ