GNU の ftp サイトが 3月以来 crack されていた 133
ストーリー by wakatono
確認作業が大変そうだ 部門より
確認作業が大変そうだ 部門より
maho 曰く、 "http://ftp.gnu.org/MISSING-FILES.README によると、gnuftp.gnu.orgが三月以来トロイの木馬に乗っ取られており、七月の終わりの週まで crackされていたことに気づかなかったとのことです。皆様のお手持ちの GNU プロダクトは大丈夫でしょうか? (そもそもどうやってチェックするのでしょう?)"
サマリには、8/2からチェックサムの再生成中とあるとのことだ。しかし大変なのが、その間に入手したアーカイブ類のチェック。…どうしよう…
追記 by W:掲載した直後にbrake-handleからもタレコミがあった。内容が参考になるので掲載する。
"GNUの発表によると、GNUのFTPサーバgnuftp.gnu.orgが今年3月に攻撃を受け、rootが乗っとられていたことが7月末の週に明らかになった。乗っとり手口は、同じく3月に発見された、ptrace(2)のセキュリティホール経由と見られている。乗っとられた計算機にはトロイの木馬が仕掛けられており、パスワードの収集および踏台としての利用を狙っていた模様。
このroot乗っ取りを受け、8月2日(米東部時刻)にgnuftp.gnu.orgの計算機が交換された。また、配布されているファイルに対するmd5 checksumの安全確認結果およびchecksum未確認ファイルが公表されている。さらに、配布ファイルの安全確認作業が終了するまで、gnuftp.gnu.orgへのシェルアクセスは停止されている。"
雑訳 (スコア:5, 参考になる)
・どうもログとか見るに、GNUのソースは無傷ぽい。けどそれだけじゃあ安心するに足るものにはならんので、一個一個安全性を確認してますた。二週間もかかっちゃった、てへ
・http://ftp.gnu.org/MISSING-FILESにあるのは、まだ安全性の確認できてないパケジのリスト。メンテナに確認作業をお願いしてるところ。不安なところは一片たりとも残したくないんで、この確認作業中のものはgnuftpには上げてないんだ、ごめんね
....おおまかに、こんな感じ？
間違ってたら添削お願い。
この話っていつ公表されてたの？ (スコア:4, 興味深い)
そして、8/2からPGPの再生成して8/14現在GNUFTPのPGPチェックサムリストを見るとのほとんどの再生成が終わってると。
で、/.-Jで話題になったのが8/14。
どっかほかのところでは情報が流れてたの？
それとも、さすがのGNUでもこういう情報は都合がよくなるまでは非公開？
#GNUFTPの運営にならって都合がよくなるまでAC
Re:この話っていつ公表されてたの？ (スコア:3, 参考になる)
知らなかった人がほとんどだと思われ。
Re:この話っていつ公表されてたの？ (スコア:1)
CERTの和訳だけど。
やなぎ
字面じゃなく論旨を読もう。モデレートはそれからだ
Re:この話っていつ公表されてたの？ (スコア:2, 参考になる)
gcc-mlでは特にその記述に対して「おいおいまじかよ！」みたいなリプライがなかったため、私は「なんだ既に世間では広く知られてることだったのか。そのわりになんでどこでも話題にならなかったんだろう」などと思っておりました。
参考 gcc-ml の GCC Release Status (2003-08-03) [gnu.org]とかおいらの日記1 [srad.jp]とか同2 [srad.jp]
-- Takehiro TOMINAGA // may the source be with you!
Re:この話っていつ公表されてたの？ (スコア:1)
セキュリティ上重要な情報が流れていても反応が少ないことが割とあるように思います。
結局、「セキュリティに関心のある人」は一部で、それ以外は
「セキュリティに関心のない普通の人」なのかなぁ……というのが、
近頃ぼくが受けている印象です。
ま、これはこれで一面的な印象で、本当は世の中そんなに単純ではないのでしょうけど。
// gcc-ml は取っていません。
鵜呑みにしてみる？
Re:この話っていつ公表されてたの？ (スコア:1, すばらしい洞察)
はヒントにはならんか。更新されちゃったら分からんもんな。
しかしお粗末。
八月入ってからここからファイル落とした人は騙された事になる。
そもそも三ヶ月間も気付かなかったことに加え、配布サーバのカーネルパッチを当て損ねてたってのはお笑い種にしかならない。
Re:この話っていつ公表されてたの？ (スコア:0)
http://ftp.gnu.org/MISSING-FILES.READMEを見るに、どうもptraceのexploitが公表されてからパッチが出るまでの一週間の間にヤラれたっぽい、って書いてあるみたいだけど。
再発防止策と残る問題 (スコア:4, 参考になる)
GNUでは再発防止策として、8月1日以降全てのソフトウェアリリースに対し、リリース作成者のGPG署名付checksumをつけるようにしています。
これはこれでよろしいのですが、GNUが(署名の出所, ソフトウェアの名前)の対を確認させてくれるとなお確実なのでは。署名の出所をGNUが確認しないと、誰かが勝手に自分の署名で乗っ取られたソフトウェアをリリースしてしまう恐れがあります。また、ソフトウェアの名前を署名の出所に対応させておかないと、署名をGNUに届出た人物が勝手に他人のソフトウェアを(自分が全く手をつけていないソフトウェアの名前で)リリースできてしまいます。
