【IT】VPN認証情報また流出 日本は1000社、中小企業中心 [凜★]
■ このスレッドは過去ログ倉庫に格納されています
■共同通信（2021/9/11 05:45）
https://nordot.app/809158888551153664?c=39546741839462401
世界中でテレワークなどに使われる米フォーティネット社製の「VPN（仮想私設網）」と呼ばれる機器の認証情報が数万社分流出したことが11日分かった。日本企業が約千社含まれ、多くは中小企業とみられる。放置すればハッカーに侵入され情報を盗まれる恐れがある。同社は流出を認め、パスワード変更などの対策を取るよう呼び掛けている。
（以下省略、続きはリンク先でお願いします） みんなが使う安くてお得なアプライアンスは狙われるってことかね ネットワーク情報、プロファイルとか漏洩されたらパスワードだけ変えてもあんまり意味なさそうだけどな 支那との海底ケーブルを全て切断してインターネットから完全隔離するべき チャンコロとチョンは全人類の敵
地球上から一匹残らず駆除し尽くすまでは平和は訪れない >>10
んにゃ、今回のはファイアウォール製品のセキュリティホールを浸かれて販売した製品に侵入されたんだろう >>1
働いたら負けに気づかない馬鹿が大多数
ウーバーで働いた方が健康にいい分はるかにいい人生 多分、ルーターと中継機が中国や韓国製だったんだろう vpnすらない、うちの会社はセキュリティ万全だな。 フォーティってそんなに有名企業じゃないよね？
自動車メーカーだとダイハツくらい？ こんなのIPSECでルーティングしてゲートウェイを
2要素認証しておけばBGPのRADIUS再配信でいいよね？ 最近、タブレットに入れてたSkypeの情報が漏れたわ。一度も使ってないのに。 >>18
これは、そんなの関係ない。
平文で保管されてるパスワードリストをまるごともってかれた。 フォーティゲートってディファクトスタンダードでしょ >>3
そりゃそうさ
Windows2ｋを10まで使ってたけど
攻撃する価値がないってのが
ウイルスやハッキング対策になる。 >>27
いや、そんな難しい話じゃなくて公開しているインターフェイスから脆弱性浸かれて、管理者権限で侵入されたとか、コマンド実行されたとか、低レベルな話だと思う 今回のは、FortigateというUTMのVPN機能脆弱性にたいする攻撃。
VPNがオンになってる状態で脆弱性をつけば、システム関係ファイルをダウンロードできてしまう。
Fortigate単体のVPNアカウント管理機能では、アカウントやパスワードを平文で保存していたから、さあ大変(^o^)/
パスワードの複雑さなど関係ないのだ 陰謀論からすれば重要情報を抜くためのテレワークだろ
資本主義社会で顧客情報販売までセットにしない理由ある？ >>1は、その脆弱性の残っている危機のリストがでていたと言うこと
この脆弱性で警察庁も侵入されパソコンを乗っ取られている。
しかも、前回のリスト公開まで気づかなかったというお粗末さ。 >>34
フォーティーのUTMって糞重くて無効にしてるイメージしか無いんだけど、脆弱性のために付いてるのかあれ。 米フォーティネット社製の「VPN（仮想私設網）」
ここが原因だってさ やはり出社して会社という物理的なセキュリティーの中で仕事しなきゃ
チョンチャンNHKに騙されてデジタルがーに乗ったアホはケツの毛まで毟られろ まあ、認証は機器の方でなく認証システムに連携した方がいいな。ゼロトラストやるなら必須だし。ただし認証システム壊れるとどこも繋がらなくなるけど。 >>38
俺の居る会社も入れたんだよね。構築業者まかせで。
脆弱性修正パッチが公開されてから買った。
しかし、業者はこの脆弱性の恐ろしさを認識せず修正パッチいれないで納品。
数ヶ月そのままVPNで使ってたは。
俺が、雑誌記事で脆弱性を知って業者に危険性を確認させてパッチ入れさせた。
正直、リストに名前がないかドキドキしている。 日本は遅れてるーハンコとか石器時代かよー
書類を電子化させるアオリでした >>43
その後のパッチでワンタイムパスワードを有効にしてても無効化できる脆弱性とか不正なldapを使用できる脆弱性の修正がでていたな Fortigate脆弱性でFortigateは突破されたが先に進むためのもう1要素の認証で助かった会社があったな。 情弱がよくVPN使ってるから安心とか言ってるからいつも安全じゃないと教えてやってるのに聞く耳もたないんだよ
情弱じゃなくただのバカがだった >>46
数ヶ月そのままVPNで使ってた「は」。
正しい日本語
数ヶ月そのままVPNで使ってた「わ」。 ALL CISCOにしない中小企業ではサイト関VPNでよく使ってるよね。
本社NW直通出来るからテレワークでP2SVPNとして使うとこ増えた。 >>20
確かに北米だと電話モデムでピーヒョロロ♪やってるし、テレックスも現役だからなあ >>37
それも芸妓さんや芸人さんが囃してる中コソコソ密談して話が漏れないようにって、原始的だが確実なセキュリティ対策だしな コロナで急遽テレワークが増え、急遽VPNをふやさなければならなくなり、古いFortigateを現役復帰させたとこなんかもやられてたな だいたいテレワークでVPNつうのがもう時代遅れだからな(^^)
あんま人前でVPNガーとかドヤ面すんなよ恥ずかしいからな(^^) >>1
「敵は国内にあり｣
まず世界を見渡してもスパイ防止法やまともな諜報機関が無い国なんて日本くらいだろう
愛国教育を排除しているのも日本くらいで、
国家転覆罪や国家反逆罪をまともに運用してないのも日本くらいだろう
目先のゼニ欲しさや保身の為に簡単に国を売る売国奴は思ってた以上に沢山いるし、
教育現場、テレビ、政界、広告、雑誌ありとあらゆる場所で反日工作員に入り込まれてる
スイス民間防衛という本に書かれてる国乗っ取りの手順を日本はまんまとやられてるわけだね
日本人はそろそろ目を覚ます時なのかも知れん
もはや日本人は性善説で物事を考えることを即刻止めるべきだ
「馬鹿はほっとけ｣でやってきた日本だが、馬鹿をほっとくと、とんでもないことになるって、日本人は学んだはずだしな CISCOだとお手軽なの有るのに。
無線がメインのだけど。 NordVPNはやらかすなよ？
実はログ取ってて抜かれましたみたいなことはするなよ？
絶対だぞ！！！ FortigateのFWか。
これ売ったSIerとかNIerは週明けから大変だなw 昨年は、コロナ禍で急遽テレワーク環境を作らなければならなくならなくなったからな。その後は、半導体不足で機器調達が、ままならず >>68
昨年半ばから被害が増えていた。
>>51ですでに騒ぎになったわ。 意識高い系で、インターネットの接続点にはFWが必要と考える人が多い。
俺は、そおいうお偉いさんを納得させるためにUTMのFortigateを置いた。
SSL-VPN機能は出張用のおまけ程度で考えてたが、コロナで急遽オマケといかなくなった。 >>73
その前はRTXでやってた。
リモートVPNは、RTXでしんどくなったからやめた フォーティなんてほとんど使われてないだろう
企業ならパロアルト一択 フォーティと聞いてもAIが止まらないしか出てこない Fortigateという海外メーカーのセキュリティ製品なため、一般にあまり馴染みがない。
ファーム(FortiOS)の修正パッチがでてもリリースノートは英語。
中小企業のちょっとパソコンに詳しい人管理者には厳しい商品。
だから、パッチインストールがすすまにいんだろうな 去年からNTT東日本とIPAが始めた シン・テレワークシステム は大丈夫？
これは一対毎に設定するパスワードだから大丈夫かな？ fortigateは企業のいたる所で見るね
すげーやばい感じする >>88
うちは、パソコンはFortigateのSSL-VPNからそっちにきりかえた。
仕組みから根本的に違うから平気。 >>69
今はナイロンもエポキシも足りない
セミコンのパッケージがそもそも作れない事態に セキュリティに問題があるし管理が大変なんで
VPNは使わなくなった
今はGoogle sweetに切り替え済み >>88
FW機能は当然、当初から日本語GUI装備でウイルスチェック機能はHW処理で高速と謳い、ブームとなった拠点間インターネットVPNも容易。それなりに高速。価格も安い。SSL-VPNも装備。
IPS(侵入防御)も装備。価格も安い。
小さな拠点にはこれ一台ですんでしまうからな。 これ、2020年からわかってたのに、1年近く放置してた企業側の罪でしよ。 やはりサイバー空間は危険。
紙とペンと印鑑が安全。 脆弱性公開と修正パッチは、2019年5月公開だった メーカー管理用の秘密パスワードが流出とかじゃなくて任意設定パスワードだと色々悪用されそうだな。 httpリクエストでユーザーリストがダウンロード出来るというヤバいやつ。
