2013年4月8日月曜日

FBI 監視強化

FBIは、中国製IT製品を審査するようだ。
 米政府の一部機関は、中国企業からIT(情報技術)製品を購入する際に
必ずFBIなどの審査を受けることになった。
 製品に隠された機能によって、コンピューターシステムから機密情報
を持ち出すスパイ行為が行われたり、システムを破壊するサイバーテロ
が起きたりする危険性を警戒したためだ。成立した2013会計年度(12年10
月~13年9月)の暫定予算延長法に盛り込まれた。

対象機関
・司法省、商務省、NASA、NSF。

米下院情報特別委員会
・華為技術と中興通訊(ZTE)を米政府のシステムから排除することや、
 米民間企業との取引自粛を要請。
・SoftBankとSprint Nextelは、Huaweiの携帯電話を使用しないことを
 議員に保証(宣誓)した。

日本の報道
・FBIが、中国二社の製品を導入できるか審査する。

米国の報道
・中国二社の導入済の製品を含め、すべて排除する。

日米の報道は、大分異なる。
日本の報道では、審査が通れば使用可能と思うが、米国の報道を考慮す
ると、実際には、使用許可にはならず、そもそも審査もしないようだ。

Panasonicの携帯事業は縮小、NECは撤退等、シャープはサムスンと資本
提携等携帯事業で、売上げ上位は、iphoneやZTE。
最近は、PC購入せずに代わりにスマートフォンで代用とのことだが、
2年毎の機種交換では、経費が比較にならないくらい高いなる。
スマホ使いは、PC程高機能でないスマホで十分と言うことか。

FBIが監視できるのは、固定電話と携帯電話のようで、電話会社に監視
装置として取付けられるとのこと。
最近は、圧縮・暗号化された情報がネットに流れ、米政府が把握してい
ない暗号もあるため、以前のように比較的簡単ら監視することは難しい
ようだ。

愛国者法国家安全保障書簡令状によるFBIの個人情報収集は憲法違反と
連邦地裁で判決が出た。
FBIは、テロ対策を口実に裁判所が発行する令状がなくても、銀行口座
の記録、信用会社の取引、電話番号やネットの通信記録等個人情報を押収。
押収された側は、非開示命令。
匿名の告発で裁判が行われ、憲法違反との判決。
判決では、非開示命令が憲法違反としたようだ。
NSLによる個人情報収集は禁止にならなかった。
判決により、GoogleやMicrosoft等は、展開しているサービスにおいて、
毎年、FBIによる多くの通信履歴開示命令があったことを発表した。

サイバー攻撃が、激化し監視を強めたいFBIと権力に対する監視と反発
する団体。
911の頃は、反発する人の声が小さかったが、ウサマが死んでから、
本土への直接も減り、監視団体の声が大きくなったきたようだ。

日米で、サイバー攻撃を報道する時間が増えたのは、携帯電話会社買収
に伴う中国への警告のようだ。

韓国の大規模なサイバー攻撃の報道は、意図的なのか、解析技術が追い
つかないのか不明だが、不正確な情報(?)が飛び交い、報道が混乱。
現在では、従来のマルウェアによるAPC(資源管理)サーバ乗っ取りで落ち
着いたようだ。

携帯電話は盗聴されているか
米政府 国民監視ネットワーク構築へ
中国製エシュロンシステム
米国 中国企業へ経済制裁へDOJ Delay action on Sprint-Softbank deal


---ソフトバンクの米スプリント買収、中国製品排除の条件付与か---
2013.03.31 Sun posted at 16:55 JST
http://www.cnn.co.jp/business/35030224.html

 香港(CNNMoney) 日本の携帯電話3位のソフトバンクによる米携帯電話大手スプリントの買収問題で、両社は31日までに米連邦議会に対し中国の通信機器企業「華為技術(ファーウェイ)」の製品を使用しないとの保証を与えた。
 米下院情報委員会のマイク・ロジャース委員長が明らかにした。買収交渉に伴って両社関係者と会い、スプリントのネットワーク利用に当たっては華為技術の機器を使わない確約を得たとしている。
 スプリントは昨年末、米通信サービス企業クリアワイヤの買収を発表していたが、クリアワイヤは自社のネットワークで華為技術の製品を一部使用している。ロジャース委員長によると、ソフトバンクとスプリントは華為技術の機器を他社の機種に変更してクリアワイヤのネットワークを使うとの方針も示したという。
 ソフトバンクはスプリントの株式70%を総額200億ドル(約1兆8800億円)で買収する交渉を進めている。ただ、米国の企業買収関連の当局は安全保障問題などと絡め中国企業の製品利用に懸念を示していた。
 米下院情報委は昨年10月、華為技術による知的財産権の違反行為や対イラン関係への疑惑、米国内における不法とも判断されかねないビジネス活動などを批判する報告書を発表。同社との関わりに起因するリスクや米国の重要な通信インフラ基盤での同社機器の利用は国家安全保障を損なう可能性があると指摘していた。
 華為技術はこの報告書の主張には根拠がないと反論していた。同社の代理人は29日段階で、ソフトバンクとスプリントが華為技術製品を締め出すとの報道についてコメントを発表していない。
 ソフトバンクによるスプリント買収には米政府機関である外国投資委員会の承認が必要。同委は国家安全保障上の観点から国内への投資活動を監視している。ロジャース委員長は同委による買収承認手続きに臨む両社は華為技術製品を採用しない保証を同様に示すだろうとも語った。


