タイトルは伏せますが、某映画を見ていて疑問に思うことがありました。


仮にですが、何らかのWebサービスのアカウントをクラックして悪用し(システムではなく、あくまでWebサービス上でのアカウントです)、その後サービスが稼働しているシステムをクラックする。そしてシステムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させることは可能ですか?

背景は、現在知られている技術やプロトコルで可能な範囲で、各自で設定した上で、可能であればそのプロセスを、不可能であればその根拠を、お答え下さい。

回答の条件
  • 1人1回まで
  • 登録:2009/08/02 10:10:57
  • 終了:2009/08/09 00:56:19

ベストアンサー

id:jo_30 No.4

jo_30回答回数655ベストアンサー獲得回数532009/08/02 20:30:08

ポイント50pt

発想が逆では?

 (1)Aのアカウントを何らかの手段で入手

 (2)自分のPCでAのアカウントを利用してシステムに入り

 (3)そこからシステムをクラック

 (4)色々操作してAのPCからアクセスしたように偽装する方法?

…という順にするから話が難しくなるので、

 (1)踏み台にするA(アカウント使用者)のPCをクラック

 (2)自分のPCからAのPCを介し、Aのアカウントを使ってシステムに入り

 (3)そこからシステムをクラック

…という手順を取れば、とりあえず、AのPCがクラックされていたことが判明するまでは『システムをクラックしたのは、件のクラックされたアカウントの利用者(A)であった、というように誤解させる』ことは普通に可能ですよね。ハッキングにおけるいわゆる『踏み台』というヤツです。件の映画は知らないので、何らかの事情によりAのPCは絶対にクラックできない、という設定があったのなら話は別ですが、そうでなければ要はこういうことだったのではないでしょうか?

id:assad_babyl

あ、いいですねそれ。凄くいいです。


>何らかの事情によりAのPCは絶対にクラックできない、という設定があったのなら話は別ですが


問題があるとすれば、通信端末が携帯電話(っぽい何か)で、その機器自体に何らかの影響があった描写がありませんし、アカウントを乗っ取られた描写だけ、というのが難ではありますが。


今夜はスッキリ眠れそうな気がします。

ありがとうございます。

2009/08/02 21:12:31

その他の回答(5件)

id:EdgarPoe No.1

EdgarPoe回答回数266ベストアンサー獲得回数462009/08/02 11:21:12

ポイント25pt

初めまして。E.A.Poe(知のくずかご)と申します。

主題:「SQLインジェクション」のひとつではないかと想像する


--

小生はそのような映画の心当たりがありませんので、完全な推測でお答えすることをお許しください。


最近読んだ雑誌に「SQLインジェクション」の簡単な説明がありました。概要をかいつまむと

1:Webサービスで「ID」「パスワード」を入力する必要のあるページに行く

2:工夫されたIDを入力する

3:登録されたIDが手に入る

(3.1:うまいことやってIDからパスワードを推測する(らしい。ひょっとすると同じ方法でパスワードも手に入るかもしれません)

4:入手したIDとパスワードでログインして、そのIDの持ち主になりすます

という感じでした。


この方法をつかうと

>Webサービスのアカウントをクラックして悪用し(システムではなく、あくまでWebサービス上でのアカウントです)

