尼崎市USBメモリー紛失事案調査委員会は何故USBメモリから個人情報が読み出されていないと結論付けられたのか
okuokuI・Oデータ製USBメモリの暗号化機能に秘匿されたログがあり、開発用ツールを用いて確認したそのログを根拠としている。
-
報告書PDF
https://www.city.amagasaki.hyogo.jp/_res/projects/default_project/_page_/001/030/947/1128houkokusyo.pdf
USB メモリに行われたログインの成否は、搭載ソフトウェアにより内部の秘匿領域に自動的にログとして記録保存され、仕様上ユーザはログの記録なくデータへのアクセスはできない。秘匿領域に保存されているログの閲覧機能はユーザには提供されていないが、本件USB メモリの場合、メーカーの開発用ツールを使うことによってのみ閲覧が可能となる。
じゃぁ今後このパスでUSBメモリから個人情報を盗みたい人はこの部分に注意すれば完全犯罪が可能だな。
okuoku座組
いわゆる普通のデジタルフォレンジック調査を行っている。
報告書の中身は具体的なファイルパス等に触れていて興味深い。
上記 USB メモリの運搬・受取に関する上記規定は市政情報センター施設と別の外部運搬先においてパンチ入力を行う場合を前提とした文言になっているものの、
パンチってパンチカードの事。。？
okuoku実際に完全犯罪は可能なのか？
今回のケースに限っていえば可能であった可能性はある。USBメモリを盗む(返却しない)ことにさえ成功すれば、
本件事案発生直後に SNS 等で噂されていたような容易に想像がつくパスワードではなく、文字種が多彩でブルートフォース攻撃に対し耐性の高いパスワードが設定されていた
とあるものの、攻撃に成功する可能性は残されている。逆に、完全犯罪を目指すならUSBメモリはクラックが終わったら直ぐに海に捨てるとかするべきだろう。回収されるとログからバレるということはわかったので。
... もっとも、常識的な実装では 複数回パスワードの入力に失敗したらその後は入力できない ようにするのが普通であり、それを良く実現するためには結局ログも十分に安全である必要があるのでUSBメモリの暗号化ソフト自体に脆弱性が無い限りは成功する可能性は依然低いままだろう。(過去には、BitLocker向けの暗号化ストレージに実装上の問題 CVE-2018-12038 が存在したケースがある: https://jvndb.jvn.jp/ja/contents/2018/JVNDB-2018-009133.html )
ちなみに、一部の報道ではUSBメモリのトラッキングにGPSを使用したとあったものの、報告書ではこれを否定している。
(本件USB メモリ発見直後の B 社の会見では USB メモリの位置情報を GPS を利用して発見した旨説明していたが、当委員会の調査の結果本件 USB メモリの発見に GPS は利用されていない。)
もっとも、カバンごと金属ケースに入れるといった対策を採ることは可能なので、これ自体はあまり大きな意味は持たない。
本当に流出は無かったのか？
現状、I・OデータのUSBメモリに実装されていたログのみが本当に流出が無かったことを証明していることになる。何らかの方法でログが消去/改竄できてしまうような脆弱性があれば、これは否定されることになる。
少くとも現時点のI・Oデータのストレージ製品ラインナップには第三者機関が安全性を保証したようなものは存在しないため、報告書の内容からは流出が無かったと強く言い切るのは難しい印象を受ける。
例えば、報告書はログに記録されている操作時刻を根拠にしているが、その時刻は信頼できるものだろうか？
本年 6 月 22 日未明に紛失し、同月 24 日正午前に発見されるまでの間に、「012」「013」USB メモリに格納された尼崎市民の個人データが何者かによって正しいパスワードが入力されてログインされた形跡はなく、この間に上記個人データのこれら 2 本の USB メモリからの漏えいがあったとは認められない。
okuokuどうるすべきだったのか？
報告書の考察が概ね正しい。元々、 デカいケースで運ぶ というルールが設定されていたのだから、それを守らせる必要があった。ケースさえデカければ寄り道できなくなるため、このような事故には効果的と言える。
... 作業が終わるや否や、何らためらいを感じることなく、本件 USB メモリを所持する A を飲みに連れて行った。この時もし、カバンに仕舞えるコンパクトな USB メモリではなく、金属製の大型ケースに重要な情報資産を入れて運搬していたのなら寄り道などしないはずである。
ただ、途中で襲われたり誘拐されたりする可能性もあるので、このような対策だけで完璧にすることは難しい。現状の治安状況では、個人情報の価値は相対的にそこまで高くないためいちいち警備員を付けたりするわけにもいかないだろう。
ログの問題はちょっと難しい。BD-Rのような大容量メディアに書き込んで、使用後は都度破壊するといった古典的な対策はあるものの、今回のようなケースでdrop in replacementとなるような良いソリューションはあまり一般的ではない。
例えば、 安全なUSBメモリ として一定の基準があると安心感はあるかもしれない。
YubikeyのようなOpenPGP対応のスマートカード類はそれなりに選択肢があるものの、これらはセキュアなログ機能が存在しないので今回のような問題には弱いかもしれない。ただ、公開鍵暗号を使うことで"データは運搬するが鍵は運搬しない"という運用が実現可能になる。