Loading article…
NOBUS（「Nobody But Us 」）は、米国国家安全保障局（NSA）が、米国だけが悪用できると考える既知のセキュリティ上の脆弱性を表すために使用する用語です。[1]
技術と暗号化が進歩するにつれ、世界中の組織がMicrosoft、Linux、Appleなどの共通プラットフォームやシステムへと引き寄せられています。[2]この使用法の収束により、システムの脆弱性を修正して自分の情報を保護することと、同じシステムの脆弱性を悪用して敵に関する情報を発見することの間に矛盾が生じます。[2]この矛盾に対処するために、NSAはNOBUSシステムを開発しました。これは、敵がシステムの既知の脆弱性を悪用できる可能性を評価するものです。[2] [3] NSAは、計算リソース、予算、スキルセットなどの理由で脆弱性がNSAによってのみ悪用可能であると判断した場合、それをNOBUSとラベル付けし、修正には移さず、現在のターゲットまたは将来のターゲットに対して悪用される可能性があるままにします。[4]
一般的に、NOBUSの概念は、米国と世界の他の国々との間の信号諜報（SIGINT）能力の格差を指します。 [4]批評家は、他の組織の能力が向上し、脆弱性を購入する市場が進化するにつれて、信号諜報に対するこのアプローチは米国にとって利点よりも脅威になると考えています。[5]
歴史
20世紀には、敵の通信を傍受しながら自分の通信を保護することは矛盾していなかった。[4] 第一次世界大戦（WWI）と第二次世界大戦（WWII）の信号諜報活動には、無線通信の盗聴と標的の暗号メッセージの解読が混在していたが、これらの行為は自分の情報のセキュリティを弱めることはなかった。[4]第二次世界大戦中の連合国のウルトラ作戦は、軍のメッセージを送信するために使用されたドイツの暗号装置であるエニグマを解読した。[6]エニグマを解読しても、連合国の暗号機であるSIGABAのセキュリティは影響を受けなかった。なぜなら、それらは別の技術を使用した別のシステムだったからだ。[4]技術が進歩するにつれて、敵の通信を傍受する行為である攻撃的SIGINTと、自分のメッセージを保護する行為である防御的SIGINTの区別は消え始めた。[4]
通信、インターネット、そしてマイクロソフトやアップルなどの大企業の発展により、紛争の両陣営が同じシステムを使用することが多くなりました。[4]そのため、あるグループがターゲットのシステムの脆弱性を発見した場合、それはおそらく彼ら自身のシステムの脆弱性も発見したことを意味します。[4]脆弱性を修正のために公開すると諜報力が弱まり、脆弱性に関する情報を隠蔽するとセキュリティが弱まり、発見されたエクスプロイトをどうするかという判断が非常に複雑になります。[4] [2]
米国、カナダ、オーストラリア、ニュージーランド、英国からなるファイブアイズと呼ばれる諜報同盟グループは、技術の進歩をSIGINT能力に生かす上で世界でもユニークな立場にありました。 [7]世界中のほぼすべての通信は物理的にファイブアイズのいずれかを通過しており、盗聴能力において物理的な優位性をもたらしています。[4]この地理的位置は、米国が早い段階でSIGINTの取り組みを主導していた理由の1つでした。[4]
さらに、多くのテクノロジー企業は米国企業であったため、米国は他の団体や政府にはない企業に対する法的権限を有していた。[4]このNOBUSの利点の一例は、 PRISMとして知られるNSAプログラムであり、これによりNSAはGoogle、 Apple、Microsoftなどの企業にターゲットに関する情報を要求する能力を持っている。 [4]
元NSA長官 マイケル・ヘイデン氏はその後、NOBUSのコンセプトを認めた。
脆弱性が存在するにもかかわらず、相当な計算能力やその他の相当な属性が必要であり、他に誰がこれを行うことができるか判断しなければならない場合、脆弱性を別の視点から見ることになります。暗号化を弱める脆弱性があるが、それを機能させるために地下に4エーカーのクレイコンピューターが必要な場合は、「NOBUS」のように考えます。これは、倫理的にも法的にも修正を強制されない脆弱性です。倫理的にも法的にも、アメリカ人を他人から守るために悪用を試みることができる脆弱性です。[5]
ゼロデイエクスプロイト市場のコモディティ化は、2000年代のSIGINTの状況を変えました。[2]ゼロデイ（または0デイ）エクスプロイトは、ソフトウェア開発者が認識していないため、すぐに修正できないソフトウェアの脆弱性です。[8]言い換えれば、エクスプロイトが情報の盗難やシステムの破壊に使用される場合、開発者はゼロデイでそれを修正することができます。[2]ゼロデイエクスプロイトは1990年代に少数の個人によって開発および販売されていましたが、2000年代初頭には、世界中のハッカーのエクスプロイトを購入することに特化した企業が現れ始めました。[8] [2]このゼロデイエクスプロイトのグレーマーケットにより、十分な資金を持つ世界中の誰もが、一般的に使用されているシステムのエクスプロイトを購入することができました。[8]
