IoTの脆弱性と安全基準との法的な関係

InfoCom review 69号に「IoTの脆弱性と安全基準の法的な関係」の論文が掲載されました。

安全を生命・身体・財産上の存在に対するハザードがない状態として定義し、それの基準である安全基準と「脆弱性」という用語の関係を考察した論文です。具体的には、医療機器と発電所を例にとっています。

このような観点の考察は、新規なものではないか、と自負しております。

最後の講義「石黒浩教授」とホモ・デウス

17日は、最後の講義「石黒浩教授」を見て、今日(23日)は、ハラリ教授のホモ・デウスのDVDを見ました。

ちなみにホモ・デウスは、いろいろいなところで話題に登っています。

【さよなら人類】ホモ・サピエンスからホモ・デウスへ – Homo Deus by Yuval Noah Harari
とか、
人類が神にとって代わるとき。次世代の成長産業は人間を神にアップグレードするビジネス
ですね。いままで、聞いていたこと、自分で、ボットを作って感じたこと、などが、整理されつつあるようにおもいます。内容は、両教授ともに基本的に、同じ将来のビジョンを持っているように思えます。自分も、そのようなビジョンを感じつつあるようにおもいます。(今年の11月29日に自分なりのビジョンを公表する予定です)

まさに、マスター・アルゴリズムを構築する側とそれ以外の用なし(useless class)クラスに分かれていくでしょうという話。人類は、何をするのか、ゲームとドラッグで引きこもり化するのでしょうか。

でも、もし、この未来が見えていくのであれば、自分は、何をするべきなのか、センスのある人たちで、そのような未来を作る側に回るべく、一刻の猶予も許されないということになるののでしょうね。

(でも、暑すぎて、ギアが入らないで、南の島にでも避暑にいきたいくらいです?)

 

 

ハッカーをライセンス制に、シンガポールのサイバーセキュリティ法案

「ハッカーをライセンス制に、シンガポールのサイバーセキュリティ法案」という記事がでています。

シンガポール情報通信省(MCI)とサイバーセキュリティ庁(CSA)が、意見を募集しています。この法案は、ここから見ることができます。

法案は、
1部 序(1条ないし3条)
2部 監督(4条ないし6条)
3部 重要情報インフラ(7条ないし19条)
4部 サイバーセキュリティインシデントへの対応(20条ないし24条)
5部 サイバーセキュリティサービスプロバイダ(25条ないし38条)
6部 一般規定

別表1および2

からできています。

特にライセンス可能なサイバーセキュリティ調査サービスは、26条、27条で規定されています。記録の保管義務(34条)、ライセンス停止制度(35条)などの規定もあります。

でもって、何が、ライセンス可能なサイバーセキュリティサービスなのか、というのは、別表2で、掲載されており、調査的なものとしては、ペンテスト、非調査的なものとしては、管理されたSOCモニタリングサービスがあげられています

さらっと見た限りでも、興味深そうな法案です。特に、ある程度、重要なセキュリティ侵害があった場合の調査については、積極的な行為・積極的な証拠取得も含めて、ライセンス制というのもあるかな、とおもうようになってきています。その意味で、要チェックの法案かとおもいます。

ちなみに、フォレンジックス的なものについては、米国のある州では、探偵の免許が必要だったりします。探偵の免許が、フォレンジックスにふさわしいのかというと?だったりしますが、今後、機会があれば、研究することにしたいとおもいます。

高橋郁夫

ソニーピクチヤーズ・エンターテイメント事件(2014)の復習

あるインタビューで、「国家支援の攻撃行為については、むしろ、国際法的な位置づけが問題になります。その代表例は、ソニーピクチヤーズ・エンターテイメント事件です」と応えています。が、ブログでは、オバマ大統領 対抗措置を明言には、ふれたのですが、ビデオ自体には、ふれていなかったので、ここで書いておこうと思います。

記事としては、”Obama says Sony hack not an act of war”になります。むしろ、ビデオをご覧になることをお勧めします。SOTU-OBAMA: SONY HACK-“ACT OF CYBER VANDALISM”です。このビデオは、15秒ほどですが、法的な意味づけを端的に語っています。

