セキュリティウィーク44：議員とセキュリティ、暗号化とインテリジェンス

情報セキュリティの分野で暗号化よりも複雑なトピックがある場合、これは法律です。 暗号化、その主な調査結果、および考えられる結果に関する研究はすべて理解できます。 多くの場合、これには、主要なトピックおよび関連するトピックに関する集中的なトレーニングが2年間必要であり、セキュリティの専門家としてさらに10年間の作業が必要です。 しかし、あなたは理解できます。 情報セキュリティの分野を管理する法律の結果がどうなるかを理解することは、たとえそれを注意深く読んだとしても、常に可能なことではありません。 あなたがそれが書かれている言語の良いコマンドを持っている場合でも。



それにもかかわらず、法律はセキュリティの問題に何らかの方向で深刻な影響を与える可能性があるため、理解する必要があります。 適切で適切なイニシアチブは、企業がサイバーの脅威から自分自身をよりよく守り、オンライン詐欺の場合に銀行の顧客がお金を失うのを防ぎ、状態構造自体と処理するデータのセキュリティを改善し、犯罪と戦うように動機付けます。 悪い法律はせいぜい脅威の状況を変えることはなく、最悪の場合、逮捕後でも有罪の証拠があるとしても、サイバー犯罪者の釈放を許可し、研究者の仕事を妨げ、個人データを私たちが望むよりも少し非公開にします。



このダイジェストシリーズでは、米国の情報セキュリティ法の分野における2つの重要なニュースについてお話しします。今回は暗号化の議論に参加することを決定したNSA機関のおかげで、暗号化の議論を続けます。 ただし、これは政治からもそれほど遠くありません。 ルール：毎週、 Threatpostニュースサイトの編集委員会は、最も重要な3つのニュースを選択します。このニュースには、拡張された容赦ないコメントが追加されます。 シリーズのすべてのエピソードはタグで見つけることができます。



米国上院は個人情報保護に対する批判にもかかわらずCISA法案を支持

ニュース 。 出典法案のテキスト 。 拡張コメント EFF。



どうした

米国上院は、サイバーセキュリティ情報共有法に賛成票を投じました。 法律の最終的な採択はまだ遠いです-今年3月、CISAとほぼ一致するが、完全ではないが、下院で可決されたサイバーネットワーク保護法が成立しました。 したがって、私たちの前には、議会の魅力的な共同作業があり、2つの4文字法案を3つのうちの1つにまとめることができます。 すでに、CISAはアメリカのIT業界とその周辺で深刻な議論を引き起こしています。 その理由は簡単です。特にEFFファンドの米国市民データ（Snowdenだけでなく）のプライバシーに関心のある専門家は、ユーザー追跡の法案に新たな法的抜け穴があると考えています。



法案は何ですか？

まれにしか起こらないこと、米国の2つの主要政党の代表者に支えられたアメリカの議員のイニシアチブは、サイバー脅威からアメリカのビジネスを保護することで状況を変えるように設計されています。 しかし、すべてが本当にそんなに悪いのでしょうか？ 十分な範囲： JP Morgan 、 Sony Pictures Entertainment 、 Targetのような大企業、 さらには米国政府の人事部門によるハッキングは、楽観的な理由を与えません。 法案の作成者の1人であるスーザン・コリンズ上院議員は、2001年9月10日の米国のサイバー脅威に対する保護の準備状況と、当時のテロ攻撃に対する保護の準備状況を比較しました。



米国議会ではサイバー脅威の専門家がほとんどいないため、法案は主に国土安全保障省などの機関を「調査」、「開発」、「保証」、「調整」するよう指示することで構成されています、「手順を作成する」など、すべてがサイバー脅威に関する情報を交換するための実用的なシステムを作成することを目標としています。 法律の多くのサブパラグラフの中には、たとえば、「モバイルデバイスに関連するサイバー脅威の問題を調査する」、「モバイルデバイスを保護する技術を実装するための計画を策定する」、「サイバースペース問題に関する国際関係の戦略を策定する」などの興味深いものがあります。









Slate.comの記事の写真。 法案が悪い理由についての詳細な話もあります。



しかし、法案の主なタスクは、アメリカ企業による特定の「サイバー脅威の指標」に関する情報交換を促進することです。 法律用語から通常の用語への翻訳：企業と政府機関の両方がサイバー攻撃に関する情報を共有できるようにし、より効果的にそれらを一緒に防御すること。 民間企業が政府機関（同じDHS）とそのような情報を交換する場合、企業は機密性を保証され、一般的に企業が奨励されるように行われます。 ビジネスは他の膨大な数の法案に従う必要があり、それらのいくつかはさまざまな理由でそのようなデータ交換のために処罰される可能性があるため、サイバーセキュリティのトピックは別のカテゴリーに分類されます。 悪くないですよね



