Gates氏の提唱によってマイクロソフトは果たしてセキュアになったのか？

　米MicrosoftのBill Gates会長自らが提唱した「Trustworthy Computing(信頼できるコンピューティング)」によって、同社ではセキュリティ対策が最もプライオリティの高い事項としてクローズアップされ、さまざまな対策が実際に行なわれた。今回の特集では、Gates氏の提唱から1年強が経過した現在、同社ではどのような試みを実際に実行し、成果が確認されたのか？　など、マイクロソフトのセキュリティに関する現在の取り組みと今後の展開を同社担当者の話を交えて紹介する。

●「Trustworthy Computing」の現状

○なぜBill Gates会長はTrustworthy Computingを提唱したのか？

（左）セキュリティレスポンスチームマネージャ奥天 陽司氏 （右）Windowsサーバー製品部シニアプロダクトマネージャ古川 勝也氏

　まず、古川氏は「なぜBill Gates会長はTrustworthy Computingを提唱したのか？」を説明した。Gates氏が提唱した理由には、2001年に大流行したウイルス「Nimda」や「Code Red」が大きく関係しているという。NimdaやCode Redは、いずれもマイクロソフト製品の既知の脆弱性を利用したウイルスであり、パッチを導入していれば被害が拡大する可能性が低いものだった。しかし実際には、空前の規模ともいえる被害状況となり、ユーザーのパッチ導入率の低さが露呈する結果となった。

　Gates氏はこの事態を重く受け止め、二度とこのような被害を出さないためにも、製品開発姿勢などの大幅変更を決定し、Trustworthy Computingを打ち出したのだという。

　一方で古川氏は、Trustworthy Computingは決してセキュリティに関してのためだけに考えられたものではなく、“個人情報保護（Privacy）”や“可用性（Availability）”、“適合性（Suitability）”、“完全性（Integrity）”などにも触れられていると説明した。つまり、Trustworthy Computingはセキュリティを最重要事項として位置付けながら、それに関連する個人情報保護なども含めてマイクロソフトの全体的な方向性を示したものだということだ。

○4つに分類される「Trustworthy Computing」

　Trustworthy Computingの最重要事項であるセキュリティは、さらに4つに分類されて考えられているという。4つの内訳は、以下の通り。

• 設計段階からセキュリティを考慮し、製品の根本的な堅牢性向上を目指す「Design」
• 出荷時の標準設定を見直して、適切な設定の普及を目指す「Default」
• 運用面でのセキュリティ維持を目指す「Deploy」
• 情報の提供と啓蒙を行なって実際のユーザー環境の向上を目指す「Communication」

　「Design」は、設計段階からセキュリティを考慮してソフトを作成し、根本的な部分でのセキュリティ向上を目指すというもので、実際にGates氏がTrustworthy Computingを提唱した時に開発途中であった、Windows Server 2003の開発作業を10週間に渡って停止し、根本的な設計の見直しや全Windows開発者のセキュリティ教育を1カ月間ほど実施したという。

　「Default」は、製品出荷時の標準的な設定を見直し、標準設定ではほとんどのサービスが停止されている状態にして、必要なものだけを有効にするというもの。その代わり、インストール時の設定項目が増えてしまうが、ウィザードによりいくつか項目を選択するだけで、わかりやすく設定できるようにするという。従来の製品では、出荷時に多くのアプリケーションがインストールされており、それらのサービスの大部分は初期設定で有効もしくは動作している状態であることが多かった。しかし、この場合、ユーザーが知らない内に動作しているサービスが存在している可能性が高く、そのサービスに脆弱性が発見されるケースも少なくない。

　「Deploy」は、ユーザーが製品導入後の運用面をより安全・簡単に行なえるようにするというもの。具体的には、パッチの提供方法やバグ発見手段などの改善となっている。実際にマイクロソフトでは、この取り組み開始後の2002年6月にWindows Update専用サーバーを構築することで、社内のセキュリティパッチを一元的に管理することができる「Microsoft Software Update Services(SUS)」日本語版をリリースしたほか、重要な更新があった際に、ポップアップで更新を知らせる機能の実装などが実現している。そのほかにも、運用のためのドキュメントを公開するなど、ユーザーの運用を手助けするさまざまな試みを行なっているという。

