アプリのクラッシュデータ送信が悪用

「Windowsエラー報告」でPC情報が流出　まさかの展開に防御策は？

Windowsエラー報告のクラッシュデータは、攻撃者によって標的型攻撃に悪用される可能性があることが明らかになった。ユーザーになすすべはあるのか。

公開 2014年08月11日 08時04分

著者

Michael Cobb

[TechTarget]

印刷する

　Windowsのクラッシュデータ報告が標的型攻撃に利用できることが発覚した今、グループポリシーで緩和対策を実装することに意味はあるだろうか？

　ソフトウェアベンダーの多くは、自社のプログラムが機能を停止した場合、クラッシュデータを収集する機能を組み込んでいる。初期のWindowsは、プログラムがクラッシュするとしばしば“死のブルースクリーン（BSOD： Blue Screen of Death）”で停止してしまったものだが、今はほとんどのアプリケーションがそうした状況をもっと効果的に処理するようになっている。大抵、何らかの問題が生じたことをユーザーに伝えた後、アプリケーションは再起動する。

外部送信される情報とは？

　将来のバージョンで類似の問題を根絶するため、プログラムの中にはクラッシュデータの詳細をベンダーに報告するオプションを用意しているものも少なくない。そうした詳細はクラッシュ時に動作環境の情報とともに取り込まれ、テクニカルサポートスタッフがプログラムエラーを診断するときに役立てられる。

　米MicrosoftのWindowsエラー報告（WER）は、「ワトソン博士」（Dr. Watson）と呼ばれるアプリケーションデバッガを利用している。これはWindowsのデフォルト機能の1つだ。

　米Websenseのセキュリティ情報分析機関、Websense Security Labsによると、Microsoft製品だけでなく、実は驚くほど多くのアプリケーションが、非常にセンシティブなこの情報を暗号化もせずクリアテキスト（平文）で転送しているという。

　転送しているものには、マシンの型式やBIOSバージョン、ID、インストールされたアプリケーションなどの情報も含まれている。こうしたデータは、ハッカーがターゲットとするマシンに侵入可能な脆弱性を見つけて新たなゼロデイ攻撃を仕掛けるときに、悪用される危険性がある。

　では、攻撃者はいつ、どのようにして、こうした情報を手に入れるのだろうか。

　独誌Der Spiegelによると、「TAO」（Tailored Access Operations）と呼ばれる米国家安全保障局（NSA）のハッカー精鋭部隊が、インターネットのトラフィックからWindowsクラッシュデータを入手するために、NSAの「XKeyscore」というスパイツールを使っているという。悪意を持ったハッカーたちが今後そうした手法を模倣することは、火を見るよりも明らかだ。

　クラッシュ報告は、ベンダーが自社製品の安定性やセキュリティを改善していく上で重要な役割を果たす。だからといって、ユーザーのシステムをリスクに晒すべきではない。企業はグループポリシー経由の自動クラッシュ報告をオフにした方がよいと考える。クラッシュ報告を送れば、ベンダーのソフトウェアの修正、改善に役立つかもしれないが、基本的には自由形式のアプリケーションテストにすぎないのだ。

　クラッシュデータを暗号化しないことは、しばしばアプリケーションのテレメトリー（遠隔測定）になぞらえられる。極めて愚かで危険な慣習であることは間違いない。たとえデータを転送前に暗号化しても、貴重な帯域幅を消費するだけであり、アプリケーションの再起動を遅くするだろう。また、データがベンダーに転送された後、それがどのように処理され、どの程度の安全性が保証されるかは、知るすべもない。

　インターネットやアプリケーションを改善するために情報を共有することは、もちろん重要だ。だがそれが、ネットワークやユーザーにとって大きな脅威になるのであれば、話は別である。

印刷する