パスワードを忘れた？ アカウント作成
Close
6927 story

複数の Debian Project マシンへのセキュリティ侵害 (compromise) 72

ストーリー by yoosee
悲しいけど、これって現実なのよね 部門より
debian-announse-jp に正式にアナウンスされたところによると、 Debian Project の保有する複数の Debian サーバーが過去 24 時間以内にセキュリティ侵害されていたことが発覚している。 ただし、アーカイブはこの侵害を受けていない(特に security archive に関しては信頼できるソースとの厳しい検査を実施した上で再公開予定)。 現在、この侵害による影響を受けていると判明しているのは以下のサーバ
  • master (バグ追跡システム)
  • murphy (メーリングリスト)
  • gluck (Web、CVS)
  • klecker (security、non-US、Web検索、WWW マスター)
サーバを綿密に調査しているため、これらに関係する幾つかのサービスは現在停止している可能性がある。別のマシンでサービスを再開しているものもある。
また Debian GNU/Linux の次のリリースポイント 3.0r2 に関しては、セキュリティ侵害を受けていないことは分かっているが、リリース自体は延期する事が決定している。
詳しくは debian.org の WebSite を参照のこと。 /. 本家、セキュリティホールmemoにも記事がある。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

複数の Debian Project マシンへのセキュリティ侵害 (compromise) More

  • 日本語の詳細な情報を (スコア:3, 興味深い)

    by Anonymous Coward on 2003年11月22日 9時52分 (#438744)
    関心を持った多くの人が正しく状況を理解するためにも
    日本語で書かれた詳細な情報が必要かと。

    でないと、
    「最新版にバッファオーバフローのバグが入っていた」
    「インストール直後のデフォルト設定が甘く、運用もそのままだった」
    「バグ入りの古いバージョンをそのまま使っていた」
    など、ソフトそれ自体の問題なのか設定の問題なのか
    運用の問題なのか、区別できずに混乱しそうです。

  • どうやって確認する? (スコア:2, 興味深い)

    by taz3 (5225) on 2003年11月22日 10時25分 (#438755) 日記
    アーカイブはこの侵害を受けていない

    上記を，外部の人間はどのようにすれば確認できるのでしょうか? 声明だけだと，信じる・信じないの不毛な議論になりそうな気がします．

    --
    Koichi

    • Re:どうやって確認する? (スコア:5, 参考になる)

      by Oliver (4) on 2003年11月22日 16時42分 (#438868) ホームページ 日記
      Debianのパッケージはすべて、登録メンテナーのGPGによる電子署名付きでアップロードされます。といっても、(まだ)パッケージそのものではなく、.dscと.changesというファイルにそれぞれソースとバイナリパッケージのmd5sumが書いてあって、そのファイルに署名がされている。平時から実際にメンテナーによるアップロードであることが確認されない限り、アーカイブに収録されることはありません。

      今回は、.dsc, .changesの電子署名を全て検証して、アーカイブのファイルのmd5sumがその中に記録されている値と同一かチェックされました。

      このチェックはその気になれば外部の人間でもできます。
      シェア
      親コメント

    • Re:どうやって確認する? (スコア:4, 参考になる)

      by higon (6160) on 2003年11月22日 17時32分 (#438881) 日記

      一度も署名確認失敗したこと無いのでアレですけど、apt-get で取ってくるものは自動で署名を検証するようになっているはずなので、心配はいらないでしょう。また報告メールの署名で、この報告がかなりの確率で本人の物であろうと判断できます。

      情報源のMailing listを落としているのが痛いですね。 脆弱性がソフトウェアに有ったのか、運用体制に有ったのかが未だに分からない。

      シェア
      親コメント
    • 外部の人間はどのようにすれば確認できるのでしょうか?

      ソースを読めば問題のあるコードが含まれていないかわかります。というのがオープンソースのメリットらしいです。

  • apt-get updateできない? (スコア:2, 興味深い)

    by bikeman (14466) on 2003年11月22日 12時41分 (#438803)
    いま、これを読んでwoodyのapt-get updateしようとしたら、できない。

    関係あるの?

