空港のフリーWifiはトム･クルーズをも遠ざける

フリーWifiの記事を書いてたら、米国の空港Wifiのランキングを見つけました。夏休みで海外空港を使われる方も多いかと思いますが、海外空港でのWifi利用については少し慎重になる必要があるかも知れません。

www.zaikei.co.jp

Wi-Fiの利用が危険な空港トップ10とスコアは以下の通り。

いずれもデバイスに適切な保護を行っていなければWi-Fiの利用を避けるべき、危険度スコア5.9以上となっている。

空港 スコア

・サンディエゴ国際空港(SAN) 10

・サンタアナ・ジョンウェイン空港(SNA) 8.7

・ヒューストン・ホビー空港(HOU) 7.5

・フォートマイヤーズ・サウスウェストフロリダ国際空港(RSW) 7.1

・ニューアーク・リバティー国際空港(EWR)7.1

・ダラス・ラブフィールド空港(DAL) 6.8

・フェニックス・スカイハーバー国際空港(PHX) 6.5

・シャーロット・ダグラス国際空港(CLT) 6.4

・デトロイト・メトロ空港(DTW) 6.4

・ボストン・ローガン国際空港(BOS) 6.4

5位のリバティー国際空港では中リスクのネットワークに接続する可能性が1%、高リスクのネットワークに接続する可能性が0.6%なのに対し、一位のサンディエゴ国際空港ではそれぞれ30%、11%に跳ね上がる。サンディエゴは危険度スコア満点であり、正規のWi-Fiアクセスポイントと同名の偽(Evil Twin)アクセスポイント「#SANfreewifi」がARPポイズニング攻撃を実行しているとのこと。

CNBCの記事に少し見やすい表があったので、こちらを引用してみますが、日本から直行便アクセスがある空港は、サンディエゴ位ですね。

（図引用：CNBC記事）

◆キタきつねの所感

サンディエゴ国際空港は私も使った事がありますが、国際空港ではありますが、ロサンジェルスやシアトルなどの大きな空港が多い米国において、そんなに大きな空港ではありません。メキシコの国境（不法移民）が多いから若干治安が・・という部分はある街ではありますが、他の大都会に比べて治安が悪い印象も無かったのですが、こうした偽アクセスポイント（ホットスポット）のチャレンジ（攻撃）が行われる要因かなと思ったのが、軍港がある事でしょうか。

サンディエゴの観光スポットとして、一番有名なのは、「ミッドウェイ博物館」だと思いますが、この博物館から対岸には現役の空母が停泊していたりします。軍港としては横須賀以上に大きな規模を誇ります。

サンディエゴの空港側は、NBCのインタビューに対して

The San Diego International Airport gave NBC 7 a statement Monday regarding the ranking: 

While we don’t fully understand the methodology used to generate the report, the protection of sensitive information is always a priority for the airport. As a public wireless provider, we encourage users to follow basic safety measures to protect themselves while using any public wireless network. The airport employs tools to quickly identify, locate, and disable malicious rogue wireless access points. We’re ever vigilant in that regard and will continue to monitor and take the necessary measures to help protect users.

（NBC記事より引用）

ランキングの手法について分からないと言いつつ、空港にとっては機微な情報を保護する事は優先順位が高く、パブリックなワイヤレスプロバイダーとして（空港は）、ユーザに対して安全な方法でパブリックなワイヤレスネットワークを使う際に、自身を守るための手段について奨励してきた（自分らはやる事はやってきていたはず）と答えています。

その対策として、ツールで疑わしい野良ワイヤレス（Wifi）のアクセスポイントを検知しつぶしてきたとも言っています。

日本の空港も、当然この位はやっていると信じたいのですが、定期チェックしてない場合は・・・日本の空港は大きく評判を落してしまうかも知れません。

サンディエゴがランクが低いのは、軍事基地を抱えている（そしてそこから近いので多くの軍関係者が使っている）からでないかと推測するのですが、軍の機密情報と、民間の（クレジットカード）情報が効率よく窃取できる可能性があるとすれば、やはり意図的に犯罪者に狙われているのかも知れません。

因みに、NCBの記事では空港での疑わしいWifiに対して、こんな書き方で注意を促していました。

• Think You've Seen Tom Cruise Around San Diego? Think Again!

"The report which drew attention to this problem located an ‘evil twin’ at the airport,” added Cobb. “Which is an attempt to trick people into logging onto fake airport WiFi.”