が可能になるのではないかと思います。

そこから先は存じ上げませんが、ひょっとして

>その後サービスが稼働しているシステムをクラックする

>システムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させる

まで可能かもしれません。


--

なお、この方法はすでに対策が講じてあるそうですが、映画の話なら「ちょっとしたリアリティを持たせる小道具」として使っても、まあ大丈夫なのではないかと思います。


あまり自信がありませんが、お役に立ちますかどうか。

id:assad_babyl

残念ながら、当初のアカウントをクラックする手法そのものはあまり重要ではありません。

当初クラックされたアカウントは、その後クラックされることになる上位システムの管理者権限も、恐らくはアクセス権すら持っているわけでもない。ということが要点です。

なのに、何故そのアカウント(の利用者)が、システムをクラックしたということに(その映画内で)なっているのかが理解できないのです。

2009/08/02 19:16:44
id:b-wind No.2

b-wind回答回数3344ベストアンサー獲得回数4402009/08/02 11:28:27

ポイント5pt

そもそもにサービス、およびシステムに脆弱性が有ったという前提は必要だがそれ自体は可能だ。


何らかのWebサービスのアカウントをクラックして悪用し

まずこれ自体は比較的容易。ほとんどのWebサービスは既知・未発見を問わなければ脆弱性が有ると考えて良いし、

なくてもソーシャルハッキングなどの方法でアカウントを乗っ取ることが出来る。


その後サービスが稼働しているシステムをクラックする。

これを実現するためには前述の前提条件が必要になる。

システム自体がよく知られたOS・アプリケーションで構築されているのであれば不可能と言うほどでもない。

ただ、よくメンテナンスされているシステムであればゼロデイアタックなどを利用する必要があるので難易度は非常に高い。

逆にメンテナンスされていないようなシステムであればちまたに流れているクラック用のスクリプトを実行するだけで済むことすらある。


そしてシステムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させる

クラックが成功したということは大抵そのシステムを自由に扱える権限を得たという状態を指す。

クラック等に関する調査は各種ログにて判定することが多いのでログを書き換えてしまうことで誤認させることは可能。

古典的なクラックの手法としてはログを削除してしまうだけの物が多いがその応用というレベルだ。

ただし、これ自体はすでにかなり研究が進んでいる部分なので別途対策が取られている場合もある。

対策が取られていれば誤認させることは非常に困難もしくは不可能になることもある。

例として、そもそもクラックされている時点でログの信憑性が無いことはよく知られているし

システムの通信自体を監視する様な仕組み(IDS等)が導入されていることもある。

この場合システム本体だけでなく監視システム側もクラックして誤認する情報を与えなければならないので

現実的ではない。

ただし、誤認させることは無理でも攻撃元を特定されにくくする事は可能。

これは他のサーバーをクラックして踏み台にしたり、クラック自体をボットネットを利用して行う方法が知られている。


悪用を避けるため具体的な部分には一切触れていないので期待しているような回答ではないかもしれないが、その点はご容赦願いたい。

id:assad_babyl

当該映画内では、通信機器とアカウントが紐付けられているような描写がありました。

クラック時の通信ログが残っていたと仮定すれば、『攻撃元』と『アカウント利用者』が別であることは推測できそうなものですが、どうすれば両者が同一であるかのように誤認させられるものでしょうか。

理解できません。

2009/08/02 19:22:43
id:yofukaci No.3

yofukaci回答回数306ベストアンサー獲得回数102009/08/02 11:33:13

ポイント5pt

可能です。

たとえば、ゼロデイエクスプロイトを使えば、WEBサービス上のアカウントでも問題ないです。

ゼロデイエクスプロイトを使えばたいていなんでもできます。

id:assad_babyl

クラックの手法が重要なのではありません。

2009/08/02 19:26:40
id:jo_30 No.4

jo_30回答回数655ベストアンサー獲得回数532009/08/02 20:30:08ここでベストアンサー

ポイント50pt

発想が逆では?

 (1)Aのアカウントを何らかの手段で入手

 (2)自分のPCでAのアカウントを利用してシステムに入り

 (3)そこからシステムをクラック

 (4)色々操作してAのPCからアクセスしたように偽装する方法?

…という順にするから話が難しくなるので、

 (1)踏み台にするA(アカウント使用者)のPCをクラック

 (2)自分のPCからAのPCを介し、Aのアカウントを使ってシステムに入り

 (3)そこからシステムをクラック

…という手順を取れば、とりあえず、AのPCがクラックされていたことが判明するまでは『システムをクラックしたのは、件のクラックされたアカウントの利用者(A)であった、というように誤解させる』ことは普通に可能ですよね。ハッキングにおけるいわゆる『踏み台』というヤツです。件の映画は知らないので、何らかの事情によりAのPCは絶対にクラックできない、という設定があったのなら話は別ですが、そうでなければ要はこういうことだったのではないでしょうか?

id:assad_babyl

あ、いいですねそれ。凄くいいです。


>何らかの事情によりAのPCは絶対にクラックできない、という設定があったのなら話は別ですが


問題があるとすれば、通信端末が携帯電話(っぽい何か)で、その機器自体に何らかの影響があった描写がありませんし、アカウントを乗っ取られた描写だけ、というのが難ではありますが。


今夜はスッキリ眠れそうな気がします。

ありがとうございます。

2009/08/02 21:12:31
id:atmarkbienna No.5

atmarkbienna回答回数61ベストアンサー獲得回数32009/08/03 07:32:20

ポイント5pt

単にアカウント取得者のためのサーバサイドスクリプトにXSS脆弱性があったということではないでしょうか。

実際、アカウント非取得者のためのページより遥かにコードの量が多いので、ログイン状態でアクセスしたときだけ脆弱性が出るっていうシチュは普通に考えられます。

ネトゲとかはほぼ全てがそうなんじゃないですか。

id:assad_babyl

脆弱性の可能性の有無だけでは、攻撃元を誤認してしまう説明にはなりません。

2009/08/03 20:57:06
id:takano32 No.6

takano32回答回数58ベストアンサー獲得回数52009/08/03 10:39:37

ポイント25pt

WebのサービスのアカウントとシステムのアカウントがLDAPなどの共通の認証基盤で結びついていれば自然とそうなる気がしていますが、どうでしょう。

id:assad_babyl

確かに。

両者のアカウントが共通であれば、あるアカウントが悪意ある変更を行った際には、そのアカウントの利用者が疑われますね。

しかし、一般ユーザのアカウントにまで、クラッキング可能な程度の権限が付与されるものですか?

