オランダデータ保護機関、Windows10を違反認定
世の中的にはKRACKが大騒ぎですが、その分、日本語でも情報が比較的あるので、こちらでは割愛します（公式サイトは読みましたが）。
さて、今回の本題。
「オランダデータ保護機関：マイクロソフトはWindows 10においてデータ保護法に違反」←公式（英語）
https://autoriteitpersoonsgegevens.nl/en/news/dutch-dpa-microsoft-breaches-data-protection-law-windows-10autoriteitpersoonsgegevens.nl
「オランダプライバシー規制組織、Windows 10が法に違反と認定」←本件を扱う記事の1つ
フランスなどの調査が終わったWindows 10のプライバシー問題ですが（詳細は「Windows10」タグからどうぞ）、今度はオランダからです。今回は最初から違反認定です。
- 利用者に、取得するデータの種類と目的を明確に示していない。
- デフォルト設定を選んだ場合ん、アプリの利用や、Edgeを通じたWeb利用時の行動履歴について、継続的にデータ取得していることを明確に利用者に伝えていない以上、（法的に有効な）同意は「不可能」。
- Creators Updateへのアップグレード時、それまでのプライバシー設定を尊重せず、デフォルト設定を常に「Full」にしている。
- 今後の対応によっては罰則を適用する。
Basicレベルでのデータ取得は「デバイスの利用に関して限定的なデータが処理される」としており、問題ないとの判断です。
なお、次回（Fall Creator Update）でも様々な変更が起こります。アップグレードする場合はプライバシーを含んだ設定が変わる可能性があるので、ご注意ください（こんなことに注意するなんて、本当におかしな話とは思いますが……）。
そしてWindows Updateの不具合も。10月の不具合は主にWindows 10向けでした。
https://freesoft.tvbok.com/cat97/2017/2017_10_windows_update.htmlfreesoft.tvbok.com
米EquifaxとライバルTransUnion、訪問者を偽Flashに導く
「EquifaxのWebサイト、再びやられる。今回は偽Flash更新ページへリダイレクト」
「EquifaxのライバルTransUnionも、サイト訪問者を悪質なページへ転送」
1.5億人分のSSN（社会保障番号、米国のマイナンバー）等を流出させたEquifax。そのサイトを閲覧すると、今度は偽Flashのインストールを求めてきた、という話題です。訪問者によっては「iPhone Xのテスターに選ばれました！」という悪質な広告に行き着く模様。
ライバルTransUnionも、中央アメリカ向けのサイトを閲覧しようとすると、同様なページにリダイレクトされるとのこと。しかも途中から同じ経路を通っているようです。
2社がほぼ同時に同様の状況になっていることもあり、広告にマルウェアが仕込まれる "Malvertising" が起きている可能性が指摘されています。
スバル車のキーレスエントリーに脆弱性
「スバル車、未パッチの脆弱性利用でキーレスエントリーの複製が可能に」
タイトルの通りなのですが、スバル車の一部のキーレスエントリーは、１回正規リモコン（fob）の電波を受信できれば、複製が可能ということが発覚しました。
この話、2015年に出た話題に似ているかのような印象を受けます。
この例では、持ち主のリモコンの電波を妨害する一方でクラック用装置内に保持し、以後はコードを１回ずつシフトした形で使うというものでした。
しかし、今回の方法では、傍受できれば次の乱数が予測可能となる点で、大きく異なっています（詳細は割愛しますが、元記事を読んでgoogleを使えば分かる通り、乱数になっていないのです）。電波を妨害する必要がないので、（いやな言い方ですが）実用的です。さすがにネット経由での攻撃はできないものの、わかっている人間が装置を作っておけば、該当するスバル車からオーナーが離れるところに出くわしたが最後、簡単に鍵を解除できるものと思われます。
この件を発見した研究者はスバルに問い合わせたものの、まともな応答を受けていません。また上記記事元（bleepingcomputer）も問い合わせを出していますが、返答は来ていないそうです。
なお、この脆弱性が日本国内のスバル車にもあるかは不明です。
カスペルスキーの件の続報と国家の監視
「いかにしてイスラエルはロシアのハッカー達が全世界から米国の機密情報を漁っていたことを知ったのか」←今回の元記事