この事件は、実際に、(1)北朝鮮という国家の機関により(2)SPEという米国の会社の業務が、意図的に、妨害されたということになります。

(1)の部分は、国家責任を発生させる行為かどうかということになります。この点については、通常は、「効果的コントロール」テストで判断されるというのが、一般の理解になります。

(2)については、通常と、国家機関により民間の機能が妨害されたとしても、それ自体、米国の主権の問題を惹起するということにはなりません。しかしながら、重要なインフラとでもいうべきものが、意図的に妨害されるとなると、国家主権に対する問題を惹起するのだ、ということが語られています。

この場合、一定のレベルを超えた場合には、武力行使に該当することになります。この武力行使のレベルに達するか、どうかをどのような基準で判断するのか、ということになりますが、この点については、(イ)甚大さ-Severity(ロ)迅速さ-Immediacy (ハ)直接さ-Directness(ニ)侵略性-Invasiveness(ホ)測定可能性-Measurability (ヘ)適法性の概念-Presumptive legitimacy などの観点から判断されるというのが、一般的な理解になります。

もっとも、このレベルで武力行使のレベルにいたるためには、相当な結果が発生することが求められます。StuxNetレベルの結果が発生した場合でも、この武力行使のレベルに達したとは考えられません。その一方で、同時多発的にStuxNetレベルの結果が発生すれば、サイバーによって、武力攻撃が可能になるということです。理論的には、サイバー戦争が可能になるのですが、それは、実際に遠心分離機という戦略的・高額な機器が破壊されるという結果が発生するからであって、それを「サイバー戦争」というか、どうかは、単なるセンスの問題だろうと考えられます。

なお、ここで、武力行使と武力攻撃の用語を使いわけています。米国は、武力行使に達すれば、国連憲章51条における国家の自衛権の行使を正当化できるものと考えています。それ以外の国は、武力行使に達したとしても、51条の武力攻撃に該当すのには、さらに、一定の結果が発生したときと考えています。ここらへんの詳細なのは、また、別に論じましょう。

ここで、オバマ大統領の発言に戻りましょう。北朝鮮による攻撃は、CyberWarにいたらないというのは、上記の観点から、把握して、武力行使のレベルに達していないという米国の判断を示している、ということです。CyberVandalismであるといっています。

では、何もできないか、ということになると、むしろ、法的には、北朝鮮の行為は、国際的違法行為なので、対抗措置の問題になるといっているのです。この対抗措置は、比例原則のもと、米国の判断でなしうることになります。なお、対抗措置については、このエントリで分析しています。

これらの法的な判断をこのインタビューのもとで、ふれているのです。当たり前ですが、綿密な分析がなされていますし、決定的な証拠も取得されていたことが、伺われます。

サイバー攻撃により惹起された被害にたいしての国家の対応は、このような枠組みで判断されるわけです。

ボットネット・テイクダウンの法律問題(初期) 後

法的な手法を用いて、ボットネット遮断をしたのは、最初としては、Waledecボットネット遮断事件になるかと思います。

この事件については、「実録!ボットネット撃退最前線 第3回 Waldacボットネットの遮断に挑戦」「同 第4回 DNSを止めWaledacの復旧を妨害」に詳しいので、興味のある方は、そのページを参照してください。

そのあと、2011年2月から、Rustockのテイクダウン作戦が行われ、それを前に調べる機会があったので、観点に紹介することにします。(なお、当時は、送達等の関係があったこともあって、裁判所の書類をみることができました。以下は、その当時の分析によります。)

Rustockボットネットとは、Win32/Rustockというトロイの木馬を利用したボットネットであって、世界でもっとも広く蔓延したものです。

このWin32/Rustockは、ターゲットのコンピュータに感染するためのドロッパーコンポーネント、Windowsシステムドライバーになりすますドライバーインストーラーコンポーネント、実際に実行されるルートキットドライバーコンポーネントから成り立っていて、これらが巧みに実行されると、標的となるコンピュータを乗っ取ってしまってC&Cサーバに接続して通信を行い、そのC&Cサーバからの命令に従って、ボットとなったコンピュータがスパムメッセージを送信することになります。