---米政府機関、中国からIT製品購入時に審査---
2013年3月28日17時30分  読売新聞
http://www.yomiuri.co.jp/net/news1/world/20130328-OYT1T00556.htm

 【ワシントン=岡田章裕】米政府の一部機関は、中国企業からIT(情報技術)製品を購入する際に必ず連邦捜査局(FBI)などの審査を受けることになった。
 製品に隠された機能によって、コンピューターシステムから機密情報を持ち出すスパイ行為が行われたり、システムを破壊するサイバーテロが起きたりする危険性を警戒したためだ。26日に成立した2013会計年度(12年10月~13年9月)の暫定予算延長法に盛り込まれた。
 対象となる機関は、司法省、商務省、米航空宇宙局(NASA)、国立科学財団(NSF)の四つ。
 中国によるサイバー攻撃の懸念を巡っては、米下院の情報特別委員会が昨年10月に報告書を出し、中国の通信機器会社「華為技術」と「中興通訊(ZTE)」を米政府のシステムから排除することや、米民間企業との取引自粛を求めた。


---FBIがGmailやDropboxなどオンラインの通信傍受・データ監視を最優先課題に---
2013年03月27日 21時05分31秒
http://gigazine.net/news/20130327-fbi-want-gmail-dropbox-spying/

通信傍受を商売の種にしている企業はたくさんありますが、FBIでもGmailやDropbox、Google Voiceのリアルタイム監視・盗聴は難しいらしく、今年の最優先課題に挙げているそうです。

 アメリカでは1986年に制定された電子通信プライバシー保護法(ECPA)があって、FBIの連邦捜査官は令状なしでEメールのコピーを得ることができます。1994年には法執行のための通信援助法(CALEA)が制定されていて、政府はインターネットプロバイダ(ISP)や電話会社に対して、ネットワークに監視装置を取り付けるように命じることができるようにもなっています。
 これらの法律ではEメールやGmail、クラウドサービス各種、Skypeのようなオンラインチャットは対象外となっていますが、FBIはGmailやDropbox、Google Voiceからオンラインゲームに至るまで、ありとあらゆるものに対してリアルタイム監視を命じられる権限を求めているそうです。
 FBIのアンドリュー・ワイスマン法務顧問は、その理由として、上述のサービスが“婚前交渉”に利用されていることを挙げています。
 現状でもFBIがその気になれば、いわゆる盗聴法(Wiretap Act)第3項を用いることで、メールサービスやチャットサービスの提供者に対して、データ傍受遂行のための技術協力を要求することができます。しかし、FBIは「技術協力を求める」ことと「盗聴・データ傍受を行わせる」ことは違うと主張。ワイスマン顧問の前任者であるヴァレリ・カプローニ氏も「盗聴法第3項はプロバイダに対する有効なテコにはなり得ない」と明言しており、FBIとしては、この法律はデータ傍受を行おうと考えたときに十分な力を発揮しないと考えていることがうかがえます。
 Googleの広報担当者・Chris Gaitherさんは、いくつかの環境下においてリアルタイム監視を行うことは可能であることをほのめかしました。Slate.comは、Gaitherさんから「CALEAはGmailには適用されませんが、盗聴法の適用対象にはなるかもしれません」との返答を得ています。
 USBメモリを挿すだけでPCのリモート監視が可能になる「FinFly USB」やインターネットやLAN経由でリモート監視ソフトを送り込む「FinFly LAN」、アップデートに偽装してリモート監視ソフトをインストールしてくる「FinFly ISP」といったソフトはすでに存在しているので、監視するためのシステム自体はすでに問題がなく、あとは法整備だけ、ということでしょうか……。


