アップデート機能を悪用した攻撃に対抗セヨ！：川口洋のセキュリティ・プライベート・アイズ（51）（2/2 ページ）

Hardeningで仕込んだシナリオ

　アップデート機能を悪用した攻撃手法は、先日行われた「Hardening 10 APAC」でもひそかに取り込んでいました。

　Hardening 10 APACで作ったサーバーには、各サイトで使われているソフトウェアのアップデート用パッケージが用意されていました。そのパッケージにはバックドアが仕込まれており、署名を検証せずにインストールすると被害に遭うはずです。

　参加者の環境にあるサーバーのyumの設定を、以下のようにしておきました。gpgcheck=0となっているので、GPG署名のチェックが行われません。

yumの設定

　アップデート用のサーバーには、バックドア入りのパッケージファイルが事前に置いてあります。参加者がyumでアップデートを行うと、GPG署名の確認が行われず、バックドア入りのパッケージにアップデートされてしまう仕組みです。もし、gpgcheckに1が設定されていれば以下のような「..... is not signed」というエラーを出力して、アップデートは失敗します。

GPG署名チェック

　多くの参加者がyumを実行した結果、バックドアプログラムが動く結果になってしまいました。「Hardening 10 APAC」の競技を振り返る「Softening Day」でその種明かしをしたところ「そこまでやるか」というような会場の雰囲気を感じましたが、こういう競技の環境でもないとリアルな体験することはできなかったのではないかと思っています。

Hardeningの今後に向けて

　今回はアップデート機能を悪用した攻撃を取り上げました。サービスやソフトウェアの提供元が不正アクセスを受け、提供されているものが「信頼できない」前提でシステムを運用することは非常に大変です。攻撃者は明らかに、その対応の難しいポイントを狙った攻撃を行っており、私たちもこのような攻撃に対応する方法を考えなければなりません。

　前回のHardening 10 APACのコラムを書いてから、あっという間に9月になってしまいました。もう11月の企画の準備に取り掛からなければなりません。Hardening Projectメンバーの熱いミーティングも行われています。今回もまた新しいネタを考えて準備していますので、前回参加できた人も参加できなかった人もぜひ2014年11月の「次のHardening」に参加してください。

　そして、私は次回Hardeningの作戦会議をするために今夜も飲みに行くのでした。