接続元制限か２要素じゃないと防げない VPNで会社と通信が安全
なわけないしね
目をつけられてない間は安全っていうだけで一旦入られたら全部終わる
あほすぎだわ これ、パッチ当てたら使い続けていいの？もしかして、提供されなくね？ 機器の管理者ユーザーとパスワード抜かれるって事かな？ それとも「流出」だからメーカーが各機器の管理者ユーザーとパスワードをどこかに残してたって事？
記事の内容だけだとよく分からんな FortiGateか大丈夫かな？取引先が使ってた気がするが。 VPNの脆弱性は前々から言われてたが、
コロナも収束しかけてるしテレワーク自体が下火になりそうだな あー
>>1の記事に貼られてるメーカの公開情報が
Malicious Actor Disclosed だから誰かが色んな企業のパスワードを不正取得して公開したって事か？
よくわからないので誰か英語得意な人教えてください 世界中の外務省、軍、情報機関、公安機関が使わないもの（日本軍JSDF、サッチョウNPAは使っているかも）
VPN,RSAなど
鍵配送問題から出来た技術なのに、使えないことから、安全性が分かる。
そう言えば軍は、メンテが楽な固定式のレーダーを余り使わず、、回転式のレーダーが廃れない。
（水平線越えのOTHなどは除く）
俺は、全情報を暗号化した方がよいと思う。4096ビットのキーを1秒から1日おきに交換
（AESだけでは怖いので、TWOFISHと二重化。死んでもFEALは使わないように）。
重要情報は使い捨てOTPで。
少なくとも通信回線からの情報漏れは防げるだろう
漏れ電波を使うTEMPESTが一番怖くなる。
トランプ政権最大のリーク・・駐米ロシア大使館の最高機密外交電報が完全解読されていたこと
（多分EYES ONLY GAMMAクラス以上の機密指定だから、リーク元は相当なところ）
（OTPだと思うから、スパイがいるのかも。それともロシアになって弱体化したか）
それほど現代の情報技術はすごいと思うべき
昔あったのは、地下からコンクリートを掘って、アンテナを室内までのばしたとか
（００７「ロシアから愛を込めて」にも似たようなのがあった） >>1
VPNの認証情報を、1カ所に集める仕組みはばかげている。
リーク／ハッキングの被害が大きすぎる。
F社本社とユーザー設定の2重認証にすべき（ユーザー側のリークも充分あり得るから）。
認証情報漏れがあった場合、F社からの情報漏れを否定する方法がない。 FORTINET
VPN（仮想プライベートネットワーク）は、仮想接続を使用してプライベートネットワークを作成することで、インターネットに接続されたエンドポイントを保護し、不正な表示や傍受から機密情報を保護します。
VPNは、エンドポイントデバイスの接続をプライベートサーバー経由でルーティングすることで、デバイスからインターネットに持ち出されたデータを表示不可の状態にします。
高性能の暗号化VPNは、クラウドへの最速経路を提供し、リモートワークのユーザーエクスペリエンスの向上とセキュリティの強化を可能にし、すべての組織のあらゆる場所のユーザー、アプリケーション、デバイスに対する一貫性あるセキュリティポリシーの適用と適切なアクセス制御を実現します。
小池の日本語みたいだ。カタカナ語ばかり。
「『基本算法』みたいにしろ」とは言わないが（俺は5ページで諦めて、英語版に戻った） >>10
君の持ってるWi-Fiルーターにも初期パスワードがあるだろ？ この通知はわかりにくいところ（ブログ）においてある。
https://www.fortinet.com/blog/psirt-blogs/malicious-actor-discloses-fortigate-ssl-vpn-credentials
（仮訳）我社は悪意のある攻撃者が最近、(不正な）アクセス情報を利用して87,000台のSSL-VPN装置に不正アクセスしたことに気づきました。
これらの不正認証アクセス情報は 、当社の２つのパッチが適用されていないシステムから部外者によって取得されました。
攻撃後にパッチをあてている場合もありますが、パスワードがリセットされていない場合、(パッチをあてていても）脆弱なままです。 便乗で聞きたいことあるんだが
最近目にするWireguardって何だ?