--- 韓国サイバー攻撃事件、韓国AhnLab社製パッチ管理システム経由での攻撃か---
タレコミ by ex 2013年03月22日 13時51分
http://slashdot.jp/submission/50538/%E9%9F%93%E5%9B%BD%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E6%94%BB%E6%92%83%E4%BA%8B%E4%BB%B6%E3%80%81%E9%9F%93%E5%9B%BDAhnLab%E7%A4%BE%E8%A3%BD%E3%83%91%E3%83%83%E3%83%81%E7%AE%A1%E7%90%86%E3%82%B7%E3%82%B9%E3%83%86%E3%83%A0%E7%B5%8C%E7%94%B1%E3%81%A7%E3%81%AE%E6%94%BB%E6%92%83%E3%81%8B

ex 曰く、
    既に各所で既報であるが、3月20日に発生した韓国の大規模サイバー攻撃事件は、KBSテレビ、MBCテレビ、新韓銀行など韓国の複数の放送局や銀行に影響を及ぼした。各社のサーバーが一斉にダウンし、イントラネット上にあるクライアントも多くが被害を受けた。新韓銀行ではATMが利用不能になるなどの被害も受け、市民生活にも影響が及んでいる。
    それに対し、セキュリティソフトメーカーAhnLabは事件に関する中間分析結果を明らかにした( 韓国AhnLabのリリース:韓国語)。
    当初韓国内ではAhnLabのセキュリティソフトのアップデートサーバそれ自体からの感染であるというような報道もあったが、それに対してAhnLabは「IDCに位置するアップデートサーバーがハッキングされたというのは事実ではない」「攻撃に使用されたのは、企業のイントラネット内における“資産管理サーバー(AhnLabの場合APCサーバー)”である」としている。
    APCサーバとは"AhnLab Policy Center"と呼ばれる製品で、"AhnLab V3 アンチウイルス製品"をイントラネットにおいてアップデートするサーバであるが、AhnLab製品だけでなく、「CPU、メモリなどハードウェアの資産情報、各PCのソフトウェアインストール状況」などの「企業の資産管理」や、「リモートコントロール機能や、ソフトウェア配布、ファイル転送、未登録のクライアントの検索機能」などの管理者による集中管理に利用されるサーバである(なお、ここではAhnLabに従い「資産管理」と呼称しているが、これはつまり"Resource management"であり、日本語では「資源管理」と呼ぶのがより一般的であろう)。
    現状の分析結果としてAhnLabは「一部でアカウント奪取の痕跡が見られるが、正確な原因は分析中である」「APT攻撃(Advanced Persistent Threat)によりAPCサーバーの管理者アカウント(IDとパスワード)が奪取されたものと推定する」「資産管理サーバー(AhnLabの場合APCサーバー)の弱点のためではない」として、「もし管理者アカウントが奪取されたとすれば正常な権限によるアクセスであるから、脆弱性の有無に関わらず多くのソフトウェアが悪用される」としている。
    また、セキュリティソフト各社はこの攻撃に利用されたマルウェアについて分析を開始している。Symantecはブログにて「韓国の銀行と放送局に、大規模なサイバー攻撃」という記事を公表。それによれば、クライアントを攻撃したマルウェアは、AhnLab製品ともう一つの代表的な韓国のアンチウイルスメーカーであるHAURI製のアンチウイルスソフトのプロセスを停止、感染したPCの全てのドライブのデータを"PRINCPES" または"HASTATI."という文字列で上書きするとしている。また、AhnLabは今回狙われたのはWindowsだけではなく、SolarisやAIX、HP-UX、およびLinuxを対象とした攻撃コードも含まれているとした上で、さらに、「現在把握されているのは特定のターゲットを狙った攻撃だが、既に変種が発見されているため、不特定多数を対象にした攻撃の危険がある。企業以外の一般の使用者もアンチウイルスソフトのパターンを最新バージョンにするように」と呼びかけている。AhnLabはさらなる調査を通じて、早急に明確な原因を発表する予定である。
    この件では、「韓国の大規模サイバー攻撃は非正規Windowsサーバーのパッチ配布が原因」という考察や、一部では「単にMSのパッチで海賊版がシャットダウンされただけでは」などという見方もあったが、どうやら今回の件は、少なくとも直接的には海賊版Windowsの使用によるセキュリティパッチの不備でなどではなさそうである。逆にいえば、資源管理サーバやデプロイシステムなどを利用している多くの大企業において「APT攻撃によるソフトウェア配信システムを利用した、イントラ内大規模感染への対策」という大きな課題が示されたといえるのではないだろうか。


---情報の秘密収集違憲---
2013年3月18日(月)
http://www.jcp.or.jp/akahata/aik12/2013-03-18/2013031807_02_1.html

