中つ国からのサイバーセキュリティレポート

トールキンの作品を、あなたはどう読むでしょうか。娯楽として読む人あり、深遠なるキリスト教的世界観ととらえる人あり、またプロパガンダだと取る向きもあります。私の場合は、サイバーセキュリティの寓話だと思っています。私はこの数年間、いたるところからサイバーセキュリティの教訓を学んできました。トールキンの物語も例外ではありません。

ところで、第二次世界大戦が始まる少し前、トールキンが英国の政府暗号学校で暗号解読者としての訓練を受けていたことをご存じでしょうか。政府暗号学校とは、やがてはドイツの暗号「エニグマ」の解読に成功することになった組織です。その後GCHQという名前に変わり、英国政府と英国軍に、シギント（SIGINT：通信、電磁波、信号等の傍受による諜報活動）や情報保証を提供する機関になりました。トールキンが併せ持っていた言語学者としての能力と暗号解読者としてのスキルは、敵の暗号を解読するのに間違いなく必要とされたことでしょう。これはまさに、私たちが今日話題にしている情報セキュリティです。そういうわけでトールキンは、ある意味において私たちの尊敬すべき先輩なのです。

それでは、彼の作品をサイバーセキュリティの観点から眺めてみましょう。

力の指輪

『指輪物語（ロード・オブ・ザ・リング）』は、世界を支配するためにサウロンが作り上げた「一つの指輪」を取り巻く物語です。一つの指輪はその他19個の指輪を支配しています。3つはエルフが、7つはドワーフが、9つは人間が所持しています。物語の主人公たちは、一つの指輪が作り主のサウロンの元に戻り、サウロンが恐ろしい力を手にしてあらゆるものを意のままにすることを恐れています。一見ファンタジー作品のようですが、少し深く掘り下げてみれば、正統派のサイエンスフィクションであることが明らかになってきます。

三つの指輪は、空の下なるエルフの王に

幼少時代にトールキンの本を読んだとき、一番難解だったのはエルフの指輪の話でした。指輪はエルフの細工師が鋳造したとされ、冥王が手を触れることはありませんでした。しかし、サウロンの闇の力を用いて作られたものであるため、「一つの指輪」によって支配されていることに変わりはありませんでした。ですからエルフたちは、「一つの指輪」がサウロンの元にある限り、「三つの指輪」を大事に隠しておきました。指輪が良き目的のために作られたのなら、どのように作られたかということがなぜ問題なのでしょうか、または問題であるように見えるのでしょうか？

今となっては、これがとても重要な問題であることがよく分かります。現代の視点で、そして情報セキュリティに置き換えてこの問題を考えると、こういうことになります。

• エルフは3つのデバイスを社内で製造した。
• これらデバイスのファームウェアは、サウロンが開発したSDK（ソフトウェア開発キット）を使用して作られた。
• 「一つの指輪」指令センターのアドレスは、3つのデバイスにハードコードされている。
• エルフたちはそれを知り、サウロンが指令サーバーをコントロールしている間はデバイスの使用に慎重になっている。

要するに、これは典型的なサプライチェーン攻撃なのです。ただしこの場合に限っては、エルフは手遅れにならないうちに脅威を特定し、万一に備えて脆弱性のあるデバイスの運用を止めることができました。

七つの指輪は、岩の館のドワーフの君に

「七つの指輪」は、サウロン自身によってドワーフの王たちに与えられました。ドワーフたちは、富を蓄えるために指輪を使ったとされています。物語によれば、ドワーフが指輪をはめてもサウロンによる直接のコントロールを受けませんでしたが、指輪の影響で強欲さが著しく高まりました。このように、サウロンは強欲さや怒りといった感情に作用させることで、7人のドワーフの王をどうにか破滅に追いやったのでした。

七つの指輪は『指輪物語』で描かれる出来事が起きるずっと前に失われてしまったため、残念ながらこれらデバイスのフォレンジック調査は不可能です。しかし、強欲さにつけ込むのはフィッシングの典型的な手法です。サイバー犯罪者は、デバイスの所有者がどのように情報を受け止めるかをあらかじめ予想してうまく誘導し、最終的には破滅に至らせます。これこそまさに、フィッシング攻撃ではないでしょうか。

九つは、死すべき運命の人の子に

これについては、大して説明は必要ないでしょう。サウロンは、九つの指輪を死すべき運命の人間たち（古の王、妖術師、戦士）に与えました。指輪をはめた人間は実質的に不死となり、姿が見えなくなり、サウロンの意思に服従するようになりました。言い方を換えると、ボットネットになったのです。

興味深いことに、このナズグルボットネットには、バックアップの制御プロトコルが備えられているようです。指令サーバーが失われた後も、サウロンは指輪の幽鬼に命令することができました。

一つは、暗き御座の冥王のため

Kaspersky Labでは、指令サーバーというものを、サイバー犯罪者がボットネットの制御、悪意あるコマンドの送信、スパイウェアの管理などに使用するサーバーであると説明しています。これはまさに「一つの指輪」ではないでしょうか。

一つの指輪が破壊されれば、従属する他の指輪もすべて力を失います。指令サーバーの定期的な可用性チェックをファームウェアに組み込み、通信できなくなった場合は自己破壊メカニズムが発動するようにすることは可能です。これは、当社のサイバー脅威アナリストにとって非常になじみ深いふるまいです。フォレンジック調査を妨害するために、サイバー犯罪者が自己破壊メカニズムを使うことは珍しくありません。

一つの指輪は、すべてを統べ、一つの指輪は、すべてを見つけ、
一つの指輪は、すべてを捕えて、くらやみのなかにつなぎとめる

指輪の内側に掘られたこの文言にも、相応の意味があります。一つの指輪が「イシルドゥアの禍」とも呼ばれる理由を思い出してください。包囲されたイシルドゥアは指輪を身に着けましたが、川を渡ろうとしたとき指輪が指から抜け落ちて彼を死に至らしめました。ゴクリもまた、「いとしいしと」を失いました。すべての理由は、指輪の刻印に示された取扱説明にあります。それは、訳がふさわしくない、またはまったく無視されているように思われる、ある一部分です。

指輪にはもともとこのように刻まれています。

Ash nazg durbatulûk, ash nazg gimbatul,
Ash nazg thrakatulûk agh burzum-ishi krimpatul.

最後の単語「krimpatul（クリムパトゥル）」は、一般に「つなぎとめる」と訳されます。しかし、指輪同士をつなぎとめてもあまり意味がなさそうです。もしこれが暗黒語ではなく、「crimping tool（クリンピングツール）」をおおざっぱに音訳した言葉だったとしたら？そう、IT系の人にはおなじみの「圧着工具」のことです。

そうだとすると、この刻印の本当の意味は、「指輪は圧着されなければならない」ということになります。だから、イシルドゥアの指から抜け落ちたのです。ここから得られるのは、どんなに短くて簡単そうな文章だったとしても、ゴクリ並みの執着心をもって資料を読み、解釈しなければならないという教訓です。