エンジニアと錯覚した竹ちゃん

ITエンジニアと錯覚した誇れるのは資格の数のみの悲しきモンスター！そのため発言は個人の見解であり、所属する組織の公式見解ではありません。 保有資格(VBAスタンダード/Lpic101/PL,AI,MS,DP,SC,AZ各900/AZ-801,800,700,305,104)

[エンジニアと錯覚した竹ちゃん @729Engineer]

Zenn初投稿！！
(自己紹介だけどね)
https://t.co/OSBBq78NRB

[エンジニアと錯覚した竹ちゃん @729Engineer]

最近このマインドでトラブルに立ち向かってるなぁ〜

[エンジニアと錯覚した竹ちゃん @729Engineer]

おひるるるるうっるぅ

[エンジニアと錯覚した竹ちゃん @729Engineer]

@_skmkzyk あと予定表でこの会議に参加する意味と何話せば良いか聞くのも好きです🤟

[エンジニアと錯覚した竹ちゃん @729Engineer]

しごおわ
かえ〜る

[terumin ∞ @terumin4649]

こちらも宜しくお願いします

名古屋開催です

https://t.co/eqyuWBp2Yz

[エンジニアと錯覚した竹ちゃん @729Engineer]

@Weisweiler おめでとうございます🎈
新天地でも頑張ってください！！
(たまにはなごあずにも顔出して下さいw)

[エンジニアと錯覚した竹ちゃん @729Engineer]

限界稼動民
追い詰められてるなぁ〜
逆境に立ち向かうぜ

[エンジニアと錯覚した竹ちゃん @729Engineer]

@tarekatsu_eng くだらないギャグで笑ってしまったw

[エンジニアと錯覚した竹ちゃん @729Engineer]

今日のお仕事終了！

[エンジニアと錯覚した竹ちゃん @729Engineer]

@muraco_ssid ほうい
じょうそ
けつ
めつ

[エンジニアと錯覚した竹ちゃん @729Engineer]

間違えて女性専用車両に乗った時の絶望感はぱないなぁ〜

[エンジニアと錯覚した竹ちゃん @729Engineer]

@sadabon444 なごぉ〜やぁで開催して欲しいっすw

[エンジニアと錯覚した竹ちゃん @729Engineer]

@kdk_wakaba 昨日は遠方からありがとうございました。
今度はJAZUGとかでそちらに遊びに行きたいです。

[ASH @ashy0x41]

自分でもいろいろ検証して理解が深まったのでまとめてみた https://t.co/Btcgy9CHXE

[エンジニアと錯覚した竹ちゃん @729Engineer]

気になっていた楽天カード公式のDKIMとDMARCをフィッシングメールがpassしたのか分かりやすく解説している
とても有益な情報なので共有です

[Yoichiro Takehora (竹洞 陽一郎) | 株式会社Spelldata @takehora]

こちらのドコモ宛てに届いた「楽天カード」を名乗るフィッシングメールのヘッダを分析しました。
SPF・DKIM・DMARCはすべてpass、BIMIのロゴ表示まで付いています。
偽装ではなく、楽天カードの正規の署名付きメールを再送する「DKIMリプレイ攻撃」に、「SPF Bypass」を組み合わせた手口です。

■経路
①10/14 21:19、楽天カードが利用しているOKWeb3（https://t.co/gshcu1i96u、現在の提供会社はPKSHA Communication社）の送信基盤（楽天カードのSPFで許可済みのIP）から、攻撃者のアドレス宛てに正規メールが送信
②約18時間後、無関係なサーバーからドコモ宛てに再送
元の宛先と、実際に届いた宛先が違います。

■なぜDMARCがpassするのか
DKIM署名は、本文と署名対象のヘッダが改変されていなければ、誰が再送しても有効です。
署名ドメインはFromと同じhttps://t.co/Rsg0YN9KrXなので、DMARCもpassします。
p=rejectでも、リプレイは防げません。
SPFもpassしていますが、これはエンベロープ送信者を空にし、HELOに使った攻撃者自身のドメインで判定させたものです（いわゆるSPF Bypass）。
Fromとはアラインしないため、p=rejectのドメインならこれだけでは届きません。
DMARCを通したのはDKIMリプレイです。