それで問題は何ですか？

サイバースペースのプライバシー擁護者によると、問題は、上記の「法律からの翻訳」が可能なものの1つに過ぎないということです。 一般に、法案の曖昧な表現は誰にとってもより便利なので解釈できます。 たとえば、「セキュリティのために」情報を交換することが法律で定められているが、明確な定義がない場合は、サイバーテロと戦うために、あらゆる種類のデータを誰とでも交換できます。 たとえば、ユーザーを保護することを目的とする大規模なWebサイトでは、別の会社のユーザーに関する情報をマージできます。これは、偶然広告代理店です。 機密情報を共有します！ または、特定の州機関はサイバー攻撃に関するデータを収集できますが、情報を公開する義務はなく、一部の政府機関ができること、たとえば新鮮なゼロデイに関する情報は誰もが知っています。



一般に、法案のすべての批評家を心配するのは、何らかの意味でプライバシーの問題です。 しかし、ニュースの大部分はそこで終わり、それから白熱した議論があります。 Apple、Microsoft、Adobe、IBMなどの企業は、まず法案を（まとめて、BSAアライアンスの一部として） 支持し、次に（わずかに異なる構成で）支持をやめました。



少なくともAppleは、Twitter、Yelp、Wikipediaなどの代表者と一緒にそれを行った。 よくあることですが、企業は1つの事柄（集合的なセキュリティ）をサポートし、もう1つの事柄（プライバシーに関する利用可能な障害と思われる）に対して批判されました。 今年8月にDHS自体（すべてを開発、実装、研究する必要がありますが、実装前に研究することをお勧めします）は、プライバシーと非効率の両方について、現在の形で法案に反対しました。 蜂蜜に対する蜂！ しかし、DHSの証言は分かれています。今年7月に「反対」したアレハンドロ・マヨルカス副大臣は、10月に突然支持されました。 政治先生！











そして最も重要なことは、ビジネス機関と政府機関の両方のセキュリティを強化する必要があるという事実について誰も実際に主張していないことです。ギガバイトと数百万件のデータ漏洩についてどれだけ読むことができますか？ 上院による法の採択は、修正の機会を減らすが、原則としてそのような可能性を排除するものではない。 業界や活動家のことを聞いたことがありますか？ 3月に衆議院を通過した同様の法律を採用した場合、いいえ-苦情もあり、彼らは注意深く耳を傾けることを意図していませんでした。 しかし、プライバシー法案の観点から疑わしい以前のいくつかは、プロジェクトのままでした。 具体的には、サイバー脅威に関する情報を共有するトピックを提起するCISPAと、インターネット上の著作権侵害に対抗することを目的とした法案であるSOPAを取り上げます。 一般に、ポップコーンを買いだめすると、この話は長続きします。



DMCAの例外は、ジェイルブレイクとハッキングの車の安全性の研究のために作成

ニュース 。 前のニュース。 ブログ投稿 EFF。



デジタルミレニアム著作権法またはDMCAは、1998年にかなり前に可決されました。 その主な目的は、ネットワーク著作権侵害との戦いであり、その採用の副作用は、デジタルメディアをコピーから保護するためのハッキングシステムの禁止でした。 つまり、紙の上ではすべてが論理的でした。映画や音楽のデジタルコピーをコピーして配布することが不可能な場合、この禁止を確保するためにセキュリティシステムをクラックすることは違法です。



実際には、多くの問題が発生しており、まずセキュリティ研究者にとって：保護が適切かどうかを理解するには、保護を破る必要がありますが、これは違法です。 この分野で最初に注目された事例の1つは、Adobeの電子書籍の保護を破った2001年のロシアのプログラマーDmitry Sklyarovの迫害でした 。 また、Linuxで保護されたディスクを再生する唯一の方法であるライブラリに基づいて、ネットワークからDVD保護-DeCSSを回避するためのアルゴリズムを削除しようとして失敗したことを思い出すことができます。 ネットワークからアルゴリズムコードを削除する要件に対する技術者の答えは、 単純な犯罪者番号 -DeCSSアルゴリズムのコード全体を含む1401桁の番号の出現でした。 したがって、この素数の分布も禁止されています。



