恐ろしい！ ネットバンキング開発打ち合わせの様子
「TOTOROの自堕落 日記」に、あるネットバンキングサービスについての
とても気になる内容が掲載されていた。システム更新の開発を外部に発注するための、
ごく初期の会議のひとコマなんだけれど、発注側はセキュリティに関してほとんど無知
なのに加えて、現行システムのセキュリティの大穴を実験で指摘されても、記録には
残ってないから対策をしない、というとんでもない態度を取っていた。もっとも、
この日記公開の直後に、新聞社から取材が行ったり、当の担当者は急に地方に転勤に
なったりしたようで、何となく落ち着くところに落ち着いた感もある。筆者の場合は、
残高がほとんどないので安心しているけれどね。
2004/08/18付やじうまWatch
http://internet.watch.impress.co.jp/static/yajiuma/index.htm
とても気になる内容が掲載されていた。システム更新の開発を外部に発注するための、
ごく初期の会議のひとコマなんだけれど、発注側はセキュリティに関してほとんど無知
なのに加えて、現行システムのセキュリティの大穴を実験で指摘されても、記録には
残ってないから対策をしない、というとんでもない態度を取っていた。もっとも、
この日記公開の直後に、新聞社から取材が行ったり、当の担当者は急に地方に転勤に
なったりしたようで、何となく落ち着くところに落ち着いた感もある。筆者の場合は、
残高がほとんどないので安心しているけれどね。
2004/08/18付やじうまWatch
http://internet.watch.impress.co.jp/static/yajiuma/index.htm
|
|
|
2 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:19
ようわからん（・∀・ ）っ/凵 ⌒☆ﾁﾝ
3 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:24
で、どこの糞銀行なんだ？
システム統合に失敗してひどいことになったあそこだったら困るなぁ
システム統合に失敗してひどいことになったあそこだったら困るなぁ
4 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:25
僕の肛門もセキュリティの大穴が指摘されています。
5 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:27
なんか広末が出た
6 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:30
俺もよくわからんけど肛門から山本がでてきたよ
7 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:31
ま た 不 治 痛 か ！
8 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:32
彼女のあそこも、セキュリティ的に大穴・・・
9 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:32
これパスワードがなくても自由に他人の口座を操作できてしまうのだが、
どこのネットバンクかがわかって、残高とかを掲示板に晒されたら、
このネットバンク廃業になってしまうほどの祭りになってしまうだろうな。
私が使っているネットバンクでは、問い合わせのボックスに
書き込めるのは全角文字だけで半角文字は数字以外
一切受け付けないようになっていた。
実行コードが書き込まれないようにしていたんだな。
どこのネットバンクかがわかって、残高とかを掲示板に晒されたら、
このネットバンク廃業になってしまうほどの祭りになってしまうだろうな。
私が使っているネットバンクでは、問い合わせのボックスに
書き込めるのは全角文字だけで半角文字は数字以外
一切受け付けないようになっていた。
実行コードが書き込まれないようにしていたんだな。
10 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:35
このシステムで取り扱う物は？
主に、顧客の預金に関するやりとりです。
てことは、有る程度セキュリティは、考えてますよね？
当然です。最低限、私たちに非が有るような状況は避けないと。
まぁ、それはそうでしょうけど。
具体的には？
SSLを用いて、顧客との通信を暗号化する。
ほかには？
そのほか、何が必要だというのだ？
SQLインジェクションに対するサニタイジングは？
SQL?インジェクション？何だねそれは。
まぁ、簡単に申しますと、外から他人の口座をハックして、情報を取り出すことです。
この情報には、「預金残高」も含まれてます。
そんなこと、本気で出来ると思ってるのかね？
そもそも、そんなことができるなんて話は聞いたことがないぞ。
えっと、念のために確認しますが、この会議ってのは、○○のシステムリプレースですよね？
そうだが？
現状のシステムでは、その様な事は無かったと言うことでしょうか？
きみぃ、馬鹿にして貰っては困るよ。今までログを監査していたが、今までその様な事は無かったぞ
はぁ、じゃ、試しにやってみましょうか。
ここで、現行システムの実験環境をプロジェクタで大写しにしてもらう
まずですね、ソースを見ましょうか
ここにですね、xxxxxがありますよね、これをxxxxxxxxに変えてローカルに保存します
次に、このローカルに保存したファイルを開きまして・・・・
ここで、このように・・・・・・
実作業については、以下略
と、この様にしますと、他人の口座を見ることが出来ました。
この状況に至までのログを追いかけてもらえますか？
ログには何も残ってない・・・・
この様に、ログに残さないように他人の口座から預金を引き出すことも、
振り込むことも出来る訳ですが、、、これでもこの様な対策をする必要はないと？
きみねぇ、、こんな事が出来るという、実験は解った。
しかし、これが現実に起きているという確証はない。
君のような事をする者が他に居るとでも言うのか？
少なくとも、数年前には無かった事例ではありますが、情報の改ざん、情報漏洩などの問題の１要素にはなっているとおもいますが。
