■3行でわかる
- VPSのネットワーク構成に関する脆弱性が告発された
- 他のサーバーや利用者PCに及ぶ恐れが指摘された
- 問題の構成は2019年から続いていたと主張されている
■GMOクラウドVPSの構成に重大な疑惑
GMOクラウドVPSをめぐり、同じネットワーク上の別サーバーや利用者のPCにアクセスできる脆弱性があるとの告発が出た。告発側は、VPSのネットワークをActive Directoryで構築し、サポート時に使う認証情報が管理者権限につながる構成だったと主張している。さらに、リモートデスクトップの設定によって利用者PCのドライブまで共有される可能性も指摘された。問題の構成は少なくとも2019年から続いていたという。
■管理者権限につながる構成だったとの主張
告発側の説明では、サポート担当者が利用者PCに接続する際、管理者権限の認証情報が見える状態になっていたという。その情報を通じて、同じネットワークにある別のVPSへ移動できる危険性があったとされる。
■リモート接続でPCのドライブ共有も指摘
「お名前デスクトップ」のRDP設定では、ローカルPCのドライブ共有が初期状態で有効だったと告発側は説明している。主張どおりなら、VPSを利用する接続が、利用者自身のPC内のデータにも及ぶ可能性がある。
■解約済みサーバーの稼働も問題視
告発側は、解約後のサーバーが次の注文まで停止されず、数千台が数か月にわたって稼働していたとも主張した。また、顧客PCのデータ抽出やバックドア設置につながる恐れを挙げている。
■よくある疑問
Q. どのような危険性が指摘された？
A. 別のVPSへのアクセスや、利用者PCのドライブ共有を通じたデータへの接続が可能になる恐れが指摘された。
Q. 問題の構成はいつから続いていた？
A. 告発側は、少なくとも2019年から続いていたと主張している。
■まとめ
告発の内容が事実なら、VPSの分離だけでなく、サポート接続や利用者PCとの連携まで見直しが必要になる問題だ。
この告発が事実なら、問題の中心は単なる設定ミスではなく、権限をどう分けて運用するかという設計の甘さにある。VPSは利用者ごとに分離されているという期待があるからこそ、別サーバーや個人PCへつながる構成は重い。サポートの便利さを優先して境界を曖昧にすれば、便利さの請求書は利用者に回る。セキュリティは宣伝文句ではなく、侵入経路を塞いで初めて商品になる。見栄えより分離を優先すべきだ。
サポート用の接続が管理者権限に直結するのは怖すぎるンゴ。
VPSだけ借りたつもりで自宅PCまで共有、はさすがに想定外やろ。
Active Directoryを使うこと自体より、権限の切り分けが肝心なんやな。
解約済みサーバーが止まらん話まで出ると、運用管理も気になるわ。
少なくとも2019年からという主張、期間の長さがガチで重い。
データ抽出やバックドアの話は、利用者の不安を一気に大きくするやんけ。
VPSの安全性ってスペック表だけでは測れんのやな。ワイも考えさせられる。
法人向けをうたうサービスなら、権限管理は土台の土台やろ。