3行コードなのに正しく実装されないセキュリティプロトコル、Zerologonの脅威 | ScanNetSecurity
2024.05.29(水)

3行コードなのに正しく実装されないセキュリティプロトコル、Zerologonの脅威

Active Directoryのドメインコントローラー(DC)の権限が奪取される「Zerologon」の脆弱性(CVE-2020-1472)。2020年に発見されたものだが、暗号鍵をオールゼロにすることで認証をバイパスできるという盲点をつくようなプロトコルの欠陥が話題となった。

研修・セミナー・カンファレンス セミナー・イベント
Tom Tervoort氏
Tom Tervoort氏 全 6 枚 拡大写真
※本記事は昨夏開催されたBlack Hat USA 2021の取材記事を蔵出しでお届けします※

Active Directoryのドメインコントローラー(DC)の権限が奪取される「Zerologon」の脆弱性(CVE-2020-1472)。2020年に発見されたものだが、暗号鍵をオールゼロにすることで認証をバイパスできるという盲点をつくようなプロトコルの欠陥が話題となった。

パッチも出回り攻撃は落ち着いたかに見えるが、いまだに侮れない脆弱性だ。mimikatzなどのエクスプロイトの足場づくり、そのあとのランサム攻撃にも利用されている。2021年3月、Blackberryが発見したランサムウェアの攻撃で、Zerologonを利用するコードとその活動が確認されている。

「セキュリティプロトコルは3行で実装できるが、人々はいまだに間違ったことをしている」

とはコンピュータサイエンスの権威、Roger Needhamの言葉だ。この言葉を引用し、Zerologonの詳細原理の解説とセキュリティプロトコルの課題を指摘するのは、Zerologonの詳細論文を発表したTom Tervoort氏だ。この発表は、2021年Blackhat USAで行われた。Zerologonの脆弱性、つまりクライアントPCとDCのセキュアチャネルを確立するNetlogonプロトコルのどこに問題があったのか。

●Netlogonとは? その脆弱性のポイント

Active Directoryにおいて、クライアントの認証はNTLM(認証)プロトコルによって行われる。認証を行うAutheticatorはDCである。認証に必要なサーバー、クライアントのクレデンシャル情報やセッションキーのやりとりに利用されるのがNetlogonリモートプロトコルだ。

NTLMやNetlogonは、そもそも独特な暗号化と認証方法を採用したトランスポート層のプロトコルだとTervoort氏はいう。これまでも中間者攻撃やネゴシエーションが暗号化されていない脆弱性が指摘されている。もちろんパッチ対応はされているが、ZerologonはDCの認証手順に利用されるNetlogonに発見された比較的新しい脆弱性(CVE-2020-1472)だ。

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 半数の中小企業経営者、セキュリティ対策の必要性「感じたことがない」

    半数の中小企業経営者、セキュリティ対策の必要性「感じたことがない」

  2. SPF / DKIM / DMARC はどう機能したか ~ フィッシングメール 596 件対象に分析

    SPF / DKIM / DMARC はどう機能したか ~ フィッシングメール 596 件対象に分析

  3. 社内用ポータルサイトを誤って公開、最大 約 42,400 名の顧客の個人情報がアクセス可能に

    社内用ポータルサイトを誤って公開、最大 約 42,400 名の顧客の個人情報がアクセス可能に

  4. 岡山県精神科医療センターにランサムウェア攻撃、電子カルテのシステムで不具合

    岡山県精神科医療センターにランサムウェア攻撃、電子カルテのシステムで不具合

  5. セキュリティ企業ホラ吹きCEOバカ一代記

    セキュリティ企業ホラ吹きCEOバカ一代記

  6. バッファロー製 Wi-Fi ルータ WSR-1166DHP シリーズのボット感染を確認、複雑なパスワードへの変更を呼びかけ

    バッファロー製 Wi-Fi ルータ WSR-1166DHP シリーズのボット感染を確認、複雑なパスワードへの変更を呼びかけ

  7. 「mixi」に不正ログイン、個人データが第三者に漏えいしたおそれ

    「mixi」に不正ログイン、個人データが第三者に漏えいしたおそれ

  8. 日経225企業 9割 DMARC導入も「quarantine」「reject」設定は 26.8%、ワンクリック購読解除利用率は 77.7%

    日経225企業 9割 DMARC導入も「quarantine」「reject」設定は 26.8%、ワンクリック購読解除利用率は 77.7%

  9. 北洲のサーバに不正アクセス、攻撃者が一部ファイルを開いた可能性を確認

    北洲のサーバに不正アクセス、攻撃者が一部ファイルを開いた可能性を確認

  10. 自工会と部工会のサイバーセキュリティガイドライン2.1版に対応した「コーポレートセキュリティメニュー」提供

    自工会と部工会のサイバーセキュリティガイドライン2.1版に対応した「コーポレートセキュリティメニュー」提供

ランキングをもっと見る