『ミスター・ロボット』リワインド：エピソード4の脆弱性をチェック
[ネタバレ注意]この記事は「ミスター・ロボット」最新エピソードのサプライズの一部を公開する可能性があります。シーズン2、エピソード4：eps2.2_init1.asecをまだご覧になっていない方は、USA NetworkまたはiTunesで視聴してから、この記事に戻って秘密を解き明かしてください。
シリーズ最新作：シアトルに拠点を置くWatchGuard TechnologiesのCTO、Corey NachreinerがGeekWireで「Mr. Robot」のエピソードをレビューします 。番組はUSA Networkで毎週水曜午後10時に放送されています。Twitterで#MrRobotRewindをつけて会話に参加し、Coreyの@SecAdeptをフォローしてください。
「ミスター・ロボット」リワインドシリーズへようこそ。このシリーズでは、まるで10代のファンボーイのように「ミスター・ロボット」チームのl33t h4x0rライティングスキルを熱く語ります。冗談はさておき、USAの「ミスター・ロボット」がテクノロジーやハッキングをどれだけ正しく、どれだけ間違っているのか知りたいなら、ここはまさにうってつけの場所です。
とはいえ、主人公のハッカーがコンピューターに触れることを禁じられ、仲間が逃亡中という状況では、ハッキングシーンはそれほど多くありません。幸いなことに、「MR. ROBOT」シリーズでは、ハッキングシーンのないエピソードでも、セキュリティやテクノロジーに関する言及が数多く含まれています。さあ、このエピソードがどれほどハッキングされていたか見てみましょう。
ダーリーンはinit 1でクラッシュから回復しました
このエピソードの最初のオタクっぽいテクノロジーの言及は、ダーリーンがエリオットの話を遮って「init-1」と言った時でした。このシーンでは、これは兄弟間で真剣に助けが必要なことを示す合言葉のように見えました。エピソードの後半で、init-1は実はエリオットがコンピューターがクラッシュした時に初めて教えたコマンドだったことが分かります。
LinuxおよびUnixベースのシステムでは、initは初期化プロセスです。コンピュータの起動時に最初に実行されるプロセスであり、その後のすべてのプロセスを制御します。initは様々なランレベルをロードします。ランレベルは基本的に、マシンがどの状態で起動するかを定義します。例えば、ランレベルは、マルチユーザーモードで起動するかどうか、ネットワークサービスをロードするかどうか、GUIをロードするかCLIのみをロードするかを決定します。
Init-1 はシングルユーザーモードです。シングルユーザーモードでは、ネットワークサービスを使用せずに、スーパーユーザー（root または管理者アカウント）として CLI に直接起動します。このランレベルは主に問題の解決に使用します。Windows に慣れている方なら、ネットワークに接続せずにコマンドラインセーフモードで起動するようなものです。いずれにせよ、「sudo init 1」コマンドを入力すると、Linux コンピューターは即座に他のすべてのマシンから切り離されたモードに移行しますが、ローカルの問題を解決できます。
番組ではこのことについては具体的に説明されていませんでしたが、ダーリーンが「イニシエート・ワン」と言ったことは、助けを求める合言葉として的を射ていました。彼女はこの言葉を口にすることで、エリオットに、外部の邪魔を一切遮断し、大きな問題を解決するという真剣な仕事に取り掛かりたいと即座に伝えたのです。
私のアフィリエイトリンクでAPNを取得しました
数分後、2つ目の注目すべきテクノロジーの話題、そして今回のエピソードで最もハッキングに近いものに触れました。ダーリーンは、通常のテイクアウトをオンデマンドで配達する現実世界のサービスであるPostmateでデリバリーを注文した際、手の込んだハッキングで彼氏のPostmateクーポンを手に入れたと自慢していました。
「彼氏の携帯電話会社のAPNをサポートするPostmateのプロキシをハッキングしました。するとURLが書き換えられ、Postmate.comからのリクエストがすべて私のアフィリエイトリンクに送信されるようになりました。」
アフィリエイトリンクから始めて、これらの複雑な技術的参照を解読してみましょう。
多くのeコマースサイトにはアフィリエイトプログラムがあり、ユーザー、顧客、または広告主はeコマースサービスを紹介したり利用したりすることで何らかの利益を得ることができます。eコマースサイトは、一般ユーザーが気付かないようなアフィリエイトID情報を含む特別なリンクやURLを通じてアフィリエイト参照を追跡しています。例えば、お気に入りのテクノロジーブログやゲームブログが日替わりセールの情報を定期的に投稿しているとします。その記事には、Amazonの注文ページに直接アクセスできる「今すぐ購入」リンクが便利に配置されています。このリンクにアフィリエイトIDが含まれていることに気づかないかもしれません。そして、お気に入りのブログは、そのリンク経由で購入された商品に対してコミッションを獲得しているのです。
