初心者のためのセキュリティー講座

バグとは何かソフトウェアに紛れ込んでいる誤りをバグといいます。広く使われる言葉ですが、バグという言葉は、ソフトウェア品質の分野で使われる3つの厳密な定義、ソフトウェア故障（Software Failure）、ソフトウェアフォールト（Software Fault）、ソフトウェアエラー（SoftwareError）を全部含んだ、少し曖昧な言葉です。
この意味を少し説明すると、ソフトウェア
故障とは、ソフトウェアの動作の誤った現象を指します。ソフトウェアフォールトとは、ソフトウェア故障の原因となった誤りを指します。
ソフトウェアエラーとは、原因となった誤りインターネットでの不正行為その傾向と対策を作り込んでしまった行為やプロセスを指します。このエラーとフォールトの違いを短く補足すると、ソフトウェアエラーとは、単にソースコードの間違えた記述だけではなく、要求する機能や性能を間違えてとらえていたり、見落としていたり、仕様が正しくプログラムに反映されていなかったりといったことも含めています。そのソフトウェアエラーが表面化したのが、ソフトウェアフォールトです。
ソフトウェアを使う際には、次のことを前提にしなければなりません。
『ソフトウェアにもし、あなたが乗っている車に欠陥があったらどうしますか？

は、バグがつきものです。ソフトウェアには何か当然、ディーラーに持っていて修理してもらいますね。でも、ソフトに欠陥しらのバグがあることを前提に使いましょう』。

があったらどうしますか…。

そう言い切ってしまうと、少々とまどう人もソフトウェアには実は無数のバグが存在します。

多いのではないかと思います。コンピュータ

そのバグの中には実はやっかいなものがあるのです。車にたとえるなら、窓の無謬性、つまりコンピュータには間違いがが勝手に開いてしまったり…。今回は、そういったソフトにまつわる話です。

ないという、実は現実からは程遠い幻想が、かなり広範囲に信じられているように見受け

第6回
ソフトウェアのバグとセキュリティー
日頃の情報収集と迅速な対応がカギられるからです。
多くの方が理解されているように、ソフトウェアとはコンピュータをどのように動かすかを決めるものです。ソフトウェアが間違って

JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

いれば、当然、コンピュータは正しく動作しません。しかし、ソフトウェアとは、人間が、どのように動作するかを設計して、その命令手順を作り上げたものです。その作る人間が間違いを犯すと、当然、その間違いがソフトウェアの中に組み込まれてしまいます。人間

338 INTERNET magazine 1998/2

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

が完璧ではない以上、ソフトウェアも同様にしてしまうバグです。それまでの各種のオペ

一般的には、深刻なセキュリティーの問題完璧ではありません。

レーティングシステムでは、規定より大きいを引き起こすバグに関しては、発見され次第、そして、ソフトウェアは、その内部構造のサイズのデータを送り出そうとしても、そのよ短い時間で修正がなされ、対処済みの新しい複雑性と動作の状態遷移の複雑性から、完うなデータは異常データであり、送り出せなバージョンの配布が開始されます。その対処全なテストを行うのは、非常に困難を極めるい機構になっていました。したがって、規定されたことに関する情報は、J P C E R T やのです。また、十分にテストを行うためには、より大きなデータサイズである異常データは、CERTといったIRTや、ベンダーからアナウン

莫大なコストと時間が必要になります。また、ネットワーク上に存在しなかったのです。当スされます。

ソフトウェア開発の特徴として、人やお金を然、オペレーティグシステムには、長い期間ここには1つの問題があります。それは、セつぎこんだからといって、開発のスピードやにわたり、そのバグが潜んでいたにもかかわらキュリティーホールを修正したソフトウェアにソフトウェアの品質が格段に向上するわけでず、決して、そのバグが現れることがなかっ関する情報を入手する時間差があることです。

はないという、通常の工業生産とはまったくたのです。

本稿を読んでいるような方々は、それだけセ

ところが、今まで送り出せなかったはずの、キュリティーに関心を払っている方々なので、バグが発生するタイミングも、ソフトウェ規定サイズより大きな異常データを送り出す

最新のセキュリティー情報に注意を払い、こアを開発するプロセスの、いずれの段階でもことをしてしまうオペレーティングシステムがのような修正に関してすぐに対処する人がほありえます。ソフトウェアの仕様を決める段現れてしまいました。今まで、潜在していたとんどだと思います。

階であったり、ソフトウェアの設計を行う段

バグが、オペレーティングシステムをダウンさ

しかし、セキュリティー情報に関心を払わ階であったり、ソフトウェアを実装する段階せるという致命的な形で表面化してしまいまないため、あるいは、ソフトウェアの特性をであったり、実にさまざまです。