  • 複数やられたの？ (スコア:2, 興味深い)

    by Anonymous Coward on 2003年11月22日 15時22分 (#438844)
    侵入の手口や実際の被害などがよく分からんからアレだけど、複数同時にやられたってのは

    ・共通の脆弱性を利用されてヤラれた
    ・いずれにも入っているアカウントを乗っ取られた
    ・内部の犯行
    ・その他

    はうまっち。

    • Re:複数やられたの？ (スコア:1)

      by one-one (17888) on 2003年11月22日 18時49分 (#438907) 日記
      ・いずれにも入っているアカウントを乗っ取られた

      普通 こういうところで使う場合IDが同じでもマシンごとにpasswordは変えるもんだと思うのですが そうでなかったってことになっちゃいますね
      それどころか 結構前に流行った hosts.equivとか .rhostsとかを使った渡り歩きだったりしたら 目もあてられない状態になっちゃいます

      なのでこれ以外であることを希望します! ってことで『共通の脆弱性』に50カノッサ
      …でも「その他」ってある意味ワイルドカードだよなぁ

      シェア
      親コメント

      • Re:複数やられたの？ (スコア:1)

        by tomita (18544) on 2003年11月22日 20時57分 (#438939)
        普通 こういうところで使う場合IDが同じでもマシンごとにpasswordは変えるもんだと思うのですが

        複数のホストにアカウントを持っている人の秘密鍵が盗まれて、破られたのかも知れません。
        用心深い管理者ならsshでもパスワード認証ではなく、公開鍵暗号による認証を使うはずですから。

        #そういえばパスワード認証をしないように設定してもパスワード認証を受け付けてしまうバグはもうなおったのかな。

        シェア
        親コメント

        • Re:複数やられたの？ (スコア:1)

          by one-one (17888) on 2003年11月22日 21時32分 (#438955) 日記
          用心深い管理者ならsshでもパスワード認証ではなく、公開鍵暗号による認証を使うはずですから。

          そうですね.
          ＃ 僕のかけは分が悪くなってきちゃいました

          何にしても system上の脆弱性なのか 人為的脆弱性なのか早いとこ知りたいところです

          シェア
          親コメント
        • 今回話題に直接上っているマシンには何もセキュリティホールがなかったが、アカウントを持っている人のマシンがクラックされ、しかもssh-agentを常時動かしていた…とか。
          これなら、秘密鍵のパスフレーズを解読する前から踏み台にされてしまいます。
          --
          # rm -rf ./.
          シェア
          親コメント

  • あちゃー (スコア:1, 興味深い)

    by Anonymous Coward on 2003年11月22日 11時13分 (#438772)
    最近、大手のlinux関連のサーバへの攻撃が多いですねぇ
    単にLinuxを利用しているサーバを攻撃するとかいうのではなく
    あきらかに、広い意味でLinux利用者を困らせようとしてますね。
    何らかの私怨が絡んでるのか、政治的(企業的)意図がからんでるのか
    偶然なのかはわかりませんが、先日のLinuxのダウンロード専用CVSツリーへの攻撃も考えると何らかの意図があって攻撃してるのではないかと考えてしまいます。

    企業ベースのディストリビューションではなく
    ほぼボランティアベースのDebianを狙ったのは
    単に訴えられなさそう、もしくは裁判費用出せなさそうだから とかいうノリなんですかね。

    何にせよ、これからの動き次第ですね。Debianは経験も実績もあるので今まで信頼してきましたが、今回の件を受けての采配を見て今後も信頼できるかどうか判断したいところです。
    #攻撃されただけでは信頼に値するかの判断にはならないですね
    #ある程度知名度の高いサーバになるとセキュリティ侵害に繋るような事は日常茶飯事ですし、それしきの事で疑っていては何処も信用できなくなります

    • Re:あちゃー (スコア:2, 興味深い)

      by Ying (4319) on 2003年11月22日 21時52分 (#438963)
      いいえ、違います。

      増えたのは成功した攻撃に関する発表（もしくは報道）です。

      シェア
      親コメント

    • Re:あちゃー (スコア:0)

      by Anonymous Coward
      >最近、大手のlinux関連のサーバへの攻撃が多いですねぇ
      >単にLinuxを利用しているサーバを攻撃するとかいうのではなく
      >あきらかに、広い意味でLinux利用者を困らせようとしてますね。
      >何らかの私怨が絡んでるのか、政治的(企業的)意図がからんでるのか
      >偶然なのかはわかりませんが、先日のLinuxのダウンロード専用CVS
      >ツリーへの攻撃も考えると何ら

  • debian 3.0r2 released (スコア:1)

    by higon (6160) on 2003年11月24日 6時04分 (#439467) 日記
    >また Debian GNU/Linux の次のリリースポイント 3.0r2 に関しては、セキュリティ侵害を受けていないことは分かっているが、リリース自体は延期する事が決定している。

