［カナダ］
「Macハッキング・コンテスト」で優勝者に賞金1万ドル

あらためて実証されたMac環境の危険な脆弱性

（2007年04月23日）

　カナダのバンクーバーで開催されたセキュリティ・コンファレンス「CanSecWest Vancouver 2007」（4月18～20日）で初めて実施されたハッキング・コンテストでは、「Mac」への侵入を果たしたハッカーが1万ドルの賞金を獲得した。

　このハッカーは、アップルのWebブラウザ「Safari」に存在するセキュリティ・ホールをターゲットにしてコンテストに優勝したという。CanSecWestの運営者の1人であるショーン・コモ氏は、「現時点で流通しているOS Xはすべて、このセキュリティ・ホールによって脆弱になっている」と指摘する。

　コンファレンス運営者らは、Macにもセキュリティ上の欠陥があることを広く知らしめるために今回のコンテストを開催することにしたとしている。

　CanSecWestをはじめ複数のセキュリティ関連コンファレンスで運営主任者を務めてきたドラゴス・ルイウ氏は、「OS Xを使用しているユーザーで、Macの安全性を口にする人は非常に多いが、実際のところ、アップルよりマイクロソフトのほうがセキュリティ向上に力を入れている」と述べた。

　コンテスト参加者は当初、無線アクセス・ポイントを経由して、何のプログラムも動作していない2台のMacに接続するよう求められていた。だがこれに成功した者が1人も出なかったため、コンファレンス運営者らは、参加者が電子メールでURLを送信することで、Webブラウザ経由で当該のMacにアクセスすることを許可した。

　この条件下でセキュリティ・ホールをつくURLを送ってきたのが、米国ニューヨーク州に住むディノ・ディ・ゾフィー氏だった。コンテストに参加できるのは今回のCanSecWestの出席者だけであったため、ディ・ゾフィー氏はコンファレンス会場にいた友人にURLを送信し、これをコンテスト運営者に転送してもらった。

　同URLにアクセスすると空白のページが開くが、実はこれがSafariの入力処理に関する脆弱性につけ込む動作であったと、コモ氏は説明する。同脆弱性を悪用する方法は数多く考えられるが、ディ・ゾフィー氏はこれを用いてバックドアを仕掛け、そこからMac上のあらゆるコンポーネントにアクセスできるようにしたという。

　問題の脆弱性の詳細は公表されていない。アップルに対する結果報告は、賞金を用意したスリーコムのティッピングポイント部門が責任を持って行うとしている。

　もともとはコンテストで使われたMacの1台が賞品とされていたのだが、ティッピングポイントは4月19日夜に急遽賞金を出すことを決め、これによってコンテストへの関心がにわかに高まった。

　ティッピングポイントのセキュリティ・レスポンス担当マネジャー、テリー・フォースロフ氏は、Macがハッカーの標的になりにくかった理由について、そもそも攻撃対象となるMac自体が少なかったからだと分析している。「要は見返りの問題だ。MacはWindowsなどのプラットフォームほどには普及していない」（同氏）。

　今回の場合、賞金が魅力的な見返りになったわけだ。

　以前から自分の侵入テクニックに自信を持っていたハッカーにとって、今回のコンテストは腕の見せ所だったようだ。「これまでも、Macに侵入するのがいかに容易であるかを指摘する人と何度も出会ったことがある」（ルイウ氏）

　一部のコンファレンス参加者は、アップルが19日の晩にOS Xの脆弱性25件を修復するパッチをリリースしたのは、決して偶然ではないと見ている。

　Windowsマシンには、ハッキングや不正コードの格好のターゲットにされてきたという経緯があるが、Macはそこまでの被害は受けてこなかった。これは、利用数が絶対的に少ないMacを不正コードの標的にしても、広く使われているPCと同等の影響を及ぼすことができないためだ。

　「OpenBSD」プロジェクトのリーダーであり、先のコンファレンスにも出席したテオ・デ・ラート氏は、「脆弱性の暴露に際してきわめて強硬な法的措置を取る」アップルの体質についても言及した。

　「ハッカーがアップルから受け取った脅迫まがいの書簡を公開し始めれば、同社こそが“悪者”であるように見えてしまい、痛手を被ることになるだろう」と同氏は懸念を示している。

(ナンシー・ゴーリング／IDG News Service シアトル支局)