「責任」を含む日記

はてなキーワード: 責任とは

2024-07-02

■KADOKAWAのハッキングの話チョットワカルので書く

私はプロではないのでわからないので、間違っているのは当たり前だと思って読んでください。

個々人のエンジニアの能力がとかクレジットカードがとかは基本関係ないという話です。

（関係なくてもパスワードを使い回している場合は、同じパスワードを使っているサービスのパスワードはすぐ変えるの推奨）

三行

VPN→プライベートクラウドの管理システムとオンプレ認証→各システムと言う流れで侵入されていると思われる
オンプレのディレクトリサービスとクラウドのidMが接続され、オンプレの認証資格でSaaSは一部やられた可能性がある
現在クラウドにリフトアップ中で、新システムはモダンな対策された方法で保護されており無事だった。が、それ故にオンプレへの対策が後手だったのでは

会社のシステムはどうなってるか

私は長年社内システムの奴隷をやって参りました。現在のクラウドになる前のサーバも触って参りましたので、その辺りからお話しをさせてください。

サーバーというのは、簡単に言うとシステムを提供しているコンピュータです。

貴方が触っているコンピュータシステムのネットワークの向こう側にいます。この増田も増田のサーバーというのがいて、私たちにサービスを提供してくれています。

しかし、このサーバ、どんなイメージを持っていますか？　でっかい黒い冷蔵庫？ちかちか光るロッカー？　それともバーチャルのネットワークで画面上に写されるものでしょうか。

サーバーといっても、実４形態ぐらいあるのです。私もチョットワカルぐらいなので間違っていると思いますが、まずは理解する為に簡単に説明させてください。

①　自社、あるいは自社で借りているデータセンター（サーバを置く専用の建物や部屋）を借りて、そこにサーバーを買って、そのサーバーの上で、複数の機能を持たせているもの（2000年代前半まで使われていた）
- でかい自社ビルを持って単一組織でやるようなもの。中小企業ならこれでもＯＫ
②　1版のサーバーをさらに「仮想化」という技術で仮想的に内部を別けて、基本的にそれぞれ単機能の機能を持たせたもの（2010年代前半ぐらいまで主流。ここまでをこの後の③，④との対比でオンプレミス、と言ったりします。グループ会社で運用などもこれにあたります。プライベートクラウドとも言うことがあります）
- でかい自社ビルは同じだけれど、組織を分割して事業部制にしたようなもの。だんだん企業が大きくなると、こうしないと難しいですよね。社長が休んだら全部止まったではまずい。
③　2版のサーバーを「仮想化」するための環境をまるごと借りてしまうと言うもの（最近の主流その1。IaaS（いあーす）と言ったりします、パブリッククラウドともいいます）
- 自社ビルを持たずに臨機応変に必要なだけオフィスを借りて、そこに事業部別に仕事をさせるようなもの
④　多くの人が共通的に使う機能を切り出してサービス化したもの。サーバを借りるというより、その機能やサービスごとに契約して済ませるもの（最近の主流その2。PaaS（ぱーす）またはSaaS(さーず）と言ったりします）
- 自社の強みの部分だけを残して、非競争領域をアウトソースするようなもの。例えば税務会計は税務会計事務所さん、産業医はお医者さん、食堂は給食屋さんに頼むと言ったような感じ。

と言う段階があります。

ニコニコ動画のサービスはどうかというと、色々な情報を得ると、④を使いながら③にする途中で、まだ②が残っている、ということのようですね。

これらの使い分けについてですが、最近は自社でサーバを持っていると自分たちで管理しなければならなかったりして大変なので、できるだけ②から③、できたら④に持っていきたいと言うのが世の中の流れです。それでも②はのこりますが、最小限にしていく方向。

現在は、②のシステムがだけがやられたように、セキュリティ的にも預けた方が望ましいと言われています。

今回も、自社で管理している部分が攻撃されました。特にクレジットカード情報が漏れていないと何度も言われているのは、そこを自社で管理せずに専門業者に任せていたことが大きいわけです。

この流れをまずは頭に入れましょう。

じゃあ何がハッキングされたのか

さて、メールを扱ってるサーバーと、売れた商品をバーコードでピッとして管理するシステムは全く別でどちらかがハッキングされたからといってもう一つもされるこことはありません。これは何故かと言うと、それぞれを細かくたくさんのシステムや仮想サーバに別けた独立なシステムになっているからです。

さらにKADOKAWAのようにサービスを外部に展開してる会社の場合、外部向けのシステムと内部向けのもの（バックオフィス）で必要な機能が異なるので、部署が異なるのと同じように違う仕組みになっているはずです。ただし、物理的にどこにサーバがあるかなどはあまり関係がありません。

しかし、こうなると小さなサーバがたくさんたくさんあると言う状態になって管理が大変です。

利用者の視点にしても、システムごとにログインするための情報が別々だと非常に使いづらいですよね。会社で部屋ごとに別々の鍵がついていて、じゃらじゃら鍵束を持って歩くような状態は面倒です。

すると、どうするかというと、これらをまとめて管理するシステムというものが作られます。

これを「システム管理ソフト」と「認証システム」といいます。これらが全体に対してユーザ認証や、サーバが正常に動いているかどうかの管理を提供する事で、たくさんのシステムの管理を効率化するのです。

