北朝鮮がソニーハッキングの背後にいた可能性がある理由

ソニーのハッキングで何か奇妙なことが進行中です。行政からの「漏洩」

HREF="https://www.nytimes.com/2014/12/18/world/asia/us-links-north-korea-to-sony-hacking.html?_r=0">ニューヨークタイムズ、

HREF="https://www. Stripes.com/news/us/source-us-probe-links-nkorea-to-sony-hacking-1.319880">AP通信、およびCNNこれらは明らかに公式リークであり、政権から報道機関への意図的な伝達です。

さて、可能性の一つは、オバマもブッシュと同様、報道機関を「大量破壊」しようとしている、つまり公式リークを利用して国民を欺こうとしているということである。もう一つの可能性は、政権が現在、ソニーのハッキングの背後に北朝鮮があると確信しているが、その情報を明らかにできないということだ。政権は公式に発表することなく、北朝鮮がソニーをハッキングしたと公式に信じている。証拠を明らかにすることで米国の諜報活動に関する情報も明らかになることになる場合、これは特に重要である。

関連項目:

仮に、行政はどうやって知ることができたのでしょうか?まあ、これらの攻撃者を追跡するのは NSA の仕事です。NSA が北朝鮮だと言うなら、政権もそれを信じますし、正直に言うと私もそうします。NSA はこれらのサイバー犯罪者を追い詰めることができる世界的な視点と世界的なツールを持っています。。

それらのツールは何ですか?それはすべて、SIGINT FTW (Signals Intelligence For The Win) に集約されます。

商売道具

NSAはそれを「盗聴」と呼んでいますが、当然のことながら、それは洗練された形式の盗聴から始まります。Xキースコアそしてそれはインターネットを盗聴するためのものです。 NSA は、インターネット上の未知の数のポイントに XKEYSCORE をインストールしていますが、イギリス政府が行っているように、おそらく少なくとも 100 のバックボーンリンクを監視しています。英国だけでそのような蛇口を50台設置した。 XKEYSCORE は、ネットワークトラフィックを取得して分析し、抽象化されたデータを NSA の中央データベースに送り返します。

そのすべてのデータの中に、ハッカーの位置、または少なくともサイバー攻撃を開始するために使用した位置の鍵が含まれている可能性があります。 NSA アナリストは、いわゆる「フロー記録」から始めるかもしれません。ネットフロー。これらの各レコードは、コンピュータとその通信を開始するために使用されたポートとの間の通信を詳述します。「コンピュータ A、ポート X が、T0 と T1 の間のコンピュータ B、ポート Y に K バイトのデータを送信しました」というような内容になる可能性があります。フロー記録は NSA の盗聴によって収集される最も単純なデータですが、強力なツールオンラインアクティビティを追跡するため。

ハッカーはソニーのネットワークに直接接続せず、ホッピングスルーして攻撃した

HREF="https://www.icir.org/vern/papers/stepping/index.html">「飛び石」システム、最も有名なものバンコクのセントレジスホテル。簡単に言えば、彼らは実際の場所を隠すために、ホテルなどのさまざまな場所にある 1 つまたは複数の中継コンピューターを介して接続しました。

素人目にも、ソニーにとっても、これは攻撃者を事実上隠しているように見えます。しかし、中継システムを使用しても、攻撃者を NSA から確実に隠すことはできません。 NSA アナリストは、ソニーへの既知の接続から開始し、次にフロー (または接続) 記録を検索して、これらの「踏み台」または中継システムを使用した通信を見つけます。 NSA アナリストは、接続記録内のリレーを通るパスを突き合わせることで、攻撃の本当の発信元を特定できる可能性があります。

他の方法もあります。 NSA アナリストは、ハッカーが漏洩データを公開するために使用したコンピューターであるトレントシードシステムを調べることができます。明らかに、ハッカーはこれらのシステムにアクセスするために中継システムを使用した可能性がありますが、データが非常に大量であるため、それらの足がかりは NSA のアナリストに見えるはずです。

たとえ中継システムとそれに接続されているコンピュータとネットワークの発見に失敗したとしても、NSA には他にもいくつかの気の利いたスキルが用意されています。多くの XKEYSCORE (またはインターネット盗聴) システムには「DEEPDIVE」機能があり、すべてのトラフィック (一部の大量ソースを除く) を記録し、データを 3 ～ 5 日間バッファリングします。これにより、アナリストは「過去に戻って」、アーカイブされたトラフィックを検索できるようになります。

NSA と他のすべての人々は、ソニーのハッカーが新しい要求や新しいデータをいつリリースしたかを正確に知っており、アナリストはその情報を使用して、タイムスタンプに基づいて DEEPDIVE アーカイブを検索できます。攻撃者のコンピュータを見つけるには、公開される前に新しくリリースされたデータを検索するだけです。

これらはすべて強力なツールであり、ハッカーが追跡を完璧に隠蔽できない場合、NSA は 1 台または複数のハッカーのコンピュータを特定するのに十分な情報を持っている可能性があります。

関連項目:

NSA アナリストが疑わしい情報源を特定したら、あとは簡単です。への問い合わせ

HREF="https://www.aclu.org/files/natsec/nsa/20140130/%28TS%29%20NSA%20Quantum%20Tasking%20Techniques%20for%20the%20R&T%20Analyst.pdf">MARINA データベースは、「アクティブユーザー」検索によるユーザー (以下を含む Web ページから抽出されたユーザーの ID を記録します)ユーザーの名前)、「ユーザーアクティビティ」を見て他の情報を見つけます。成功した場合、NSA は QUANTUM システムにハッカーにエクスプロイトを「発射」するよう指示し、インターネットから直接ハッカーのコンピュータをハッキングし、ターゲットを感染させることもできます。ベライゾンまたはその他の悪意のあるコード。

確かに、NSA がこれらの方法を使ってソニーのハッカーを追跡することに成功したという具体的な証拠はありません。NSA の (非) 秘密が明らかになるのを恐れて、政権がそのような証拠を公開することはないだろうと私は思います。あるいは、もっと単純な方法で、金正恩氏のパソコンをハッキングして、北朝鮮の最高指導者が関与しているかのように見せかけたのかもしれない。あるいは行政がただ嘘をついているのかもしれない。

しかし、それは可能性が低いように思われます。私の個人的な推測は、政権が報道に対して正直に答えているとすれば、それはNSAがソニーへのハッキングの背後に北朝鮮があると信じているからではないかということだ。 NSAがそれを信じているなら、私もそれを信じます。

Nicholas Weaver は、カリフォルニア州バークレーにある International Computer Science Institute でネットワークセキュリティを専門とするコンピュータサイエンティストです。