Loading article…
 ロゴ | |
| 形成 | 2009年12月[3] |
|---|---|
| 目的 | ハッキング |
会員資格 | アンドリュー・「ウィーヴ」・アウアーンハイマー[4] [5] サム・ホセヴァル[4] [6] [7] ダニエル・スピトラー[4] [8] レオン・カイザー[2] [4] ニック・「ルーカス」・プライス[4] [9] [10] |
製品 | 握り締める[11] [12] |
| Webサイト | security.goatse.fr (廃止) |
Goatse Security ( GoatSec ) は、セキュリティ上の欠陥を発見することに特化した、緩やかな結びつきを持つ 9 人の[13] グレーハット[14] ハッカー集団[15]でした。[3] [16]これは、反ブログインターネット荒らし組織であるGay Nigger Association of America (GNAA) の一部門でした。[2]この集団の名前は、Goatse.cx の 衝撃的なサイト[5]に由来しており、スローガンとして「大きな穴が露出」を選びました。[17]この Web サイトは、2014 年 5 月以来更新されずに放置されています。[18]
2010 年 6 月、Goatse Security はApple iPad ユーザーの約 114,000 人の電子メール アドレスを入手しました。これによりFBI の捜査が行われ、グループのメンバー 2 名が刑事告訴されました。
設立
GNAA には会員の中にセキュリティ研究者が数人いた。Goatse Security の広報担当者 Leon Kaiser によると、GNAA は彼らの才能を十分に活用できなかった。GNAA が公開したセキュリティ データを真剣に受け止める人はいないと考えたためである。GNAA は、GNAA 会員がセキュリティに関する発見を公開できる媒体を作るために、2009 年 12 月に Goatse Security を設立した。[2] [3]
ブラウザの脆弱性の発見
Mozilla は、ウェブブラウザをインタープロトコル攻撃から保護するために、HTML フォームが通常はアクセスできないいくつかのポートをブロックしました。2010 年 1 月、GNAA は、Mozilla のブロックがポート 6667 をカバーしておらず、Mozilla ブラウザがクロスプロトコル スクリプトに対して脆弱であることを発見しました。GNAA は、IRCチャネルを氾濫させるためにJavaScriptベースのエクスプロイトを作成しました。EFnetとOFTCは攻撃をブロックできましたが、Freenode は攻撃に対抗するのに苦労しました。Goatse Security がこの脆弱性を公開し、そのメンバーの 1 人である Andrew Auernheimer (別名「weev 」) が、 Encyclopedia Dramaticaにエクスプロイトに関する情報を投稿しました。[19] [20] [21]
2010年3月、Goatse SecurityはAppleのウェブブラウザSafariに整数オーバーフローの脆弱性を発見し、Encyclopedia Dramaticaにエクスプロイトを掲載した。[22]彼らは、ポート番号に65,536を追加することで、ブロックされたポートにアクセスできることを発見した。[23] [24]この脆弱性は、 Arora、[25] iCab、[26] OmniWeb、[27] Stainlessにも発見された。[28] Appleは3月にデスクトップ版Safariの不具合を修正したが、モバイル版ブラウザの不具合は修正しなかった。[22] [29] Goatse Securityは、ハッカーがモバイル版Safariの欠陥を悪用してApple iPadにアクセスし、損害を与える可能性があると主張した。[22] [29]
AT&T/iPad のメールアドレス漏洩
2010年6月、Goatse SecurityはAT&Tのウェブサイトに脆弱性を発見した。[30] [31]当時、 AT&Tは米国でAppleのiPad向けの3Gサービスを提供する唯一のプロバイダーだった。 [32] iPadからAT&Tの3Gサービスにサインアップすると、AT&TはiPadのSIMカードからICC-IDを取得し、サインアップ時に提供されたメールアドレスに関連付ける。[30] [33] iPadからのログインプロセスを容易にするために、AT&TのウェブサイトはSIMカードのICC-IDを受け取り、サインアップ時に提供されたアドレスをメールアドレスフィールドに事前入力する。[30] [33] Goatse Securityは、有効なICC-IDが埋め込まれたHTTPリクエストをAT&Tのウェブサイトに送信すると、そのICC-IDに関連付けられたメールアドレスがウェブサイトから明らかになることに気付いた。[30] [33]
