Yahoo!のセキュリティを危険視する声

　今回の情報流出を引き起こしたYahoo!のセキュリティ体制には疑問の声が上がっており、それは侵害発覚後の対応にも向けられている。Yahoo!の現従業員や元従業員がNew York Timesに話した内容によると、メイヤー氏はセキュリティよりも消費者向け製品を重視する姿勢を批判されているという。Yahoo!のセキュリティチームは人員不足で、同業他社からの採用が続いているらしい。New York Timesによると、メイヤー氏ら経営幹部はユーザーが別のメールプロバイダーへ移ることを心配し、ユーザーのパスワードを自動的にリセットすることを拒否したという。

　このセキュリティ侵害に関する質問に対し、Yahoo!は回答しなかった。

　インドのSecloreのCEO、ビシャール・グプタ氏は、Yahoo!のセキュリティポリシーの内容には問題があるが、それは珍しいことではないと指摘する。グプタ氏はTechTargetに次のように語った。「セキュリティよりも利便性を重視した決定を行っている企業はYahoo!だけではない。これは変えていくべきだ。Yahoo!は5億人のユーザーの情報について、そのデータがネットワークを離れたかどうかにかかわらず、保護する対策を講じるべきだった。攻撃者はサイバーセキュリティ対策の弱い部分を狙ってくる。ますます巧妙化する攻撃を食い止めるにはデータ中心のセキュリティ対策が必要であり、今回のことは、まさにその必要性を表している」

　また、Venafiの調査によると、Yahoo!のセキュリティ体制は今回の被害を受けた後もあまり変わっていないらしい。Venafiによると、Yahoo!の外部Webサイトの証明書のうち、27％は2015年1月以来、再発行されていないことが分かった。発行されている519個の証明書のうち、過去90日以内に発行されたのはわずか2.5％だけだという。

　Venafiの製品管理責任者で暗号研究者のハリ・ナイール氏は、Yahoo!の証明書の多くは安全性の低いアルゴリズムMD5とSHA-1を使っていると指摘する。ナイール氏は同社ブログで以下のように話している。

▼□□

　これらの暗号化の問題は、1つあるだけでも、暗号化通信と認証の攻撃に対して極めて脆弱（ぜいじゃく）な状態となる。こうした問題を幾つも抱えているYahoo!は、暗号化通信を保護してユーザーのプライバシーを守るために必要な見識と技術を有しているのか甚だ疑問だ。私たちのチームが取り組んできた大規模な研究プロジェクトを通じて分かったことだが、暗号化制御の弱さと総合的なサイバーセキュリティ体制の間には、一般に非常に高い相関関係がある

▼□□

　Ntrepidでセキュアブラウザ「Passages」の主任研究員を務めるランス・コットレル氏は、こうした問題がYahoo!の情報流出につながった可能性があると言う。コットレル氏はTechTargetに次のように話した。「古い証明書の最大の問題点は、Webサイトに侵入した攻撃者が簡単に証明書を盗み取ることができる点だ。これによって、攻撃者は完全にYahoo!になりすますことができ、Yahoo!の保護されたWebサイトとの通信を傍受することもできる。MD5とSHA-1も同様の問題を引き起こす。この場合、攻撃者はYahoo!の本物の証明書と同じ暗号化フィンガープリントで新しい証明書を作ることができる。かなりの労力を要するとはいえ、この場合も攻撃者は結果的にYahoo!のWebサイトになりすまし、通信を盗聴できるようになる」

　Core Securityでシステムエンジニアを務めるボビー・クズマ氏は、Yahoo!が証明書の再発行を怠っているのは「許し難い」ことで「刑事過失」に近いと述べる。「攻撃者がサーバの秘密鍵を入手すれば、Yahoo!のサーバになりすまして簡単に中間者攻撃を行うことができる。Yahoo!が今回の情報流出について1年以上前から認識していたという話がもし本当なら、Yahoo!は大変な事態に陥るだろう。VerizonはYahoo!の買収手続き中にこのことを知らされるべきだった。きっとSECは黙っていないだろう」

　チョン氏は、情報流出発覚後のYahoo!のセキュリティ体制に疑問を呈し、次のように語る。「初めから基本的なプロセスを確立していないと、大規模な暗号化の導入は困難な作業になる。Yahoo!のような企業の場合、合併で規模が拡大しただけでなく、（武器国際取引規則などの）規制を受け、高度なサイバースキルが求められる技術部門の離職率が高いことも相まって、大規模なコンピューティングプロセスの導入はさらに困難を極める」

　コットレル氏も「暗号鍵の変更は難しいことではない。Yahoo!は使用中の暗号化証明書の完全な一覧を作成し、その全てを定期的に更新するプロセスを用意すべきだ。問題は、優先事項として維持しないと、このプロセスは見落としやすくて忘れやすいことだ」と、プロセスの重要性を指摘する。

　Tenable Network Securitのストラテジストのクリス・トーマス氏は、今回の件はセキュリティ担当者と経営幹部の間にあるもっと大きな問題を物語っているとし、次のように語る。「ネットワークとユーザーをサイバー犯罪から守るべく日々現場で戦っている情報セキュリティ担当者たちは諦めがちだが、役員レベルの支援から始める協力環境を築く必要がある。大企業も中小企業もそろそろセキュリティの重要性に気付き、それぞれのビジネスニーズに合ったセキュリティ管理を導入してほしい。企業がセキュリティを重視して堅固なサイバーセキュリティ対策に先行投資しない限り、侵害を受けるリスクはこれから広がっていく一方だろう」