異なる特徴があるのです。

した。この異常なデータは、管理者権限などよく理解していないため、ソフトウェアにも難しいことを書いているように感じられる

必要なく、通常のユーザーでも送り出すことメンテナンスが必要だということに注意を払でしょうが、言いたいことは至って簡単です。

ができるので、さらに問題は深刻でした。こわない人たちは、修正するのが遅れる、あるそれは「ソフトウェアにバグはつきものである」の話には2つの大きな教訓があります。まず第いは修正をしないままの状態になってしまうということなのです。そのために、ソフトウェ一点は、どんなに長年安心して使っていたソ可能性があります。これは非常に危険な状態アにも、なんらかのメンテナンスが必要になフトウェアでもバグを抱えている可能性があであるということに多くの人が気づいてほしります。

るということ。

いと思います。

バグによるセキュリティーホール

かは、予想できないことです。

第二点は、それがいつどんな状況で現れる

一般に、新しく作ったソフトウェアは、稼システム管理者が注意を怠ったため、オペレーティングシステムやシステムソフトウェアのバグをついて不正アクセスが行われてしま

ソフトウェアの内部に潜在しているバグが働実績が少ないので、まだバグを十分に潰し現れるのは、たとえどんな形でも困るものできれていないため注意が必要だということが必ずしもオペレーティングシステムやシステす。使用しているアプリケーションが暴走し、言われます。しかし、長年使ってきたソフトムソフトウェアだけが問題だというわけではあ

マシンが入力を受け付けなくなってしまった

ウェアですら、周りの状況が変化すれば、新りません。パーソナルコンピュータの場合、り、使用中のファイルが壊れてしまったりす

しいバグは見つかるのです。ソフトウェアとバユーザーの権限で自由にシステムを操作できるバグもあります。あるいは、システムソフトグの関係は、そんなに単純な関係ではないこますので、ユーザーアプリケーションのバグにウェアやオペレーティングシステム自体にバグとが、このことからもよく分かると思います。

よるセキュリティーホールのため、コンピュータ上の任意のファイルを盗んだり、あるいはがあり、使用しているシステムが停止してし情報入手までの時間差まうような場合もあります。

うということになりかねません。

ハードディスクの内容を全部消すといった不正アクセスも最悪の事態として考えられるのそのようなバグの中には、外部からの不正アクセスのターゲットとなるような、セキュリこのようなソフトウェアのバグによるセキュティーホールとなってしまうものがあります。

リティーホールの発生を事前に察知したり予よく知られている例が、いくつかのオペレー測したりすることによって対処することは、非ティングシステムのネットワーク機能には、規常に困難です。したがって、発見された後の定より大きなサイズのデータが入ってきた場対処をいかに迅速に行うかが不正アクセスへ合にオペレーティングシステム自身がダウンの現実的な対処方法になります。

です。

セキュリティー情報の収集
セキュリティーホールとなったバグは、修正を行うベンダーや開発者だけではなく、やがインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/2

339

て不正アクセスを行う側に対しても同じく知にセキュリティーホールが存在しているかを知られることになります。そのため、そこから先ることが可能になるのです。

入手したソフトウェアあるいはパッチファイルが改ざんされていないか、あるいは偽造は、修正済みのソフトウェアにいち早くアッあるいは、特定の目標を決めずに、とにかされたものではないかなどを、電子署名を使プデートすることと、そのバグを利用して不く不特定多数のサーバーに対し、不正な命令って、あるいは一貫性チェックを使って確認正アクセスを行うこととの競争になります。

をとにかく与えてみて反応を見るという、荒しましょう。なお、確認する方法としては、不特定のネットワーク使用者からアクセスさっぽい手法もあります。

ここで説明する以外にもいろいろなツールやれるサーバーを管理している管理者は特に注とにかく、管理する側は、セキュリティー方法がありますし、時とともに変化したり改意が必要です。外部からの不正アクセスを考ホールとなったバグが発見されたら直ちに、積良されたりしていくので、必ずしもここで挙えた場合、インターネット上には星の数ほどサ極的に対処していくことが、不正アクセスをげた方法でなければいけないというわけではあーバーがあるので、自分の管理しているサーバ効果的に防ぐ方法であることは変わりありまりませんので、注意してください。

ーが攻撃対象となる確率はわずかだと考えるせん。

現在、多くの場合、ソフトウェアの配布元は、一貫性に関するデータや電子署名を検証かもしれません。しかし、それは誤りです。
例えば、自動的にセキュリティーをチェッ

ソフトウェアの導入するための公開鍵といった情報を事前に配布していたり、あるいは公開したりしています。

クするソフトウェアを悪用すれば、インターネット上に存在する多数のサーバーを片っ端バグが修正されたソフトウェアを入手し、入確実に確認したい時は、前記のようなデータからチェックするようなことが可能だからでれ換えを行い、セキュリティーホールを取り除を直接入手してチェックします。特にアップす。これらのシステムのセキュリティーをチェく時の注意点についていくつか書いてみます。

