今宵のサイバーセキュリティについて気になること：Microsoft365 Anonymous sudan 影響対処、デジタル庁 サービスデザインとアカウンタビリティー、和製ChatGPT方針など

Microsoft365 Anonymous sudan の犯行声明に対する影響対処

ユーザーは Web 上の Outlook にアクセスできず、他の Exchange Online サービスで問題（MO572252）が発生しました。また、Anonymous sudan の犯行声明に対して、Microsoft 365 サービスへの影響に対処する準備も整えている模様です

Microsoft リファレンス: EX571516/MO572252
発行ステータス : 継続中

簡易型河川監視カメラへ不正アクセス – OSINT

1月中旬に国交省近畿地方整備局が設置した簡易型河川監視カメラへ不正アクセスとされておりますが、通信プロトコルに認証の不要なRTSPを用いている場合、誰でも監視映像を見る事が出来ます。
例えばSHODANから検索しOSINTで利用する場合もあり注意が必要です。

河川の監視カメラに不正アクセス。多くが復旧していない模様です。参考までに不正アクセス禁止法が定められております。なおOSINTを使用する場合、その目的や手段が合法であるかは使用者自身が確認する必要があります。

デジタル庁システムライフサイクルを俯瞰したサービスデザインとアカウンタビリティーを

半田病院では、保守契約を結ばなくとも請け負ったベンダーが、その後も厳しく善管注意義務を問われました。
このことからデジタル庁も利用者中心（人間中心）を原則とする、システムライフサイクルを俯瞰したサービスデザインとアカウンタビリティーを課す必要があると感じます。

徳島県つるぎ町立半田病院コンピュータウイルス感染事案有識者会議調査報告書

情報システムの計画・企画、構築から運用・保守を経て廃止するまでの「情報システムのライフサイクル期間」として5年を目安に考慮します。

デジタル・ガバメント推進標準ガイドライン解説書
（第３編第１章 ＩＴマネジメントの全体像）

デジタル庁が取り組むアドレス・ベース・レジストリ

住所の揺らぎを判別して正規化するのは、私もやったことありますが難易度が高く、未だに完璧なものは無いと思います。よって、住所正規化サービスを行うgeoloniaという会社も98%を謳っており、100件のうち2件程度は誤ってしまうものだと思います。
よって、デジタル庁が取り組むアドレス・ベース・レジストリは、日本の歴史が息づく地名を編纂するような、繊細で大事な国家事業だと私は考えます。

デジタル庁の採用情報

アーキテクトとは、トラブルがあった時こそ、システム構築の目的と要件を見極めアーキテクチャを検討して実行したアカウンタビリティーが試されると思います。


別人の証明書が発行されるコンビニ交付の不具合といった非機能要件、本人ではない家族名義の口座を紐付けない機能要件など、システム構築の目的と要件を見極めたアーキテクチャの検討と実行にアカウンタビリティーを持ち、プログラマーを導くアーキテクトが現れることを期待します。

「和製ChatGPT」に関する方針

あのChatGPTを産んだサム・アルトマンが、なぜ世界各国の首脳達と面会しているのか。
LLMというプロダクトを持っていたとしても、ピースの一つに過ぎない。これからサム・アルトマンがやろうとしている事の先を創造していくのが日本だと思います。

　「欧州ではイタリアがChatGPTを禁止し、米国ではイーロン・マスクがAIの研究を止めろと言っている。5月に開催されるG7で日本がAIの主導権を取っていくのはどうか。新しい社会でAIをどう使うか、このルール作りを冷静な環境で議論できるよう、日本から発信したらどうか」（塩崎議員）

AI を利用した偽情報や偽レビューを特定するためのシンプルな OSINT テクニック

なお、AI 言語モデルによって、恣意的な情報操作、マルウェアの作成など、悪意または非倫理的な目的にそれらが使用されるのは時間の問題であることがわかっていました。

AIのバグバウンティ（脆弱性報告）は、これから注目される領域だと思います。

ChatGPT：XSS、CSRF、SQLi、認証・認可の問題、データ漏洩、支払いの問題、Cloudflareの保護をバイパスする方法、プレリリースモデルまたはプライベートモデルに対してクエリの実行など。
OpenAIによるAnnouncing OpenAI’s Bug Bounty Programも始まりました。

