JNSA「セキュリティしんだん」

 

« 「(7)インターネットサービスの利用による情報漏えいの危険について」へ   「(9)セキュリティ、改めて考えてみた」へ »



(8)Windows XP サポート終了について考える(2013年12月6日)

  

◆ はじめに

日本マイクロソフトは、2013年4月、WindowsXPなどのソフトウェアのサポートが、 2014年4月9日をもって終了となることを“改めて”アナウンスしました。「改めて」というのは、 以前から同社のサポートポリシーに基づいて、2014年にサポートが終了することは 表明されていたからです。

それを改めて発表して注意喚起を行う背景には、発売から12年を経て、 いまだに多く使われている、という事情があります。そして、 いまだに多く使われているには、それなりの訳もあるようです。

JNSA社会活動部会では、一種の社会問題とも言える様相になってきた この騒動について、掘り下げる必要があると感じています。その第一弾として、 2013年8月27日に時事ワークショップ「Windows XPサポート終了に備える ITサバイバル術」を開催しました。時事ワークショップ時事ワークショップの詳細についてはこちらをご覧ください。

今回の「しんだん」はそのワークショップの内容をレポートします。

1.サポート終了で予想される問題とその深刻さ・ユーザ企業の選択肢(その1)
2.サポート終了で予想される問題とその深刻さ・ユーザ企業の選択肢(その2)
3.アプリケーションなどの移行に関わる技術情報の紹介
4.今日のIT環境を踏まえてのOSについての視点
5.ITライフサイクルの視点からQ&Aへ
まとめ

  • 1.問題とその深刻さ(その1)/2.(その2)
  • 3.技術情報の紹介/4.OSについての視点
  • 5.ITライフサイクルの視点からQ&Aへ/まとめ

1.サポート終了で予想される問題とその深刻さ・ユーザ企業の選択肢(その1)

まず、問題提起と整理を兼ねて、JNSA社会活動部会長であり、株式会社ラックの最高技術責任者である西本逸郎氏が登壇し、20分ほど熱弁を振るわれました。

西本氏はまず、Windows XPの「功」つまり優れた点を指摘しました。2001年11月に発売されたWindows XPは、21世紀初頭の本格的ネットワーク時代に突入した、その社会的変化を支えたツールであると評価しています。XPの前の世代であるWindows 2000は、マルチメディア対応のOSとしては機能が弱かったのが、XPではその弱点が克服され、バランスの良いOSになりました、と。

一方で、セキュリティ面を中心に問題点も多く指摘され、マイクロソフトでは、サービスパック(SP)という修正プログラムを配布することで改良・対策を図ります。西本氏は、特にその2回目の配布、SP2を高く評価し、マイクロソフトのセキュリティに対する取り組み姿勢の転換を示すものだとしています。マイクロソフトは、このころからTrustworthy Computing(信頼に値するコンピューティング=安心して使えるOS)という考え方を打ち出し、SDLC(Software Development Life Cycle)を通じての品質=安全の作り込みに取り組みます。

【補足】

サービスパックはSP3まで提供されますが、その過程を通じて、機能面、コンピューティング負荷面、安定性の面で洗練されていくことでいつまでも使われ続けるOSになっていきました。その過程は、ハードウェアの低価格化が同時進行し、本格的な一人1台のパソコン環境が実現する過程とも一致し、様々なクライアントサーバシステムの端末アプリケーションがWindows XPの上で開発され、企業の基幹システムの一部として使われるようになったのです。またハードウェアの低価格化は組み込み用途や制御用途といった、コストや性能で厳しい条件があった領域でもWindows XPという汎用OSの利用を可能にするという変化ももたらしました。


そして西本氏が指摘するのは、そのように優れた製品になったが故に、製品ライフサイクルを超えて使われ続けるという、「罪」の面につながっていく、という点です。一方、同氏は「マイクロソフトは企業利用向けには2010年までXPの販売を続けていた。そのことを考えると、2014年のサポート終了は唐突感が強い」と指摘します。2013年1月時点でWindowsに占めるXPのシェアはまだ40%もあるとも。

【補足】

マイクロソフトが公表しているデータによれば、日本で企業・法人が利用するコンピュータ3,517万台中1,419万台がXPでシェアは40.3%、個人が所有するパソコンでは4,225万台中1,170万台で27.7%がXPだということです。

