Heartbleedは、暗号化プロトコル「SSL（Secure Sockets Layer）」のオープンソース実装である「OpenSSL」の特定のバージョンに存在するセキュリティ脆弱性を指す。OpenSSLでは、2台のサーバやデバイス間の接続が生きていることを「Heartbeat」拡張機能によって確認し、Webサーバ上の機密情報を暗号化する仕組みとなっている。このHeartbeat拡張機能で深刻な脆弱性が発見された。

　不正なHeartbeat要求を送信することで、攻撃者は暗号化されている通信内容やユーザー名、パスワード、X.509証明書の秘密鍵にアクセス可能となる。このセキュリティ脆弱性の発覚に伴い、業界ではOpenSSLの実用性が新たに問われている。OpenSSLは、稼働しているWebサイト全体の約66％で使われている。

　「“信頼せよ、されど検証せよ”という姿勢で議論する必要がある」と、コンサルティング会社の米IP Architectsのジョン・ピロンティ社長は指摘する。「現時点では、『オープンソースコードはバグがなく実用的だ』とやみくもに信じるのは、賢明ではないだろう」

ベンダーのHeartbleed対応状況

　多くの企業はかなり困惑しており、ベンダーによって製品やサービスの修正パッチが配布されるのを待っている。「企業が行うべき最も重要な対応は、入手可能な修正パッチを適用して、OpenSSLソフトウェアをアップデートすることだ」と、セキュリティリスク管理コンサルティング会社の米Neohapsisでシニアセキュリティコンサルタントを務めるジョセフ・シューマッハ氏は話す。

　大手ネットワーク製品ベンダーの多くがOpenSSLコードを製品で使用している。2012年3月～2014年4月にリリースされたバージョンのOpenSSLを使った製品やサービスが、Heartbleedの影響を受ける。

　米Juniper Networksのネットワーク／クラウドアクセス制御プラットフォーム、統合アクセスコントロール（UAC）といった製品もOpenSSLの脆弱性の影響を受けた。同社はそれら全製品のパッチをリリースしている。UAC向けの修正パッチは4月下旬に公開された。「これにより、Heartbleed脆弱性の影響を受けていた全てのJuniper製品に対して、修正プログラムが用意された」と、Juniperの広報担当者は述べている。「引き続き顧客に密接に協力し、システムの更新を支援していく」

　米Cisco Systemsが提供する複数の製品やプラットフォームにも、Heartbleed脆弱性が影響するOpenSSLパッケージが組み込まれている。例えば、「Nexus 1000V Switch for Microsoft Hyper-V」や、一部のテレプレゼンス製品、IP電話端末などが該当する。Ciscoは、幾つかのソフトウェア更新プログラムを公開した他、追加の修正パッチや回避策の準備も進めている。Ciscoのセキュリティアドバイザリによると、同社は引き続き、一部の製品について、Heartbleedによる影響の有無や範囲を調査しているという。

　Ciscoは時間をかけて慎重に修正パッチの提供に取り組んでいるが、急いで不完全な修正パッチをリリースしてしまったベンダーもある。CDN（コンテンツ配信ネットワーク）プロバイダーの米Akamai TechnologiesはHeartbleedへの対応を迅速に進めようとして、その脆弱性の悪用を防ぐ修正パッチをすぐに公開した。ところが、その後この修正パッチには部分的な効果しかないと判断。代わりの新しい修正パッチを配布した。この修正パッチは、エンドユーザーが従来バージョンのOpenSSLをそのまま使い続けられるようにする一方、機密データへのアクセスがブロックされるようにそのコードに変更を加えると、Neohapsisのシューマッハ氏は説明する。

企業が講じるべきHeartbleedへの緊急対策

　ベンダーの間では、企業が自社IT環境に対するHeartbleedの影響を的確に把握できるように支援する動きも広がっている。例えば、米ExtraHop Networksは、同社のネットワークデータ解析を利用してHeartbleed脆弱性とその悪用を検出する方法を顧客向けに公開。Heartbleed対策の新しいソリューションバンドルもリリースした。これは、ExtraHopが提供しているコンプライアンスおよびセキュリティ機能を拡張する無料モジュールだと、主席プロダクトマネジャーを務めるタニア・ブラギン氏は説明する。

　Heartbleedは発見される前から、ExtraHopのセキュリティツールはSSLを含む監査およびコンプライアンス情報の解析機能を提供している。「われわれのプラットフォームでは、アプリケーションパフォーマンス管理のためにネットワークデータを調べることができ、そのおかげで特定の脆弱性の悪用を検出できる」とブラギン氏。「このプラットフォームはもともとHeartbeat要求をカウントしていたが、われわれのリポートでは、その結果は埋もれたようになっていた」

　ハッカーは不正なHeartbeat要求をサーバに送信することで、Heartbleedを悪用してサーバをだまし、要求への応答として前のトランザクションのデータを返させることが可能だ。ExtraHopの新しいHeartbleedソリューションバンドルは、こうしたHeartbeat要求の数や、どのサーバが標的にされているかを分かりやすく示したり、地図上で攻撃の発信元の地域を図示したりする。

　「われわれの製品を導入すれば、Heartbleed脆弱性の有無や、それを悪用した攻撃が仕掛けられているかどうかが分かる」（ブラギン氏）

　アップデートされた修正パッチやパフォーマンス監視ツールに加えて、侵入保護ツールも機密データへの不正なアクセスを発見してブロックするのに役立つ。まだ修正パッチが提供されていない場合、企業は脆弱性の緩和策を検討しなければならない。例えば、「影響を受けないサーバをサービスのフロントエンドに据え、公衆インターネットに接続する」「脆弱性が修正されるまで、サービスを停止する」といった緩和策があると、Neohapsisのシューマッハ氏は語る。

　企業としてはどうにもならない面もあるが、それでも、ベンダーに働き掛けることができないわけではない。「遠慮することはない。Heartbleedの影響を受けるシステムや製品を持っている、あるいは使っていると思ったら、それらが扱うデータの機密性に応じて、影響の詳細な調査、ベンダーへの対応要請、別のセキュリティ施策の検討のいずれかを行う必要がある」とシューマッハ氏。「バンキング情報のようなものを保護しようとしているなら、ベンダーがセキュリティを強化するのを待っているだけではいけない」

　企業にとって、ベンダーがシステムを修正したかどうかを見極める方法はあまりないかもしれない。だが、企業は変更チケットやシステム更新の記録のような証拠を求めることで、変更が行われたことの証明を要求できると、シューマッハ氏は付け加える。

　「また業界は、同様の脆弱性が存在する可能性に目を光らせ続ける必要がある。そしてもし見つかったら、迅速に対応できなければならない」（同氏）

オープンソースは信頼すべきか

　Heartbleedが問題となっているからといって、企業がオープンソース技術にそっぽを向くことはないだろう。OpenSSLの脆弱性が注目を浴びたことにより、オープンソースプロジェクトのセキュリティを確保する目的で、かえってより多くのリソースが投入されるようになるだろうと、IP Architectsのピロンティ氏は見る。

　「Ciscoは米Googleや米Facebook、米IBM、米Microsoftといった企業と力を合わせ、オープンソースプロジェクトの支援強化に取り組んでいる。OpenSSLの支援が最優先されるだろう」と、Ciscoのプロダクトセキュリティインシデントレスポンスチーム（PSIRT）の広報担当者、ナイジェル・グレニー氏は語る。

　チェックする目は多いほどいいと、ピロンティ氏は指摘する。「オープンソースを利用するのは素晴らしいことだ。すぐに使えるコードがフリーで提供されているのだから。しかし、企業やベンダーは、オープンソースコミュニティーが保証テストを行っていると信頼するだけでなく、自社でもテストを行わなければならない」