(回答先: テスト 投稿者 赤かぶ 日時 2013 年 7 月 11 日 10:39:49)

<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/" target="_blank">http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/</a>
<div id="author"> 2012/03/06<br />
山崎 文明＝ネットワンシステムズ フェロー （<a href="http://itpro.nikkeibp.co.jp/search/index.html?q=%E5%B1%B1%E5%B4%8E%E6%96%87%E6%98%8E">筆者執筆記事一覧</a>） </div>
<div> 出典：日経コミュニケーション 2012年2月号 　pp.90-93 </div>
<div id="kiji">
<p> 　昨今、セキュリティ業界では複合機が話題になることが増えてきた。セキュリティ業界団体Cloud Security Allianceの創設者の一人であるミカエル・サットン氏は、<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=1&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=1', 400, 300))">EWS</a>（Embedded Web Server）の危険性を何度となく指摘している。 </p>
<p> 　EWSというのはネットワーク機器に組み込む形で搭載されるWebサーバーである。複合機やテレビ会議システム、Web監視カメラ、IP電話機など多くの機器が、内部にWebサーバーを搭載している。 </p>
<div>
<div> <a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=imgview&FD=-1445405969&ST=attack" target="_blank"><img src="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/02_zu01s.gif" alt="" width="300" border="0" /></a></div>
<div>図1●狙われる複合機の組み込み型Webサーバー</div>
<div>ほとんどの複合機がEWSを初期設定でオンにしている。システム</div>
<div>[画像のクリックで拡大表示]</div>
</div>
<p> 　EWSの主な目的は、機器の自動的な構成管理や遠隔地からの保守点検、課金情報の収集などだ。複合機メーカーなどのシステムと通信して、必要な情報をや り取りする。そのため（1）外部からアクセス可能な状態になっている、（2）Webサーバーとしては簡素な構成になっている、という特徴がある。 </p>
<p> 　実はこれが、「セキュリティ対策の不十分なWebサーバーをインターネット上に公開している」状態を生み出している可能性がある（<strong>図1</strong>）。 </p>
<p> </p>
<h4>複合機が踏み台にされる</h4>
<div>
<div> <a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=imgview&FD=-1444482448&ST=attack" target="_blank"><img src="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/02_zu02s.gif" alt="" width="300" border="0" /></a></div>
<div>図2●EWSの主要な問題点</div>
<div>業務システムや一般のWebサーバーとは異なり、積極的な管理はまず行われない。それに起因する問題が発生しがちだ。</div>
<div>[画像のクリックで拡大表示]</div>
</div>
<p> 　EWSがセキュリティ上危険な理由はいくつか挙げられる（<strong>図2</strong>）。サットン氏は、「メーカーは複合機を出荷した後、全くEWSにセキュリティパッチ（修正プログラム）を当てていないことが多い」と指摘する。セキュリティホールが放置された状態のEWSを搭載した複合機は、企業ネットワーク内に設置された“<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=2&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=2', 400, 300))">トロイの木馬</a>”とさえいえる。 </p>
<p> 　例えばEWSの多くは、Webサーバーソフトに<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=3&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=3', 400, 300))">Apache HTTP Server</a>（Apache） を搭載している。Apacheは多数のバグが存在するソフトで、バグが発覚するたびにパッチを配布している。あまりの多さから、「A Patchy Server」（パッチだらけのサーバー）のApacheと呼称されるようになったという冗談があるほどだ。当然、Apacheには常に最新のパッチを当 てておかなければ、簡単にハッキングされる。 </p>
<p> 　狙われるのはApacheの脆弱性だけではない。Linuxの脆弱性も放置されている可能性が高く、狙い目になる。Apache以外のWebサーバーソ フトを搭載する複合機もあるが、代表的なWebサーバーソフトである「Rom Pager」や「NET-DK」「Virata-EmWeb」「BaseHTTP」には既に<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=4&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=4', 400, 300))">クロスサイトスクリプティング</a>などの脆弱性などが発見されている。 </p>
<p> 　サットン氏の調査によれば、脆弱性が検出されているEWSの例として「RomPager Ver 4.07」が374万台、「Virata-EmWeb Ver 6.01」で10万台存在するという。 </p>
