UXを損なわないセキュリティのために、LINEが取り組む3つのリスクコントロール：＠ITセキュリティセミナー2018.2

[高橋睦美，＠IT]

　＠ITは、2018年2月7日、東京で「＠ITセキュリティセミナー」を開催した。本稿では、特別講演「LINEが追求する『安心して使えるアプリ』〜多様化・複雑化するサービスのセキュリティコントロール〜」の内容をお伝えする。

LINE セキュリティ戦略チーム マネージャー 市原尚久氏

　日本発のメッセージアプリとして、国内のみならず台湾やタイ、インドネシアなど海外でも利用されているLINE。今や決済やショッピングといったさまざまなサービスやビジネスパートナーと連携し、エンタープライズ分野もカバーするプラットフォームへと拡張してきた。最近ではAIスピーカー「Clova」も市場に投入し、IoTという新たな領域も視野に入っている。

　「LINEのミッションは、人と人、人と企業との距離を縮めていくことだと思っている。『CLOSING THE DISTANCE』をスローガンに掲げてさまざまなサービスを展開しているが、距離が近付くとセキュリティやプライバシー上の課題もまた浮上してくる」と、LINEのセキュリティ戦略チームでマネージャーを務める市原尚久氏は述べる。

　単なるアプリからプラットフォームに進化したことで、1つのアカウントからさまざまな連携サービスが利用できるが、「便利になることはセキュリティの問題が起こり得る可能性も秘めている」と同氏は言う。

　そこでLINEでは、「プロセス」「テクノロジー」「コンプライアンス」という3つの側面でリスクコントロールに取り組んでいるそうだ。

プロセス

　まず「プロセス」に関しては、LINEではセキュアな開発ライフサイクルを実践している。一番上流の設計段階からセキュリティを盛り込むべく、新しいサービスや連携サービスを開発する際には、全てセキュリティ室がコンサルティングを行い、開発時のコードチェック、QA時のアセスメントを経てからリリースする仕組みだ。

　LINEのサービス拡大に伴い、Webやスマートフォン向けアプリ、さらにはAIアシスタント「Clova」を搭載した機器へと、レビューすべき対象は広がっている。特にClovaの場合は、発表からリリースまで数カ月というスピード感で進められた上に、「Wi-FiとBluetooth機能を備え、AIスピーカーというサービスおよびソフトウェアを搭載したハードウェア製品の解析はそもそもどう進めるべきか」というところからスタートした。

　「スキルのキャッチアップには苦労もあるが、だからこそ頑張ろうというエンジニアもいる」

　サービスをリリースした後のプロセスも整備している。それが「バグバウンティプログラム」だ。世界中のセキュリティ研究者にLINEに関する脆弱（ぜいじゃく）性を発見してもらい、報酬を支払う仕組みで、2017年には166件の脆弱性報告が寄せられ、うち69件を認定した。中には深刻な脆弱性も含まれており、LINEではのべ1400万円に上る報奨金を支払った。

　「制度開始直後にはレポートが押し寄せ、検証に追われる時期もあったが、それを乗り越えていけば運用は楽になる。コストメリットを見てもわれわれは有益だと考えており、引き続きプログラムを続けていく」

テクノロジー

　2つ目のテクノロジー面でも、地道な取り組みを続けてきた。通信内容を保護するエンドツーエンドでの暗号化を2016年から実施するだけではなく、スパムやアカウントの不正利用を早期に見つけ、対処すべく、機械学習やディープラーニング、ヒューリスティックや認証といったさまざまな技術を組み合わせながら対策を進めてきた。

　特にスパムについては、「カスタマーセンターで日々通報を受け付け、対応に取り組んでいる」という。きっかけとなるのはユーザーからの通報だが、ElasticsearchとKibanaを組み合わせて通報状況を可視化したり、ルールベースや機械学習ベースでSpamフィルターを掛けて自動判定／ブロックしたりするといった具合に、部分的に自動化を進めている。この検出精度が鍵だそうだ。

　「メッセージスパムに代わり、新たにプロフィールを使うスパムが登場したように、スパムの行動は数カ月単位で常に変わっていくため、対応もアップデートしなければならない。新たに通報用ボタンを設置するといったUI面での対処に加え、機械学習のトレーニングデータには古いデータではなく、なるべく新しい情報を抽出し、傾向を捉えるようにしている」

　また最近では、「やや減少傾向にある」というアカウントの乗っ取りだが、ゼロになったわけではない。従来多く発生していたアカウント乗っ取りに対しては、2017年2月に新しい認証方式を提供し、この際もあらかじめ新たなの手口に備えた仕様を取り入れたことで、被害を大きく減らすことができた。2017年6月には「LINEサイバー防災訓練」を実施し、乗っ取りの手口を動画で疑似体験してもらうことで、ユーザーの啓発に取り組んだ。専門チームを作り、データを分析しながら不正なアカウントをブロックするさまざまなルールを作成し、継続して対策を進めている。

　「IDと認証は、LINEを使うときにさまざまな場面で必要とされる非常に重要な要素だ。そこで、さまざまなタイプの認証方式を導入している」

　PC版とモバイル版の連携はPINコード認証やQRコード認証で、ファミリーアプリ間の連携はトークンで、サードパーティー製アプリとの連携はOAuth 2.0やOpenID Connectといったプロトコルに基づいて実現している。

　「ここにさらにClovaやBluetoothでLINEと連携するIoT機器が追加されると、さらに複雑なID連携が求められる。新しいサービスが出るたびに、どのように設計すべきか、慎重にコンサルティングしている」

　また、FIDOアライアンスに加盟したのもその取り組みの1つで、「パスワードをなくしていきたい」という思いで活動しているそうだ。

コンプライアンス

　LINEのリスクコントロールを形作る最後の要素が「コンプライアンス」だ。

　各種法規制への順守、セキュリティ認証の取得や透明性の確保にも取り組んでいるが、ガバナンスという観点では、日本だけでなくグローバルな展開の中でどう対応するかが課題となっている。

　「LINEでは、拠点が連携し、ローカルのニーズを聞きつつ、グローバルでコラボレーションしながら開発するスタイルが増えてきている。言語や品質に関する考え方の違いといった問題もあるが、ノウハウや過去の開発資産の共有、横展開を進めている。これからもローカルのサービスが増えていく中、拠点ごとのガバナンス、セキュリティ水準をどうそろえるかも課題となるだろう」

---

　次々に新しいサービスをリリースしているLINE。そのセキュリティ部隊もまた、2〜3カ月でリリースするのが当たり前というスピード感の中でセキュリティに取り組んでいる。

　AIやデータサイエンス、IoT、FinTechといった新たな技術へのキャッチアップも重要だ。また、広く多くのユーザーに使ってもらうサービスである以上、クオリティー――具体的にはUXやパフォーマンスも欠かせない要素で、「UXがだめなセキュリティは避けたい」という。

　さらに市原氏は、「プライバシーやコンプライアンス、ローカルとグローバルのハーモナイゼーションといったチャレンジに取り組みながら、課題を解決したい」と述べ、講演を締めくくった。