このスパムは、サーバから送られるスパムテンプレートに基づいて送信された。典型的なスパムメッセージは、医薬品やその販売サイトに関連したものやマルウエアをダウンロードさせようとするものでした。

2011年2月9日、マイクロソフト社は、被告 氏名不詳者(ジョン・ドゥー1ないし11)に対して(1)コンピュータ詐欺および不正使用法(合衆国法典18巻1030条)(2)CAN-SPAM法(同15巻7704条)(3)ランハム法(同15巻1125条(a ))に基づく商標侵害などを根拠に、差止などのイクイティ(衡平法)上の救済および損害賠償を求め、シアトルのワシントン州西地区地方裁判所に訴訟を提起しました。

訴状によると、
被告らは、Rustockボットネットを購入し、もしくはリースしているものであって、およそ96ものC&Cサーバに指令を出しており、訴状の別紙Aにおいては、米国内のデータセンターなどにおかれているRustockのC&Cサーバが特定されています。

訴状の請求原因の記述においては
Rustockボットネットが、マイクロソフトおよびその消費者ユーザー(以下、ユーザーという)に対して損害を与えていること、
ユーザーのコンピュータに無権原で侵入を行っていること、
ユーザーのコンピュータおよびその資源が刑事的活動/不正な目的に悪用されてしまっていること、
ユーザーが直接にスパムの活動の標的になってしまっていること、
マイクロソフトは、Hotmailのアカウントを保護するためにコストを支払っていること、
また、同様にRustockに感染してしまった人を支援するためにたくさんのコストを支払っていることなどが論じられています。
また、同時に、マイクロソフトは一方的緊急暫定差止命令(Ex Parte Emergency Temporary Restraining Order 以下、TROという)、差押命令、理由開示命令をも申し立てています。

同3月9日に裁判所は、一方的暫定差止命令、差押命令、理由開示命令を発令しました。

このTROにもとづいてマイクロソフトは、執行官とともにRustockボットネットのIPアドレスとドメインを無効化しました。

そして、3月16日、すべての訴答の書面が別紙Aに記載されているホスティング会社に送達されました。
そして、代理人弁護士は、それらのIPアドレスを販売している再販業者(米国外)にコンタクトをとっており、もし被告が停止されたIPアドレスについて復活させたいというのであれば、連絡するようにといっていた。
また、連絡自体も公表、電子メ―ル、実際の送達、ファクシミリ、ハーグ条約にもとづく通知・送達などもなされている。

また、3月9日のTROによって、取得したハードドライブに対してフォレンジック調査を行っており、それによって、ボットネットの実態が明らかになっています。

20のハードディスクに対して分析がなされており、電子メールテンプレートを備えたシステムがあり(ディスク1)、スパムメールや数千の電子メールアドレス、ユーザ名・パスワードのコンビネーションが記録されていました。また、そのシステムは、ロシアベースのウエブサイトにアクセスするためにもちいられていました。他のドライブには、ロシアのIPアドレスに対する攻撃のスタートポイントとなるようなシステムが組み込まれていました。その余の18のドライブは、TOR(オニオンルーターといわれる匿名サーバ機能)を備えており、Rustockボットネットへの匿名のアクセスを提供するものでした。

4月6日に、裁判所は、被告が操作し、RustockボットネットをコントロールをしていたIPアドレスとドメイン名を訴訟係属中は利用不能にする仮差止命令を発令しました。

この裁判手続のディスカバリーのプロセスと送達のための過程において、マイクロソフトは「Cosma2k」というハンドル名のものが、 すべてのRustockボットネットに対して責任をおっているということを明らかにしました。この「Cosma2k」は、アゼルバイジャンのバクーの再販業者を利用してC&Cサーバを購入していており、この「Cosma2k」は、「cosma bot」というソフトウエアを配布していたことが明らかになりました。