■被害を広げた原因：署名対象がFromだけ
DKIM-Signatureは h=From:From でした。
署名されているのはFromだけで、Subject・To・Content-Typeは署名対象外です。
攻撃者は件名を「楽天カード登録情報の更新について」に差し替え、MIME境界（boundary）も書き換えています。
RFC 6376 Section 5.4はFromの署名をMUSTとしていますが、それ以外は必須ではないため、仕様違反ではありません。
しかし、Fromだけの署名では、再送時に改変できる範囲が最大になります。
このDKIM署名は、楽天カードの鍵を使ってOKWeb3の送信基盤で付与されています。
署名範囲を決めているのは送信基盤側なので、まず送信基盤側で是正すべき問題です。

■もう一つの根本原因
任意の外部アドレス宛てに、正規の署名付きメールが届く経路があったことです。
フォームの自動返信などを本番の送信ドメインで送ると、攻撃者にリプレイの素材を渡すことになります。

■現状
現在、このDKIMセレクタはDNSに存在しません（全権威サーバーでNXDOMAIN）。
鍵を消せば以後の再送は止まりますが、すでに配送されたメールは、ロゴ付きのまま受信箱に残ります。

■再発防止策（送信側）
1. DKIMの署名範囲を広げる（送信基盤側の対応）
From以外に、Subject・To・Cc・Date・Message-ID・Reply-To・Content-Type・MIME-Versionも署名します。
さらに、存在しないヘッダも含めてオーバーサインし、ヘッダの追加・差し替えを防ぎます。
これは署名を行う送信基盤側、今回はOKWeb3が実装すべき対策です。
送信を外部に委託しているドメイン所有者も、委託先が何に署名しているかを確認する必要があります。

2. 未確認の宛先に送るメールを、本番の送信ドメインから分離する
フォームの自動返信や登録確認メールは、本番の通知とは別のサブドメインから送ります。
そのサブドメインにはBIMIを設定しません。
利用者の入力内容を本文にエコーせず、送信数も制限します。

3. DKIM鍵を3か月ごとにローテーションし、リプレイを検知したら即座に失効させる
定期的なローテーションで、古い署名を再送できる期間を最長3か月に抑えます。
M3AAWGのDKIM鍵ローテーションの指針は「少なくとも6か月ごと」なので、3か月ごとはそれより厳しい運用です。
あわせてDMARC集計レポートを監視します。
「DKIMはpassしているのに、自社のSPFに含まれないIPから大量に送信されている」という記録は、リプレイの兆候です。
検知したら、定期の周期を待たずに鍵を失効させて再送を止めます。

4. SPFの許可範囲を最小化し、隠蔽化する
クラウドなどの共有基盤を広く許可すると、その基盤の他の利用者からのメールもSPF passになり得ます（BreakSPF）。
許可するのは必要なIPだけにします。
さらにSPFを隠蔽化し、どの送信基盤を使っているかを分かりにくくすることで、利用しているメール配信基盤の脆弱性を探すことを困難にできます。

■DMARCは実装して終わりではない
DMARCは、実装して終わりではありません。
p=rejectにして、BIMIを設定しても、それで終わりではありません。
今回のように、利用しているサービス自体が脆弱であれば、突破されます。
委託先の送信基盤も含めて、DMARCレポートを継続的に監視し、異常を早期に検知して対処し続けることが必要です。

[エンジニアと錯覚した竹ちゃん @729Engineer]

良いお値段w
https://t.co/Ezgfbhrqw1グラフィックボード-Creator-RADEON™AI-R9700搭載/dp/B0G1WZMKW6?source=ps-sl-shoppingads-lpcontext&ref_=fplfs&ref_=fplfs&psc=1&smid=A2554V4D34BT5W
#75azu

[エンジニアと錯覚した竹ちゃん @729Engineer]

gMSA！
gMSA！
gMSA！
https://t.co/bjrVVpeUDW
#75azu

[エンジニアと錯覚した竹ちゃん @729Engineer]

俺の勉強会ぃ〜
https://t.co/6EGh8iITEX
#75azu