新型コロナウイルスの影響で在宅勤務が増えるなか、オンラインでのヴィデオ会議に使われる人気アプリ「Zoom」に相次いでセキュリティの問題が発覚した。これらの問題はヴィデオ会議へのニーズが高まるにつれ専門家や研究者にも注目され、さらなる問題の発覚につながる悪循環も起こり始めている。
TEXT BY LILY HAY NEWMAN
KENA BETANCUR/GETTY IMAGES
新型コロナウイルスのパンデミック（世界的大流行）に見舞われるなか、ヴィデオ会議アプリケーション「Zoom」が注目されている。仕事も人間関係もオンラインで完結させる人が増え、爆発的に普及しているのだ。
ところが、これは決してプラスの側面ばかりではない。Zoomの普及によってセキュリティやプライヴァシーの専門家が調査の手を強めたことで、さまざまな問題点が浮き彫りになっているのだ。4月1日（米国時間）に発見された2件のゼロデイ脆弱性（修正前の無防備な脆弱性）も、その一部である。
数少ない選択肢としてのZoom
こうしたサーヴィスにおいては、多くの一般ユーザーのニーズと強固なセキュリティとの間でバランスをとることが非常に難しい。どちらかに偏りすぎると、いずれにせよ理にかなった批判を浴びせられる。こうした課題が今回、改めて浮き彫りになったかたちだ。
「これまでにZoomがセキュリティとプライヴァシー保護が最も徹底したサーヴィスであると考えられたことなどありません。確かに重大な脆弱性を抱えてきましたが、ほかに選択肢がほとんどない場合が多いでのす」と、セキュリティ研究者のケン・ホワイトは指摘する。
「一般のユーザーが安全に使えるように、Zoomの運営元に公に圧力をかけるのはもっともなことでしょう。でも、わたし個人としては『Zoomを使わないで』などと言うつもりはありません。たとえて言うなら、誰もが30年前の小型車を運転しているときに、セキュリティを気にする人たちがフェラーリの吸排気を心配するような話ですから」
Zoom以外にもヴィデオ会議の選択肢はある。しかし、外出禁止や自主隔離などが広がるなか、行き場を失った企業や学校、組織は、Zoomの世界に身を寄せ合っている。なにしろ無料で利用できるうえ直感的なインターフェースを備えており、最大100人までのグループヴィデオチャットに対応しているのだ。気に入らないはずがない。
これに対し、Skypeのグループヴィデオチャット機能は、無料で50人までしか対応していない。Facebook Liveなどのライヴストリーミングサーヴィスは、参加者全員が「デジタル会議室」に集まったかのような臨場感や双方向性を提供してくれるわけではない。グーグルは複数のサーヴィスを提供しているが、ひとつのシンプルなソリューションを探している人にとっては数が多すぎるかもしれない。
さまざまな課題が浮き彫りに
こうしたなか、Zoomのセキュリティとプライヴァシーの欠陥に関する最近の調査結果が大きな懸念となっている。ZoomのiOSアプリがユーザーに知られることなく、密かにフェイスブックにデータを送信していたのだ。しかも、ユーザーがFacebookのアカウントをもっているか否かにかかわらずである。運営元のZoom Video Communicationsによると、これは意図した動作ではないという。問題を解決するため、Zoomは修正プログラムを配信済みだ。
また、Zoomは週末にプライヴァシーポリシーを変更している。以前のポリシーでは同社がヴィデオ会議の内容を含むユーザーの情報を収集できると規定されていたうえ、ターゲット広告やその他のマーケティングのために分析できることになっていたと報道されたからだ。
Zoomの利用中にヴィデオ会議の出席者のウィンドウが背後に30秒隠れていると、その状態を会議のホストが把握できる機能も話題になっている。この「アテンション・トラッキング」機能の存在を、ユーザーたちは不気味に感じている。
そしてパンデミックが続くなか、「ZoomBombing（Zoom爆撃）」と呼ばれる悪質な行為が横行している。第三者の“荒らし”がZoomの画面共有機能のデフォルト設定を悪用し、ヴィデオ会議を乗っ取るというものだ。これは人種差別的なメッセージやポルノコンテンツを送りつけてくることが多い。
これに対してZoomは、攻撃から身を守る手段を提供している。具体的には、ヴィデオ会議にパスワードをかけたり、参加者を審査するための待合室を追加したり、画面共有を制限したりといった方法だ。
