日本企業の実ネットワークで検出した1178個のアプリケーションと通信機能のうち、SSLによる通信路暗号化を使用するものは425種でした。全体の36％がSSLを使用している計算です。この割合は、世界の他の3地域（北米、ヨーロッパ、アジア太平洋）と比較して一番高い結果となりました（表）。日本では全体的なサンプル数と検出したアプリケーション数が他地域と比べて小さかったことが原因として考えられます。ただし、少なくとも日本企業は他国よりもSSLの使用状況が高く、その分SSLをターゲットとした攻撃も受けやすいことは事実です。

　皆さんは、自社のネットワークでどれくらいSSLが使われているかを把握しているでしょうか。SSLを使用するアプリケーションのうち、幾つがビジネス用途に使われているでしょうか。IT管理者が管理しているアプリケーションや通信機能については把握できるかと思いますが、それ以外はどうでしょうか。

　図1は、日本企業の実ネットワークで検出した、アプリケーションや通信機能の上位10カテゴリと、各カテゴリのアプリケーション数をSSLの使用状況別に表しています。ファイル共有のカテゴリでは、その半数以上がSSLを使用しています。日本においては1企業当たり平均17種のファイル共有アプリケーションを検出しました。単純に計算すると、そのうち8種はSSLを使用していることになります。

図1　日本における主要カテゴリのSSL使用状況別アプリケーション数

　日本企業で多く見られたファイル共有アプリケーションは、「WebDAV」を利用するものに加え、「OneDrive（旧SkyDrive）」「Dropbox」「Googleドライブ」「宅ふぁいる便」「Yahoo!ボックス」「SlideShare」でした。「Yandex.Disk」「ifile.it（現filecloud.io）」「Bitcasa」など、新興国に拠点を置くサービスや容量無制限をうたったサービス、個人ブログなどで紹介されている有名ではないオンラインストレージも多数利用されていました。

　また、自社で使われている各種アプリケーションの技術的な仕組みを把握しているでしょうか。それらのアプリケーションは、会社が承認したものでしょうか。OpenSSLを使用しているでしょうか。それらのアプリケーションを利用して、漏えいするかもしれない個人情報や会社の情報はどのようなものでしょうか。これらが不明瞭なまま放置していると、大きなリスクを背負うことになりかねません。

Heartbleedのリスク

　2014年4月に公表されたHeartbleedは、オンラインバンキングに加え、Dropboxや「Yahoo!」「Google」「Facebook」といった有名どころから無名のものまで、無数のWebサイトに影響を与えました。

　Heartbleedにより、組織に侵入してその内部を徘徊するなど、従来は非常に高度な脅威に使われていた手段を普通の攻撃者が使えるようになってしまいました。筆者が所属するパロアルトネットワークスでも、実環境でのHeartbleed利用を想定した概念実証において、企業ネットワークにある脆弱なサービスを自動検出し、ワンクリックで攻撃するツールを容易に開発することができました。

　Heartbleedの影響は甚大でしたが、有名なWebサイトでパッチ更新が完了すれば、多くの人は時間の経過とともにHeartbleedのことは忘れてしまうでしょう。しかし、企業のセキュリティ担当はこの先何年も、Heartbleedの深刻な影響に対処する必要があります。その上で、上述した事実を知っておかないと、Heartbleedを悪用した認証情報やデータの盗聴ツールからの攻撃を防ぐことが非常に困難になります。

Heartbleedリスクの対策

　Heartbleedの具体的な対策としては、以下の7種が挙げられます。それぞれを詳しく解説していきます。

1. 影響があるシステムを特定してパッチを適用
2. SSLが使用できるアプリケーションを厳密に制御
3. クラウドアプリケーションプロバイダーと協力して対策を促進
4. 新しい暗号鍵を作成
5. 顧客へ通知
6. パスワードを変更
7. フィッシング詐欺に注意

