SONY BMGのrootkit問題対策パッチに新たな問題 67
ストーリー by Acanthopanax
不信の眼 部門より
不信の眼 部門より
apt曰く、"先日、Sony BMGの米国内向けCCCDにルートキットとして/.JPでも取り上げられたrootkit問題の続報になるが、ITmediaの記事によると、Winternals Softwareのチーフソフトウェアアーキテクト、マーク・ルシノビッチ氏がこの問題についてさらなる調査結果を公表したそうである。ルシノビッチ氏によると、この問題の対策としてSONY BMGがリリースしたパッチには、設計上のミスにより、このパッチをインストールした時にコンピュータがクラッシュする可能性があるという。さらに、コピープロテクトソフト(XCP)がSONY BMGのWebサイトと通信していることを示す調査結果もルシノビッチ氏のBlogで公表され、プライバシーについても懸念が表明されている。"
SONY BMG側は、「何の情報も収集していない」と主張している。
以前のコメントに新たな問題 (スコア:5, 参考になる)
WindowsXPのダイアログでは「autorun.inf」での自動再生は止められないようです。
Windows 2000の場合 [atmarkit.co.jp]と同様の操作が必要になるようです。
Re:以前のコメントに新たな問題 (スコア:5, 参考になる)
抑止する設定があります。詳細はこちらのページ [mnet.ne.jp]をご覧ください。
Re:以前のコメントに新たな問題 (スコア:5, 参考になる)
な感じで、すべてのドライブの自動実行をと止められるみたい。 (XP-Homeで今確認)。
# レジストリ操作は自己責任で。バックアップも忘れずに。
補足 (スコア:4, 参考になる)
レジストリの意味については、こっちの方がシンプルで分かりやすかったかも。
NoDriveAutoRun (in HKLM) [microsoft.com]
"HKEY_CURRENT_USER" で書いてしまいましたけど、セキュリティー目的なら "HKEY_LOCAL_MACHINE" の方が良いかもしれません。
HKCUは現在のユーザアカウントのみ、HKLMは全ユーザアカウントに適用(HKCUの設定より優先)と書いてある(ような気がする)ので。
Re:以前のコメントに新たな問題 (スコア:3, 参考になる)
管理用テンプレート
→システム
で、「自動再生機能をオフにする」を有効に
んで対象を「すべてのドライブ」にする
そんなもん (スコア:0, フレームのもと)
Re:そんなもん (スコア:1)
使わなくても生きていけるのならそれでベターだし、じゃないとしても対策すりゃええ、ってか。
# 個人的にはShift長押しが伝統的で好み。押しすぎてユーザ補助が動くことがあるけどねorz
Re:そんなもん (スコア:1)
Re:そんなもん (スコア:0)
全体としてCDの売上は落ちているのでCDを買う人は減っている一方、シリコンプレイヤーの売上は伸びているので、音楽を聴く人が減っているわけではない。
とすると、パソコンでCDを聴く(もしくはシリコンプレイヤーに移す)人が増えているのでは。そして現状だと、パソコン≒Windows と。
ちなみに自分自身は、CDラジカセが壊れてから修理も買い換える気も起きませんでした。
Re:そんなもん (スコア:0)
DVDレコーダ、CDコンポを合わせたものとして使っている
人が出てきてますからねぇ…狭い部屋に1台PCが
あればすべてが事足りるように…
特にSONYのVAIOあたりは…
Re:そんなもん (スコア:1)
CDから取り込むことも出来なければ、曲名も自分で手打ちとか・・・
ネットに繋がると言っても、所詮はいちいちCDを突っ込まなければならないわけで・・・
PCがあればiTunesなりを利用してCDを取り込み、自分の好みの曲を選曲出来るわけで、わざわざコンポを購入する必然性がなくなりつつあるんじゃないでしょうか・・・
Re:そんなもん (スコア:2, 参考になる)
パソコンを使わない人からすると「パソコンを使って云々」というのが
ハードルが高いと感じるのもまた事実、
そういった層は外部入力端子付のほうが楽と感じるようです