米連邦地裁判決 テロ口実捜査に
 【サンフランシスコ=山崎伸治】米連邦捜査局(FBI)が「国家安全保障書簡」(NSL)と呼ばれる令状を使って秘密裏に個人情報を収集することについて、米サンフランシスコの連邦地裁は15日、憲法違反だとの判断を示しました。
 2001年9月の同時多発テロを受けて制定された米愛国者法で、FBIは「テロ対策」を口実に裁判所の許可がなくても、NSLを使って銀行口座の記録、電話やインターネットの通信記録など民間企業が管理する個人情報を押収できるようになっています。
 押収された側はNSLを受け取ったことを含め、事実を公にすることが一切禁じられており、個人情報が本人の知らぬ間にFBIに渡されるだけでなく、行き過ぎた捜査や違法な捜査が秘密裏に行われる恐れがありました。
 匿名の通信会社の訴えに対し連邦地裁のイルストン判事は、NSLに基づく押収の公表を禁じることについて「言論の自由を必要以上に制限する」ものだとして違憲との判決を出しました。
 原告代理人のジママン弁護士は「裁判所が(愛国者法の)NSL条項に憲法上の欠陥を認めた」と評価。NSLに基づく捜査が公にされることに期待を示しました。
 米CBSテレビによると、FBIは2011年に1万6511通のNSLを発行し、7201人の個人情報を収集。NSLによる情報収集については、FBIの内部調査でも不備があることが明らかになるなど問題が指摘されていました。


---Sprint and SoftBank Pledge to Forgo Huawei Equipment, Lawmaker Says---
By MICHAEL J. DE LA MERCED
March 28, 2013, 11:08
http://dealbook.nytimes.com/2013/03/28/sprint-and-softbank-pledge-to-forgo-huawei-equipment-lawmaker-says/

Sprint Nextel and its Japanese suitor, SoftBank, have assured lawmakers that they would not use equipment from China’s Huawei Technologies in Sprint’s cellphone network, the chairman of the House intelligence committee said on Thursday.

Representative Mike Rogers, the chairman of the committee, said in an e-mailed statement that both Sprint and SoftBank of Japan had pledged not to use Huawei equipment in the existing Sprint network. The two also said they would move to replace Huawei products in the network of Clearwire, a high-speed data service provider that Sprint is in the process of acquiring.

Mr. Rogers added that he expected both companies to make similar assurances to the Committee on Foreign Investments in the United States, a government body that oversees national security concerns in business transactions.

 “I am pleased with their mitigation plans, but will continue to look for opportunities to improve the government’s existing authorities to thoroughly review all the national security aspects of proposed transactions,” he said in the statement.

The statement by Mr. Rogers highlights one of the government’s concerns about Sprint’s sale of majority control to SoftBank for $20.1 billion. SoftBank, one of Japan’s biggest cellphone service providers, uses equipment from two Chinese manufacturers, Huawei and ZTE, in its own networks.

The United States government has been exceedingly wary of potential national security issues posed by using equipment from Chinese companies. Yet that may put some telecom companies in a bind, as Huawei is one of the biggest manufacturers of networking equipment in the world.

SoftBank’s chief executive, Masayoshi Son, told DealBook in an interview last fall that his company’s use of Chinese networking equipment was limited, and that he would take steps to assuage the United States government’s concerns.


---Sprint Nextel and SoftBank Agree Not To Use Huawei Equipment After Merger---
Thursday, March 28th, 2013
http://techcrunch.com/2013/03/28/sprint-nextel-and-softbank-agree-not-to-use-huawei-equipment-after-merger/

Sprint Nextel and SoftBank have pledged not to use equipment from Chinese telecommunications company Huawei Technologies after they merge. Congressman Mike Rogers, a Republican state representative from Michigan who leads the House Intelligence Committee, said today that the two companies told him they would not use gear manufactured by Huawei in their networks.

The Chinese company has repeatedly had to fend off charges of espionage in the past. Though an 18-month White House-ordered review cleared Huawei of spying for China, concerns over Chinese cyber-espionage have ramped up recently. Back in October, the House Intelligence Committee said in a report that equipment from Huawei and its main domestic rival ZTE can potentially give an opening for Chinese intelligence services to use U.S. telecommunications networks for spying. More recently, a provision included in the funding bill signed into law by President Barack Obama this week requires U.S. federal law enforcement agencies to get approval before buying information technology systems made by Chinese companies.