2013年、アメリカの内部告発者エドワード・スノーデンがNSAの文書を漏洩し、NSAがゼロデイ市場に多額の資金を投じてエクスプロイトを蓄積していたことが明らかになった。おそらくこの分野で最大の買い手だ。[2]エクスプロイトに最高額を投じる能力はNOBUS能力であると考えられている。なぜなら、他の多くの組織はエクスプロイトにそれほどの金額を投じることができないからだ。[2] 2012年までに、iOSのバグ1つでグレーマーケットで25万ドルもの利益が得られるようになった。[8] 2021年、NSAは防御よりも攻撃のSIGINTに10倍の費用を費やしており、防御の従業員1人に対して攻撃に100人の従業員が費やしていることがわかっている。[2]
スノーデンの漏洩は、NSAが英国の政府通信本部（GCHQ）と協力して実施していた「Muscular」と呼ばれるプログラムも明らかにした。このプログラムには、GoogleやYahooなどの企業の海底インターネットケーブルへの盗聴が含まれていた。[9]社内サーバー間で暗号化されていない情報収集は「アップストリーム」収集と呼ばれ、影響を受けた企業はそのことを全く知らなかった。[9] Muscularは英国領土で行われ、NSAとGCHQが同盟国であり、プログラムで協力していたことを考えると、NOBUSの能力を実証している。[2]
米国政府の対応
エドワード・スノーデンの漏洩事件を受けて、2014年にオバマ米大統領はNSAのSIGINT戦術について演説した。[10]演説の中でオバマ大統領は、個人の安全、外交関係、企業の意図がすべて考慮されることを期待して、諜報活動に対する行政監督を強化すると発表した。[10]また、ホワイトハウスに新たなプライバシー保護策の実施を担当する高官を任命すると発表した。[10]しかし、ゼロデイエクスプロイトの使用については直接議論されず、演説の焦点はNSAによる米国内の電話記録の収集にあった。
2014年、オバマ大統領のSIGINT演説から数ヶ月後、人気の暗号化ツールOpenSSLのバグが発見された。[2] Heartbleedとして知られるこのエクスプロイトは、米国防総省を含む世界中のソフトウェアに浸透した。[2] Heartbleedの発見を受けて、オバマ政権のサイバーセキュリティコーディネーターであるマイケル・ダニエルは、NSAがどの脆弱性を保持し、何を公開するかを決定するために使用した手順について公に語った。[3]ダニエルは、NSAが考慮した多くの点、すなわち、エクスプロイトが公開された場合にどれほどの被害が発生するか、および別の方法で情報を収集できるかどうかを挙げた。[3]さらに、ダニエルは、脆弱性が使用のために保持されたとしても、それは一時的なものであり、機関による短期間の使用後に修正プログラムのために引き渡されることを強調している。[3]これは、米国政府がSIGINTでのゼロデイエクスプロイトの使用を公に認めた初めてのケースであった。[2]ダニエルが2014年に概説したこのプロトコルは、脆弱性株式プロセス（VEP）として知られています。[2]
批判
批評家は、NSA、ひいては米国は、かつてほどSIGINTにおいて世界の他の国々よりはるかに先を進んでいないと主張している。[2]したがって、NSAがNOBUSであると信じられているという理由だけでセキュリティの脆弱性を放置するのは危険である。[2] 2012年に漏洩したNSAのメモには、「他の国家がスキルを磨き、この分野に参入していることが明らかになっている」と書かれており、能力の差が縮まりつつあることをNSAが認識している証拠である。[2] 2016年8月、Shadow Brokersとして知られるまだ知られていないハッカー集団がNSAのコードを漏洩し、NSAの正確なツールを明らかにした。これにより、コードを手に入れた人は誰でもNOBUSの能力を得られるようになった。[5] 2017年4月、Shadow Brokersはさらに踏み込み、NSAが開発し収集した最も効果的なゼロデイエクスプロイト20件を漏洩した。[11] [2]この漏洩を受けて、2013年のスノーデン漏洩の際にNSAを擁護した元NSA長官マイケル・ヘイデンは、「強力なツールを持つ機関がそのツールを保護し、それを自らの手で保持できないのであれば、その機関を擁護することはできない」と述べた。[12]
シャドーブローカーは、NSAのサイバー兵器を漏洩することで、NSAが高度な装備や経験を必要としない低レベルの脆弱性を保有していることも明らかにした。[2]ツールの中には、非常に使いやすく、基本的に「狙いを定めて撃つ」ものもあったと報告されている。[12]これらの脆弱性は、定義上、NOBUSではなく、NSAのサイバー兵器に保有したまま公開して修正することは、脆弱なソフトウェアを使用していた世界中の罪のない人々の安全を脅かすことになる。[2] NSAが低レベルのエクスプロイトを何年も隠していたという発見は、2014年に当時のサイバーセキュリティコーディネーターのマイケル・ダニエルが概説したVEPと直接矛盾していた。[3] [2]
