SONY BMG のスパイウェア疑惑 †
SONY BMG が採用しているコピーコントロール CD 技術である XCP*1 を実装したソフトウェアが Rootkit と同様の手法で XCP 自身をユーザーから隠蔽しようとしていることが明るみになったことで問題になっています。
またこのソフトウェアは、ユーザーの了承を得ることなく特定のサーバーにユーザーの個人情報を送信している形跡があり、これはスパイウェアではないかと疑われています。
今回の問題点のまとめ †
- コンテンツ保護の名の下にインストールされる「Rootkit」
CCCD に採用されていた XCP というソフトウェアが Rootkit と同等の動作をすることで問題になっています。この Rootkit は XCP を隠蔽するために実装したらしいのですが、悪意のあるユーザーもこの Rootkit を利用（悪用？）することが容易でセキュリティ面で問題があると指摘されています。
- システムを不安定にさせる要因になる可能性
XCP は、自分自身を隠すため、システム制御(Kernel)の横取りをしています。通常、このような技術はクラッカーと呼ばれる輩がシステムを破壊・盗み見したことを悟られないよう証拠隠滅や隠蔽等で使用されます。一般的なソフトウェアではまずお目にかかることの無い技術です。
この問題をクローズアップした Winternals のマーク・ルシノビッチさんは、このプログラムは技術的には幼稚で練りこまれていないことを指摘しています。システム制御を横取りするプログラムを安定的に動作させるには、通常のプログラムよりも技術的に相当高いレベルを要求されるのですが、どうもこのプログラムはそうでは無かったようです。
- 了承も得ずに送信される個人情報
XCP は「歌詞やアルバムのジャケットのアップデートを探すためにSONY BMGのサーバに接続する」という動作を行うのですが、この動作はユーザーのプライバシーにかかわる情報をユーザーの了承を得て行っていない野ではないかとの指摘があります。また、この問題が発覚する前には XCP をインストールする手段が用意されていませんでした。
このようなソフトウェアのことを一般的に「スパイウェア」と言い、悪意のあるプログラムとして認識されています。
- 隠れて自己責任を強要する「シュリンクラップ契約」
XCP は、CD 挿入時点ではインストールされず EULA(End-User License Agreement、契約同意書) 同意後、インストールされるようです。また CCCD であるシールには「音響機器およびパソコンの種類を問わず、このCDの再生・複製については、お客様ご自身の責任で行なってください。その結果データの消失及び機器の破壊等お客様への損害が生じたとしても一切補償を受けられません」という内容の記載もあったそうです。
このような契約方式を一般に「シュリンクラップ契約」と言います。
スパイウェアの多くはユーザーに悟られないように様々な契約を結ばせ、断り無く合法的にユーザーの個人情報を取得しています。スパイウェア対策ソフトウェアメーカーの対応もユーザーの同意の上でのスパイ行為は違法ではないとの判断をする場合があり、スパイウェアによっては検知しないケースも多々あるようです。
記事の最後には「音楽を聴くのに、300行近い英文、それも契約書のような法律文書を読み、それへの合意を迫られなければならない」現状を読者に問いかけています。
- 著作権を保護する XCP が著作権違反の可能性
XCP には多くのフリーソフトウェアの Source が組み込まれている痕跡が実行ファイルの中に見られるとの指摘があります。仮にフリーソフトウェアが実装されているとするならば、それらのソフトウェアが適用しているライセンス(LGPLやGPL)に沿っていない配布を行っていることより、著作権違反の可能性が指摘されています。
仮にこれが真実であるならば、著作権を守るソフトウェアが著作権違反なんて、なんか皮肉ですね。
問題発覚後の対応 †
- 「ほとんどの人はrootkitとは何かを知らないのだから、気に掛けたりしないのではないか」
XCP 問題指摘後、SONY BMG は XCP をアンインストールするプログラムを配布しましたが、最初に配布したアンインストーラーは確実に削除するものではなく、さらにシステムをクラッシュさせる可能性もあると指摘されています。
また記事では SONY BMG 幹部が「ほとんどの人はrootkitとは何かを知らないのだから、気に掛けたりしないのではないか」と発言したことを取り上げています。この時点では特に大きな問題と言う認識はなかったようです。
- 返品理由は「欠陥品」
