中古で購入したVPNサーバー、設定が破棄されておらず英地方議会のネットワークに接続できちゃった 26
設定はクリアして破棄しろと…… 部門より
あるAnonymous Coward 曰く、
セキュリティ専門家Andrew Mason氏がeBayで99ペンス（200円弱）で落札したVPNルーター「Cisco VPN 3002 Concentrator」には、前所有者が使用していた設定が残されており、そのまま英Kirklees地方議会のネットワークに接続できてしまったそうだ。ログイン情報なども全て機器に残されたままで、去年や今年に発生したクレジットカードデータ盗難事件のカード情報にもアクセスできてしまったとのこと（本家記事・BBC記事）。
調査の結果、このVPNサーバはKirklees地方議会のネットワークに割り当てられたIPアドレスのうち、ITサービス企業のCap Gemini社が使用していたIPアドレスに接続していることが分かった。しかしCap Gemini社がKirklees議会のネットワーク事業に携わっていたのは2000年から2005年5月までで、その後ネットワーク運営は自治体で行われているとのこと。
（つづく...）
このVPNサーバは英国チェシャー州のIT機器リサイクル業者Manga-fuから出品されたことが分かっているが、Manga-fuは安価な機器のシリアル番号は記録しておらず、問題のサーバがどこから入荷されたかは把握出来ないとしている。
なお、この件に関してKirkleesのスポークスマンは「議会は事態を深く憂慮しているが、複数のセキュリティ層によりシステムやデータへのアクセスは防げたと自信をもっている」と述べている。また、調査が実施され、然るべき対応が成されるまで機器の廃棄プロセスは中断するとのこと。
企業や自治体などでは適切な廃棄プロセスが確立され実施されるべきだが、実態は必ずしもそうではないことが表れた一件だと思う。皆様の会社では適切な廃棄プロセスが守られていますか？
VPN3K (スコア:5, 参考になる)
機器の動作としては片方から入ったパケットを反対側に放り出すって動作をします。最大の特徴はルーティングをせずにそのままスルーするところで、透過型Firewallみたいなイメージでしょうか。
LAN側からのパケットでトンネルにマッチするパケットをそのトンネルにぶち込み、トンネルから来たパケットをそのままLAN側に放り投げるというような感じの動作をするんですが、この時、複数の条件が重複するトンネルが存在したりすると、どちらのトンネルを使うかがランダム(厳密にはトンネルが作られた順番によって振り分けられるがトンネルが作られる順番がランダム)とか動作がかなりアバウト(しかも範囲が広い方のトンネルはあがらなかったりする)だったりしたと思うので、設計を行う際はネットワーク構成を厳密に把握してしっかりと管理してあげる必要があります。
さて、今回のVPN3000、何故廃棄した機器の対向となる機器の設定が残されているのかという話もありますが、それとは別にL3以上のネットワーク設計についても修正されていなかったことが予想され、ネットワーク全体がちゃんと管理されているかどうかかなり怪しいところで、「複数のセキュリティ層」とやらが信用できるかどうかも言わずもがなであります。
◆IZUMI162i6 [mailto]
Re:VPN3K (スコア:4, 参考になる)
レガシーなネットワークはそのまんまで極力手をつけず、
新規システムは物理レイヤからIPアドレス体型から何から何まで新規設計設置運営、
二者間はほぼ独立なものとして運用され、
どうしても必要な部分だけ（メールの配送とか）ゲートウェイになる箱をかませて相互接続
ってよくやりませんか？
だからあまり矛盾は感じないな
Re:VPN3K (スコア:1)
◆IZUMI162i6 [mailto]
Re:VPN3K (スコア:2, 参考になる)
VPN3002はConcentratorではなくHW Client [cisco.com]です．
Concentratorは3005以上の型番 [cisco.com]です．
ちなみに，ディスコンになったVPN3KのVPN回りは，
そのままASA5500シリーズに受け継がれています．
ASA5500上でVPN系のdebugを見ると，VPN3Kのdebugと同じ出力で微笑ましいです．
機器の廃棄手順 (スコア:2, 参考になる)
手順書に従って作業する
ってのが基本
んで
機材をカテゴリ別に分けて、
ちゃんとした手順書作って、
確認記録を付ける
ってのがポイントかな
HDDだと分解してプラッタを硫酸に浸けて表面溶かせばほぼ完璧
ルータのような設定を機材に記録するものだと消去は必須ですな。
# 学生の頃はジャンク屋でバイトしてたので・・・（以下略
Re:機器の廃棄手順 (スコア:2, 興味深い)
