JNSA「セキュリティしんだん」

「（15）一般の人たちにとって、セキュリティはどのくらい深刻な悩みなのか？」へ »

（14）貴社のダウンロードサイトは大丈夫か！？
　　　　～ソフトウエアダウンロード配信が内包するリスクを考える～（2015年1月27日）

日本ネットワークセキュリティ協会　幹事
（社）日本クラウドセキュリティアライアンス代表理事
アルテア・セキュリティ・コンサルティング　代表　二木真明

昨今、有償、無償を問わず、ソフトウエアパッケージの多くがインターネットからダウンロードできる。スマホアプリなどは、ほぼ100％がダウンロードによる配布だし、たとえば様々な製品の、いわゆるファームウエア等も、多くがインターネットから更新版をダウンロードできる。さらに、最近では、定期的に更新をチェックし、自動的に新しいソフトウエアがダウンロードされる自動更新機能も一般的になってきた。こうしたダウンロード配布や自動更新は利用者に利便性をもたらすだけでなく、ソフトウエアの提供側にとっても大きなコスト削減につながるから、こうした傾向はどんどん加速するだろう。

1.ソフトウエア配信のリスク

しかし、こうした傾向に対して警鐘を鳴らすような事件が最近、いくつか発生している。たとえば、GOMプレイヤーへのマルウエア混入事件（http://www.gomplayer.jp/player/notice/view.html?intSeq=300&page=1）やバッファロー社のダウンロードファイル改ざん事件（http://buffalo.jp/support_s/20140530.html ）などである。いずれの例も、外部からの指摘で発覚しており、実際にこうした不正なファイルをダウンロードしてしまった利用者がいた事例だ。こうしたサイトへの侵入、ファイル改ざんが発生した場合、自動更新機能を利用しているユーザにとっては、とりわけ大きな問題となる。特にユーザが直接利用するアプリケーションではなく、様々な機器のファームウエアのような場合、これにユーザ側が気づくことはまずないだろう。とりわけ家庭用機器などの場合、知らない間に極めて多数の機器にマルウエアが送り込まれてしまう危険がある。注意が必要なのは、ソフトウエアだけではない。サポートや保守管理全般をオンラインで行っている場合、そのサービスに不具合が生じた場合、思わぬ影響が出る場合もある。これについてはソニーのテレビで発生した障害事例（http://www.sony.jp/bravia/info/20131018.html）が暗示的である。これは、サービスサイトの不具合が機器の動作を不安定にした例である。このケースでは、サービス側に障害が発生した場合の対処について、ファームウエア側の処理に問題があったものと推測され、後に、ファームウエアの更新が実施されている。これらはほんの一例であり、このようなリスクを内包するサービスは日本国内だけを見ても、数多く存在している。

2.美味しい標的

こうした配信サイトは、ソフトウエアを乗っ取って目的を達成しようとする攻撃者にとっては、非常に美味しい存在である。配信サイトを乗っ取ることができ、ソフトウエアの改ざんに成功すれば、あっという間に多数の利用者を手中に収められるからだ。内容が非公開のファームウエアだからと言って安心はできない。最近の機器には汎用品のプロセッサやそうしたコアを持つチップが使われており、ソフトウエアのリバースエンジニアリング手法も確立されている。なんらかの方法で攻撃者がバイナリを入手できれば、改ざんも可能だと考えるべきだろう。以前、冷蔵庫がスパムメールを送信したというニュースが流れ、後に他のセキュリティ企業から、誤認ではないかというコメントも出されたが、今後、こうしたことが発生するリスクはどんどん高まっていくと考えられる。何万台、何十万台ある家電製品や家庭用機器を、個々に攻撃するのではなく、一気に手中に収めることができる美味しい標的が、配信、サポートサイトなのである。こうしたサイトを設置、運用する事業者は、そのリスクを過小評価してはいけない。こうした大規模攻撃を行う動機を持つような手強い相手から狙われる可能性を前提にセキュリティ対策を講じていく必要があるのだ。

