どうしても、パスワードの盗み出しはキーロガーで行われると決めつけたいのでしょうか。

管理人が何度も説明しているように、
PCの中に不正なプログラムが浸入してしまった場合、ソフトウエアキーボードは対策になりません。キーロガーよりも簡単に、正確にパスワードは盗み出されます。

当研究会のデモプログラム、「パスチラ」を試してみれば、パスワードがすぐに盗み見できることがわかります。

大手SIさん（NTTDATAかな）、銀行さん、古い手法への対策だけをユーザーに教えて、やみくもに安心を与えるのは、罪だと思いますが。

（以下メール）

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

◆◇━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━◇◆
　【重要なお知らせ】
　　インターネットバンキングの不正利用にご注意ください

　　　　平成23年7月21日　　株式会社横浜銀行 http://www.boy.co.jp/
◆◇━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━◇◆

　最近、不正なサイトへのアクセスによりウィルスに感染する等、お客さまの
　パスワードや暗証番号が不正に取得され、不正な振り込みがおこなわれる
　事件が発生し、問題となっています。

　お客さまにおかれましては、以下のセキュリティ対策のご確認とご対応を
　あらためてお願い申し上げます。


　━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　　セキュリティソフトは導入されていますか？
　━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

　●インターネットバンキングをご利用のパソコンには必ずセキュリティソフト
　　の導入と、最新版へのアップデートをお願いします。
　　また、定期的に正常に動作していることをご確認ください。

　●セキュリティソフトを導入されていない場合は、不正に利用されるリスクが
　　高いため、パスワードを変更するか、都度指定振込利用停止機能等を
　　利用して振込取引を制限してください。

　●パスワード入力時には入力欄への直接入力を避け、ソフトウェアキーボード
　　を利用してください。

　●セキュリティソフトを導入されている場合も、ワンタイムパスワード等の
　　複数のセキュリティ機能を組み合わせてご利用ください。

WireSharkで、ネットワークを盗聴している状態で、Google Chromeを使ってTwiterにログインし、いろいろと操作をします。
次ぎに、WebTasterでTwitterに行き（ログイン前）この状態で、クッキーデータをWireSharkで盗聴し収集したTwitterのクッキーデータに改竄します。

され、ログイン画面が表示されました。
セッションハイジャック失敗です。
Twitterは、クッキーでは、セッションハイジャックできないのか．．．

もう一度実験します。
そういえば、前の実験では、ログインのときに
□保存する
のチェックボックスにチェックを入れていなかったので、保存をチェックします。

再度、クッキーを取得し、WebTasterでクッキーを改竄すると、

おおお、大成功！
つぶやきもできてしまいました。

ちなみに、Twitterの場合は、設定の中に

「HTTPSを常時使用する」

というのがあります。少し重くなりますが、これをチェックして利用すると、盗聴問題は回避できます。

１．ログイン　（２点）

標準でSSL

２．個人情報送信　（－３点）

なんと、いまだにＳＳＬなしで、携帯メアド等が送信されます

３．サービス利用時　（０点）

ＳＳＬなし

４．個人情報アクセスで再認証要求　（－１点）

求めない

５．クッキー盗聴、セッションハイジャック　（－３点）

サービスを成りすましで利用できる

総得点は、－５点

GREEさん、個人情報保護の見直しを是非お願いします。

＜準備＞
調査の方法は、いつものようにGoogle Chrome、WireShark、WebTasterの３点セットです。

＜調査＞
WireSharkで、パケットを盗聴しながら、Google Chromeで楽天にアクセスし、ログインします。
さすが、楽天は、ログインや登録回りは完全にＳＳＬになっていて、全く盗聴することができません。
ログイン完了後に表示される画面は、ＳＳＬではなく暗号化されていないページです。
期待通りセッションハイジャックできる予感です。

ここで、盗聴パケットを見ると、クッキーが取得できていますが．．．
クッキーのデータの中に、こちらのＩＰアドレスが埋め込まれています。
これにどの程度のセキュリティ効果があるのかわかりませんが、とにかくアクセス元の情報を埋め込んでいます。

WebTasterを起動し、楽天にアクセスします。
この状態では、楽天にログインしていません。
ここで、WebTasterを使って、クッキーを先ほど取得したデータに改竄書換、再度、楽天にアクセスすしてみます。