（NBC記事より引用）

「サンディエゴでトム・クルーズを見かけたかい？もう1度良く考えて！」

これはトム・クルーズの代表作の１つでもある「トップガン」がサンディエゴで撮影された事にひっかけた言葉かと思います。

「トム･クルーズは（危ないから）サンディエゴに来てないのであり、（その理由はWifiが安全でないからという事を）皆さんももう1度考えてね」といった意訳になるかと思います。

まぁ、トム・クルーズは、プライベートジェットで（も）世界中を飛び回っているので、混んでいる国際空港よりは地方空港に降りそうですし、空港のフリーWifiではなく衛星接続ではないかと愚考しますが、

通信コスト削減ばかりを考えず、フリーWifiを使う前には、セキュリティを考えるべきと改めてユーザは認識すべきなのは間違いないようです。

今回の記事とは関係はありませんが、サンディエゴに行った当時の写真が出てきたので、少し貼ってみます。

空母ミッドウェイは、ある意味小さな町が展示されているくらい大きな展示物でした。湾岸戦争では現役だった訳ですが、中では退役軍人さんがボランティア（？）で当時のことを説明してくれました。

空母の全景を撮ろうとしたのですが・・・広角レンズなかったので無理でした。

水兵さんとその恋人がキスしている像（新聞で記事に取り上げられた写真を元にしている）ですが、ミッドウェイの横の公園にあるのですが、、、馬鹿でかく、アメリカを感じる像でした。

USS Midway and famous statue - Picture of San Diego, California - TripAdvisor

公園から対岸を撮った写真ですが、現役空母が２艘見えました。

最後は、サンディエゴの空港の中で撮った1枚。移動式の外貨交換所。珍しかったので撮っていました。

更新履歴

• 2018年7月28日PM（予約投稿）

なりすましWifiスポットの怖さ

帰宅してテレビをつけていたら、「信じるか信じないかは貴方次第です」でおなじみのやりすぎ都市伝説をやっていました。

www.tv-tokyo.co.jp

＞あなたのスマホに忍び寄る恐怖の罠

続いての都市伝説は、“iPhone芸人”かじがや卓哉 の「あなたのスマホに忍び寄る恐怖の罠」。普段多くの人が便利に使っているフリーWi-Fiだが、実は“なりすまし”がある…という内容に、スタジオ中に驚きの声が上がる。簡単に情報が知られてしまうネットの恐ろしさに、「俺、疎いから分からんわ」という司会の今田耕司をはじめ、市川紗椰、的場浩司ら観覧ゲストも、自分のスマホに登録している友人のタレントの連絡先が漏れているのでは？と戦々恐々。かじがやが伝授する、罠を阻止する方法も要チェックだ。

（ニコニコニュース記事より引用）

◆キタきつねの所感

フリーWifiスポット（のSSIDを）偽装の脆弱性については、色々なところで警鐘がなられています。しかしIDとパスワードの認証を経ずにWifiのSSIDをクリックするだけで接続完了するようなスポットは、自分のスマホが「自動接続」を可にしてないか、よく注意が必要な事は意外と知られていません。

SSID自体は簡単に偽装できます。例えばスターバックスのWifi（SSID:at_STARBUCKS_Wi2）は結構多くの方が使われているかと思います。

スターバックスのWifiについては、Free Wi-FIスポットエリア（スターバックスの店舗近辺）で使えるわけですが、

　※引用　ご利用方法（スターバックス）

正常であれば、ブラウザを起動してスターバックスの画面で接続ボタンを押さないとWifiは使えません。しかしスマホは一度接続したSSIDを覚えていて、自動接続設定があると、「at_STARBUCKS_Wi2」が近くにあると接続しようとします。仮にその接続先は偽SSIDスポット「at_STARBUCKS_Wi2（偽）」だった場合、スマホが自動接続を試みようとして、フリーWifiである（認証が無い）為に、本人が知らない間に（偽）アクセスポイントに接続してしまう可能性になるのかと思います。スマホが一定間隔でメールチェックを自動的にしている方であれば、もしかするとその認証情報（IDとパスワード）が（偽）アクセスポイントを設置している人に漏れているかも知れません。