ゼロデイエクスプロイト市場は、NSA を批判の対象にしている。[4]グレーマーケットで購入された脆弱性は、十分な資金があれば誰でも購入できるため、明らかに NOBUS ではない。[5]また、ある組織が脆弱性をあるグループに販売した場合、別のグループに販売しないことを保証する方法もない。[2]そのため、批評家は、脆弱性にパッチを当てずにオープンのままにしておくと、脆弱性にアクセスできる人が誰であるかを確認できないため、脆弱なシステムを使用する無実の人々のセキュリティが脅かされるのではないかと懸念している。[5]
NOBUSシステムに対するもう一つのよくある批判は、NSAが米国民が使用するシステムの脆弱性を悪用し、米国内に設置されたサーバーからデータを収集しているため、NSAが米国民からのデータ収集を回避する能力について倫理的および法的懸念があるというものである。[4]
批評家たちはまた、NOBUS戦略が人々の安全を守っているという証拠はないともコメントしている。[13]過去にはNOBUSが50件のテロ攻撃を阻止したと報告されたが、その後その数は1件か2件に修正された。[13] 2017年、国家情報長官室（ODNI）が資金提供した調査では、情報源としての信号諜報から情報コミュニティーが移行することを推奨した。 [14]暗号化方法は急速に高度化して解読できなくなりつつあり、米国の法律は情報収集よりもアメリカ国民のプライバシーを優先しており、NSAや他の諜報機関は信号諜報で苦戦を強いられている。[14]
参考文献
- ^ 「NOBUSとは?」www.computerhope.com。 2021年10月22日時点のオリジナルよりアーカイブ。 2021年10月22日閲覧。
- ^ abcdefghijklmnopqrstu vw NICOLE., PERLROTH (2022). これが世界が終わると言われる理由：サイバー兵器の軍拡競争。ブルームズベリー。ISBN 978-1-63557-849-2. OCLC 1243263428.
- ^ abcde 「Heartbleed: サイバー脆弱性を開示する際の理解」。whitehouse.gov。2014年4月28日。2021年12月4日時点のオリジナルよりアーカイブ。2021年12月7日閲覧。
- ^ abcdefghijklmno 「Nobody But Us: The Rise and Fall of the Golden Age of Signals Intelligence」、Lawfare、2017年9月7日。2023年11月26日時点のオリジナルよりアーカイブ。 2021年10月22日閲覧。
- ^ abcde Peterson, Andrea (2013年10月4日). 「NSAがセキュリティ上の欠陥の修正に協力しないとき、なぜ誰もが安全でないままになるのか」ワシントンポスト。2016年1月5日時点のオリジナルよりアーカイブ。2015年12月27日閲覧。
- ^ Hinsley, Sir Harry (1996年11月26日). 「第二次世界大戦におけるULTRAの影響」(PDF)。2015年12月5日時点のオリジナルよりアーカイブ(PDF) 。 2021年12月2日閲覧。
- ^ 「カナダとファイブアイズ情報共同体」(PDF) 2015年9月10日。 2015年9月10日時点のオリジナル(PDF)よりアーカイブ。 2021年10月25日閲覧。
- ^ abcd Ablon, Lillian (2014). 「ブラックマーケットとグレーマーケットにおけるゼロデイ脆弱性」www.jstor.org . RAND Corporation: 25–28. JSTOR 10.7249/j.ctt6wq7z6.11. 2021年11月16日時点のオリジナルよりアーカイブ。 2021年11月16日閲覧。
- ^ ab 「NSAがGoogleとYahooのクラウドデータにアクセスしていたことをどうやって知るか」ワシントンポスト。ISSN 0190-8286 。2018年3月25日時点のオリジナルよりアーカイブ。2021年12月7日閲覧。
- ^ abc 「信号諜報の見直しに関する大統領の発言」whitehouse.gov 2014年1月17日。2021年12月8日時点のオリジナルよりアーカイブ。 2021年12月7日閲覧。
- ^ 「Shadow Brokers Redux: Dump of NSA Tools Gets Even Worse」Lawfare 2017年4月14日。2023年9月24日時点のオリジナルよりアーカイブ。 2021年12月7日閲覧。
- ^ ab Shane, Scott (2017年5月17日). 「マルウェア事件はNSAにとって大きな打撃」ニューヨークタイムズ。ISSN 0362-4331 。2021年12月7日時点のオリジナルよりアーカイブ。 2021年12月7日閲覧。
- ^ ab Schneier, Bruce (2014年1月6日). 「NSAが国家安全保障を脅かす方法」.アトランティック. 2021年10月25日時点のオリジナルよりアーカイブ。2021年10月25日閲覧。
- ^ ab Williams, Brad D. (2019年7月23日). 「『SIGINTの黄金時代は終わったかもしれない』：新しい暗号化技術がIC盗聴を阻止」Breaking Defense . 2021年10月25日閲覧。