kaito834/情報セキュリティの敗北史_読書メモ.md

## 情報セキュリティの敗北史_読書メモ.md

      
    Raw
  

              情報セキュリティの敗北史_読書メモ.md
            
          
    2022年10月から12月、「情報セキュリティの敗北史」(白陽社)を読み、情報セキュリティの歴史を紐解くガイドとしてとてもよい書籍だと感じました。ただ、全体に複数の章にわたって時系列が入り乱れるため、当該書籍で紹介される出来事の一部を整理してみました。
出来事（一部）の時系列


1940年

フランクリン・D・ルーズベルトの大統領令により米国における情報の分類が開始 (p.29, 2章 ウェア・レポート)


1961年

MITで開発された「互換タイムシェアリングシステム」に代表される、タイムシェアリング型のメインフレームシステムにおいて、初めてパスワードが使われた (p.173, 6章 パスワード問題)

「各ユーザーが割り当てられた時間を超えてコンピュータを使用しないようにするために使われた」(p.173)


1970年

「コンピュータシステムのセキュリティ管理(Security Controls for Computer Systems)(通称、ウェア・レポート）提出 (pp.24-31, 2章 ウェア・レポート)

「これはコンピュータセキュリティについて、技術と政策の両面から構造的かつ詳細は調査を行った、初めての報告書」(p.27)
「コンピュータを設計した後でセキュリティ機能を追加するのではなく、コンピュータベンダーが「セキュリティを組み込む」ことを推奨」(p.28)
「「システムへの侵入の試みが失敗したことを示す事象、あるいは明らかに情報漏洩やセキュリティ侵害をもたらした事象の再構築を可能にする」ために、監査証跡（コンピュータシステム上の活動の記録）の必要性が議論」(p.103)


ARPANET が形成 (pp.53-62, 3章 電子メール)


1972年

2月、「コンピュータセキュリティ技術計画調査」(通称、アンダーソン・レポート)の発表 (pp.31-39 2章 CIAの3要素)

「「悪意のあるユーザー」と彼らが呼ぶ新たな脅威に光を当てた」(p.32)
「バッファオーバーフローの概念は、1972年のアンダーソン・レポートに初めて書かれたが、...」(p.68)
「ファイアウォールという言葉をOSのセキュリティの文脈でも使っていた」(p.76)
「データを収集し、失敗、または成功したセキュリティ侵害行為を報告する「監視システム」をコンピュータシステムに搭載すべきだと提言」(p.103)


APRANET において電子メールが本格的に使われ始める (p.58, 3章 電子メール)


1973年

「コンピュータの内部で、異なるクリアランスレベルのユーザー同士が比較的簡単に通信できる方法があることを発見」(p.47 2章 秘密の通信)

「カバートチャネル（秘密チャネル）」(p.47)


1975年

ジェローム・"ジェリー"・サルツァーとマイケル・シュローダーが論文「コンピュータシステムにおける情報の保護」を発表 (pp.31-39 2章 CIAの3要素)

CIAの3要素、「完全な仲介」と「フェイルセーフなデフォルト」の原則(p.36)、「最小権限」と「職務分掌」(pp.36-37)
「心理的受容性」の要件(p.161)


1978年

「最初のスパムメールが電子メールの受信箱に届いた」(p.59, 3章 電子メール)


1983年

フレッド・コーエンによって初めて「コンピュータウイルス」という言葉が正式な意味で使われた (p.62, 3章 世界初のコンピュータウイルス)
オランダの暗号学者で言語学者 アウグスト・ケルクホフスによる暗号システムの設計についての議論で発せられた言葉:「隠蔽によるセキュリティは存在しない」(p.305, 9章 いかに守るか)


1985年

米国防総省が「グリーンブック」を発行 (pp.174-175, 6章 パスワード問題)

「これはパスワードのクラックに対する防御策を紹介するものだった」(p.174)
「ユーザーが弱いパスワードを選択するリスクを完全に排除するために、「すべてのパスワードはアルゴリズムを用いて機械によって生成されるべきである」と主張」(p.175)


米国立標準技術研究所(NIST)がパスワード使用ガイドラインを発表 (pp.175-176, 6章 パスワード問題)

「ユーザーのパスワードはアルゴリズムによって生成されなければならない、という要件は削除した。その代わりに、...」(p.175)