こうしたリスクは結構前から記事になっていたかと思います。例えばGizmodo2016年記事では、

www.gizmodo.jp

このほどセキュリティ企業のAvast Softwareは、どれほど多くのスマートフォンユーザーが、セキュリティの危険を無視して、怪しげな無料のWi-Fiスポットへと接続してしまいがちなのかを実証する｢Avast Wi-Fi Hack Experiment｣を敢行。先日スペインのバルセロナで開催されたモバイル・ワールド・コングレス（MWC）への訪問客でにぎわうバルセロナ空港におきまして、4時間におよぶフィールドテストを実施しましたよ。

Avast Wi-Fi Hack Experimentでは、空港内の各所に、一見すると公式Wi-Fiスポットのような｢Starbucks｣や｢Airport_Free_Wifi_AENA｣といったSSIDのアクセスポイントを設置。また、MWCへの登録ブース横には、これまたオフィシャルっぽい｢MWC Free WiFi｣なるSSIDのアクセスポイントをセットアップして、いずれもパスワードで保護されていない、誰でも接続できる状態にしておきました。

すると、わずか4時間で、無防備にも同アクセスポイントへと接続したユーザー数は2,000人を突破！ こうしたセキュリティ設定の低い公共Wi-Fiの利用時には必須となるVPNサービスを、きちんと利用していたユーザーはほとんどいなかったんだとか。同社のテストスタッフには、接続ユーザーが、どんなサイトを閲覧し、スマートフォンにはどんなアプリがインストールされているのか、ほぼすべて丸見えとなっていたことが明らかにされていますよ。

（Gizmodo記事より引用）

比較的「意識高い系」のMobile World Congressの来場者も「Free_Wifi」の偽装にひっかかる実験結果が出ていますし、

オープンなWi-Fiスポットの利用は安全でないことくらい、多くの人が認識していることだ。とはいえ、たとえその点を認識していても、スマートフォンの設定次第では、自動的に（安全でないものも含め）Wi-Fiスポットへ接続してしまうことは、あまり認知されていない。

（Gizmodo記事より引用）

今回のTV番組で懸念として出されていた、Wfiiアクセスポイント（SSID）への自動設定の怖さも、詳細には書かれていませんが、出ていました。

最近では、西日本の豪雨被害に関しての注意喚起が総務省から出されていますが、これも無料無線LANに対して、悪いことを考える人がいる事、つまりコノ手の被害が増えてきている事を示唆しています。

www.soumu.go.jp

偽アクセスポイントであっても、被害を受けずにすむ方法、つまり利用者側の対策としては、プライベートVPN位しか私は思いつきません。とは言え、VPNソフトを使う方は少ないと思いますので、多くの方への対策にはならない気がします。

アクセスポイントを気をつけるといっても、簡単にSSIDは変えられる（偽装できる）ので、パッと見は見分けがつきませんし、ましてや最初の接続で「自動接続」を許可してしまっている場合は、自分が知らない間に接続してしまう可能性もありますので、、、

やはり、「自動設定」を外しておくか、無線を使いたい時だけ自分の知っている「アクセスポイント」を確認して手動接続する（普段はWifiを切っておく）程度しか防衛策を考えられません。

そうした意識をもてない利用者は・・・「タダ（無料）ほど怖いものは無い」という事をどこかで身をもって知ってしまう、かも知れませんね。

更新履歴

• 2018年7月28日AM（予約投稿）

Pwned Passwords v3リリース

Troy Hunt氏のブログにパスワード辞書としても活用が出来るPwned Passwords V3の告知が出ていました。

■　Troy Hunt: Pwned Passwords V3 is Now Live!

◆キタきつねの所感

Troy Hunt氏と言えば、DarkWebをウォッチしているオーストラリアのセキュリティ専門家で、パスワード漏えい事件を数多く報じており、日本の個人情報漏えい事件（情報開示）にも多大な影響を与えています。最近では自分のパスワードが漏えいしてないかどうかを教えてくれるサービスを提供していたりもします。

会員サイトやECサイトで会員情報を登録させている事業者であれば、どこでも「パスワードの使いまわし」には大いに悩まされていることと思います。ユーザがパスワードを使いまわししているかどうかは、なかなか判別がつきずらいのですが、今回発表された「Pwned Passwords V3」はある意味、”パスワード辞書”となっています。

自社サービスの会員パスワード登録の際に、こうした漏えい辞書を活用できれば、別なパスワードを登録させる事ができるので、多くの（海外）事業者がこうしたファイルを活用しています。Tory氏の辞書は・・・個人的な見解では、最新かつ実践的に漏れた内容が含まれているので、日本の事業者であっても活用できる気がします。

公開情報を見てみると、

The other thing that changes with V3 is the counts on the existing passwords. For example, the worst password in V2 was "123456" which had been seen 20,760,336 times. In V3, it's still the worst password (surprise, surprise), except the count has now been upped to 22,390,492 due to it being seen in the new breach corpuses.