企業の警備室に機能を集約するようなものです。ですが、ここが要になっていて、破られると全ての鍵が流出してしまうということになるわけです。

出てきた情報から見ると、この管理するシステムと認証するシステムがやられたと思われます。

また、その前の前段はVPNと言う仕組み（ネットワークを暗号化して安全に隔離するもの）が攻撃されて破られたのではないかと推測しています。

これは近頃猛威を振るっている攻撃で、業務用で多く使われているVPN 装置の脆弱性（弱点）が狙われて、多数の問題が起きています。当然脆弱性を修正したプログラムは適用されていると思いますが、次から次へと新たなセキュリティホールが見つかる状況であり、匿名のアングラネットでは脆弱性情報が取引されているため、訂正版のプログラムが出る前の攻撃情報が用いられた可能性があります。（これをゼロデイ攻撃といいます）　あくまでも推測ではありますが。

個々のシステムは独立しています。ですが、こうなってくると、今回はシステム全体が影響を受け、さらにどこまで影響が及んでいるかの分析が困難なレベルだと言われています。

ここまで広範囲に影響するとすると、管理と認証とVPNが攻撃を受けてやられたとみるべきでしょう。

また、ここが破られていると、クラウドシステムにも影響が及ぶケースがあります。

一時期「クラウド」というとストレージの事を言うぐらい、クラウドストレージが当たり前になって、自社運用ファイルサーバは減りました。これは今では危険と認識されているほかに、こちらの方が安く利便性も高いからです。

それ故に、クラウドストレージ、たとえばSharePoint OnlineやGoogleDrive、Boxなど外部のシステムに置くようになっています。

しかし、今回はこれが破られている可能性があります。

オンプレミスの認証サーバが破られているので、その認証情報を利用してクラウドにアクセスできてしまったものだと思われます。言わば、鍵を集めて保管してあった金庫がやぶられるようなもの。

通常、クラウドシステムはそんなに甘い認証にはなっていません。例えば多要素認証といってスマホなどから追加で認証すると言うような仕組みがあります。貸金庫に入るとき、自称するだけでは入れず、身分証明書とパスワードの両方が必要なうなものです。

また、日本企業なのに突然ロシアからアクセスされたりすると警報をだして遮断する仕組みがあります。

とはいえ、いちいちクラウドにアクセスする度に追加認証をしていると大変で、面倒クサいと言う声が上がりがちです。

そんなときに行われてしまうのは、自社のネットワークからアクセスするときは、認証を甘くすると言う仕組みです。

つまり、ネットワークは安全だという仮定の下においてしまうわけですね。自社の作業着を着ている人なら合い言葉だけで、本人確認なしで出入り自由としてしまうようなものです。

ところが今回は、ここが破られてしまって被害を受けている可能性があります。自社の作業着が盗まれているので、それを着られてしまったので簡単に入れてしまったようなもの。

また、社内システムからデータを窃盗するには、どのシステムが重要かを判断しなければなりませんが、クラウドサービスだと世界共通であるため、一度入られてしまうと慣れ親しんだ様子で好きなようにデータを窃盗されてしまうわけです。

どういう人が危ないのか

上記のことを踏まえて、KADOKAWAの展開してるサービス自体や、そこに登録しているクレジットカードは「おそらく」大丈夫です。パスワードも「ハッシュ化」という処置を経て通常は記録されていません。

ただ、パスワードを使い回している方は、その事実とは別にそもそも危険です。パスワード変更をおすすめします。さらに、ハッシュ化をされていても、時間をかければ色々な方法でパスワードを抜き出す事も不可能では無いことも忘れずに覚えておきましょう。

しかし、単なるユーザー、お客さんではなく、KADOKAWAと会社として関わってる人や従業員、取引先で色々な書類等出した人は、既に情報が窃盗されていて、そこから今後も追加で情報が出回る可能性があります。

一方で、分かりやすい場所に保存されていたわけではない情報（システムのデータベース上にだけ入っていたものなど）は、センセーショナルな形で流出したりはしないのではないかと予想しています。

犯人が本当に金が理由だとするならば、データを分析するような無駄な事に労力を割かないためです。

腹いせで全てのデータを流して、暇人が解析する可能性はあります。

ありますが、犯人はコストを回収しようとするので、これらの情報を販売しようとします。売り物になる可能性のものをただ単に流したりもしづらいのではないかと思っています。

もちろん、油断はするべきではありませんし、購入者が現れるとすると購入者は具体的な利用目的で購入するため、より深刻な被害に繋がる可能性も残されています。

エンジニアのレベルが低いからやられたのか

犯人が悪いからやられたのです。レベルが低いからとか関係ありません。

また、周到にソーシャルハッキング（オレオレ詐欺のようになりすまして情報を搾取するなどの方法）や、このために温存したゼロデイ攻撃（まだ誰も報告していない不具合を利用した攻撃）を駆使され、標的型攻撃（不特定多数ではなく、名指して攻撃すること）をされると、全くの無傷でいられる企業や団体は、恐らく世界中どこにも存在しません。