個人所有のパソコンは買い替え時に最新のOSがインストールされていくので更新とともに古いOSは消えて行くものですが、28%という数字は、XP時代のパソコンとXPというOSが今でも十分使えるものとして生き続けていることを物語っています。

それ以上に、企業ユースの40%という数字は、システムや組み込みで固められて使い続けられているXPがどれだけ多いかを示しています。40%ものコンピュータが、1年以内に切り替えられることの現実味や、サポートが終了されることの影響を考えると、この数字の意味するところは、非常に大きいと言うべきではないでしょうか。


2. サポート終了で予想される問題とその深刻さ・ユーザ企業の選択肢(その2)

これらの事実を踏まえて、西本氏は「なぜ」を分析していきます。

まず、XPの機能と能力が十分で更新へのモチベーションが涌かない一方、そのためのお金(予算)もないこと。これが一番大きいと指摘されました。パソコンは5年リースが普及しているので、その更新サイクルに合わないと、機種やOSの入れ替えは容易ではないでしょう。

次に、業務システムの端末として使われているXPパソコンや、場合によっては専用端末があります。POS(Point Of Sales)端末が典型的な例です。POSの店舗集約サーバもXPパソコンということもよくあるようです。この世界は、そのシステムの範囲に閉じていて、オープンにインターネットにつないでいる訳ではないという感覚があるようです。更に、システムやアプリケーションによっては、マイクロソフトが月次で提供するパッチを当てることで、アプリケーションが正常に動作しなくなる恐れがあるとこから、パッチも当てずに放ってあるケースも多いようです。

しかし、一般の事務処理や業務遂行に使用される、オフィスに普通に見られるパソコンは、日常的にメール送受信やウェブ閲覧をしている訳で、直接ネットワークに接しています。そのような端末は危険が高いと指摘します。

では、何が問題になるのか。

まず、新たな脆弱性が発見されても、それに対応するパッチが提供されないという問題があります。対策が提供されない段階で、脆弱性を衝く攻撃が行わることをゼロデイ攻撃と呼びますが、サポートが終了したXP環境では「毎日がゼロデイ」状態になることになります。攻撃者の意のまま、ということになるでしょう。

次に、ウイルス対策ソフトも更新されなくなる可能性があります。特にゼロデイ状態の環境下では、正常な動作を保証することが困難になることが予想されますので、ウイルス対策ソフトベンダも、継続的なパターンファイルやエンジンの提供が困難になることが危惧されます。

更に、問題はXPというOSだけに留まらないという問題があります。XPのサポート終了と同時に、Microsoft Office 2003シリーズや、ウェブブラウザであるInternet Explorer V6(IE6)のサポートも終了します。これらのソフトウェアで新たに発見される脆弱性に関しても「ゼロデイ」状態が放置されることになります。JAVAの脆弱性が問題になっていますが、他のアプリケーションも含めて、XP環境では、広い範囲で脆弱性対策の問題が生じると考える必要がありそうです。

そして、企業にとってのリスクは、単に攻撃にさらされることに留まらず、万一、XPを放置したことによってインシデントが発生した場合には、「なぜ危険が指摘されている環境を放置したのか」という社会的批判にさらされる、というリスクも考えておかなければならない、と西本氏は指摘しました。

XPが登場した時代と現在では、コンピュータやネットの環境は大きく変わっています。パソコンは、当時は乗用車クラスのパワーだったものが、今やダンプカー並みのパワーを備えているということ、ネットワークの帯域も、田んぼのあぜ道が高速道路になっていること、端末環境にはスマートフォンやタブレットが登場し、多様で身軽で簡単になっていること、を踏まえなければならない、ということです。すなわち、何でもかんでも、マイクロソフト何とかしろ、ではなくて、現在の環境に見合った装備で利用すべき、という視点も必要だということなのでしょう。

ただ一方で、ネット接続のない、特定用途向けのクローズドな環境で、きちんと管理されているシステムにおいて、何が何でもサポート終了に合わせて更新しなければならないかというと、「管理された延命策」はありうるのではないかと、との意見も述べられました。  つまり、XPを利用しているシステムの状況、置かれた環境、利用目的に沿って、更新を急ぐべきものも、コントロール下で延命を図るものも、きちんと管理していくことが重要だと、問題を整理して話を終えられました。