1987年

ウィリアム・チェスウィックがファイアウォールを開発 (p.77, 3章 UNIXの安全性とファイアウォール)

「ファイアウォールは、個々のコンピュータのセキュリティに焦点を当てた「ホストセキュリティ・モデル」からファイアウォールを使って防御可能な境界を作ることに焦点を当てた「ペリメータ（境界）セキュリティ・モデル」へのパラダイムシフト」(p.75)


1988年

ネットワークを介した「モリスワーム」の感染 (pp.62-70, 3章 世界初のコンピュータウイルス)

電子メールを介した感染、UNIXパスワードの推測、バッファオーバーフロー脆弱性
「モリスワームの事件後、CERT（コンピュータ緊急対応チーム）と名付けられた団体が発足」(p.83)
「モリスワームが悪用したバッファオーバーフローは、ゼロデイ脆弱性のリスクを大規模な形で示した最初の事例となった」(p.204)


1994年

ウィリアム・チェスウィックとスティーブン・べロビンがインターネットのファイアウォールをテーマにした最初の本を共同執筆、出版 (p.78, 3章 UNIXの安全性とファイアウォール)

「チェスウィック自身は、ペリメータセキュリティ・モデルを「アルマジロ・モデル、つまり噛み応えのある柔らかい中心部の周囲に、硬い甲羅があるようなもの」と表現している」(p.78)


1990年

12月、欧州原子核研究機構(CERN)で最初のウェブサーバが稼働 (p.80, 3章 UNIXの安全性とファイアウォール)


1993年

マーク・アンドリーセン率いる米国立スーパーコンピュータ応用研究所(NCSA)が「モザイク」と名付けられた新しいウェブブラウザの開発に着手 (p.80, 3章 UNIXの安全性とファイアウォール)

「ウェブはメトカーフの法則によって指数関数的に成長していった」(p.81)


マーカス・J・レイナムが「whitehouse.gov」と類似したドメイン「whitehouse.com」の登録を提案 (p.120, 4章 善いハッカー、悪いハッカー)
メーリングリスト「バグトラック」が作られた (p.214, 7章 いかに開示するか)


1994年

アンドリーセンと彼のチームはNCSAを離れ、「モザイク」の商用版:「ネットスケープ」の開発に着手する (p.81, 3章 UNIXの安全性とファイアウォール)

SSL(Secure Socket Layer)のサポート


1995年

「ウェブは一般的な存在となり」(p.82, 3章 UNIXの安全性とファイアウォール)

DMZ(demilitarized zone, 非武装地帯) (pp.81-82)
「ワールド・ワイド・ウェブというイノベーション」(p.90)
pp.89-95 4章 ウェブの脆弱性

「Java と ActiveX のセキュリティ脆弱性は、ウェブのアーキテクチャに内在する、新しいタイプの脆弱性だった」(p.92)
「コマンドインジェクション」、「SQLインジェクション」(p.93)
「ウェブサーバーからの意図せぬ情報漏洩の問題」(p.94)
　* ウェブサイトの改ざん(pp.94-95)


ダン・ファーマーがSATAN(Security Administrator Tool for Analyzing Networks)を発売 (pp.82, 3章 ネットワーク脆弱性スキャナ「SATAN」)

「同時期には、他の商用ネットワーク脆弱性スキャナも販売されていた」(p.84)
「マスコミの反応は大げさなものだった」(p.85)
「情報セキュリティ界では、SATANが生み出した脅威は、主要な報道機関が伝えているほど大きなものではないと考えられていた」(p.85)


1996年

1月、「ルート」がオンラインマガジン「フラック」にて SYN フラッティング(SYN フラッド攻撃)を解説 (p.97, 4章 「ルート」による攻撃プログラムの公開)

「SYN フラッド攻撃を実行するためのネプチューンというプログラムも提供していた」(p.98)
「スティーブン・べロビンは、1989年にはすでにSYNフラッド攻撃を予測していたのである」(p.98)


8月、「ルート」が「フラック」にて、「アヴァリス（強欲）」、「スロース（怠惰）」、「プロジェクト・ロキ」を公開 (pp.98-99, 4章 「ルート」による攻撃プログラムの公開)

「プロジェクト・ロキ」は ICMP におけるカバートチャネル(秘密チャネル)


「ネットスケープ・コミュニケーションズは、自社のソフトウェアに発見された脆弱性に対して1000ドルの謝礼とTシャツを提供」 (p.228, 7章 脆弱性の売買)