マイクロソフトは、同8月5日略式判決を求めており、9月13日、James L. Robart判事が、欠席による差止命令をだしました。

これにより民事訴訟手続きとしては終結することになりました。法的なものについては、Battling the Rustock Threat を参照ください。

ボットネット・テイクダウンの法律問題(初期) 前

ボットネットのテイクダウンで、Citadel決定の分析を聞いてきたのですが、その前にいろいろとあったよね、ということで、ちょっとご紹介してみましょう。

ボットネットのテイクダウンを考えるので、興味深い最初の事件は、Mocolo事件ということができるでしょう。

米国においては、2008年秋ころから、セキュリティの研究者やネットワーク専門家が、スパムや悪意あるプログラムなどを配信しているサイトに対して、これを遮断してしまおうと努力をなして、それが実行されつつありました。

悪質なISPである Atrivo は、最終的に、2008年9月20日にネットワークから遮断されました。また、2008年10月には、 FTC(連邦取引委員会)は、HerbalKingに対して差止命令をえたということもありました。

このような流れのもとで、Mocoloというホスティングプロバイダーが、2008年11月にインターネットから遮断されるという事件がありました(事案の経緯等はこちら)。Mocoloは、UltraNet(ラトビア)、NETRCLLC(米国)、LUCKYNET2(イスラエル)、Peer1(カナダ)などの悪意あるプログラムをダウンロードさせるサイトにネットワークを提供しており、McColo自身、偽物のアンチウイルス製品をダウンロードさせるサイバー犯罪者に対してサイトを提供していたと考えられていました。McColoは、世界のスパムの50-70%をしめていたものと考えられていて、また、通常のネットワークが、問題あるサイトの割合が、0.01%程度であるのに対して、McColoは、2.02%をしめており、有害ネットワークのトラフィックのプラットフォームであったということができるでしょう。

経路的には、Global Crossing(AS3549)が40%、Hurricane Electric(AS6939)が53%をしめていました。住所は、デラウエア州ニューアークにあるとされていたが、実際には、当該場所には、McColoは存在せず、IPアドレスからは、カリフォルニア州のサンホセに存在すると考えられていました。

このMcColoのテイクダウンに尽力したのは、ワシントンポストのセキュリティ・フィックスというブログの関係者でした。彼らは、McColo の過去4ケ月の違法な行為についての調査をなしました。調査チームは、主たるISPと接触し、その過程において、McColo のバックボーンのISPの情報を提供ましした。

McColoに接続を提供していた主なプロバイダーである Global Crossingは、通常の反応をするにすぎなかったのですが、 McColoの他のISPであるHurricane Electricなどは、ワシントンプレス紙から提供された情報をもとに、同年11月11日にその接続を停止しました。

Hurricane Electricのマーケッティング担当取締役の Benny Ngは、「McColoの行為はHurricane Electricのサービス条件に完全に違反するものであり、(遮断措置という)今回の決定はきわめて正当であり完全に合法的なものだ」と強調しているとのことでした。

この遮断行為については、セキュリティ研究者、ISPなどの共同での活動の成果であるという評価が一般的です。その一方で、問題を指摘する立場も存在ました。(具体的には、インターネット・モニタリング会社のRenesysでバイスプレジデント兼ゼネラル・マネジャーを務めるアール・ズミエフスキ(Earl Zmijewski)氏は同社のブログ上で、警察関係者が閉鎖措置に関与しなかったことには疑問があると表明している。)

McColoは、会社で、一般のユーザーに対しても、一定のサービスを提供していました。
一般のユーザーが、そのサービスを利用して、ホスティング等のサービスを利用していた場合、その利用が遮断されたことによって、一般のユーザーが、利用に制限を来してしまうことになってしまいます。その場合にMcColoに対して責任を問いうるのか、そもそも、McColoが通信の遮断されるべき存在であったのかという問題があることになります。

その意味で、裁判所なりの関与による遮断のほうが望ましいものということがいえるでしょう。裁判所の関与した司法手続に基づけば、その上のプロバイダの遮断が仮に、契約の違反に基づくものだとしても、その契約の対象外に生じる損害に対しても、違法性を阻却するということがいえそうである。そこで、裁判所が関与した遮断の具体例をみていくことにする。

