Scribble at 2024-07-13 09:22:52 Last modified: 2024-07-14 07:06:32
AT&T said the stolen data “does not contain the content of calls or texts,” but does include calling and texting records that an AT&T phone number interacted with during the six-month period, as well as the total count of a customer’s calls and texts, and call durations — information that is often referred to as metadata. The stolen data does not include the time or date of calls or texts, AT&T said.
アメリカ AT&T の情報漏洩ということで、約１億人分のデータが漏洩したとのことだ。いわゆる「通話記録」が漏洩しており、電話番号（恐らく通話先も含むので、他のキャリアを含む相手方の番号も）と位置情報と日時など、メタ・データが漏洩したというのが実情らしい。
で、漏洩した経路というのが Snowflake というクラウド・サービスらしい。Snowflake はビッグデータ解析を目的として巨大なデータを扱っており、ここの別の顧客がなりすましによってアカウントを奪われたときに Snowflake から盗まれたデータの一部が、今回のメタ・データだったという。これはこれで奇妙なことだ。ともかく、どうして AT&T が通話記録を Snowflake に置いていたのかは公表されていないという。で、Snowflake からは他の会社のデータも漏洩していて、Snowflake によると MFA を使って厳重な認証を行っていなかった利用者の責任だと言っているようだが、Snowflake 側が MFA を強制してはいなかったのも確かだ。それに、無関係な企業のアカウントが盗まれるだけで、どうして他社のデータも盗まれるのかという、Snowflake 側の認証システムやデータベースの仕様についても疑問がある。
ちなみに、この話の最後に書かれていることだが、AT&T は今年に入って情報漏洩が２回あった。そして最初の漏洩では利用者のパスコードが数百万件ぶん盗まれたため、これをリセットして利用者に再設定させている。このとき、パスコードは「暗号化」されていたのだが、これは簡単に復号化できる強度しかないという専門家の指摘で、再設定を利用者に促したのだという。ここでポイントになるのが「暗号化」という言葉だ。たとえば、ノート・パソコンを紛失したり盗まれたときに、情報資産を失った当事者が公表するコメントとして、幾つかのパターンがある。
・パソコンには BIOS パスワードをかけているから大丈夫
・パソコンには複雑なログイン・パスワードを設定してあるから大丈夫
・パソコンには BitLocker や FileVault など HDD パスワードをかけているから大丈夫
・パソコンのデータは暗号化してあるから大丈夫
これらは意味も違えば情報資産を保護する強さも異なる。そして、僕の理解で言えば上から順番に（情報資産の保護という目的にとっては）無意味だと言える。特に BIOS のパスワードやログイン・パスワードなんて何の意味もないのは、よくご存知であろう（SSD や HDD を取り外して別のパソコンに接続しなおせば、中のデータへ何の問題もなくアクセスできるからだ）。したがって、パソコンを紛失したり盗まれたときに、この二つを言い訳にするような企業はない。だが、ストレージを暗号化していればいいかというと、そういうわけでもない。なぜなら、たとえば macOS でストレージを暗号化する FileVault は、復号化するためのパスコードを忘れてしまったときのリカバリーとして、アカウントのパスワードを使って FileVault のパスコードをリセットできてしまうからだ。これは秘密鍵がなくてもパスコードをリセットして FileVault を復号化できてしまうのだから、情報セキュリティの対策としてはアカウントのパスワードをどうやって保護しているかという強度に依存してしまうことになり、設計としては非常にまずい。同様に、Windows の BitLocker もパスワード（「回復キー」と呼んでいる）を保存する先として Microsoft カウントに保存する方法があるし、そもそも BitLocker の回復キーを入力しなくても Windows へログインできるように、プロンプト・モードで特定のコマンドを実行して迂回する方法もある。
したがって、保護したいデータを直に、そして厳重に暗号化するのが、結局はもっとも安全なのである。もちろんデータを復号化するパスワードはパソコンやオンライン・サービスにテキスト・データとして保存したり登録せずに、自宅のメモ帳にでも書いておくのが良いだろう。なんだかんだ言っても、ネットワークを切り離したところで情報を管理することが望ましい。実際、「暗号化」しているとは言っても、それを復号化するための鍵まで同じコンピュータに保存したり、あるいは同じ程度に脆弱な端末に保存していたり、それどころかデータを格納するのと同じデータベースに保存していたりすると、どうしようもないんだよね。