1997年

4月、11月と引き続き「ルート」が「フラック」で、「ジャガーノート」、「ティアドロップ」、「ランド」、「ピング・オブ・デス」を公開 (p.100, 4章 「ルート」による攻撃プログラムの公開)


1999年

論文「なぜジョニーは暗号化できないのか」が発表 (pp.162-163, 6章 「なぜジョニーは暗号化できないのか」)

「この論文には、PGPという暗号化プログラムのユーザビリティ調査の結果が記されていた」(p.162)
「研究者はこれらの失敗の原因が、「必然的にユーザーインターフェイスデザインの問題に」あると結論した」(p.163)


2000年

夏、マーカス・J・レイナムによる「ブラックハット・ブリーフィング」での基調講演「フルディスクロージャとオープンソース」 (pp.121-123, 4章 善いハッカー、悪いハッカー)
あるサイトにゼロデイ脆弱性を売買するというアイディアが書かれる (p.224, 7章 脆弱性の売買)


2001年

CERTがセキュリティ勧告の商用化 (p.117, 4章 善いハッカー、悪いハッカー)
7月、「コードレッド」の感染拡大 (p.128, 5章 ビル・ゲイツのメモ)

「マイクロソフトのIISにおけるバッファオーバーフローを利用したインターネットワーム」(p.128)


9月、「ニムダ(Nimda)」の感染拡大 (pp.129-130, 5章 ビル・ゲイツのメモ)

「ウィンドウズの脆弱性を利用」(p.129)
「電子メールやオープンネットワーク共有など、クライアント側とサーバー側の両方の脆弱性を利用」(p.129)
「そのコンピュータの設定を変えてハードディスクの内容をインターネット上に公開してしまう」(p.129)
「2001年9月11日の米国同時多発テロからわずか1週間後に感染が広まり始めた」(p.130)


12月、ロス・アンダーソンが初めて「セキュリティ経済学」をテーマにしたと言われる論文「なぜ情報セキュリティの実現は困難なのか―経済学の観点から」を発表 (pp.187-188, 6章 情報セキュリティの経済学)


2002年

1月、ゲイツからマイクロソフト全正社員宛のメール：「信頼できるコンピューティング」(pp.133-134, 5章 ビル・ゲイツのメモ)

「マイクロソフトは「信頼できるコンピューティング・イニシアチブ」と名付けられたプロジェクトを開始」(p.134)
「マイクロソフトの新しい哲学である「設計段階からセキュアであり、デフォルトでセキュアであること」を重視する必要があった」(p.135)


12月、第1回「情報セキュリティの経済学に関するワークショップ(WEIS)」が開催 (p.188, 6章 情報セキュリティの経済学)

「第1回「情報セキュリティの経済学に関するワークショップ(WEIS)」が開催された直後、ダニエル・カーネマンが行動経済学という新しい分野での功績によりノーベル経済学賞を受賞」(p.190)


メーリングリスト「フルディスクロージャ」が作られた (p.214, 7章 いかに開示するか)
「企業はゼロデイ脆弱性に関する情報やゼロデイ脆弱性を利用したエクスプロイトに対して対価を払うようになっていた」 (p.224, 7章 脆弱性の売買)


2003年

1月、「スラマー」の感染拡大 (pp.136-137, 5章 マイクロソフトはなぜ成功したのか)

「インターネットの一部が一時的に容量不足に陥った」(pp.136-137)
「スラマーがある既知の脆弱性を悪用 ... ブラックハット・ブリーフィングスで初めて明らかにされた脆弱性」(p.137)


8月、「ブラスター」の感染拡大 (p.138, 5章 マイクロソフトはなぜ成功したのか)

「ウィンドウズXPおよびウィンドウズ2000の脆弱性を悪用」(p.138)


8月、「ウェルチア」の感染拡大 (p.138, 5章 マイクロソフトはなぜ成功したのか)
9月、コンピュータ通信産業協会(CCIA)がホワイトペーパー「サイバーセキュリティ―独占のコスト」を発表 (pp.140-144, 5章 マイクロソフトはなぜ成功したのか)
9月、「マイクロソフトはさらにセキュリティパッチを不定期にリリースする方式から、毎月第2火曜日にリリースする月次スケジュールに移行」(p.146, 5章 マイクロソフトはなぜ成功したのか)
「ソービック」の感染拡大 (p.138, 5章 マイクロソフトはなぜ成功したのか)
非営利団体：コンピューティング・リサーチ・アソシエーションが論文「信頼できるコンピューティングにおける4つの主要課題」を発表 (p.164, 6章 「なぜジョニーは暗号化できないのか」)

