ミシガン大学の前最高セキュリティ責任者であるポール・ハウエル氏によると、同大学が最初にHeartbleedについて知ったのは2014年4月7日のことだった。同大学のWeb環境に関連したパッチ管理を担当するWebチームが、OpenSSLのWebサイトで脆弱性の告知に気付いたことで発覚した。Webチームは、この告知についてハウエル氏と彼の指揮下にあるセキュリティスタッフに知らせた。そして、Heartbleed問題の深刻度合いを特定する作業が始まった。

　毎年、膨大な数の製品で見つかったおびただしい数の脆弱性が公表されている。だがそれ以外にも、「セキュリティの専門家が気付く前にパッチが適用された無数の脆弱性が存在する」とハウエル氏は語る。同大学は、全ての関連するパッチを取りこぼすことなく、すぐ適用するよう努めている。どの組織についてもいえることだが、脆弱性が組織の環境に与える影響度合いに基づいてセキュリティ更新プログラムの優先順位を設定する必要がある。

　「共通脆弱性評価システム（CVSS）」はアメリカ国立標準技術研究所が脆弱性の深刻度を評価する業界標準だ。HeartbleedはCVSSで「5.0」（危険度「中」）と評価されている。当時はまだ目立った攻撃がなかったので、Heartbleedを悪用した攻撃がすぐに発生する可能性は低いと見なされていた。

　通常、このような評価を受けた脆弱性の優先度は高くならない。だがHeartbleedの評価には、特定の事例の影響を評価することを推奨する特記事項が含まれていた。これは異例のことだ。そのため、Heartbleedが引き起こす可能性のある被害を考慮して、ミシガン大学は素早い対応を取った。

　そうせざるを得なくなった理由は、Heartbleedがメディアで大きく報じられたことにもある。「問題や脆弱性は常に存在しているものだ。だがHeartbleedのようにメディアで大々的に取り上げられたり、有名なニュース番組やラジオ番組で扱われたりすると、たちまち管理者の知るところとなる。セキュリティスタッフは役員を含む多くの人たちから説明を求められた」とハウエル氏は語る。

　ミシガン大学では実際、多くのインシデントレスポンスシナリオとは逆のパターンが発生していた。セキュリティチーム以外にもHeartbleedの存在が知れ渡り、ハウエル氏は人々の中で増大する懸念を抑える必要に迫られたのである。

　ハウエル氏は、多くの役員に次のようなメッセージを何度も伝えることになった。「インターネットが溶けてなくなるわけではない。Heartbleedは確かに深刻な問題だ。だが極めて深刻な問題ではなく、報道が過熱している面もある」

Heartbleedを封じ込める

　ミシガン大学のセキュリティチームは、Heartbleedの問題解決を最優先事項として掲げた。まず侵入検知システム（IDS）のフィルターを実装し、脆弱性を狙った攻撃の検出を試みた。

　同時に、複数のコンピュータ科学研究者から成る別のグループが、オープンなインターネット環境を積極的にスキャンした。Heartbleedの攻撃にさらされている組織のためだ。だがこの活動により、他大学のセキュリティスタッフから、「自校のIDSの使用が妨害され、スキャン機能が一時停止する羽目に陥った」という苦情がミシガン大学に寄せられる事態となった。

　ミシガン大学のスタッフは、IDSの実装後、OpenSSLの更新版とHeartbleedのパッチを数百種の学内のシステムに展開する作業に着手した。ハウエル氏によると、この作業は比較的簡単で、他大学に聞いた状況と同じだったという。実際、大学の認証プロセスを処理するものなど、一部のシステムに脆弱性はなかった。パッチの適用が必要な学内のシステムへのパッチ適用作業は約5日で完了した。

　大半のシステムへのパッチ適用が完了した後、同大学のWeb管理者は次のステップとして既存のセキュリティ証明書を無効にし、米国の学術認証基盤「InCommon」を通じて新しい証明書と置き換えた。これも基本的に簡単なプロセスだった。同氏によると、パッチの適用によって機能しなくなったアプリケーションは1つしかなかったという。同大学は脆弱性の原因となっている部分でTLSのHeartbeat拡張を手動で無効にして、この問題を回避した。