例えば、よく使われる「surprise」という英単語のパスワードがどの位、事件として漏えいしたデータでカウントされたかが分かります。こうした頻度情報をうまく使う事で、すべての辞書を会員登録時に見に行かせる必要も無くなる、そうしたスクリーニングの上でこのファイルを使うのも有効な対策となるかも知れません。

日本の個人情報漏えい事件も数多く含まれていますので、会員サイトを持たれている企業は、一度チェックされると良いかと思います。

更新履歴

• 2018年7月15日PM（予約投稿）

明治大学もOffice365を狙われた

明治大学が不正アクセスを受け、個人情報を外部に流出した件がITメディア等で取り上げられていました。

www.itmedia.co.jp

■公式発表

　不正アクセスによるＳＰＡＭメールの送信及び個人情報の漏えいについて

■被害内容

　・踏み台にされてスパムメール送信（445件）

　・個人情報漏えい（112人）

　（明治大学公式発表より引用）

◆キタきつねの所感

セキュリティの観点で言うならば、明治大学及び事件を受けて取材するマスコミ各社は、「Office365」が狙われて、被害を受けた事をはっきりと明示すべきだと思います。大学のCSIRT間では情報交換がされるのかも知れませんが、クラウドが狙われているということが、事件を受けての発表からは伺い知る事ができず、類似の被害を受けてしまう大学・企業が出てしまうことを懸念します。

過去記事を振り返るまでもなく、大学というセクターはハッカー（攻撃者）に狙われている分野です。

foxsecurity.hatenablog.com

中でも、クラウドは多くの大学で採用されていますが、その脆弱点を理解した上でシステム設計しないと、クラウドが便利であるが故に多くの情報へのアクセスを許してしまい、不正アクセスが成功（1次被害）し、更に別なシステムへの侵害が狙われ（2次被害）、結果として大きな被害を受ける大学も出てきています。

foxsecurity.hatenablog.com

明治大学が使っているメールシステムですが、私でも5分とかからずに「Office 365」である事までたどり着きました。

Cloudに移行したのは、2014年の様で、大学関係者は知っておくべき情報ではありますが、正直、外部の人がアクセス可能な場所に開示するべきでない情報が掲載されている気がします。

それは例えば、こうしたマニュアルが誰でも見れる状態になっていました。

このマニュアルの中を見てみると、サインイン画面のログインの最大試行回数が20回である事も書いてあったりします。

攻撃者がこうした情報を得ていたとするならば、1アカウントについて19回は不正ログインが試行できる、と考えるかも知れません。

更に言えば、MeijiMail（オフィス365）へのWebからのログイン画面へのリンクも貼ってあり、学生や教職員にとって便利である反面、攻撃者にとっても、非常に楽にクラウドを攻撃する環境が整ってしまっている気がします。

明治大学には情報セキュリティを専門に研究しているところもある様ですので、一定水準以上のログイン監視をしている・・・であろうとは思いますが、

明治大学 情報セキュリティ研究室

情報セキュリティ研究室の紹介

当研究室のメインテーマは，「コンピュータネットワーク技術」と「情報セキュリティ技術」です．研究室のメンバーは，「Webセキュリティ」，「不正アクセス対策技術」，「OS・仮想化技術」，「インフラも含めたWeb技術」や「認証・アクセス制御技術」などを習得し，その上で，最新の研究トピックにチャンレンジしています．また，当研究室では，IT技術を利用・開発するだけではなく，それを創出し社会を支えていく指導的人材の育成を重視しています

（情報セキュリティ研究室のHPより引用）

学生や教職員のパスワードの使いまわしも、それなりにあるであろう事を考えると、現実問題として、IDとパスワードで今後も守るのは厳しいのではないかと推測します。なので、公式発表の再発防止策として書かれていた、

４ 今後の再発防止策
本学では，今回の事案が発生したことを踏まえ，学内情報システムで使用しているアカウント及びパスワードについて，より一層の厳重管理をするようルール化し，周知徹底を図ります。

