ネットエージェント株式会社 オフィシャルブログ

技術を駆使して侵入せよ!

新入社員が入社して1週間がたちました。
弊社では研修の一環として、弊社サービス「ゲームセキュリティ診断サービス」に関連したチャレンジを実施いたしました。

弊社で製作したゲーム上で、「アチーブメント(実績)」を多く回収できるよう自身の技術を駆使してもらう、という内容です。

「アチーブメント(実績)」とは、例えば「ゲームで100ポイント獲得した」などのように、なんらかの条件をクリアすることにより得られる「証(あか)し」のことをいいます。

(参考:アチーブメント とは - コトバンク)
今回このチャレンジ用に用意したゲーム内にも、アチーブメント(実績)を用意し、アチーブメント(実績)回収までの時間と、アチーブメント(実績)毎に割り当てられている点数の総得点によって、チャレンジの結果を評価します。

このアチーブメント(実績)は、普通にゲームをプレイしてしまうと、時間が大変かかってしまったり、通常の操作では獲得できないものもあるため、「チート行為」と呼ばれるゲームシステムの弱点をつき通常では行えない行為を行って、いかに効率よくアチーブメント(実績)を回収していけるかが鍵になります。

このチャレンジによって、弊社で提供しております「ゲームセキュリティ診断サービス」において必要な、攻撃者によって狙われる可能性のあるゲームの弱点さがしができるかどうかが分かるのです。

チャレンジの流れは、
1日目:個人でチャレンジ
2日目:力を合わせて、英知を結集しみんなでチャレンジ
終了後:結果を元に、講師から解説
という流れで行いました。


新入社員に、チャレンジの感想を聞いてみました!

【Q】チャレンジは、どのように進めていきましたか?
【A】オリジナルのゲームだったので、まずそのゲームがどのような内容なのか、どう進行していくものなのか、などを調査し、クリア方法を考えました。
その調査・考案に半日くらいかかり、その後にミッションであるアチーブメントの回収を行いました。
そもそもアチーブメントってなんだろうというところからスタートだったので、四苦八苦しました。

【Q】2人での共同チャレンジはどうでしたか
【A】お互いの進め方、気づく点が違ったので、それぞれのアイディアや方針を組み合わせることによって効率よく進めることが出来ました。
人と一緒に作業することによって、自分が気づけない点を知ることが出来るのでよかったです。

【Q】チャレンジに挑戦してみてどうでしたか?
【A】試験ということでプレッシャーを感じながらの作業でしたが、とても楽しかったです。今回は、あと一息のところでクリアできなかったので、ぜひ再チャレンジしたいです。

新入社員諸君、取材回答ありがとうございました。そして研修お疲れ様でした。

その他、おまけエピソードとして、只今試験中
この記事に載せているイラストは、今回のチャレンジ中ということを社内に伝えるために用意しました。ゲームシステムに侵入する試験、ということで、どこかに侵入しようとしているネコさんのイラストです。

大変ありがたい事に多数のお申し込みをいただいていて、6月までお待ちいただくこととなってしまっている「ゲームセキュリティ診断サービス」ですが、優秀な新入社員も入社して、さらに皆様にお役立ちできるサービスとして展開してまいりますので、今後ともよろしくお願いいたします。

WindowsXPが残ってしまった 明日からどう守るべきか

■ WindowsXPの永久ゼロデイ攻撃が始まる
 WindowsXPのパッチの無償提供が終了した。多額の費用をかけてWindowsXPの特別サポートをしてもらっているところは別として、組織の規模が大きくなればなるほどサポート切れのWindowsXPが残ってしまっているのではないであろうか。ネットワークに接続しない、USBメモリを利用しないなどの措置がされていれば少しは安心できるかもしれないが、インターネットに接続した状態で残ってしまっているケースも十分考えられる。IMG_3290パッチが提供されない以上深刻な脆弱性が発見されると、そのマシンが廃棄されるまで脆弱な状態になる。脆弱性が残ってしまう状態とは、その脆弱性がつかいやすいものであれば容易に外部からの攻撃が成功し、そこを踏み台として他のパッチのあたっているマシンやサーバーまでも攻略する足がかりとなる。残ったマシンだけの問題でなくネットワーク全体の問題となりうるのである。

■ どこが弱点となりうるのか?
 今後修正されない脆弱性が発覚する可能性が高く成功率の高い攻撃対象となりそうなのは以下の箇所である。
  • Office 2003 Word Excel Outlook powerpoint
  • Internet Explorer
  • メディアプレイヤー
  • サポートされなくなった無償提供されているソフト
もしこれらの後継バージョンに脆弱性があった場合、今つかっているソフトウェアにも脆弱性があり、調査対象となっていないと思って間違いないだろう。

