ようこそ ゲスト さん、新規登録（無料）して気になる疑問を解決しませんか？
はじめての方へ｜ヘルプ｜FAQ

質問
QNo.4015150 セキュリティソフトアップデート時の更新先偽装
質問者：tiny5446 アンチウイルスソフトのオンラインアップデート時にもしサーバーのIPアドレス
を確認してその企業のサーバーであっていても

ハッカーはIPアドレスを偽装してその更新先と同じIPアドレスに成りすまし
偽の定義ファイルをダウンロードさせるができますか？

そういうことがあるんならオフライン用定義ファイルアップデートファイル
でウイルス定義ファイルを更新するしかないですがファイルのサイズとハッシュ値
を確認して。

今のところオフライン定義ファイルを配布しているのはしっている所で
ノートンとAviraとAvastくらいですが企業の人はどうアップデートしているんですか？

spybotで更新ファイルのハッシュ値がチェックされてるにもかかわらず
改ざんされびっくりしました。前の質問で。
困り度：
  • 困っています
質問投稿日時：
08/05/11 21:57
最新から表示｜回答順に表示

回答
ANo.4 当方、アングラ突入調査や対策ソフトの性能テスト、Malwareの解析なんかもちょこっとやったりします。

あのですね、よく使われる手法としては予め調べて用意しておいたアップデート先のリストを使ってアップデートさせないというのが主流です。まあ、DNSポイズニンングというのもありますけど。これはどっちかというとフィッシングで使われますね。

あるいは、これもしばしばありますが、対策ソフト自体の無効化ないしは機能の改変。トレイアイコン自体は表示されてるが機能は無効化されてるとか。
回答者：wamos101
種類：回答
どんな人：一般人
自信：参考意見
回答日時：
08/05/27 04:20
この回答への補足この回答に補足をつける(質問者のみ)
この回答へのお礼この回答にお礼をつける(質問者のみ)

回答
ANo.3 > もしハッカーによってアップデート時違うところに
> つながれたり、偽の定義ファイルをダウンロードさせられたりしたら
> 警告とかでるんですか？
アプリケーションに依存します。
警告が出るかもしれないし、警告が出ずに適用されないだけかもしれません。使っているソフトウェアのメーカーに問い合わせてください。

> 自動アップデートは危険とハッカーの本で読みましたが
> それでも大丈夫なんですか？
はい。（前回の例のようにファイルがデジタル署名で保護されているような場合）

いろいろ書いたのですがわかりづらくなってしまったので、要点だけにします。
ファイルが十分な強度を持ったデジタル署名などで保護されている場合、他の手段を用いるより安全かつ簡単です。
デジタル署名による改ざんチェックは、すごく大雑把に言ってしまえばハッシュを自動的に確認していることと同じです。
# だからと言ってMD5ハッシュを確認すれば安全、と言うわけではないことに注意してください。
# ハッシュにも種類があり、MD5ハッシュでは安全とは言えません。
回答者：_himajin_
種類：アドバイス
どんな人：一般人
自信：参考意見
回答日時：
08/05/15 01:03
この回答への補足​http://www.symantec.com/avcenter/download/pages/JP-N95.html​

のウイルス定義ファイルにデジタル署名
がついていて
Symantec Corporation
と署名者名がありますが
この名前は第三者が真似をして署名できないんですか？
ファイルが1バイトでも欠けていたり
改ざんされていると
デジタル署名は無くなるらしいですけど。
デジタル署名とSymantec Corporation
の名前の署名が確認できれば１００％改ざんされてないんですか？
この回答へのお礼この回答にお礼をつける(質問者のみ)

回答
ANo.2 前提として、ファイルが本物かどうかを確認する手段には、IPアドレスやホスト名に頼らないもっと別な手段があります。

アンチウィルスソフトの定義ファイルなどでは通常そちらを使っていると私は解釈しています。
これは私の希望的観測なので、たとえば Spybot などではもしかするとまったく対策されていないのかも知れません。
が、少なくとも Symantec の LiveUpdate では実際にこのような手段がとられているようです。（参考URL参照）
なお、ここでいう「別な手段」には「MD5ハッシュ」は含みません。


> ほかにオフラインアップデートできるアンチウイルス製品知りませんか？
例示されたものを見てみましたが、Symantec のように定義ファイル自体に署名が埋め込まれている場合など、その信用度は「オンラインアップデート」と同等です。
もしそのような対策が取られていない場合、「オンラインアップデート」と同等かそれ以下の信用度しかありません。
また、MD5ハッシュが書かれたものもありますが、これはダウンロードエラーなどの簡易的なエラーチェック用で、改ざんチェックには使えません。（詳しい理由は割愛します）