　（明治大学公式発表より引用）

パスワード管理の啓蒙、といった対策は、恐らく潜在的脅威を若干低減させる程度でしかなく、同じ脆弱性を突かれて攻撃を受ける可能性は高いのではないかなと思います。

思え返せば、産総研の不正アクセスも、Office365が狙われました。 

foxsecurity.hatenablog.com

産総研の報告書では、ID/パスワードだけでは無く、外部からのアクセスには多要素認証の導入も書かれていたかと思います。明治大学も、事件を発生させてしまった以上は、単にパスワード管理強化だけに留まらず、もう少し追加対策を検討した方が良いのではないでしょうか。

少なくても、潜在的攻撃者に「攻めるのに役立つ情報」、すなわちOffice365を使っている事であったり、試行回数が○回である事、等々・・・マニュアル類を全世界に公開する事を継続するのは、よほどセキュリティ体制に自信がなければ辞めた方が良いかと思います。（技術情報を隠すのもセキュリティだと思います）

※学生にマニュアルをどうしても一般公開しなければいけないのであれば、例えば暗号化（パスワード付）PDFファイルを掲載すれば良いかと思います。

こうしたマニュアルの一般開示自体がリスクである事を、もっと攻撃を受けるかも知れない視点で見直すべきではないでしょうか。

更新履歴

• 2018年7月28日PM（予約投稿）

もはや日本語は壁では無くなりつつある

産経新聞の少し古い（5月）記事を見つけました。 

www.sankei.com

中国のハッカー集団が関与していることが多いとみられる攻撃の狙いは、主に安全保障に関わる機密情報や最新技術を盗み出すこと。かつてはメール文面に不自然な点が多かったが、このところは日本語の「上達」ぶりがめざましく、攻撃もいっそう巧妙化している。 

　「内閣府総合海洋政策推進事務局でございます」　３月１２日。２０１８～２２年度の海洋基本計画案の作成に携わった関係者に一通のメールが送信された。同案には、尖閣諸島（沖縄県石垣市）海域の緊急警備体制の強化なども含まれる。　送り主の欄には、実際に同計画案の取りまとめにあたる参事官補佐の名前があった。本文では、添付ファイルが計画策定に向けた論点などをまとめた文書だとしていた。これが実は、パソコン内の情報を盗み出すウイルスに感染させるための「罠」だった。「標的型攻撃」と呼ばれる手法だ。

（産経新聞記事より引用）

 

◆キタきつねの所感

標的型攻撃で用いられるメールの多くは、フィッシングメールで使われる手法が基本的にとられる事が多いのですが、バラマキ型で誰かリンクを踏めば良い･･･程度の期待度で投げられるフィッシングメールと違い、標的型は、その攻撃対象者を調べてから送られる為に、更に踏み込んだ注意が必要となってきています。

一般的なフィッシングメール手法について言えば、 

www.antiphishing.jp

辺りで攻撃キャンペーンのメール雛形をウォッチしていれば、かなり傾向が掴めると思います。

とは言え、フィッシング元として偽装される企業は大体決まっています。

マイクロソフト、Amazon、アップル等のユーザシェアが高い企業、Twitter、LINE、Facebook、Linkedin等のSNSアカウント、そしてPayPal、銀行（MUFG、楽天カード、OMC、セゾン）や仮想通貨取引（bitFlyer)なども、ここ1年位でフィッシングメールがバラかまれていますが、警戒する企業メールが大体固まっているだけに、多くの人がひっかかる状況ではなくなりつつあります。

一般的なフィッシング対策では、例えばトレンドマイクロの以下の記事が参考になるかと思います。

is702.jp

・「個人情報や認証情報を安易に要求してくる」メールに用心する。
・リンクをクリックする前に、URLの上にマウスカーソルをかざして表示される「参照先」を確認する。
・「心当たりがないタイミング」で、勝手に送られてくるメールは非常に疑わしい。
・「登録したものと異なるアドレスに届いたメール」は、一斉配信されたスパムの可能性大。
・「期限を区切って早急な対応を求める」「威圧的・脅迫的な内容」のメールも危険。
・「普段と異なるドメイン」から送信されたメッセージは危険信号。Web検索で確かめるのもよい。
・「あいさつ文がない、個人名を書いていない等、普段と異なる書式」のメッセージは危険信号。
・「画像を読み込まない」「表示が崩れている」メッセージは危険信号。
・文法間違いやスペルミス等、「不自然な文章」のメッセージは危険信号。
・「無意味な文字列」のメールタイトルは、通常ありえない。
・自身が使用しているメールクライアントの機能を再確認し、不審メールはブロックする。
・日本の銀行、クレジットカード会社等の金融機関は、基本的にメールによる口座番号や暗証番号、本人確認は行っていない。
・会員番号を使用しないサービスから会員番号を含むメールが送られてきた際には注意が必要。
・個人情報を扱う正規サイトでは、通常「HTTPS」通信が使用され、ブラウザに錠前マークが表示される。

