RSA Conference 2003 Japan実行委員会が主催するセキュリティ関連のカンファレンスイベント“RSA Conference 2003 Japan”が3日～4日にわたり、東京国際フォーラムで開催された。
“RSA Conference 2003 Japan”は、米国で1991年より開催されている“RSA Conference”の日本版。日本での開催は今年で2回目となる。暗号技術やセキュリティ標準、政府システムのセキュリティ、危機管理、ユーザー事例、不正アクセス、Webサービスのセキュリティ、ワイアレスセキュリティ、新製品紹介の9つのセッショントラックが設けられた。
初日の“政府調達の現場と情報セキュリティ”セッショントラックでは、慶応義塾大学 環境情報学部教授の武藤佳恭氏が『電子政府、オープンソース＆情報セキュリティ』と題し、電子政府システムに求められるセキュリティについて語った。
OSはオープンソースにしても安全にはならない?
武藤氏はオープンソースについて、「単純にいうとソースをオープンにしているもの。有料か無料かは関係なく、自由に商売に利用していいがソースを公開しろというもの」であるとした。その上で、LinuxやFreeBSDなどのOSや、Webサーバ、メールサーバ、Webブラウザなど各種アプリケーションのバグ数を、米National Institute of Standard and Technology(標準技術局)のデータベース“ICAT”のデータをもとに算出し、商用のOSよりもLinuxの方がバグが多く、逆にアプリケーションではオープンソースのものの方がバグが少ないとし、「OSなどの難しい部分は、オープンソースの方が安全性が低い」と指摘した。その理由としては、そもそもOSに手を入れられる人は少なく、「大企業でも片手で数えられるくらいしかいない」一方、アプリケーション開発者は多いため、バグやセキュリティホールの発見、修正がより速く行なわれているのではないかと説明した。
一方、情報処理振興事業協会が公開している“オープンソースソフトウェアのセキュリティ確保に関する調査”については、「オープンソースが安全かどうかという肝心の実態が書かれていない。あくまで調査報告であり、研究ではないから、自分たちでデータを作っていない」とコメントした。また、法務省が検討している「ハイテク犯罪に対処するための刑事法の整備に関する諮問」については「この法律ができてしまったら、セキュリティの研究のためにウイルスを所持しているだけで犯罪者になってしまうのではないか」と問題を指摘した。
攻撃を受けることを前提とした“性悪説システム”が必要
ソフトウェアのセキュリティホールについて、「ソフトウェアだけがPL法の対象とならず、甘やかされてきた」と指摘する一方、「基本的にソフトウェアには安全性がないと認めていない人が多いのが問題」と語り、システムにはセキュリティホールが存在し、攻撃を受けることを前提とした“性悪説システム”を構築する必要性を指摘した。
武藤氏によると、“性悪説システム”は、攻撃を受けることを前提に、攻撃を受けたあとにきちんと復帰することを考えたシステムだという。“性悪説システム”が必要な理由については、「システムを攻撃する側と比べ、システムを守る側は、被害にあった際の情報を公開したがらないため、ナレッジシェアリングが行なわれず、対策が遅れてしまう」ことや、「SSLアルゴリズムのようなものでも、仕様は強固だが実装はプログラムであり、人間がプログラムに書く時点でバグは生じてしまう」ことなどを挙げ、「問題があることを前提に、トラブルによるデメリットとシステムが提供するメリットを評価してシステムを作るべき」と語った。