<p> 　さらに、宛先情報を窃取される可能性がある点にも注意が必要だ。最近の複合機はメールやインターネットFAXなどに使う宛先情報の登録の手間を減らすため、<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=5&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=5', 400, 300))">LDAP</a>サーバーから情報を取得できるようになっている。ここから、アドレス帳情報が外部に漏洩するといった事案が既に発生している。ドメイン管理者のIDが盗まれると、ディレクトリサービスが危険にさらされる可能性がある。 </p>
<div></div>
</div>
<div><a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?ST=attack&P=2">文書が丸見えのケースも</a></div>
<h4>文書が丸見えのケースも</h4>
<div>
<div> <a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=imgview&FD=-346286100&ST=attack" target="_blank"><img src="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/02_ph01s.gif" alt="" width="300" border="0" /></a></div>
<div>写真1●ハッカー向け検索サイト「SHODAN」を使うとEWSを検索可能</div>
<div>特定の文字列を使って検索すると複合機の管理画面に簡単にアクセスできてしまう。</div>
<div>[画像のクリックで拡大表示]</div>
</div>
<h1> 　複合機を使ってスキャンやコピー、プリントアウトした文書が、外部から見えてしまうという問題もある。“ハッカー御用達”の検索エンジン「<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=5&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=5', 400, 300))">SHODAN</a>」（<a href="http://www.shodanhq.com/" target="_blank">http://www.shodanhq.com/</a>）を使うと、簡単に複合機の管理画面にアクセスできてしまう（<strong>写真1</strong>）。 </h1>
<p> 　SHODANはオンラインデバイスを機種別、国別に一覧表示するサービスで、トップ画面に「Expose Online Devices」（オンラインデバイスを暴く）との表示があるように、インターネットに接続されているWebカメラや複合機などのデバイスを検索できる。 </p>
<p> 　メーカー、機種ごとに固有の文字列をSHODANに入力して検索すれば、指定したメーカー、機種のデバイスが国別で何台オンライン状態にあるか分かる。 さらに、その一覧から個別の複合機にアクセスできる。SHODANで検索するだけで、EWS上で動作するWebサイト（複合機の管理画面）のトップページ までたどりつけるのだ。 </p>
<div>
<div> <a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=imgview&FD=-345359478&ST=attack" target="_blank"><img src="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/02_ph02s.jpg" alt="" width="300" border="0" /></a></div>
<div>写真2●複合機のネットワーク設定は簡単に検索可能</div>
<div>エトキ</div>
<div>[画像のクリックで拡大表示]</div>
<div> <a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=imgview&FD=-344439058&ST=attack" target="_blank"><img src="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/02_ph03s.gif" alt="" width="300" border="0" /></a></div>
<div>写真3●複合機の管理画面に入るとスキャンイメージまで丸見えに</div>
<div>メーカーや機種、設定状況によって異なるが、複合機で印刷やスキャンした印刷物をPDF形式などでダウンロードできることがある。</div>
<div>[画像のクリックで拡大表示]</div>
</div>
<p> 　管理画面では様々な情報を取得できる。ある複合機では、複合機自身のIPアドレスやMACアドレスのほか、プロキシーサーバーやデフォルトゲートウエイのIPアドレスなどが見えてしまう状態だった（<strong>写真2</strong>）。企業ネットワークの構造を把握できる、攻撃者にとっては“おいしい情報”である。さらに「イメージライブラリ」などの項目を開けば、その複合機でスキャンしたイメージやプリントアウトしたイメージが外部から丸見えになる（<strong>写真3</strong>）。 </p>
<p> 　もちろん、これらの情報へのアクセスはパスワードを使って保護できる。しかし筆者が調べた範囲では、大半は保護がなされていなかったり、パスワードがデ フォルト設定のままになっていたりするようだ。デフォルトのパスワードは、「　　」（ブランク）、「111111」「123456」「Admin」といっ た冗談のようなものがほとんど。しかも、デフォルトパスワードはオンラインマニュアルに記載されており、誰でも知ることができる。 </p>
<p> 　複合機の管理画面はGoogle検索でも見つかる。手順は簡単だ。管理画面トップのタイトルに含まれるキーワードを検索するだけでいい。具体的なキーワードはここでは書かないが、検索するとたくさんの複合機の管理画面を見つけられる。 </p>
<p> 　以上のように、多くの複合機は危険性が放置されている状態にある。複合機やWebカメラは総務部門が主体で導入して、システム部門が関与しないことが多い。システム部門は総務部門と連携して、再度オンラインデバイスの点検を行うことを推奨する。 </p>
