あきお@初見(テレワークじゃない)

あきおきたむら / 初見 / akio / GX / Dec / いまきた / あっちょんぶりけ / その他
フルナーゼは効くわー

[赤松 健 ⋈（参議院議員／漫画家） @KenAkamatsu]

■赤松健の国会にっき （日曜に更新）
（３８１）いわゆるクレカ問題について 編
関係部局による内容チェック済み。（特に創作物の）表現の自由を重んじる人が、国会議員となって与党に入り、更に行政にも関わるようになりました。いよいよここまで来たかという感じです。

[Yoichiro Takehora (竹洞 陽一郎) | 株式会社Spelldata @takehora]

こちらのドコモ宛てに届いた「楽天カード」を名乗るフィッシングメールのヘッダを分析しました。
SPF・DKIM・DMARCはすべてpass、BIMIのロゴ表示まで付いています。
偽装ではなく、楽天カードの正規の署名付きメールを再送する「DKIMリプレイ攻撃」に、「SPF Bypass」を組み合わせた手口です。

■経路
①10/14 21:19、楽天カードが利用しているOKWeb3（https://t.co/gshcu1i96u、現在の提供会社はPKSHA Communication社）の送信基盤（楽天カードのSPFで許可済みのIP）から、攻撃者のアドレス宛てに正規メールが送信
②約18時間後、無関係なサーバーからドコモ宛てに再送
元の宛先と、実際に届いた宛先が違います。

■なぜDMARCがpassするのか
DKIM署名は、本文と署名対象のヘッダが改変されていなければ、誰が再送しても有効です。
署名ドメインはFromと同じhttps://t.co/Rsg0YN9KrXなので、DMARCもpassします。
p=rejectでも、リプレイは防げません。
SPFもpassしていますが、これはエンベロープ送信者を空にし、HELOに使った攻撃者自身のドメインで判定させたものです（いわゆるSPF Bypass）。
Fromとはアラインしないため、p=rejectのドメインならこれだけでは届きません。
DMARCを通したのはDKIMリプレイです。

■被害を広げた原因：署名対象がFromだけ
DKIM-Signatureは h=From:From でした。
署名されているのはFromだけで、Subject・To・Content-Typeは署名対象外です。
攻撃者は件名を「楽天カード登録情報の更新について」に差し替え、MIME境界（boundary）も書き換えています。
RFC 6376 Section 5.4はFromの署名をMUSTとしていますが、それ以外は必須ではないため、仕様違反ではありません。
しかし、Fromだけの署名では、再送時に改変できる範囲が最大になります。
このDKIM署名は、楽天カードの鍵を使ってOKWeb3の送信基盤で付与されています。
署名範囲を決めているのは送信基盤側なので、まず送信基盤側で是正すべき問題です。

■もう一つの根本原因
任意の外部アドレス宛てに、正規の署名付きメールが届く経路があったことです。
フォームの自動返信などを本番の送信ドメインで送ると、攻撃者にリプレイの素材を渡すことになります。

■現状
現在、このDKIMセレクタはDNSに存在しません（全権威サーバーでNXDOMAIN）。
鍵を消せば以後の再送は止まりますが、すでに配送されたメールは、ロゴ付きのまま受信箱に残ります。

■再発防止策（送信側）
1. DKIMの署名範囲を広げる（送信基盤側の対応）
From以外に、Subject・To・Cc・Date・Message-ID・Reply-To・Content-Type・MIME-Versionも署名します。
さらに、存在しないヘッダも含めてオーバーサインし、ヘッダの追加・差し替えを防ぎます。
これは署名を行う送信基盤側、今回はOKWeb3が実装すべき対策です。
送信を外部に委託しているドメイン所有者も、委託先が何に署名しているかを確認する必要があります。

2. 未確認の宛先に送るメールを、本番の送信ドメインから分離する
フォームの自動返信や登録確認メールは、本番の通知とは別のサブドメインから送ります。
そのサブドメインにはBIMIを設定しません。
利用者の入力内容を本文にエコーせず、送信数も制限します。

3. DKIM鍵を3か月ごとにローテーションし、リプレイを検知したら即座に失効させる
定期的なローテーションで、古い署名を再送できる期間を最長3か月に抑えます。
M3AAWGのDKIM鍵ローテーションの指針は「少なくとも6か月ごと」なので、3か月ごとはそれより厳しい運用です。
あわせてDMARC集計レポートを監視します。
「DKIMはpassしているのに、自社のSPFに含まれないIPから大量に送信されている」という記録は、リプレイの兆候です。
検知したら、定期の周期を待たずに鍵を失効させて再送を止めます。

