古いZIPファイルから30万ドル相当のビットコインを解放する試み

10月、マイケル・ステイはLinkedInで奇妙なメッセージを受け取った。全く見知らぬ人物が、彼のビットコインの秘密鍵にアクセスできなくなり、30万ドルを取り戻すためにステイに助けを求めてきたのだ。

ステイが「ガイ」と呼ぶ彼が、元Googleセキュリティエンジニアを見つけたのは、全く驚くことではなかった。19年前、ステイは暗号化されたzipファイルの解読技術を詳述した論文を発表していた。ガイは2016年1月、ビットコインブームのずっと前に、約1万ドル相当のビットコインを購入していた。彼はzipファイルに秘密鍵を暗号化していたが、パスワードを忘れてしまっていた。ステイが解読を手伝ってくれることを期待していたのだ。

今週の Defcon セキュリティ カンファレンスでの講演で、ステイ氏はその後に起こった壮大な試みについて詳しく述べています。

Zipは、寝袋を何とか収納できる小さな巾着袋のような、大容量ファイルの「ロスレス」圧縮に使われる人気のファイル形式です。Zipの実装の多くは安全性に問題があることが知られており、オレゴン州選出のロン・ワイデン上院議員は昨年夏、米国国立標準技術研究所（NIST）にこの問題の調査を要請しました。「パスワードが見つかれば、感謝します」と、The Guyは笑顔で書きました。最初の分析の後、ステイはファイルの解読に10万ドルかかると見積もりました。The Guyはその依頼を引き受けました。結局のところ、それでもかなりの利益が上がるからです。

「久しぶりに楽しい時間を過ごしました。毎朝仕事に取り掛かり、問題に取り組むのが楽しみでした」と、現在ブロックチェーンソフトウェア開発会社Pyrofexの最高技術責任者を務めるステイ氏は語る。「ZIP暗号は数十年前にアマチュア暗号学者によって設計されたものですが、これほどまでに堅牢に機能しているのは驚くべきことです。」しかし、一部のZIPファイルは市販のツールで簡単に解読できるものの、この男はそう幸運ではなかった。

これが、この作業が高額になった理由の一つです。新しい世代のZIPプログラムは、確立された堅牢な暗号規格であるAESを使用していますが、The Guyのケースで使用されたような旧式のZIPプログラムは、しばしば解読可能なZip 2.0 Legacy暗号を使用しています。ただし、解読の難易度は実装方法によって異なります。「何かが壊れていると言うことと、実際に解読するのは全く別の話です」と、ジョンズ・ホプキンス大学の暗号学者マシュー・グリーンは述べています。

ステイには、そのアプローチを決定づける手がかりがほとんどなかった。ガイがzipファイルの作成と暗号化に使用したノートパソコンをまだ持っていたため――これは、そもそもビットコインが彼のものだったことを示す確かな証拠でもあった――ステイは少なくとも、どのzipプログラムでファイルを暗号化し、どのバージョンで実行したかを把握していた。また、ファイル作成時のタイムスタンプも持っていた。Info-ZIPソフトウェアは、このタイムスタンプを暗号方式の決定に利用している。膨大なパスワードと暗号鍵のプールから、ステイは鍵の数を100京単位にまで絞り込むことができた。

この規模の攻撃を実行するには、クラウドグラフィックプロセッサユニットをレンタルする必要があります。Stayは、PyrofexのCEOであるNash Fosterに暗号解読コードの実装とNvidia Tesla汎用GPU上での実行を依頼しました。プロジェクトが進むにつれて、Stayは攻撃を改良し、結果を出すまでの実行時間を短縮することができました。

「当初の想定では、エンジニアリングに数ヶ月、そして攻撃を成功させるには数ヶ月かかるだろうと思っていました」とフォスター氏はWIREDに語った。「マイクは最終的に暗号解読でより効果的な仕事をすることができたので、攻撃の開発にはより多くの時間を費やしましたが、実行には約1週間しかかかりませんでした。これにより、マイクはインフラ費用を大幅に節約できました。10年前なら、専用のハードウェアを構築しなければこのようなことは不可能で、おそらくコストは彼のビットコインの価値を超えていたでしょう。」

しかし、GPUを使った膨大な処理が本当に機能するのかという疑問は依然として残っていた。数ヶ月に渡る問題の解決に尽力した後、ステイはついに試してみることにした。ガイはステイとフォスターにzipファイル全体を渡していなかった。もし鍵を解読できたとしても、彼の仮想通貨が盗まれる可能性を疑っていたのだろう。しかし、zipファイルの暗号化の仕組みを利用して、彼はステイとフォスターに暗号化された「ヘッダー」、つまりファイルに関する情報メモだけを渡し、実際の内容は教えなかった。最初のLinkedInメッセージから4ヶ月後の2月までに、彼らはすべてを準備し、攻撃を開始した。

10日間放送されたが、結局は失敗に終わった。ステイは後に「心が張り裂けそうだった」と綴った。

「以前にもバグはたくさんありましたが、ノートパソコンで試してみたテストは全て完璧に機能しました」と彼は言う。「もしバグだとしても、些細なバグで、発見に時間がかかるのではないかと心配していました」。2月中はビットコインの価格が下落し、それに伴ってZIPファイルの中身も下落していたことも状況を悪化させた。ガイは焦燥していた。

ステイは、何か分かりにくい誤った仮定や隠れたバグを心配しながら、攻撃を徹底的に検証しました。彼はすぐに、暗号方式で使用される乱数生成器の開始点としてどの数値、つまり「シード」を試すべきかという新しいアイデアを思いつきました。ガイはテストデータも徹底的に検証し、GPUが最初の試行で正しいパスワードを処理できなかった場合にエラーが発生することに気付きました。ステイとフォスターはバグを修正しました。攻撃にこれらの修正を加えた後、彼らは再び攻撃を試みる準備が整いました。

「ポン！ 大量のビットコインが出てきたよ」とフォスターは言う。「本当にホッとしたよ」とステイは付け加えた。

フォスター氏によると、最終的に攻撃実行にかかるインフラコストは、当初見積もっていた約10万ドルではなく、6,000ドルから7,000ドルにとどまったという。ガイは当初見積もった金額の約4分の1を支払ったという。

「彼は素晴らしい契約を勝ち取ったんだ」とフォスター氏は言う。「こういうプロジェクトは全く異例だ。もし彼の状況が違っていたら、あるいはもう少し新しいバージョンのZipを使っていたら、不可能だっただろう。しかし、今回のケースでは、私たちにできることがある。」