PR

――最近では,「Firefox 2.0とInternet Explorer 7のどちらがセキュリティ上優れているか」と質問されることが多いかと思います。そのようにたずねられた場合,どのように答えられていますか。


[画像のクリックで拡大表示]

 「セキュリティは,どのように計ればよいのでしょうか」と,逆に質問しますね。

 残念なことに,マスコミやセキュリティ業界では,見つかった脆弱性の数がセキュリティの指標として使われることが一般的になっています。「脆弱性が少ない=セキュリティが高い」とされています。この評価方法には大きな問題があると思います。

 例えば,脆弱性の発見から修正までにかかった時間は全く考慮されていません。プロセスの透明性が指標になることもありません。ここでの「プロセスの透明性」とは,その脆弱性が,その製品においてどの程度のリスクになるのかを明確にすることです。

 製品のセキュリティ・アーキテクチャも重要視されるべきです。その製品がセキュリティを考慮した設計になっているかどうか,機能が追加される場合には,その新機能がセキュリティを考慮したものになっているかどうかなども,セキュリティの指標に含まれるべきです。

 その製品のベンダーにとってのセキュリティの優先度も,製品自体のセキュリティにかかわってくるでしょう。どのようなソフトウエア・プロジェクトでも,セキュリティとスケジュール,あるいはセキュリティと機能,セキュリティと他のアプリケーションとの互換性――にはトレードオフの関係があります。例えば,「どこまでスケジュールを犠牲にして,セキュリティ対策を施すか」という線引き(bar)はベンダーによって異なります。その線引きの“高さ”は,セキュリティをどの程度優先させているかによって変わってくるでしょう。

 Mozillaでは,「脆弱性はすべて修正する」という基本姿勢を貫いています。つまり,線引きを一番下に設定しています。脆弱性の深刻度は問題としません。その脆弱性が攻略可能(exploitable:悪用して任意のコードを実行可能であること)であるかどうかにかかわらず,できるだけ早く修正するのが基本方針です。「リスクが低いから直さない」ということはしません。

 そもそも,脆弱性が攻略可能であるかどうかをいちいち吟味をしていると,パッチの出荷が遅れることになります。(攻略可能かどうか判明するまで)場合によっては数カ月かかることもあります。脆弱性が見つかったら,攻略可能かどうかは別として,とにかく早くパッチを提供する方針を採用しています。

 Mozillaではなぜこのような基本方針を採用しているのか。その理由は,Mozillaではお金儲けよりも,「ユーザーにとって重要なこと」を優先できるからです。有償のソフトを扱っている場合には,このようにはいかないでしょう。コストにかかわるトレードオフによって,直す脆弱性と直さない脆弱性が出てくるでしょう。

 Mozillaには,お金には直接つながらない行為を選択できる自由があるのです。最も優れたユーザー・エクスペリエンスを提供するのが,我々の使命と考えています。このため,一般の営利企業では難しいであろう基本方針を採用することができるのです。

イントラネットが危ない

――現在,Snyderさんがセキュリティの分野において最も大きな脅威だと考えるものは何でしょうか。

 あくまでも私見ですが,残念ながら多くのソフト・ベンダーは,脆弱性が報告されていないことを理由に,「(わが社の製品には)脆弱性がない」あるいは「セキュリティが高い」と錯覚している風潮があります。

 プラットフォーム(OS)については,今までさまざまな攻撃にさらされてきたので,セキュリティが強化され,対策が施されてきました。問題は,クライアント・ソフトウエアです。今まで攻撃対象になることが少なかったために,(クライアント・ソフトウエアの分野では)セキュリティについてきちんと考慮される機会は少なかったと思います。しかしプラットフォームのセキュリティが強化されたために,攻撃者はクライアント・ソフトに対象を変えつつあります。

 特に心配なのが,企業のイントラネットで利用されているエージェント・ベースのアプリケーションです。例えば,バックアップ・ソリューションで用いられるエージェントなどが挙げられます。

 イントラネット内で使われることを想定したアプリケーションは,「ファイアウオールに守られているから大丈夫」と考えられて,セキュリティが考慮されていない傾向にあると思います。それらが使用しているプロプラエタリなプロトコルについても,セキュリティが吟味されていないことが多いでしょう。

 こういったアプリケーションは,大きな“穴”となりえます。通常はファイアウオールに守られているとしても,イントラネットに勝手に接続されたパソコンや,電子メールなどを経由して攻撃プログラムの侵入を許せば,イントラネット中のコンピュータが攻略される危険性があります。

 イントラネット内のネットワーク・プリンタも心配です。ネットワーク経由で情報が送信されて一時保存されるネットワーク・プリンタは,単なるプリンタではなく,重要情報が保存されるファイル・サーバーとして機能しています。

 しかもネットワーク・プリンタ上では,必要かどうかを吟味されることなく,WebサーバーやFTPサーバー,SNMPサーバーといった信じられないほど多くのサービスが稼働しています。これらに対して,適切なアクセス制御が施されているとは思えません。また,サーバーのセキュリティ強化は,専業ベンダーであっても時間と手間がかかる作業です。プリンタ・ベンダーが,プリンタ上で動作するサーバーにセキュアな実装を施しているかどうかは疑問が残ります。

 これらは,現在では問題視されていませんが,今後大きな脅威になる恐れがあります。ベンダーや開発者,そしてユーザーは,十分注意する必要があるでしょう。