Black Hat Japan 2008 特別インタビューダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(2)

　2008年10月9日に開催されたBlack Hat Japan 2008 の基調講演を行ったダン・カミンスキー氏にインタビューを行った。

　今回の来日講演の目的、DNS脆弱性発見からパッチリリースまでの顛末、そして今後のセキュリティの将来像について、株式会社サイバーディフェンス研究所のラウリ・コルツパルン氏が話を聞いた。

─

ラウリ :
　DNSの場合、ネットワークをテストするテストツールがありました。一般的な管理者にとって、万人に影響を及ぼす、この手の大規模かつ昔から利用されているプログラムの脆弱性に対する解決策は、何になるのでしょうか？

ダン :
　2008年7月8日に、主要なプラットフォーム向けのパッチが一斉にリリースされています。パッチも有効な解ではありますが、完璧ではありません。理論的には、パッチをくぐり抜ける攻撃もあり得ます。しかし、完璧だけが答えではありません。

　7月の時点で可能だったパッチの適用以上の対策は、ややこしくて複雑でした。もっとストレートで分かりやすい何かが必要とされているのです。全体のプロセスが実用主義ベースで固められており、人々に合理的に期待できるのは、常にパッチを書き続け、攻撃手法を記したガイドを世に出さないことくらいです。我々はよりよい答えに近づくためにベストを尽くしていますが、未だ到達できていません。

ラウリ :
　信頼できるDNSを利用するにはどうすればいいのでしょうか？

ダン :
　最低でも7月のパッチをDNSサーバに適用することです。プラットフォームを問わず、パッチがあるならば適用の必要があり、パッチがなければそれは不要です。

　また、パッチの適用の有無にかかわらず、ファイアウォールやネットワークゲートウェイの配置状況を確認する必要があります。パッチを適用したとしても、大問題に発展しうる原因はいくつも転がっています。

　修正を試みても、修正ができない場合もあります。アプライアンス化された製品が少なくないためです。

　ですから、7月時点でのゴールはテストでした。バグを発見し、パッチを書き、パッチを適用するという過程の最後の2つは、つまらない過程です。大昔のコードを読んで修正したいという物好きな人は、まずいないでしょう。

　セキュリティの専門家として、私が安全を守らなければならない顧客の中には私の母もいます。彼女は何とかインターネットを利用できているレベルです。彼女が利用するISPが、わたしの仕事の成果に基づいてパッチを適用してくれなければ、彼女のインターネットでの安全は保証されません。

ラウリ :
　なぜDNSのバグがそれほど大問題になったと考えていますか？

ダン :
　人々は設計上のバグを再び重視するようになりました。一時期、とにかくバッファオーバーフロー攻撃のような、攻撃に関する知識が重視されましたが、それらのバグを悪用することは簡単ではありませんでした。しかし、設計上、仕様上の欠陥を見つけることができたら、それは即座に悪用することができます。仕様上のバグの場合、システムは仕様通りの動作をしているものの、そのような動きはするべきではないというだけだからです。欠陥を見つけることができたら、それを攻撃に利用するのは簡単なのです。

　別の側面として、設計は最初に考えられると共に、ゼロから検討される傾向があります。それから、すべての部品をどのように組み合わせるのかを考えるのです。認証と通信相手の確認に利用するソフトウェアの多くは非常に古く、1980年代から1990年代に開発されました。

　当時はセキュリティは重視されておらず、1997年もしくは1998年あたりまでは存在していないも同然でした。設計時点でセキュリティが考慮されていないため、認証は壊れているのです。

　私はCookie Monster問題を思い出さずにはいられません。この問題は、Webの誕生時から、RFCの中に存在していました。CookieはWebの誕生時から存在していましたが、いまだに壊れているのです。

　DNSは1983年にRFCから生まれましたが、いまだに壊れています。その他にも壊れているものはいくつもあります。ソフトウェアは自然には修正されないのです。

ラウリ :
　データを直接攻撃する方法から、そのデータに正当なアクセス権を持つ人物になりすます、攻撃よりは詐欺的な手法にセキュリティトレンドがシフトしていると私は思っていますが、どう思いますか？

ダン :
　その通りだと思います。データはお金です。不正な手段で得たデータをお金に変えることができるからです。そして、そのデータへのアクセスは、認証が制御しています。そのため、データではなく認証が攻撃されるのです。

ラウリ :
　なりすますことなくデータを得る方法はないのでしょうか？

ダン :
　たとえば、単純にWebサイトのインフラを攻撃するのではなく、ユーザの承認情報をハイジャックしたり、別のシステムの承認情報をハイジャックしたりすることができるバグが次々と発見されています。これはDNSのバグには当てはまりませんでしたが、インフラの末端に取り付いて、それからインフラの別の部分への到達を目指すのです。

　今回の講演の中に入れることが出来なかった話題のひとつになるのですが、バックエンドシステムに何があるのかを考える必要があります。たとえば、データベースからデータをロードするバックエンドシステムはデータベースの場所を知らず、DNSにそれを聞くのです。この2つのシステムが横に並んでおり、隣のマシンと通信をしたいだけであっても、DNSが30,000マイル先だと答えるとその通りにしてしまうのです。

ラウリ :
　もし、DNSの問題が解決したとして、次に問題になるのは何だと考えていますか？

ダン :
　私は常にインフラのバグに注目しています。というのも、インフラに影響を与えるバグは、注目されるからです。注目を集め、実際に大きな影響が出たため、DNSの問題が発生してからインフラにさらに注目が集まるようになりました。

　今後は、ネットワークプログラムがより多くの攻撃を受けることになるでしょう。悪人達は次のように言っています…

【翻訳／記事構成：　日吉龍／SCAN編集部】

　インタビュー：ラウリ・コルツパルン

　エストニア出身。タリン技術大学で8年間ネットワーク管理者を務める。2003年、ヨーロッパで開催されたセキュリティ専門コミュニティ「zone-h」のハッキングミッションを史上最速でクリア後、zone-h のメンバーとして、世界各国でセミナー講師を務め、2004年からサイバーディフェンス研究所技術開発部特別分析官。研修講師及びペネトレーションテストに従事。

　今回の取材を終え「インターネットを通じて提供されるサービスが増え、その利用者が増えることで、認証という攻撃ポイントは爆発的に増加している。データを守る側のセキュリティ対策は一定の効果が上がっているから、今後は認証を狙ったソーシャルエンジニアリング的な攻撃が増えるだろう」と感想を語った。

　サイバーディフェンス研究所メンバー（後列右ラウリ氏）
http://www.cyberdefense.jp/company_profile/about.html

【関連記事】
Black Hat Japan 2008 特別インタビュー
ダン・カミンスキーに聞く、DNS脆弱性が示唆するものこれから来るもの(1)
https://www.netsecurity.ne.jp/3_12304.html
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw