MicrosoftがVeraCryptアカウントを終了し、Windowsアップデートが停止

 (404media.co)
2 ポイント 投稿者 GN⁺ 21 일 전 | 5件のコメント | WhatsAppで共有
  • オープンソース暗号化ソフトウェア VeraCrypt のWindowsアップデート配布が、Microsoftによる突然のアカウント停止によって全面的に遮断され、これは大手テック企業に依存するオープンソースソフトウェアのサプライチェーンの脆弱性を示す事例となった
  • VeraCrypt開発者のMounir Idrassiは、事前警告なしに1月中旬 Windowsドライバーおよびブートローダー署名アカウント が停止されていたことを発見し、その後連絡を試みたものの、AIが生成したように見える自動応答しか受け取れなかった
  • Microsoftから送られた唯一の公式メッセージは「要件未充足」という通知だったが、具体的な理由や異議申し立て手続きもなく アカウントは終了され、どの要件を突然満たさなくなったのかについてはまったく説明がなかった
  • WireGuard の開発者 Jason Donenfeld も同じ問題に直面したと明かしており、VeraCryptだけに限られた問題ではないことが判明した
  • Linux・macOS向けアップデートは継続可能だが、ユーザーの大多数がWindowsプラットフォーム を利用しているだけに、Windows向け配布不能はプロジェクト全体にとって致命的な打撃となる

VeraCryptとは

  • ドライブ内に暗号化パーティションを作成したり、個別の暗号化ボリュームの形でファイルを保護したりするオープンソースツール
  • 前身である TrueCrypt をベースに作られており、資格情報の提出を強要された場合に備えて 二重ボリューム（隠しボリューム） 機能も提供する

事件の経緯

  • Idrassiは、ここ数か月活動がなかった理由を SourceForge フォーラムで自ら説明した
  • 1月中旬、長年使用してきた Windowsドライバーおよびブートローダー署名アカウント が突然利用不能になっていることを発見
  • 事前のメールや警告は一切なく、Microsoftから受け取った唯一のメッセージは「現在の要件を満たしていない」という内容だけだった
  • そのメッセージには 異議申し立て不可 と申請終了の通知しか含まれていなかった
  • Idrassiの会社 IDRIX が突然どの要件を満たさなくなったのかについての説明はまったくなかった

開発者の反応と懸念

  • Microsoftサポートに連絡したが、AIが生成したように見える自動応答 しか受け取れなかった
  • 「何が問題なのか、少なくとも説明はすべきだった」として、Microsoftのコミュニケーション不足を強く批判
  • 「こうした決定を下す際にコミュニケーションがなければ、将来に対する不確実性が高まり、自動化されたAI応答はこのプロセスを非人間的なものにする」 と指摘した

WireGuardも同じ状況

  • 人気VPNクライアント WireGuard の開発者 Jason Donenfeld も Hacker News に同様の問題を投稿
  • 「警告もなく、通知もなく、ある日アップデートを配布しようとしてログインしたらアカウントが停止されていた」と述べた

波及効果

  • WindowsはVeraCryptユーザーの大多数が利用するプラットフォームであり、Windowsアップデートを配布できないこと はプロジェクトにとって致命的な打撃
  • Linux・macOS向けアップデートは依然として可能だが、中核プラットフォームをサポートできない状態
  • 今回の出来事は、オープンソースソフトウェアが大手テック企業のインフラに部分的にでも依存する場合に生じうる サプライチェーンリスク を浮き彫りにした
  • Microsoftはコメント要請に回答していない

関連記事

5件のコメント

 
ndrgrd 20 일 전

こういうことを見るたびに感じますが、署名を確認する作業はプラットフォームではなくユーザーが行うべきです。開発者は自分の鍵で署名し、ユーザーは信頼できる開発者の鍵を自分のデバイス上で許可して使うべきでしょう。

これが分からない、そっちで勝手にやってくれというのは話になりません。コンピューターに関心があるかどうかはさておき、自分が使うものなら必ず身につけるべき習慣です。
スマートフォンを使い、インターネットを見るなら、ウェブページやメッセージ、電話で言われることを無条件に信じてはいけないし、取捨選択できる能力が必要だというレベルの基本的な指針です。

WindowsのUACのように、特定の開発者を信頼するかどうかをボタン1つで確認できるUIくらいであれば、コード署名や鍵という概念を知らない人でも使えるでしょう。
 
heal9179 17 일 전

公式認証でなければ、悪意のある認証の悪用を許してしまうからでしょうね..
 
ndrgrd 16 일 전

何をおっしゃっているのか分かりません。
第三者が認証を盗用できるという意味でしょうか？ それは現在の証明書システムでも同じです。マルウェアも年間数十万ウォンする証明書を付けて出てきます。
開発者本人が悪用できるということですか？ それなら、そもそもコードと開発者自体が信頼できないということです。自分が何を信頼するかを選ぶのは、ユーザーの権利であり義務でもあります。そういう理屈なら、強迫症の人たちのように、OSから末端のアプリまで、すべてのプログラムを自分で書いて使うしかありません。
 
picopress 20 일 전

Windowsドライバーは別ではないでしょうか
 
GN⁺ 21 일 전
Hacker Newsの意見

  • 1年前、私は Windows 向けの FOSS ソフトウェアを配布するために Azure Trusted Signing を使っていた。
    当時は、フリーソフトウェアを配布するための最も安価な方法だった。
    だが数か月前、証明書更新時に 検証失敗 の問題で書類がすべて却下され、有料ユーザーであるにもかかわらず人間と直接やり取りすることもできなかった。
    結局 SignPath.org で証明書を発行してもらい、それ以来とても満足している

