Mac OS Xの新たなハッキングコンテスト--主催者がリベンジ

　ウィスコンシン州立大学のシステムエンジニアが、自分のMacに侵入してみろとハッカーに挑戦状を叩きつけた。

　同大学のシニアシステムエンジニア、Dave Schroederは、このコンテストを米国時間6日に開始した。同氏によると、先ごろ行われた別のコンテストはあまりに簡単すぎたという。

　Schroederはハッカーらに対し、Mac miniでホスティングされているホームページを改ざんしてみろと言っている。このマシンは、最新のセキュリティアップデートを適用したMac OS X 10.4.5が動作している。このシステムにはローカルアカウントが2つあり、SSHとHTTPがオープンな設定となっている。Schroederは自身のウェブサイトで、「これは、大半のMac OS Xマシンよりはるかにオープンな環境だ」と述べている。

　SSH（Secure Shell）は、ネットワーク上にあるコンピュータへのログインや、そこでのコマンド実行に利用されるもので、一方のHTTP（HyperText Transfer Protocol）は、ウェブ上の情報転送手段といて利用されているものだ。

　このコンテストは、もともと10日に終了する予定だった。しかし、非常に大きな注目が集まったことから、Schroederはスケジュールを短縮し、現在は米国時間７日の午後10時（太平洋標準時）が締め切り期限となっている。

　「この小さなMac miniがとてもうまく持ちこたえていることに非常に驚いている」とSchroederは電話インタビューのなかで述べた。「（このコンテストへの）注目度は爆発的に高まった。これは本物の公式なテストではなく、ある種の学術的な興味で始めたものだ」（Schroeder）

最初のコンテスト

　先ごろ行われたコンテストでは、匿名のハッカーが、OS Xを未公表の脆弱性を使って30分で改ざんできたと主張した。しかし攻撃者らは、完全に締め出されたのではなく、ユーザーレベルのシステムへのアクセス権が与えられていた。

　Schroederは電子メールでのインタビューに答え、「最初のコンテストでは、ユーザーがだれでもローカルアカウントを持ってSSH経由でマシンにアクセスすることができた。この点は重要な違いだ。ローカルもしくは物理的にコンピュータにアクセスできる場合は、かなり簡単に上位の権限を手に入れることができる」と述べた。

　最初のコンテストを伝えた報道には、攻撃者らがシステムにローカルアクセスできた事実に対する言及がなかった。Schroederはこのことにいら立ち、自分でコンテストを主催することにした。「最初の記事は、Mac OS Xマシンがインターネットに接続するだけでハッキングされやすい、との印象を読者に与えた」（Schroeder）

　それでも、前回のコンテストはかなりの難題だったと、Schroederは述べている。「偽りがないと仮定すると、ローカルユーザーがだれでもrootレベルのアクセス権を取得できてしまうような、ローカル権限を変更する未知の方法があることになる」（Schroeder）。これは、学校のように複数のユーザーがマシンを共有する環境では深刻な問題になると、同氏は説明した。

　SANS Instituteの最高調査責任者Johannes Ullrichによると、これはApple ComputerのOSを利用するウェブホスティングプロバイダーにとっても問題だという。共有マシンを使う顧客には、ウェブサイトを更新するためのアクセス権が必要だが、権限を変更できる欠陥があると、このようなアクセス権を持った悪質なユーザーがシステムを完全に掌握できるようになってしまうと、同氏は述べている。

　Mac OS Xの安全性に対しては、これまで数週間にわたって厳しい目が向けられてきていたが、これは2つのワームの発見と、セキュリティ監視会社Secuniaが「極めて深刻」だとした脆弱性の公表が発端となって始まったものだった。また、Appleが先週公開したセキュリティアップデートの有効性について、複数のセキュリティ専門家が疑問を投げかけている。 今回のハッカーに対する挑戦は、そうした状況で実施された。

　Schroederは、攻撃の対象となったMac miniのログファイルを精査した後、なにか興味をひく点があれば、それを一般に公開する予定だと、電話インタビューのなかで述べた。「このコンテストの期間が短縮されたことにがっかりしている人が多くいることは知っている」（Schroeder）