> 企業もあまり気にしてないんですね。
直接担当しているわけではないので、気にしているかいないかはわかりませんが、
通常の方法でセキュリティが確保されていると確認または判断しているか、それを気にしてアップデートしないよりはリスクが低いと判断しているのではないでしょうか。

> IPアドレスが更新先と一致してれば１００％改ざんされてませんか？
いいえ。
難しいとは書きましたが、IPアドレスの成りすましも（少なくとも理論上は）可能なはずです。

> DNS名は信用するなということですね？
はい、ともいいえ、とも言い切れません。どちらかと言えば、いいえ。
ホスト名をまったく信用しない、と言う選択肢は現実的ではないためです。
信用できない可能性がある、くらいが妥当だと思います。
セキュリティ関係や金融機関など高い信用を必要とするところでは他の手段による補強が必要だとは思いますが。
回答者：_himajin_
種類：アドバイス
どんな人：一般人
自信：参考意見
回答日時：
08/05/13 23:38
参考URL： ​http://www.symantec.com/region/jp/avcenter/security/content/2001.10...​
この回答への補足ありがとうございます。

もしハッカーによってアップデート時違うところに
つながれたり、偽の定義ファイルをダウンロードさせられたりしたら
警告とかでるんですか？

>ファイルが本物かどうかを確認する手段には、IPアドレスやホスト名に
>頼らないもっと別な手段があります。

自動アップデートは危険とハッカーの本で読みましたが
それでも大丈夫なんですか？
僕はオフライン用の定義ファイルをwebページからダウンロードして
メーカーにハッシュ値を問い合わせてダウンロードしたファイルの
ハッシュ値と一致したら、適用するのがいいと思いますけど。
シマンテックは配ってますが、なんでカスペルスキーとか
配ってないのか不思議におもいます。
この回答へのお礼この回答にお礼をつける(質問者のみ)

回答
ANo.1 同じIPアドレスに成りすますことは（かなり限定された状況以外では）難しいと思います。
DNS名（たとえば okwave.jp）を騙ることはそれよりだいぶ楽なので、やるとしたらこちらの方法でしょう。
どちらにせよ、偽の定義ファイルをダウンロードするように誘導することは可能です。

ただし、IPアドレスに依存しない相手先の確認方法として、SSLを用いた方法などがあります。
また、公開鍵暗号などで署名しておけば改ざんされているかはチェックできます。
このような対策が取られていれば、偽のアドレスへ誘導されてしまったとしても何らかの保護が可能です。

企業でのアップデートも通常と変わりありません。
トラフィック対策で社内にサーバを用意することはありますが、そこで配布するファイルは通常と同様の手段で取得しています。（少なくとも私が知っている限りでは）
# ちなみにオフライン定義ファイルって郵便とかで来るんですか？聞いたことないですが…

Spybotのアップデート処理がどんな対策を取っているかは不明ですが、なぜ改ざんされたとわかったのでしょう？
# ハッシュエラーが出た？
回答者：_himajin_
種類：アドバイス
どんな人：一般人
自信：参考意見
回答日時：
08/05/11 23:54
この回答への補足＞Spybotのアップデート処理がどんな対策を取っているかは不明ですが、なぜ改ざんされたとわかったのでしょう？
＞# ハッシュエラーが出た？

​http://okwave.jp/qa4011555.html​
に書いてます。ハッシュエラーは出ず表向きは完璧にアップデートされたようでした。




spy-botは
​http://www.spybot.info/jp/download/index.html​
のDetection updates

avastは
​http://www.avast.com/jpn/update_avast_4_vps.html​
のVpsUpd.exe

aviraは
​http://www.avira.de/en/support/vdf_update.html​
のivdf_fusebundle_nt_en.zip

ノートンは
​http://www.symantec.com/avcenter/download/pages/JP-N95.html​

でそれぞれオフライン更新できます。
ほかにオフラインアップデートできるアンチウイルス製品知りませんか？


企業もあまり気にしてないんですね。
IPアドレスが更新先と一致してれば１００％改ざんされてませんか？
DNS名は信用するなということですね？
この回答へのお礼この回答にお礼をつける(質問者のみ)
最新から表示｜回答順に表示
このページのトップへ