2010年6月5日、ダニエル・スピトラー（別名「ジャクソンブラウン」）は、IRCチャンネルでこの脆弱性と、フィッシングを含むその悪用方法について議論し始めた。 [8] [34] [35] Goatse Securityは、正規のICC-IDが入力されるまでランダムなICC-IDを含むHTTPリクエストをAT&Tのウェブサイトに送信するPHPベースのブルートフォーススクリプトを作成した。ICC-IDが入力されると、ICC-IDに対応するメールアドレスが返される。 [30] [33]このスクリプトは「iPad 3G Account Slurper」と呼ばれた。[35]
その後、ゴーツェ・セキュリティーは漏洩した情報を公開する適切なニュースソースを見つけようとし、オーエンハイマーはニューズ・コーポレーションとトムソン・ロイターの幹部、アーサー・シスキンドらにAT&Tのセキュリティ問題について連絡を取ろうとした。[36] 2010年6月6日、オーエンハイマーは自身の主張を裏付けるために、回収したICC-IDの一部を添付したメールを送信した。[34] [36]この時期のチャットログからは、注目と宣伝が同グループにとっての動機であった可能性も明らかになっている。[37]
当初の主張とは反対に、このグループはAT&Tに通知する前にまずGawker Mediaにセキュリティ上の欠陥を暴露し [37]、さらに有名人、政府、軍隊を含む114,000人のiPadユーザーのデータを公開した。これらの戦術は、ITセキュリティ上の欠陥の適切な開示に関する重大な議論を再び引き起こした。[38]
アウアーンハイマーは、ゴーツ・セキュリティが業界標準の慣行を採用したと主張し、「我々は善玉になろうとした」と述べた。[38] [39] 電子フロンティア財団のジェニファー・グラニックもゴーツ・セキュリティが使用した戦術を擁護した。[38]
2010年6月14日、TechCrunchのマイケル・アリントン氏は、この団体に公共サービスに対するCrunchie賞を授与した。これは、毎年恒例のCrunchies賞授賞式以外でCrunchie賞が授与された初めてのケースであった。[40] [41]
その後、 FBIは事件の捜査を開始し[42] 、 2011年1月に刑事告訴[10]とアウエルンハイマーの自宅への家宅捜索に至った。捜索はAT&Tの捜査に関連したもので、アウエルンハイマーはその後拘留され、州の麻薬容疑で保釈されたが[ 43] 、後に取り下げられた。[44]保釈後、彼は自宅捜索と国選弁護人への接見拒否の合法性に抗議し異議を唱えるため、口止め命令を破った。彼はまた、訴訟費用を賄うためにPayPal経由で寄付を求めた。 [15] [46] 2011年に司法省は、彼が許可なくコンピュータにアクセスする共謀の罪1件と詐欺の罪1件で起訴されると発表した。[45]共同被告のダニエル・スピトラーは保釈された。[47] [48]
2012年11月20日、オーエンハイマーは身元詐欺とコンピュータへの不正アクセス共謀の罪で有罪判決を受け、[49]判決に対して控訴するとツイートした。 [50]判決に出席していた友人のアレックス・ピロソフは、判決が出るまでオーエンハイマーは保釈され、少なくとも90日後には釈放されるとツイートした。[51]
2012年11月29日、アウアーンハイマーはWired誌に「開示は忘れろ - ハッカーはセキュリティホールを秘密にすべきだ」と題する記事を執筆し、ゼロデイ脆弱性の開示は「社会正義のためにそれを利用する」個人にのみ行うべきだと主張した。[52]
2014年4月11日、第3巡回区控訴裁判所は、ニュージャージー州の裁判地が不適切であるという理由で、アウエルンハイマーの有罪判決を取り消す判決を下した。[53] [54]判事らは、現場へのアクセスの合法性に関する実質的な問題には触れなかった。[55]彼は4月11日遅くに刑務所から釈放された。[56]
その他の業績
2011年5月、Goatse Securityは、長いAdvanced Packaging ToolのURLがcompizをクラッシュさせることを発見し、いくつかのLinuxディストリビューションに影響を及ぼすDoS脆弱性を明らかにした。 [57]
2012年9月、Goatse SecurityはMicrosoftからオンラインサービスのセキュリティ確保に貢献したとして評価されました。[9]
参考文献