3.外部からの攻撃だけではない

大量のユーザをかかえるアプリケーションや、機器のファームウエアを狙う動機には以下のようなものが考えられる。
　・大量の処理能力を手中に収めたい。（それを使ってなんらかの攻撃もしくは目的を達成したい）
　・業務、生活その他の混乱を引き起こしたい。（もしくはそれをネタに脅迫したい）
　・様々な情報を密かに収集したい

いずれも、犯罪組織やテロリスト、さらには国家機関などを相手にまわす可能性が非常に高いもので、攻撃も極めて高度なものとなる可能性がある。たとえば、外部からの脆弱性を狙った攻撃ではなく、内部にマルウエアを侵入させるような、いわゆる標的型攻撃になる可能性も高い。さらには、ソーシャルエンジニアリング技術を駆使して従業員に接近し、内部不正を促す可能性もある。たとえば、オフショア開発委託先の関係者を脅迫して意図的にファームウエアにバックドアを仕込むこともできるかもしれないし、内部情報からWebサイト管理者を特定して、そのPCにあるサーバのパスワードを盗もうとすろかもしれない。考え出せばきりがないが、たとえば数万台のスマホや機器を乗っ取ることができる可能性があれば、こうしたレベルのリスクも無視はできないだろう。そのような場合、必要な対策はきわめて多岐にわたる。配信サイトのセキュリティだけではない。たとえば、コンテンツ更新のマネジメントプロセスを再評価して不正の発見をしやすくするような運用面や、開発からリリースにいたる過程での、不正なコードを排除する仕組みづくり、リバースエンジニアリングを難しくするコードの難読化処理・・・などなど様々である。こうしたすべての面でのセキュリティ強化が求められるのである。それは、一旦、攻撃が現実のものとなった場合のインパクトを考えれば当然である。

4.ダウンロード配信は「コスト削減」になるのか？

このような問題を考えると、本当にダウンロード配信は割に合うのか、という疑問が聞かれそうだ。しかし、たとえば数万ユーザ規模のコンテンツ配信をタイムリーに行うには、この方法しかないのも事実である。強いていうなら、現在は「コスト＝セキュリティ投資」があまりに少ないということなのだろうと思う。こうしたサービスを行う事業者が、そのリスクに見合った社会的責任を十分に果たせていないということなのかもしれない。こうした対策は後付けでやろうとすればコストばかりが目立つことになる。また、余計なコストも多くなりがちだ。とりわけ、こうしたネット配信モデルにビジネスチャンスを見出そうとしているベンチャー企業にとって、この負担はきわめて大きいものになるだろう。大企業であれば、こうした業務のプロセスをきちんと最初から考え直すことで、余計なコストはかなり削減できるだろうが、中小のベンチャーにとっては簡単ではない。この問題には常に、こうしたジレンマが付きまとうのである。

5.ビジネスモデルを考えよう

セキュリティ対策のいくつかの切り口は、外出しして統合できる。たとえば、ダウンロード配信サイトの構築、運用管理は、それを専門とするクラウドサービス事業者がセキュアな枠組みを安価に提供できれば、中小事業者にとっては大きな助けになるだろう。たとえば、大手のクラウド事業者がダウンロードサイトに特化して、セキュリティ監視なども含めたパッケージで提供するモデルがあれば効率がいい。コンテンツをリリースするためのワークフロー機能などが、SaaSとして提供されれば、中小事業者でもリリースマネジメントがやりやすくなる。リリース前の製品の試験や、コード検査などのニーズも生まれるだろう。開発プロセスを効率化し、安全にする新たなフレームワークも必要になるかもしれない。問題は、これらをどこまで効率よく、安価に提供できるかという点だ。クラウドとIoTの時代、セキュリティビジネスもITを駆使して効率を上げて、コストダウンをはかっていく必要がある。いち早く、こうしたビジネスモデルを考え出せた企業が勝ち組になっていくのではないかと筆者は考えている。そうした取り組みへの国の支援も期待したいところだ。それが、これからの日本の経済発展にとって不可欠なものだからである。セキュリティ業界だけでなく、ICT業界や、ICTの恩恵を受けるすべての業界が、協力して取り組んで行くべき課題のひとつなのではないだろうか。明るい未来が暗黒時代に変わらないことを切に願っている。

« 「（13）SSL再考」へ