うちの従姉妹もパソコンは仕事以外でほとんど触らないのでコンポと直結して録音してます、
曲名が表示されなくても出だし聞けば分かるので問題ないそうです。
Re:そんなもん (スコア:1)
ごく普通にパソコン使っている人にとってはWindows以外に今のところ選択肢がないので・・・と考えているのですがいかがでしょうか。
##Audio CDならコンポって手もまだあるのかな。
# 突っ込まれるだろうけど、あくまでgeek要素無しで
Re:そんなもん (スコア:0)
まあ、欲しいのがないので、買いませんが。
#もっとアーティストとの契約が柔軟にならんかなぁ。
Re:そんなもん (スコア:1)
(しかもそういうのに限ってCDでしかリリースされなかったり)。
Sonyのrootkitを利用してパソコンライフを快適に！ (スコア:5, 興味深い)
World of Warcraftなどのネットゲームの [oreillynet.com]
チートツールチェックをかいくぐる事ができたり
するらしいですね。
SonyのCDを購入すればあなたも
夢のハッカ～～になんて宣伝文句をつかわなきゃ
売れないCDはあれげだと思う。
romfffromのコメント設定
AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする
Re:ネットランナー1月号特集 (スコア:3, おもしろおかしい)
彼女のプライベートをぶっこ抜き！
ソニーといえばナイトショットなど、エロテクノロジーをさりげなく
リリースしてくれるなど男ゴコロをよく解ってる企業で、もうお馴染み？
今回、ネトラン編集部が入手した情報は「とうとう来たか！」という凄い手口。
なにしろ、シュリンクラップされていて怪しまれない状態で悪用厳禁ツールを
彼女のPCにインストールできるのダ！ブランド企業から登場した、
無敵の悪用厳禁ツールの名前はXCP.Sony.Rootkit [ca.com]だ！！
インストールされるソフトを使えば、特殊な設定がPCに施されて
$sys$kintama.exeのようなファイル実行を隠蔽する事が出来る。
裏で何を実行させるかは君次第だ！ムフフな秘密も思いのまま！
彼女の嗜好や私生活が解れば、欲しいものや興味が解るから
コミュニケーションがとりやすくなるという訳だ。
人肌恋しい秋冬の話題はコレで決まり！でもライバルには内緒だ！
彼女とのホットな夜をソニーのCDでゲットしよう！
ただし、最近評価が高いカスペルスキーLabsの製品を
使っているとこのツールは検出されてしまう [cnet.com]。
でも、そうなっても大丈夫。すぐに彼女のために一緒になって怒るのだ！
「酷い！こんな酷いソフトを配布するソニーが憎い！」と。
そして、すぐに対応パッチをあててあげよう。
そうすれば彼女のPCは再起不能！再インストールで証拠隠滅！
クリスマスシーズンにかけて勝負をかけたい野郎どもは、
今すぐCDショップの輸入盤コーナーに走れ！
目印はVan Zant兄弟の仁王立ちジャケット「Get Right with the Man」！
悪用厳禁ツールは他のアルバムにも存在するが、手堅くキメたいキミは
「Van Zant！バンザイ！Van Zant！ハンザイ！」と感謝しつつ、
「Get Right with the Man」を利用するのが良いだろう。
＃この記事はフィクションであり、登場する団体名は
＃実在する企業にインスパイヤされたものであり、
＃そこにオリジナリティを加えた架空のものです。
Re:Sonyのrootkitを利用してパソコンライフを快適に！ (スコア:0, オフトピック)
#六三四の剣のために買った人はいない？
個人情報 (スコア:5, 興味深い)
ということになっているわけですが、その問い合わせフォーム [sonybmg.com]では、
購入した国
アーティストの名前
CDのタイトル
購入した店
メールアドレス
の申告が必須となっています。いやはや。
Re:個人情報 (スコア:4, 興味深い)
第三者に情報を提供するとか書いてあるし
Re:個人情報 (スコア:2, 興味深い)
ソニーは
1枚のCDを購入者が聴いた(当然削除フォームに記入)あとに、
・誰かに貸す(貸した相手も削除フォーム)
・誰かにあげる(あげた相手が...)
・中古屋に売却(買ったヒトが...)