結果は、見事にセッションハイジャック成功です。

管理人の個人名と、現在のポイントが表示されています。
その他、カートの中身や、閲覧履歴などを、セッションハイジャック状態で見ることができます。

しかし、氏名以外の個人情報や買い物実行などでは、再度ログインを要求されるようになっています。

イケイケＩＴベンチャーとは違い、海外サイトと同等の対策がされています。

　Apache=122.24.129.222.95275512447477966;

このような「122.24.129.222」
このＩＰアドレスらしきを、逆引きして調べてみると

　C:\>nslookup 122.24.129.222
　Server:
　Address:  192.168.1.1
　Name:    p2222-ipbf1106hodogaya.kanagawa.ocn.ne.jp
　Address:  122.24.129.222

これは、管理人がインターネット接続しているＩＰアドレスです。

ユーザーセキュリティの視点で、これがセッションハイジャック対策の為だとすると、とても興味深いです。
クッキーを盗聴されて、それを使ったセッションハイジャックが行われたとしても、

"同じＩＰアドレスでないとハイジャックできない仕組み"

かもしれません。
このことを確認する為に、WebTasterを使って簡単な実験を行ってみます。

＜実験＞
１．WebTasterを使って、楽天にアクセスし、ログインします。
２．WebTasterのクッキー書換機能で、クッキーの中のＩＰアドレスらしきデータを別のデータに書き換えます。

このようにＩＰアドレスが実際にＩＰアドレスと違う状態で、楽天のセッションが維持できるのか？

＜結果＞
クッキーの中のＩＰアドレスは新しいものに書き換えられ、特に支障なくセッションは維持されました。

実験が終わってから良く考えてみれば、あたり前のことでした；；
家庭のＩＰアドレスにしてもWiFiアクセスポイントのＩＰアドレスにしても、アクセスする場所や時間によって、当然ながら変わっていきます。
その都度々々に、ログインを求められることはないですからね。

それにしても、WebTasterは、ブラウザのアクセスをそのままに、セッション限りのクッキーまで簡単に、自在に改竄できて、セキュリティ研究家には堪らない便利ソフトです。

WiFiの暗号化というのは、空中を飛んでいる間は暗号化しているというもので、ひとたびアクセスポイントに到達すると、そこから先は暗号は外されしまうので、備え付けのPC等からは丸見えの状態になります。
　
友達の家にいって、「暗号キーは１２３４だよ」と言われて、暗号化されているからと安心してWiFiに接続すると、あなたの通信は盗聴されているかもしれません。
（悪用厳禁）

＜方法＞

ここでは、ipod touchを使っている彼女をストーキングする例で紹介します。

１．まず、パソコンショップに行って、ゲーム機をパソコンに繋ぐ為のUSB型のWiFiアダプタを入手します。１５００円程度です。

２．これをパソコンに接続し、無線LANのアクセスポイントとして設定します。
　この時、WiFiの暗号設定もします。
　（暗号化は、しなくても構いませんが、暗号設定すると相手が安心します。）

３．同じPCにWireSharkをインストールし、盗聴の準備をします。

　
４．友達が来たら、無線LANのアクセスポイントと暗号キーを教えて、ipod touchに設定してもらい、ipod touchでいろいろなネットにアクセスして見せてもらいます。

これだけで、あなたのPCの中には、彼女のログイン情報がたくさん収集されてしまいます。

どんなサイトが危ないのか？どんなことをされてしまうのか？

そのあたりは、徐々に解明して行きますが

ここで言いたいのは、１５００円のアダプタで、あなたがストーカーされる危険性がある。
彼氏や友達の家のアクセスポイントには、安易に接続してはいけない！
ということ。

この認識が重要なのです。

そしてこれは、ipod touchだけの問題ではなく、WiFi接続できるモバイル機器、PCやiphone、スマートフォン、携帯電話やゲーム機でも同様に発生する問題なのです。

しかし、ここにあるハッキング手順などを読んでいると

　hack the eek （ハッキングチャレンジ）

推測されてはいけないパスワードだけではないことがよく分かります。

自分でＩＤをつける場合、あるいはデータベースを設計する場合、どんな場合でも、少しひねりを加えた文字列にしておくことが、セキュリティ向上のポイントと言えそうです。

最初の壁を乗り越えられた場合の安全を保つ為には、今までは意識していなかったところにも、ちょっとひねった情報を使うということ。

例えば、当研究会のＩＤを決めるなら

　p-sec

にはしないで

　p__sec_

などと、ちょっと捻っておくということです。