ネットエージェント株式会社 オフィシャルブログ

『CTFチャレンジジャパン2012』の優勝チーム「AgentⅣ」にインタビュー

先日開催されました、

CTFチャレンジジャパン2012
http://ctf-challenge.jp/

ctf2012s


にて優勝致しました弊社代表+若手技術者で構成されたチーム「AgentⅣ」
に今回の大会についてインタビューしました!
-------------------------------------
『CTFチャレンジジャパン2012』 とは?
ホワイトハッカーの育成を支援する目的で、開催された CTF (ハッキングコンテスト)です。
国が支援するCTFとしては国内初の公式大会ということで、業界の注目を集めました。
-------------------------------------



Q.予選と本戦はどのような内容だったのでしょうか?

A.予選は、用意された4つのサーバーを攻撃して「鍵」を獲ってくるという内容でした。
  獲得した鍵の数で勝敗が決まります。鍵が同数の場合は、最後の鍵を先に手に入れた
  チームが勝ちになります。
  本戦は、海外のハッキング競技会「DEFCON CTF(Capture The Flag)」の予選に近い
  内容でした。
  「バイナリ解析」「サービスアタック」「フォレンジック」「暗号解読」「パケット」
  「トリビア」の6つのジャンルごとに4つの問題が用意されていて、各チームは、それぞ
  れのジャンルのうち最初に開示されている「100点問題」から解いていきます。100点問
  題を解かないと次の200点問題が開示されない形式になっているため、100点問題を最初
  に解き、次に開示された200点問題を解き、300点問題を開示し・・・という風に1問ずつ解い
  ていく形です。
  ただ、サービスアタックというジャンルだけ、200点の問題を解くと、サービスアタックの300点
  問題が開示されると同時に、他ジャンルの200点問題が一斉に開示されるといった具合に、
  解いた問題と同じ点数の他のジャンルの問題が開示されるというボーナスがあったのは
  驚きました。

Q.「AgentⅣ」はどういったジャンルを解かれたんですか?

A.トリビアとフォレンジックは全問解くことが出来ました。ちなみに、トリビアはかなり珍しい問題が
  出されました。検索しても中々答えが見つからないようなものでした。
  例えば、ファミコン向けのプログラムを解析しないと解けない問題なんかもありました。トリビア
  を解けるチームは全問正解、解けないチームは正解0問と、かなり差が出るジャンルでしたね。

Q.海外の CTFと比較して、今回の大会はどうでしたか?

A.大会を全体的に比較して、「日本らしさ」をすごく感じました。例えば、問題の公開に関してです。
  海外の場合、問題の内容やその解法、解説が公開されることが多いのですが、今回の大会の
  場合、ほとんど公開されていないようです。予選では参加者が問題を公開しないよう、秘密保守
  契約を結ぶなどの徹底ぶりに驚きました。
  また、本戦会場の雰囲気も全然違いました。海外のハッキング競技会「DEFCON CTF」は一言
  で言うと「お祭り騒ぎ」という雰囲気で、一般客も観戦できるのですが、今回の大会は一般客は
  見学できなかったり閉鎖的でした。そうした面について、非常にカッチリしていると感じました。

Q.過去のCTF出場の経験は活かせましたか?

A.予選の内容は新しいものでしたが、本戦はメジャーな形式だったし、傾向も似ていたので、いつ
  もCTFに出場している人たちはどんどん解いていた印象でした。CTFは、経験や過去問などを
  通じて、自分がどれだけ様々な問題に触れてきたかで、問題を解くための知識や引き出しに
  大きな差が出ます。
  新しい攻撃手法やファイル形式に関する問題も出ますが、過去問をアレンジした問題も多数出
  題されます。過去のCTF大会で出た問題を知っていれば、「あの問題と同じ発想じゃないか」と
  気づくことが出来ます。そういった意味で、過去様々な CTF 大会に出場し、数多くの問題を解い
  てきた経験はかなり活かすことができました。

Q.過去の経験から、問題の解き方のノウハウなどはお持ちなんですか?

A.解き易い問題って、問題自体にストーリーがあるんですよ。この問題はこうなんだろう
  なって思わせるヒントが散りばめられているんです。
  例えばあるフォレンジックの問題では、問題文に「まずはこの人に聞いてみるといい」
  と、ある名前が書かれています。その後、問題ファイルである、ディスクイメージを開
  いてみるとその名前のファイルがあり、その内容を見ると次のステップに進めるヒント
  が書かれている、という具合です。こういったストーリーがある問題は、解き易いとい
  うのは経験としてあります。

  逆に解きにくい問題は、上記のようなストーリーが一切ありません。
  思わせぶりなヒントもないし、そもそも問題を見つけることが出来ないなんていうもの
  もありました。そういう問題は、時間がかかるうえにまったくわからない、と良いこと
  が無く、やる気もそがれてしまうので、深追いせず、後回しにします。

Q.ずばり、今回の勝因は?

A.問題に詰まっても、メンバーに相談して先に進めたり、解けない部分を他の人にバトン
  タッチしたり、協力して取り組めたところでしょうか。チームワーク力ですかね。
 
Q.役割分担のようなものがあったのですか?