「この論文の目的は、情報セキュリティの分野において、最も研究するのに適している領域を特定することだ」(p.164)


フィッシングが新しいタイプの攻撃として言及される (pp.167-172, 6章 騙されやすい人たち)

「2005年頃から注目を浴びるようになった」 (p.167)
「さらにフィッシングは、ハッカーに「規模の経済」をもらたした」(p.168)


2004年

4月、「サッサー」の感染拡大 (pp.138-139, 5章 マイクロソフトはなぜ成功したのか)
7月、マイクロソフトが「セキュリティ開発ライフサイクル（SDL)」の運用を開始 (pp.147-148, 5章 マイクロソフトはなぜ成功したのか)


2005年

米国の百貨店 TJマックスにおける情報漏洩 (p.240, 8章 個人情報の流出)

「ハッカーはセキュリティが保護されていなかった無線アクセスポイントを使って同社の社内ネットワークにアクセスし、...」(p.240)


フィアーウォール(fearwall)と名乗るハッカーがイーベイにExcelのゼロデイ脆弱性に関する情報を出品 (p.224, 7章 脆弱性の売買)


2009年

「ノーモア・フリーバグ」というキャンペーンを開始 (p.225, 7章 脆弱性の売買)


2010年

1月、グーグルがある組織化されたグループによるハッキング活動「オーロラ攻撃」をブログで公表 (pp.250-252, 8章 米・中・露のハッキング戦争)

「ハッカーが上海の浦東新区にある12階建てのビルで活動していたことが突き止められた」(p.251)
「マンディエントはオーロラ攻撃を「高度で持続的な脅威(Advanced Persistent Threat)」と表現した」(p.252)


6月、「スタックスネット」が発見 (pp.258-261, 8章 米・中・露のハッキング戦争)

「スタックスネットにNSA、CIA、イスラエルが関与していることは比較的明白だと考えられているが、特定のハッキング事件が特定の国家によって実行されたことを割り出すのは、困難な作業だ」(p.261)
「ワームにはいくつもの技術革新が実装されているため、そのコーディングには仕事量にして数人年分の労力が必要だったと推定されている」(p.260)


米軍兵士 チェルシー・マニングがウィキリークスに米国政府の文書約70万件を流出 (p.248, 8章 個人情報の流出)

「取り外し可能なメモリカードに文書をコピーして持ち出し、...」(p.248)


2011年

「あるハッキンググループがRSAセキュリティという企業の社員にフィッシングメールを送った」 (pp.205-206, 7章 ゼロデイ脆弱性)

「メールを受け取ったRSA社員の1人が、添付されていたスプレッドシートのファイルを開いた。そのファイルは、社員のコンピュータのゼロデイ脆弱性を突くコードを含んでおり、...」(p.205)


NSAがフランスのセキュリティ企業のヴュパンによる「ゼロデイサービス」というサブスクリプション型サービスを契約 (p.227, 7章 脆弱性の売買)
糖尿病患者の生命維持用医療機器のインスリンポンプを無線でハッキングする研究成果が発表 (p.234, 7章 アピールのためのハッキング)


2012年

「人の体内にあるペースメーカーを遠隔操作でハッキングし、機能を停止させてその人を死亡させることができると主張」 (p.234, 7章 アピールのためのハッキング)


2013年

アップルが「セキュアエンクレーブ」を搭載したアイフォーン5sを発売 (pp.156-157, 5章 オラクルの誤算とアップルの躍進)

「各デバイスに固有の秘密鍵を保存し、それをデバイス上のデータを暗号化するために使用することが可能」(p.156)


ヤフーから30億人(当時の世界人口は約70億人)のユーザアカウントに関する情報が流出 (p.243, 8章 個人情報の流出)
CIAの元職員 エドワード・スノーデンが多数のジャーナリストにNSAの情報をリーク (p.248, 8章 個人情報の流出)