- ^ Tate, Ryan (2010 年 6 月 9 日). 「AT&T が iPad の恐怖の広がりと戦う」. Valleywag . Gawker Media . 2010 年 7 月 15 日時点のオリジナルよりアーカイブ。2010 年10 月 17 日閲覧。
- ^ abcd Kaiser, Leon (2011年1月19日). 「インタビュー: Goatse Security、AT&T iPad侵害後のFBI告発について」DailyTech (インタビュー: トランスクリプト). インタビュー: Mick Jason. 2014年3月31日時点のオリジナルよりアーカイブ。2011年1月21日閲覧。
- ^ abc Dowell, Andrew (2010 年 6 月 17 日)。「FBI の捜査後、プログラマーが拘留される」。ウォール ストリート ジャーナル。Dow Jones & Company, Inc.。2010年10 月 11 日閲覧。
- ^ abcde "Team". Goatse Security 2010年6月14日。2010年9月30日時点のオリジナルよりアーカイブ。2010年9月22日閲覧。
- ^ ab Chokshi, Niraj (2010 年 6 月 10 日)。「iPad のセキュリティ漏洩を暴露したハッカーの 1 人に会う」。The Atlantic。The Atlantic Monthly Group。2010年9 月 16 日閲覧。
- ^ Keizer, Gregg (2010 年 6 月 17 日)。「iPad ハッカー、FBI の捜査後、複数の薬物関連容疑で逮捕」。Computerworld。Computerworld Inc. 2010 年9 月 16 日閲覧。
- ^ Mick, Jason (2010 年 6 月 14 日)。「AT&T が iPad のお客様に謝罪、ハッカーの所在地を明らかに」。DailyTech。DailyTech LLC。2010 年 8 月 20 日時点のオリジナルよりアーカイブ。2010年9 月 16 日閲覧。
- ^ ab ビルトン、ニック、ワーサム、ジェナ (2011 年 1 月 18 日)。「iPad セキュリティ侵害で 2 名が詐欺罪で起訴」ニューヨーク タイムズ。2011年1 月 21 日閲覧。
- ^ ab 「Microsoft Online Services のセキュリティ研究者謝辞」。Microsoft。2012年10 月 19 日閲覧。
- ^ ab 米国地方裁判所 — ニュージャージー州地方裁判所、事件番号: MAG 11-4022 (CCC)。2011 年 1 月 13 日に裁判所に提出
- ^ 「Clench、SSL PKI に永遠に「くたばれ」と告げる私たちの方法」。Goatse Security。2010年 9 月 8 日。2010 年 9 月 11 日時点のオリジナルよりアーカイブ。2010年10 月 29 日閲覧。
- ^ Lawson, Nate (2010 年 9 月 8 日)。「Clench は TLS+SRP より劣る」。root labs rdist。Nate Lawson。2010年10 月 29 日閲覧。
- ^ Eunjung Cha, Ariana (2010 年 6 月 12 日)。「Apple の iPad セキュリティ侵害によりモバイル デバイスの脆弱性が明らかに」ワシントン ポスト。2011年4 月 6 日閲覧。
- ^キルシュ、カサンドラ (2014)。「グレーハットハッカー ：サイバースペースの現実と法律の調和」（PDF）。ノーザンケンタッキー法レビュー。41 ：386。[リンク切れ ]
- ^ ab AT&T iPad の「ハッカー」が警察に暴言を吐くThe Register、ジョン・レイデン。2010 年 7 月 7 日
- ^ Tate, Ryan (2010 年 6 月 10 日)。「Apple の iPad 侵害が警鐘を鳴らす」。All Things Considered (インタビュー: 音声 / トランスクリプト)。メリッサ・ブロックによるインタビュー。ナショナル・パブリック・ラジオ。2010 年9 月 16 日閲覧。
- ^ ラガン、スティーブ (2010 年 6 月 10 日)。「AT&T がスクリプト エラーにより 114,000 件の電子メール アドレスを失う」。The Tech Herald。WOTR Limited。2011 年 11 月 18 日時点のオリジナルよりアーカイブ。2010 年9 月 28 日閲覧。