「Zoom for Education」を含む一部の有料サーヴィスと無料の特別版サーヴィスでは、画面共有のデフォルト設定が異なっている。だがZoomは全般的に、こうした設定を直感的に変えられるように目立たせるといった工夫はしていない。
「言ってみれば、こういうことなんです。職場をオフィスから自宅へと急いで移行させた際に、会議室を自宅のキッチンに移したというよりも、公共の広場のど真ん中に移動させたと言ったほうが現状に近いのではないでしょうか」と、スタンフォード大学Center for Internet and Societyアソシエイトディレクターのリアーナ・プフェッファーコルンは説明する。
「法人向けのプラットフォームは、わたしたちが昔からTwitterやYouTube、ネット掲示板などで見慣れている“荒らし”の問題に、いまになって直面しています。これらのプラットフォームは見知らぬ人たちが互いに交流できるように設計されていますが、それでも問題が起きており、悪質な行為を防ぐ機能を追加する必要に迫られたのです」
不完全な暗号化という問題
おそらく最も問題視すべきである点は、Zoomのセキュリティ機能が「エンドツーエンドで暗号化済み」と誤って説明されていることだろう。この設定を有効にすると、確かにヴィデオ通話の暗号が強化される。だが、データの経路において常に完全な暗号化が保たれるわけではない。
グループでのヴィデオ通話において、完全なエンドツーエンドの暗号化を実現することは難しい。アップルがそれをFaceTimeに実装する方法を見つけるまでに、何年も費やしたことは記憶に新しいだろう。Zoomが1回のヴィデオ会議において大量のストリーミングに対応できるサーヴィスである以上は、謳い文句がどうであれ、こうした保護機能を実際に実現できる見込みはそもそも薄かったと言える。
これらのセキュリティとプライヴァシーに関する多くの調査結果についてZoomにコメントを求めたが、回答は得られていない。Zoomの創業者で最高経営責任者（CEO）のエリック・ユアン（袁征） は4月2日（米国時間）になってコメントを出し、同社が新規機能の開発を停止したことを報告したうえで、これによりエンジニアがセキュリティとプライヴァシーの問題解決に集中できると述べている。
またユアンは、Zoomが今後90日かけて第三者によるセキュリティ監査とペネトレーションテスト（侵入テスト）を実施すると同時に、バグ報奨金プログラムを強化することも明らかにした。さらに政府や法執行機関などの求めに応じ、データに関する透明性レポートの作成に取り組むという。
さらなる調査の手
これらの問題が明らかになる以前から、Zoomはセキュリティやプライヴァシーよりも利便性を優先させていることで知られていた。こうした事実が、事態をさらに悪化させている。
ある研究者が昨年の夏に発見した欠陥が、その一例だ。Zoomはユーザーをヴィデオ会議へのリンク経由でシームレスに参加させる際に、アプリの起動の可否をユーザーに確認することなくカメラの映像を共有していた。
つまり、攻撃者はZoomのヴィデオ会議へのリンクを独自に作成することで、ワンクリックだけで即座に相手のカメラが撮影した映像にアクセスし、周囲の様子を知ることもできたのだ。この発見も、以前に実施されたZoomの脆弱性に関する調査結果に基づいている。
こうした失態によってZoomには、さらなる調査の手が伸びることになった。同社はiOSアプリがフェイスブックにデータを送信していた問題を巡り、集団訴訟に直面している。
さらに、ニューヨーク州司法長官のレティーシャ・ジェームズは3月30日（米国時間）、増加の一途をたどる問題について同社に書簡を送付している。「Zoomは報道されたセキュリティの脆弱性の一部を修正したが、セキュリティ慣行に関してより幅広い見直しを実施したのか知りたいと考えている」と書簡には書かれている。
「セキュリティを念頭に置いた設計ではない」
Zoomのセキュリティを巡る一連の問題を受け、macOSのセキュリティ研究者であるパトリック・ワードルは、このところMacのデスクトップ版Zoomアプリに興味をもち始めたという。そして彼は新たに2件のセキュリティの欠陥を発見している。