Amazon.com でも XCP 搭載 CD の返却プログラムを開始したそうです。Amazon.com 曰く「返品理由としては『欠陥品』を選択してください」だそうな。
- セキュリティ企業の「劣悪な倫理観」
今回のスパイウェア問題で各セキュリティ企業の対応の悪さが指摘されています。スパイウェア疑惑発覚後、通常なら我先に検出・削除を行っているのですが今回は反応が鈍いです。どのようなセキュリティリスクを負うかその説明も歯切れの悪いものだと記事には記載されています。総じて記事では「よく言っても無能だし、最悪の見方をするなら劣悪な倫理観の表れとも言える」と締めくくっています。
本来、ユーザー側に立ってユーザーのセキュリティを確保しなければならない立場の企業が、今回は企業利益を優先している状況で、今後もホントに信頼し続けることが出来るのか疑問を投げかけています。
- セキュリティ対策ソフトウェアによる「XCPの完全な除去は現時点では不可能」
セキュリティソフトウェアで XCP に仕組まれた rootkit が排除できるかどうか動作確認を行った記事がありました。検知できるものとそうでないものがくっきり分かれた形になっていますが、有名所のソフトウェアでは殆ど検知可能だったようです。
ただし、記事では検知は出来ても正しく復帰は出来ない可能性が指摘されています。
日本国内での影響 †
日本でも返金を始めとする影響が出始めていますが、XCP の影響は殆ど受けていないという見方が一般のようです。
もっとも、単にユーザーが気が付いていないだけのような気もしますが。
関連情報 †
特集記事 †
News †
- SONY BMGのrootkit CD訴訟、和解を最終承認 (ITmedia, 06.05.23)
SONY BMGの「XCP」入りCDを巡る集団訴訟で、和解が最終承認〜米地裁 (INTERNET Watch)
SONY BMGのrootkit CD問題、和解が承認 (Slashdot.jp)
- SONY BMGのDRM CD訴訟、和解を予備承認 (ITmedia, 06.01.10)
ニューヨーク地裁、XCP入りCDの製造を中止することで和解を予備承認 (INTERNET Watch)
- SONY BMGの「rootkit」訴訟、和解へ (ITmedia, 05.12.30)
マンハッタンによる訴訟の和解案の中で iTunes Music Store でのダウンロードがあるそうな。米国内の裁判だから日本には関係ないとは思うけどね。
- テキサス州、SONY BMGの「もう1つのスパイ的DRM」にも訴訟 (ITmedia, 05.12.22)
- 日本国内でも「XCP」採用CDの交換を開始〜ソニー・ミュージック (INTERNET Watch, 05.12.14)
- マイクロソフト、ウイルス駆除ツールで「XCP」のrootkitに対応 (INTERNET Watch, 05.12.14)
- 法廷に持ち込まれたソニーBGM「rootkit CD」問題の行方 (CNET Japan, 05.12.14)
- EFFが態度一転、「SONY BMGのパッチはインストールしないで」 (ITmedia, 05.12.09)
「ソニーBMGの『MediaMax』用パッチは適用しないように」，米EFF (IT Pro)
- SONY BMGが採用したコピー防止ソフト「MediaMax」の修正パッチにも脆弱性 (INTERNET Watch, 05.12.09)
CCCD 関連のソフトウェア開発を行っている会社の技術力の無さが目立つ。ネットに接続したり、システムの重要なファイルを書き換えたり乗っ取ってみたりするのだから、相当の手練で無ければならないはずなのに。
むしろ技術力の無さがこんな思い切った仕様に踏み切らせたのかも知れない。もちろん発注元のポリシーにも影響があったと思われるが :-P。
- Antinnyを投下するトロイの木馬、コピー防止ソフト「XCP」で隠蔽工作か (INTERNET Watch, 05.12.08)
- ソニーBMGのコピー防止機能付きCDにまた別のセキュリティ問題 (CNET Japan, 05.12.07)
XCP以外のコピー防止ソフトにも脆弱性、米SONY BMGが認める (INTERNET Watch)
SONY BMGのMediaMax脆弱性問題でEFFが対策に協力 (ITmedia)
XCP ではない他のコピーコントロールソフトウェア*3に脆弱性が認められたとのこと。
- SONY BMG、「XCP」削除ツールの新版を公開 (INTERNET Watch, 05.12.06)
- ユーザーのPCをコントロールする権利は誰にあるのか (CNET Japan, 05.11.25)
