WhatsAppの暗号化は本当に安全？世界最大のメッセージアプリのセキュリティ問題と対策

WhatsAppは、スマートフォンやタブレット向けのインスタントメッセージングサービスとして、間違いなく世界で最も広く利用されています。2009年に創設された同サービスは、現在7億人を超えるアクティブユーザーを抱え、2位の中国WeChatに約2億5000万人もの差をつけています。1年前にFacebookによって190億ドルという巨額の金額で買収されて以降、同社はセキュリティとプライバシーへの取り組みの見直しを余儀なくされ、その結果として昨年、新たな暗号化措置が導入されたことが発表されました。

何が問題だったのか？

WhatsAppは、脆弱なセキュリティを原因とする数々の恥ずべき事態や情報漏洩に悩まされてきました。問題は2011年5月にまで遡ります。当時発見された脆弱性により、ユーザーのアカウントがセッションハイジャック（有効な利用セッションを悪用して情報への不正アクセスを得る手法）を受け、パケットスニッファーによって通信内容を傍受・記録される恐れがありました。新しいバージョンのアプリがリリースされましたが、データは平文のまま送受信され続けました。

苦難は2012年にも続きました。年初にはハッカーが「WhatsAppStatus.net」というサイトを公開し、誰でも任意のユーザーのステータスを変更できる状態になってしまったのです。開発元の対応は遅く、当初は脆弱性を修正したと主張しながらも、実際には単にそのサイトのIPアドレスをブロックしただけでした。当然ながら類似のツールが次々と登場し、同社はより根本的な対応を迫られました。春の終わり頃にはようやく平文でのデータ送信を廃止しましたが、その代替となった暗号方式は、公開時点で既に破られており、大きな批判を浴びる結果となりました。

2013年末には、オランダのセキュリティ研究者が、一定の技術知識を持つ者であれば誰でもアプリ内の通信を復号できると主張しました。原因はいくつもの「以前から文書化されていた弱点」、特に会話の両端で同じ暗号鍵を使用していたことにありました。この欠陥を発見したユトレヒト大学の学生ティス・アルクマーデ（Thijs Alkemade）氏は、「十分な労力をかければ、WhatsAppの接続を盗聴できる者は誰でもメッセージを復号できると考えるべきだ」と述べ、「WhatsAppユーザーにはこれに対する有効な手立てはない。開発者がアップデートするまで使い続けるのをやめるしかない」と付け加えました。

2014年11月になっても、電子フロンティア財団（EFF）のセキュアメッセージング評価において、WhatsAppは7点満点中わずか2点にとどまりました。プロバイダー側が鍵を保持する暗号方式を採用していたこと、ユーザーの身元を検証する手段がないこと、そしてセキュリティ設計が十分に文書化されていなかったことが、減点の主な理由でした。

Facebookはどう対応したのか？

昨年11月18日、新しい親会社となったFacebookは、これ以上の放置はできないと判断しました。Facebook自身もプライバシーやセキュリティに関する透明性の面で高い評価を受けているわけではありませんが、190億ドルを投じた買収を危うくし、ViberやTangoといった競合サービスへユーザーが流出するリスクは冒せなかったのです。

そこで同社はOpen Whisper Systemsとの新たな提携を発表し、ついにエンドツーエンド暗号化を導入することになりました。これにより、過去3年間にわたってサービスを悩ませてきた問題の解消が期待されます。Open Whisper Systemsによれば、今回の暗号化は世界最大規模のものであり、デバイスごとに固有の暗号鍵を使用するTextSecureによって、巨大なユーザーベースが保護されるということです。専門家たちもすぐにその完成度に感銘を受けました。Wired誌はこの仕組みを「事実上解読不可能」と評し、ウォール・ストリート・ジャーナル紙は「暗号化が非常に強固であるため、法執行機関でさえWhatsAppのメッセージを復号できない」と報じました。