それはさておきManga-Fu社サイトの「About Us [manga-fu.com]」を覗いてみたところ、「トータルリサイクルのためのセキュアでプロフェッショナルなソリューションを提供します」と書かれてたりします。全然セキュアじゃなかったのね…と思いつつ「Our Securiry [manga-fu.com]」と書かれたページを見たら「カメラで監視して、警備員だけでなく警備犬まで使ってビルを守ってます」なのだそうです。泥棒対策だけでしたか…。
＃HDDは工業用ギロチンで破砕するみたいですけど、それ以外のデータについての安全性確保は考えてなかったのかも。
Re:機器の廃棄手順 (スコア:1)
HDDにリセットボタン付けるのは大変そうだけど。
Re:機器の廃棄手順 (スコア:1)
Re: (スコア:0)
「まちがって押したら困るから、田中君、無効化しておいてよ」
結局、運用上は簡単には使えなくなったりするような気もします。
どっちか真実？ (スコア:1)
＞スポークスマンは「議会は事態を深く憂慮しているが、複数のセキュリティ層によりシステムやデータへのアクセスは防げたと自信をもっている」と述べている
ψアレゲな事を真面目にやることこそアレゲだと思う。
Re:どっちか真実？ (スコア:3, おもしろおかしい)
# 気づいたら後ろに黒服の男が……
Re: (スコア:0)
スポークスマンは自信を持っているがその自信には事実の裏づけが無いだけでは？
Re: (スコア:0)
良く広報の人や営業の人が持ってるやつですね(笑)
Re:どっちか真実？ (スコア:1)
「あー、それね。できるよ（多分。あとで部下に確認してみるけど）」
Re: (スコア:0)
言葉の意味はよくわからんが、とにかくすごい自信だな。
業者の名前は (スコア:1, おもしろおかしい)
もったいないの精神 (スコア:1)
50年後くらいにはプレミアがついて、埋蔵金になるかもしれないし。
Re:もったいないの精神 (スコア:1)
いまやダンボール箱数箱分の保管場所に困る私がいまここに登場。
Re:もったいないの精神 (スコア:1)
と散々脅かしたら本当に金庫に保管されてたことがあります。
まさか金庫の中に保管されてるとは思わなかったので散々探す羽目に。
#何事も程々が良いようです。
教訓は PC だけじゃないって事だよね (スコア:1, 興味深い)
「パソコン」は内部のディスク上のデータを消去して廃棄って事が知られてきた。 で、今回の教訓は、「パソコンじゃなくても、内部にディスクなんかを持っていて、 ヤバ目の情報を保持してるものがある」って事なのでは？
ルータの様な、それ単体で完結している機器は見過ごしやすい気がする。
ルータ、プリンタ、、、他に何があるだろう。ネットワーク機器以外にもあるかも。
ハブは大丈夫だよね。
Re:教訓は PC だけじゃないって事だよね (スコア:2, 興味深い)
リボンを解いて蛍光灯にかざすだけで文章が読めると言う朗らかな時代でした。
ソフマップで購入したジャンクIIsiには、エクセル書類で仕入れ原価表がそのまま残っ
てたし。
今時のネットワークプリンタだと、登録してあるIPアドレスその他の情報からLAN構成を
推測されたりするかもしれませんね。VLANなどが使えるインテリジェントハブも同様。
以前、ジャンク屋で入手した無線LANアクセスポイントには、某地方自治体のモノと思わ
れるSSIDが登録されていました。
オークションで落札したルータにISPへの接続情報が残っていました。 (スコア:0)
#ルータだけじゃなくオークションに出品されているHDDってみんな完全に消去しているんだろうか？
Re: (スコア:0)
厄介はご免なのですぐフォーマットしましたけれど。
Re:セキュリティ専門家? (スコア:2, 興味深い)
専門家が中古機器を買うのは別に驚くことではないと思います。VPN3000系は未だに使用しているところも多いですし基本のアーキテクチャも変化しておらず古い機器でも趣味や研究になら十分に使えるのではないかと。別に客のところや会社に納入するわけでもないしね。
また、小回りこそ効きませんが割とおもしろい機械ではあるので200円なら弄り倒すために買ってみてもいいかもですよ。
さて、中古機器購入後、とりあえずConfigは確認してはみるだろうけど、まさか対向機器が未だにそのConfigで繋がる設定になってるとは思わないでしょ。いや、入ってるConfigで繋がるか確認したくはなるだろうし、確認したりはするだろうけれども。新品で買ってきたiPhoneの中にかわいい女の子の写真 [technobahn.com]が入ってないか探してしまうのと同程度に普通では？むしろ、セキュリティの専門家ならそういう情報を売って商売にしてるような気もするんですが。
◆IZUMI162i6 [mailto]
Re: (スコア:0)
閉鎖環境でチェックした後に、前の設定が有効かどうかネットワークに繋ぐ事は可能だぞ。