（Trendmicro is702記事より引用）

これらの不自然さポイントの内、中国語フォント（簡体字）が使われていたり、助詞の使い方が明らかに変であったりする、少し前にフィッシングメールで見かけられた特徴は改善されているようです。それは、攻撃者側が、対象者の受け取るであろうメールを分析している事が大きい気がします。

日本年金機構であった攻撃の手法の様に、周辺のアカウントをまずは狙い（マルウェア感染させ、実際に送付しているメールを分析し）、実在し、実際に攻撃対象組織とメールのやり取りがある個人名を使う攻撃に結び付けているようです。

それ以外では、業界で使われていて不自然ではない文面、添付ファイル名を偽装してきている標的型メールは増えていると思われますが、政府がサポートする攻撃組織に知見・経験がついた事と、日本語を話す人（日本人とは限らない）が攻撃メールを監修している事も要因としてありそうです。

エンドポイント製品も潜り抜けるフィッシングメール（添付マルウェア）も多くなってきている事を考えると、こうした攻撃手法を従来の「エンドポイント製品」や「人の注意」によるフィッシングメール対策だけで防ごうとするのはもはや限界がありそうです。

対策費用やメール送信の手間は少しかかりますが、公官庁等々の「狙われる程の重要対象組織」であるならば、証明書付きメール（PGPやS/MIME）が一番効果がある気がします。とは言え、これらの技術はかなり前からありますが、普及しているとは言えないので、何か隠れた問題があるのかも知れません。

別な対策では、とあるセキュリティセミナーで拝聴した、メールの送信経路（大体において変な国を経由したメールとなっている）を判別するソフトウェアも、人は普段見てなくて、なかなか攻撃側が偽装しづらい部分なので効果があるかも知れません。

もう１つ、決済分野での導入が多いのですが、リスクベース認証も、ある意味怪しげな情報のビックデータ分析であるので、技術的には今後、標的型メール防止判断で主要なポジションを占めていく可能性が高いかと思います。

一昔前は、「日本語環境だからハッカーに狙われない」（※いわゆる日本語の壁）と言われていましたが、今や昔。国際的なハッカーが、高度な攻撃手法と日本語メール偽装の知見をつけて攻撃してくる時代になりつつある、そうした「壁が崩れた」認識の下で考える事が重要なのです。

更新履歴

• 2018年7月22日PM（予約投稿）

キーボードからの情報窃取

定期巡回しているHelpnetSecurityの記事に面白い情報が載っていました。

www.helpnetsecurity.com

Computer Science Ph.D. students Tyler Kaczmarek and Ercan Ozturk from UC Irvine’s Donald Bren School of Information and Computer Sciences (ICS), working with Chancellor’s Professor of Computer Science Gene Tsudik, have exploited thermal residue from human fingertips to introduce a new insider attack — the Thermanator.

“It’s a new attack that allows someone with a mid-range thermal camera to capture keys pressed on a normal keyboard, up to one minute after the victim enters them,” describes Tsudik. “If you type your password and walk or step away, someone can learn a lot about it after-the-fact.”

（Helpnetsecurity記事より引用）

■研究論文　https://arxiv.org/pdf/1806.10189.pdf

◆キタきつねの所感

記事を取り上げておいて何なんですが、私はこの攻撃手法の実効性については「ほぼ無い」と思っています。この攻撃を簡単に言えば、

・パスワードを入力後のキーボードの熱をカメラで読み、パスワードを窃取する攻撃

だと思うのですが、パスワードを入れた後にユーザーが何をするのか？と言えば、ネットサーフィンをするか、キーボードを叩いてメール等を打つのが普通だと思います。前者で言えば確かに熱は残っているかも知れませんが、トイレにでも・・・と席を離れるまでには、それなりの時間が経過しているものと思います。パスワード入力後すぐに温度検知ができればともかく、時間が経ってしまっても・・・検知できるんでしょうか？