PC の普及と著作権保護のバランスの取り方が間に合っていない、という指摘。だからって一時的に Spyware やら rootkit を受け入れろというのも乱暴な話ではないかと。
- 米ソニーCD問題：テキサス州当局、スパイウェア法違反で提訴 (Wired News, 05.11.22)
- ソニーBMGのrootkit CD問題、売上への影響は軽微--米調査会社発表 (CNET Japan, 05.11.22)
ブラフかどうかは判断が付かないけど CDDB(Compact Disc Database) のサービスに対して影響がないというのは信用出来そう。確かに「Rootkit」とか「Spyware」とか被害を受けたと言う実感が少ない分、CD 購入層には興味の無い事件だったのかもしれない。
Antinny に感染しても P2P ライフには影響が無いのと同じ雰囲気を感じる。
こりないねぇ。
- President of RIAA Says Sony-BMG Did Nothing Wrong (Slashdot.org, 05.11.21)
折角沈静化しようと努力している最中なのに何故この時期に燃料投下するかな。
- SONY BMG、「MediaMax」アンインストーラ問題でさらなる深みへ (ITmedia, 05.11.21)
ソニーBMGのCDに新たな問題--別のコピー防止用ソフトの削除ツールに脆弱性 (CNET Japan)
XCP 以外にも同様の問題が新たに指摘されています。CCCD に用いられている XCP ではないコピー保護ソフトウェア「MediaMax」のアンインストーラーにもセキュリティに問題があると指摘されています。
- SONY BMGが「XCP」入りCDの交換サービス開始、日本でも「対応を検討中」 (INTERNET Watch, 05.11.18)
ソニーBMG、CDのリコールプログラムを発表--新しいCDやMP3ファイルと交換へ (CNET Japan)
- コピー防止ソフト「XCP」入りCDは52タイトル、SONY BMGがリスト公表 (INTERNET Watch, 05.11.17)
- ソニーCDが明らかにしたセキュリティー業界の本質的問題 (Wired News, 05.11.17)
大手企業とセキュリティ企業との密接な関係にあるのではないかと疑問を投げかけています。スパイウェア検出にしたって、EULA にソレっぽい記述を記載し、アンインストーラーを用意すればスパイウェアと検出しないケースもあるだけに確かに気掛かりではありますね。
- ソニーBMGの「rootkit」CD修正用プログラム、さっそく攻撃の的に (CNET Japan, 05.11.17)
ソニーBMGのアンインストール・ツールを悪用するWebサイトが出現 (IT Pro)
- XCP「rootkit」組み込みマシン、日本は最多の21万台？――専門家が指摘 (ITmedia, 05.11.16)
まじでか。
- ソニーBMG、「rootkit」CDのリコール発表--別もセキュリティ問題も発覚 (CNET Japan, 05.11.16)
SONY BMG、コピー防止ソフト「XCP」入りの音楽CDを交換・回収へ (INTERNET Watch)
SONY BMG、XCP付きCDを交換へ (ITmedia)
ソニーBMG，“ルートキット”が入った音楽CDを交換および回収 (IT Pro)
再度 SONY BMG から謝罪が入った模様。最初に出荷したアンインストールプログラムもセキュリティ的に問題ありとの見解が出ています。ボットネットの一員として働く要素があるらしい。
- ソニーBMG社CD：感染は50万以上のネットワークに？ (Wired News, 05.11.15)
- 職場へのCD持ち込み禁止か--ソニーBMGの「rootkit」CD問題で (CNET Japan, 05.11.15)
CCCD 製品持ち込み禁止かソニー製品持ち込み禁止ならまだしも CD 全般持ち込み禁止というのは納得行かないな。まずは CCCD 製品の持込申請から始めて CD 販売店には CCCD 対応非対応の表示を義務付ける。これジューヨー。
CD や音楽が非セキュアではなく CCCD の考え方が非セキュアなのだから。
- ワイアード・コラムニスト「ソニー製品ボイコットを」 (Wired News, 05.11.14)
- マイクロソフト、ソニーBMG製CDの「rootkit」を削除へ (CNET Japan, 05.11.14)
アイタタタ。今度は MS も今回の件を「rootkit」として認識したらしい。月刊 Windows Update で提供している「悪意のあるソフトウェアの削除ツール」や「Windows Defender」にも対応する方針らしい。
