Webブラウザのセキュリティ――期待しすぎは禁物：Column

どんなに技術が進歩しても、欠陥のないブラウザの作成は不可能だ。われわれはインターネットにはリスクがつきまとうことを肝に銘じるべきだろう。

≫ 2007年06月04日 05時00分公開

[Michael Cobb，TechTarget]

　Webブラウザが初めて登場した当時、アプリケーションレイヤの攻撃はまれにしか発生していなかった。今ではブラウザは、あらゆる人のコンピュータ上で最も重要で最もよく使われる部類のソフトウェアだ。そのため攻撃の標的となっている。

　コンピュータセキュリティ業界の奮闘をよそに、ブラウザの欠陥は後を絶たない。既にマイクロソフトのInternet Explorer（IE） 7でも新しいものがたびたび見つかっており、Firefoxは業界専門家と攻撃者からますます厳しくチェックされるようになっている。ブラウザベンダーが、欠陥のないコードの作成という不可能な課題に直面しているのに対し、ハッカーは、エラーを1つ見つけるだけで攻撃の糸口をつかめる。マルウェアを犯罪組織に販売する「サービスとしての攻撃コード」ビジネスの登場も相まって、より優れたWebブラウザとブラウザセキュリティを求める声が高まっている。

　では、理想のブラウザがあるとしたら、それは現在われわれが使っているものとどう違うのか。マイクロソフトが、更新プログラムをインターネットから自動的にダウンロードしてインストールできるようにすることで、同社のソフトウェアへのパッチ適用を容易にしたのは確かだ。また、同社が新たに導入した、ソフトウェアを「サンドボックス」内で動作させる機能は、悪意あるプログラムがIE 7を不正に操作できる場合でも、被害を限定的なものにするだろう。だが、これらに加えてさらに何が必要なのか。

　Webブラウザのセキュリティは、これからも続いていく問題だ。ブラウザには悪意あるコンテンツとそうでないものを区別できないからだ。重要な問題は、個々のコンテンツの受け入れをどの程度までユーザーの判断に委ね、どの程度までブラウザが独自にコンテンツを遮断すべきかという点だ。現在のブラウザは初期設定では、セキュリティに関する判断の多くをユーザーの代わりに自動的に行う。だが、例えばOutlookの判断によって、添付ファイルを開封すべきか否かが決められてしまったら、面倒なことになるのは目に見えている。その反対に、デスクトップファイアウォールが外部からのプローブや要求について、逐一われわれに判断を求めてきたら、非常に煩わしい。しょっちゅう作業を邪魔されて生産性ががた落ちになり、クリックするのに疲れてしまう。

　わたしは、ブラウザがセキュリティに関する判断を、われわれの代わりにすべて的確に行えるようになることは絶対にないと思う。行動分析の成果により、判断処理やアラートはより柔軟に行うようになるかもしれない。しかし、セキュリティ確保のための開発ライフサイクルプロセスが、完璧なものになることは決してないだろう。どんな場合でも、一部のコーディングミスは発見されずに残ってしまうはずだ。ユーザーは、オンラインリスクに対する理解と管理能力を高め、攻撃との戦いに参加しなければならない。将来の新しいブラウザは、高度なフィッシング対策機能を提供するだろうが、ソーシャルエンジニアリング攻撃（心理的な攻撃）をすべて防ぐことは絶対にできないだろうからなおさらだ。

　われわれはインターネットについての認識を改め、インターネットを使うときにはリスクがつきまとうことを肝に銘じるべきだろう。ブラウザは、われわれの代わりにセキュリティに関するすべての判断を行ったり、われわれを既知および未知のすべてのリスクから守ってくれたりすることは、決してないだろうから。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、コッブウェブアプリケーションズの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として「IIS Security」があり、主要なIT出版物技術記事を多数寄稿している。