- ^ 「Compizの脆弱性 « Goatse Security」。2019年7月24日時点のオリジナルよりアーカイブ。 2019年10月15日閲覧。
- ^ Constantin, Lucian (2010 年 1月 30 日)。「Firefox のバグが IRC ネットワーク全体に悪用される」。Softpedia。Softpedia。2010年9 月 19 日閲覧。
- ^ Goodin, Dan (2010 年 1 月 30 日)。「Firefox ベースの攻撃が IRC ユーザーに大混乱を引き起こす」The Register。Situation Publishing。2010年9 月 19 日閲覧。
- ^ Goodin, Dan (2010 年 6 月 9 日)。「セキュリティの失態によりエリート iPad ユーザーの住所が暴露される」The Register。Situation Publishing。2010年9 月 19 日閲覧。
- ^ abc Keizer, Gregg (2010 年 6 月 14 日)。「AT&T は iPad 攻撃の脅威について『不誠実』だとハッカーが主張」。Computerworld。Computerworld Inc. 2010 年9 月 18 日閲覧。
- ^ ラガン、スティーブ (2010 年 6 月 14 日)。「Goatse Security が AT&T に「You f---ed up」と伝える」。The Tech Herald。WOTR Limited。p. 2。2011 年 10 月 3 日時点のオリジナルよりアーカイブ。2010 年10 月 6 日閲覧。
- ^ 「CVE-2010-1099」。国家脆弱性データベース。NIST。2010年 3 月 24 日。2010年10 月 6日閲覧。
- ^ 「CVE-2010-1100」。国家脆弱性データベース。NIST。2010年 3 月 24 日。2010年10 月 6日閲覧。
- ^ 「CVE-2010-1101」。国家脆弱性データベース。NIST。2010年 3 月 24 日。2010年10 月 6日閲覧。
- ^ 「CVE-2010-1102」。国家脆弱性データベース。NIST。2010年 3 月 24 日。2010年10 月 6日閲覧。
- ^ 「CVE-2010-1103」。国家脆弱性データベース。NIST。2010年 3 月 24 日。2010年10 月 6日閲覧。
- ^ ab ゴールドマン、デビッド (2010 年 6 月 14 日)。「ハッカーら、iPad にはさらに多くのセキュリティホールがあると主張」。CNNMoney.com。CNN。2010年9月18日閲覧。
- ^ abcde Keizer, Gregg (2010 年 6 月 10 日)。「ブルート フォース スクリプトが iPad の電子メール アドレスを盗む」。Computerworld。Computerworld Inc. 2010 年9 月 18 日閲覧。
- ^ Tate, Ryan (2010 年 6 月 9 日)。「Apple の最悪のセキュリティ侵害: 114,000 人の iPad 所有者が暴露される」Valleywag。Gawker Media。2010年 7 月 26 日時点のオリジナルよりアーカイブ。2010 年9月16 日閲覧。
- ^ Ante, Spencer E. (2010 年 6 月 10 日)。「AT&T が iPad 所有者データの漏洩を公表」。ウォール ストリート ジャーナル。Dow Jones & Company, Inc.。2010年9 月 26 日閲覧。
- ^ abcd Buchanan, Matt (2010 年 6 月 9 日)。「AT&T の iPadセキュリティ侵害につながった小さな機能」Gizmodo。Gawker Media。2010年9 月 22 日閲覧。
- ^ ab 刑事告訴状 2011年1月25日アーカイブ、Wayback Machine。米国地方裁判所 - ニュージャージー州地方裁判所、事件番号: MAG 11-4022 (CCC)。2011年1月13日に裁判所に提出
- ^ ab Voreacos, David (2011 年 1 月 18 日)。「米国 、iPad ユーザーによる AT&T サーバーへのハッキング容疑で起訴を発表」。Bloomberg.com。Bloomberg LP 2011年1 月 21 日閲覧。
- ^ ab McMillan, Robert (2010 年 12 月 15 日)。「AT&T の iPad ハッカーがメディアの注目を集めようと奮闘、文書で明らかに」。PC World。PC World Communications, Inc. 2010 年12 月 16 日閲覧。[永久リンク切れ ]
