Microsoft 2023年 個人向けの署名の鍵で企業のメールへ

個人向けのアカウントの署名の鍵が攻撃者の手にあり、それで作った偽のトークンを、企業向けのメールの仕組みが受け入れた。鍵は2016年に作られ、2021年に退く予定のまま回されていなかった。検証は署名だけを見て、どの発行元の鍵かを見ていなかった。どちらか1つが正しければ、企業のメールには届かなかった。

攻撃者は Microsoft が Storm-0558 と呼ぶ、中国を拠点とすると評価された集団[1]。Microsoft は2023年7月までに鍵を替え、検証の誤りを直し、顧客の側の対応は要らないとした[1][2]。米国のサイバー安全審査会 CSRB は2024年3月20日付の報告で、鍵がどう取られたかは分かっていないとした[4]。2026年11月時点の公開資料で書いています。

何が起きたか

• CSRB によれば、攻撃者は国務省だけでおよそ6万通のメールを取った[4]。Microsoft の最初の公表のおよそ25の組織は、CSRB の報告では22の組織と503の個人のアカウントになった[1][4]。
• 鍵を使えなくした日は資料で違う。CSRB は6月24日に鍵を無効にしたと書き、Microsoft の7月14日の分析は、6月27日にウェブ版で止め、6月29日に鍵を替えたと書く[4][2]。

通った道筋

どう見つかったか

• 国務省は、政府向けの上位の契約で、メールの読み出しの記録を取れていた。この記録は上位の版でなければ取れなかった[4]。
• 国務省は、3年の経験から、メール箱に触れるアプリを全部並べ、普段との違いを警告にする規則を作っていた。過去には誤検知もあったが、調べて悪意のある動きと判断した[4]。
• CISA と FBI の注意喚起は、見つけたきっかけを、普段メール箱を読まないアプリの識別子での読み出しの記録としている[6]。
• 商務省と英国の被害者は上位の記録を持っておらず、Microsoft が記録を有効にしても、その前の動きは見られなかった[4]。

どこで止められたか

守り方

悪い例と直した例。架空の ID の基盤が、個人向けと企業向けの鍵を1つの一覧で出す場合

// https://id.example.com/common/keys の中身。2つの発行元の鍵が並ぶ
// { "keys": [ { "kid": "p16", "iss": "https://id.example.com/personal" },
//             { "kid": "e24", "iss": "https://id.example.com/org" } ] }

// 悪い例 一覧にある鍵で署名が正しければ通す
const key = keys.find((k) => k.kid === header.kid);
const claims = jwt.verify(token, toPem(key));

// 直した例 企業の宛先は企業の発行元の鍵だけを受け、発行元と宛先を確かめる
const ORG = "https://id.example.com/org";
const key = keys.find((k) => k.kid === header.kid && k.iss === ORG);
if (!key) throw new Unauthorized();
const claims = jwt.verify(token, toPem(key), {
  algorithms: ["RS256"],
  issuer: ORG,
  audience: "https://mail.example.com",
});

• 鍵の選び方とトークンの発行元の確かめは、組で効く。どちらか一方だけなら、もう一方の誤りで崩れる。
• この形の誤りを見つける試験は、別の発行元の鍵で正しく署名したトークンを作って送り、拒まれることを確かめるもの。署名の誤ったトークンを拒む試験では見つからない。

参照

1. Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email MSRC、2023年7月11日、9月6日更新
2. Analysis of Storm-0558 techniques for unauthorized email access Microsoft Threat Intelligence、2023年7月14日
3. Results of Major Technical Investigations for Storm-0558 Key Acquisition MSRC、2023年9月6日、2024年3月12日更新
4. Review of the Summer 2023 Microsoft Exchange Online Intrusion Cyber Safety Review Board、2024年3月20日
5. Enhanced Monitoring to Detect APT Activity Targeting Outlook Online AA23-193A CISA、FBI、2023年7月12日
6. Expanding cloud logging to give customers deeper security visibility Microsoft、2023年7月19日