    今日付で、debianのunstable [debian.org]がupdateされました。 セキュリティアップデートがメインです。Ｗｅｂサイトには、その他に件の報告 [debian.org]も載りました。

    ＃未だに原因は分からないけどな。

  • compromised? (スコア:0)

    by Anonymous Coward on 2003年11月22日 7時53分 (#438718)
    “Debian Project Servers Compromised”の翻訳は「セキュリティ侵害」なのか？意味が分からないんですけど・・・

    • Re:compromised? (スコア:2, 参考になる)

      by Anonymous Coward on 2003年11月22日 10時37分 (#438758)
      compromiseには"weaken (a reputation or principle) by accepting standards that are lower than is desirable"という意味があるので(NOAD)、Debian Project Serversは、「(セキュリティ)を弱められた」「信用を失わされた」といった意味になるのではないでしょうか。セキュリティ侵害」という訳は的はずれではないと思います。
      シェア
      親コメント

      • Re:compromised? (スコア:1, 参考になる)

        by Anonymous Coward on 2003年11月22日 11時24分 (#438776)
        > "weaken (a reputation or principle) by accepting standards that are lower than is desirable"

        それは「妥協」の説明なのでは？ もっと直接的に compromise には「危険にさらす」といった意味があります。
        「セキュリティ侵害」という言葉はよく使われているけど、日本語として何を意味するのかわかりにくいですね。
        シェア
        親コメント

        • Re:compromised? (スコア:0)

          by Anonymous Coward
          妥協は、解決のために譲歩することですので、一方的に水準を下げるのとはまた別の意味かと思います。

          先ほどあげた意味が安全性の文脈で使われれば、おっしゃるように「危険にさらす」という意味になります。com

          • Re:compromised? (スコア:0)

            by Anonymous Coward
            結局その「セキュリティ侵害」をわかりやすく日本語で説明するとどういう意味なの？ 「crack」されたということ？

            • Re:compromised? (スコア:0)

              by Anonymous Coward
              見て通過した(書き換えに失敗など)だけかもしれないし、改変が行われたかもしれないのが、現時点では不明なので、どちらも含む、「セキュリティ侵害」という言葉で、説明したのではないでしょうか？（あくまで想像ですが）

              Crackされたかどうかは、依然不明ということで。(ないと思われると楽観的発表はありますが、あくまで確認中）

              • Re:compromised? (スコア:0)

                by Anonymous Coward
                • 見て通過した(書き換えに失敗など)だけ
                • Crackされた

                Hacker/Cracker論争ではないけれど まず言葉の定義をした方がいいと思う
                人によっては上記を同一のものとしてみなすかもしれないし

                ACスレなのでAC

              • Re:compromised? (スコア:1, 参考になる)

                by Anonymous Coward on 2003年11月22日 21時34分 (#438957)
                ぐぐってみたら、compromiseは、RFC2828(Internet Security Glossary)で、

                security compromise
                (I) A security violation in which a system resource is exposed, or
                    is potentially exposed, to unauthorized access. (See: data
                    compromise, violation.)

                日本語訳 [ipa.go.jp]

                security compromise （セキュリティ暴露）
                (I) セキュリティ侵害の 1つ。ここで、システム資源が、不正（無権限）
                    アクセスに対して露出されるか、あるいは、潜在的に露出される。
                  （data compromise, violation 参照。）

                と定義されているので、少なくとも、不正行為が可能かそれに近い状態には
                なっていたんじゃないかと思います。

                ちなみに、hackerやcrackerもこのRFCで定義されています。
                シェア
                親コメント

            • Re:compromised? (スコア:0)

              by Anonymous Coward
              原文でそこまで触れていないのに、
              訳文でなにか限定的なニュアンス出しちゃまずいでしょう。

              そういう意味で、適切な訳だと思うよ。

      • Re:compromised? (スコア:1)

        by lynnlynn (15967) on 2003年11月23日 0時38分 (#439005)
        医学用語で compromised host という言葉がありますが、
        それとおんなじにとってよいのかなと感じました。

        こんなかんじ [google.co.jp]で。
        シェア
        親コメント

  • 要約すると (スコア:0, おもしろおかしい)

    by Anonymous Coward on 2003年11月22日 8時00分 (#438719)
    Linuxにはセキュリティ面で問題があった、ということでよろしいのでしょうか。