3.アプリケーションなどの移行に関わる技術情報の紹介

西本氏に続いて、JNSA副会長でもあるマイクロソフトのチーフセキュリティアドバイザー高橋正和氏が登場しました。高橋氏は、JNSAではなく、マイクロソフトの立場で、「Windows 8 アプリケーション互換性」というスライドを用い、XPからの移行の主対象となるWindows 8について技術的解説と、XPとの間の互換性の問題について説明されました。

マイクロソフトとしては、異例の長期間サポートを続けてきたものの、XPは脆弱性の発見確率も高く、またより高機能な後継製品も提供し普及も進んだので、すべてのXPユーザにその使用を終了し、後継製品に乗り換えてほしい、というのが本音のところでしょう。

一方現実問題として、1年程度の準備期間では乗り換えられないとか、今年度それだけの予算手当てをしていないとか、現在使用中のアプリケーションによっては、切り替えに多額の開発費を要するといった問題があるようです。そのような「実態としての」市場のニーズに対応して、XPのサポート終了後に対応するソリューションを提供するベンダや、「XPのサポートは切れてもその上のアプリケーションソフトウェアのサポートは継続します」といった対応を宣言するベンダも多く登場しています。

今回のシンポジウムでは、そのようなベンダのうち、JNSA会員企業である2社から、各社の対応について紹介・アピールをしてもらいました。


まず登場したのは大塚商会井川氏。「誰も言わない、Windows XPを使い続けるリスクとは!? −最新OSの選択と留意点についてご紹介−」と題してプレゼンされました。

XPのサポート終了とは何かを説明したうえで、XPをサポート終了後も使い続けることの危険について「ウイルスが蔓延している満員電車(インターネット)にマスク(セキュリティ更新プログラム)なしで乗り込むのと同様です。今後は、どんなウイルスが発生しようとマスクは提供されないため、ウイルスに感染する確率は高まるばかりです。」と表現されました。そして、XPとWindows 7を比較すると、後者ではマルウェア感染率が下がることや年間サポートコストが5分の1に圧縮できることを紹介。OSの移行と、それに対応したPCの入れ替え、特にノート型PCの導入を提案されました。そして最後に、これを機に併せて検討する価値のある対策として、クラウドサービスの利用、タブレットの活用、運用管理・セキュリティ対策の導入・強化を提案されてプレゼンをまとめられました。


次に登場したのはキヤノンITソリューションズ北田氏でした。プレゼンタイトルは「【移行完了までの3年を凌ぐためには】『ESETはWindows XPのサポート対応を継続します!』」です。

まず、東欧スロバキアに本拠を置くウイルス対策製品ベンダ、ESET社の紹介と、キヤノンITソリューションズの企業概要説明がありました。そして、XPサポート終了後の課題として、サポート終了までに、ハード・ソフトの入れ替えコストの用意ができないことや、XPを前提として開発した業務アプリケーション等が新しいOSと互換性がないことにより、XPサポート終了までにマイグレーションが完了しないという問題があり、そのまま放置すれば、XPやその上で動作するアプリケーションを狙った攻撃に対し、新たな脆弱性を突く攻撃から保護することができない、という問題があることを指摘しました。その上で、ESETはXP上で動作する法人向けESET製品のサポートを2017年2月まで継続することを宣言(ただし、XPそのものの脆弱性が新たに発見された場合対応できない可能性がある)し、ESETの特徴等をアピールされました。


4. 今日のIT環境を踏まえてのOSについての視点

最後に、再びマイクロソフトの高橋正和氏が登場し、当日の議論のまとめと質疑応答を行いました。 まず「私のデスクトップ紹介」ということで、自宅のIT環境が写真入りで披露されました。デスクトップPCがあり、ノートPCが複数あり、スマートフォンがあり、タブレットがあり、更にはデジタルカメラがあるという光景です。そしてそれらがすべてネットでつながると同時に、クラウド上のストレージサービスともつながり、同期がとられるという環境があります。インターネット(それもWi-Fi接続が普及し、見た目には分らないままつながる)、あるいはLTE回線の向こうには勤務先のサーバもアクセスできる状態です。 以上を前振りに高橋氏の話は始まりました。このセッションはプレゼンという形ではなく、資料も残っていないので、後日寄せられた高橋氏のメモからポイントを再現してみましょう。


