【IT】Black Hat USA 2006 - 早すぎるVoIPの成長、スパムやフィッシングの脅威に直面[06/08/07]
■ このスレッドは過去ログ倉庫に格納されています
0001まぁいいか(060918)φ ★
2006/08/07(月) 22:39:00.87ID:???(Voice over IP)。個人、そして企業の間で急速に広がっているが、Black Hat Briefingsに
おいてVoIPがサイバー犯罪に利用される可能性が示された。講演者は、3Com傘下の
TippingPointの研究者であるDavid Endler氏とSecureLogixのCTOであるMark Collier氏だ。
Endler氏は「(VoIPは)具体的な脅威すら現れていない非常に早い段階であるにも関わらず、
幅広い採用が急速に進んでいる」と指摘する。ネット利用に伴う脅威が検証されない状態で
幅広い普及が進んだパソコンと同様に、深刻なセキュリティ問題に直面する可能性が
あるという。
米国では今年の6月にマイアミで、Edwin Andres Penaというベネズエラ系の男(23歳)が
コンピュータ詐欺および盗聴の疑いで逮捕された。同容疑者はVoIPサービス会社の
ネットワークに侵入して、通話をルーティングするコードを取得。そのシステムを使った
通話接続を小規模のインターネットフォン企業に格安で卸していたのだ。
米司法省の発表によると、被害に遭ったニュージャージー州のVoIP企業は、3週間で
約50万件の不審な通話を受け、他のキャリアへの接続費用として30万ドルを支払った
という。Penaは2004年の11月頃から不正な通話接続を開始し、その収入でマイアミに
豪邸を購入、BMWやキャディラックといった高級車やプレジャーボートなどを所有して
いたという。
Penaの逮捕は、VoIPシステムのセキュリティの不備、そして犯罪に利用される可能性を
示す。Endler氏とCollier氏は、検索エンジンを使った情報収集、ポートスキャンニング、
エニュマレーションの手法を具体的に紹介し、開発したツールのデモを通じてSIPや
H.323などのVoIPプロトコルを使ったサービスの妨害、盗聴、通話操作などの可能性を
示した。
（>>2以降に続く）
ソース：MYCOMジャーナル
http://journal.mycom.co.jp/articles/2006/08/07/blackhat1/
0002まぁいいか(060918)φ ★
2006/08/07(月) 22:39:15.68ID:???VoIPシステムのあり方やサービスの提供方法の深刻な問題を示す。しかし
脆弱性はVoIPの実装方法だけではなく、プロトコルそのものにも含まれるという。
つまりベンダーの努力で解決できる部分もあるが、本質的にはCisco、Avaya、
Skype、さらにはオープンソースのAsteriskを含む業界全体の弱点として存在
しているという。
この問題が悪用された場合の被害としては、SPIT(SPAM over IP Telephony)と
呼ばれるスパムの広がりが挙げられた。Eメールのメールボックス同様に、
ボイスメールが広告メッセージであふれかえる。悪質なケースだと、「あなたは
1万人に1人の懸賞に当選しました」というような勧誘メッセージや、緊急性を
装ったメッセージで有料ダイヤルに電話させる詐欺行為も考えられる。さらには
「××銀行ですが、お客様の銀行口座について至急連絡を取りたいので、
×××-××××までご連絡ください」とか、「××銀行ですが、本人確認のために
口座番号を押してください。(入力後に)次に暗証番号をお願いします」というような
VoIPフィッシングの可能性も挙げられた。手紙やEメールよりも人の声の方が
信頼を得やすい。加えてEメールによるフィッシングが問題になった際に、銀行や
クレジットカード会社などの金融会社が緊急の連絡を取る際には「電話を使う」
という意識が消費者に浸透した。それが皮肉にもVoIPフィッシングを容易にする
可能性がある。
両氏は関係する全てのベンダーにリサーチの結果を伝えており、一部で対応策も
実施され始めたという。ただ前述の通り部分的な問題ではない。その意味では
「まったく脆弱性は埋められていない」とEndler氏は語っていた。
■ このスレッドは過去ログ倉庫に格納されています