- ^ ab Foresman, Chris (2011 年 1 月 19 日)。「Goatse Security の荒らしは、AT&T iPad ハッキングで「最大の笑い」を狙っていた」Ars Technica。2011年1 月 22 日閲覧。
- ^ abc ベン・ワーゼン、スペンサー・E・アンテ（2010年6月14日）。「コンピュータ専門家が反発に直面」WSJ.com。
- ^ Leydon, John (2010 年 7 月 7 日)。「AT&T iPad の「ハッカー」が警察に暴言を吐くため口止め命令を破る」The Register。2011年2 月 16 日閲覧。
- ^ Arrington, Michael (2010 年 6 月 14 日)。「Goatse Security に公共サービスに対する Crunchie 賞を授与」。Tech Crunch。2010年3 月 31 日閲覧。
- ^ パターソン、ベン（2010年6月14日）。「AT&T、iPadの侵害について謝罪、ハッカーの責任を主張」Yahoo!ニュース。 2010年3月31日閲覧。
- ^ Tate, Ryan (2010 年 6 月 9 日)。「Apple の最悪のセキュリティ侵害: 114,000 人の iPad 所有者が暴露」。Gawker.com。Gawker Media。2010年6 月 12 日時点のオリジナルよりアーカイブ。2010 年6月13 日閲覧。
- ^ Emspak, Jesse; Perna, Gabriel (2010年6月17日). 「逮捕されたハッカーのウェブサイトが過激な見解を暴露」International Business Times . International Business Times . 2020年3月6日時点のオリジナルよりアーカイブ。 2010年7月11日閲覧。
- ^ Dowell, Andrew (2010 年 6 月 17 日)。「FBI の捜査後、プログラマーが拘留される」。ウォール ストリート ジャーナル。
- ^ ab 「AT&T iPad 攻撃者に対して刑事告訴 — Computerworld」 2011 年 1 月 18 日。2012 年 10 月 10 日時点のオリジナルよりアーカイブ。2011年4 月 18 日閲覧。
- ^ weev. 「偽善者とパリサイ人」 Goatse.fr. 2017年5月24日時点のオリジナルよりアーカイブ。2011年4月18日閲覧。
- ^ Voigt, Kurt (2011 年 1 月 21 日)。「iPad 電子メール アドレス窃盗容疑者 2 人目に保釈なし」。MSNBC.com。AP通信。2011年2 月 15 日閲覧。[リンク切れ ]
- ^ ポーター、デビッド（2011年2月28日）。「iPadデータ窃盗容疑者、ニュージャージー州で保釈」ABCニュース。AP通信。 2011年3月2日閲覧。
- ^ Zetter, Kim (2012 年 11 月 20 日)。「AT&T サイトに侵入して iPad 顧客データを入手したハッカーに有罪判決 | 脅威レベル | Wired.com」。
- ^ 「Twitterステータス、午後3時38分 - 2012年11月20日」。
- ^ 「Twitterステータス、午後3時32分 - 2012年11月20日」。
- ^ Bierend, Doug (2012 年 11 月 29 日)。「情報開示は忘れてください。ハッカーはセキュリティホールを秘密にしておくべきです」。Wired。
- ^ 事件番号: 13-1816 文書番号: 003111586090
- ^ Kravets, David (2014 年 4 月 11 日)。「控訴裁判所、ハッカー/トロール「weev」の有罪判決と判決を覆す」。Ars Technica。2014年4 月 11 日閲覧。
- ^ ヒル、カシミール（2014年4月11日）。「ウィーヴは釈放されたが、裁判所はより大きな「ハッキング対セキュリティ研究」の問題を先送り」フォーブス。 2014年4月11日閲覧。
- ^ Voreacos, David (2014年4月14日). 「AT&Tハッカーの「Weev」が事件の影が薄れる中、パーティーやツイートを繰り広げる」ブルームバーグ。 2014年4月14日閲覧。
- ^ Constantin, Lucian (2011 年 5 月 16 日)。「危険な Linux のサービス拒否脆弱性が 0-Day として公開」。Softpedia。2014年3 月 25 日閲覧。
外部リンク
- 公式サイト