仕組みはどうなっているのか？

従来の方式では、復号用の鍵は開発元が所有・運営する中央サーバーに保存されていました。一方、エンドツーエンド暗号化では、鍵はユーザーのデバイス上にのみ保存されます。さらにTextSecureは「前方秘匿性（Forward Secrecy）」と呼ばれるプロトコルを採用しており、メッセージごとに新しい鍵を発行します。こうした背景を踏まえれば、CEOのヤン・クームが「私たちがあなたについて知る情報を最小限に抑えるという目標を掲げて、WhatsAppを作り直した。プライバシーへの敬意は私たちのDNAに組み込まれている」と語った理由も容易に理解できるでしょう。

現在WhatsAppが採用している暗号化は、他の多くのメッセージングアプリやSNSとは大きく異なります。それらの多くは依然として、鍵をユーザーのデバイスだけでなく自社サーバーにも保存しています。これは、企業や政府が要求に応じてメッセージの内容やデータにアクセスできることを意味し、同時にハッカーが個人情報へ侵入する道を開きやすくもします。

実際、WhatsAppの動きは、大手テック企業によるプライバシー強化というより大きな潮流の一部です。ただし、すべての人が歓迎しているわけではありません。WhatsAppの発表に先立ってAppleとGoogleがそれぞれ暗号化機能を拡張した際、FBI長官のジェームズ・コミー氏は「ポスト・スノーデン時代の振り子は、今や行き過ぎた方向に振れてしまった」と批判しました。

すべての問題は解決したのか？

効果的なセキュリティを提供することは決して簡単ではありません。2010年代の変わり目の時点で、WhatsAppは業界の水準から大きく後れを取っていましたが、2014年末のアップデートは完全にハッカー対策済みに聞こえます。しかし残念ながら、そう単純な話はめったになく、最近になってもマウンテンビューに拠点を置く同社にとってマイナスの報道が続いています。

メッセージの内容自体は安全に保たれているように見えますが、プライバシー設定を回避できるシンプルなソフトウェアが公開され、ハッカーがユーザーのオンライン／オフライン状態を確認したり、プロフィール画像を監視したり、ステータスを閲覧したり、さらには個別に設定されたプライバシー設定を把握したりすることが可能になってしまいました。

この「WhatsSpy Public」と呼ばれるソフトウェアは、オランダの開発者によって作られたもので、追跡対象ユーザーのオンライン状況の履歴を、最も厳しいプライバシー設定が有効になっていても明らかにできます。開発者のマーカイル・ズウィーリンク（Maikel Zweerink）氏は、「すべてのオプションを『誰にも見せない』に設定すればプライバシー的には安全だと考えているかもしれませんが、それでも私はあなたのWhatsApp上の動きを追跡できます」と語っています。ユーザーにとって朗報なのは、このソフトウェアのセットアップが難しく、root化されたAndroid端末や脱獄済みiPhoneでしか追跡できないという点です。標準のOSを使っているのであれば、まず心配ないでしょう。

WhatsAppはまだこの件について公式な回答をしていませんが、関係者の一人は英国メディアに対して「これはハッキングではない。要するに、彼はもともとアクセスできた情報を記録・監視するプログラムを作っただけだ」と語り、事態を矮小化しようとしました。

とはいえ、WhatsAppのこれまでの経緯を考えれば、ユーザーがこの説明に安堵することは難しいでしょう。真偽はともかく、この問題が浮き彫りにしているのは、デジタル時代のセキュリティは決して当てにできないという厳然たる事実です。自分は守られていると思っていても、必ずどこかのハッカーや犯罪者が、次の脆弱性や欠陥を探してあなたを狙っているのです。

あなたはどう思う？

あなたはWhatsAppを使っていますか？これまでのセキュリティ問題の歴史が、サービスの利用をためらう理由になったことはありますか？他のメッセージングアプリを試してみても、結局またこの普及したアプリに戻ってきていませんか？そもそもプライバシーを気にするタイプでしょうか、それとも「隠すことがなければ恐れることもない」という考え方の持ち主でしょうか。

ぜひあなたの声をお聞かせください。下のコメント欄でご意見をお待ちしています。