office氏タイーホ(1)
珍しく前回の更新からあまり間を空けずに新しい記事を書く気になった。なにせ前回の記事を書くきっかけとなったT氏から「何でオレにわかるネタ書かへんのや!いてもうたろか、ワレ!」と怒られたので(若干誇張)、恐縮しつつ今回はT氏ご所望の「機動戦士ガンダム0080 ポケットの中の戦争」レビューを書こう… と思ったら、書かざるを得ないネタが出てしまった。ここではレビューネタを中心にして、以前のようなニュースツッコミ日記はなるべくやらないつもりでいたのだが、この事件ばかりは取り上げないわけにいかん。てなわけでレビューは次回。
実を言えば、私の職業上の立場からすれば、このニュースについてここでこっそり書くってのもあまり褒められた話じゃない気がしなくもない。しかし別に守秘義務に違反したり会社の不利益になったりモラルに反することは述べないつもりなので勘弁してください。まあ、以下で書くような話のほとんどは、私のようなセキュリティ業界のごく端っこに引っかかってる程度のヤツでさえ知ってるようなもんだし、そうでなくてもネットでちょっと調べりゃわかるネタなんで、別に心配するほどでもないか。
さて、昨日の昼頃から結構大きく報道されている「京都大学研究員が不正アクセス禁止法で逮捕」という事件。一般ニュースでは「ハッカーが悪いことやって個人情報を盗んだ」というようなニュアンスで報じられているし、コンピューターと縁のない人はたぶんそう捉えるだろう。まあそれが全面的に間違いとは言えないものの、ある程度知識のある人間にとっては、ちょっとそれはどうよ、と思える部分も多々ある。そこで、私の視点からこの事件をまとめた上で、どのような問題があるのかを分析したい。もちろん私の知識なぞ屁のようなもんなのは間違いないので、以下の記述をあまり鵜呑みにはされぬよう… ま、そんな迂闊な人いないか。
・事件の経緯・発端
事件の表面的な発端は、昨年11月8日の深夜。渋谷の某クラブで開催されたセキュリティ関係者のイベント(大規模オフ会と言ってもいいかもしれない)「A.D.2003」でのことである。各種のセミナーやデモンストレーションが行われる中で、かねてよりさまざまなWebサイトの問題点(脆弱性)を指摘してきたことで名高い「office(河合一穂)」氏の講演も行われた。office氏はA.D.2003運営スタッフの一人でもあった。
そこでoffice氏は、社団法人コンピュータソフトウェア著作権協会(ACCS)の、相談や情報を受け付けるサイト(著作権・プライバシー相談室 ASK ACCS)で用いられている投稿フォーム用CGIスクリプトに問題があると指摘。ある単純な手法を使うことにより、投稿フォームからASK ACCSへ相談などを送った人の名前・メールアドレス・投稿内容など、本来は部外者に閲覧されるべきでない個人情報1200人分が取得できてしまう、と発表し、その具体的な手法を公開した。
その講演で使用されたプレゼンテーション資料(PowerPointファイル)の中に、実際に情報を取得した際のWebブラウザーをキャプチャーした画像が含まれており、その画像には、4人分の個人情報がモザイク等の処理もされずにはっきりと表示されていた。そしてこのプレゼン資料は会場のファイルサーバー上に置かれ、しばらくの間A.D.2003参加者が誰でもダウンロードできる状態に置かれていたのである。
・事件の経緯・究明
講演直後office氏は、証拠として実際に取得した個人情報を添付した上、メールでACCSにこの問題を通知。翌9日にメールを受信したACCSは、それが間違いなくASK ACCSサイトから漏洩した個人情報であることを確認、ただちにサイトを閉鎖し問題の修正と原因の調査を開始した(12日に会見)。ACCSは以前よりネットでの著作権やプライバシー保護を強く訴えてきたが、こともあろうに自前のプライバシー相談を受け付けるサイトから個人情報が漏れてしまうという失態。ACCSは大きく面目を失うこととなった。
ただし、ごく普通のことだが、ASK ACCSサイトはACCS自身がサーバーを所有してWebページを管理しているわけではない。サーバーはホスティング会社「ファーストサーバ」からのレンタル、実際にサイトを作成し、運営しているのは「ヨセフアンドレオン」という会社である。問題となるCGIスクリプトは元々ファーストサーバから配布されたものであった。ヨセフアンドレオンは3年前からこのCGIスクリプトを使用してASK ACCSサイトを構築したのである。つまり、ASK ACCSの開設当初から3年の長きにわたってこの問題が存在していたことになる。
