本文へ
ハクソク

世界を動かす技術を、日本語で。

Adobeが「Creative Cloud」のインストールを検出するためにホストファイルを修正

元記事: 原文(osnews.com)

概要

  • Adobe Creative Cloud が hostsファイル を書き換える事例
  • 目的は インストール状況の検出
  • JavaScript と画像リクエストを利用した仕組み
  • 過去の手法からの 変更理由
  • ソフトウェアの 倫理的問題提起

Adobe Creative Cloudがhostsファイルを書き換える理由

  • Windows や macOS でAdobe Creative Cloudをインストールすると、 hostsファイル に複数のエントリが追加される現象
  • 追加の目的は、ユーザーが Adobe Creative Cloud をすでにインストールしているかどうかの検出
  • ユーザーが Adobe公式サイト （https://www.adobe.com/home）を訪れる際、 JavaScript で特定の画像（https://detect-ccd.creativecloud.adobe.com/cc.png）を読み込む仕組み
  • hostsファイルに指定の DNSエントリ があれば、ブラウザがAdobeサーバーに接続し、インストール済みかどうかが判別される
  • エントリがなければ接続失敗となり、未インストールと判定される仕組み

以前の手法とその変更理由

  • 以前は http://localhost:<様々なポート>/cc.png へのアクセスで、ローカルのCreative Cloudアプリに直接接続して検出していた
  • Google Chrome が ローカルネットワークアクセス の制限を強化したため、従来手法が利用困難に
  • その結果、 hostsファイル書き換え という新たな手法に切り替え

ソフトウェア倫理とマルウェア化の懸念

  • 商用ソフトウェアが ユーザーのシステムファイル を秘密裏に変更する行為
  • このような行為が マルウェア とどの時点で見なされるかという倫理的問題
  • ユーザーの 同意や説明不足 による不信感の増大
  • セキュリティリスク やシステムの安定性への影響懸念
  • ソフトウェア開発者に求められる 透明性 と 説明責任

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

ディフェンダーはこれをフラグしないの？ホストファイルを変更したら警告が出るはずなんだけど。

└

Windowsのホストファイルは神聖じゃないよ。管理者なら誰でも編集できるし。俺もローカルホストにドメイン名を追加するためにやったことあるし。これについて心配してる人たち、昔は普通だったからね。ホストファイルはDNSの10年前に作られたんだ。エンドユーザーやアプリは、スタンフォード研究所からマスターコピーをダウンロードして、時々更新しながらホストファイルを意図的に編集してたんだよ。

└

これがWindowsでどう機能するのか気になるな。サービスが上書きしたりリセットしたりするのかな。

└

ファイルの権限でこれをブロックできないの？それとも、roフォルダー内のファイルへのシンボリックリンクとか？

└

ディフェンダーがこれが起こったって警告してくれるよ。

└

ほとんどのユーザーは気にしないと思うよ。特に、Adobeのインストーラーがインストール後にセキュリティ警告が出るかもしれないって警告してもね。実際、ホストファイルを編集するマルウェアはHTTPSのおかげであまり効果がないし、「google.com」のトラフィックを自分のIPにリダイレクトするのは簡単じゃないから。

前の議論からのコメントを再利用するね（4日前、68ポイント、13コメント）： https://news.ycombinator.com/item?id=47617463 _______ いやいや、絶対にダメだよ。Adobeのリーダーシップに例えてみよう： 1. あなたは夜間の清掃員を雇って、役員室を掃除してもらった。 2. その清掃員は、ひそかに各デスクの電話に立ち寄って、ボイスメールの設定を変更していた。 3. 変更後、外部の電話が特定の番号をダイヤルすると「このオフィスはAdobeの清掃サービスを受けました！」というメッセージが流れる。これを知った時、あなたはどう反応する？「男の子は男の子だから」って笑う？いや、違う！パニックで電話して、施設がアクセスを取り消して、ITが他の不正なサプライズをチェックし始めて、HRが契約の解雇を調べて、法務がデータ漏洩通知や訴訟、刑事告発の必要性をアドバイスする。* 物に触る許可があったから許されるの？違う。* 最終的な結果が無害だから許されるの？違う。* 雇用契約に「オフィスコミュニケーション体験を向上させる」みたいな曖昧な文があったから許されるの？違う。* もし彼らが悪意がなくてただバカだったら許されるの？違う。そんな線を軽々と越える人は、あなたのものの近くにいてはいけない、これが全てだ。

└

まぁ、あなたの例えには一つ欠点があるね： > 3. 変更後、外部の電話が特定の番号をダイヤルすると「このオフィスはAdobeの清掃サービスを受けました！」というメッセージが流れる。理論的には「どんな外部の電話」ではないよ。清掃員の部署からの電話だけがその番号をダイヤルして「はい、あなたがこのオフィスを清掃しました！」って言われるんだ。他の誰かがその内線をダイヤルしようとすると、デスクの電話はそれが何を意味するのか知らないふりをする。（だって、Adobeのサーバーが分析画像を提供する際、リクエストの発信元をチェックして、発信元がAdobeの自社サイトの場合だけ画像を提供するみたいだから。）その発信元の「セキュリティ」は、将来的な脆弱性や人為的エラーの可能性を考えると、複雑さを正当化するものではないよ。

└

会社に入ったら、従業員用の内部ネットワークに接続できるようにノートパソコンが設定される感じだね。これはすごく一般的なやり方だよ。

まぁ、ティーンエイジャーの頃、ホストファイルでAdobeのサーバーをブロックするのが「電話認証」に行く方法で、コードを生成できたから、これでおあいこかな、へへ。

└

あのCS2のトレントは最高だったね。

└

この記事のタイトルを見て、私もその記憶がよみがえったよ。Adobeだけじゃなくて、他の高いソフトウェアのクラックも同じだったね。…それからAdobeは、アクティベーションサーバーを停止した後、CS2の無料ダウンロードを（意図せずに）配布したんだ。有効なシリアル番号付きでね。今でもインターネットアーカイブで見つけられるよ。

Hacker Newsで議論の続きを見る

同じ出典の記事