リーディングビュー

中国が発展途上国向けに提案している「IPv6＋」はIPv6とは似て非なるもの

2022年6月17日 18:02

IPv4アドレスの枯渇問題に対処すべく、中国がIPv6の拡張バージョンとして「IPv6+」の導入を発展途上国などに提案しているらしい。6月6日から16日にルワンダで開催される国際電気通信連合（ITU）の会合で、中国のHuaweiおよび中国国営企業のChinaUnicomとChinaTelecom、同国の産業情報技術省（MIIT）により提案された模様（EURACTIV、GIGAZINE）。

このプロトコルは中国のHuaweiが2019年9月に開発を表明、2022年にはIPv6+として発表されたものだという。ただIPv6とIPv6+は名称こそ似ているものの、中国側の主張とは異なりIPv6とは全く異なるプロトコルとされる。もちろん日本のv6プラスとも異なる。名称的にもミスリードを招きやすい非常に紛らわしいものとなっている。

2020年のFINANCIAL TIMESの記事によれば、英国のサイバーセキュリティ会社であるOxford Information Labsは、この新しいプロトコルは「ネットワークの基盤におけるきめ細かい制御」を可能にし、インターネットユーザーのトップダウン型の制御につながる可能性がある」都市的、検閲しやすい仕組みであるようだ。また現在のアーキテクチャと互換性がなく、インターネットの断片化につながる可能性があると指摘されている。

「アカウント作成前にアカウントを乗っ取る」プリハイジャック攻撃が発見される

スラド

著者: nagazou

2022年6月17日 15:16

ユーザー「アカウントを作成する前にそのアカウントを乗っ取る」という常識ではあり得ないような攻撃手法が発見されたそうだ。Avinash Sudhodanan氏とAndrew Paverd氏の二人のセキュリティ研究者が見つけたもので、二人はこの攻撃手法を「Pre-hijacking Attack」（プリハイジャック攻撃）」と呼んでいるそうだ（Malwarebytes、TECH+）。

この攻撃方法は5種類の方法に分類されており、一つはメールアドレスを使った2つのアカウントの相互作用の欠陥を使用する「Classic-Federated Merge (CFM)攻撃」。二つ目は先の攻撃手法のサイバー犯罪者とユーザの立場が逆になった「Non-Verifying Identity Provider (NV)攻撃」。三つ目はユーザーによるパスワードリセットの際に電子メール変更リクエストを無効化しない問題を悪用した「Unexpired Email Change (UEC)攻撃」。

四つ目は認証されたユーザーがパスワードリセット後に、アクティブなアカウントからサインアウトされないという欠陥を悪用する「Unexpired Session (US)攻撃」。最後はCFM攻撃とUS攻撃を組み合わせた「Trojan Identifier (TID)攻撃」となっている。研究者らが人気の高いWebサイト75か所を調査したところ、35以上のWebサイトが少なくとも1手法のプリハイジャック攻撃に対して脆弱な状態だったとしている。

あるAnonymous Coward 曰く、

5種類の攻撃方法が例示されているが、全体的に、同じメールアドレスで先にアカウントを登録しておいて正規アカウントが紐づけられたら乗っ取るみたいな方法のようだ？

すべて読む | セキュリティセクション | セキュリティ | インターネット |