オンラインTPRGプレイヤーに伝えたい インターネットセキュリティのこと

Transcript

1. オンラインTPRGプレイヤーに伝えたい インターネットセキュリティのこと 2019-08
2. 注意 私はあくまでアプリケーションエンジニアであり インターネットセキュリティの専門家ではありません
3. ココフォリアを開発しよう と思い立った理由の一つでもあるのですが
4. オンラインセッションでTRPGを遊び始めて とても危ういなと感じていたことがあります
5. それはFLASH製のツールが 現役だったこともあるのですが、
6. サーバーを多くの人が分散して運用する 文化があったことです 
 いわゆる自鯖と呼ばれるものです
7. これからする話は、 今まで苦労してサーバーを用意して友人や もしかするとそれ以外の方にそれを提供していた そういった方々を否定する意図があるわけではない ということをまずお伝えさせてください
8. 今日は少しお時間をいただいて インターネット上で悪さをする人間が 脆弱性のあるサーバーをどのように悪用するのか という点に絞ってお話いたします 詳しい方にとっては退屈な内容かと思います そうではない方向けの資料です
9. いくつかの事例を図でご紹介します
10. 脆弱.jp サーバー インターネット 犯罪者 ヒャッハー 脆弱なシステムだぜ 設置主が困るというよりも このサーバーが悪用されてしまう
11. まず いわゆるスパムに利用されてしまうケース これは違法なリンクやウェブサイトを 拡散する目的で行われます 
 最近は減ってきたような気がします
12. 脆弱.jp インターネット 犯罪者 ブログA ブログB 掲示板A 掲示板B レビューサイトA レビューサイトB 違法なWebサイトを コメントなどで拡散 許可されていない プログラムを実行
13. 次に DDoS攻撃と呼ばれるものに 加担してしまうケース これは特定のサービスをダウンさせる目的で行われます
14. A.jp インターネット 犯罪者 B.jp C.jp 同じ手法で複数 サーバーをコントロール とあるサービス 大量アクセスで サーバーダウンさせる
15. とあるサービス 貴様らは覚えたぞ ブロック！ A.jp インターネット 犯罪者 B.jp C.jp
16. また同じ手法で ブロックされていない 別のサーバーから攻撃 とあるサービス また別のところから… D.jp インターネット 犯罪者 E.jp F.jp
17. また、最悪セッション仲間に被害が及ぶケースもあります 改ざんされたソフトウェアを介して 任意のプログラムを実行させて情報を抜き出します
18. 脆弱.jp インターネット 犯罪者 アクセスした人のPCで不正なプログラム実行 情報を盗んだり他のサーバーを攻撃させる ユーザー ユーザー ユーザー プログラムを改ざん
19. 配信元のサーバーが信頼できるドメインであれば 起こる可能性は非常に低いものですが、 現状危うく見えるのは
20. 安全.jp インターネット 犯罪者 ユーザー ユーザー ユーザー 「今日は安全さんのサーバーでセッションしよう」 安全さんのサーバーは安全 オンセツール
21. 危険.jp インターネット 犯罪者 ユーザー ユーザー ユーザー 「今日は危険さんのサーバーでセッションしよう」 あれ…？ 同じツールを使っているつもりでも 実は危険さんのサーバーを使うと攻撃されてしまう オンセツール
22. 一緒に遊ぶ仲間を知らないうちに 危険にさらしているかもしれない 脅し文句のようになってしまってすみません..
23. 「でも今まで大丈夫だったよ？」
24. 違うんです 悪い人はわざわざ 証拠を残してはくれない
 何事もなかったかのように去ってゆきます
25. 2019-06-11 APSB19-30 https://helpx.adobe.com/security/products/flash-player/apsb19-30.html 2019-05-14 APSB19-26 https://helpx.adobe.com/security/products/flash-player/apsb19-26.html 2019-04-09 APSB19-19 https://helpx.adobe.com/security/products/flash-player/apsb19-19.html 直近警告された脆弱性 FLASHだけ見ても 脆弱性はFLASHに限ったものではなく ほとんど全てのサーバーに影響があるようなレベルで起こることもあります 2014年の Shellshock など
26. これら全てを常に気をつけて運用するのは とても難しいことです 
 最近それ以前のセキュリティ事故も多いですが…
27. 昔と違って今はインターネット上に 個人情報も含めて重要な情報がたくさんあります 使う側も、提供する側も、 より気をつけなければいけない場所になっています
28. 私からのお願いは つぎ、サーバーの契約を更新する前に ちょっと手を止めてみてほしいということです 「このサーバーを安全に運用していけるだろうか？」
29. 以上です ありがとうございました