サイバー防御、「匿名」で強化…インフラ2千社

読売新聞に「サイバー防御、「匿名」で強化…インフラ2千社」という記事がでています。

現在、情報共有システムとして、大きなものは、わが国では、J-CSIP(サイバー情報共有イニシアティブ )、CTAPP(標的型攻撃に関する情報共有枠組みのパイロットプロジェクト)があります。あと、セプターカウンシル関係では、標的型攻撃に関する情報共有体制(C4TAP)というのもあります。

この記事では、NISCに「バーチャル情報連携センター(仮称)」を設置するということが明らかにされています。あと、「サイバー攻撃を受けた際に、企業が情報提供をためらわないよう企業名を伏せて報告してもよい仕組みを導入する。」ということで、情報共有に関する種々の問題点をクリアしようという態度が見受けられるということがいえます。

法的な理屈としては、情報共有を妨げる種々の論点があります。法令等遵守のリスク、共有者間の情報遵守の仕組み、インセンティブの設計などが大きな論点といえるでしょう。

法令等遵守のリスク

その中でも、一番大きなものとしては、法令等遵守のリスクなのですが、これに関連するものとして、(1)個人情報保護法・企業秘密等との関係(2)秘密保持契約との衝突について(3)適時開示との関係について(4)情報公開法との関係についてなどの問題があります。

(1)個人情報保護法・企業秘密等との関係
これは、標的型攻撃によって、各企業における個人情報や企業秘密等が流出してしまった場合、かかる情報が流出したりということを第三者である情報収集機関に対して提出すること自体、法的な問題を惹起するのではないかという問題になります。

(2)秘密保持契約(NDA)との衝突について
標的型攻撃によって情報が流出した場合に、その情報が第三者との関係で、守秘義務契約が締結されている対象の情報であった際にその情報を被害にあった企業が、情報共有のために第三者に開示をする場合、また、被害企業が、被害の特定、証拠の保全などのために専門的な業者などに特定の作業を依頼した場合、これらの場合には、情報共有という考え方と秘密保持の義務とが、衝突してしまいます。
秘密保持契約とは、取引等を行う場合に、取引当事者間で行われる営業秘密・個人情報などの業務に関して知り得た秘密を第三者に対して開示しないとする契約です。かかる契約に違反する場合、秘密保持を求めたものは、損害賠償を求めえます。では、このような秘密保持契約が結ばれている場合において、上述のような具体例の場合に、秘密保持契約違反となるのかということになります。

(3)適時開示との関係において
上場会社において、株式の公正な取引と円滑な流通を実現するためには、時々刻々と変化する会社の情報を頻繁に頻繁に開示する必要があります。そのために各金融商品取引所は、各取引所独自の適時開始制度を設けています。これらの規定との関係で、サイバーに関する攻撃情報補については非開示を保障する必要があります。

(4)情報公開法との関係について
制度において情報収集機関、情報分析機関などを考えるとき、かかる機関は、情報公開法において、情報公開手続の対象になるものと考えられます。もし、提供された情報が情報公開の対象となるときには、このような制度は、功をなさなくなる可能性があるものと考えられます。このような情報公開法との関係についてもかんがえないといけないことになるのです。

なお、独占禁止法の関係もあり得るのですが、多分、市場画定の問題もあり、具体的な問題はおきないと考えます。

共有者間の情報遵守の仕組み

これは、情報が機微になればなるほど、誰が情報を取得し、それを誰の間で共有していいのか、というのをきちんと考えないといけないということになります。クリアランス制度の問題があり、自民党では、この導入を提案(デジタル・ニッポン2017)しており、私も賛成ではありますが、運用として困難なところもあります。

インセンティブの設計

このような情報共有システムは、「情報」が、「実効的に」流通しうるものとして制度設計されなければならない、ということになります。そのための仕組みとして、義務づけ、免責制度などをどう組み合わせるか、ということになります。

なお、アメリカでは、サイバーセキュリティ情報共有法(以下CISA)が制定されていることでもあり、それらも検討する必要があります。