サービス自体は無料で使えるの? Forti悪くないけど、証明書でログインは面倒。
あの部分だけ、Macの持ってきてアクセスできるようにしたけど。
ユニバーサルで使えるなら、Mac用とLinux用のマニュアル用意してほしい。 >>34
オプションを付けるのが前提で、平文を暗号化してくれませんでしたっけ？
ガチのFWかとおもったらおもちゃのUTMか、パフォーマンス悪すぎ。
まともに動くのを買うと馬鹿らしく思う、ランサム対策以外にUTMを入れる必要がいまいちわからないけど。 >>61
顧客先にはVPN回線のIPアドレスを顧客に提示して、VPN経由専用リバプロ経由でシステムにアクセスしているんだけど。
使い方可笑しいいですか？ >>97
2019年に報告があってニュースでも取り上げられてた
対策済のファームウェアは出ていたんだけど
バージョンアップせずに放置しているユーザがこれだけ居たってことがわかる話 企業のLANと貧乏人のおうちのザルセキュリティLANが繋がってしまう悪夢がVPN >>46
そんな会社使うのやめたほうがいいんじゃない？
セキュリティに対する考えがいい加減だということだから >>104
パッチ当てるだけでなく、登録してあるアカウント(VPN含む)のパスワードを変える。
すでにアカウントとパスワードを取得されているかもしれないからだ
>>105
それだけでなく、VPNユーザーのアカウントのIDとパスワードも。
平文で保存されていたからまるごとね >>127
マジで？？今時平文のままとか頭おかしいとしか >>106
>>34に書いたように機器に保存されているシステム関係のファイルが、全てダウンロード可能。
アカウント情報のファイルもそうで、平文保存だったから、全アカウントのIDとパスワードも漏れた。 こんなの漏れてると既に侵入されて裏口作られてる可能性もあるわな パッチをリリースしていたよ
つまり、情報だだ漏れ、トロイも可能なVPNシステムを売りつけたよ。
VPNを信じた企業はあわれ
脱税とか、政治家とか役人の買収とか、書類偽造とか、二重帳簿とか、顧客や社員をはめるとか
そう言う企業は根絶やしで。 >>106
>>34に書いたように機器に保存されているシステム関係のファイルが、全てダウンロード可能。
アカウント情報のファイルもそうで、平文保存だったから、全アカウントのIDとパスワードも漏れた。
>>112
かつては知らんが、最近オプションはなかったとおもうな。
2020年春〜2021年春までにリリースされた修正パッチで平文保存を修正してた。
それでパスワードを平文保存してたんだなと知ったわ。 >>126
仕入れ先から納入された機器のファームを更新するのは、よほどの事がないかぎりしない(ユーザー希望なら別)。
今回は、｢セキュリティ上ヤバそうなら更新しといてね｣と伝えてあったのにやってなかった。
検収後だったが、更新作業はタダでやらせた fortigate使ってるけど、ヤフオクで三年くらいライセンスが残ってるのが安く買えるからいいんだよね。
VPNは二要素認証してるし、GEOip使えるんで国外からのアクセスは海外支店の固定ip以外拒否してる >>128
漏れもそう思ってた。
だから、脆弱性の情報見ても｢危険は危険だが、アカウント情報は暗号化されてるだろうしな、パッチ当ては急がなくてよいかなと｣
脆弱性修正パッチ公開から1年近くたった雑誌記事に警告でてたんで、 念のためパッチ当てとくかなといったレベルの危機感だった。
同じように考えていた人が、多いんじゃないかな 中小なんて抜いたところで
