fc2ブログ

くわぽんのつれづれ日記

思うが侭、つれづれに書いています。ほぼ、毎日更新中!!

7Pay不正利用の調査ってどういうことをするの?

飲み屋で7Payの話をしたら盛り上がって、どんな調査をしたんだろうという話になりました。
公開されている情報だけだとセキュリティをかじった人間からすれば、「本当に調査したの?対策は?本当にできているの?」という内容なのですが・・・

少なくも、パスワードリスト攻撃に対する対策は「全員のパスワードの強制リセット」ではないということは、セキュリティ業界では常識です。
「悪用が確認されたアカウントのロック&パスワード変更の依頼」のはずなので、「全員のパスワードの強制リセット」を行ったということは、「悪用されたアカウントを自力では特定できなかった」と言っているようなもので、「傷口を広げる」行為だと言えるでしょう。


話はもどって、調査のやり方です。
ここでは、サーバ側の調査のことですね。
一般的に、コンピュータで犯罪行為が行われた際の調査のことを「フォレンジック」といいます。
日本語では「鑑識」といいます。
警察がよくやっている鑑識です。

ここで話をするのは、あくまで一般論だし、語り始めると本が一冊二冊かけるので、入口のところと大事な考え方について書きたいと思います。


まずは、パスワードリスト攻撃に関する調査です。

一般的にパスワードリスト攻撃は、
・特定の通信元(IPアドレス)から、複数のアカウント・パスワードの組み合わせで認証を試みる行為
です。

なので、WebアクセスログというWebサーバに記録されているログを使います。

金銭を扱うサイトでは、パスワードリスト攻撃はほぼリアルタイム(攻撃と同時に)知得する仕組みを構築するのが常識ですが、詳細の調査はやはり、Webアクセスログを使います。
この時、認証ログ(ログインの成功・失敗を記録したもの)やデータベースアクセスログ(データベースに行われた問い合わせや書き込みを記録したもの)などを併用して調査します。

私の経験では、まともなログを記録しているシステムであれば、この調査はそんなに時間がかかりません。


次に、悪用に関する調査ですが、悪用が確認されている場合真っ先に行うことがあります。

それは、証拠保全です。

外部からの悪用の場合、外部との接続を絶ち、悪用された状態の完全な状態を改ざんができない状態で保持します。
この証拠保全が十分に行われていないと、裁判になったときに証拠として認められない可能性があります。

証拠保全を行ったら保全された情報は直接触らず、複製を取って調査作業を行います。
この際に重要なのは、「時系列」です。
「時系列」は行われた「悪用」を時間順に並べて矛盾のない「物語」を構築していくのに重要です。

調査結果として出てくるのは、この「矛盾のない物語」です。

ここで矛盾があると裁判で確実に負けます。
犯罪を立証できなくなるからです。


では、7Payの事例では、この「矛盾のない物語」が語られているでしょうか。
残念ながら「No」です。

Twitterで「他では使っていない最大の長さのパスワードを使った。チャージ用も異なるパスワードだった。」という証言に対して、反証を提示できていません。

また、記者会見でも「チャージ用パスワードを認証用パスワードと同じにしている人が多くいた」という趣旨の発言をしていますが、矛盾のない物語としては、「悪用されたアカウント全てについて認証用パスワードとチャージ用パスワードが同じであることが確認できている。」と回答できる必要があります。


まぁ、セキュリティをかじっている人なら、7Payの記者会見は「全くの時間の無駄」であったと言えるでしょう。

いまだに、Omni7には未知だが悪用されている脆弱性が潜んでいる可能性があり、パスワードリセットは「さらなる情報漏えい」につながる可能性もあると考えています。

Omni7を安心して使えるようにちゃんとした調査をしてほしいものだと思います。
スポンサーサイト



  1. 2019/08/16(金) 19:36:00|
  2. 未分類
  3. | トラックバック:0
  4. | コメント:0
<<ウイルス対策って「Windows Defender」だけじゃだねなの? | ホーム | 友達の親戚のPC、メンテナンスを頼まれたのだが・・・>>

コメント

コメントの投稿


管理者にだけ表示を許可する

トラックバック

トラックバック URL
http://kuwapon.blog60.fc2.com/tb.php/1674-d50939ee
この記事にトラックバックする(FC2ブログユーザー)

アクセスカウンター

オンラインカウンター

現在の閲覧者数:

プロフィール

くわぽん

Author:くわぽん
くわぽんのブログへようこそ!
気が向いたらコメントください♪

アフィリエイトバナー

広告の中で説明だけ読んでよさそうなものを出しています。
よかったらクリックしてね。
詐欺みたいのがあったら教えてね。

ブロとも申請フォーム

この人とブロともになる

リンク

このブログをリンクに追加する

カテゴリ

D4でモバイル生活 (29)
風来人観察日記 (66)
ゲーマーの独り言 (183)
つれづれ日記 (114)
音楽を持ち歩く (47)
Windows Home Server 管理日記 (95)
Dolce Gustoとの日がな一日 (22)
お篭り部屋構築日記+愚痴 (53)
ウツ(鬱) (99)
未分類 (800)
So-Netの名残 (4)
DNNを使いましょう (26)
コカコーラとのお付き合い (9)
RPGを語る (4)
テレビにパソコン生活 (3)
”使えるねっと”は使える? (12)
Android日記 (4)
再生した地球にて (29)
セキュリティBlog (19)
Cuckoo SandBox (5)

検索フォーム

月別アーカイブ

FC2ブログランキング

FC2Blog Ranking

QRコード

QRコード