しかし、十分な背景。 この夏、研究者のチャーリーミラーとクリスヴァラセクは 、ラジオを介して車をハッキングし、遠隔操作を行う方法を示しました 。 そのような研究自体は、その著者が最も近い高速道路で黙示録を計画しない場合、違法ではありませんが、ニュアンスがあります。 オンボードコンピューターには、DVDと同様のコピー防止システムが装備されています。 そのようなシステムを調査することは保護を回避することを意味し、DMCAはこれを犯罪にします。 自動車メーカーは、このようにDMCAを使用して研究者の人生をより難しくすることができ、研究者は自動車の巨人自身の人生をより難しくします。 定義によって法律に違反するサイバー犯罪者にとって、彼らは人生を複雑にすることはできません。



幸いなことに、DMCAには例外があり、通常は3年間、特定のデバイスのセキュリティシステムの特定の種類のバイパスを許可します-そのような競合を解決するためだけです。 法律自体を書き換えない理由をもう一度説明しますが、今回は脱獄と自動車用コンピューターシステムの研究という2つの最近の例外について説明します。 ジェイルブレイクではすべてがシンプルです。2012年に例外が導入され、主にスマートフォン所有者（タブレットではありません！）がベンダーが決定したのではなく、希望どおりにデバイスを使用できるようになりました。 今年、彼らは今後3年間、単に「可能」と確認した。



そして車で初めてそれが判明しました、そしてクライスラーUconnectのハッキングについての有名なニュースは確かに決定に影響を与えました。 新しい例外の反対者の1人は環境保護庁でしたが、これは車の脱獄がしばしば電力の増加または燃料消費の削減に使用されるという事実によって動機付けられました。これは排出に悪影響を及ぼし、別の法律に違反します- Fresh Air（大丈夫、 Cleanについて）。 しかし、その後...これが起こった：











問題は、チップチューニングの愛好家ではなく、まったく逆であることが判明しました。 そして彼らはフォルクスワーゲンのディーゼル車にいくつかの奇妙な点を発見したが、監督当局やEPAではなく、非常に型破りな方法でテストするためのある種の独立した仲間のグループであった。 ストライプ水着のグループの場合、DMCAの例外は例外ですが、ディーゼルゲートが議会図書館に実際に影響を与えたかどうかは完全には明らかではありません（そう、米国でのそのような決定は図書館によって行われます！）。 この法律の例外は時間的に制限されていることを忘れないでください。したがって、「自動車のハック」については、1年に1回のステッチが行われます。



つまり、遅延をこれに使用したいのです。



NSAは、量子コンピューターから保護された暗号の略です。 専門家はキャッチの匂いを嗅ぎます。

ニュース 。 非科学的研究 。 米国国家安全保障局のコミュニケブログ（uii！）



8月19日に、NSAはWebサイトで、暗号化標準スイートSuite Bに関するメッセージを公開しました。スイートBは、たとえば、128ビットまたは256ビットのキーを持つAES標準など、秘密の通信およびその他の重要なデータを暗号化するために政府機関によって公式に推奨された一連の標準です。 Suite Bには、AESに加えて、DHの改良版であるElliptic Curve Diffie-Hellmanなどの安全な鍵交換システムが含まれていますが 、その欠点は前のシリーズで説明しました。 楕円暗号を使用する他のプロトコルについても言及されており、説明します。











そのため、NSAのレポートは次のように述べています。「量子コンピューティングの研究の進展により、楕円暗号は長期的な（データ保護の）解決策ではないことが明らかになりました。」 一方、大きな素数を使用して理論的に妥協したDHの代替として、同じ楕円曲線Diffie-Hellmanが推奨されます。 NSAの推奨事項：量子コンピューターでは解読が困難なアルゴリズムとプロトコル（たとえば、3072ビットのキー長のRSA）を使用します。 そして、ここで疑問が生じます。都市の店舗にまだ量子コンピューターがなく、予想もされておらず、NSAが現在楕円曲線を捨てることを提案している場合、代理店のメッセージには他の意味があるのでしょうか？ たぶん彼らは何かをほのめかしているのでしょうか？



研究者のNeil KoblitzとAlfred Menezesは、陰謀理論家の助けを求めて駆けつけており、NSAメッセージを、彼ら自身の言葉で、完全に非科学的な科学研究で解釈するためのあらゆる選択肢を模索しています。 しかし、そのような無知のおかげで、この作品は非常にエキサイティングな読書です。 代理店はスノーデンを思い出し、壊れた暗号規格などを密輸しようとしました。 NSAがコミュニケ（uii！）を発行しているため、作業の欠如は少なくともいくつかの仮説の現実性の証拠の欠如ですが、コメントはしていません。 仮説について簡単に説明します。



