10月12日、米国のインターネット不正ソフトや詐欺等の犯罪阻止窓口であるIC3(Internet Crime Complaint Center)およびFBIは、「モバイルフォン・ユーザーはモバイル端末機器を標的とする最近時に検出された2種を例にあげ『不正プログラム(malware)』およびそのセキュリティ侵害(compromise)を阻止すべく具体的な安全対策の理解を深めるべきである」と題するリリースを行った。
この問題は従来から問題視されているインターネット詐欺の応用形であることには間違いなく、手口自体につき目新しさはない。(筆者注1) しかし、携帯インターネット端末であるモバイル端末の利用時に得られる個人情報を、いとも簡単に入手する手口はさらに今後のリスク拡大から見て無視しえない問題と考える。
その意味で、今回紹介するIC3の警告内容の正確な理解は、わが国のモバイル・ユーザーの急増に対応して、改めて警告を鳴らす意義があると考え、簡単まとめた。特に、IC3やFBIのリリース文は極めて簡単な内容で、リスクのありかが良く読み取れない部分が多い。このため、筆者なり調べ、米国「VDCリサーチグループ社」の解説「The Attack Surface Problem on Mobile Platforms」等で補足した。
なお、筆者は10月26日付けの“WIRED”で、セキュリティ研究者であるマーカス・ジェイコブスン(Markus Jakobsson)のFBI等の警告の不十分性を指摘するレポート「Cybercrime: Mobile Changes Everything - And No One's Safe」を読んだ。詳しい解説は省略するが、要するに従来のPCと携帯端末のハッカーによるセキュリティ・リスクの差異の現実を踏まえ、FBIの警告の無効性を指摘する一方で、具体的防御策を提供するものである。詳しい解析は改めて行うつもりであるが、取り急ぎ紹介する。
１．不正プログラム“Loozfon”や“FinFisher”とは
(1)“Loozfon”の手口
自宅でEメールを送信するだけで、いとも簡単に稼げる儲け話である。これらの広告アルバイト話は“Loozfon”に繋がるように設計されたウェブサイトにリンクされる。この不正アプリケーション・サイトは被害者たるユーザーの携帯端末からアドレス帳の通信の詳細や感染した電話番号を盗み取るのである。
(2)“FinFisher”の手口
モバイル端末のコンポーネント機能を利用した乗っ取りを可能とするスパイウェアである。異端モバイル端末にインストールされると、目標の位置の如何を問わず遠隔制御やモニタリングを可能とする。被害者たるユーザーが特定のウェブサイトを訪問したり、システムのアップデートを仮装したテキスト・メッセージを開くとスマートフォン情報をいとも簡単に第三者に送信させてしまう。
以上の2つは、犯人が違法な釣り言葉を用いて、ユーザーのモバイル端末を極めて危険な状態に陥れる不正プログラムの例である。
２．ユーザーのモバイル端末をこれら犯罪者から保護するためのヒント(IC3サイトから引用)
①スマートフォンの購入時、デフォルト・セッティング(初期値設定)を含む当該端末の特性を正確に理解する。違法プログラムによる端末の点や面への攻撃(attack surface)を最小化するため不要な端末機能は「オフ」に設定する。
このモバイル端末(プラットホーム)の点や面への攻撃問題(Attack Surface Problem on Mobile Platforms)とはいかなることをさすのであろうか。わが国における個人だけでなく企業活動の脆弱性問題に関する詳しい解説は皆無と思われる。 (筆者注2)
したがって、ここで米国「VDCリサーチグループ社」のサイトブログ「The Attack Surface Problem on Mobile Platforms 」を一部抜粋し仮訳する。
○デスクトップとの比較では、現時点でモバイル・プラットホームの脅威に関する問題提起数は少ないが、このモバイル端末の増殖のペースはネットワークの終点に関する伝統的な定義を変更し、スマートフォンやタブレット端末に対する危害攻撃の魅力的目標に変えた。これら端末製造メーカーは各デバイス販売の連続的なリリースの中で、ハードウェア上に埋め込んだ安全性を高め続けているが、一方でサイバー犯罪者は従来の戦術の矛先を変え、モバイル・プラットホームやアプリケーションにおける欠陥を利用するのに夢中になっている。
○法人のIT化における別の意味の複雑化は、今日のモバイルOS景観の断片化で見て取れる。リサーチ・イン・モーション（Research In Motion：以下、RIM）のBlackBerry OSはがんばっているが、我々のデータ解析結果では企業は平均して2つのOSをサポートしている。これは、安全性端末の管理の観点からみて問題であり、事実、マルチプラットホーム・モバイル端末環境を効率的に管理することとともに複雑性を増している。
○犯罪者の気持ちから見ると、個人のEmail、コンタクト情報、パスワード、その他保有する個人や法人の情報、高価値の潜在的な金融情報の宝の山等のすべてが攻撃対象となる。(1)フィッシング詐欺(パスワードやその他の個人情報を盗める)、(2)位置GPS情報の追跡、(3)金融不正プログラム等は違法かつ潜在的な犯罪活動を可能にする。