    • Linuxにはじゃなくて (スコア:3, すばらしい洞察)

      by kharada (437) on 2003年11月22日 8時32分 (#438725)
      完全なるセキュリティっていうのは
      バグの無いプログラムと同様に、
      使っている限りありえないのではないかと…

      それよりは運用・管理の方が大事なわけで。
      ２４時間以内に異常を検知して対応しているんだし、
      問題無いと思える範囲内ではないかと思います。

      信頼できる比較元なんて残ってないよ…とか
      再公開後のモノに改変されたものが…とか
      だったら、運用・管理でアレって言われそうですが。
      ＃２つ目のが本当にあったら洒落にならんなぁ～
      ＃かといって自分で確認できるほどのスキルも無いし。
      シェア
      親コメント

      • Re:Linuxにはじゃなくて (スコア:1, 興味深い)

        by Anonymous Coward on 2003年11月22日 9時14分 (#438734)
        announce-jp に流れたメールを見る限り、どこをどう叩かれたのか書かれていません。
        周知で修正済みのはずなセキュリティホールをつかれたのなら、いくら早い検知・対処が
        できたとしても完璧な運用体制とは言えないのでないでしょうか？

        称賛の声を上げるには、まだ時期尚早かと思います。

        # 普通こういうのは原因を書くものだと思うんだけど、書かないってことは調査中？
        # それならそうと書いて欲しいもんだ。
        シェア
        親コメント

    • Re:要約すると (スコア:1, 参考になる)

      by Anonymous Coward on 2003年11月22日 18時35分 (#438897)
      誤解を与える文章だな

      Linuxにはセキュリティ面で問題があった
      というのは
      ソフトウェアの不具合なのか
      人為的ミスなのか
      どちらであるか定かじゃない

      まあ
      「Linuxは危いよ！セキュアじゃないよ！Windows使おうよ！！」
      ってな具合に必死なんだろうけど。
      シェア
      親コメント

    • Re:要約すると (スコア:0)

      by Anonymous Coward
      人それぞれだろ？

      とらえかたの問題だろうが、俺はむしろ安心してる。

    • Re:要約すると (スコア:0)

      by Anonymous Coward
      > Linuxにはセキュリティ面で問題があった、ということでよろしいのでしょうか。
      過去形にする必要もない。今でも問題は確実にある。
      ただ、今回はそれがいくつか発見されただけ。
      問題はまだ、確実に残っている。すべてのソフトウェアがそうであるように。

    • Re:要約すると (スコア:0)

      by Anonymous Coward
      セキュリティに不安な点があるマシンというのがDebianで構築されたものなら、Debianのdistributionそのものを点検してより安全にしていただけるとありがたいですね。Debianでシステムを運営しているので・・・。

      それにして

    • Re:要約すると (スコア:0)

      by Anonymous Coward
      Linuxにはセキュリティ面で問題があった、ということでよろしいのでしょうか。

      それは事実の陳述としては正しいけど、 今回の事態の要約としては不適切ですね。

      ということで、よろしくありません。

  • 詳しくは debian.org の WebSiteを参照のこと (スコア:0)

    by Anonymous Coward on 2003年11月22日 9時22分 (#438736)
    とありますが、詳細はどこに書いてあるのでしょう？
    ちょっと探しても見つけられないのですが。
    ＃search.debian.orgは落としてるっぽいし

  • げっ (スコア:0)

    by Anonymous Coward on 2003年11月22日 11時23分 (#438775)
    > security、non-US
    既に利用中の身にとっては、ここらのサーバが弄られるのは嫌ですね。

    それにしても、どーやって侵入したのでしょうか。
    GNUのサーバも稚拙な原因でしたが、なんちゃって管理者でないはずの
    本家とかのサーバがヤラレるってどーよ。

    しかし、Woodyに関しては簡単にチェック出来ても、
    sidとかは面倒ですね、１週間ほど古くなっても
    いっそスナップショットから戻した方が安全なのでは？
    とか思うけど・・・。どーなんだろ。

  • 分散サーバ群による多数決 (スコア:0)

    by Anonymous Coward on 2003年11月22日 11時31分 (#438780)
    複数のアーカイブサーバに問い合わせてファイル等のフィンガープリントを取得して多数決によりどこからダウンロードするか決める、というようなapt-getがあったら少しは安心できますか？

    で、サーバは各種様々なOS等で構成するとか・・。
    いっそ、P2Pとか・・。

    でも、マスターサーバがやられたら終りか。
typodupeerror

開いた括弧は必ず閉じる -- あるプログラマー