セキュリティクリアランスに配慮したOSINT時代における倫理規範とガイダンス

セキュリティクリアランス

グローバルな動きとして、セキュリティクリアランスに配慮したOSINT時代における倫理規範とガイダンスが必要とされております。

経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議

装備品等の調達に係る秘密保全対策ガイドライン

装備品等契約における秘密の保全措置について、「正当な理由がなく、装備移転支援業務に関して知り得た秘密を漏らし、又は盗用してはならない。」とされております。くれぐれもご注意下さい。

英国 防衛・安全保障メディア諮問委員会DSMA（D-notice）の春季報告書

英国 防衛・安全保障メディア諮問委員会DSMA（D-notice）の春季報告書が週末に発表されました。OSINTの時代における情報の秘匿の難しさ、ChatGPTの偽情報の可能性、倫理規範を持たない独立したジャーナリストの台頭などに言及しています。

アクション Dep Sec 議題9 – その他のサイバービジネスについて

  • 定例通告にサイバーが含まれていることを踏まえ、Joe Fay氏は、IT関係者を対象としたDSMAのブリーフィングを手配するメリットがあるのではないか、6月21～22日のINFOSEC会議の開催期間中にこれを行う良い機会があるのではないか、と述べた。
  • 急速に台頭するノンリニアなテクノロジーがジャーナリズムの分野と委員会の将来の活動に与える潜在的な影響について、幅広い議論がなされた。実際、ドイツのあるジャーナリストは最近、ミハエル・シューマッハのインタビューを「生成」するためにAIを使用したことを認めている。
  • やがて、高度な情報技術は、訓練や経歴に関係なく、誰でも簡単にアクセスし、コンテンツに含めることができるようになるだろう。同時に、セルフパブリッシングによって、倫理や信憑性に関する編集者の監督なしに制作され、印刷され、配布され、公表される資料が氾濫することになるであろう。
MINUTES OF A MEETING HELD IN THE MINISTRY OF DEFENCE IN HISTORIC ROOM 13 AT 6PM ON TUESDAY 25 APR 2023

INFOSEC会議の開催期間中にIT関係者を対象としたDSMAのブリーフィングを行う機会がある模様です。申し込みはこちらです。

WWDC 2023 — Apple Vision Pro AIアバターと著作権問題について

WWDC 2023 — Apple Vision Pro から次は、好きな人の外見も人格もコピーした AI アバター と生活できるサービス The Virtual Life が生まれるため、著作権問題についてはこちらが参考になります。

権利問題のまとめ
“機械学習の部分については、最近の著作権法の改正によって著作権者の許可なく出来るように手当てがされた 。とはいえ、例えば外見イメージを再現する ために写真・映像を複製する行為など、恐らくこの規定ではカバーされない著作物の利用もある。”

総務省 よみがえる故人たち ―偉人アンドロイド・作家 AI と肖像権、著作権、尊厳―

Stable Diffusion (+ControlNet) を使用することで、画像をQRコードに適合させることを発見した模様

なお、ControlNetの進化は凄まじく入力画像から画風を学習してしまうreference-onlyによって、同じ画風で様々な画像が作成できます。

デジタル著作権管理やメタバースを束ねるマルチバースのプラットフォームへ

これからはVRChatといった単体のメタバースよりも、デジタル著作権管理やメタバースを束ねるマルチバースのプラットフォームが重要だと考えます。そこでValve CorporationのSteamを注目しております。

Valve Corporation
SteamVR 1.19の紹介

Google Chrome ゼロデイ脆弱性 CVE-2023-3079 

V8における型の混乱による特権昇格の可能性
既にエクスプロイトコードが出回っておりますので、お早めの更新をお勧めいたします。
影響度：High
＜対策＞
Google Chrome MacおよびLinuxを114.0.5735.106、Windowsを114.0.5735.110にアップデートして下さい。

投稿者: 二本松 哲也

SPbD:Security&Privacy by Design Founder ー OWASP Member ー ITは人々の生活をあらゆる面でより良い方向に変化させること ー 競争原理から共創原理へ