ソフトウェアの名前を持ち出すのは、GNUに信頼された人物による悪さに対抗するための対策です。今回の事件が純粋にlocal exploitであるならば(remote exploitを全く踏台にしていない)、gnuftpにアカウントを持っている人物といえども信頼できなくなってしまいます。どのような情報が信頼できるかを見極めるためにも、手口や犯人を含めた事件の全容解明が望まれます。
これを好機に (スコア:4, すばらしい洞察)
iida
Re:これを好機に (スコア:1, すばらしい洞察)
>クラックに腹が立ったら、GNUのFTPサーバー管理者にではなく、
>クラッカーにぶつけてはいただけまいか
には賛成できない。甘ったれるなといいたい。
それは別にGNUだろうが他の企業だろうが同じことだろう。
Re:これを好機に (スコア:2, すばらしい洞察)
をお求めになると
「やっぱり企業じゃないとダメだね、安心できない」
がもれなくついてきますがいかに。
Re:これを好機に (スコア:1, 参考になる)
元のコメントでは、怒りのやり場をどこへ持っていくかについて書いてあったはずなのです。
「甘ったれるな」と言いたい気持ちまでは、私も同じなのであって、大事なのはその次にどう反応するかです。
サーバー管理者に言いたい助言が本当にあるのであれば、たとえばFSFに宛てて、ちょっと頑張って英語でメールを書いてみる、というようなコミュニティーにとってのプラス思考で行動したいもの。
うぎゃぁ (スコア:2, 興味深い)
> gnu/emacs/emacs-21.3.tar.gz
> gnu/glibc/glibc-2.3.2.tar.gz
などというものが…
影響範囲、でかそう…
RedHat とかの distro モノは大丈夫なんでしょうか？
Re:うぎゃぁ (スコア:0)
された後に再度オリジナルに戻されていたとしたら安全であるとは言えないですね。
完全な安全を確保したいなら、該当期間にダウンロードした覚えのある人は、
自分でチェックするか、Makeし直しするほかないかも。
もう一回見直してみよう (スコア:2, すばらしい洞察)
いわゆる一般?ユーザが求めているのは、便利に安全に使用できるツールじゃないでしょうか？
皆さんなんだかんだいって、MSのソフトも使ってるし、GNUのツールも使ってるし、
いろいろ使ってませんか？
ソフトウェアにバグ・セキュリティホールがあるのは仕方が無いことですし、
だからこそ配布をする側にはきちんとした対応（情報提供・迅速なパッチ配布）をしてほしいですし、
ユーザ側も、情報をチェックして自衛することが大切じゃないでしょうか？
商用だろうとオープンソースだろうと、配布したからには責任があると思うし、
使用者だって自分が使っているものが正常かどうかの確認ぐらいしたほうがいいじゃないですか。
（管理者と呼ばれる人ならばもっとやることはたくさんありますが。。）
そういう意味で、今回のGNUの対応は残念な気がしました。。。
例のセキュリティーホールってリモートは無理だったの (スコア:1)
どうやって乗っ取ったのだろう？
ftpサーバーのTELNETポートとかが開いているの？
パッチ当て忘れているのも問題だけど、一般人に公開しなくても良い奴まで晒しているのだろうか？
FTPサーバになぜシェルアクセス? (スコア:2, 参考になる)
GNUの発表 [gnu.org]の終りの方に、
とあります。逆にいえば、発覚前まではシェルアクセスを提供していたのでしょう。
どちらかというと、なぜFTPサーバでシェルアクセスを提供していたのかという方が疑問。特にパスワード収集のために狙われたとなると、GNUがgnuftp.gnu.orgでのソフトウェア配布を認めた作者に安易にシェルアクセスを与えてしまっていたのかなぁ。
Re:FTPサーバになぜシェルアクセス? (スコア:1, 参考になる)
Re:FTPサーバになぜシェルアクセス? (スコア:1)
>さらに、配布ファイルの安全確認作業が終了するまで、>gnuftp.gnu.orgへのシェルアクセスは停止されている。"
と書かれている。数ヵ月後には開放されるのだろうね。
今まで与えていただけでなく、あくまでも一時閉鎖であって、これからも与えるのだろう。
「安易に」という言葉が俺の考えとピタリと一致する。
懲りずになんでこれからも与えるのだろうね。
推測に過ぎないが、発覚が4,5ヶ月も遅れた理由の一つには、シェルが開放されていたことも含まれているはず。
じゃあ、つまり (スコア:0)
Re:じゃあ、つまり (スコア:2)
Re:じゃあ、つまり (スコア:1, すばらしい洞察)
gccの出力バイナリにも仕込むようになってたら・・・
Re:じゃあ、つまり (スコア:1)
新しいMD5値と一つ一つ手元で比べるしか無いのかな。
しかし、3月以来5ヵ月にわたってダウンロードしたソースとバイナリをまるまるチェックというのは……。
捜し出すだけでも一苦労になりそうですね……
Re:じゃあ、つまり (スコア:0)
映画 T3|^m1n^t0|r 4 |^153 0f f|^33 (TERMINATOR 4 RISE OF FREE)
Re:じゃあ、つまり (スコア:0)
Re:じゃあ、つまり (スコア:0)
gccに仕込まれると根が深くなるなあ。
Re:じゃあ、つまり (スコア:2, おもしろおかしい)
これをマイナスモデレートした御方へ。 (スコア:1)
「GPLはウイルス性のあるライセンス」云々にちなんだジョークとして笑う所だと思うんで、
安易にマイナス付けちゃうのは野暮でないの、と思ったり。
gy0
Re:これをマイナスモデレートした御方へ。 (スコア:1)
少し悩みました。なるほど。そういうことか。
Re:じゃあ、つまり (スコア:1)
やっぱり、ショック…… (スコア:0)
それから、コンサルをしているストールマンがついていながら、なぜこのようなことが起こったのでしょう。そちらのほうが、気になります。
Re:やっぱり、ショック…… (スコア:1, おもしろおかしい)
RMSってそうゆーのが仕事なんですか?