　4つめとなる「Communication」は、普段セキュリティレスポンスチームでパッチの情報提供などを行なっている奥天氏が説明した。「Communication」は、ユーザーとCommunicationを綿密に取り合い、ユーザーの必要な情報を伝達していくというもの。伝達手段として、マイクロソフトのWebサイト、各地で実施するセミナー、メディアなどあらゆる手段を用いて啓蒙していきたいとのこと。奥天氏は、「Communication」の最終目標を“Windows利用ユーザーが全てのパッチをあてた時”としており、パッチの導入率を上げるために「Communication」をさらに重視していくという。

　マイクロソフトの方向性ともいえる「Trustworthy Computing」を紹介し、同社の目指すものが垣間見えてきた。ここからは、実際にどう取り組んでいるのかを「セキュリティパッチの提供方法」、「次期サーバーOSの内容」や「今後の展開」から紹介していく。

◎関連記事
■マイクロソフト、ラックと提携し、更なるセキュリティ強化を狙う
■マイクロソフト、LAN上でパッチをダウンロードできるソフトを提供開始
■3つの“D”でセキュリティの向上を図る
■マイクロソフト、セキュリティについての取り組みを発表

●セキュリティパッチはどうやって提供されているのか？

　マイクロソフトのセキュリティパッチ情報は、主に米国のセキュリティレスポンスセンターに集められており、日本では米国などと密接に連絡を取り合うほか、株式会社ラックなど多くのパートナー企業とも連絡を取り合い、日本独自の情報提供を行なっている。これは、日本には独自の風習が多く存在するため、米国発の情報だけでは対応できないことが多く、ローカルに根付いた情報提供が必要なためだ。

　このような情報収集により、脆弱性や攻撃方法に関する情報を集め、開発室において修正プログラムの開発などを行なう。開発室でセキュリティパッチが完成した後、再度セキュリティレスポンスセンターに情報が戻ってくる訳だが、戻ってきて即座に提供するのではなく、「全てが確実になった段階（奥天氏）」で提供するのだという。これは、問題のあるパッチを提供することによって発生する2次被害を減らすために行なわれるのだが、反対にこのことによってパッチの提供が遅くなる場合もあることを承知の上で、このポリシーを実施しているという。

　実際にセキュリティレスポンスセンターから提供されるセキュリティ修正プログラムの種類は、緊急度などに比例して「セキュリティ修正プログラム（セキュリティパッチ）」、「累積的セキュリティ修正プログラム」、「Security Rollup Package(SRP)」、「Service Pack(SP)」の4種類のプログラムに分類される。

　「セキュリティ修正プログラム」は、緊急かつ重要・深刻なセキュリティ問題に対して迅速に個別プログラムとして提供されるもので、提供時間の速さが最優先されるものが主となる。「累積的セキュリティ修正プログラム」は、重要なセキュリティ問題を含む累積的なもので、深刻度「中」のものまでが含まれている。SRPは、累積的なプログラムに深刻度「低」のものも含まれる。SPは、修正プログラム以外にも製品を最新に保つためのプログラムを加えて提供される。また、SPの場合はテストやチェックを優先して作成しているという。

　奥天氏はこれらのパッチについて、「まずSPとSRPは絶対に導入してもらいたい。その次にWindows Update、個別の修正プログラムと導入していっていただきたい。しかし、最も重要なことは、セキュリティ対策の最も整った最新のOSを導入することだ」としている。

　「セキュリティ修正プログラム」は、さらに問題の深刻度によって“緊急”、“重要”、“警告”などに分けられている。“緊急”や“重要”は、この問題によってほかのPCへ影響を与える可能性のあるもの。さらに「近い将来に攻撃される可能性が高い」という情報をマイクロソフトが掴んでいる場合には、同社内で“緊急”のさらに上のランクが設定され、対応しているという。このような“攻撃される可能性が高い”という情報はさまざまなソースから同社に入ってきており、発見された脆弱性のうち30％程度ではこのような情報が何らかの形で入っているという。

　最近の事例でいうと、「MS03-007」などがこれにあたる。MS03-007は、脆弱性の発見後の早い段階から掲示板やMLにおいて、この脆弱性を利用した攻撃ツールが出回っており、発見とほぼ同時に攻撃される恐れがある“ゼロデイアタック”が起きる可能性があった。このため同社でも“緊急”と表示し、さらにセキュリティ情報ページのTOPで告知するなど最大限の警告を行なったと奥天氏は説明している。

