第161回 月例発表会（2015年4月） 知的システムデザイン研究室
最近のセキュリティの脆弱性
堂面拓也，山口浩平
Takuya DOMEN
，
Kohei YAMAGUCHI
1
はじめに
近年のサイバー攻撃は知的財産や個人情報を狙った事 案が多い．2014年2月に起きた，仮想通貨「Bitcoin」の 大手取引所Mt.GOXから3億円相当のBitcoinが不正 に引き出された1) ．この事件の原因は，何者かによっ て管理システム上の不具合を攻撃されたことであった． このように，情報やシステムを守るセキュリティに問題 があった場合，企業や組織は大きな損害を被る可能性が ある．2
情報セキュリティとそれを脅かす要素
2.1 情報セキュリティの3要素 情報セキュリティとは，JIS Q 27002によって，以下 の3要素を維持することであると定義されている． • 機密性（confidentiality）：許可を与えられた者だけ が，その情報にアクセスできる状態を確保すること． • 完全性（integrity）：情報が破壊，改ざんまたは消去 されていない状態を確保すること． • 可用性（availability）：必要なときに情報にアクセス できる状態を確保すること． これら三つの英語の頭文字をとって，情報のCIAという． 2.2 セキュリティを脅かす要素 情報セキュリティを脅かすものとして，以下の2種類 がある． • 脅威：情報セキュリティを脅かす直接の要因．トロ イの木馬やDoS攻撃がこれにあたる． • 脆弱性：情報の取り扱いにかかわる様々な構成要素 の中にあり，損失のリスクを発生・拡大させる要因 となる弱点や欠点のこと． 脅威はその性質上，完全に取り除くことはできない．一 方，脆弱性は組織の内部にある弱点なので，脆弱性に働 きかけることでセキュリティ対策を行う． 本稿では，セキュリティ対策の中心である脆弱性につ いて述べる． 2.3 脆弱性の定量的評価法 脆弱性を定量的に評価するための手法として，CVSS（Common Vulnerability Scoring System）がある．これ は情報システムの脆弱性に対する汎用的な評価手法であ る．CVSSの値は，情報のCIAへの影響度と，どのネッ トワークから攻撃可能かなど攻撃の容易さを基に算出 される．CVSSを用いることで，脆弱性の深刻度を同一 の基準の下で定量的に比較できる．CVSS値によって， Table1に示すように3段階の深刻度に分けられる． Table1 CVSS値による深刻度 CVSS値 深刻度 脆弱性に対して想定される影響 7.0∼10.0 レベル3（危険） 大部分の情報が漏えいする可能 性など 4.0∼6.9 レベル2（警告） 一部の情報が漏えいする可能性 など 0.0∼3.9 レベル1（注意） 非常に部分的な情報が漏えいす る可能性など
3
近年発見された脆弱性
3.1 OpenSSLにおける脆弱性 OpenSSLはSSL/TLSの，オープンソースで開発・提 供されているソフトウェアである．利用可能なプラット フォームはほぼすべてのLinux系とWindowsであり， その普及率は世界中のサイトの66％にのぼる2) ．この ように広く浸透しているOpenSSLに，重大な欠陥が発 見された 2014年4月に公表された脆弱性は「Heartbleed」と呼 ばれている．Fig.1にHeartbleedの概要を示す．Fig.1にあるように，クライアントがサーバに5バイトの文字 列HELLOと，文字列長100バイトというデータをリク エストすると，サーバは送られてきた文字列をチェック することなく，指定された文字列100バイト分の文字列 をメモリからコピーし，クライアントに送信してしまう． この脆弱性を攻撃されると，サーバ側のメモリ内容が漏 えいしてしまう．攻撃者は，1度の攻撃で64kBずつメモ リの内容を読み取ることが可能で，保護されていたユー ザ名やパスワードも再現することができる． HeartbleedのCVSS値は5.0となっており3)，Table1 の深刻度はレベル2に相当する．一度の攻撃で非常に部 分的な情報しか漏えいしないが，この脆弱性による被害 も報告されている． 3.2 GNU bashにおける脆弱性 現在Linuxは非常に幅広い分野で使用されている．こ のLinuxに標準搭載されているシェル「bash」に重大な 脆弱性が発見された．この脆弱性は「Shellshock」と呼 ばれている．Shellshockの概要図を図2に示す．Fig.2 にあるように，本来は読み込まれない不正な位置にある コードを読み込み，実行してしまう．この脆弱性は攻撃 条件が非常に容易かつCIAに重大な影響を及ぼすため に，CVSS値は10.0となっている4)．これは Table1の 深刻度はレベル3に相当する． 1
Fig.1 Heartbleedの概要 Fig.2 Shellshockの概要 3.3 実際の被害報告 OpenSSLの脆弱性を突かれ，三菱UFJニコスが894 人の個人情報が不正に閲覧された．脆弱性が発表された 1日後に，三菱UFJニコスは攻撃を受けた．脆弱性の発 表を受け，すぐにシステムを修正しなかったために攻撃 を受けたと考えられる． 一方，Shellshockを突いた攻撃によって，大阪府立産 業技術総合研究所のサーバが不正アクセスを受け，マル ウェアに感染してしまった．攻撃を受けたサーバは一部 職員のメールサーバとしても利用されており，メール内 容が流出した可能性もある．しかし，特に重要な情報は 別サーバで管理していたため，被害を最小限に抑えるこ とができた．