「使いやすさの観点では優れているZoomですが、セキュリティを念頭に置いた設計でないことは明らかです」と、ワードルは言う。「Zoomのおかしな挙動についての研究者たちのツイートを見て自分でも確認してみたところ、文字どおり10秒もしないうちに大きなため息をつかされたことがありました。この研究が専門なので目星の付け方は知っていますが、Zoomが抱える問題はとにかく数が多すぎます。このことは、セキュリティの観点で適切な監査を実施していないサーヴィスであることを明らかに物語っています」
そうは言っても、ワードルが発見した問題が利用者に与えるリスクは限定的である。まず前提として、標的となる端末にマルウェアがインストールされている必要があるからだ。
Zoomのインストール手順を狙ったある攻撃の動きは、すでにアップルが使わなくなったAPI（アプリケーション・プログラミング・インターフェース）に依存している。このAPIをアップルが非推奨としたのはセキュリティ上の懸念が理由だが、いまだに付け焼き刃の対応として利用している製品を見かけることがあるのだと、ワードルは言う。
ある攻撃者は標的となる端末をマルウェアに感染させ、Zoomの脆弱なインストール設定を悪用してルート権限を奪取することに成功した。しかし、端末への完全なアクセスを獲得するには至っていない。
Mac版のZoomに潜む危険性
ワードルが発見した別の脆弱性も、ローカルなアクセスに関するバグであるとはいえ重要である。
macOSには「Hardened Runtime（堅牢化されたランタイム）」と呼ばれる機能がある。これはプログラムの実行中にOSが“ガードマン”のように機能することで、インジェクション攻撃やその他の悪意ある動作を防ぐ機能だ。
外部リソースにアクセスするような機能をサードパーティー製のプラグインで使いたいと開発者が考えた際には、macOSではプラグインに例外を設けることが可能になっている。しかしワードルによると、これはランタイムの堅牢化の前提を損なうことから、そうした例外設定はたいてい最後の手段なのだという。
それにもかかわらずZoomのmacOS版アプリは、サードパーティー製のライブラリーに対して例外設定を施している。このため標的となるシステムで動作するマルウェアは、Zoomに悪意あるコードを“注入”できてしまうのだ。こうして2つのアプリケーションがリンクすれば、マルウェアはZoomによるマイクとカメラ映像への正当なアクセスに相乗りするかたちで、好きなときに被害者を盗聴したり、ウェブカメラを通して覗き見したりできるようになる。
Zoomを利用する際に考えるべきこと
研究者たちがZoomの欠陥を探す動きは、一向にやむ気配がない。だが、一般のユーザーが覚えておくべき重要なポイントを挙げるとすれば、セキュリティとプライヴァシーをどこまで必要としているのか、Zoomを利用するたびに慎重に考えることだろう。
これまでのZoomのセキュリティレヴェルでも、多くの人が一般的なコミュニケーションに利用する程度なら十分である可能性が高い。だが、より機密性が高い会議であれば、WhatsAppやFaceTime、そして特にSignalなど、より強力な保護機能を提供するグループヴィデオ通話サーヴィスのほうが向いているだろう。
「現実問題として、企業は自社のソフトウェアにおいて過ちを犯すものなのです」と、セキュリティ研究者のジョナサン・レイチュアは指摘する。レイチュアは昨年の夏、Zoomでウェブカメラが乗っ取られる欠陥を発見している。
「プラットフォームに対して批判があればあるほど、将来的にはセキュリティの改善が期待できます。それだけに、Zoomが今回の問題を通じて集めた情報を活用し、それに基づいて実際に行動を起こすことを願うばかりです」と、レイチュアは言う。「それでもセキュリティと機密性を必要とするなら、Zoomで話すことはお勧めしません。必要なレヴェルのセキュリティに対応するプラットフォームを利用するほうがいいと思います」
※『WIRED』によるセキュリティの関連記事はこちら。
SHARE
"確かに" - Google ニュース
April 03, 2020 at 06:00AM
https://ift.tt/2UYkmMt
問題が相次いで発覚した「Zoom」でヴィデオ会議を開く際に、まずユーザーが考えるべきこと｜WIRED.jp - WIRED.jp
"確かに" - Google ニュース
https://ift.tt/2UI1i6X
Shoes Man Tutorial
Pos News Update
Meme Update
Korean Entertainment News
Japan News Update
No comments:
Post a Comment