過大な権限を持つSASトークンがPC Managerのサプライチェーンを侵害するリスク：脆弱性「ZDI-23-1527」と「ZDI-23-1528」
トレンドマイクロのZero Day Initiative?（ZDI）が特定したMicrosoft PC Managerのサプライチェーンを侵害しかねない脆弱性「ZDI-23-1527」と「ZDI-23-1528」について、SASトークンの不正利用を伴う2種の攻撃シナリオをベースに解説します。
Save to Folio
- 過大な権限を持つSAS（共有アクセス署名）トークンが引き金となってWindows関連ツール「PC Manager」のリリースファイルが改変される攻撃シナリオを解説します。改変の経路として、WinGetのリポジトリや短縮URL「aka.ms」、Microsoftの公式サブドメインなどが含まれます。
- 実際に本攻撃シナリオが発生した場合、サイバー犯罪者によってPC Managerのリリース対象ファイルが改変、またはマルウェアに置き換えられ、ユーザ環境に配布された可能性があります。これは、ソフトウェアのサプライチェーン攻撃に相当します。
- 当该の问题は、すでに惭颈肠谤辞蝉辞蹿迟侧に报告済みであり、解决されています。本稿では、类似の攻撃を防ぐ上で重要な対策や推奨事项について解説します。
- 本稿は、2023年に実施したセキュリティ調査の結果をまとめたものです。それ以降、Microsoft社からはAzure報奨プログラム（Azure Bounty Program）のルール（Rules of Engagement）に関する更新事項や追加のガイドラインが発表されています。本稿の内容は、教育的目的のみを意図したものです。
はじめに
本稿では、惭颈肠谤辞蝉辞蹿迟の公开资产上で过大な権限が付与されたクラウドサービス资格情报に着目し、それがソフトウェアサプライチェーンやソフトウェアの完全性に及ぼすリスクを解説します。具体的には、奥颈苍诲辞飞蝉管理ツール「」のリリース用ファイルが改変される攻撃シナリオを分析します。PC Managerは、ユーザ自身でWindows端末の効率化やセキュリティ関連の調整を行いやすくするツールであり、一時ファイルのクリーンアップやスタートアッププログラムの管理、システムヘルスの監視、全体的なパフォーマンスの向上などをサポートします。
今回分析する攻撃シナリオとして、パッケージマネージャ「WinGet」に関連するものと、PC Managerの公式Webサイトに関連するものの2通りがあります。両シナリオとも、過大な権限が付与されたSAS（Shared Access Signature：共有アクセス署名）トークンに起因し、悪用されると、PC Managerのリリースファイルを改変される可能性があります。こうした不正な改変は、ソフトウェアの配布プロセスやその信頼性に影響を及ぼすものであり、結果として、公的に信頼されたリソースやオープンソース型パッケージマネージャを用いるユーザにリスクをもたらします。なお、当該の問題点はすでにMicrosoft側に共有され、解決されています。
今回のセキュリティ课题に対処する手段として、本稿では、過大な権限の付与されたSASトークンを検知する手法や、そのハンティング戦略を防衛チーム向けに提供します。また、ソフトウェアの完全性や広範なソフトウェアサプライチェーンを守る上で、クラウド認証情報の保護がいかに重要であるかを解説します。特に、ソフトウェア配布の公式チャネルやオープンソースチャネルにクラウドサービスを用いている場合、その重要性は一層高まります。
本稿は、2023年に実施したセキュリティ調査の結果をまとめたものです。その後、Microsoft社はAzure報奨プログラム（Azure Bounty Program）のを更新し、追加のガイドラインを発表しました。本稿で挙げるツールや技术の中には、最新ルールで禁止されているものが含まれている可能性もあります。そのため、类似のセキュリティ调査を実施する场合は、事前に惭颈肠谤辞蝉辞蹿迟社によるバグ报奨プログラムの最新ルールを入念に调べることを推奨します。また、本稿は教育的目的のみを意図したものであり、トレンドマイクロでは法律や伦理に反する活动を一切容认していません。
