Chromebookがデジタルセキュリティの課題を完全には解決できない3つの理由

GoogleのChromeOSは、一見するとOSセキュリティにおける大きな成功作のように映ります。おそらく世界で最も安全なオペレーティングシステムと言えるでしょう(その代償として、機能面では制限があります)。しかし残念ながら、ChromeOSは万能薬ではなく、このプラットフォームには依然として深刻なセキュリティ上の懸念が残されています。

まずは良いニュースからご紹介しましょう。

ChromeOS(低価格なChromeブランドのネットブックで動作する、軽量化されたLinuxベースのOS)には、セキュリティを重視するユーザーにとって魅力的な機能が数多く搭載されています。ブートローダーのコードは読み取り専用メモリ(ROM)に格納され、起動前にOSカーネルのデジタル署名を検証します(いわゆる「Verified Boot」機能)。ブートローダーがROM内にあるため、ハッカーはチップに物理的に細工を加えない限り改ざんできません。万が一システムファイルが検証に失敗した場合、ブートローダーはマシン全体を出荷時設定へリセットし、侵入した悪意あるコードを消去します。

さらに、このプラットフォームはサンドボックス内で動作するWebアプリを基盤としているため、セキュリティが一段と強化されています。各アプリのスレッドとメモリは分離されており、悪意のあるWebアプリが他のアプリの情報へアクセスしたり、制御を奪ったりすることは理論上不可能です。セキュリティ修正を含むシステムアップデートは、ネットワーク接続時に自動的かつ透過的に適用されるため、Chromebookは常に最新の状態に保たれます。物理的なアクセス権を持つ攻撃者からデバイスを守るためのセキュリティオプションまで用意されています。ChromeOSマシンにマルウェアを仕込むのは、決して簡単な仕事ではないのです。

では、一体何が問題なのでしょうか?

サンドボックスは信用できない

残念ながら、Webサンドボックスが提供するセキュリティは、多くの場合、非公式かつ十分に実証されていないものです。Javaをはじめとする多くのサンドボックスでは、アプリケーションが外へ脱出し、マシン上で任意のコードを実行できるバグが発見されてきました。Chrome自体にも、ブラックハットハッカーによってサンドボックス突破攻撃が実証されたことがあります。これらの特定の脆弱性は現在修正済みですが、同様の欠陥が他にも存在しないという保証はどこにもありません。セキュリティ研究者のRik Ferguson氏は、次のように述べています。

「サンドボックスを突破するエクスプロイトは、Internet Explorer、Java、Google Android、そしてもちろんChromeブラウザなどですでに実証されています。Googleのサンドボックスは有効ですが、決して無敵ではなく、100%のセキュリティをそれだけに依存するのは短視的です。」

ここで最も懸念されるのは、インタラクティブなWeb技術、とりわけWebGLです。WebGLは、一般的なグラフィックスライブラリであるOpenGLをブラウザ向けに実装したもので、ブラウザから印象的な3Dデモを実行できる魅力的な技術ですが、残念ながらセキュリティ面では悪夢となり得ます。WebGLはWebアプリがマシンのビデオカードへ任意のシェーダー命令を送信することを可能にするため、サンドボックス突破につながり得る多彩な攻撃手法への道を開いてしまいます。Microsoftの公式見解でも、WebGLは社内利用には安全ではないとの立場が示されています。

「WebGL全体のセキュリティは、OEMドライバーを含むシステムの下位層が、これまで考慮する必要のなかったセキュリティ保証を維持できるかに依存しています。従来はローカルでの権限昇格にとどまっていた攻撃が、リモートからのシステム侵害につながる可能性があります。これらのリスクをある程度緩和することは可能かもしれませんが、WebGLが露出する広大な攻撃対象領域は依然として重大な懸念材料です。特定のプラットフォームやビデオカードでのみ発生するバグが現れ、標的型攻撃を助長する恐れがあります。」

クラウドは信用できない

サンドボックスへの潜在的な脅威よりもさらに深刻なのが、プラットフォーム自体の性質です。Chromebookは設計思想として、クラウドに大きく依存しています。うっかりChromebookを壊してしまっても(踏み潰そうが、溶岩の湖に落とそうが)、データは失われません。新しい本体を購入してログインすれば、すべてのデータと設定が自動的に復元されます。