■ 何から守るのか
 攻撃自体から守る事と攻撃者から守る事では対策も変わってくる。攻撃自体から守るには、ウイルス対策ソフトで検知されないなど技術的な限界もあり、現状は攻撃側優位で、防御方法は限界に達している。数撃ちゃ当たる方式で、WindowsXPのマシンが残っていることを前提として攻撃するケースでは、本当にWindowsXPが残っていると攻撃が成功してしまう。
  • WindowsXPを対象とした攻撃から守る
  • WindowsXPを狙ってくる攻撃から守る
無差別な攻撃と違い標的とする攻撃をする者から守るには、攻撃対象にならないようにする、攻撃者が途中で諦めるにようにするなどの対策をする余地があり、脆弱であっても攻撃を成功させないという点では優位に立ちやすい対策が取れる。標的型攻撃では、相手の情報が重要でネットワーク構成、利用しているOSなどの情報は攻撃する上で重要な情報となる。

■ WindowsXPでインターネットにアクセスしてはいけない
 もしWindowsXPでインターネットにアクセスすると、相手のサーバーや広告会社、世界各国に広がる広告ネットワークにその組織はWindowsXPが残っていることを知らしてしまうことになる。WindowsXPユーザ向けに広告なども打てるわけなので、WindowsXPユーザ向けに攻撃コード入りの広告を打つことも可能である。WindowsXPをつかっている組織向けに、標的型攻撃メールを打つということも有効な攻撃手段となりうる。WindowsXPをつかっているように見えない組織であれば、WindowsXPでアクセスした場合のみ発動する攻撃にはかからなくなのだが。

■ 対策はどうしたらいいのか?
 最良の対策はマシンごとWidown8.1に乗り換えることである。乗り換えられない場合は、インターネット接続、LAN接続を切り、USBメモリを使用禁止に、データの移動はCD-RやDVD-Rをつかう。また、ソフトウェアの制限ポリシーによって実行可能なプログラムを現在インストール済みのものだけに制限する。これで感染経路や感染拡大経路を最小化しよう。これらに加えて、完璧に行ったつもりでも組織内にWindows XPが残ってしまうことも考えて、WindowsXPでのインターネット接続を検知したり、攻撃者にその情報を渡さない方策もあり、自社でも対策方法をリリースしました。OnePointWall( http://www.onepointwall.jp/ )により、社内からXPでインターネットに接続しているユーザを探したり、XP向けの攻撃コードをかわすことができるケースも出てくると思います。

入力情報を送信するIME

IMEの通信解析で利用されたSSLの解析技術に関して

NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明します。

検証解析環境

650CSP
<SSLによる暗号化通信を解析できる環境>


解析の結果、日本語入力の文字列が、SSLで暗号化され送信されていることがわかりました。

Baidu IME , Simejiでは、全角入力の場合のみ情報が送信されています。
クラウド入力Offの場合でも入力文字列を送信していました。
パスワードなど半角入力のみの場合は送信されていません。クレジット番号や電話番号も変換しなければ送られません。

Counter SSL Proxyを使って得られた結果を見てみましょう。

baidu
<Baidu IMEの場合>

py= 変換確定文字列
uid= Windowsのコンピューターのセキュリティ識別子SIDです。
app= 使用しているアプリケーションのパス名です。 Chromeなどの場合ユーザ領域に保存されるため、Windowsのユーザ名が送られるケースもあります。
version= Biadu IMEのバージョン

simeji

<Simejiの場合>
Simejiの場合は、クラウド入力OFF、ログ情報を送信がOFFの場合でも送信されます。

py= 変換確定文字列
uid= UUID による個別端末識別子
mobile= 使用しているデバイス名
app= 使用しているアプリケーションのパッケージ名
version= Simejiのバージョン

機能を誤解されやすいクラウド入力に関しては、設定でOFFにできます。
例としてはこのようになります。

cloud入力

< Simejiのクラウド入力 >



Simejiに関しては、アプリのリスク評価をsecroidが自動で評価していますのでご参考までに。
Simeji(日本語入力キーボード) | Secroid

報道を受けてBaidu IME, Simejiの方も改善すると思います。利用されている方はもう遅いのでバージョンアップを待ち、改善されるまで使用は控えたほうが良いかもしれません。

Counter SSL Proxyや、
スマートデバイスアプリ解析ツールが、
導入されている企業ではこのような通信を容易に発見できます。まだ導入されていない方はぜひともご検討ください。

追記:
12月26日中に Baidu IMEはクラウド入力をONできないバージョンを配布。作成日時は 12/25 21:59 でした。Simejiを6.6.2にアップデートした場合は、クラウド入力、ログの出力がされないことを確認しました。Simejiは、クラウド入力、ログ機能をディフォルトOFFに、ログ機能はバグが治らなかったのか、ONにしても送信されなくなっていました。Simejiのコード署名時間は 12/26 21:12:08でした。Google Playでの公開時間は23:55ごろでした。
アップデートされていない場合は早急にアップデートしましょう。Secoirdの評価も不明な部分も少なくしました。Simeji(日本語入力キーボード) | Secroid こちらも合わせてご覧ください。
当ブログはあくまで各個人の視点で書かれており、
記事の内容についてはネットエージェント株式会社の公式見解とは異なる場合があります。
記事検索
月別アーカイブ
QRコード
QRコード