    • この1年、Trusted Signing の 検証ポリシーは変わり続けていた。
      個人に開放されたり、DUNS 番号を持つ米国企業のみ可能になったり、再び一部の個人に開放されたりした。
      おそらく誰かが Trusted Signing 証明書を悪用した事件があったのだろう。
      今朝 VeraCrypt の件を見て、「これは開発者を強制的に Trusted Signing へ追い込もうとしているのか？」と思った
    • オープンソース向けの 中央署名機関 というアイデアは気に入っている。
      オープンソースの精神とはやや相容れないかもしれないが、Microsoft や Google が妙なことをすればコミュニティの強い反発を招くだろう。
      FDroid のように 監査可能なビルド を提供する機関があれば、サプライチェーン攻撃時にもより信頼できる配布が可能になるはずだ。
      ただし、そのような機関には ガバナンスと資金 が十分に確保されていなければならない

  • プラットフォームの所有者が、どのソフトウェアを実行できるかを決めるべきではないと思う。
    ソフトウェア署名 は独立した第三者に委ねられるべきで、利益相反があってはならない。
    これこそが Digital Markets Act が開発者を守ろうとしている理由だ。
    EU の Apple 調査について、その後何か進展があるのか気になる

    • 実際、Windows バイナリを第三者証明書で署名すること自体は可能だ。
      ただ 費用が高いだけ で、Microsoft のツールを使う必要もない

  • 今回の問題は VeraCrypt だけの話ではない。
    複数の Windows ドライバー開発者 が、何の説明もなく Partner Center から強制的に締め出されている。
    関連事例は OSR コミュニティフォーラム でも確認できる

  • Windscribe も Microsoft によってアカウントを終了させられた3番目の事例だ。
    関連ツイート

  • “Security as a Service” の 暗い側面 が露わになっている。
    Microsoft は Trusted Signing によって署名手続きを簡略化する一方で、単一障害点 を作ってしまった。
    VeraCrypt のような重要な FOSS プロジェクトが自動フラグで遮断され、人間が介入する経路がまったくないのは 脆弱な構造 だ。
    Secure Boot は優れたセキュリティ機能だが、事務的な無能さによる ベンダーロックインの手段 であってはならない

  • 前の投稿 で、「Veracrypt project update」というタイトルを見落としていたという意見があった

  • 私は今でも、いつか人々が 実行ファイル署名と Secure Boot は実際のセキュリティではなく、ユーザーが何を実行できるかを統制するための仕組みだと気づいてほしいと思っている。
    個人用コンピュータでは、こうした緩和策の前提自体が成り立たないと思う

    • Secure Boot は フルディスク暗号化(FDE) の実質的な安全性のために必要だ。
      悪意あるドライバーの悪用を難しくし、ブートキット感染を減らしてくれる。
      ユーザーが自分で鍵を登録することもできる。
      Microsoft がこれを統制手段として使っているのは事実だが、だからといってセキュリティ機能そのものを否定することはできない
    • 組み込み環境では、Secure Boot は顧客を守るための仕組みとして使われる。
      サプライチェーンにおける ファームウェア改ざん防止 を保証する
    • 家庭用や一般ユーザーには統制手段かもしれないが、組み込みや金融システム では命綱のような技術だ
    • Apple が iOS を導入したことで、このような 閉鎖的なブートローダー文化 が常態化した。
      20年前ならこうしたシステムはディストピア的に見えただろうに、今では当然のものとして受け入れられている。
      Stallman が警告していた “tivoization” が現実になったわけだ
    • 「Ask Jeeves ツールバー」を大量にインストールして、孫にコンピュータを直してくれと頼んでいた時代を思い出す

  • Secure Boot チェーンを支配する企業 が、ディスク暗号化ツールの署名アカウントを停止したというのは皮肉だ

    • これは各プラットフォームで繰り返されるパターンだ。
      「プラットフォームが与え、プラットフォームが奪う」という言葉どおり、配布が1社の 善意に依存 しているなら、それは本当の配布ではない

  • WireGuard 開発者アカウント も終了させられたことを Microsoft は認識しているべきだった

    • 実際、記事の後半でその内容に触れられている。
      「人気 VPN クライアント WireGuard も同じ問題に直面している」という一文がある

  • なぜ単に独自の 署名鍵を生成 してインストーラーに含めないのか理解できない。
    こうした仲介プラットフォームを使うのは、自分で自分の足を引っ張るようなものに思える

    • だが悪意ある者も同じように自分の鍵を作って配布できてしまう。
      Notepad++ の事例 を見れば、その結果がどうなるか分かる