必須インストールの「K-セキュリティ」アプリを検証した論文
(syssec.kaist.ac.kr)以前からここをご覧になっている方なら、私が2023年初めにここへ投稿したウラジーミル・パラント（Wladimir Palant）によるK-セキュリティ紹介記事を読まれたことがあるかもしれません。
これに関連して、最近、韓国のセキュリティ学界が上記内容を補足する論文と模擬ハッキングのデモ動画を公開しました。
この内容は、8月に米国シアトルで開催される第34回USENIX Security Symposiumで発表される予定だそうです。
この論文では、K-セキュリティアプリ（Korea Security Applications）を略して「KSA」と呼んでおり、ActiveXベースで動作していた時代をv1.0、exeベースへ移行した2015年以降をv2.0と呼んでいます。
基本的に、このような「セキュリティプログラム」をユーザーPCへ強制的にインストールさせる構造そのものが、むしろセキュリティ上脆弱だという結論や、それにもかかわらず構造的な問題のためにこれを一気に廃止するのは簡単ではない、といった問題提起自体は、ウラジーミル・パラントの連載記事とそれほど変わりません。
いくつか異なる点を挙げると、まずウラジーミル・パラントの記事では銀行利用時にインストールするアプリを中心に見ていましたが、この論文では分析対象を、一部の公共機関関連の業務を行う際に必須でインストールさせられるアプリにまで広げていることです。論文で調べたのは全部で7種類だったようです。もっとも、K-セキュリティアプリの種類といっても大抵は似たり寄ったりで、会社名や製品名は伏せられているものの、分かる人にはだいたい見当がつくかもしれません。いずれにせよ、さまざまな脆弱性を見つけて、キーロギングも試し、リモートコード実行も試し、ファジングでメモリ脆弱性も見つけ、中間者攻撃も試すなど、あれこれ一通り試したようです。
そして目を引く内容として、ユーザー向けのオンラインアンケートも実施しており、その結果、実際に韓国のオンライン環境でK-セキュリティアプリを経験したことのない人はほとんどいない一方で、これをインストールするユーザーの約60%ほどは、具体的にこのアプリがいったい何の役割をしているのかも分からないまま、とりあえずインストールしていることが明らかになりました。
さらに一歩進めて、協力者を募集し、Hoax Eliminator v7.25を通じて、主に20代の若者が使うPCに実際どれほど多くのK-セキュリティアプリがインストールされているかも調査したそうです。その結果、平均で約9個のK-セキュリティアプリがインストールされており、そのうち今回の研究対象に含まれたアプリは約4個だったとのことです。ある協力者のPCでは、実に24個も検出されたケースもありました。半数を超える協力者で、インストールされていたアプリが2年以上前のバージョンであり、ある協力者のPCでは、研究時点から5年も前のバージョンのアプリも確認されたそうです。
せめてもの救いとして、テーブルクロスプロジェクトやHoax Eliminatorのような有用なツールを公開してくださっている方々がいるのは本当にありがたいことですが、根本的には、こうしたツールを使う必要自体がまったくない状態であるべきでしょう。
ウラジーミル・パラントによるK-セキュリティアプリ分析シリーズは2023年初めに公開され、その後、北朝鮮がこうしたK-セキュリティアプリを経路としてハッキングしていた事実も知られるようになりましたが、いまだに根本的な変化は感じられないのが現実です。せめて今からでも、もう少し目に見える変化が起きてほしいものです。
11件のコメント
個人的には、食卓布プロジェクトを最初に作っていた頃も、A社のセキュリティプログラムが私の使う開発ツールやワークロードとことごとく衝突を引き起こし、そのたびにあまりに苛立たされて作ったものだったのですが、これほど多くの愛情と関心を受けることになるとは思ってもいませんでした。
オープンソースソフトウェア開発者として、人々の問題解決に役立てたことはうれしい一方で、筆者が指摘されたとおり、このようないびつなセキュリティ生態系の中で何年にもわたって食卓布が語られ続けているという事実が非常に残念だという、相反する感情を抱いています。
G百科で扱っているゲーム業界や依存問題を見ると、政府と業界がなぜこのように動いているのかが分かりますね。
テーブルクロス・プロジェクト、素晴らしいですね。
最近はセキュリティ問題が次々と広がっているので、韓国でもセキュリティに対する警戒心を高めるきっかけになればと思います。
大きな事件が起きれば、セキュリティアプリをさらに入れさせることになりそうですね。
セキュリティが目的ではなく、責任回避のためのアプリはもう本当に見たくないですね..
韓国政府は、Googleよりもインターネットセキュリティをうまくできると固く信じているようです。だから中小零細企業のアプリで適当に防いでも安心しているのか。いったい何の自信なのか。
Gura Jego Gi はよく使っていましたが、食卓布プロジェクトは今回初めて知りました。とても良いプログラムですね。
ありがとうございます、良い記事でした
食卓布、本当にかなり良いプログラムです。いわゆるセキュリティアプリが残していくゴミが多すぎます。
何年も前のことではありますが、アンインストール後に再インストールするとエラーになるものもありました。
サンドボックスで処理して丸ごと消し飛ばせるのがとても良いです。
[独自] 「インストール型セキュリティSWは全部外せ！」... 政府の指示に汝矣島の金融業界が『パニック』
https://www.boannews.com/media/view.asp?idx=142897
果たして今回は、K-セキュリティアプリをどこまでさらに撤廃できるのでしょうか？