セキュリティ情報共有・開示の難しさについて

1. “責任ある” 無責任な情
報開示
～あるモバイルマルウェア
の報道発表に見る情報開示
の難しさ～
笹部哲郎

2. とかく discloseure は難しい
• セキュリティ情報の共有は難しい。
• 責任とは何か。
• 宣伝目的の disclosure。

3. Internet Watch 2013年3月19日
http://internet.watch.impress.co.jp/docs/news/20130319_592388.html

4. マルウェアの機能
• 電話帳を利用した利用者の意図しない
SMS 送信による感染拡大。
• 課金メッセージの表示。
• 電話帳を利用者の意図によらずマルウェ
アホストサイトへのアップロード。

5. セキュリティベンダーのブログ
http://www.symantec.com/connect/ja/blogs/androiduracto

6. ブログに示された情報を使い…

7. 検索でマルウェアサイトが判明

8. サイトは稼働中

9. 他にも情報が残っていた

10. 被害者？の電話帳が見える状態

11. 情報共有の二大流派
• Full disclosure (意訳：ぶっちゃけ全公開)
vs
Coordinated disclosure (意訳：協調公開)
• Coordinated disclosure の人々は
responsible disclosure という言葉も使う。
Full … 派を言外に「無責任」と…。
• Coordinated disclosure は被害の拡大を防
ぎ得る開示方法とされる。

12. 撃墜星 = kill marks
• セキュリティ企業の報道発表は宣伝。
http://commons.wikimedia.org/wiki/File:A-10_Thunderbolt_II_Kills.JPG

13. とかく discloseure は難しい
• ほとんどのセキュリティ企業は
coordinated disclosure 派。
• Symantec もこの立場。
– http://www.symantec.com/security/
• にもかかわらず被害者の情報を開示する
事故？を起こす。

14. 注記
• 公表日現在、マルウェア配布サイト = 被
害者の電話帳を掲載したサイトは閉鎖さ
れています。
• ドメイン名も無効になっています。
• 著者はブログ掲載企業に対し直後に問題
の可能性指摘しています。
• 当該ブログ英語版では修正されています。
原題 How Symantec intentionally exposed malware victim's privacy.