「パッチ適用を控える」のはリスク

　Webブラウザ「Mozilla Firefox」などでアップデートを偽装した偽のアップデートサイトが登場したり、不完全なアップデートが提供されるといった過去の出来事を忘れられない管理者も少なくないだろう。だが管理者は、アップデートに関して疑い深いままでいることはできない。

　「ソフトウェアを起動して動作しなくなったら、その障害に対処する方法を知る必要がある」。米セキュリティ団体I am The Cavalryの創始者であるジョッシュ・コーマン氏はこう語る。「パッチが自社のシステムを壊す可能性があるという理由から、パッチが公開されてもユーザーが適用しないという時代もあった。だが、パッチ未適用の常態化はハッキングの可能性を高め、稼働中のサーバに障害をもたらす可能性がある」（同氏）

　パッチの適用を控えるという考え方はやめる必要があるとコーマン氏は言う。自動アップデートは攻撃対象領域を広げるリスクがあるものの、リスクを大きく上回る利点があるからだ。

　「われわれは、人が過去に犯した多くの失敗から学び、安定したセキュアな方法でリモートアップデートする方法を考え付いた」とコーマン氏は述べる。「誰もがその方法を採用するかどうかは分からない。だがあらゆる試行を避けるのではなく、よりよい試行に挑むことを推奨したい」（同氏）

セキュアなアップデートの配信

　中間者（MITM）攻撃や、マルウェアによるアップデートのハイジャックなど、自動アップデートシステムに関連するリスクは存在すると、コーマン氏やその他の専門家は同意する。だがこうしたリスクの多くは、アップデート自体ではなく、アップデートプロセスの不適切な実行に由来することが多い。

　「例えば、基本的な仕組みである暗号化については何の問題もない。これを破れる人がいるとも思わない。問題は通常、その実行方法にある」と、米脆弱性診断企業Qualysの最高技術責任者（CTO）であるウォルフガング・カンデック氏は言う。

　「認証済みのアップデートをセキュアなチャネル経由で安定して提供することが可能なら、それは進むべき道である。アップデートする必要があるからだ」とコーマン氏は言う。「それを『できない』と切り捨てる選択肢はない。実行するのは困難かもしれないが、必要なことだからだ」（同氏）

　アップデート配信のためのセキュアなプロセスを作ることは困難かもしれないという意見に、カンデック氏は同意する。その上で、ソフトウェアベンダーが取り得る方法として、可能な限り一元管理されたアップデートメカニズムを活用することを提案する。Windowsや「OS X」用のアプリケーションストア、もしくは米Googleがオープンソース化した「Google Chrome」のアップデートシステムのように。

　ただし、こうした仕組みをうまく活用することには困難もあるとカンデック氏は指摘する。「もしあらゆる環境をカバーしたいとすると、それは少々複雑な問題になる。ベンダーとしても実際に投資する価値はなく、何か特別な手段を使用する他ない」（同氏）

　安定性のある一元管理したアップデートメカニズムは重要だとの意見に、コーマン氏は同意する。だが産業統制システムなど、多くの異なる技術のプラットフォームが存在するシステムでは、全ての人に適切な単一のアップデートプロセスは存在しないだろうと注意を促す。

互換性リスクの軽減

　小規模企業にとって、アップデートが製品を壊す可能性を軽減できる他の方法は、クラウドへ移行することだ。クラウドサービスが増えることは、エンドポイントが汎用的になり、アップデートがより簡単になることを意味するとカンデック氏は説明する。

　これは誰に対しても有力な選択肢となるわけではない。「アップデートが公開されたとき、パッチの内容は明確にされるべきである」と、暗号技術者のベン・ジュン氏は言う。

　「管理者は、彼らが理解できる言語で、パッチが何をするのかを知りたがる。あいにく現状では、開発者はパッチが何をするのかを伝えることもできない」とジュン氏は言う。「管理者は『パッチは問題を解決するもの』だと思っているが、パッチには意図しない副作用が存在する。不具合を誘発するコードは、とても少量のコードだったりする。1片のコードの中に10バイトのバグを挿入するのは非常に簡単だ」（同氏）

　これは回避が困難な問題だといえる。特にセキュリティアップデートは、コードを簡単に壊すことが可能なその他のアップデートと一緒にバンドルされることが多いためだ。しかし、解決策はハードウェアから得られるかもしれない、とジュン氏は続ける。

　「ハードウェアでは、コードの実行に制限を加えることが可能だ」とジュン氏は言う。「ハードウェアではプロセスも透過的になり、ユーザーはアップデートプロセスがシステム自体に何をしているのかを監視できる」（同氏）

　互換性は、管理者がパッチのインストールを遅らせる主な理由の1つだ。また米Microsoftが「Patch Tuesday」（毎月第2火曜日にパッチを公開すること）という慣習を開始した大きな理由でもあると、ジュン氏は指摘する。

　「Patch Tuesdayは、Microsoftが火曜日にパッチを公開したいという理由から来たのではない。ランダムな間隔でアップデートを受け取りたくないというユーザーの要望から来たものだ。ランダムなアップデートは、ネットワークを突然不調にさせる」とジュン氏は言う。「Microsoftにとって、Patch Tuesdayというコンセプトを取り除くことは、公開したプロセスの安定性に自信があり、アップデートを公開したとき真夜中にシステムがダウンすることがないことを意味する」

　コーマン氏は、「MicrosoftのWindows 10に対するアップデート公開プロセスが、より安定することを望んでいる」と言う。セキュアで安定したアップデートプロセスを提供することのビジネス価値を十分理解していない企業が、少なからず存在するからだ。同氏はこの状況を自動車会社の事情に例える。リコール実施のコストとブランドへの悪影響は理解していても、モバイルアプリケーション開発者が、悪影響を与えることなく毎日アップデートを公開できるという利点を知らないのである。

　「セキュリティ担当者の責任は、人を怖がらせることではない。われわれの挑戦は、物事をより安全でより簡単にすることだ」とコーマン氏は言う。「複雑さはセキュリティの敵であり、安定性、持続可能性の敵でもある。そして、最終的には製品と顧客の満足感に影響を及ぼす。アップデートには実利的な価値だけでなく、保守性や実用性の価値もあると私は考える」（同氏）