- 「rootkit」騒動渦中のSONY BMG、XCP技術採用CDの製造を中止 (ITmedia, 05.11.12)
ソニーBMG、問題のコピー防止機能付きCDを一時製造中止に (CNET Japan)
記事には「SONY BMGは「当社と我々のアーティストの知的所有権を保護するための重要なツールとして」コンテンツ保護技術を擁護する立場にあると主張している」とあったが、一般ユーザーのプライバシーや安全性はないがしろでもアーティスト優先というわけなのでしょうかね。
- SONY BMGの「rootkit」手法悪用のトロイの木馬に「修正版」登場 (ITmedia, 05.11.11)
ここまでいくと愉快犯に近いかも。あまり相手にしない方が宜しいのでは？
- これは氷山の一角か--EFF、ソニーのrootkit組み込みCD19枚を発表 (CNET Japan, 05.11.11)
EFF*4 じゃなくて SONY BMG から直接情報を公開してもらえないものなのだろうか。
- SONY BMG「rootkit的」DRM悪用のトロイの木馬が出現 (ITmedia, 05.11.11)
はやくもトロイの木馬出現--ソニーBMG製CDのコピー防止ツールを悪用 (CNET Japan)
Symantec、SONY BMGのDRM技術を悪用したウイルス「Ryknos」を警告 (INTERNET Watch)
「$sys$drv.exe」というファイルをコピーする程度なので悪用というほどでも無いような気も。どちらかといえば「祭り」専用コンセプトウィルスに近いような。
- SONY BMG、rootkit的DRMめぐり訴えられる (ITmedia, 05.11.10)
カルフォルニア州の消費者らが今回のコピーコントロール CD に対し販売差し止めと金銭的損害賠償を求めたとのこと。
- ソニーBMG製CDの「rootkit」、ウイルス対策企業が検出ツールをリリース (CNET Japan, 05.11.10)
セキュリティメーカーの一部で今回のコピーコントロール CD を rootkit として認識するようにしたらしい。対応は各社のポリシーの問題からかマチマチ。
Symantec の場合、検出はするが削除はせず、削除方法を連絡するに留まっています。理由は「悪用される」可能性が高いため。こんな理由だと悪用されそうなソフトウェアを片っ端からリストアップするようになるのかな？と疑問。
CA の場合、検出・削除する対応を取るとのこと。理由は「高いセキュリティ上のリスク」が見られるとのこと。さらに CA は「事実上、ファイルに擬似ランダムノイズが挿入され、音質が悪くなる。気になるのは、説明がないこと、同意を求めないこと、そして簡単に削除できるツールが用意されていないことだ」と発言しています。
- SONY BMG、DRMソフトのrootkit問題で新パッチ、批判は収まらず (ITmedia, 05.11.09)
SONY BMGの幹部の発言がまた凄い。「ほとんどの人はrootkitとは何かを知らないのだから、気に掛けたりしないのではないか」とか「問題のソフトは、CDを不正なコピーやリッピングから守るためのものだ」とか。
無知なユーザーは、自社のためにスパイウェアを受け入れるのは当たり前だとでも言いかねないね。
- SONY BMGのrootkit的手法、集団訴訟の可能性 (ITmedia, 05.11.08)
- ソニー製CDのコピー防止機能、ウイルス対策ソフトで検出される可能性も (CNET Japan, 05.11.07)
ウィルス対策ベンダーの一つ(Kaspersky Lab)は、今回の rootkit 騒ぎのモジュールを「Spyware」として認識することとしたらしい。Spyware 配布メーカーの仲間入りですか＞SONY。
- SONY BMGのコピー防止CD問題に新たな指摘 (ITmedia, 05.11.07)
SONY BMGのrootkit問題対策パッチに新たな問題 (Slashdot.jp)
Winternals *5 の人に「このパッチを作ったのが誰にせよ、Windows向けドライバ作成の経験がそれほどないことは明らかだ」とまで言われています。彼らがそう判断するのですから間違いないはずです。よほど出来の悪い代物だったのでしょう。
Kernel まで手を出していたのかこの rootkit モドキ。怖いなあ。
- SONY BMG、コピー防止CDのrootkit問題に対処 (ITmedia, 05.11.03)
Sony BMGの米国内向けCCCDにルートキット (Slashdot.jp)
- ソニーの音楽CD、ウイルスに悪用される恐れ (Wired News, 05.11.01)
![[PukiWiki]](image/synchack.png "[PukiWiki]")