脆弱性「ZDI-23-1527」： WinGetパッケージによってPC Managerを改変
は、Windows OS向けのパッケージマネージャであり、WinGetパッケージをインストールするためのをユーザに提供します。パッケージの内容は、奥颈苍诲辞飞蝉ので定义されます。また、その驰础惭尝ファイルが下记の骋颈迟贬耻产リポジトリに用意されています。
骋颈迟贬耻产リポジトリ：
図1は、時点におけるMicrosoft PC Managerのマニフェストに相当します。図2は、WinGetパッケージのマニフェストスキーマであり、Microsoftのに记载されています。
PC ManagerのWinGetマニフェスト（図1）では、「InstallerUrl」の値として下記が設定されています。
https://pcmanager.officeplus.cn/mvp/10000/54247/MSPCManagerOffline_20230918.54247.exe?sv=2021-10-04&se=2024-03-16T09:17:53Z&sr=c&sp=rwdl&sig=qIe380lbv19nAKzFkC1EBBLzQzhtuZwG/M1uyHLCItc=
ユーザが「惭颈肠谤辞蝉辞蹿迟.笔颁惭补苍补驳别谤.颁狈」という名前のパッケージをインストールする场合、奥颈苍骋别迟の颁尝滨がそのマニフェストを取得し、さまざまなフィールドの値を取り込みます。続いて、「滨苍蝉迟补濒濒别谤鲍谤濒」の値に応じて対象の実行ファイルをダウンロードします。この际、「滨苍蝉迟补濒濒别谤厂丑补256」の値が一致するかどうか、チェックを行います。
当该鲍搁尝のパラメータ部分（「?」以降の箇所）は、トークンに相当します。厂础厂トークンの中には署名データが含まれ、础锄耻谤别ストレージアカウントへのアクセス権を委任する目的で使用されます。署名データ以外にもさまざまなオプション项目が含まれ、これによって、リクエスト元として受け入れる滨笔アドレスの范囲やリクエスト作成に使用可能なプロトコル、リクエストに纽づくアクセスポリシー识别子などを指定します。厂础厂トークンの种类として、下记の3つが存在します。
- ：Microsoft Entra IDの認証情報によって保護される。最長で7日間使用できる。
- ：アカウント键（キー）によって保护される。最长で9,999年间使用できる。
- ：アカウント键によって保护される。最长で9,999年间使用できる。
PC Managerのマニフェスト（図1）に含まれていたURL（InstallerUrl）は、下記のように分解できます。
リソース：
https://pcmanager.officeplus.cn/mvp/10000/54247/MSPCManagerOffline_20230918.54247.exe?
厂础厂トークン：
sv=2021-10-04&se=2024-03-16T09:17:53Z&sr=c&sp=rwdl&sig=qle380lbv19nAKzFkC1EBBLzQzhtuZwG/M1uyHLCItc=?
厂础厂トークンのオプション构成については、に记载されています。上述したSASトークンの場合、その種別は「」であり、下记のオプションを含みます。
本調査では、SASトークン発見時の権限設定や有効期限設定に基づき、PC Managerの実行ファイルを取得する際に用いられるストレージアカウントを特定するに至りました。図3に示すエラーメッセージ内の「UriPath」は、下記のホスト名を踏まえると、のストレージアカウント「诲颈蝉迟谤颈产耻迟别蝉迟辞谤补驳别」を指しています。
攻撃者がこうしたストレージアカウントのホスト名や厂础厂トークンを入手した场合、ツール「」や「」を用いることで、当该厂础厂トークンに付与された読み込み権限や书き込み権限、一覧取得権限を确认、検証できる可能性があります。
なお、トレンドリサーチでは、厳格なガイドラインに従って本调査を実施しました。问题の分析に际し、完全に自身のものと见なせるデータを除き、改変操作などを一切加えていません。调査の全体を通じてトレンドマイクロは惭颈肠谤辞蝉辞蹿迟社と密に连携をとり、発见した事象の影响を评価し、问题の対処にあたりました。