　また、奥天氏は「セキュリティ情報は掲載されて2日間程度は頻繁に見て欲しい」と言っている。これは、マイクソフトの方針として確定した情報だけしか出さないため、情報が小出しになってしまう可能性があるためだ。緊急性の高い情報の場合は、まず情報の概要と対応策を掲載し、詳細が判明した段階で随時情報追加を行なっている。多くのケースでは、情報が出揃うまでに約2日間かかるため、情報公開から2日間程度は1日数回程度更新がないか見守った方が良いとしている。

　一方で、このようにセキュリティ情報ページを1日数回見るユーザーは管理者など限られたユーザーが主体で、エンドユーザーはまずこのようなセキュリティ情報専門サイトを訪れることがないという実情もある。そこでマイクロソフトでは、プッシュ方式でユーザーに更新を知らせる方式を導入した。これにより、大分導入率が上がったという。このプッシュ方式は、パッチ内容を知らせてユーザーがボタンを押すとインストールされる半自動形式だが、これさえも面倒だというユーザーのために完全に全自動にするには、あまりにも問題が多く、現在のところ導入する予定はないという。

◎関連記事
■WebDAVに関する脆弱性はIISを起動していないWindows 2000にも影響
■Microsoft、Windows 2000の「IIS 5.0」に任意のコードを実行できる脆弱性

●「Trustworthy Computing」の真価が問われるWindows Server 2003の中身

○Windows Server 2003に実装されている「Trustworthy Computing」の中身

　Windows Server 2003では、大きく分けて2種類のセキュリティ強化策が取られている。「根本的にセキュアな設計」と「初期設定の見直し」だ。これは、前述したTrustworthy Computingの「Design」と「Default」を実現したもの。

　「Design」の実装では、基本設計の部分からセキュリティを考慮した設計がされており、「.NET Framework」上でアプリケーションなどを動作させるための実行エンジン「Common Language Runtime(CLR)」のプログラムミスも減らされているため、セキュリティの底上げが図られている。また、「Internet Information Services（IIS）6.0」においても、再設計されているほか、Webサービスや他のアプリケーションを動作させるプロセスを低い権限で実行するように変更されている。これはIISの権限を低くすることによって、万が一IISが乗っ取られたとしても、権限が低いために他サービスへの影響を少なくするというものだ。

　「Default」もさまざまな面で実現されている。まず、「IIS 6.0」が初期設定の段階でオフにされており、ユーザーが導入後にサービス開始の設定をしなければ動作しない。また、Internet Explorerのセキュリティ機能は「High」に設定されている。初期設定段階でこのような設定を行なうことで、「Code Red」のようなウイルスの脅威を軽減を図る。また、パスワードのセキュリティに関しても、リモートログインの際に必ずパスワード入力が要求されるようにされた。

　初期設定でサービスオフにして出荷することによって、確かに不要なサービスは必然的に停止され、セキュリティ強度は高くなるが、一方で導入時の“敷居が高くなる”ことは否めない。敷居が高くなることによって、Windows 2000 ServerやNT 4.0からの切り替えに二の足を踏むユーザーが増えては本来の意味が薄くなる。

　この点をマイクロソフトは、分かりやすい設定ウィザードを導入することにより解消したという。実際にWindows Server 2003を導入すると、ウィザード画面で“FTPサーバー”や“Webサーバー”などの大枠から自分の必要なサービスを選んでいくことで設定を可能にしたとのこと。また、ウィザードの使いやすさやデザインには相当注力しているようで「かなり使いやすい出来上がりになっている」と古川氏は語った。

　このようなTrustworthy Computingに基づいたセキュリティ強化以外にも、「PKI（公開鍵）」サービスの強化や、「Protected Extensible Authentication Protocol（PEAP）」への対応などが行なわれている。

◎関連記事
■Microsoft、「Windows Server 2003」のセキュリティ詳細を明らかに

○さまざまな理由からNT 4.0からの乗り換えを推奨するマイクロソフト

　Windows Server 2003の出荷によって、Windows Serverのセキュリティレベルの底上げが図られる可能性は高いが、マイクロソフトとしてはこの製品によってNT 4.0からWindows Server 2003への乗り換えを期待するところも大きいようだ。

　NT 4.0は1996年12月の発売以来既に6年以上経過しており、2003年1月にはサポート期間が2004年12月31日で終了すると発表された。奥天氏は、「NT 4.0とWindows 2000 Serverでは基本設計から根本的にかなり異なっており、セキュリティ面でも大きな差がある。Windows 2000 Serverでは、アクティブディレクトリーに馴染めずに移行を躊躇していた管理者も多いと聞いているが、Windows Server 2003には馴染めるのではないだろうか」と語っている。