サーバーのアクセスログを調査した結果、外部から個人情報ファイルへのアクセスは4回あり、これはoffice氏によるものとが確認された(後にこれと矛盾する話が出てくるのだが…)。ただし、10月6日以前のログは残っておらず、開設時からこの時点までの間に、もし誰かが同じ問題点を発見して個人情報を取得していたとしても、それを知る方法はない。ACCSの報告をまとめるとだいたい以上のような話になる。
ところが、報告書に未だ出ていない怪しげな話が明らかになってくる。報告書を鵜呑みにすれば、単にファーストサーバが穴のあるスクリプトを配布してしまい、ヨセフアンドレオンはそれを知らず使っていた、ということになる。もちろん迂闊の誹りを免れない話だが、逆に言えば「迂闊」程度ですむことだ。しかしファーストサーバは昨年7月に、特に明確な理由を示すことなく新しいCGIスクリプトを配布し、ユーザーにそのスクリプトの使用を要請して旧スクリプトのサポートを停止したのである(新スクリプトでは当該問題は修正されているのだが、それも発表されず)。だが、ヨセフアンドレオンはASK ACCSサイトのスクリプトを更新せず、サイトを問題がある状態のまま放置していた。
ファーストサーバによるスクリプト更新は、問題点に気づいて修正したからではないのか?そうだとすれば、ユーザーに対して現行のスクリプトでは問題があると通知し、危険を回避するために新しいスクリプトを使用するよう強くユーザーに勧告すべきだったのではないか?そうすればヨハンアンドレオンもスクリプトを変更し、ASK ACCSの穴は塞がれ、今回の漏洩は未然に防がれたのではないか… だが、現在に至るもファーストサーバからは問題の発生についても経緯についてもいっさいの発表がない。ヨセフアンドレオンは… えーっと、なんだあのサイト(笑)。
…うわ、長くなりすぎた。事件の経緯の後半と、その分析はまた明日ということで。つづく。
**04/02/06 02;17修正:上記記事で「ヨセフアンドレオン」を「ヨハンアンドレオン」と誤記しておりましたので修正いたしました。誠に申し訳ありません。関係者一同にご迷惑をおかけしました…って、ここ見てる関係者はまずいないと思いますが。いやそれはともかく、頭ん中でいつの間にか「ヨハン」になってたんです、すみませんー。
参考
一般報道
CGIの欠陥突き情報引き出した京大研究員逮捕(朝日)
HPから個人情報を不正入手、京大研究員を逮捕(読売)
ACCSの個人情報流出で京大研究員を逮捕(毎日)
不正アクセスの京大研究員逮捕 イベントで手法公開(産経)
一般報道:続報
著作権協サイト、別の2人も京大研究員と同手法で侵入か(朝日)
ネット界も困惑? ACCS不正アクセス事件(毎日)
技術系報道
ACCS個人情報流出で京大研究員逮捕(ITmedia)
CGIの欠陥を突く不正アクセスで国立大学研究員逮捕(CNET Japan)
ACCSの個人情報漏えい問題、京大研究員を不正アクセス禁止法違反で逮捕(INTERNET Watch)
コミュニティ
【ネット】"文化庁長官の甥" 著作権保護団体HPに不正アクセス、京大研究員逮捕★2(2ちゃんねる・ニュース速報+)
OFFICE、タイーホさる!!(2ちゃんねる・セキュリティ)
ACCS事件でoffice氏逮捕(スラッシュドット)
セキュリティホールmemoメーリングリスト
セキュリティホールmemo
connect24メーリングリスト
当事者
Tea Room for Conference(office氏掲示板・閲覧のみ)
ACCS
ASK ACCS
ACCS運営ホームページのセキュリティ問題について
ACCS運営ホームページのセキュリティ問題について・続報
「ASKACCS個人情報流出事故調査委員会による『事故調査報告書』」
緊急のご報告
ファーストサーバ(ASK ACCSのサーバーを提供しているホスティング会社)
ヨセフアンドレオン(ASK ACCSサイトの運営会社)
office氏逮捕を受けたヨセフアンドレオンの声明…なんだ、この厨丸出しの文は…
A.D.200X
参考資料
不正アクセスの禁止等に関する法律(IPA)
不正アクセス禁止法逐条解説(東北大学)
刑法 威力業務妨害(金沢大学)
| 固定リンク | コメント (1) | トラックバック (0)


最近のコメント