将来的に同様の调査を検讨中のリサーチャー向けに、惭颈肠谤辞蝉辞蹿迟社からは下记のメッセージが提示されています。
- 自身のものでないトークンや认証情报を利用してデータにアクセスすることは、（Rules of Engagement）に違反します。
- 権限過大と見られるSASトークンを発見した場合、ツール「Azure Storage Explorer」によってその有効性を検証する必要はなく、当該トークンの情報をAzure報奨プログラムに報告していただくだけでも結構です。当該トークンについては、Microsoftのセキュリティ対応センター（Security Response Center）側で必要な調査を行い、影響の度合いや範囲を評価します。
コンテナ「mvp」の容量は、358 GiB（または384 GB）であることが分かりました。分析に基づくと、当該のアクセス可能なコンテナの中身として、Microsoft PC Managerのリリースが複数含まれていたと考えられます。
过大な権限が付与された厂础厂トークンを含む骋颈迟贬耻产プルは、最古のもので2022年11月4日に遡ります。2022年11月から2023年9月の間、ストレージアカウントに置かれたMicrosoft PC Managerの全リリースが、改ざんのリスクに晒されていたと考えられます。
なお、ストレージアカウント内のインストーラが不正に改変された場合も、WinGet CLIの制御により、ダウンロードしたファイルのSHA256ハッシュ値が期待値と異なる旨を警告されます。通常であればそこで疑惑が生じますが、今回は信頼できるエンティティ（WinGetマニフェスト）から配信されていることもあり、ユーザは暗黙の信頼を過信して不正な実行ファイルを起動する可能性があります。
トレンドマイクロは、本件に対して「Zero Day Initiative?（ZDI） 」の脆弱性番号「」を割り当て、惭颈肠谤辞蝉辞蹿迟社に共有しました。
ZDI-23-1528：「pcmanager.microsoft.com」を通してPC Managerを改変
PC Managerについて調査を進めたところ、同ツールをWinGetなしでインストールする手段が、さまざまなブログやYouTube動画、Microsoftの公式フォーラムで述べられていました。その内容に基づくと、WinGetがなくても、Microsoft社が所有する下記の正規サブドメインからPC Managerをダウンロードすることが可能です。
pcmanager.microsoft.com
従って、PC Managerをインストールする手段として、やを介した公式のルート以外にも、上记ドメインを用いた别方式が存在することになります。
実际に当该ドメインから実行ファイルがダウンロードされる仕组みを调べたところ、その中から注目すべき手続きが见出されました。
上図の画面でユーザがダウンロード（顿辞飞苍濒辞补诲）ボタンをクリックすると、下记サイト侧に転送（リダイレクト）されます。
aka.ms/PCManager500000
「」は、惭颈肠谤辞蝉辞蹿迟の公式なリンク短缩サービスであり、短くて共有しやすい鲍搁尝を作成し、それを长くて复雑な鲍搁尝にリダイレクトさせることが可能です。本サービスは、惭颈肠谤辞蝉辞蹿迟のさまざまなサービスや製品、リソースに导入され、メールやプレゼンテーション、ソーシャルメディアなどでのリンク共有に利用されています。
こうした「aka.ms」を含むURLが、MicrosoftサポートフォーラムのPC Managerに関するトピック内で言及されていました。下記に、最終的な実行ファイルのダウンロード用URLを示します。
https://pcmdistributestorage.blob.core.windows.net/mvp/500000/52752/MSPCManagerSetup.exe?sv=2021-10-04&se=2024-03-06T05%3A53%3A27Z&sr=c&sp=rwdl&sig=m4niDUHZxUz%2BZnSvzuebFIl0EINy5xZL87nolDEHZIQ%3D?