君の言い分はよくわかった、しかしながら、入られるかもしれないと言った、アバウトな状況だけでシステムを作り変える必要は無いんじゃないか？
では、今後この様な状況に陥らないと？
陥るも何も、今までこの様な事は無かったし、ログにも記録されていない。
ですから、先ほど私の行った実験でも、ログを残さずに他人の口座を見ることが出来ました。
それでも、過去に発生していないと？
そらまぁ、原理的には可能なんだろうけど、ねぇ・・・・
では、今後この対策は行われないと？
ま、そうなるかね？
主に、顧客の預金に関するやりとりです。
てことは、有る程度セキュリティは、考えてますよね？
当然です。最低限、私たちに非が有るような状況は避けないと。
まぁ、それはそうでしょうけど。
具体的には？
SSLを用いて、顧客との通信を暗号化する。
ほかには？
そのほか、何が必要だというのだ？
SQLインジェクションに対するサニタイジングは？
SQL?インジェクション？何だねそれは。
まぁ、簡単に申しますと、外から他人の口座をハックして、情報を取り出すことです。
この情報には、「預金残高」も含まれてます。
そんなこと、本気で出来ると思ってるのかね？
そもそも、そんなことができるなんて話は聞いたことがないぞ。
えっと、念のために確認しますが、この会議ってのは、○○のシステムリプレースですよね？
そうだが？
現状のシステムでは、その様な事は無かったと言うことでしょうか？
きみぃ、馬鹿にして貰っては困るよ。今までログを監査していたが、今までその様な事は無かったぞ
はぁ、じゃ、試しにやってみましょうか。
ここで、現行システムの実験環境をプロジェクタで大写しにしてもらう
まずですね、ソースを見ましょうか
ここにですね、xxxxxがありますよね、これをxxxxxxxxに変えてローカルに保存します
次に、このローカルに保存したファイルを開きまして・・・・
ここで、このように・・・・・・
実作業については、以下略
と、この様にしますと、他人の口座を見ることが出来ました。
この状況に至までのログを追いかけてもらえますか？
ログには何も残ってない・・・・
この様に、ログに残さないように他人の口座から預金を引き出すことも、
振り込むことも出来る訳ですが、、、これでもこの様な対策をする必要はないと？
きみねぇ、、こんな事が出来るという、実験は解った。
しかし、これが現実に起きているという確証はない。
君のような事をする者が他に居るとでも言うのか？
少なくとも、数年前には無かった事例ではありますが、情報の改ざん、情報漏洩などの問題の１要素にはなっているとおもいますが。
君の言い分はよくわかった、しかしながら、入られるかもしれないと言った、アバウトな状況だけでシステムを作り変える必要は無いんじゃないか？
では、今後この様な状況に陥らないと？
陥るも何も、今までこの様な事は無かったし、ログにも記録されていない。
ですから、先ほど私の行った実験でも、ログを残さずに他人の口座を見ることが出来ました。
それでも、過去に発生していないと？
そらまぁ、原理的には可能なんだろうけど、ねぇ・・・・
では、今後この対策は行われないと？
ま、そうなるかね？
11 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:36
>>9 問い合わせのボックスに入れられなくても、
Webサーバ側が半角文字を受け付けられてかつ無害化処理を
行っていなければ、ブラウザを使わないで自作のアプリとかで
実行コードを書き込めちゃったりするわけですが、
お互い問題ないことを祈ります(((((((((((((((((（；´Д｀）)))))))))))))
Webサーバ側が半角文字を受け付けられてかつ無害化処理を
行っていなければ、ブラウザを使わないで自作のアプリとかで
実行コードを書き込めちゃったりするわけですが、
お互い問題ないことを祈ります(((((((((((((((((（；´Д｀）)))))))))))))
12 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:38
ここ
ttp://d.hatena.ne.jp/magisystem/20040816#p1
やり方 手口の詳細
http://www.ipa.go.jp/security/awareness/vendor/programming/a02_01_main.html
ttp://d.hatena.ne.jp/magisystem/20040816#p1
やり方 手口の詳細
http://www.ipa.go.jp/security/awareness/vendor/programming/a02_01_main.html
13 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:47
で、どこの銀行の話なのかを教えてくれる人を待っているわけだが
14 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 15:55
今統合すすめてるとこって
西◎本銀行と福◎シティ銀行？
西◎本銀行と福◎シティ銀行？
15 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 16:04
伏字になってません。
16 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 16:06
17 ：オレオレ!オレだよ、名無しだよ!!：04/08/18 21:51
そういやＡＴＭにwindows入れたｳﾞｧｶ銀行もありましたっけ。
18 ：オレオレ!オレだよ、名無しだよ!!：04/08/19 15:23
19 ：オレオレ!オレだよ、名無しだよ!!：04/08/19 22:35
>>17
それこそ、「そこいらにうようよある銀行」だろ。
それこそ、「そこいらにうようよある銀行」だろ。
20 ：オレオレ!オレだよ、名無しだよ!!：04/08/20 00:39
沖のＡＴＭがWINDOWSベースじゃなかったか？
21 ：オレオレ!オレだよ、名無しだよ!!：04/08/20 01:07
えろえろしながら、エロバンキングしてるんですか。
22 ：オレオレ!オレだよ、名無しだよ!!：04/08/20 01:31
工口□ロ（´д`）ロ□口工 ？
ケロロ軍曹はつまんない