まず、IT環境は大きく変化しているということです。上に見たように、複数のデバイスが、ネット機能や通信機能を持ち、マルチメディアを扱いつつ、多様にリンクしている。これにソーシャルメディアも加わります。例えば個人のタブレットを持って社内にいれば、一方で会社の無線LANに接続しつつ、他方で3Gの電話網接続が実現している状態が形成されます。こうなると、イントラネットとインターネットはいつの間にかつながり、シームレスな環境が形成されます。

パブリッククラウドを利用している環境も同じことが言えます。社内のサーバにマウントしているストレージはネットの向こうにあり、またその逆も起こりえるのです。クラウドサービスではストレージ間の同期も自動的に起こります。ID連携も広まってくると、ユーザが意識しない、認知しない、ネット上のデータの移動(コピー)が起きているという問題が現に起こります。クラウドが提供するコラボレーションサイトなどでは、アクセス可能範囲、公開許諾範囲の設定を(サービス仕様の理解不足やネット知識の不足から)怠ったり間違えたりすれば、社内に限られるはずの秘密情報が、パブリックにアクセス可能という状態も起きてしまいます。

このような環境でセキュリティを考えるとき、すでに、ネットワークの境界が意味をなさない、境界防御(Perimeter Protection)が意味をなさない世界ができています。そのような世界では、以下の項目を柱に、セキュリティ対策を考える必要があると、高橋氏は言います。

【補足】
  • デバイスそのもののセキュリティ
  • ネットワーク制御の見直し(IPではなく、ノードを中心としたアクセス制御)
  • 認証の再考(認証連携と、データ移動の制限)
  • データそのものの保護(暗号化)
  • これらを統制し、モニターする仕組み
  • 一方で、セキュリティに対するとらえ方を、ポジティブに転換していく必要があることも指摘されていました。セキュリティのインシデントに捉われ過ぎるために、ITの利用を、有効活用を制限しようとする傾向が、とみに強まっています。セキュリティがIT利用を妨げる、ITの価値を殺す方向に働いているのです。本来、セキュリティはIT環境とデータを適切に保護し、それを有効活用するための砦として働かなければなりません。ビジネスを推進するための要素としてのセキュリティの視点を忘れてはならない、というのです。

    5.ITライフサイクルの視点からQ&Aへ

    そして、ITのライフサイクルについて話が及びました。XPの場合は10年を超えるサポートが提供されてきており、リース期間5年から見れば、2回の更新機会があるはずだと主張されました。確かに、機械設備などを考えてみても、10年というのは更新を考えるべき長さかもしれません。メーカによる補修部品の提供保証期間が10年程度というのも一般的なような気もします。一方で、プロセスが固定した生産設備などでは、それ以上長期間使い続けるケースもありうると思われます。(そういえば、先ごろ引退したスペースシャトルは、30年間同じシステムが使い続けられてきた技術ですよね!!)似たような状況・判断から、まだしばらくは使い続ける予定の設備・システムにXPが組み込まれている状況というのも想像できます。


    これに関連しては、冒頭のセッションで、ネットワークから切り離された閉じた環境でのXPの使用継続、という論点がありました。高橋氏はしかし、USBメモリを介して感染を広げるConfickerウイルスの出現で、状況は変わったと言います。ネットに接続しなくても、メンテナンスやバグフィクスのために外部と接点を持たないシステムがありえない以上、ウイルスがやってくる危険から逃れられない。一方、そのような環境ではウイルス対策ソフトのパターンファイルは更新されないから、防御には無力であると。一概に結論は出せない、ポリシーと運用と脅威の進化とリスク管理の方程式になって、解は一つに定まらないのかもしれません。

    この辺を区切りに、会場からの質問と、それに対応する討議に移りました。

    まず提起されたのが、XP以前に、すでにサポートが終了しているWindows2000もまだ存続している問題があり、さらに、Windowsサーバ2003のサポート終了がXPの1年後に迫っている問題があるということです。Windowsサーバ2003も、システムの一部に組み込まれて存続し、サポート終了にも拘らずEnd of Lifeを迎えられないという問題が起こりそうです。これに対してはやはり、システムのライフサイクル管理の考え方、それを戦略的視点で評価すれば、すでに技術的に陳腐化しているもの、そして脆弱性などリスク要素の大きいものの延命が賢明な判断か、という問題が見えてくる、というまとめになりました。


