ニュース 08-11-2022

デジタルトラストの最新ニュース: 2022 年 7 月

デジサート

コネクテッドな世界におけるデジタルセキュリティに関するニュースをまとめてご紹介します。この連載の記事一覧を見るにはこちらをクリックしてください。

デジサートのニュース

DigiCert Secure Software Manager が GPG Keyring をサポートするようになりました。Linux または Git Commits でコードサイニングを行うユーザー、または Redhat ツールにおいて OCI 準拠のコンテナサイニングを行うユーザーにとって、これはきわめて大きな進歩です。
デジサートは EONTI と提携し、西カナダの NG9-1-1 ネットワーク事業者により、次世代の 911 システムのセキュリティを保護することになりました。
デジサートは Matter をサポートします。これは、スマートホームデバイス、モバイルアプリ、クラウドサービスの安全で信頼性の高い相互運用のための規格策定を目的とした新しいプロトコルです。デジサートは製造業者が Matter に準拠する支援をしていますが、これは、多くの消費者が新たなスマートホームデバイスの購入を検討する年末商戦に向けた取り組みです。

ブラウザ

Apple 社は、 VMC のサポートを iOS 16 および MacOS Ventura から開始します。このことから、VMC 導入のトレンドが進んでいることが見てとれます。

TLS/SSL

7 月 21 日には、今年の 6 月 18 日に Entrust 社がサイバー攻撃を受けたことが公に確認されました。Entrust 社の内部ネットワークは第三者に侵害され、企業データが盗まれました。しかし、顧客/ベンダーのデータが盗まれたかどうかはまだ判明していません。Entrust 社は 7 月 6 日にセキュリティ通知を顧客に送ることで、データ侵害の周知に努めましたが、その内容は、「現在に至るまで、この問題が当社の製品やサービスの運用とセキュリティに影響を及ぼしている兆候は見つかっていません」というものです。

マルウェア

Google は、約 60 件ものマルウェア感染されたアプリを Play ストアから除外しましたが、これらのアプリはすでに 3 百万個の Android デバイスにインストールされています。マルウェアは認証情報を盗み出し、SMS メッセージ、連絡先リストを盗聴します。ある場合は、勝手にプレミアム WAP サービスにサインアップすることさえします。影響を受けたアプリとして、Vlog Star Video Editor、Creative 3D Launcher、Wow Beauty Camera、Gif Emoji Keyboard などが挙げられます。
今月、GitHub には、マルウェアを格納した 35,000 個ものクローンプロジェクトファイルが送りつけられました。開発者の間では、オープンソースプロジェクトのクローニングが一般的な慣習として定着していますが、この場合、攻撃者は正式なプロジェクトをクローニングした後にマルウェアを追加して、GitHub に再投稿しました。GitHub からは、有害なリポジトリのほとんどが削除されました。
研究者は、Microsoft および Google をかたる偽のソフトウェアアップデートにより、攻撃者がマルウェアを拡散していると警告しています。HavanaCrypt は、Windows 10、Microsoft Exchange、Google Chrome のアップデートに似せた最新のランサムウェアです。

脆弱性

リリース 3.0.4 の OpenSSL に存在するバグによって、リモートコード実行が引き起こされる恐れがあります。OpenSSL は、7 月初旬にこの状況に関するアドバイザリー通知を発表し、その中で、この問題を回避するために速やかに OpenSSL 3.0.5 にアップグレードするよう推奨しました。
Apple 社は 7 月に、全デバイスを対象にセキュリティパッチをリリースし、何十もの脆弱性の修復に努めました。これらのパッチは、iOS、iPadOS、macOS、watchOS、tvOS に存在する 37 以上の個別の不具合を解決します。
7 月中旬には、Google ドライブがマルウェアの配布元として悪用されていることを研究者が警告しました。SolarWinds への攻撃を実行した脅威グループ APT29 は、Google ドライブを使用して、ポルトガルとブラジルの外交官と大使館を標的としたマルウェアを配布しました。

データ侵害

7 月初旬に、イギリス陸軍の Twitter アカウントと YouTube アカウントに対してハッキング攻撃が仕掛けられました。ハッカーは、暗号通貨に関する動画を YouTube チャンネルに、NFT に関する投稿を Twitter に上げました。犯人は特定されませんでしたが、イギリス陸軍は両方のチャンネルの制御を取り戻しました。
匿名のハッカーによれば、中国の約 10 億人の住民データは、1 年以上も誰でもアクセスできる状態にあるとのことです。これは、歴史上最も大きなデータ流出であると言えます。データは上海警察が収集したもので、データが公開されてしまったきっかけは、2021 年 4 月に起きたバックドアリンクのセキュリティ侵害であると、その匿名のハッカーは主張しています。
人気の高いオンラインペットゲーム、Neopets は、個人情報のデータ侵害の被害を受けました。これにより、何百万人ものアカウントユーザーの情報がさらされる恐れがあります。それらのデータにはメールアドレスとパスワードが含まれていたため、早急にパスワードを変更することを推奨しています。

政府規格

米国司法省は、米国の医療機関を標的としていた北朝鮮のハッカーから 50 万米ドルを押収しました。この 50 万米ドルは、米国の病院と他の医療機関が北朝鮮のハッカーに支払った暗号通貨によるランサムの費用でした。FBI によると、この速やかな対応を可能にしたのは「迅速な報告」でした。これは、バイデン大統領が 3 月に署名した法令の結果です。この法令により、重要なインフラ企業は、ランサムを支払ったことを 72 時間以内に政府に報告しないといけなくなりました。

停止

7 月中旬には、50,000 人のユーザーがTwitter を使えなくなる事態が生じました。停止の影響を受けたのは、Twitter サイト、Twitter （モバイル版）、および TweetDeck アプリです。
大手通信事業者の Rogers でサービス停止が起きた結果、人々がインターネット、モバイル、ケーブル回線を利用できなくなる事態が生じました。中には、911 緊急サービスに連絡できないユーザーが出るなど、深刻なケースもありました。

耐量子暗号

NIST が最初の量子耐性暗号化アルゴリズムを選定したということは、組織における暗号化の俊敏性の実現に向けて、新しい暗号化アルゴリズムのテストを開始する良い頃合いです。
しかし、最後に選定したアルゴリズムの 1 つ、SIKE （Supersingular Isogeny Key Encapsulation）は、一般的なパソコンで 1 時間以内に解読されました。この脆弱性を解消できなければ、NIST はこのアルゴリズムを採用検討から外す必要に迫られるでしょう。これは、暗号化の俊敏性がなぜ重要かを思い起こす契機になります。暗号化の俊敏性を持つことで、従来のアルゴリズムか PQC アルゴリズムを問わず、脆弱性が検出されたときにアルゴリズムを簡単に交換できます。