好奇心旺盛なセキュリティ人材を罰するのではなく、支援すべき理由

10代のセキュリティ研究者、ビル・デミルカピ氏が重大な脆弱性を指摘したというニュースを見て、昔のことを思い出しました。私も好奇心旺盛な子供で、ソフトウェアの仕組みを理解しようと中身を覗き込み、あわよくば壊してやろうと試みたものです。何十年もの間、ソフトウェアエンジニアは製品の継続的な改善と強化を追求してきました。セキュリティコミュニティは（時に少し生意気なアプローチをとることもありますが）悪意のある攻撃者に先んじて欠陥や潜在的な災害を発見するという重要な役割を担っています。

しかし、問題なのは、彼が発見を報告したことに対して学校から停学処分を受けたことです。しかもそれは、彼がすべての手段を尽くして開発元（Follett Corporation）に非公開で連絡を試みた末のことでした。最終的に彼は、自身の身元とシステムへの侵入能力を証明するために、公の場で発表せざるを得なかったのです。Follett社への倫理的な警告は繰り返し無視され、ソフトウェアは脆弱なまま放置され、暗号化されていない膨大な生徒のデータが容易にさらされる状態が続いていました。

彼は別の企業であるBlackboardのソフトウェアでもバグを発見しました。Blackboardのデータは少なくとも暗号化されていましたが、攻撃者が侵入すればさらに数百万件もの記録が流出する恐れがありました。このソフトウェアも、Follett社の製品と同様に彼の学校で使用されていました。

「悪のハッカー」という物語は問題含みです。

デミルカピ氏は今年のDEF CONで調査結果を発表し、その際どいエピソードの数々は会場の喝采を浴びました。当然の結果と言えるでしょう。当初は問題児扱いされ、発見を認めてもらうまでに多くの障壁がありましたが、Follett社は最終的に彼の努力に感謝し、助言に基づいて対策を講じました。その結果、ソフトウェアのセキュリティは向上し、データ漏洩という最悪の事態を回避することができたのです。彼は高校卒業後、ロチェスター工科大学への進学も決まっており、需要の高いセキュリティスペシャリストへの道を順調に歩んでいることは明らかです。

私自身もセキュリティの専門家として、この状況への対応には納得がいきません。結果オーライではありますが、当初彼は、自分の領分をわきまえない厄介なスクリプトキディのように扱われました。この件をGoogleで検索すると、彼を「ハッカー」と呼ぶ記事が散見されます（一般の人々にとって、この言葉は悪役を連想させます）。しかし実際には、彼のようなアプローチこそが私たちのデータを守る助けとなっているのです。

私たちには、好奇心旺盛で賢く、セキュリティ意識の高い人材が中身を検証してくれる環境が必要です。それも、もっと頻繁に。7月の時点で、今年だけで40億件以上の記録が悪意のあるデータ侵害によって流出しています。8月に発生したファッション・ライフスタイルブランド、Poshmarkの侵害を合わせれば、その数はさらに5000万件増える可能性があります。

私たちは同じ過ちを繰り返しており、さらに懸念すべきことに、その多くは頭を抱えたくなるような単純な脆弱性が原因で、何度も同じ罠に陥っているのです。

クロスサイトスクリプティング（XSS）やSQLインジェクションは、今もなお消えていません。

WIREDの報道によると、WIRED、BlackboardのCommunity EngagementソフトウェアとFollettのStudent Information Systemには、1990年代からセキュリティ専門家を悩ませてきたクロスサイトスクリプティング（XSS）やSQLインジェクションといった一般的なセキュリティバグが含まれていたことがデミルカピ氏によって判明しました。私たちは非常に長い間、これらの存在に耐えてきましたが、ハイパーカラーのTシャツやフロッピーディスクのように、今や過去の遺物であるべきものです。

しかし、現実はそうではありません。コードへの混入を防ぐために十分なセキュリティ意識を持つ開発者が不足しているのは明らかです。スキャンツールや手動のコードレビューにも限界があります。XSSやSQLインジェクションよりもはるかに複雑なセキュリティ問題が存在しており、そうしたコストと時間のかかる対策は、より重要な問題のために活用されるべきです。

ビル・デミルカピ氏のような存在は、開発者がより高い水準のコードを書くための刺激となるはずです。わずか17歳で、彼は本来ならコードをコミットする前に検知・修正されるべき脅威ベクトルを用いて、2つの高トラフィックなシステムに侵入したのです。

ゲーミフィケーション：エンゲージメントの鍵となるか？

私はこれまで多くの記事で、なぜ開発者がセキュリティに関心を持ちにくいのかを論じてきました。結論を言えば、組織レベルでも教育レベルでも、セキュリティ意識の高い開発者を育てるための取り組みが不足しているからです。企業がエンゲージメントを評価・称賛するセキュリティ文化を構築し、開発者の言語で語りかけ、学習意欲を刺激するトレーニングを導入すれば、こうした厄介な脆弱性の遺物はソフトウェアから姿を消し始めるでしょう。

デミルカピ氏は明らかにセキュリティに課外活動以上の関心を持っており、マルウェアのリバースエンジニアリングや欠陥の発見、そして外見上は問題なさそうなものを「壊す」方法を学ぶために時間を費やしてきました。しかし、VICEとのインタビュー（およびDEF CONでのスライド）の中で、彼は自身の独学について興味深い発言をしています。それは、学習をゲーム化したというものです。VICE（およびDEF CONでのスライド）の中で、彼は自身の独学について興味深い発言をしています。それは、学習をゲーム化したというものです。

「学校のソフトウェアで何かを見つけることを目標にすることで、ペネトレーションテストの膨大な知識を楽しく『ゲーム感覚』で習得できました。最初は学習目的で調査を始めましたが、最終的には予想以上に状況がひどいことが分かりました」と彼は語っています。

すべての開発者がセキュリティの専門家になる必要はありませんが、すべての開発者はセキュリティ意識を持つ機会を与えられるべきです。特に膨大な機密データを扱う組織においては、基礎知識は「コーディングのライセンス」のようなものであるべきです。最も単純なセキュリティホールをすべての開発者が書く前に修正できるようになれば、私たちは破壊行為を目論む者たちに対して、はるかに安全な立場に立つことができるでしょう。

ゲーミフィケーションを取り入れたトレーニングに興味がありますか？当社の「Coders Conquer Security」シリーズで、XSSとSQLインジェクションについてぜひチェックしてみてください。