PR

 フィンランドのセキュリティ企業エフセキュアは2010年6月21日、デジタル署名が付与されたウイルス(悪質なプログラム)を多数確認しているとして注意を呼びかけた。プログラムの正当性を検証できるデジタル署名は有用だが、過信は禁物としている。

 デジタル署名とは、デジタルデータ(ファイルやプログラム)の作成者や完全性(改ざんされていなこと)を証明するために付与されるデータのこと。通常、CA(認証局または認証機関)と呼ばれる第三者機関が、審査をした上で付与する。このため、デジタル署名が付与されたプログラムは、付与されていないプログラムと比べて信頼性が高いと考えられる。

 しかしながらエフセキュアでは、デジタル署名が付与されたウイルスを多数確認しているという。2010年5月時点で、2万3817件のデジタル署名付きウイルスを確認。不審なプログラム(Potentially unwanted programs:ユーザーによっては不要と考えるプログラム。ツールバーやアドウエアなどが該当)については、38万4935件にデジタル署名が付与されていたという。

 ウイルスにデジタル署名を付与する手口の一つは、正当なプログラムに付与された署名をコピーすること(図1)。この場合、デジタル署名は付与されたプログラムには対応していないので、Windows Vistaや7で実行しようとすると、署名が無効であるとの警告が表示される。ただ、ファイルのプロパティなどからは、署名が無効であることは分かりにくく、ユーザーや対策ソフトメーカーなどを欺くには“有効”な手口だという。

 別の手口としては、CAに依頼するのではなく、自分自身でデジタル署名を付与する「自己署名」がある。ただしこの場合も、別プログラムの署名をコピーした場合と同様に、実行時などには警告が表示される。

 企業名を偽るなどしてCAをだまし、正当なデジタル署名を発行してもらう手口もある(図2)。この手口なら、前述の手口とは異なり、警告は表示されない。特に、デジタル署名の取得を代行する業者に頼むと、比較的容易に発行してもらえるという。エフセキュアが所有する「デジタル署名付きウイルス」のうちの295件は、ある特定の代行業者によって署名が取得されている。

 そのほか、ソフトメーカーの開発環境にウイルスを感染させて、開発されるソフトウエアにウイルスを仕込む手口もある。この場合、ソフトメーカー自身が「ウイルス感染ソフト」に対して、CAからデジタル署名を発行してもらうことになる。例としては、プログラム開発ツール「Delphi(デルファイ)」に感染するウイルスを使った手口が確認されている。

 「Induc(インダク)」などと名付けられたそのウイルスは、Delphiのライブラリーに感染。以降、そのDelphiで作成されるソフトウエアすべてに、ウイルスが埋め込まれるようにする。できあがったソフトにデジタル署名を付与すると、知らないうちに「デジタル署名付きウイルス」が作成されることになる。

 デジタル署名には、不正が発覚した場合、CAが無効にできる仕組みがある。しかしながら、実際には適切に機能していないという。エフセキュアのスタッフによれば、ウイルスに付与されているデジタル署名をCAに報告しても、なかなか対処してもらえないとする。

 同社では、デジタル署名の悪用は今後も続くと予測する。対策としては、ウイルス対策業界が連携して、不正なデジタル署名に関する情報を交換したり、CAに報告したりする取り組みが必要だろうとしている。