Loading article…
レイヤード サービス プロバイダー (LSP)は、 Microsoft Windows Winsock 2サービス プロバイダー インターフェイス(SPI)の非推奨機能です。レイヤード サービス プロバイダーは、Winsock API を使用して TCP/IPプロトコル スタックに自身を挿入しようとするDLLです。スタックに入ると、レイヤード サービス プロバイダーは、インターネットの送受信トラフィックを傍受および変更できます。インターネットとインターネットにアクセスするアプリケーション (Web ブラウザー、電子メール クライアントなど) の間で行われるすべてのTCP/IPトラフィックを処理できます。たとえば、マルウェアがWeb ブラウザーを不正な Web サイトにリダイレクトしたり、Windows Updateなどのサイトへのアクセスをブロックしたりするために使用できます。または、コンピューター セキュリティ プログラムがネットワーク トラフィックをスキャンして、ウイルスやその他の脅威を検出できます。Winsockサービス プロバイダー インターフェイス (SPI) API は、プロバイダーを階層化するためのメカニズムを提供します。Winsock LSP は、ペアレンタル コントロールや Web コンテンツ フィルタリングなど、さまざまな有用な目的で使用できます。Windows Vista のペアレンタル コントロール Web フィルターは LSP です。すべてのプロバイダの階層順序は、Winsockカタログに保持されています。
数多くの書籍、ドキュメント、サンプルで解説されている有名なWinsock 2 API とは異なり、Winsock 2 SPI は比較的未開拓です。Winsock 2 SPI は、ネットワーク トランスポート サービス プロバイダと名前空間解決サービス プロバイダによって実装されます。Winsock 2 SPI を使用すると、レイヤード サービス プロバイダを実装することで、既存のトランスポート サービス プロバイダを拡張できます。たとえば、 Windows 98 および Windows 2000 のサービス品質(QoS) は、 TCP/IPプロトコル スタック上の LSP として実装されています。LSP のもう 1 つの用途は、デスクトップにインストールされているブラウザに関係なく、Web ブラウザが特定のサイトにアクセスできないようにする特殊な URL フィルタリング ソフトウェアを開発することです。Winsock 2 SPI を使用すると、ソフトウェア開発者はトランスポートと名前空間という 2 種類のサービス プロバイダを作成できます。トランスポート プロバイダ (一般的にプロトコル スタックと呼ばれます) は、接続の設定、データの転送、フロー制御の実行、エラー制御などの機能を提供するサービスです。名前空間プロバイダとは、ネットワークプロトコルのアドレス指定属性を1つ以上の人間が理解しやすい名前に関連付け、プロトコルに依存しない名前解決を可能にするサービスです。SPIでは、ベースサービスプロバイダとレイヤードサービスプロバイダという2種類のトランスポートサービスプロバイダを開発することもできます。
基本サービスプロバイダは、接続の確立、データの転送、フロー制御およびエラー制御の実行など、トランスポートプロトコルの実際の詳細を実装します。階層型サービスプロバイダは、より高レベルのカスタム通信機能のみを実装し、リモートエンドポイントとの実際のデータ交換については、既存の基盤となる基本プロバイダに依存します。
Winsock 2 LSP は、単一のエクスポートされたエントリ関数WSPStartupを持つ Windows DLLとして実装されます。その他のトランスポート SPI 関数はすべて、LSP のディスパッチ テーブルを介して ws2_32.dll または上位チェーンのレイヤー プロバイダからアクセスできるようになります。LSP とベース プロバイダは連結されてプロトコル チェーンを形成します。LSP DLL は、 Winsock 2 に LSP のロード順序 (複数の LSP をインストールできます) とインターセプトするプロトコルを指示する特別な LSP レジストラントを使用して登録する必要があります。
LSPは、Winsock 2コマンドがws2_32.dllによって処理される前に傍受することで機能します。そのため、コマンドを変更したり、コマンドを削除したり、データをログに記録したりすることができ、マルウェア、ネットワークフィルタ、ネットワーク傍受ツール、ストリームベースのスニファにとって有用なツールとなります。ただし、LSPを介してネットワークトラフィックを傍受することは、アンチウイルスベンダーが通常そのような活動を悪意のあるものとしてフラグ付けするため、問題となる場合があります。したがって、ネットワークトラフィックをキャプチャするには、ネットワークパケットアナライザを使用する方がより良い選択肢となります。
LSPとWinsockプロキシスニッフィングの特徴は、単一のアプリケーションからのトラフィックをキャプチャできるだけでなく、Windows上でlocalhost （127.0.0.1）へのトラフィックをスニッフィングできる点です。 [ 1 ]
LSPにはIFS LSPと非IFS LSPの2種類があります。現在市場に出回っているLSPのほとんどは非IFS LSPです。両者の違いは、非IFS LSPはソケットハンドルを無効なWindows IFSハンドルに変更するため、Winsock 2のすべてのメソッドを実装する必要がある点です。一方、IFS LSPはソケットハンドルを保持するため、LSPはインターセプトしたい関数のみを実装できます。IFS LSPは非IFS LSPよりもパフォーマンスへの影響ははるかに少ないですが、受信パス上のデータを検査または変更できないという制限があります。
LSP はWindows Server 2012以降非推奨となっています。[ 2 ] LSP を含むシステムは、Windows ロゴのチェックに合格しません。[ 3 ] ネットワークを使用する Windows 8 スタイルの「メトロ」アプリは、すべての LSP を自動的にバイパスします。Windowsフィルタリング プラットフォームは同様の機能を提供し、Windows 8 スタイルの「メトロ」アプリと従来のデスクトップ アプリケーションの両方と互換性があります。
LSP（論理サービスプロトコル）の大きな問題点の一つは、LSPにバグがあるとアプリケーションが動作しなくなる可能性があることです。例えば、インターフェースを通して送信されたバイト数を誤って返すLSPは、ネットワークスタックがデータ送信完了を示すまでアプリケーションが無限ループに陥る原因となる可能性があります。
LSPに関するもう一つの大きな共通問題は、LSPが不適切に削除または登録解除された場合、あるいはLSPにバグがあった場合、レジストリ内のWinsockカタログが破損し、TCP/IPスタック全体が機能しなくなり、コンピュータがネットワークにアクセスできなくなるというものでした。
LSP技術は、スパイウェアやアドウェアプログラムによってインターネット上の通信を傍受するために悪用されることがよくあります。例えば、マルウェアがネットワークスタックにLSPとして侵入し、ユーザーのすべてのトラフィックを不正な外部サイトに転送する場合があります。そこでデータマイニングが行われ、ユーザーの興味関心が特定され、ターゲット広告やスパムメールが大量に送りつけられる可能性があります。マルウェアのLSPが正しく削除されない場合、古いバージョンのWindowsではネットワーク接続が正常に機能しなくなる可能性があります。
このようなネットワーク接続の完全な喪失の可能性は、Windows XP Service Pack 2、Windows Server 2003 Service Pack 1、およびそれ以降のすべてのWindowsオペレーティングシステムで防止されており、WinsockはユーザーがそのようなLSPをアンインストールした後に自己修復する機能を備えています。[ 4 ]
インストールされているLSPは、XP/VistaのWindows Defenderのソフトウェアエクスプローラー、またはサードパーティ製のユーティリティを使用して表示できます。