NSAは量子コンピューティングについて何かを知っていますが、私たちはそれを知りません。

Snowdenによると、政府機関の量子コンピューターの予算は小さく、従来の方法を使用して暗号化をハッキングするよりも1桁低いため、これは考えられません。 現在の予測：量子コンピューターが2030年までに出現する可能性は50/50です。 つまり、表示される場合と表示されない場合があります。 さらに、信頼できる情報源を引用して、この研究の著者は、「脆弱な」暗号の1つをクラックするのに十分な量子計算方法が現れれば、より安全であると宣言されたアルゴリズム、例えば同じRSA 3072をクラックするのに十分であると主張しています。



NSAは楕円暗号を使用して暗号の1つを破りました

エージェンシーは、数十年にわたって楕円暗号を宣伝してきたので、疑念を抱かせる可能性があります。広告キャンペーンは、NSAが何らかの形でECCを破り、他は失敗したという事実に関連していますか？ この質問に対する答えは、研究のほぼ半分を要しますが、短いバージョン：「ありそうもない」です。



楕円暗号は安全ですが、新しい「強力な」暗号は安全ではありません

tl; drありそうもない。



暗号化に関するものではありません。ECCから距離を置くという政治的な仕事があります

しかし、これは特にDual_EC_DRBGアルゴリズムに関する話のおかげで可能です。 バックドアがあるかどうかは完全にはわかっていませんが、2000年代初頭、NSAはアルゴリズムの標準化を積極的に推進し、2007年にはバックドアの疑いがあり、2013年にスノーデンリークは何らかのプログラムが実装されたことを確認しました意図的に弱められたアルゴリズムを伝播するかどうかにかかわらず、ブックマークが存在していました。 これが特定の暗号を指すかどうかは不明ですが、沈殿物は残ります。 つまり、NSAがECCを拒否する可能性があります。これは、この件に関するメッセージが信頼されなくなるためです。



他のメッセージはありますか？ いずれにせよ、ウィンストン・チャーチルが言ったように、それは「謎に包まれ、謎に包まれたパズル」です。 非科学的研究の著者は、この引用を見出しに入れましたが、チャーチルは当初ロシアについて話しました。 ロシアはそれと何の関係があるのでしょうか？ 一般に、このニュースに対する大きな関心にもかかわらず、暗号保護に実際に影響を与える有用な情報よりもはるかに多くのスキャンダル、陰謀、政治があります。 しかし、これは主題を理解している人々によって陰謀が分析されるまれなケースであり、暗号に関する興味深い事実がたくさんあります。 私はおそらくこれに終止符を打つつもりです。











他に何が起こった：

NTPプロトコルの脆弱性により、公開鍵システムのハッキングやDDoS攻撃のアレンジは理論的には可能です。 次のようなプロセスの優れた説明を含む興味深い研究：「あらゆる方法でこれを実行しようとしましたが、キャッシュダンプが干渉し、時間を動かしただけでした。 NTPは、 以前にDDoS攻撃をスケーリングするために使用されていました。



以前は忘却から上昇し、英国人を攻撃していた銀行トロイの木馬Dridex（私たちの分類ではCridex）は、今やフランスに照準を合わせています。 引用：「このドキュメントを開くと、マクロがアクティブになり、悪意のあるPID * R * S.exeファイルが被害者に与えられ、コマンドサーバーを介して日本のホストとの接続が確立されます。」 * = A



古物：

「シルビア」



非居住の無害なウイルス。 感染したプログラムが起動すると、.COMファイルの先頭に書き込まれます。 現在のドライブとドライブCの現在のディレクトリでファイルを検索しますが、5個以下のファイルに感染します。 COMMAND.COM、IBMBIO.COM、およびIBMDOS.COMファイルには感染しません。 ウイルスに含まれるテキストの内容を修正すると（以下を参照）、復号化されて表示されます：「FUCK YOU LAMER !!! システムが停止しました...」、その後、システムは本当にフリーズします。



ウイルスの冒頭には次のテキストが含まれています。











手紙を書きます！



Eugene Kaspersky著の本「MS-DOSのコンピューターウイルス」からの引用。 1992年。 84ページ



免責事項：このコラムは、著者の個人的な意見のみを反映しています。 カスペルスキーの位置と一致する場合もあれば、一致しない場合もあります。 ここは幸運です。