○常に新しい技術プラットホームは新たな脆弱性を導く。モバイルによる解決策の投資から得られる戦略的優位性を認識する挑戦的な組織は、ビジネスの改革を阻害することなしに資産を守り運用効率を維持する。
モバイルを利用した労働環境が広がり続けるとき、これらは不可欠の広がりを続けるであろう。
○モバイル端末の共通的特性は、複数の接続の選択肢であり、このことは法人のネットワークにただ1つの最終評価として現れる従来のPCと異なる。強靭なネットワーク接続に関する選択肢は、モバイル端末を極めて強固なものとし、データの検索と情報の共有は痛みを伴わない。しかしながら、法人内で配備されるとその点はモバイル端末に一連の脅威を与える。
○結論
モバイル・プラットホームへの点や面への攻撃問題の正しい理解は企業にとってモバイル労働環境を拡大するうえで極めて重要な点である。前進的かつ多層防御アーキテクチャー(defense–in-depth architecture) (筆者注3)に基づく脅威に関する向きと大きさのベクトルの開発が必要である。
「将来の証拠(future proof)」となるモバイル技術プラットホームの最大の保護策は、個人的なIT教育だけでなく今日のモバイル・エコシステムに必要とされる継続的に成熟度を持ちかつ保護するための強力なソフトウェア解決に向けた武装化である。
②モバイル端末はそのタイプに従い、OSは可能な暗号化手法を持つ。このことは紛失や盗難時にユーザーの個人情報を保護すべく利用できる。
③モバイル端末の市場の拡大に伴い、ユーザーはアプリケーションを公表した開発者や企業の評価・説明内容を注意深く見なければならない。すなわち、ユーザーはアプリケーションをダウンロードするとき、あなたが与える許可内容を見直し理解する必要がある。
④パスコードは、あなたのモバイル端末を保護する。これは端末の内容を保護する物理的な第一レイヤーにあたる。パスコードとともに2,3分後スクリーンロック機能を可能にする。
⑤あなたのモバイル端末につき破壊工作の保護手段を得ること。
⑥位置情報(Geo-location)を入手させるアプリケーションに十分注意すること。このようなアプリケーションはいかなるところでもユーザーの位置を追跡する。このアプリケーションはマーケティングにも使えるが、他方でストーカーや強盗を引き起こす犯罪者も利用が可能である。
⑦あなたの端末を知らないワイアレス・ネットワークへ接続することは不可である。これらのネットワークは、あなたの所有する端末と合法的なサーバーの間で授受される情報を捕捉する危険なアクセスポイントでありうる。
⑧スマートフォンは、最新版のアプリケーションとファームウェアを求める。ユーザーがこれを怠るとデバイスをハッキングしたり、セキュリティ侵害を引き起こす。
*******************************************************
(筆者注1)筆者ブログ： 2009年4月17日「米国IC3やFinCEN等によるインターネット犯罪や不動産担保ローン詐欺の最新動向報告」、2012年9月29日 「米国FBI、IC3が「レヴェトン」名を名乗るランサムウェアの強制インストール被害拡大の再警告 」等を参照。
(筆者注2) 「Attack Surface Analyzer」は、あるシステムの導入前と導入後のシステム設定を比較して、攻撃を受ける恐れのあるコンポーネント、モジュール、サービスなど（Attack Surface：攻撃面）を洗い出すツールをいう。
MicrosoftやSANS Internet Storm Centerなどのブログによると、同ツールではソフトウェアをインストールする前とインストールした後のシステムの状態を比較し、そのソフトウェアがシステムにどんな影響を与えるか、どんなリソースを利用するか、どんな変更を加えるのかをチェックできる。これにより、そのソフトウェアをインストールすることによる「Attack Surface」（攻撃可能な面や点）の変化を検証できるという(ITmediaの解説、 「窓の杜」の解説例。
(筆者注3)多層防御（ Defense in depth）は、情報技術を利用して、多層(多重)の防御を行う手法と、人員、技術、操作を含めたリソースの配分までを決定する戦略までを含んだものである。これは、情報保証(Information Assurance、IA)戦略の一種である(Wikipedia から抜粋)。なお、“defense–in-depth architecture”に関する専門的解説例としては、例えば情報セキュリティの調査・研究および教育に関する大手専門組織であるThe SANS Instituteの「多層防御―不法侵入の阻止(Intrusion Prevention - Part of Your Defense in Depth Architecture?)」、米国連邦エネルギー省「Control Systems Cyber Security:Defense in Depth Strategies」等があげられる。
********************************************************
Copyright © 2006-2012 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.
コメント
コメントを投稿