Heartbleedのパッチ適用：システムの所有者は誰か

　ハウエル氏によると、対応が難航したのは、学部ごとに管理され一元管理できていないアクティブなシステムだったという。こうしたシステムのほとんどは、卒業生や研究者によって管理されている。そのため、同大学のITスタッフが管理する学内のシステムと同じようにパッチを適用するわけにはいかなかったのだ。

　これらのシステムにパッチを適用する作業には時間がかかった。ITスタッフはさまざまな学部のシステムの対応に追われ、緊急時にはすぐ人手が足りなくなってしまうためだ。システムを管理している卒業生や教員の中には、「Heartbleedは、パッチを適用しなければならないほど深刻な問題なのか」と疑問視する人もいた。

　「当大学が取った対策は、一元管理されていないシステムを水際でブロックするだけだった。この作業自体は簡単だが、かなりの数のグループとの話し合いが必要だった。それに伴う労力や時間は決して軽視できない」とハウエル氏は語る。

　米Polycomなどの機器ベンダーから、なかなかパッチが提供されないことにも頭を悩ませた。IT業界のほぼ誰もがそうであるように、Heartbleedはベンダーにとっても唐突に発生した問題であることはハウエル氏も認める通りだ。そのことを加味しても、ベンダーの対応は「非常に遅かった」という。中にはパッチの提供時期の通知すらなかなか送ってこないベンダーもいた。

Heartbleedのパスワード変更：最後の難関

　ベンダーからパッチが提供されたら、パスワード変更の必要性をミシガン大学のコミュニティーに通知することで、Heartbleedのパッチ適用作業は完了とした。同大学は、数週をかけてさまざまな大学グループに少しずつメールを送信し、このプロセスを遂行した。まずは大学役員と学部長へメールを送信。次に教員と在校生、最後に卒業生と入学生へといった具合だ。その他、WebサイトでHeartbleedについて詳しく説明したり、脆弱性に関する予備知識や大学と関係しているログオン資格情報を変更する方法についても紹介した。

　特筆すべきは、ユーザーにパスワードの変更を強制しなかったことだ。これは、欠陥公表後の対応としては、セキュリティ専門家のアドバイスに反する行為である。同大学がこのような方針を取った理由の1つは、それほど大きな労力が必要あるのかどうか、業界で疑問視する声が少なくなかったことだ。

　「さまざまな意見があったが、そのほとんどでパスワードの変更が推奨されていた。だが全員に被害があるという確証はない。当大学でパスワードの変更を強制しなかったのはそのためだ。大学内のさまざまなコミュニティーにメールを送信してパスワード変更を推奨し、その理由としてHeartbleedのバグについて言及した。ただし、パスワード変更を義務付けることはしなかった」（ハウエル氏）

　同大学ではかなりスムーズにHeartbleedに対処できた。だがハウエル氏は、今後発見されるバグがHeartbleedのように広く公表されないことを望んでいる。大きく報道されることは、世間のセキュリティ問題に対する意識向上に役立つという見方もある。だがユーザーが不必要に無防備な状態になるばかりか、十分な情報がない状態で組織のIT部門がパッチ適用に追われなくてはならない状況を引き起こす。

　「『完璧なコード』という言い方はしたくないので、『深刻な欠陥のないコード』と言わせてもらう。Heartbleedは、深刻な欠陥のないコードを記述するのは誰にとっても難しい作業であることを示す一例にすぎない。米Microsoftや米Oracleといった大手ソフトウェアベンダーですら、いまだに10年前と同じような欠陥コードを記述することがある。彼らの仕事振りに問題があるわけではない。むしろ、安全なコードを記述すべく非常に素晴らしい仕事をしている。全てのバグを取り除くのは本当に難しいのだ」（ハウエル氏）