Cloudbleed事件が教えてくれるオンラインセキュリティの教訓

Redditなどをはじめ、驚くほど多くのウェブサイトがCloudflareのようなリバースプロキシやDDoS対策サービスを利用し、大規模な障害から身を守りながら安定した運営を実現しています。こうしたサービスは「セキュリティとパフォーマンスの向上」を掲げて提供されているのが一般的です。

しかしそれに反する形で、2017年2月17日、Cloudflareのソフトウェアに存在した重大なバグにより、数百万ものウェブサイトの機密データが誰でも閲覧できる状態になっていました。一部のデータは、Googleの検索結果に表示されたキャッシュページにも残っていたのです。「Cloudbleed」と呼ばれるこの事件は、テクノロジーを安全に活用することについて考える絶好の機会を私たちに与えてくれました。

そもそもCloudflareとは何か？

Cloudflareは、あなたのウェブサイトとインターネット全体の間に立つ「仲介役」として機能するサービスです。このサービスを利用しているサイトにアクセスすると、実際にはまずCloudflareに接続し、そこから目的のサイトへ中継される仕組みになっています。

Cloudflareはアクセス頻度の高いページをキャッシュするため、サイト側は接続のたびに応答を返す必要がなくなり、大量トラフィックがオリジンサーバーに与える負荷を大幅に軽減できます。また、分散型サービス拒否攻撃（DDoS攻撃）への対策としても有効で、正当な訪問者は通しつつ悪質なボットを遮断する「交通整理役」として働きます。Cloudflareのほか、IncapsulaやAkamaiといったリバースプロキシサービスも、ウェブサイトのセキュリティ強化をうたって自社サービスを展開しています。

Cloudbleedとは何だったのか？

Cloudbleedとは、GoogleのProject ZeroチームのメンバーがCloudflareのソフトウェアに発見したバグによって引き起こされた大規模な情報漏洩事件です。このバグにより、主要ウェブサイトの非公開メッセージ、オンラインパスワードマネージャーのデータ、複数のサーバーからのHTTPSリクエスト全文などが露出しました。

Cloudflareが接続リクエストに応答する際、割り当てられたバッファ領域を超過することがあり、その結果、その時点で他の顧客がアクセスしていたウェブサイトのデータが混在して表示されてしまうことがあったのです。これは、同サービスに依存するすべてのサイト運営者・利用者にとって壊滅的なセキュリティリスクとなり得るものでした。

バグ自体は2月末に修正されましたが、Cloudflareは2016年9月22日に新しいHTMLパーサーを導入した時点から漏洩が発生していた可能性があることを認めています。

Cloudbleedから学べること

当サイトの記事を長く読んでくださっている方なら、2014年の「Heartbleed」を覚えているかもしれません。OpenSSLを使用していたウェブサイトが、プライベートデータの断片を第三者に盗み見される脆弱性にさらされた事件です。HeartbleedとCloudbleedという二つの事例から学べる重要な教訓は、「保護を目的としたサービスでさえ、100％信頼できるものはない」ということです。

これはCloudflareを批判するための話ではありません。同様のバグはどのサービスにも起こり得ます。重要なのは、インターネット上に絶対的な安全は存在しないという現実です。どんなに自己防衛を徹底しても、自分ではコントロールできない状況によって無防備な状態に晒される可能性は常にあります。

私たちがすべきことは？

Inc.Comのジョセフ・スタインバーグ氏が指摘するように、「今すぐのリスクは、『サイバーセキュリティ疲れ』が将来もたらすより大きな問題に比べればはるかに小さい」というのが実情です。つまり、このバグの性質上、自分のパスワードが漏洩した確率は天文学的に低く、慌てて変更しても疲労が積み重なるだけだということです。本当に危機的な場面でパスワード変更を求められても、日頃の騒音やパニックに消耗していれば、肝心な警告を見過ごしてしまう恐れがあります。Cloudbleedはその「重要な瞬間」ではありません。それでもどうしても不安であれば、パスワードを変更すればよいのです。

それ以外に大切なのは、常に警戒心を持ち、利用しているサービスからのメールを無視しないことです。危機が発生すれば、サービス側から必要な情報をまとめた案内が届き、被害を避けるための具体的な対処法が提示されるはずです。

スタインバーグ氏が言うように、サイバーセキュリティ疲れは実在すると思いますか？根拠が不十分な状況でも、人々は常時警戒状態にあるべきなのでしょうか？ぜひコメントであなたの意見を聞かせてください！