「GHOST」の正体見たり枯れ尾花？ 名前には踊らされなかったセキュリティクラスター：セキュリティクラスター まとめのまとめ 2015年1月版（1/3 ページ）

2015年1月「GHOST」が登場します。名前の付いた脆弱性で、任意のコードが実行できるとあって大変なことになる……しかし、セキュリティクラスターは淡々と対応していたようです。

[山本洋介山（エヌ・ティ・ティ・コミュニケーションズ），＠IT]

連載目次

　2015年1月のセキュリティクラスターは、しばらくお正月休み明けののんびりした雰囲気が続いていましたが、半ばくらいから活発になってきました。まず、脆弱性のあるサイトを構築した業者に賠償金を支払う判決について、活発な意見が交わされます。そして同時期に平行して、みずほ銀行を発端とした銀行WebサイトのSSLについての議論が行われました。首都大学東京が世界に向けて成績データを公開していたことが明らかになり、みんなにあきれられるという事件も。

　そして1月の終わりには、新たな騒ぎになるかと思われた脆弱性「GHOST」が大々的に公表され、話題となりました。

みずほ銀行がトップページのHTTPSアクセスを許していないことってどうなの？

　企業のWebサイトはSSLを行う「HTTPS」を使うことが最近では当たり前になってきました。ところが、その流れに逆行するかのようにみずほ銀行のトップページがHTTPSによるアクセスを許さなくなったことが話題となりました。

　2015年1月15日に高木浩光氏（@HiromitsuTakagi）が「https://www.mizuhobank.co.jp/〜は2014年11月27日よりご利用いただけなくなりました」となっていることを見つけて指摘すると、これに応じて多数のユーザーが問題視します。実際のネットバンキングを行うページはSSLのままなのですが、この対応への不安感からか、みずほ銀行の解約を検討するユーザーまでも現れました。

　一方、これらの反応に対して反論するユーザーも現れます。mala（@bulkneets）さんはトップページでは広告やアクセス解析のために外部JavaScriptを読み込んでいることが多いため、他の機密情報を扱うページと同様のドメインでSSLを使うのは、逆に危険度を上げてしまっているのではないかとの意見でした。トップページで読み込んでいる外部JavaScriptに脆弱性があると、そこからユーザーが攻撃されるからというのです。

　とはいえ、「企業の顔とも言えるトップページにサーバー証明書がないのも問題だ」という意見や、「今後は盗聴されないプロトコルが標準化されていくので、常時httpsにすることを前提に議論すべきだ」という意見もありました。