“I have met with SoftBank and Sprint regarding this merger and was assured they would not integrate Huawei into the Sprint network and would take mitigation efforts to replace Huawei equipment in the Clearwire network,” Rogers said in an emailed statement to the Washington Post. Sprint owns a share of Clearwire, which currently uses Huawei gear at the edges of it network, with its core network supplied by U.S. companies Cisco Systems and Ciena.

In response, Huawei spokesman William Plummer told the Washington Post “if government approval of the transaction is somehow contingent on an agreement to restrict purchase of equipment from any vendor based on the flag of heritage, then it is a sad day for free and open global trade, and it does nothing to secure the network. Everyone is global and every company faces the same cyber-challenges.”

Sprint Nextel, the third largest U.S. carrier, and Tokyo-based Softbank are currently awaiting approval for a proposed $20.1 billion merger , and are being reviewed for national security implications by the Federal Communications Commission, the Justice Department, and the Committee on Foreign Investment in the United States.


---Microsoft, Too, Says FBI Secretly Surveilling Its Customers---
By David Kravets
03.21.13 2:31 PM
http://www.wired.com/threatlevel/2013/03/microsoft-nsl-revelation/

Microsoft said the Federal Bureau of Investigation is secretly spying on its customers with so-called National Security Letters that don’t require a judge’s approval, a revelation Thursday that mirrors one Google announced two weeks ago.

Redmond, Washington-based Microsoft announced that the type of accounts the feds are targeting with National Security Letters, warrants or court orders include Hotmail/Outlook.com, SkyDrive, Xbox LIVE, Microsoft Account, Messenger and Office 365.

The announcements by the two tech giants mark the first time U.S. companies have divulged they were secretly responding to National Security Letters and coughing up user data to the bureau without probable-cause warrants. And the Microsoft announcement comes six days after a federal judge declared National Security Letters unconstitutional and gave the President Barack Obama administration 90 days to appeal the ruling.

The NSLs, which have been issued nationwide hundreds of thousands of times, are written demands from the FBI that compel internet service providers, credit companies, financial institutions and businesses like Google and Microsoft to hand over confidential records about their customers, such as subscriber information, phone numbers and e-mail addresses, websites visited and more as long as the FBI says the information is “relevant” to an investigation.

“Like others in the industry, we believe it is important for the public to have access to information about law enforcement access to customer data, particularly as customers are increasingly using technology to communicate and store private information,” Microsoft said.

Google, Microsoft and other entities that receive NSLs are gagged from disclosing them publicly or to the targets. But, “pursuant to approval from the government,” Microsoft released a numerical “range” of the number of NSLs it has received dating to 2009.

Two weeks ago, when Google released its numbers, it said it only publicized a range “to address concerns raised by the FBI, Justice Department and other agencies that releasing exact numbers might reveal information about investigations.”

The ranges each company published are similar, but not identical.

For 2012, which is the latest data available, Microsoft said it received 0-999 National Security Letters involving between 1,000 to 1,999 accounts. In 2011, Microsoft said it received 1,000-1,999 of them for 3,000-3,999 accounts.

For 2010, the company reported 1,000-1,999 requests targeting 5,000-5,999 accounts. In 2009, there were 0-999 National Security Letters targeting 2,000-2,999 accounts.

Google, on the other hand, reported receiving 0-999 National Security Letters for years 2009-2012 affecting 1,000-1,999 accounts for all years but 2010. That year, National Security Letters targeted 2,000-2,999 accounts.

Neither Google nor Microsoft numerically broke down which of their services were targeted with NSLs.

In 2011, the year with the latest available figures, the FBI issued 16,511 National Security Letters pertaining to 7,201 different persons.

You’re not alone if it seems strange the two companies are reporting numerical ranges.

U.S. District Judge Susan Illston of San Francisco declared the letters unconstitutional on Friday because of the harsh gag rules associated with them. Illston said the NSL nondisclosure provisions “significantly infringe on speech regarding controversial government powers” which thwarts “the public debate” about them.

Under the Patriot Act, a NSL may compel Microsoft to divulge “the name, address, length of service, and local and long distance toll billing records” of our users if it is “relevant to an authorized investigation to protect against international terrorism or clandestine intelligence activities.” An FBI agent can self-issue an NSL to credit bureaus, ISPs, phone companies or any business with only the sign-off of the special agent in charge of their field office.

A Justice Department Inspector General audit found in 2007 that the FBI had indeed abused its authority and misused NSLs on many occasions. After 9/11, for example, the FBI paid multimillion-dollar contracts to AT&T and Verizon requiring the companies to station employees inside the FBI and to give these employees access to the telecom databases so they could immediately service FBI requests for telephone records.

The IG found that the employees let FBI agents illegally look at customer records without paperwork and even wrote NSLs for the FBI.

0 コメント: