通信プロトコルの脆弱性(2) - 「なかなか治らない脆弱性」「忘れられた脆弱性」

　今回も前回に引き続き、ネットワークの通信プロトコルに潜む脆弱性について見ていきましょう。前回のコラムを書いてから、Wi-Fiでひろく使われている暗号プロトコルの脆弱性 (KRACK脆弱性) が話題になりましたが、これはまさにプロトコル脆弱性の一例です。実際、皆さんの身近なところでWi-Fiの暗号通信を改ざんしようとか、盗み見ようという人はいないと思いますが、プロトコル脆弱性は影響範囲が大きく、ほとんどのパソコンやスマートフォンで対策する必要があるので、大きな話題となりました。（前回のコラム）
　ただ、あれだけ騒いでもOSの更新が止まってしまった古いスマホやタブレットは使われ続けるでしょうから、KRACKも「忘れられた脆弱性」の仲間入りをすることになるでしょう。それ以前に、Wi-Fiのパスワードが簡単すぎて暗号通信になっていないネットワークも沢山あるので、暗号プロトコルの脆弱性だけ直したところで「頭隠して尻隠さず」になっているケースも多いと思います。

　さて、「なかなか治らない脆弱性」「忘れられた脆弱性」ともいえるプロトコル脆弱性ですが、どんな状況で気をつけるべきでしょうか。

　はっきり言いましょう。プロトコル脆弱性の影響が最も大きいのは、モバイルです。特に都市部や空港など、不特定多数の人が往来するモバイル環境では誰が何をやっているか、分かったものではありません。

　そんな悪い人はいないよ

　と思われたかもしれません。私もそう思います。しかしプロトコル脆弱性を突いてくるのは悪い人だけではなく、悪いプログラム、つまりウイルスやボットネットの類もあるわけで、これがやっかいです。
　少し前の話ですが、若い人たちは平均して１日に１つ、アプリを入れ替えているという統計がありました。周りを見渡して、あなたと同じWi-Fiを使っている若い人たちは何人いるでしょうか。その人たちが毎日入れ替えているアプリは、安全でしょうか。怖くなったら、Wi-Fiをオフにしたほうがいいかもしれません。もちろん、問題はWi-Fi に限った話ではなく、Bluetoothを経由することも十分考えられます。

　別に隠すものはないし

　という考え方もありますが、プロトコル脆弱性で怖いのは盗聴だけではありません。もっと怖いのは、いつものサイトにアクセスしているつもりが、悪性サイトに誘導されるケースです。もっとも、ネット銀行も買い物もしない、友達もいない、仕事もしないというのであれば悪性サイトに誘導されても平気かもしれません。
　なお最近のモバイル系の脆弱性といえば、最新のWi-Fiの脆弱性ともいえるKRACKとならんでBluetoothの脆弱性 BlueBorneが挙げられます。BlueBorneは不特定多数の人が往来するモバイル環境でBluetoothをオフにしたくなるような恐ろしい脆弱性です。（ちなみに、BlueBorneはいくつかのソフトウェア脆弱性とプロトコル脆弱性をごちゃ混ぜにして名前をつけたものです。このように脆弱性の専門家たちもソフトウェア脆弱性とプロトコル脆弱性を、おそらく注意を喚起するために、マーケティング目的で区別せずに扱うことがあるので、少々注意が必要です。）

　不特定多数の人が往来するモバイル環境でWi-Fi, Bluetoothを使うことがリスクだとすると、街中ではどうすればいいでしょうか。私は電話ボックスが復活したらいいのにな、と勝手に考えています。ケーブルでつなぐのはオシャレじゃないかもしれませんが、ワイヤレスに比べれば確実に安全です。誰が聞き耳を立てているかわからない満員電車の中で秘密の商談をしないのと同じで、大事なオンライン取引は物理的に隔離した環境でやるべきです。そうそう、ホテルのWi-Fiが狙われている、なんていう話も数年前にありました。

　オーケー、じゃあワイヤレス使ってない俺のパソコンは安全だ。

　残念ながら、そこまで単純ではありません。ケーブルでつないでいても、Wi-FiやBluetoothを使っていてもお構いなしに、パソコンはいろいろなプロトコルを喋っています。

　「プリンタはどこ？」
　「ルータはどこ？」
　「プロキシはどこ？」

　あなたが相当パソコンに詳しくてこれらの機能を禁止しない限り、パソコンのOSはネットワークにつないだ瞬間にプリンタやルータ、プロキシを探すためにお喋りを始めます。自動設定、カタカナ言葉でいうとプラグ・アンド・プレイというやつです。
　この自動設定、じつは相手が誰であれ誰彼構わず語りかけるお喋りなのです。

　「プリンタはどこ？」
　「俺だよ」

　この短いやりとりで、あなたの可哀想なパソコンは通りすがりの不審者をプリンタだと思い込みます。
　そんなバカな、と思われるかもしれません。しかし、あなたの可哀想なパソコンは本物のプリンタと偽物のプリンタを見分ける術をなんら持ち合わせていないので、通りすがりの不審者のいうことを信じるしかないのです。
　こういうバカなことにならないために、自動設定ではなく手動設定に切り替える方法があります。少々面倒ですが、職場に置きっ放しのパソコンなら毎日プリンタやルータが変わることもありませんから、できれば自動設定は切っておきたいものです。
　あるいはネットワーク機器に設定を追加して、つながってくるプリンタやパソコンをそれぞれ認証して、登録されていない不審物をつながないようにする方法もあります。

　バカいうな、自動設定は便利じゃん。自動設定がないなら俺はネット使わないよ、と怒る「えらい人」も沢山いそうです。しかし、はっきり言いましょう。端末もどんどん小さくなり、ネットに繋いでいたケーブルが見えなくなり（ワイヤレス）、ネットに何がつながっているか把握できていない状況では、自動設定は究極のプロトコル脆弱性です。このためセキュリティに敏感な組織ではワイヤレスをいっさい禁止しているところも多いですし、たとえワイヤレスでつなぐことを許可されても「自己責任でどうぞ」と警告された上で、いちいち認証を求められます。

　今回はこれくらいにしておきましょう。次回も、プロトコル脆弱性のやっかいな性質について紹介したいと思います。

■関連ページ
【アクセリアのサービス一覧】
　・サービスNAVI