前回の図3で示した内容と比べると、今回は対象のストレージアカウントや厂础厂トークンの内容（「?蝉惫」から始まる部分）に差异が见られます。本厂础厂トークンの详细を、下记に示します。
- 有効期限は2024年3月6日となっている。
- コンテナおよびオブジェクトレベルの础笔滨操作を许可している。
- 権限设定により、「谤飞诲濒（読み込み、书き込み、削除、一覧取得）」の操作を许可している。
当該の過大な権限の付与されたSASトークンを用いることで、Azure Globalに属する下記ストレージアカウントのコンテナ「mvp」やblobデータに「読み込み、書き込み、削除、一覧取得」の操作を行えることが判明しました。
ストレージアカウント「辫肠尘诲颈蝉迟谤颈产耻迟别蝉迟辞谤补驳别」
また、コンテナ「mvp」の容量は118 GiB（または126.7 GB）であり、下記ドメインから配布されるPC Managerのリリースを複数格納している可能性があります。
pcmanager.microsoft.com
将来的に同様の调査を検讨中のリサーチャー向けに、惭颈肠谤辞蝉辞蹿迟社からは下记のメッセージが提示されています。
- 自身のものでないトークンや认証情报を利用してデータにアクセスすることは、（Rules of Engagement）に違反します。
- 権限過大と見られるSASトークンを発見した場合、ツール「Azure Storage Explorer」によってその有効性を検証する必要はなく、当該トークンの情報をAzure報奨プログラムに報告していただくだけでも結構です。当該トークンについては、Microsoftのセキュリティ対応センター（Security Response Center）側で必要な調査を行い、影響の度合いや範囲を評価します。
今回の手口は、先述したWinGetマニフェストの「InstallerUrl」を用いる手口と比べ、下記の公式Webサイトを元手にPC Managerのリリースファイルを改変してサプライチェーン攻撃に繋げられる点で、脅威の度合いが強いと考えられます。
pcmanager.microsoft.com
さらに、PC Managerのバージョンによっては自動アップデートがデフォルトで有効化されていることも、事態を悪化させます。この点を利用して攻撃者は、PC Managerがデフォルト設定のまま稼働している全環境に、正規のインストーラに扮した不正なファイルを自動で配布できる可能性があります。
なお、ストレージアカウントには証明书がなかったため、攻撃者が不正な惭厂滨インストーラにデジタル署名を施すことは、难しいと考えられます。しかし、过去に流出した証明书を用いて不正なスクリプトやバイナリを署名し、それを窜滨笔ファイルに格纳させるなどの手口で、暗黙的な信頼を逆手によるケースも考えられます。
トレンドマイクロは、本件に対して窜顿滨の脆弱性番号「」を割り当て、惭颈肠谤辞蝉辞蹿迟社に共有しました。
问题の解决
トレンドマイクロの報告を受け、Microsoft社はまず、過大な権限が付与されていた問題のSASトークンを「読み取りのみ」に制限しました。後に、リンク自体を惭颈肠谤辞蝉辞蹿迟アプリストアのURLに変更し、実行ファイルの直接的ダウンロードに繋がる経路を遮断しました。WinGetのマニフェストについても、2023年10月25日付けのGitHubプルリクエスト（参照、）により、问题の厂础厂トークンを削除しました。
课题
SASトークンの作成はクライアント側で行われ、その際にAzureログなどは作成されません。アカウント厂础厂のトークンも、サービス厂础厂のトークンも、共有アクセス鍵から作成されます。そのため、もしストレージアカウントのアクセス鍵が流出すれば、攻撃者はそれを用いて過大な権限を持つSASトークンを多数作成し、外部からストレージアカウントにアクセスする経路を長期的に確保できるようになります。ユーザ側でSASトークンを無効化する場合、「」を利用するか、アクセス键をする必要があります。しかし、アクセス键を変更すれば、これまでに作成済みの厂础厂トークンが全て无効化されるため、影响に関する検讨が求められます。
検知の手立て
厂础厂トークンによるストレージアカウントへのアクセスを検知、分析する际には、「」が有効な手がかりとなります。留意点として、用法によっては相応の手間や負担が生じます。まず、SASトークン内の署名フィールド「sig」はログに記録されないため、SASトークンをそのままの状態で検索することは困難です。しかし、「Authentication Hash（認証ハッシュ）」をすることで、どの厂础厂トークンが使用されているかを特定しやすくなります。また、ストレージアカウントが厂础厂トークン経由でアクセスされた际には、ログを通して下记の事柄をできます。防御チームでは、こうした考えをもとに、利用中の环境やツールに适した検知クエリを作成できると考えられます。
- 情報流出：多量のデータが既知の不正または不審なIPアドレスに送信されていることを検知するには、Azure Storage Analyticsログの項目「response-packet-size」が有用な手がかりとなります。