っていうふうに、モノが巡るうちに次々違法ユーザー情報を収集して
いくのでしょうか?
購入者にとって、音楽CDメディアというのは今でも「物品」という
感覚が強い商品だと思います。
だから、貸し借りや、譲渡・売却、夫婦での共有や友人とのワリカン
購入というケースは今後もあるでしょう。
「家」や「自転車」ですらあるんだから。
そういうユーザーとコンテンツホルダーの間の折り合いってどうつけ
たらいいんでしょうね?
件のCCCDにはモノの所有に関しての定義がどう書いてあるのやら。
##例えば某映画DVDとか某サントラCDとか。私がお金を出したけど、
離婚となれば夫婦の家計から買った共有財産とみなされるだろうなぁ(笑)。
Re:個人情報 (スコア:2, 興味深い)
そのフォームで送信したメールアドレスに指示のメールが届く。その指示にしたがいなさいということになっている。
（メールではまず冒頭に「SP2」を http://updates.xcp-aurora.com から入手してインストールしろとか書いてある。）
この場合の問題点は、ユーザから見て「本物の指示メール」と、「Sonyからのメールであるかのように偽装した悪意を持ったメール」との区別がつかないことだ。
それに、xcp-aurora.comって言われても普通の人は知らないだろうから、知らないドメインから何かダウンロードしてインストールすることを要求されていることになる。悪意を持ったメール届いて、それがダウンロード元としてxpc-aurora.comを指定しててもxcpaurora.comでもWeWillStealYourMoney.comでも疑うきっかけは与えられないわけ。
悪意を持ったメールはスパムとして無差別にバラまいてもいい。あるいはSONYBMGの問い合わせフォームは暗号化されていないので、そこらへんを突いて効果的に対象メールアドレスを収集できる可能性もあるかな。
SONYは自社ドメイン内にSP2プログラムを置いておくべきだし、メール経由で指示を流すのではなくWebに情報を置いておくべきだろう。
続報：eTrust、イタリア捜査機関 (スコア:5, 参考になる)
PC WORLDの記事 [pcworld.com]が、次の二つを伝えています。
(*) Association for Freedom in Electronic Interactive Communications - Electronic Frontiers Italy
訂正：イタリア捜査機関 (スコア:2, 参考になる)
また訂正。「ALCEI-EFIが、Colonel Umberto Rapettoに今回の件の捜査を依頼した」とのことですね。毎度すみません。
関連：SONY BMGのrootkit的手法、集団訴訟の可能性 [itmedia.co.jp]
SONY BMG 言い過ぎ (スコア:4, 興味深い)
こっそり通信 (スコア:3, 興味深い)
Re:こっそり通信 (スコア:5, 参考になる)
さらなる燃料追加… (スコア:3, 興味深い)
# タレコミにもある「Mark's Sysinternals Blog」へのコメントが初出かも？
Re:さらなる燃料追加… (スコア:2, 参考になる)
名物に旨いものなし！
rootkitのHack (スコア:3, 参考になる)
暴暴茶
やはり (スコア:2, すばらしい洞察)
Re:やはり (スコア:3, すばらしい洞察)
Re:やはり (スコア:4, 興味深い)
今の生活を手放したくないのは誰もが同じです。
Re:やはり (スコア:3, すばらしい洞察)
あるいはセキュリティ上重大な懸念があるソフトを
CCCD用に提供するベンダの神経も疑ったほうがよさげでは
＿＿＿＿
#風邪をひきました、脳が故障しています
#残念ながら仕様です。
Re:やはり (スコア:1, すばらしい洞察)
皮肉をこめて、おもしろおかしいくらいかと思うが。
大体、どんなに気をつけたってソフトにバグがあるのは、
コンピューターゲームを作ってる会社ならわかるはず。
実際にプレステゲームでやらかしてるのはあるわけだ。
もともと強烈な仕様設定であることも否定はしないが、
セキュリティ上重大な懸念になったのは、少なくともベンダにとっては事故。
（もちろん、ソニーという企業の特殊性を考えて意図的にやった
