【メルマガ】「悪意」が最大の敵(2024年04月09日)

先日、サーバでよく使われている機能に、凶悪なバックドアが仕掛けられているのが発見されました。

現在のシステムは、様々な礎の上に成り立っています。

こうした状況の中、どのようにして安全性を保っていくのか、少し考えてみましょう。

xz事件

圧縮ツールに「XZ Utils」というものがありますが、
サーバにはほぼほぼ含まれている機能となります。

こうしたツールも定期的にアップデートがなされていくわけですが、
アップデートともに悪意を持ったコードが含まれたのが今回の事件です。

バックドア、つまり、サーバ内にそうしたプログラムを配置することで、
外部からアクセスできる「抜け道」を用意し、接続できるようにするわけです。

今回、この悪意のあるコードが含まれたXZのバージョンが広く配布される前にこの脆弱性に気がついたとのことで、
大きな影響はなさそうです。

ただ、この脆弱性に気がついたのは、本当に偶然のようです。

明らかに、悪意を持って仕込んでいる

なぜ脆弱性が仕込めたのか。

こうしたツールは、メンテナンス権限のある人間がプログラムを改修し、配布することになります。
一般的には、改修者以外の人間が内容を確認し、リリースすることになるでしょう。

今回についても、この辺りの仕組みが動いていなかったわけではなさそうです。

メンテナンス権限のある人間が、悪意を持って仕込んだようです。

※ただし、このメンテナンス権限のある人間について、権限を持つようになった経緯が若干怪しそうな気配です。

「リスク」と考えるしか･･･

現在のシステムは、様々なプログラム資産を使って成り立っています。
把握しきるのはほぼ不可能でしょう。

つまり「大丈夫だろう」と信じて使っているわけです。

また、「何かあっても最新版にアップデートしていけば対策ができるだろう」との考えがあります。

しかし、今回のように悪意を持って仕込まれた場合、
そしてそれに気がつけない場合、
ほぼ全ての利用者にとっては打つ手がありません。
(今回発見したのも、たまたまです)

システムを使う際は、
「必ずリスクは存在する」と考え、
最悪の事態に備えて策を準備するのが現実的でしょう。

「悪意」を無くすのが一番ですが、
人類史上、それを達成できたことはまだないですね･･･