<div>
<div> 山崎 文明（やまさき ふみあき）<br />
ネットワンシステムズ フェロー </div>
<div>大手外資系会計監査法人でシステム監査に永年従事。システム監査、情報セキュリティ、個人情報 保護に関する専門家として情報セキュリティに関する政府関連委員会委員を歴任。主な著書に「PCIデータセキュリティ基準完全対策」（日経BP社監修）、 「すべてわかる個人情報保護」（日経BP社）、「情報セキュリティと個人情報保護完全対策」（日経BP社）、「情報セキュリティハンドブック」（オーム社 共著）、「システム監査の方法」（中央経済社共著）、「コンティンジェンシー・プランニング」（日経BP社共著）、セキュリティマネジメント・ハンドブッ ク（日刊工業新聞社共著）などがある。<a href="http://ameblo.jp/biz-assure/" target="_blank">ブログ</a>も随時更新中。 </div>
</div>
<p>↑この記事が今から1年半前。</p>
<p>↓この記事が今日</p>
<p>住民票・答案…複合機の蓄積データ、公開状態に<br />
<a href="http://headlines.yahoo.co.jp/hl?a=20131106-00001518-yom-sci" target="_blank">http://headlines.yahoo.co.jp/hl?a=20131106-00001518-yom-sci</a></p>
<div>
<h1></h1>
<p><a href="http://rdsig.yahoo.co.jp/media/news/medianame/articles/RV=1/RU=aHR0cDovL2hlYWRsaW5lcy55YWhvby5jby5qcC9saXN0Lz9tPXlvbQ--;_ylt=A2RAEBhRVHtS1bsA6psvl.Z7" onmousedown="this.href='http://rdsig.yahoo.co.jp/media/news/medianame/articles/RV=1/RU=aHR0cDovL2hlYWRsaW5lcy55YWhvby5jby5qcC9saXN0Lz9tPXlvbQ--;_ylt=A2RAEBhRVHtS1bsA6psvl.Z7'">読売新聞</a> 11月7日(木)3時1分配信 </p>
</div>
<div>
<div>
<div>
<div>
<table>
<tbody>
<tr>
<td><a href="http://headlines.yahoo.co.jp/hl?a=20131106-00001518-yom-sci.view-000" onmousedown="this.href='http://rdsig.yahoo.co.jp/RV=1/RU=aHR0cDovL2hlYWRsaW5lcy55YWhvby5jby5qcC9obD9hPTIwMTMxMTA2LTAwMDAxNTE4LXlvbS1zY2kudmlldy0wMDA-;_ylt=A2RAEBhRVHtS1bsA65svl.Z7'"> <img src="http://amd.c.yimg.jp/amd/20131106-00001518-yom-000-1-thumb.jpg" alt="住民票・答案…複合機の蓄積データ、公開状態に" oncontextmenu="javascript:return false;" height="119" width="200" /></a></td>
</tr>
</tbody>
</table>
<p>読売新聞</p>
</div>
</div>
<p> 　東大など３大学で、ファクスやスキャナーなどの複合機で読み取った学生ら延べ２６４人の個人情報がインターネット上で誰でも閲覧できる状態になっていたことが６日、読売新聞の調査で分かった。<br />
<br />
現在販売されている複合機の大半はネットに接続され、初期設定のままだと情報が外部から閲覧できる状態となるが、大学側は「知らなかった」と説明している。専門家は「メーカーは利用者に十分な説明をすべきだ」と指摘している。<br />
<br />
情報が公開状態になっていたのは、リコー（東京）、富士ゼロックス（同）、シャープ（大阪）の複合機を使っている東京大医科学研究所や東北大、琉球大の３国立大。<br />
<br />
東大医科研では、付属病院の看護師が、血友病の看護に関して答えたアンケート内容や、研修の受講者名のほか、研究員が非常勤講師として採点した東邦大の学生の試験結果など約１２０人分の個人情報が見られる状態になっていた。<br />
<br />
東北大の場合、約２０人が所属する研究室の複合機から出ていたのは、学生らの免許証や住民票、健康診断の問診票など。中には、奨学金申請の書類もあり、学生の名前や携帯電話番号、親の就労状況なども記載されていた。<br />
<br />
琉球大では、２０１３年１、２月に実施した期末試験を受けた学生９５人分の答案用紙が見える状態になっており、名前や解答、点数が書かれていた。東大と琉球大は「調査中」、東北大は「答えられない」としている。</p>
</div>
</div>
<h1>↑こんなのきっとまだまだたくさんある。↓</h1>
<h1>　複合機を使ってスキャンやコピー、プリントアウトした文書が、外部から見えてしまうという問題もある。“ハッカー御用達”の検索エンジン「<a href="http://itpro.nikkeibp.co.jp/article/COLUMN/20120220/382087/?SS=commentview&FD=5&ST=attack" target="_blank" onclick="return(popupComment('./?SS=commentview&FD=5', 400, 300))">SHODAN</a>」（<a href="http://www.shodanhq.com/" target="_blank">http://www.shodanhq.com/</a>）を使うと、簡単に複合機の管理画面にアクセスできてしまう（<strong>写真1</strong>）。 </h1> 　 　

フォローアップ:

　次へ 　前へ

▲上へ　　　　　 ★阿修羅♪ > テスト28掲示板

★阿修羅♪　http://www.asyura2.com/ since 1995
スパムメールの中から見つけ出すためにメールのタイトルには必ず「阿修羅さんへ」と記述してください。
すべてのページの引用、転載、リンクを許可します。確認メールは不要です。引用元リンクを表示してください。