アフィリエイトクリックは金銭的な価値があるため、犯罪的なハッカーはそれを乗っ取ることに非常に熱心で、長年にわたり様々な手法を用いて行ってきました。いずれにせよ、ハッカーは楽しみと利益のためにアフィリエイトプログラムを乗っ取ることは可能であり、実際にそうしています。したがって、この言及のこの点は正確です。
次に、プロキシとURL書き換えについてお話しましょう。プロキシサーバーとは、ユーザーとインターネットの間に位置するコンピューターです。外部との接続すべてを仲介する役割を果たします。プロキシサーバーは、セキュリティフィルタリングを追加したり、接続を匿名化したりするために合法的に使用される場合もあります。しかし、悪意のある人物はプロキシサーバーを中間者攻撃にも利用します。プロキシサーバーはユーザーのすべてのWebリクエストを「監視」するため、転送中にリクエストを書き換えてしまう可能性があります。ダーリーンがURL書き換えについて言及している時、彼女はプロキシサーバーを制御できれば、すべてのURLのアフィリエイトIDを書き換え、彼氏の紹介を偽って獲得できるという意味で言及しています。この言及は正当です。
このパズルの最後のピースは、携帯電話会社のアクセス ポイント名 (APN) について言及していることです。APN は、モバイル デバイスがインターネットへのデータ接続を確立するために使用するゲートウェイの名前です。これは、携帯電話会社がデータ トラフィックを適切にルーティングできるように、携帯電話会社がキャリア ネットワーク上で自身を識別するために使用する設定です。特に、APN 設定にはプロキシ サーバー構成が含まれます。ただし、最近では多くのキャリアがユーザーを APN 設定から締め出しています。以前は、これらの設定をいじって無料のインターネットを利用したり、キャリアの制限を回避したりした人もいましたが、今では、ジェイルブレイク、ルート化、またはロック解除されたモバイル デバイスなしでは、それを実行するのは非常に困難です。言い換えると、ダーリーンが示唆するほど、ボーイフレンドの APN 設定にプロキシ サーバーを挿入するのは簡単ではないと思います。
しかし、結局のところ、モバイルデバイスにプロキシサーバーを設定する方法は数多くあります（グローバルプロキシ設定など）。本質的には、ダーリーンのアフィリエイトハックの基本的な構成要素は非常に現実的です。
エリオットはついにコンピューターと再会する
このエピソードでは、ついにエリオットがコンピューターと再会しました。分身との交渉が膠着状態に陥った後、エリオットはレイのコンピューター問題を解決することにしました（主に、妹とオンラインで連絡を取るためにコンピューターにアクセスするためです）。レイはエリオットに「移行」の指示を与え、エリオットを仕事に残しました。代わりに、エリオットはインターネットリレーチャット（IRC）チャンネルに接続し、妹とプライベートチャットをします。その方法は以下のとおりです。
- まず、エリオットは有名なターミナルエミュレーターであるPuttyを使って、Kaliサーバー（自宅のサーバーか、Evil Corpのコロケーションデータセンターなど、以前ハッキングしたサーバー）への安全なSSH接続を確立しました。彼が接続したIPアドレスには、ログインしようとする者にとって驚きの情報が隠されています。
- 次に彼は、Linux ユーザーなら人気の Linux IRC クライアントとして認識できる Bitchx コマンドを実行しました。
- ついに彼は妹と連絡を取ることができた。
これらはハッキングでもなければ、ほとんどのLinuxユーザーにとって特に刺激的でも高度なものでもありません。しかし、細部に至るまで非常に正確に描写されていました。正直なところ、ハリウッド映画で派手なグラフィックで「セクシー」に見せるのではなく、リアルなコンピューターの使い方を見せるというのは稀です。
その他多くの細かい技術的なニュアンス
このエピソードには、他にも多くの楽しいハッキング技術の要素が含まれています。
- 妹が助けを求めるのがどれほど大変だったかを説明する際、エリオットは脆弱性を露呈させなければパッチを当てることはできないと言及しました。しかし同時に、そうすることでエクスプロイトの脅威にさらされる可能性もあると指摘しました。この比喩は説得力があるだけでなく、ハッカーや情報セキュリティの専門家なら誰でも共感できる例えであり、エリオットが真の「ハッカー」であることを改めて証明しています。