クソみたいな情報しかねえよ
ウチがいい例ww FotiOSパッチは終わっているだろうが、アカウントはそのまま有効だからな。
パスワード変更もしないやからが悪い。 >>138
中小が、大企業系列なら、大企業グループへの攻撃の拠点になるね。 >>129 >>132
105 106 だがありがとう
要は機器から情報抜かれたという事ですね
理解出来ました 外部との通信は、全てFAXでやり取りしてる我が社は安心安全。 原因は知らんけど、家の知り合いの自営業のパソコンのファイルが、暗号化されていて駄目だ！と騒いでいたな、VPNもしているとか、ノートンの年間数千円の物を買ったとか言っていたけど、同じＶＰＮでも関係あるの？ >>1記事は
公開されたものは、｢脆弱性を修正していない、いつでもアカウント情報などを抜ける状態にあるFortigateをつけているIPアドレスの一覧など｣
が公開されたのではと。
脆弱性攻撃方法知ってれば、アカウント情報などをダウンロードできる。
取得した情報を使い、正規のアカウントでインターネットからVPN接続で侵入できる。 技術力がないからUTMなんぞで楽しようとしてこんな事になるんだよ。
少し考えればオールインワンがヤバい事はわかるだろ。
と言っても個別に構築したらもっとガバガバになるのが日本の平均的SEです。 VPNと呼ばれる機器って凄いなw
大丈夫か共同通信w >>1
流出とか気にすんな
NTTグループなんて中国に提供して漏らしてるし
LINE使ってるやつはスマホ内の全ての情報を抜かれて韓国に漏れてるし
NTT(NTTドコモ)、チョンLINE、在日ソフトバンク、などの売国企業は早く潰さないといけない
国民の税金で作ったNTT
NTTが国民の税金で作ったNTTドコモ
NTT(NTTドコモ)の資産７兆５４００億円は国民のもの
NTT(NTTドコモ)の技術は日本のもの
↓
NTTは国民の税金で作った日本の技術を中国に提供しまくる売国企業
NTTは中国と資本提携、技術提供した売国企業
NTT北京事務所 - NTTグループ
www.ntt.co.jp/journal/1308/files/jn201308028.pdf
NTTは上海通聯金融科技発展有限公司社との資本提携して日本の技術を中国企業に提供
www.nttdata.com/jp/ja/news/release/2013/082900/
あらま NTTデータまで中国企業と資本提携して日本の技術やデータを中国に提供
NTTデータも上海インフォーテック社と資本提携
https://paymentnavi.com/paymentnews/25798.html Winny開発者を犯罪者扱いする国だけのことはある
理数音痴のチンパン脳文系がIT研究者を裁く地獄社会 >>127
拠点間接続とかしてたら、ほとんど全部しゃん？ この前はメーカー自身で用意したバッグドアがバレて晒されてたよな。いろいろ信用ならん企業だな。 老舗の会社だから、昔の仕様が残っていたんだろうな。＞平文
音壁とかどーなんだろ？
Fortigate入れるとき音壁もみたが、売れてないようで情報が少なく、負け組かと思って諦めた。 音壁って音速のソニックか？
DELLに買収されたりDELLから切り放されたりでゴタゴタして客を逃がした感じだった。
丁度製品保守の切り替え時期でさらに。 それ。Fortigateがでた頃、売り文句が信用できず、俺は音壁押しだった(当時販売側)。
今はユーザー側。 ■ このスレッドは過去ログ倉庫に格納されています