「イスラエル、カスペルスキーをハックし、NSAにツールの流出を伝える」
「カスペルスキーのアンチウイルス製品がいかにしてロシアのハッカー達がNSAの機密窃取を支援したか（報道）」←上記2記事の紹介、解説
先日の件の続報です。
今回は登場人物が多いので、本件での箇条書きで位置づけを書いておきます。
- 米（NSA）：機密情報を盗まれた（とされている）
- ロシア：NSA機密情報を盗んだ（とされている）
- カスペルスキー：ロシアの窃取を支援した（とされている）
- イスラエル：何らかの事情でカスペルスキーの社内ネットワークに侵入した（とされている）
今回の話は、2015年から始まります。カスペルスキーの社内ネットワークにマルウェアが侵入していた、という発表がありました。このマルウェア「Duqu 2.0」は、かつてイランの核開発を遅らせようとして米国とイスラエルが共同で開発、送り込んだとされる「Stuxnet」の後継的なものといわれています。
今回のNYT(New York Times)の（匿名情報源による）報道によれば、この時の侵入者はイスラエルで、彼らは侵入先（カスペルスキー）の状況をリアルタイムで把握できていた、とのこと。この時、侵入者側が調査していたのは、国家によるサイバー攻撃（Equation Group(NSA)やRegin(英GCHQ)など）についての調査状況だったようです。
そしてこの時、イスラエル側はロシア政府がカスペルスキー製品を通じて、それをインストールした先のPC内にある機密情報を漁っていたことをつきとめ、スクリーンショットなどをNSAに提供したとのこと。
また、ワシントンポストの記事では、カスペルスキーのアンチウイルス製品は、マルウェアと無関係なファイルについても「サイレント・シグネチャ（silent signatures）」をとり、「機密情報のキーワードなどを含むファイル」を検出していた、としています。さらに、この手法が「誤検出を防ぐためにサイバーセキュリティ業界で広範に使われている」とも書かれています。
同記事では、CIAの対ロシア業務経験者など（これらの部分は実名）の、カスペルスキーがロシア政府やFSB（旧KGB）の要望をはねのけることは事実上不可能だろうとするコメントも紹介しています。
さらに、silent signatresについて、WSJからさらなる続報が出ました。下記はそれを紹介するArsの記事です。
「カスペルスキー、アンチウイルス製品をロシアがNSAの機密を盗むのに役立つよう修正したと報じられる」
こちらも例によって匿名の米政府関係者がソースです。また、silent signaturesが導入された時期や対象範囲などの肝心な部分は記載がありません。
なお、ドイツは現状では事態を見守っているようです。
「ドイツ：カスペルスキー製品がロシアによるハッキングに使われたという話は根拠なし」
ちなみに、諜報組織による侵入も複雑になっています。ある組織が侵入したところに、さらに別の組織が入る事態が既に発生しているといわれています。これは、例えば技術力が低い組織でも、高い組織の侵入を利用してカバー範囲を広げられるなどのメリットがあります。
「スパイはハッキングする。しかし最高のスパイは他のスパイのこともハッキングする」
ところで、アンチウイルスソフトがある意味で優秀な侵入経路になる、というのは以前からセキュリティ界隈では言われてきていることですが、その意味では、OSやファームウェアは、さらに優秀な経路になる可能性があります。例えば一部のAndroidスマートフォンに搭載されるADUPS (Shanghai Adups Technology)社のソフトが個人情報を外部に流しているという話が去年話題になりました。
また、Windows10のデータ収集も（一応範囲は公開されたものの）かなり項目が多い状態です。
さらにサービスについても、スノーデン氏がNSAの活動を明らかにしていますし、米Yahooメールは、米政府が全ての内容を検索するバックドアを設けさせられています。
スキミング詐欺を検出する？アプリが登場
「ガソリンスタンドでのクレジットカードスキミング詐欺を検出できるAndroidアプリ」
電子工作では有名なSparkFunのCEOであるNate Seidle氏が、「Skimmer Scanner」というAndroidアプリを公開しました。
こちらはSparkFun公式の記事です。
https://learn.sparkfun.com/tutorials/gas-pump-skimmerslearn.sparkfun.com
公式記事によれば、そもそも今回の話は行政からSparkFunに対してスキミング装置についての調査依頼があり、3台の装置を調べたことが発端です。
