プライバシーとセキュリティの混同：致命的な過ち

先日、長距離フライトを利用した際、驚くほど大量のポッドキャストを聴き込みました。さまざまなシリーズの最新情報を追っていると、聴くものに困ることはありません。画面をタップするだけで、一方的ではありますが、魅力的な会話の世界に浸ることができるのです。

やがて、トゥルークライム（実録犯罪）ポッドキャストの『Casefile』のエピソードにたどり着きました。このドラマチックで容赦のないシリーズ（不気味な声の無名のホストが進行します）は、テクノロジーに精通した専門家でさえ魅了されるトピック、つまりダークウェブと、禁制品取引サイト「シルクロード」の破滅的な台頭について深く掘り下げていました。全2回で構成されたこのエピソードは、シルクロードの興亡を知る人ならニュースで追っていた内容かもしれませんが、ポッドキャストでは、手に汗握る物語として細部まで余すところなく語られています。

シルクロード：ダークウェブという迷宮からの教訓

シルクロードの仕組みを詳しく知らない方のために要約すると、ある男がダークウェブ上に取引サイトを構築したという話です。このサイトは一般の人の目からは隠されており、Torブラウザという特殊なソフトウェアを使わなければ閲覧できませんでした。当初は彼が自家栽培したマジックマッシュルームを販売するだけでしたが、瞬く間にハードドラッグから違法武器、盗まれたクレジットカード情報まで扱う巨大な闇市へと変貌を遂げました。詳細はこちらをご覧ください。サイトの作成者兼管理者は、映画『プリンセス・ブライド・ストーリー』にちなんだ「ドレッド・パイレート・ロバーツ」という偽名を名乗っていました。彼は何者でもあり、何者でもなかったのです。ユーザーたちは匿名で違法な商品を取引し、その過程でビットコインは「麻薬取引の通貨」という悪評を得ることになりました（ビットコインがようやくその汚名を返上し始めたのは、つい最近のことです）。

しかし、ドレッド・パイレート・ロバーツの反体制的な実験は、制御不能な怪物と化しました。やがて殺し屋がサービスを宣伝するようになり、悪人たちが悪事を働く場となりました。そして彼は、手に入れた莫大な富に酔いしれ、元従業員を始末するために殺し屋を雇おうとさえしました。結論から言えば、こうした愚かな決断の数々が彼の破滅を招きました。正体がロス・ウルブリヒトであると暴かれた彼は、現在米国の刑務所に収監されており、仮釈放なしの終身刑2回分に加え、さらに40年の刑に服しています。

では、すべてが完全にプライベートで匿名だったはずの彼は、なぜ捕まったのでしょうか？

端的に言えば、彼のコーディング能力がひどかったからです。シルクロードのサイト自体は、海に座礁した穴だらけのボートのようなものでした。違法行為の拠点であり、その背後には膨大なデータが蓄積されていたにもかかわらず、セキュリティは皆無に等しく、ハッカーの格好の標的でした。もっとも、巨大な違法麻薬取引ビジネスの黒幕が、自分の運営に関わりたがる有能な人材を見つけるのは容易ではなかったのでしょう。彼は自身のスキル不足を隠そうともしませんでした。それどころか、本名で投稿していたのです。プログラミングのQ&AサイトStack Overflowで、PHPのCurlを使ってTorに接続するためのサイトコードの設定方法を質問していました。投稿から1分も経たないうちにハンドルネームを「frosty」に変更しましたが、後の祭りでした。それどころか、シルクロードのサーバー上の暗号鍵に「frosty@frosty」という文字列が含まれていたことが、FBIに嗅ぎつけられた際の決定的な証拠となりました。

暗号化されたメッセージや通貨、禁制品の輸送・配送に関する厳格な指示など、プライバシーへの執拗なこだわりがあったにもかかわらず、このサイトはウルブリヒトが夢見たようなリバタリアンの理想郷（難攻不落の要塞）ではありませんでした。スキルを持つ者たち（つまりFBIに雇われたプログラマーたち）は、ゆっくりと、しかし確実にその全貌を解明しました。サイトで取引を行った数千人の身元さえも明らかになったのです。何年も前に違法な商品を購入した人々は、今でもいつ法の手が伸びてくるか怯えているかもしれません。

FBIは、シルクロードにどのように侵入したかを示す文書を公開しました。その主な説明は、IPアドレスの漏洩を利用したというものです。シルクロードのログインページの構成ミスにより、サーバーのIPアドレスと物理的な所在地が露呈してしまったのです。巧妙なハッキングなど必要ありませんでした。まさに初歩的なミスであり、それがFBIをロス・ウルブリヒトの元へと直結させたのです。

この欠陥がもし存在していたのなら、サイトを監視していた多くのセキュリティ専門家によって、もっと早い段階で見抜かれていたはずだという推測もあります。オーストラリアのセキュリティコンサルタントであるニック・クブリロビッチ氏は、WIREDのインタビューで、そのような欠陥は存在しなかったと主張しています（WIREDのインタビューより）：

「Torサイトに接続している状態で、Torノードではないサーバーのアドレスが見えるなどということはあり得ません。彼らが陪審員や裁判官に信じ込ませようとしている手口は、技術的に見て全く理屈が通りません」

クブリロビッチ氏は、情報が違法なハッキングによって入手された可能性を示唆しています。その手法として考えられるのがSQLインジェクションであり、これは多くのサイトで起こり得る抽出手法として議論されてきました。

FBIの戦術に関する法的議論はさておき、情報が流出したという事実そのものが、ユーザーが「プライベート」だと信じていたシルクロードのセキュリティの脆弱さを物語っています。プライバシーとセキュリティを混同すると、脆弱性にさらされるリスクは確実に高まります。

もしロス・ウルブリヒトがプライバシーとセキュリティの違いを理解し、サイトが世界中の悪意あるハッカーを引き寄せる巨大な標的になる前に、両方を確保するために積極的に取り組んでいれば、サイトは今も運営されていたかもしれません（もっとも、シルクロードは何度も復活し、現在も同様の巨大サイトが運営されていますが）。しかし実際には、誰かが扉を開ける方法を見つけた瞬間、プライベートなクラブとその秘密はすべて暴かれてしまったのです。

あなたは麻薬王ではないのだから、関係ない話だと思っていませんか？

シルクロードの崩壊と創設者の投獄は、同情すべき悲劇ではありません。しかし、プライバシーと真に堅牢なサイトセキュリティの微妙な違いを学ぶための、非常に興味深いケーススタディです。デジタル化された医療記録や銀行が保有する数百万件のクレジットカード番号など、取引や情報のプライバシー保護が不可欠な正当な業務は数多く存在します。しかし、それらが鉄壁のソフトウェア開発によって守られていなければ、攻撃者に情報を盗み出され、皮肉にもシルクロードのようなサイトで売買されることになりかねません。セキュリティなしにプライバシーは存在しないのです。

あなたのような善良な組織であっても、SQLインジェクション攻撃やOWASP Top 10に挙げられるような脆弱性を抱えている可能性があります。そのため、これらを効率的に予測し、軽減することが不可欠です。開発者がプロセスの最初からセキュアなコーディングを学んでいれば、こうした欠陥が日の目を見ることはありません。組織がセキュリティマインドセットを持ち、開発チームが安全にコーディングできるよう支援することが重要です。私たちは、楽しく、測定可能で、ゲーミフィケーションを取り入れた方法でそのやり方をお教えします。準備はいいですか？