エヴァンジェリスト(愛の宣教師)かと思ってましたが。
必然的な結果 (スコア:1, 興味深い)
「ちばしば」？ (スコア:0)
Re:「ちばしば」？ (スコア:2, 興味深い)
から推測すると
AddDefaultCharset iso-8859-1
がhttpd.confで設定されているのではないでしょうか。
2度ほどwebmastersに報告しましたが放置プレイ中。
Re:必然的な結果 (スコア:1, 興味深い)
Re:やっぱり、ショック…… (スコア:1)
Re:やっぱり、ショック…… (スコア:1)
MSもGNUも過信してはいけません。
Re:やっぱり、ショック…… (スコア:1)
自分のマシンに backdoor が入っているのを喜ぶ人がいるとは思えないので、
GNUなどのオープンソースでは誰か問題を見付けてくれて、その恩恵に預れることが予想できます。
# エラーイハッカー先生のお力を頼る、まさしく他力ですね。
# まぁ、自分で発見できるようになれればカッコイイんですけどね。
一方で、Microsoft が Windows に backdoor が入っているのを喜ばないとはあまり思えません。
内部の詳細情報を知っているのは彼等だけの状況で、さらに
netcraft [netcraft.com] を見る限りでは。
gnu.orgの管理体制に疑問はありますが、backdoorに関しては私は楽観視してます。
使ってるマシンに今回のGNUの件で backdoor を見付けたら報告しますよ。
もちろん見付けられればの話なんですが。
# 今週はジャックルマロワ賞なのでID。
ぱ
Re:やっぱり、ショック…… (スコア:1, すばらしい洞察)
>で、一瞬ある企業のロゴマークが頭に浮かびました。
これをFUDといいます。
Re:やっぱり、ショック…… (スコア:1)
穴をつつかないと作れないじゃないですかっ！
それに普通、穴を突いたら快感を覚えますよね？
いや、相手が女性でないと作れないのも確かですが…。
つまり、普通の人の感覚です。
Re:いい薬 (スコア:1, 参考になる)
導入するんだから大差ないぢゃろう。
で裏切られたときには、おろおろしちゃうところも同じ;-p
Re:いい薬 (スコア:0)
同レベル (スコア:1, すばらしい洞察)
GNU信者な分際で、住基ネットの話の時に片山総務大臣が
本人がろくに把握しきれてない事柄を盲目的に過信してるのを見て
嘲笑ってた奴らは、
「私も結局は５０歩１００歩でした。スミマセンでした」
と彼に謝っとけ。
「誉める」だとか偉そうなこと言う前にまず、人としてそれが先だろ？
Re:いい薬 (スコア:0, オフトピック)
AC さんのように強くないのです。 ちなみに今のところ僕は GPL/BSD/communizm/socialism/capitalism/science/bible/仏教 たち(厳密)には信じられないです...
実用的に RMS 様は僕にとってとても重要な位置を占めているので、感謝と共に、今回の事件を残念だと思います...
Re:いい薬 (スコア:0)
OK、俺もGNUには世話になってる
一回ぐらい信じてみるさ
まだ、足に穴が開いたわけじゃないしな
Re:いい薬 (スコア:0)
Re:各ディストリビューションの状況 (スコア:1)
ここ [cert.org]をみるべし。
Appendix A. にベンダのステータス一覧がある。
…でも、今のところ FSF しかないねぇ X-(
--- Toshiboumi bugbird Ohta
Re:長い歴史で今回がはじめて？そしてあっちは？ (スコア:1)
アタックを恒常的に受けていると思われるMS社本山は、
未だに侵入を受けたということは無かったと思います。
上流ノードのDNSやMSNがクラックを受けたことはあったけど。