「同僚からパスワードを入手することで、許可されていた以上のアクセス権を得た可能性がある」(p.248)
「ファイブアイズ（米国、英国、オーストラリア、カナダ、ニュージーランドの5か国で構成される合同諜報機関）が構築した、世界規模の監視体制を暴露」(pp.256-257)
「NSA内の組織であるTAO(211ページ参照)が、「クオンタム(QUANTUM)」と名付けられたハッキングツールを開発していたことも明らかになっている」(p.257)


2014年

非営利団体 電子フロンティア財団(EFF)が米国政府を提訴、情報公開法に基づいて、政府が保有するゼロデイ脆弱性の情報を入手 (pp.208-209, 7章 ゼロデイ脆弱性)
4月、OpenSSLの脆弱性「ハードブリード(心臓出血)」が公表 (pp.219-220, 7章 いかに開示するか)

「ハートブリードを旗印としたマーケティング活動は、その名前に「深刻」で「致命的」な響きがあることから感情に訴えるものがある、として評価された」(p.220)


ヤフーから少なくとも5億人のユーザアカウントに関する情報が流出 (p.243, 8章 個人情報の流出)

「ハッカーが入手した情報には、パスワードリセット用の質問に対する回答が含まれていた」(p.243)


2015年

2月、米国最大級の医療保険会社 アンセムにおける情報漏洩 (p.241, 8章 個人情報の流出)

「これらの記録には、アンセムの顧客の個人的な医療情報が含まれていた」(p.241)
「その後に続く多くの医療機関でのデータ漏洩事件における、初めての大規模な事例となった」(p.241)
「しかし、生年月日や既往歴などの医療情報にいたっては、変更することはそもそも不可能である」(p.245)


7月、米連邦人事管理局(OPM)におけるデータ漏洩 (pp.242-243, 8章 個人情報の流出)

「ほとんどの組織では従業員の指紋は保存しないが、セキュリティ・クリアランス・プロセスの厳格な性質上OPMでは保存していた、つまり500万件以上の指紋がセキュリティ侵害によって流出したのだ」(pp.242-243)
「2016年に起きたOPMのデータ漏洩も、その後、中国の仕業であるとされた」(p.253)


連邦判事がアップルに対し、サンバーナーディーノ銃乱射事件の犯人の1人が所有していたアイフォーンのロックを解除するための「合理的な技術支援」をFBIに提供するように命じた (p.157, 5章 オラクルの誤算とアップルの躍進)
「攻撃的なセキュリティ技術」を販売していたハッキング・チーム（イタリア）がハッキングされる (p.226, 7章 脆弱性の売買)

「流出したファイルの中には、ウィンドウズやインターネットエクスプローラーなど、アドビやマイクロソフトが開発したソフトウェアのゼロデイ脆弱性を突くエクスプロイトが含まれていた」(p.226)


あるバグハンターによるフェイスブックへのインスタグラムの脆弱性報告にまつわる事件 (p.231, 7章 脆弱性の売買)

「そのバグハンターを雇っている企業のCEOに電話をかけ、法的措置を取ると脅した」(p.231)


2016年

8月、「シャドウ・ブローカーズ」と名乗るハッキンググループのオンライン上での投稿 (pp.203-204, 7章 ゼロデイ脆弱性)

「イクエイジョン・グループと呼ばれる別のハッキンググループをハッキングし、彼らの「サイバー兵器」、つまりゼイデイ脆弱性のエクスプロイトを盗んだと主張」(p.209)
「ETERRNALBLUEの脆弱性は、ワナクライ(WannaCry)と呼ばれるインタネットワームの作成に利用され、このワームは150か国20万台以上のコンピュータを感染させた」(p.210)
「ワナクライはランサムウェア[...]で、...」(p.210)
「イクエイジョン・グループはほぼ確実に、NSA(米国家安全保障局)内に設置された「テイラード・アクセス・オペレーションズ(TAO)」という部門であるということだ」(p.211)


「FBIはアップルのアイフォーンに存在するゼロデイ脆弱性のエクスプロイトに130万ドル以上を支払った」(p.227, 7章 脆弱性の売買)
ウーバーによるバグ報奨金制度を使った情報漏洩の事実の隠蔽 (p.232, 7章 脆弱性の売買)
「ファインシーベア」による米大統領選挙への干渉 (pp.255-256, 8章 米・中・露のハッキング戦争)


2017年

3月、ウィキリークスは「ボルト7」と呼ばれる8000以上の文書を公開 (pp.212-213, 7章 ゼロデイ脆弱性)