普通は、管理者権限を持つアカウントをクラッキングするものだとばかり思っていました。

2009/08/03 21:11:40
  • id:b-wind
    >当該映画内では、通信機器とアカウントが紐付けられているような描写がありました。
    >クラック時の通信ログが残っていたと仮定すれば
    どういう構成か分からんからコメントも難しいが、通信ログ自体も改竄してしまえばいいんでしょ?

    もっとも、現実的にはあくまで一時しのぎであらゆる所(国家権力の利用服務)から情報をかき集めれば
    現在では通信は特定可能のはずだが手続き自体はひどくややこしいのが実情。
  • id:assad_babyl
    >b-wind氏
    >通信ログ自体も改竄してしまえばいいんでしょ?

    サーバもルータもモデムも、果てはプロバイダまで、全ての通信経路のログを改竄してしまうということですか?
    その発想はありませんでした。
  • id:EdgarPoe
    >当初のアカウントをクラックする手法そのものはあまり重要ではありません。
    失礼いたしました。
    >当初クラックされたアカウントは、その後クラックされることになる上位システムの管理者権限も、恐らくはアクセス権すら持っているわけでもない。ということが要点
    すみません、ご指摘の意味が理解できず、明らかに小生の手にあまる問題のようです。
    #>クラック時の通信ログが残っていたと仮定すれば、
    #>『攻撃元』と『アカウント利用者』が別であることは推測できそうなものですが、
    #>どうすれば両者が同一であるかのように誤認させられるものでしょうか。
    #このあたりでやっと意味がわかりかけてきましたが、やはり小生の手にはあまる問題のようです

    お手間を取らせてすみませんでした。
    ポイントは結構です。
  • id:b-wind
    >サーバもルータもモデムも、果てはプロバイダまで、全ての通信経路のログを改竄してしまうということですか?
    極論すればそういうことになる。
    現実的ではないとはいえ、技術的に不可能なわけではない。
    まぁ大半のルーターやモデムはそこまで詳細なログを取っているわけではないので、ターゲットはプロバイダーの
    システムをどうかいくぐるかという点になるが。

    現実的にもIPアドレスの詐称レベルでよければ実際に実現可能だし。
    http://trombik.mine.nu/~cherry/w/index.php/2008/02/26/1165/youtube-ip-hijacking

    >そしてシステムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させる
    ここまでする必要があるのなら、その準備として前述の行為(もしくは準備)を前もって行っているであろう事は
    想像に難くない。

    あくまで机上の空論でSFチックな話ですけどね。
    理屈上は一応可能って事で。
  • id:assad_babyl
    >EdgarPoe氏
    申し訳ありませんが、一人称と、レスから見える人柄に好感を持ってしまったため、ポイントは押し付けさせていただく予定です。

    いずれ機会があれば、またよろしくお願いいたします。
  • id:assad_babyl
    >b-wind氏
    具体性がなさ過ぎて、いっそ清々しいです。
  • id:yofukaci
    >当初クラックされたアカウントは、その後クラックされることになる上位システムの管理者権限も、恐らくはアクセス権すら
    >持っているわけでもない。ということが要点です。

    その状態で、上位システムの管理者権限を取得する方法がクラック(ハッキング)の一種なのです。
    ユーザーアカウントを奪って、それで管理者アカウントを奪うか、奪ったユーザーアカウントに権限をつかするとか。

    >そしてシステムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させることは可能ですか?

    管理者権限をもてばなんでも可能なので、b-wind氏の言うように改ざんが可能です。
    いちばん簡単なのが、ログ自体を消してしまうことですが、それでは誤解させられませんが、技術的には簡単にできると。

  • id:assad_babyl
    >yofukaci氏
    言葉遊びですね。
    質問の回答にはなっていません。

この質問への反応(ブックマークコメント)

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

絞り込み :
はてなココの「ともだち」を表示します。
回答リクエストを送信したユーザーはいません