- Torサーバーの移行手順に少し目を通すと、Nginxウェブサーバーのインストール、Torのインストール、鍵とデータの移行といった、かなり技術的な手順がステップバイステップで説明されています。手順は正確でしたが、一つ不満があります。レイは、他のネットワークIT担当者がこの移行はできないと主張したため、助けを求めていました。手順には、Linuxネットワーク担当者なら誰でもできるような内容が書かれていました。とはいえ、難しいのは安全なビットコインウォレットの設定ですが、手順には全く触れられていませんでした。
- ホワイトローズとプライスの電話会話の中で、二人は「エココイン戦略」について言及していました。これはおそらく、5月9日のテロ攻撃によって通貨に取って代わる可能性のある暗号通貨で経済崩壊を利用し、優位に立とうとする二人の戦略を指していると思われます。ビットコインと暗号通貨は現実世界でも非常に興味深い存在であり、将来的には経済的な影響を及ぼす可能性があります。ちなみに、過去のエピソードをよく見ると、「エココイン」への微妙な言及が見られます。これはEvil Corpによる暗号通貨の解釈のようです。
- ホワイトローズがFBIの内部通信にアクセスできることも判明しました。ニュースをご覧になっている方なら、米国が中国をはじめとする国家を様々な政府機関へのハッキングやデータ窃盗で非難しているのをご覧になったことがあるでしょう。ですから、この技術的な言及は間違いなく最新のものです。
- 最後の画面では、エリオットがFBIの偵察活動を行い、FBIがBlackBerry（比較的安全だと知られている）からAndroid端末に切り替えたことを知る場面がありました。どうやら実際にFBIはそうしたようです。次回のエピソードでは、エリオットがFBIをハッキングする様子が見られることを期待しています。
7月のイースター
いつものように、このエピソードには、さらに深く掘り下げたい人のために、楽しい技術的および芸術的なイースターエッグが満載です。
- ちょっと立ち止まって様々な書類やコンピューターの画面を見てみると、現実世界で実際に使われているIPアドレスやドメイン（192.251.68.249、192.251.68.251、irc.eversible.co、irc.colo-solutions.net）がいくつも見つかるでしょう。これらの中にはTorのロゴが表示されたウェブサイトにリンクするものもあれば、エミュレートされたIRCサーバーにリンクするものもありました。IRCサーバーで小さなパズルを解くと、エピソードでは見られなかったエリオットとダーリーンのチャットでの会話のセリフが見つかります。ヒント：これは、エリオットがどのようにしてFBIに潜入するのかを裏付けるものになりそうです。
- サム・エスメイルはどのエピソードでも音楽の使い方が巧みだ。あるシーンでは、グリーン・デイの「バスケット・ケース」の子守唄カバーが流れる。心に深く刻まれるほど美しいだけでなく、この曲の歌詞は精神の不安定さに触れており、これは明らかに「ミスター・ロボット」の登場人物の多くに当てはまる。しかし、この曲が示唆しているのはもっと深いところにあるように思う。グリーン・デイのミュージックビデオを見れば、他の類似点も見えてくるだろう。ビデオは精神病院で撮影されており、エリオットの居場所に関する仮説と関連している。そして、何人かの患者が興味深いマスクをかぶっている。Fsocietyのシンボルと完全に一致するわけではないが、どこかで見覚えがある。
- このエピソードでは「オペレーション・ベレンステイン」に言及しています。意図的ではないかもしれませんが、これはパラレルユニバースの陰謀と関連している可能性があります。
- エリオットの母親のクロスワードパズルには、何か秘密が隠されているようです。もっと詳しく知りたい方は、Redditをご覧ください。
- エリオットとミスター・ロボットの膠着チェスゲームは、どちらもこの内部戦争に勝つことはできないことを象徴しており、別の人気ハッカー映画に登場する有名な三目並べゲームへのオマージュのように思えます。
- IRC サーバーで使用されるチャンネルとニックネームには、すべて深い意味があります。
- このエピソードでは、エリオットとダーリーンのお気に入りの架空の 1980 年代のホラー映画も見ることができます。
今週はどんな教訓を学びましたか?
実際のハッキングは行われていませんが、このエピソードでセキュリティに関する重要な瞬間は、エリオットが脆弱性を公開することのメリットとデメリットを説明した部分でした。そのポイントは？パッチです！研究者が脆弱性を公開することで、ハッカーに悪用される可能性のある箇所を見せる可能性がある一方で、ソフトウェア開発者が欠陥を修正することも可能になります。セキュリティアップデートがリリースされ次第、確実に適用していれば、ハッカーが既知の欠陥を悪用する心配はありません。
このエピソードは「FBIをハッキングする」というセリフで幕を閉じましたが、今後のチャプターはハッキング要素満載になること間違いなしです。次回も「ミスター・ロボット」の技術的な詳細を掘り下げていきますので、ぜひご参加ください。いつものように、ご質問、ご意見、ご感想など、下のコメント欄にご記入ください。