しかし残念ながら、この仕組みはユーザーをクラウド側の相当なリスクに晒すことになります。Ars TechnicaのSean Gallagher氏は編集記事「Why the NSA Loves Google's Chromebook」の中で、NSAがGoogleのクラウドストレージに侵襲的なバックドアを持っていたこと(そして今も持っている可能性があること)、それを利用すればDriveユーザーのファイルすべて、Chromebookユーザーのファイルさえも監視可能だと指摘しています。Gallagher氏はこう述べています。

「これは必ずしもGoogleの責任ではありません。しかしこれこそが、ブラウザをプラットフォームとすることの弱点です。描画以外のほぼすべてのコンピューティング処理をクラウドへ押し上げることで、Chromebookモデルは、攻撃者や監視者があなたのコンピューティング環境に介入するための一に介入するための一箇所集中型の窓口を作り出してしまったのです。」

心配なのはNSAだけではありません。信頼できるブートローダーは、あなたの行動を記録・報告するようなOSへの永続的かつ悪意のある改ざんから守ってくれます。しかし、Webアプリによるたった一度のセキュリティ侵害でも、暗号鍵や認証情報を盗まれるには十分であり、攻撃者はそれを使ってクラウド上のデータへアクセスし、好きな時間に閲覧できてしまうのです。

ネイティブアプリの時代が来る

事態をさらに複雑にしているのは、ChromeOSのサンドボックスが必ずしも純粋なパラダイムではないという点です。Adblock PlusやGoogle翻訳といったWebページ上で動作する拡張機能は、実態としてはマシン上で動くネイティブコードであり、アドウェアの表示やパスワードの盗み見をはじめ、あらゆる悪質な行為が可能です。他の悪意ある拡張機能を検出・削除する拡張機能まで配布されている有様で、これはChromeOSには本来不要なはずだったアンチウイルスソフトの一種と言えます。Googleが審査プロセスを通過したChromeウェブストアのアプリのみインストールを許可している点は評価できますが、残念ながらその審査は人間の判断に依存しており、優れたサンドボックスが提供する保証と比べれば、はるかに弱いものです。

さらに厄介なことに、GoogleはAndroidアプリをインターフェース層経由でChromeOS上で動作させる形で、ネイティブアプリを実装する計画を進めています。これにより、ChromeOSには新たな幅広く深いセキュリティ懸念が持ち込まれることになります。クラウドが鍵の窃取に対して比較的脆弱であることを考え合わせれば、その懸念はいっそう深刻です。目に見えず、かつ永続的な侵害ほど被害は甚大になるのです。

もちろん、ChromeOSへの導入が許可されるAndroidアプリは、Googleのチームによって悪意あるコードがないか慎重に審査されると推測されます。しかし、マシン全体のセキュリティを託すには、それだけでは決して十分に強力な保証とは言えません。仮にコード自体に悪意がなくても、OSへの不正アクセスに悪用され得る独自のエクスプロイトや脆弱性を抱えている可能性は高く、ネイティブコードは本質的に危険であり、ChromeOSの安全性を支えるセキュリティ原則に反する存在なのです。

ChromeOS: 高い安全性、しかし懸念は残る

最後に改めて強調しておきたいのは、ChromeOSが非常に安全なOSだという事実です。Windows、Linux、macOSをお使いの方なら、ChromeOSは比べ物にならないほど安全です。実際、これはPlan 9を除くほぼすべてのOSに当てはまります。Plan 9は極めて高いセキュリティを誇るOSですが、あまりにニッチな存在で「ウェア」と呼べるソフト自体がほとんど存在しないため、少なくとも部分的にはそれだけでマルウェアを回避できているという代物です。とはいえ、それを油断の言い訳にしてはいけません。ChromeOSには依然として深刻なセキュリティ上の懸念が残されており、機密情報をコンピュータに託す際には、これらのリスクを常に意識しておくことが大切です。

画像クレジット:「Hacker with a Laptop」via Shutterstock、「Chrome Lapel Pin」by Stephen Shankland、「Chromebook」by slgckgc、「Chromebook foto test」、「Kryha-Chiffriermaschine, Kryha-Encryption Device」by Ryan Somma