# オープニング #子どものなぜに答える どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を配置した9市のセキュリティ企業家である私、松野が、 東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は子供のなぜに答えるに関する話なんですけども、 仮に子供がいたらということなんですけれども、まずはですね、一緒に真剣に考えてあげるということをするんじゃないかなと思っています。 なぜと思う気持ちをすごい大切にしてあげるんじゃないかなというふうに考えてまして、 なぜかといえば、なぜと思って考えるという流れですよね。そこから答えを導いて成長につながっていくということなんだと思うんですよね。 逆に、なぜと思わなくなって、もう決まったことだからと、受け入れるしかないような状態になってしまうとですね、 成長ってそこで止まってしまうのかなというふうに思っています。 逆にですね、周りの親だったりの立場で、そんなこと当たり前だろうとか、決まったことなんだよみたいな、 そう言ってしまうとですね、そうなんだと、なぜと思うことが間違っているんだというふうに、 子供が感じちゃうんじゃないかというふうに思うわけなんですよね。 だからそこで成長を止めてしまうと、そうはしたくないわけですよね。 だからそのなぜというふうに思う気持ちをですね、大切にしてあげたいなと思うから、全力でですね、一緒に考えるというふうに思います。 はい。ということで、今回はネットワーク対応機器の初期設定に関する脆弱性について取り上げております。 この放送を通じて、リスナーの皆さんは、脆弱性の危険性と具体的な確認方法、 すぐに取るべき対策について理解を深めていただければと思います。 それではどうぞ。 # ブラザーおよびその OEM ベンダーが提供する複数製品、初期設定における管理者パスワードがシリアル番号から容易に導出可能 ブラザー及びそのOEMベンダーが提供する複数製品、初期設定における管理者パスワードがシリアル番号から容易に導出可能。 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは、 9月17日、ブラザー及びそのOEMベンダーが提供する複数製品で、初期設定における管理者パスワードが製品のシリアル番号から容易に導出可能であると、 Japan Vulnerability Notes JVNで発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の脆弱性は複合機やプリンタなどの管理者アカウントの初期パスワードが製品固有のシリアル番号から推測可能である点にあります。 LAN0という調査者が製品開発者に報告し、IPAとJPサートCCがJVNで注意喚起しました。 影響を受ける機種の一覧やバージョンはメーカーの告知ページに掲載されています。 問題が放置されるとシリアル番号さえ知っていれば第三者に管理者権限で機器を操作される恐れがあり、設定の改変や機密情報の閲覧などにつながりかねません。 JVNがまず呼びかけている対策は初期管理者パスワードを直ちに変更することです。 それに加えてファームウェアの更新状況を確認し、管理インターフェースへのアクセス制限やネットワーク分離を行うことが推奨されます。 初期設定の管理者パスワードがシリアル番号から導出可能というのは具体的にどういうことですか? はい。機器のシリアル番号の形式と一定のアルゴリズムを組み合わせると初期パスワードが算出できる状態を指します。 製造時に機器ごとにユニークに振られるシリアル番号が公開情報であることが多いため、外部からその番号を取得すればログインに使える初期パスワードがわかってしまいます。 初期パスワードのまま運用すると攻撃者は管理者権限で各種設定を変更したり、機器に保存されたデータを閲覧したりできるリスクがあります。 この脆弱性による実際の影響範囲はどれくらい広いのでしょうか? はい。影響範囲は該当メーカーの複数モデルに及びます。 記事ではブラザーとそのOEMベンダー、さらに関連するメーカーの告知が示されており、業務用複合機や一部プリンタが対象です。 具体的なモデルとバージョンは各社の告知に記載されているため、運用している機器がリストに含まれるかをまず確認する必要があります。 影響を放置すると社内ネットワークに接続された機器群が狙われる可能性が高く、機密文書や印刷履歴、ネットワーク設定の改ざんによる二次被害も懸念されます。 自分の会社の機器が影響を受けているかどうか、どのように確認すればよいですか? はい。まずは現場で使っている機器の型番とファームウェアのバージョンを一覧にまとめてください。 次に各メーカーの告知ページにある影響範囲のリストと称号します。 リストに該当する場合は初期パスワードが変更されているかを確認し、もし変更されていなければ直ちに強力なパスワードへ更新します。 さらに管理インターフェースへのリモートアクセスを不要であれば無効化し、必要な場合はアクセス元を限定することが重要です。 パスワード変更以外にお勧めの具体的なリスク低減策はありますか? はい。パスワード変更に加えてファームウェアの最新版を適用することが重要です。 最新の修正がある場合は脆弱性そのものが改善される可能性があります。 また管理インターフェースをVLANなどで分離し、管理用ネットワークからしか操作できないようにしてください。 機器のログを定期的に確認し不審なアクセスがないか監視することと、 可能であれば二要素認証や証明書ベースの認証を導入することでリスクをさらに下げられます。 長期的にはどのような教訓を社内運用に生かすべきでしょうか? はい。今回の件が示す教訓は初期設定の安全性を前提にしてはいけないという点です。 導入時に初期パスワードを必ず変更する運用ルールを定めてチェックリストに組み込み、 資産管理大臣に初期設定の確認結果を残すことが重要です。 機器のライフサイクル全体でファームウェア管理と脆弱性情報の収集を行う仕組みを作り、 ベンダーのセキュリティ通知を定期的に確認する運用を整備してください。 なるほど。今回は初期パスワードがシリアル番号から推測される脆弱性について、 台頭機種の確認と初期パスワードの変更、ファームウェア更新や管理ネットワークの分離などが重要だと学びました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、シリアル番号から管理者のパスワードが推測可能であるという脆弱性が危機に見つかったということなんですけれども、 なぜですね、このような脆弱性が作り込まれるに至ったかというところをですね、少し考えてみたいなと思うわけなんですけれども、 このものがですね、作られる過程の中で、管理者のパスワード、初期パスワードですね、どうしようかという議論がおそらくその関係者の中でなされたというふうに推測をしています。 そんな中でですね、おそらくなんですけれども、その問い合わせを受けた場合ですね、ユーザーから管理者パスワードは何ですかというふうに聞かれた場合に、 じゃあシリアル番号ここに書いてあるので、それを答えてくださいと。まあこれこれですと。じゃあパスワードはこちらですねというふうにですね、 そのサポート担当者が答えやすいようなですね、仕様にしたということが一つ考えられるわけです。 ここで何が足りなかったかというとですね、まずはその場にセキュリティの担当者がですね、議論に参加していなかったことが一つ考えられるわけですね。 もしくはそのセキュリティレビューですね。こういう設計でそもそもセキュリティ上問題が発生しないか、脆弱性が作り込まれないかというレビューがですね、 行われていなかったんじゃないかなということが考えられます。こういった結論からですね、そのものとしてはですね、製品としては機能しているわけですね。 何も不具合は発生していないと。ただセキュリティという機能の部分においてですね、いわゆる不具合が発生してしまったということになります。 あらゆるものづくりの観点においてもですね、いいものを作ろうという場合は、セキュリティもぜひですね、品質の一部として考えていただければと思います。 今日の10分セキュリティラジオは月曜から金曜の朝7時15分に配信しております。そしてわからないことは今すぐ聞こう。 何でも聞けるセキュラジ製作室は水曜夜8時から絶賛生放送中です。さらに土曜日はセキュラジAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。それではまた次回のレギュラー配信でお会いしましょう。 以上、セキュリティ食器の松野でした。See you!