　実際にNT 4.0を使い続けることによって発生する危険性は、セキュリティパッチなどにも現われている。3月27日に発見されたRPCに関する脆弱性では、XPや2000ではセキュリティパッチが提供されたが、NT 4.0では提供されていない。これは奥天氏によると「Windows XP/2000ではセキュリティパッチが作成できたが、NT 4.0ではセキュリティパッチを導入するとほかのサービスへの影響が大きくなってしまうため提供できなかった」のだという。

　このように、NT 4.0では個別の修正プログラムが提供されない可能性もでてきたのだ。このようなことから「プリンターサーバーなどの用途ならまだ利用できると思うが、Webサーバーなどに利用する場合は、Windows 2000 ServerかWindows Server 2003に移行してほしい」（奥天氏）という希望があるようだ。

◎関連記事
■Windows XP/2000/NTにDoS攻撃を受ける可能性がある脆弱性

●今後目指すもの

○まずはセキュリティ技術者の絶対数を増やす必要がある

　古川氏はまず、絶対的なセキュリティ技術者の少なさを強調した。これは、マイクソフトに限らず全世界に対して言えることであり、同社としては学生を教育し、さらにはエンドユーザー全員のセキュリティ意識底上げを目指しているという。

　計画では、まず大学においてセキュリティ専門科の立ち上げや、セキュリティ関連授業の開講などを実施するという。その次に企業やエンドユーザーと続く。しかし、エンドユーザーの場合、セキュリティへ対する関心度が大きな問題として立ちはだかるだろうと古川氏は予測した。

　エンドユーザーの場合、知識のあるユーザーは貪欲に自分自身でセキュリティ情報を収集するが、知識や関心のないユーザーには、わかりにくい技術情報を提供しても全く関心を持ってもらえない可能性が高い。奥天氏は解決策として「まず、技術的ではなく、興味の湧く身近な問題に落とし込んで紹介していかなくては関心を抱いてくれない。口コミによる関心度向上も考えている」という。

○恥を恥として積極的に公開していく

　また、マイクロソフトは、今よりもさらに積極的にセキュリティ情報を公開していくという。Trustworthy Computingの一環によって、以前より多くなったセキュリティ情報を来期（マイクロソフトは6月末締め）より、さらに積極的に提供していこうというものだ。

　この背景には、やはりTrustworthy Computingがある。セキュリティ修正情報を積極的に出していくと「穴が多い」など負の感情をユーザーに抱かせる可能性も高いが、反面情報を隠蔽もしくは遅く公開することによって会社の信用を失う危険は下がる。「パッチが増えることによって、一時的に信用低下を招くかもしれないが、長期的にみるとマイクロソフトの透明度が信頼を勝ち得るというGates氏の思惑がある」と奥天氏は言う。

　積極的にメールなどを用いて、セキュリティ情報を提供することによって、エンドユーザーからサポートに問い合わせが急増するなどの事態が考えられるが、その手間を考えても、積極的に提供することによって「エンドユーザーがセキュリティに関心を持つ」、「信頼を勝ち得る」などのメリットが上回るという。

　このように「恥を恥として積極的に公開していく（奥天氏）」ことにより、“知識”だけでなく“意識”を高めていくことを目指すという。現在のところ、ADSLの普及に常時接続が増えたこともあってWindows Updateの利用数は着実に上がってきているとのことだ。

●成果を期待できるのはまだ数年後

　実際に評価するためには、Trustworthy Computingのコンセプトが織り込まれたWindows Server 2003が出荷し、XPの後継クライアントOSが登場する必要がある。したがって、評価をすることはできないが、1年強の間でセキュリティ情報提供姿勢の変化やパッチの提供方法などさまざまな“変化の兆し”は見えてきた。

　しかし、セキュリティ全体に関して考えると、いくらマイクロソフトが努力をしてセキュリティを強化したところで、実際のユーザーが“やるべき行為”をやらなければ、結局は効果が薄くなってしまうことも事実だ。

　メーカー側であるマイクロソフトは根本的にセキュアな環境提供に向けて努力を始めている。ユーザー側でも今後セキュリティに対する意識が高まり、奥天氏「最低限行なって欲しい」と言う「SRPやSPをあてること」がマナーとして定着することを期待したい。

(2003/3/31)

[Reported by otsu-j@impress.co.jp]