「技術的には容易」、Winny開発者が語る情報漏えい対策の中身
2006/5/3
Winnyを開発した金子勇氏が5月2日、アスキー主催の「情報漏えい対策セミナー」に登場し、「Winny開発者から見た情報漏えいの具体的な対策」を説明した。金子氏は「対策は私から見ると容易に思える」と語った。
 |
| Winny開発者の金子勇氏 |
金子氏は現在、Winnyによる著作権法違反ほう助の疑いで公判中。そのためWinnyの開発ができない状態だ。Winnyは、警察の要請を受けて金子氏が開発を停止した2003年11月27日以降、「放置されている状態」（金子氏）。ただ、金子氏はどのようなバージョンアップやパッチを適用すれば、いま出回っているWinnyウイルスによる情報流出をブロックできるかは分かっているようだ。
金子氏は「問題の本質は、Winnyのアップフォルダを指定する設定ファイル『UpFolder.txt』をウイルスが書き換えできること」と話す。WinnyではUpFolder.txtに記述されたフォルダのみをWinnyネットワーク上に公開する。UpFolder.txtの内容は単純なテキストファイルで、ウイルスは書き換えが容易。金子氏は「開発当時は（ウイルスによる書き換えを）予見できなかった」と話した。
また、Winnyは仕様としてWindowsの隠しフォルダやシステム属性ファイルも公開する。Winny経由で感染するウイルスは、この隠しフォルダを使って本来は公開するつもりがない情報を公開しているケースが多い。公開状態になっていてもユーザーは気づきにくい。金子氏は「これは見落としだった」と落ち度を認める。
金子氏が考える情報漏えいの最も確実な対策は、Winnyのバージョンアップやパッチ適用。「情報漏えいの問題を100％解決するにはバージョンアップしかない」（金子氏）。具体的には、winny.exeのアップフォルダの指定を別ファイルに変更し、UpFolder.txtを指定しないようにする。これでウイルスがUpFolder.txtを書き換えてもフォルダが無断で公開されることはなくなる。さらに現在は公開可能になっている隠しフォルダやシステム属性ファイルを公開できないようにする。「これで現在、流行しているウイルスには対処できる」（金子氏）。
ただ、winny.exeが指定する新しいアップフォルダ設定ファイルを書き換えるウイルスが、登場することも考えられる。そのため金子氏は、アップフォルダ設定ファイルの暗号化や、設定ファイルのハッシュ値をwinny.exeに確認させることで、書き換えられた場合にユーザーに警告する機能の搭載などを提案する。「これらをすべてやると効果的」と見ている。
これらの対策はWinny自体のバージョンアップやパッチ適用で可能。金子氏は「開発者でないとパッチ開発は行えないわけではない」として、「誰か作りませんか？」と呼びかける。ただ、Winnyに関してはバッファオーバーフローの脆弱性も確認されている。Winny経由で感染し、Winnyネットワークを使わずに情報を漏えいさせるウイルスもある。情報漏えい以外にシステムを破壊するようなWinnyのウイルスが発生する可能性もある。そのため企業にとってWinny自体のリスクを完全になくすのは難しいと見られる。
同じセミナーで金子氏の代理人を務める壇俊光・弁護士が講演し、「金子氏が手を出せないからウイルスが作り放題になっている」と指摘。Winnyネットワークを使わずに情報漏えいさせるウイルスの登場や、Winny以外のファイル共有ソフトウェアでもウイルスが確認されていることから、「Winnyを使わないことがイコール安全ではない」などと語った。
（＠IT 垣内郁栄）
[関連リンク]
アスキー
[関連記事]
政府が開発するセキュアOS環境とは？ （＠ITNews）
意外に普通？ 防衛庁Winny対策PCの中身は （＠ITNews）
Winny利用ビジネスユーザーの約30％は「PCを業務で利用」 （＠ITNews）
情報漏えい急増、企業を脅かすWinnyウイルスの破壊力（中） （＠ITNews）
情報漏えい急増、企業を脅かすWinnyウイルスの破壊力（下） （＠ITNews）
情報をお寄せください：
最新記事
 |
|
|
|
|
