David the smart ass

心のダイエット！～時には辛口メッセージを～

Ｔｉｔｌｅ　Ｌｉｓｔ

今こそ情報公開＆安全宣言を！～不正アクセス＆Web改ざん～週別集計

2008-04-29-Tue

Ｗｅｂ改ざんと不正アクセスに関しての話題の続報を書くことにします。特別にわたしに情報が入ってきているわけではないのですが、この関連の記事を書くたびにトラックバックを送っているschutzさんのブログのコメントにこんな情報がありました（「通行人」と名乗る方のコメントです）。

メールを送ってみてはいかが？
何やら改竄被害にあったブログの主が送ったメールには
ちゃんと返答してるみたいですよ。

ttp://ffxiwar.blog91.fc2.com/blog-entry-236.html#more

ここに紹介されたURLの記事には、FC2（ブログの方ではないようです）からの返信のアウトラインが書かれていました（個人的にはこうしたメールの公開には慎重であるべきだというのが持論ですが、問題の性質からブログ主は公開されたことと理解し、感謝します）。

（質問に対して運営サイドから）何の報告もないまま一週間が経過したので返事を催促したところ
・iframeタグが有害であるため、即日運営側にて削除したこと
・当該改竄は中国IPからの不正ログインであること
・対策以前の改竄で、今回の対策完了によりHPスペースも安全であるとのこと
・iframeタグの削除が連絡無しで行われたことに対する謝罪
ｅｔｃが丁寧に返信されてきました。

ブログ主（R-typeさん）は、ＦＣ２ブログのユーザーでもあり、またＦＣ２のＷｅｂスペースを利用もしているようで、先にＦＣ２ブログに問い合わせをしたがなかなか返事がなく、Ｗｅｂスペースの運営サイドからはこのような返事を受け取ったということのようです。

なお、Ｗｅｂスペースの利用者が少なかったので、（改ざんされた）該当iframe自体も、運営側にしっかり見てほしくて削除せずに置いたところ、運営サイドによって問題の＜iframe＞タグ部分が、通報した当日消去されていて、迅速な対応を確認したということが述べられています。これはFC2ブログでなくて、FC2のWebスペースの話であり、時系列的にはFC2ブログの改ざんの一報よりも時期的に幾分遅いタイミングということになるようですね。

ま、このように具体的な実例をあげるユーザーもいるわけですから、ＦＣ２ブログとして現時点で把握している情報を公開するとともに、施した対策も明言してぜひ安全宣言をしてほしいと思います。前にも書いたのですが、テンプレートが改ざんにあって、ウィルス感染の踏み台にされるというような心配があっては、テンプレ作者も不安なままだと思います。ＦＣ２ブログの安全宣言をぜひしてほしいと願っています。

さて、またここで記事の引用です。今回の件で、たびたび閲覧するようになったＩＴｐｒｏに「「Web改ざん攻撃は、IISの脆弱性が原因ではない」――マイクロソフト」（４/２８）というような記事が載っていました。

2008年3月以降、「SQLインジェクション」によるWebサイトへの不正侵入が相次いでいる。不正侵入により、Webページを改ざんされたり、顧客情報などを盗まれたりしている。

　一部報道では、侵入されたWebサイトのほとんどはIISやSQL Server、ASP（Active Server Pages）を利用していたので、一連の不正侵入は、これらの製品や技術の脆弱性を悪用している可能性があるとほのめかしている。記事の中には、2008年4月に同社が公表した、修正パッチ（セキュリティ更新プログラム）未公開のWindowsの脆弱性（マイクロソフトセキュリティアドバイザリ951306）との関連性を言及しているものもあるという。

　しかしながら、同社スタッフは公式ブログにおいて、これらをすべて否定。一連の攻撃は、同社製品や技術の脆弱性を悪用するものではないと強調している。あくまでも、それぞれのサイトが使用しているWebアプリケーションの脆弱性が原因であり、その脆弱性を悪用してSQLインジェクション攻撃が行われているとしている。
　　→　ITpro：「Web改ざん攻撃は、IISの脆弱性が原因ではない」――マイクロソフト

がははは、笑って失礼～、正直、何が書いてあるのか細かなところはわたしには頓珍漢でさっぱりわかりません。

ただ、要するに、引用部分の赤い文字にしたところが結論で、ここのところ問題になっているWeｂ改ざんの原因について、一部の報道にあるようなさまざまな脆弱性について、マイクロソフトは公式ブログで否定したとういことですね。そして、同社製品や技術の脆弱性を悪用しているのではなくて、それぞれのサイトが使用しているWebアプリケーションの脆弱性が原因で、その脆弱性を悪用してSQLインジェクション攻撃が行われているという見解を示したというのですね。

これを、「FC2ブログのテンプレ改ざん事件」に照らし合わせてみますと、マイクロソフトに言わせると「マイクロソフト社の製品や技術の脆弱性が問題ではなくて、FC2ブログのシステムの脆弱性が原因」ということになるのです。FC2ブログからは、そこのところは公開されていませんが、「対策をとることができた」とういことを言っているわけです。

ちょっと言葉遊びというか、禅問答的になってしまいますけれど、それはどこについての対策だったのですようか？　マイクロソフトが言うような各Webアプリ側の脆弱性の問題を解決したのでしょうか？　それとも、一部報道にあるようなマイクロソフトに起因する脆弱性についての対策をしたのでしょうか？　FC2ブログがした対策が、あるいは的外れな対策に終わっているということもあるのでしょうか（ちょっと失礼な言い方ですが、もし、「一部報道」的対策しかしてないというのであれば、マイクロソフトに言わせるとこうなると思うのです）。逆に言えば、今回のテンプレの改ざんの対策が完全になされているとしたのならば、このITｐｒｏの記事にあるマイクロソフト側の言い分について、是か非かの答えをすでにFC2ブログは持っているというとになりますよね。

ぜひ、今こそ情報公開をしてほしいです。そして、ついでに、このＩＴｐｒｏの記事をＦＣ２ブログの視点から白黒つけてほしいと思うのですけどね。