デート用のパッチファイルといったものは、直ックするソフトウェアには、すでにセキュリテ

なんといっても、信頼できるソフトウェア接配布元から配布される以外にも、例えば、ィーホールとして知られているバグを持っていを入手することが肝要です。これをチャンスBBSやネットニュースに流されるといった具るバージョンを使っていたら、すぐに検知しとばかりに、悪意を持って不正アクセスを狙合に、いろいろな経路で入手できる場合があてくれる機能を持つものもあります。

った者が、バグを修正したふりをして、トロります。このように間接的に入手した場合は、確実にチェックを行ってください。

システム管理者が使う分には、これほど便イの木馬であるようなソフトウェアを配布す利なツールはありませんが、不正アクセスをる可能性も否定できません。誰が変更を行っ直接ベンダーから入手していないような場行う者にとっても同様に便利なツールです。

たか分からないようなソフトウェアなどは、使合、特にパーソナルコンピュータは、コンピそのようなツールを使えば、狙ったシステム用しないようにしましょう。

ュータウィルスに犯されやすいので注意が必

不正アクセスを試みる人間は、いつどんなところから来るか分からない。管理者は最新の情報を集めて、万全の対策をしておく必要がある。

340 INTERNET magazine 1998/2

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

要です。再インストールやアップデートの手て無防備な状態が続くことになりかねません。

まとめ間をおしんで、どこかのパーソナルコンピュータ上にインストールされたソフトウェアをその設定ミスやその他ままコピーして使うといったことは、コンピュータウィルスの感染原因になる可能性があるので、なるべくやめましょう。

管理責任の明確化

ソフトウェアのバグが引き起こすセキュリ
必ずしもソフトウェアのバグではなく、設ティーホールは、ソフトウェアの宿命だとも定ミスであるような場合が考えられます。例

言えるものです。特に近年は、短時間のうちえば、UNIXなどでは、サーバー機能として用に新しいソフトウェアが活発に発表されたり、意しているソフトウェアでも、デーモンとして既存のソフトウェアに大幅な改造や拡張が行実行するのか、それともinetdとして実行するわれたりする傾向にあります。

複数の利用者が機具を共有したりする場合のかなど、同じソフトウェアでも、実行環境新しい機能を採り入れたが、十分に安全をや、実際に作業を行うシステム管理者とそのによって状況が異なる場合があります。その確認しないまま配布してしまったというようシステムの運営担当者が異なる場合などは、ように、状況も変わってしまうことによって、なソフトウェアが散見されると同時に、既存いったい誰が責任を持ってソフトウェアのバセキュリティーの問題を引き起こす場合と引のソフトウェアにとっても、動作する環境がグに対処していくかを明確化しなければいけき起こさない場合が出てしまいます。この違どんどん変化していくため、今まで安全だっません。なぜなら、ソフトウェアのアップデー

いも注意してください。

たから今後も安全だとは言い切れない状況にトに金銭的負担がかかったり、あるいは、入あるいは、必要のないサーバー機能を入れなっています。しかも、そのようなバグによるれ換えのための作業負担が発生したりする場ていて、その存在を忘れている場合もありま

セキュリティーホールを専門に狙う不正アク合も考えられるからです。常時運転しているす。実際には使用していないサーバー機能なセスが後を絶たないという状況もあります。

サーバーマシンであれば、時によっては、サので存在が忘れられ、セキュリティーホールやはり、そのような状況に対処するには、ベーバー機能を停止させたうえで作業しなけれを持った古いバージョンのまま放置されていンダーやIRTが出す情報に常に注意を払い、ばいけない場合もあるでしょう。その際に、たという例が見受けられます。もう一度シス

最新のセキュリティー情報を入手することが必要だと言えるでしょう。

あらかじめ管理責任の明確化を行っていないテムの見直しを行い、使わないサーバー機能と、迅速な対処が難しくなる場面が出てくるは削除するか、あるいは実行不可能にしてお可能性もあります。そのように迅速な対処がきましょう。

JPCERT/CCでは、本連載のバックナンバーをウェブサイト上で公開しております（PDF形式）。

行えない間、システムが不正アクセスに対し

jhttp://www.jpcert.or.jp/magazine/beginners.html

ブラウザーなどのよく使うソフトのバグ情報には十分気を使う。また、ダウンロードするときに表示されるセキュリティー情報にも気をくばるようにしよう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/2341

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.