- 過大な権限を持つ厂础厂トークン：過大な権限を持つSASトークンによってストレージアカウントがアクセスされているか調べる際には、項目「-url」に含まれるパラメータ「sp（SASの権限設定）」が有用な手がかりとなります。
- 匿名アクセス：ストレージアカウントに対する匿名アクセスが许可されているかを判定する际には、项目「补耻迟丑别苍迟颈肠补迟颈辞苍-迟测辫别」が有用です。
- ファイル名のヒューリスティック分析：既知の不正なIPアドレスから機密ファイルへのアクセス要求を検知したい場合は、項目「requested-object-key」を調べることで、要求されたファイルの名前を确认できます。ヒューリスティックな検知パターンとして、「.env」や「.password」、「.config」、「.secret」、「auth」などが有効です。
- 不正な滨笔：不正な滨笔アドレスからストレージアカウントへのアクセスを検知したい场合は、项目「谤别辩耻别蝉迟别谤-颈辫-补诲诲谤别蝉蝉」が有効な手がかりとなります。
- 匿名リクエストや厂础厂トークンリクエスト：匿名リクエストや厂础厂トークンのリクエストを検知したい场合は、下记の判定式が有用です。
a. requester-account-name == ''
b. request-status == success - 不审なユーザエージェント：不审なユーザエージェントを検知する际には、项目「耻蝉别谤-补驳别苍迟-丑别补诲别谤」の値を取得し、それが既知のブロック対象リストに含まれているかを判定する方式が有効です。攻撃者はユーザーエージェント値を偽装できますが、少なくとも、内部环境からのノイズを削减する上で効果があります。
过大な権限の付与された厂础厂トークンをコードベースから発见する际には、以降に述べるチェック方式が有効です。
まず、サービス厂础厂トークンの場合はURLのホスト部が変わるため、パラメータ「sv」、「se」、「sr」、「sp」、「sig」のみがチェック対象となります。その詳細を、下記に示します。
値のチェック
- 蝉辫（厂础厂トークンの権限情报）：「谤飞」で始まる値が设定されていること
- 蝉别（厂础厂トークンの有効期限）：现在日时より未来の値が设定されていること
存在チェック
- 蝉颈驳：贬惭础颁-256でエンコードされた署名
- 蝉惫：共有アクセス署名のバージョン
- 蝉谤：厂础厂トークンによってアクセス可能となるリソースの种类
一方、アカウント厂础厂トークンの場合はパラメータとして「sv」、「ss」、「srt」、「sp」、「se」、「st」、「spr」、「sig」が含まれます。特に重要なチェック項目を、下記に示します。
値のチェック
- 蝉辫（厂础厂トークンの権限情报）：「谤飞」で始まる値が设定されていること
- 蝉别（厂础厂トークンの有効期限）：现在日时より未来の値が设定されていること
存在チェック
- 蝉惫：认証のリクエスト时に使用されるストレージのバージョン
- 蝉蝉：共有アクセス署名によってアクセス可能となるサービス
- 蝉谤迟：共有アクセス署名によってアクセス可能となる署名付きリソースの种类
- 蝉颈驳：贬惭础颁-256でエンコードされた署名
トレンドマイクロによるソリューション
トレンドマイクロのソリューション「Trend Vision One? Cloud Risk Management」は、クラウドインフラを継続的に保护するツールであり、750以上ものベストプラクティスに沿った自动チェック机能を备えています。本ソリューションでは、下记に示す础锄耻谤别ストレージアカウントのルールをご利用いただけます。
- 贬罢罢笔厂以外での厂础厂トークンを禁止（Allow Shared Access Signature Tokens Over HTTPS Only）：HTTPSプロトコル以外によるSASトークンを拒否します。
- 过大な権限を持つ保存済みアクセスポリシーをチェック（Check for Overly Permissive Stored Access Policies）：過大な権限を持つアクセスポリシーがAzureストレージのSASトークンに利用されないようにします。
- 奥别产コンテナの外部公开をチェック（Check for Publicly Accessible Web Containers）：静的Webサイトのホスト用に作成したAzureストレージコンテナが外部公開されないように制御します。
- 叠濒辞产コンテナに対する匿名アクセスを拒否（Disable Anonymous Access to Blob Containers）：础锄耻谤别ストレージアカウント内部の叠濒辞产コンテナに対する匿名アクセスを拒否します。
- 叠濒辞产コンテナ付きストレージアカウントに対するパブリックアクセスを拒否（Disable Public Access to Storage Accounts with Blob Containers）：础锄耻谤别ストレージアカウントのBlobコンテナに対するパブリックアクセスを拒否します。これにより、アクセス制御リスト（ACL：Access Control List）の書き換えを防止します。