対策1. 影響があるシステムを特定してパッチを適用

　SSLを使用するアプリケーションは全体の36％にも上ることから、組織内でSSLを使う通信にどのようなものがあるかを全て把握している管理者は、まずいないでしょう。OpenSSLを利用する未知のアプリケーションを検出するには、ネットワーク全体でローカルスキャナを実行する必要があります。また、OpenSSLを利用するクライアントとサーバ双方のアプリケーション更新が必要です。

対策2. SSLが使用できるアプリケーションを厳密に制御

　上記の通り、想像以上に多くのSSL利用アプリケーションが存在し、その多くは企業が導入したものではなく、エンドユーザーが利用しているものです。そのため、アプリケーションが迅速に更新されなかったり、企業が決めた対策にエンドユーザーが従わなかったりして、組織のセキュリティリスクを高める可能性があります。社内のエンドユーザーに対して、アプリケーションを厳密に制御することも対策の1つです。

対策3. クラウドアプリケーションプロバイダーと協力して対策を促進

　米Salesforce.comは、システムがHeartbleedの影響を受けないと発表したクラウドプロバイダーの1社です。ただし、人事、給与、ERPなどの業務に複数のクラウドプロバイダーと契約している組織もあるでしょう。自社で利用しているクラウドサービスは、どのクラウドプロバイダーが提供しているのか、そしてそれらが同じように対策済みであるかどうかを確認することが重要です。Filippo Valsorda氏が運営する「Heartbleed test」など、システムがHeartbleedの影響を受けるかどうかを確認するWebサイトを活用するのも効果的でしょう。

対策4. 新しい暗号鍵を作成

　古い秘密鍵とその対となる公開鍵を失効させた上で、新たな秘密鍵を作成し、その対となる公開鍵のデジタル証明書を認証局から取得します。Heartbleedを悪用してサーバを盗聴したハッカーが、秘密鍵を盗む可能性があるからです。システムにパッチを適用した後でも、ハッカーは盗んだ秘密鍵を持っているかもしれません。新しい暗号鍵を入手しましょう。

対策5. 顧客へ通知

　組織がHeartbleedの影響を受けている場合、対処中かどうかにかかわらず、顧客から問い合わせがあるかもしれません。顧客からの信頼を得るには、顧客対応の姿勢に透明性が求められます。Heartbleedの影響は広く及んでいるので、悩んでいる顧客はたくさんいるでしょう。顧客は、危機に陥ったときに迅速かつ専門的に対応してくれた企業のことをよく覚えているものです。

対策6. パスワードを変更

　システムにパッチを当て、暗号鍵も変更し、クラウドプロバイダーもHeartbleedに対処できることを確認したら、システムの全ユーザーのパスワードを変更します。ここで注意すべきなのは、パスワード変更は他の全てのタスクが終了してから実施すべきだ、ということです。パッチが当たっていないシステムや暗号鍵が変更されてないシステムを狙うハッカーは、新しいパスワードを盗聴し続けることができるからです。

対策7. フィッシング詐欺に注意

　「Heartbleedから身を守るために、パスワードをすぐに変更しなければならない」という内容のフィッシング詐欺メールを目にするかもしれません。会社の統合業務（ERP）システムや人事給与システムが出力するメールに酷似した、個人名指定のリンクが埋め込まれたメッセージがメールの内容として使われるのですが、これは実際には巧妙に認証情報を収集するように設計されたWebサイトなのです。全ての通信を警戒する必要があります。

　Heartbleedの影響を長期的に考慮するのであれば、米Twitterが2013年に導入した、暗号解読を困難にする仕組みである「Perfect Forward Secrecy（PFS）」を導入することが望ましいです。PFSを導入して自社サイトの全てのトラフィックに適用していれば、盗んだ秘密鍵や収集した公開鍵を攻撃者が悪用し、SSL暗号化通信に利用するセッション鍵（使い捨ての共通鍵）の1つを解析できたとしても、将来的にデータが盗聴される可能性はありません。