と言うヤツがいても俺はそれを否定しないが）
メディアからファイルをインストールする（今回のウイルスのようにな）
使い方っよりも、メディア自体を直接再生しようと考える人間のほうが
音楽CDというカテゴリでは圧倒的に多いというのに、
（今回のCCCDは2005年1月から施行されていて習慣化されてない）
PCにつっこむ限りは回避できないようなプログラムを選定した。
その結果、問題が発覚してもアンインストールを完全に行うには
ソニーに連絡しろという、それでは焼きこまれた不良は改善しないのに、
二度とPCに突っ込むなというような処置を強要しているわけだ。
事故を起こしてはならない場面で、事故るようなベンダーが
非難されるのは当然だが、それを杜撰なやり方で運用対処させる
っていうのは三菱のリコール隠しと手口が同じだ。
そもそも、音楽CDである事を選択していればこのような
事が起きなかったという大前提を忘れてはいけないのだよ。
それを踏まえて考えれば「CCCD用に提供するベンダの神経」など、
単に大規模案件を受注したがやらかした技術力の無い会社というだけ。
この問題の根本的問題は、ソニーBMGという優良なコンテンツを
大量保有している企業が、購入者をドロボウと決めつけた結果、
「とんでもない仕様でも採用するから作ってね」と受注したようにしか見えない。
その無神経さがなかったら、発注自体が無いはずだった。
Re:やはり (スコア:3, すばらしい洞察)
いずれにしても、こういう「消費者を縛って」自らの利益を保護する考え方は、問題が見つかったときに消費者の反感を買い集中砲火を浴びやすいという意味で、企業側は(サードパーティモノなどを)より慎重に注意深く導入しなければならないな、と勝手に教訓にしましたｗ
Re:やはり (スコア:3, 興味深い)
失敗＝潰れる、という図式が頭に浮かんで仕方がない。
ちょっとPCを知っててネットの危険性もある程度認識している20代、30代の一般的な人たちにとって
「通信が行われている」って事実だけで敬遠するに十分な理由になると思う。
そういう人たちは移り身も早いし必需品ではない以上、一度離れると二度と戻ってこないのではないのだろうか?
Re:やはり (スコア:2, 興味深い)
Re:やはり (スコア:0)
単にソフトウェアの実行に通信が必要な状況と、
その通信によって受け取ったデータを、組織が利用する「情報」として
収集するか破棄するかは別問題。
Re:やはり (スコア:1)
Re:やはり (スコア:0, フレームのもと)
勘違い (スコア:2, おもしろおかしい)
この件は放ったらかしかよ
ひどい会社だなぁ
と思ってしまった
Re:勘違い (スコア:1)
万が一、その主張に偽りが無ければ、
これは「サーバログを微塵も残していない」宣言じゃありませんか?!
アタックされようが踏み台にされようが、犯人は特定されない。
(アクセス情報すら収集していない!)
新手の「ノーガード戦法」として認知される日は来るのか?
訴訟始まる (スコア:1, 興味深い)
日本が一番重症？！ (スコア:1)
どうも「輸入盤」だから日本からは「対岸の火事」で済むと思ったら「大間違い」らしい。
いったい何に入り込んでるんだろう。CCCD?SonicStage？VAIOのプレインストールソフト？
+=======------
| K.Hamaura a.k.a. SeyfertSluw
| 「SFはどこまで実現するか」 復刊希望は→http://www.fukkan.com/vote.php3?no=4901
みんな大好き (スコア:0, 興味深い)
ここまでSONYばかり取り上げるのなら、カテゴリに「SONY」を追加したらどうでしょうか？
何故オフトピック？？？ (スコア:1, 興味深い)
＃最近の投稿を見ると、本当に必要だと思う。
Re:みんな大好き (スコア:0)
#と、つられてみる
Re:みんな大好き (スコア:2, 参考になる)
# だからって日本もとか思ってるわけではないですが。
Re:みんな大好き (スコア:0)
> カテゴリ作るほどしょっちゅう事件起こしてる訳じゃないでしょ。
しょっちゅう馬鹿な事をしたり、愚かな事をしたり、面白い事をしてます。
そんなSONYが大好きです。トピック化希望！
よく言及される日本企業はトピック作るべきだと思うよ。