Heartbleed
私の仕事は、マルウェアとぜい弱性の分析や、最新のセキュリティの脅威についてお話しすることだけではありません。セキュリティを確立するにはどうすればよいかを人々に説明し、学んでいただくことも、重要な仕事の1つです。そのときに強調してお伝えしているのが、バックアップをとり、悪質なコードに対する防御を備え、システムには必ず最新のセキュリティパッチを適用し、そしてもちろん、暗号化を使う必要がある、といったことです。Kaspersky Dailyの読者の皆さんなら、聞いたことがある対策ばかりだと思います。
しかし、使っているセキュリティソフトウェアにぜい弱性が見つかり、攻撃者の侵入口になってしまったとしたら、どうすればいいのでしょうか？
これは、最近OpenSSLのぜい弱性「Heartbleed」が明らかになったことで、大きな議論を呼んでいるトピックです。SSLやHeartbleed攻撃に関する記事は、もうずいぶんご覧になっていると思います。こうしたぜい弱性がなぜこれほど重大なのか、ここでは私の個人的な考えをお話ししたいと思います。
Heartbleedについて書く前に、重要なことをお伝えしておかなければなりません。セキュリティ関連の製品やソリューションは、誤った見方をされています。セキュリティ製品やソリューションを評価するとき、多くの人は機能や特徴に注目し、求めているものと一致すれば、その製品を購入します。
セキュリティ関連の製品やソリューションは、誤った見方をされている @JacobyDavid
Tweet
問題なのは、製品やソリューションが自分の代わりに何でもやってくれるわけではない、という事実を忘れがちなことです。セキュリティ製品やソリューションは、セキュリティについての心構えを補うものなのです。ここをよく理解しておかねばなりません。
OpenSSLのHeartbleedぜい弱性についての記事で、なぜこんなことをお話ししているのでしょうか？一般的に、インターネットはいつも問題なく動いている安全なプラットフォームだと考えられていると思います。インターネットは、出会い、ショッピング、コミュニケーション、お金の管理など、非常に個人的なことに使われています。インターネットの困ったところは、何か問題が起きると瞬く間に深刻な事態へ発展する可能性がある点です。
インターネットにまつわる大きな問題の1つは、インターネットが極度な濃淡を持っていることです。安全性が高く、かつ堅牢な基盤を備えたオンラインリソースがある一方、存在が忘れられて放置され、何の対策もないままぜい弱性を持ち続けるオンラインリソースもあります。また、安全性が非常に高くて堅牢に見えながらも、依存するシステムの数が多すぎるためにぜい弱になってしまうものもあります。ITシステム内のコンポーネントを1つ残らず保護することはできないからです。
インターネットを利用する際は最悪の事態を想定し、それに応じた行動をとる必要があります。困ったことに、私たちが日ごろ信頼して利用している現実世界のサービス（医療機関や行政サービスなど）でも、インターネットが使われています。そのため、Heartbleedぜい弱性のような重大な問題が発生すると、計り知れないほど大きな影響が出てしまうのです。
Heartbleedのぜい弱性がどの程度広がっているのか、犯罪者たちがこのぜい弱性を悪用し始めたらどんな影響が発生するのか、簡単には説明できません。でも、想像してみてください。誰かが世界中のあらゆる銀行の金庫室の合い鍵を作れるとしたら、どうでしょうか？ちょっと考えると大変な事態に思われますが、影響の大小は金庫の中身次第です。
当面はHeartbleedへの対応に忙殺されるでしょうから、Heartbleedレベルの新たなぜい弱性が近いうちに発見されないことを願っています。しかし、ソフトウェアはソフトウェアでしかなく、ソフトウェアにはぜい弱性が付きものであることを忘れてはなりません。誰でも取り扱いに慎重を要するデータを持っているものです。どんなにデータのバックアップをとり、暗号化を施し、防御策をとっていても、データは漏えいする可能性があるものだ、と肝に銘じるべきでしょう。万一データが漏えいしてしまったら、悪用する価値をできるだけ低いものとするために、自分のできることをすべてやる必要があります。
ヒント