個人情報のうっかり流出を防ぐには

Amazon S3の悪用ツールに学ぶ個人情報漏えい対策

Amazon S3の設定ミスを悪用するツールの存在や、企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかを検証する。

公開 2011年09月16日 09時00分

更新 2012年09月04日 14時39分

著者

Joseph Granneman

[TechTarget]

印刷する

　クラウドサービスは、この方向に進む専用の（プロプライエタリな）データが増えるに従い、セキュリティ専門家と犯罪集団の両方が注目し始めている。企業の管理者からすれば、クラウドベースサービスの設定は社内システムと同じくらい複雑なことだ。ユーザーのうっかりミスで、個人情報をインターネットで不特定多数の目にさらしかねない。過去にWindows XPやOracleのシステムを悪用するツールが開発されてきたのと同様、クラウドサービスの設定ミスを悪用するためのツールも開発されている。リソースをクラウドベースのインフラに移行する企業は、こうしたツールを研究し、自社の設定の安全確認のために利用する必要がある。

Amazon S3関連記事

　本稿では1つのツールを取り上げ、それがAmazon S3の設定ミス悪用のためにどう使われるか、そして企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかについて検証する。

　Amazon Simple Storage Service（S3）は恐らく現在あるクラウドサービスの中でも有数の人気サービスであり、大手のWebサイトや企業、政府機関、さらには個人も利用している。人気の理由は、既存のアプリケーションと簡単に連係できること、標準的なWeb（HTTP）コールを通じてストレージが提供されていることにある。例えばWebサイトでは簡単にAmazon S3のストレージを参照して画像やコードを引き出すことが可能で、帯域幅やストレージのコストを削減できる。各Amazon S3のインスタンスはバケツと呼ばれる。それぞれのバケツは用途に応じて公開か非公開かを設定できるオプションがある。顧客はまた、それぞれが全世界のS3バケツの中で固有のアカウント名を持つことを求められる。これにより、顧客は「http://s3.amazonaws.com/accountname」のようなカスタムURLが付いた個別のバケツに容易にアクセスできる。

　DijiNinjaと名乗るセキュリティ研究者は、Amazon S3のストレージがどう機能するかについて考えていたとき、ふと思い当った。もしそれぞれのURLが固有のアカウント名でカスタマイズされているのなら、既存のブルートフォース技術を使ってAmazon S3のバケツを列挙すれば、恐らくはファイルにアクセスできるのではないか。同氏はこの理論を検証するため、標準的な単語リストを使ってAmazon S3のAPIに総当たりを試みるツール（http://www.digininja.org/projects/bucket_finder.php）を開発した。同ツールでは、Amazon S3のストレージバケツの公開／非公開を適切に設定しているかどうかもチェックできる。

　単純な単語リストを使ってこのツールを実行した結果、Amazon S3の不備と顧客による適切な設定の重要性の両方が浮き彫りになった。同ツールは「http://s3.amazonaws.com/wordlist」というフォーマットでバケツのURLに対して連続的なアクセスを試み、単語リストを総当たりした。使ったのはわずか2700語の単語リストだったにもかかわらず、スキャンの結果、公開、非公開を含めてAmazonのバケツの中にある約1万5000のファイルの存在が明らかになった。

　最も驚くべきこととして、バケツの中にあって非公開の印が付いたファイルでも、アクセスはできないまでも名称の一覧が表示された。非公開バケツの中にある自分のファイルの名称が、Webブラウザを使っていてバケツの適切なURLを知っている相手なら誰にでも見えてしまうことを、顧客は認識していない可能性がある。このサービスの利用者は少なくとも、公に見られてもバケツの中身を分かりにくくするために、一般的な名称の利用を検討する必要がある。

　われわれが行った実験では、もう1つ驚くべき結果が出た。公にアクセスできてしまうバケツが大量にあったのだ。顧客はストレージプロパティについてアクセスの公開／非公開の適切な設定を行っておらず、個人情報をうっかりインターネットにさらしている可能性がある。Amazon S3のストレージバケツには大量の写真が保存されており、その多くは例えば子どもや休暇、記念日といった個人的な性質のものだった。さらに、顧客の請求書や社会保障番号など、恐らく公開する意図はないはずの個人情報を含んだ文書もあった。Amazon S3の顧客は不注意による重要情報流出のリスクを避けるため、コントロールを作成してストレージバケツのパーミッション設定を監視する必要がある。

　これはまだ、クラウドサービスの潜在的な設定ミスと脆弱性を洗い出すために作られた初期世代ツールのほんの一例にすぎない。クラウドサービスのセキュリティを突く攻撃の嵐の前触れとなる、1滴の雨の滴でしかないのだ。Amazon S3のようなクラウドプラットフォームでホスティングされるデータが増えるほど、攻撃者はこうしたツールを使って標的を見定め、機会をうかがうようになる。クラウドサービスの適切な設定とモニタリングのためのポリシーや手順を策定するセキュリティ専門家が、こうした日和見攻撃への対策を強化できれば、企業はクラウドサービスの機能をフル活用できるようになるだろう。

印刷する