4. SPFの許可範囲を最小化し、隠蔽化する
クラウドなどの共有基盤を広く許可すると、その基盤の他の利用者からのメールもSPF passになり得ます（BreakSPF）。
許可するのは必要なIPだけにします。
さらにSPFを隠蔽化し、どの送信基盤を使っているかを分かりにくくすることで、利用しているメール配信基盤の脆弱性を探すことを困難にできます。

■DMARCは実装して終わりではない
DMARCは、実装して終わりではありません。
p=rejectにして、BIMIを設定しても、それで終わりではありません。
今回のように、利用しているサービス自体が脆弱であれば、突破されます。
委託先の送信基盤も含めて、DMARCレポートを継続的に監視し、異常を早期に検知して対処し続けることが必要です。

[ちょこぱい @choco_py3]

夫に「なんか熱かったから心配で…」と
書斎に設置している、大事な研究用サーバーの電源ケーブルを2回も抜かれたため、この度対抗措置を講じました

[あきお@初見(テレワークじゃない) @akio_kitamura]

@WANKOnin 自衛隊と同じですね

https://t.co/6gnNAbV6ll

[航空自衛隊岐阜基地 @JASDF_GIFUAB]

＼📢岐阜基地広報係です／
一秒でも大切にしたいあなたへ・・・。
たくさんの声をいただいたので、
一瞬で長袖に戻すことができる袖の折り方を教えちゃいます✨
みんなもマネしてみてね♪

#岐阜基地
#袖だけ自衛官

[徳丸 浩 @ockeghem]

メディアにはこういう取材をして欲しいですよね。ただ、この理由は納得できない>ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた / “ソースネクスト　暗号化されていないパスワードが流出した理由…” https://t.co/oBrPsb8mlp

[手嶋海嶺（ゆっくり生命体） @TeshimaKairei]

はーあ……。
どうせ男って、こういう男が好きなんでしょう？

[あきお@初見(テレワークじゃない) @akio_kitamura]

そこかしこで道路工事してるの見ると年末を感じる

[あきお@初見(テレワークじゃない) @akio_kitamura]

取り消しは音量落としてよ

[あきお@初見(テレワークじゃない) @akio_kitamura]

久しぶりに聞いたな

[あきお@初見(テレワークじゃない) @akio_kitamura]

まぁそうだろうなぁ

>善良な人々は望んでいない

[あきお@初見(テレワークじゃない) @akio_kitamura]

https://t.co/n7OT0sgyXH

[日本EBSテレビ📺🇯🇵(RV) @japanebs]

ムスリムがヤバいこと言ってるぞ💢

・「未来はイスラムのもの」と公言
・「全ての家庭に入り込む」と予言
・攻撃のジハードを肯定
・改宗しなければ「痛い目を見る」と脅迫めいた発言
・「喜んで死を選べる仲間」をちらつかせる

[かみぱっぱ @kamipapa2]

自転車で旅をしてるだけでマチェットを持った男が追いかけてくるアフリカww

いやまぁ笑えないんだけど…
アフリカに限らず、こういう事が起きる国は何が問題なんだろうな…。

[piyokango @piyokango]

「『楽天カード公式』から詐欺メール」報告相次ぐ　ドコモメールに公式マーク付きフィッシング、一部企業の認証設定に脆弱性 - ITmedia NEWS https://t.co/1gOHk5uXNu

[A3用紙@中辛麻婆豆腐㌥ @paper_a3]

そもそもホワイトリストのアドレスしか受信しないように設定してるのに届いたのが不思議。
で、楽天カード公式を偽装したメールのヘッダーを全部Geminiにコピペで渡してみた。
エラー出まくりなのにdocomoのチェックは突破出来るんやな。。
docomoもちゃんと対策せなアカンで。

[あきお@初見(テレワークじゃない) @akio_kitamura]

この間のデータセンター攻撃で？

[Профессор Талк @SergejTalk]

Европейские пользователи сообщают, что Антивирус Касперского практически умер. Не работают обновления баз, пропал менеджер паролей со всеми паролями, VPN прекратил существование. Сама компания уверяла европейцев, что не хранит их конфиденциальные данные в России, а делает это...

[あきお@初見(テレワークじゃない) @akio_kitamura]

一個だけでも酷いのに……

[KAZUYA @AmebaDying]

非人道的な兵器としてお墨付きを頂いたレゴブロック

ちゃんと片付けよう

[てんげるまん🌀tengelmam @fcbliebe1900]

宇都宮をふらふら歩いてたら、
野生のマシュー•ヘイマンさんが現れた。

宇都宮ジャパンカップは異世界。
#2026宇都宮ジャパンカップ
#宇都宮ジャパンカップ