A.今回は、全員それぞれのジャンルの問題を解き進めていくというやり方で進めました。
  基本的に、問題に詰まらなければ同じジャンルを解き続ける、という形です。ただ、場
  面場面でコードを作る作業だけ、他のメンバーに担当してもらう、など柔軟な動きがス
  ムーズに行えたと思います。

Q.最後に今回の大会を通じて、得たものはありますか?

A.どの CTF でもそうですが、大会を通じて新しい知見を獲得することができる点は大き
  な意義があると感じます。例えば、今回は問題を通じてバーコードの仕様を学べました。
  普通に過ごしていたら中々学ぶ機会のないことも、CTFを通して知るきっかけを得られ
  ます。それが日常生活や仕事の場面で有用であれ、あまり馴染みの無いものであれ、
  新しい知見を得られることは CTF の楽しみの1つだと思います。
  それと同時に、他の技術者と競い合うことで、やはり自身の実力不足を痛感することも
  できます。次にまたチャレンジしたい!その時までに勉強しよう!というモチベーショ
  ンに繋がりますよね。

  さっそく、次の休みを使って解けなかった問題にチャレンジしようと思っています!


AgentⅣの皆様ありがとうございました!

遠隔操作ウイルスによる冤罪被害に遭わないようにするためには

今、話題になっている遠隔操作ウイルス事件の恐ろしさは、遠隔操作あるいはCSRFと呼ばれる
Webサイト上の 欠陥の悪用によって、無関係なユーザーのコンピュータ上で犯罪が行われ、その
罪を着せられるという点にあります。

今回の件で明らかとなったように、罪を着せられたユーザーが、みずからの無実を証明することは
非常に困難 であるため、ユーザーにとっては、これまで問題視されてきたプライベート情報が盗み
見られ、悪用されること 以上のインパクトがあります。

遠隔操作ウイルスは、どこかのサイト等を経由することもありますが、その名前のとおり必ず犯人
からインター ネットを経由して命令を受け取り実行します。また、CSRFと呼ばれるWebサイト上の
欠陥を利用する場合でも、 必ず犯人の用意した罠サイトや罠リンクなどを経由するため、通信上
には犯人の作成した罠へのURLが流れる ことになります。

ネットエージェントは、ネットワーク上を流れる通信を記録・解析できる自社開発の装置を用いて、
遠隔操作 ウイルスを含む様々なウイルスソフトや悪意のある通信の調査や同定を実施し、これら
の発見に関する研究を 行って参りました。

上記の装置は、本来は企業官公庁向けのものとなりますが、パケットを記録する機能のみは個人
でも利用できる 形で無償で提供しています。

PBH-Probe


http://www.packetblackhole.jp/pbhc.html

万が一、自身の通信内容についての証拠が必要となった場合でも、その時間のパケットデータさえ
解析する ことができれば、必ず真実がわかるはずです。

取得したデータの解析や法人内でのご利用に関しては製品版をご利用下さい。
http://www.packetblackhole.jp/

Android アプリ 個人情報流出を把握するまでの背景をご紹介!

さて、昨日こちらのブログでも遅ればせながら紹介させていただいた
Android アプリからの個人情報流失の件につきまして、本日はアプリ
の内容ではなく、そのアプリがどのような経緯で「問題あり」と判定
されたのか、その背景の部分をご紹介したいと思います。

問題のアプリは、インストールしたユーザーの電話番号や住所、メール
アドレスを入手し、アプリのユーザー間で閲覧できる、という内容のもの
だったのですが、こうしたアプリの仕様や流出した個人情報の件数といった
具体的な情報を特定(評価)するのに要した時間は、わずか1分程度でした。

では、どのように?
その答えは至ってシンプルです。

(タイミングよく、昨日リリースした)secroid(セキュロイド)を使って
アプリを検索し、評価者モードでアプリの内容を確認したのです。

※secroid って何?という方は本記事の末尾にございます
 「secroid(セキュロイド)の概要」をご参照下さい。

さて、この secroid には評価者モードという別サイトが存在しており、
そちらを利用すると、そのアプリに含まれるクリティカルコードやパー
ミッション情報などの詳細を確認することができます。

今回、問題となったアプリを secroid の評価者モードで確認してみると、
アプリ内には外部のデータベースへ接続する仕様があり、個人情報が流出
する仕組みであることが一目瞭然で分かりました。

以上が、今回の件が明るみに出た背景となります。

現在、secroid 評価者モードはスマートフォンアプリを紹介する記事を
書かれるレビュアーの方を対象に個別にご案内させていただいております。(無償)

ご利用を希望される方は下記の宛先までお問い合わせ下さい。

お問い合わせ先
サービス事業部 コンサルティング営業グループ
Email:forensics@netagent.co.jp
担当:堤
―――――――――――――――――――――――――――――――――――
■secroid(セキュロイド)の概要

一言で言えば
「Android 用アプリに内在する、ユーザーにとっての危険性を自動的に
チェックし、その情報を公開する Web サイト」になります。
このサイトを一般ユーザーにご利用いただくことでユーザーが安心して
Android を利用できる環境に貢献することを目的としています。

★secroid リリース情報
http://www.netagent.co.jp/news20121011.html

★secroid サイト URL
http://secroid.jp/
当ブログはあくまで各個人の視点で書かれており、
記事の内容についてはネットエージェント株式会社の公式見解とは異なる場合があります。
記事検索
月別アーカイブ
QRコード
QRコード