後者すなわち、メールや資料を作る、あるいは今の私のように記事を書く・・という行動をしていた場合、キーボードのキーは数多くたたかれ、パスワードに使われたキーの熱がどこであるか、検知できる気がしません。

更に言えば、パスワードの事しか考えてませんが、普通のログインでは「ID」を入れますので、、、とても短いIDとパスワードであれば、すぐに推測できるかも知れませんが、熱の残り方次第ではあるのでしょうが、試行でパスワードを間違う率は高いのではないでしょうか？

学生さんの研究にケチをつけるのはどうかと思いますが、ある意味セミプロであるべき、コンピュータサイエンスの博士号を持つ学生が考える攻撃手法とはとても考えられません。（それを指導した教授も如何なものかと思いますが）

因みに、、、この攻撃が最も有効なのはキーボードではなく、ボタン鍵だと思います。

長沢製作所 KEYLEX800-22805キーレックス 800シリーズ ボタン式 暗証番号錠 (鍵なし)　面付け 引戸対応 鎌錠型 防犯 ピッキング対策

工事現場の入り口だけでなく、様々な入り口ゲートで使われている鍵ですが、これだったら番号を押す機能しかありませんので（キーボードの様にパスワード入力以外の用途でも使われず、IDも入力されない）、結構有効な攻撃だと思います。

※こうしたボタン鍵の攻撃手法は他にも複数存在するので、、、このタイプの鍵を使っている事自体が脆弱な気もしますが・・・ 

更新履歴

• 2018年7月15日PM（予約投稿）

フィットネスデータ開示のリスク

フィットネスバンドPolarのデータ追跡の記事が出ていました。

japanese.engadget.com

オープンソースやソーシャルメディアでの問題を専門に調査しているBellingcatとオランダのメディアDe Correspondentが共同で、フィットネスバンドPolarの専用アプリ「Polar Flow」を調査、その結果を発表しました。

それによると、核兵器を保管している施設に出入りしている人や原子力発電所で働く管理職、北朝鮮の国境付近に駐留する兵士など、およそ6500人の個人情報を取得し、自宅の場所なども特定できたとしています。

Polar Flowには他のユーザーがどんなコースを走っているのかを地図上で見られるExplorerという機能があり、これを使い軍事施設などの付近を走っている人を特定。これらのアプリを使う人は本名で登録している人が多く、Linkdinなど他のソーシャルメディアで公開されている情報と照らしあわせて個人を特定できたとのこと。

また、ランニングを始める際、自宅の前で記録を開始・終了することが多いので、特定した個人の記録を調べることで自宅の場所が分かるとしています。さらに、フィットネストラッカーは標高も測定できるため、中にはアパートのフロアまで特定できた人もいたそうです。

（engadget記事より引用）

◆キタきつねの所感

同様な記事を見たな・・と思っていたら、ありました。Stravaでも同じ様な脆弱性が指摘されていました。

gigazine.net

フィットネス情報については、スタートとゴールポイントが、その使用者の居住地である事が多く、それが軍人であれば秘密軍事基地の場所の漏えいにつながる訳であり、個人であれば自宅が判明してしまう可能性が高いのです。

他のネット上のライバルと競い合う事により、モチベーションアップにつながる事は良い事ではありますが、特に情報をオープン開示するフィットネスサービスや機器については、その開示は慎重になるべきかも知れません。（軍等の）組織であれば、そうしたツール使用を禁止する事まで視野に入れるべきでしょうし、個人であればFacebook,Twitter等にヒントとなる情報を挙げない事が出来なければ、ちょっとした匿名書き込みについて・・・炎上した際は、自宅を含む個人情報が特定される事にまでつながるかも知れません。

ビックデータ分析を大型コンピュータ（AI）が実施するのが当たり前になってくると、無価値で匿名と思っていた自分のデータが、意図しない活用をされてしまうリスクがある、そうした事を意識しながらフィットネスデータも開示の許可を考えるべきと言えそうです。

因みに、以前見た、StravaのHeat Map（※誰でも見れます）で北朝鮮と韓国の国境線あたりを見てみると・・・

韓国側は国境線の近くまで、日常的に走る人が居る（軍人とは限らないかも知れませんが）事が分かりますし、北朝鮮側は、、Stravaを使う人が居ない（フィットネス情報収集ツールは使われていない）事が一目瞭然でした。

更新履歴

• 2018年7月15日PM（予約投稿）