このアプリは、（米国の）ガソリンスタンドに設置されるスキミング装置の多くがArduino用BluetoothシールドHC-05（※リンクは最小のURLで、かつ現在品切れでした）を使っていることを利用します。
さらに、HC-05のデフォルトパスワード（1234）と、多くのスキミング装置に共通する「'M'と送ると'P'と返ってくる」挙動を使います（後者は、販売されているスキミング装置の仕様でしょうか）。
「アプリを入れたくない」「そもそもAndroid使ってない」という人は、とりあえずBluetoothを起動して周囲をスキャンし、「HC-05」が見つかったら気をつけるのも一手ですし、もし端末（コンソール）が使えるようなら、HC-05に対して'M'を送ることで、このアプリと同じ判定ができます。
こういうのが出てくると対策がとられるのが常ですが、同時に古い型のものも当面は残るでしょうし、スキミング装置がBluetoothで通信するかも、と思っているだけで役に立つかもしれません（とか言ってるうちにZigbeeなどに移行するかもしれませんが）。
ネットストーカー容疑者、VPNログが決定打となり逮捕
「ネットストーカー容疑者、VPN業者からFBIへのログ供与の後に逮捕される」
ルームシェア先の人々（など）にネット上での膨大なハラスメントを行った容疑で、24歳の男性が逮捕されました（詳細の記述もありますが、身元を偽って犯罪告白をしたり、各種アカウントをクラックして写真や過去の日記などをばらまいたりしています。また過去の同級生も同様の嫌がらせを受けていたと述べているなど、かなり問題の多い人物とみられます）。
この男性は嫌がらせなどをTorやVPN経由で行っており、警察の捜査は難航、FBIに捜査を依頼しました。FBIは男性の以前の勤め先の（一旦初期化した）PCから情報を復元するなどしましたが、さらにVPN業者（PureVPNとWANSecurity）からもログを取得し、逮捕の根拠としました。
WSJ、NSA情報窃取をカスペルスキーに関連付ける報道
「ロシアがNSAの秘密情報をカスペルスキーの協力のもと窃取したと報道、現在わかっていることは何か」
WSJ（ウォールストリートジャーナル）において、NSAの秘密情報をロシアが窃取したとの報道がありました（元記事（有料））。
冒頭のリンクは、このニュースについての分析記事となっています。
WSJの記事で述べられていることを箇条書きで示します。
- 2015年、NSAの業務を請け負った人物が、自宅のPCをクラックされ、そこからNSAの機密情報を含んだファイルをクラッカーに盗まれた。
- この人物の自宅PCには、カルペルスキーのアンチウイルス製品がインストールされていた。
- 機密情報には、NSAが他国のコンピューターネットワークに侵入する方法や使っているツールのソースコード、米国内のネットワーク防御方法が含まれる。
- クラッカーはロシア政府のためにこの窃取を実施した。
- クラッカーはカスペルスキー製品により機密ファイルが当該PCに存在することを確認してから窃取した。
- 米国の調査関係者は、カスペルスキー製品の利用により、ロシアのクラッカーに、NSAのファイルが存在するという警告が発生したと考えている。
本ブログの「Kaspersky」タグを見れば分かるように、米政府はこのところカスペルスキーを排除する姿勢を強く見せていました。今回の記事は、この流れの中のエピソードと言えます（実際、WSJの記事は主に米政府関係者からの情報で構成されているようです）。
ただ、この記事はあまりにも具体的な情報がありません。また、カスペルスキーの位置づけは、記事では明確には示さず、ロシア政府に協力したことを匂わせるに留めています。しかし、明確な証拠のない状態では、積極的あるいは消極的な協力なのか、それとも製品の脆弱性を突いてクラッカーが侵入したのかは不明としかいえません。セキュリティ関係者の見解も（Ars Technicaの記事では）賛否両論といった様子です。
ただ、少なくとも今回の報道により、同社の米国（等）での立場が悪くなったことは間違いないところです。
なお、他社の製品も含めて（マイクロソフトのSecurity Essentials/Defenderも）、現在の多くのアンチウイルス、アンチスパイ製品は、怪しいファイルをサーバに送る機能がついています。機密情報を扱うのであれば、扱う環境はよく考えなければならないでしょう。
また、Ars Technicaの記事で指摘されていますが、NSAの情報はこの数年で少なくとも3回、関係者により持ち出されています（言うまでもなく、そのうち1回はエドワード・スノーデン氏によるものです）。「情報は漏れる」ということを、リスクとして考慮しておくことも必要なのでしょう。