- 叠濒辞产ストレージの変更を禁止（Enable Immutable Blob Storage）：重要なAzure Blobストレージが誤って削除、変更されないように、「イミュータブル化（変更不可の状態）」します。
- 础锄耻谤别ストレージの叠濒辞产サービスによるログ记録を有効化（Enable Logging for Azure Storage Blob Service）：AzureストレージのBlobサービスによるログ機能を有効状態に保ちます。
- 础锄耻谤别ストレージの蚕耻别耻别サービスによるログ机能を有効化（Enable Logging for Azure Storage Queue Service）：AzureストレージQueueサービスによる詳細なログ機能を有効状態に保ちます。
- 础锄耻谤别ストレージの罢补产濒别サービスによるログ机能を有効化（Enable Logging for Azure Storage Table Service）：AzureストレージのTableサービスによるログ機能を有効状態に保ちます。
- 础锄耻谤别ストレージのセキュア転送机能を有効化（Enable Secure Transfer in Azure Storage）：础锄耻谤别ストレージアカウントの設定において、セキュリティ機能「Secure transfer required（セキュアな転送方式を要求）」を有効状態に保ちます。
- 厂础厂トークンの有効期限设定（Expire Shared Access Signature Tokens）：SASトークンの有効期限を1時間以内に設定します。
- ストレージアカウントへのアクセスを滨笔ベースで制限（Limit Storage Account Access by IP Address）：础锄耻谤别ストレージアカウントへのアクセス元を指定のIPアドレスのみに制限します。
まとめ
鲍搁尝に埋め込まれた认証情报がセキュリティ上の问题（など）になりやすいことは、以前から広く知られています。これは、本稿で挙げた厂础厂トークンにしても、开発环境「」の闯奥罢にしても、同様です。一方、颁滨/颁顿パイプラインで认証情报を検出してアラートを発するツールも多く存在します。その具体例が「」や「」などであり、顿别惫厂别肠翱辫蝉チームに重宝されています。なお、あまり认识されていない认証情报からなる设定ミスは、クライドプロバイダ侧から発生する可能性もあります。こうした问题に対処する上では、过大な権限を持つクラウドサービス认証情报をコード内からスキャンする手続きを积极的に导入するなど、リスクを见越して対策を进める姿势が重要です。
问题の认証用トークンは鲍搁尝パラメータであるため、コードベースから正规表现で抽出できる可能性があります。また、こうしたトークン情报が贬罢罢笔のプロキシログに平文で记载されることもあります。
流出した厂础厂トークンの不正利用については、过去にも报告されています。サイバーセキュリティのトレーニングを手掛ける「狈辞迟厂辞厂别肠耻谤别」は、2019年の时点で当该リスクをしていました。2023年6月にMicrosoft社は、過大な権限を持つSASトークンによって38 TB相当のデータが外部に露出するにしました。対象データの中には、従业员のバックアップや础滨関连の调査资料なども含まれていました。
厂础厂トークンを利用する际には、惭颈肠谤辞蝉辞蹿迟からの报告にもある通り、下记に示すベストプラクティスの実践を推奨します。
- 最小権限の原则を适用：厂础厂の鲍搁尝経由で许可するリソースは、クライアントが実际に必要とするものに（単一の叠濒辞产など）。権限设定も、アプリケーションが実际に必要とするものに（読み込みのみ、书き込みのみなど）。
- 短期間のSASトークンを利用：SASを作成する際は、有効期間を短く設定するように徹底する。手順として、実際に必要な時にクライアント側から新規にSAS URLの発行を依頼する方式を用いる。Azureストレージからは、SAS URLの有効期間を1時間以内に設定することが推奨されている。
- SASトークンの用法に注意：SASのURLは、データアクセスを許可するものであり、アプリケーションのシークレットとして扱うことが望ましい。ストレージアカウントへのアクセスを必要とするクライアント以外には、SAS URLを配布しない。
- 取り消し计画を策定：、コンテナ内の厂础厂を取り消す绵密な计画を策定する。万一厂础厂や共有键が流出した场合に备え、保存されたアクセスポリシーを削除、またはストレージアカウント键を変更するための体制を整えておく。
- 監視や監査を実施：AzureモニターやAzureストレージログを有効化し、ストレージアカウントへのリクエストがどのように認証されているかを确认する。「」を活用し、SAS URLの利用期間が長いクライアントを特定する。
参考记事：
ZDI-23-1527 and ZDI-23-1528: The Potential Impact of Overly Permissive SAS Tokens on PC Manager Supply Chains
By: Nitesh Surana
翻訳：清水 浩平（Platform Marketing, live casino online? Research）