    次に、XPを中心にエンドポイントという視点で対策を考えるべき、個人のPCではまだまだXPが残るのではないか、自治体や教育委員会などでは更新予算を全く考えていないと同時に脆弱性のリスクを理解していないケースも散見される、さらにはWindows以外の端末はどうか、これらの脆弱性の問題を、誰がどう管理していけばいいのか、という問題提起がありました。これに対して高橋氏は、攻撃のサーフェス(目標とされる表層)が大きく広がっていることを、以下のように指摘しました。

    「攻撃者は、一つの新しい切り口を見つけると、その分野で新たな脆弱性を発見する。標的型攻撃は、Drive by Download手法の確立により、それまでは重要視されなかったローカルバッファオーバーフローを利用できるようになったことが、技術的なブレークスルーとなり、多くの新たな攻撃サーフェスを開拓している。」と。


    そして話題は、攻撃に対する対策の責任主体についても、問題は複雑に、難しくなっているというテーマに移りました。そのひとつがホスティング環境の問題です。現在、ウェブサービスのミドルウェアが攻撃のターゲットになっているという現実があります。高橋氏は「これはユーザでは対応することができず、ホスティングプロバイダが対応する必要があります。プロバイダが、どれだけ適切に手を打てるかによって、ユーザの安全が左右され、ひいてはインターネットの安全も影響を受ける訳です。」と指摘されました。類似の問題として、オープンソースソフトウェアの脆弱性対策の責任にも議論が及びました。特にクラウド環境では、Open StackやCloud Stackといったオープンソースによる環境がプラットフォームとして提供されている現実があります。プロバイダごとに対応責任はあると言っても、正しい対応がとられるのか、すべての環境が同一の対策を施せるのか、といった複雑な問題があります。この話題は問題提起といったニュアンスが強く、もとより結論を出せる課題ではないのですが、サポート問題の深さ、広がり、複雑さを実感させるテーマとして意見が交わされました。


    まとめ

    このように、XPのサポート終了をテーマにしたJNSA時事ワークショップは、多様な視点、考え方、課題の広がりを反映して、広く深いディスカッション、問題提起の場となりました。

    XPという時代を画するOS製品が登場し、それが広く深く利用され、ITとネットワークとその上で提供されるサービスが著しく進化して多様化・複雑化する中で生き続けてきた、という事実があります。それは、製品(ソフトウェアも含めて)のライフサイクルを考えるときに、すでに10年を超えるライフを生きてきて、サポートされてきた、という視点を突きつけます。メーカ責任としては十分合理的範囲だと。一方で、今でも広く多様に社会システムの中で使われていて、直ちには更新しきれない利用の現実という姿があります。

    その問題をどう判断し、どう対処するかは、個別のシステムの管理者の自己責任であり、一律の強制はできないという考え方があります。一方で、ネットワーク脅威の存在があり、それがインシデントとして顕在化する時、その影響は一企業・組織に留まらず、社会に及ぶという懸念があります。だとすれば、社会的に一定の規範が形成され、それに従う道義的義務が生ずる、ということも考えられます。

    XPのサポート終了という問題は、一OSの終焉という以上の課題を突きつけていることは確かなようです。JNSAでも、機会があればこの問題を更に多面的にとらえたり、掘り下げたりする試みを続けたいと考えています。

    なお、JNSA会員企業ウイルスワクチンメーカー各社の、製品サポートに関する情報を、ご参考までお知らせいたします。

    企業名 サポート期限情報

    キャノンITソリューションズ

    2017年2月28日まで

    トレンドマイクロ

    企業向け2017年1月30日まで
     個人向け2015年12月31日まで

    シマンテック

    2018年7月5日
    (Symantec Endpont Protection 12.1)

    カスペルスキー

    次バージョン発売から2年半はサポート対象

    ソースネクスト

    2015年12月末まで

    皆様からも多様なご意見をお寄せいただけると幸いです。





    « 「(7)インターネットサービスの利用による情報漏えいの危険について」へ   「(9)セキュリティ、改めて考えてみた」へ »