Mavericksがリリースされる中、10月の国内のセキュリティ関連の話題としては、9月に公になったIEのゼロデイ脆弱性を使った「水飲み場型攻撃」が、8月に日本の中央省庁や重要インフラなどを対象にすでに行われていたことが明らかになったほか、Androidアプリの96%に何らかの脆弱性があるとのレポートが公開されました。Reader/Photoshopなどのソースコードが盗まれたとの報道や、Googleが表現の自由のためのツールを3種類発表したことなどが注目を集めました。GoogleはほかにもGoogleのものではないオープンソースのソフトウェアの脆弱性についても発見者に報奨金を与えるとの方針を発表しています。米NSAの盗聴問題に関連した話題も引き続き数多く報道されました。Schneier氏が具体的な手法を解説しています。日本でも「遠隔操作ウイルス」事件の犯人が身元を隠すために使ったことで一躍知名度を上げたTorですが、NSAをはじめとする諜報機関はもちろん、司法機関などがそのユーザーの身元を探ることに関心を持つのは当然と言えば当然。ESR」の既知の脆弱性を使ってFBIがユーザーの身元を特定しようとしていたことについては今年8月にもすでに報道されています。Schneier氏によれば、FBIについては何も言及していないものの、NSAも同じくFirefoxの脆弱性を使っており、さらに米国内の通信事業者による「強力な協力」があることを明言しています。具体的な攻撃の流れは次のようになります。(fingerprint)」を生成してデータベースに登録しておきます。次に、インターネットのバックボーンのキーとなる場所にQUANTUMと呼ばれる秘密のサーバーを設置し、攻撃対象の(身元を暴きたい)Torユーザーがアクセスしようとしている正規のウェブサイトが応答する前に、そのサイトになりすましてFOXACIDと呼ばれるサーバーに誘導します。いわゆる「man-in-the-middle」攻撃を行なっているわけです。FOXACIDサーバーは通常のアクセスでは何もしないのですが、FOXACIDタグと呼ばれる特別なURLでアクセスすると、ブラウザーの脆弱性を使ってマルウェアを感染させます。このFOXACIDタグの見た目は普通のURLなので疑われることはないとしています。http://baseball2.2ndhalfplays.com/nested/attribs/bins/1/define/forms9952_z1zzz.htmlのようなものと紹介されています(このURLは単なるサンプルで実在しません)。仕組みを知ってしまえば、驚くほど高度な技術が使われているわけではないですが、通信事業者の協力を前提にしている上、実際に協力している事業者が存在している点は見逃すことのできないところです。来年8月に施行されることになりました。来年8月7日までに事業者は住民登録番号を収集しないようにシステムを変更しなければならなくなり、またすでに収集済みの住民登録番号は2016年8月6日までにすべて破棄しなければなりません。なく、当該企業や組織の代表者、CTOなどの役員クラスに対しても最大5億ウォンの罰金が科せられることになります。今回の法律では、住民登録番号の一部を活用する代替策が認められており、住民登録番号12桁のうち、生年月日を示す先頭の6桁、その次の性別を示す1桁はそのまま使うことができ、それに続く出生届を受け付けた役場の住所を示す4桁は郵便番号などに代えることができます。このような代替策を採用したとしても、現状の住民登録番号を使っているシステムがその番号をどのように使っているのか、100%理解していなければ改修は難しく、これが事業者にとって大きな負担となっているようです。韓国では10年以上も前からユーザー登録の際に住民登録番号を使うことが当たり前だったわけですから、古いシステムや大規模なシステムであれば、完全に理解している人などいないという状況は当然のようにあるでしょう。来年の8月までにどれだけの事業者が間に合うのか、また、間に合わない事業者が少なくないことが容易に想像できることから、当局がどのような対応をとるのか、興味深く見守りたいと思います。世間の注目を集めている大きなニュースに便乗した偽メールでマルウェアに感染させる手法は以前からよくあります。これに関して、米Commtouchは同社のブログを通じて、CNNなどのメジャーなメディアが報道した重大ニュースに便乗したマルウェアが登場するまでの平均時間が22時間であるとの調査結果を発表しました。個々の事例については、今年3月の新しいローマ法王の選出に関連したものは55時間後、4月のボストンマラソンの爆弾テロ事件については27時間後との数字が紹介されています。ブログでの紹介で、かなりあっさりとしているので、個々のデータについて調べた結果を公開してもらいたいところです。正人CSIRT研究家、フリーライター、翻訳家、コンサルタント。最近は主に組織内CSIRTの構築・運用に関する調査研究や文書の執筆、講演などを行なっている。JPCERT/CC専門委員。