「ゼロデイ」とは、ソフトウェアのメーカーやユーザーが把握していない深刻な脆弱性のことである。開発者がこのセキュリティ上の脆弱性を知るのは、それが悪用された日であるため、修正に充てられる時間は 「ゼロ日」しかないことから、このように名付けられている。
こうした脆弱性は、商業市場で最も広く使われているソフトウェアやプラットフォームのいくつかにも見つかっている。例えば、Adobe Flash、Internet Explorer、ソーシャルネットワーク（FacebookやLinkedInなど、2つだけ挙げると）などがあり、そのほかにも数え切れないほど存在する。
最近のHacking Teamのメール流出は 、政府がゼロデイの国際市場にどの程度関与しているかについて新たな光を投げかけている。ソフトウェアのメーカーが修正できるよう脆弱性を開示するのではなく、政府機関はゼロデイを購入した上で備蓄している。
こうした慣行と、それを認める政策は、数十億人のインターネットおよびソフトウェアユーザーを、深刻かつ不必要なサイバーセキュリティ・リスクにさらしている。この問題に対する解決策はいくつか存在するが、まずはゼロデイ市場を見てみよう。
ゼロデイ市場の拡大
ゼロデイの存在を知ることは、犯罪者と諜報機関の双方にとって価値がある。彼らは、これらの脆弱性について情報を得るために多額の金を支払い、その上で攻撃コード（エクスプロイト）を開発する（あるいは単にエクスプロイトを購入する）。標的の情報セキュリティを突破するためである。
ほかの手法のなかでも、 Sony Pictures Entertainment への侵入や Office of Personnel Management（OPM） への侵入を行ったハッカーは、ゼロデイの脆弱性を悪用して、こうした大規模なハッキングを成功させた。
これは深刻なビジネスになっている。ゼロデイの脆弱性の売買に関する国際市場は、 重なり合う三つの市場で構成されている：「黒」、「灰色」、「白」である。
黒市場の売り手には、フリーランスのハッカーや組織が含まれる。買い手には 犯罪者および犯罪組織が含まれる。市場の地下性を考えると、黒市場で売買されている脆弱性の数を知る術はない。オランダ国防大学の研究者Roy Lindelaufは、 販売されるエクスプロイトの半数以上は、今やフリーランスのハッカーではなく、正規の企業から購入されていると考えており、黒市場が相互に結びついた三つの市場の中で最大ではないことを示唆している。
二つ目の市場は、合法ではあるが非公式かつ規制されていないという意味で「灰色」である。 歴史的に、灰色市場での購入は国家が独占してきた。これには、ブラジル、インド、イスラエル、マレーシア、北朝鮮、ロシア、シンガポール、英国、米国などの多くの国が含まれる。防衛請負企業としては、 Northrupp Grumann や Raytheon なども、買い手や売り手として関与していると考えられている。
灰色市場の規模について確かな推計を出すことは難しい。米国の国家安全保障局（NSA）は、WikiLeaksが公開したHacking Teamのメールによれば、「最良かつ確実なゼロデイの買い手……実際には、本当に飽くなき買い手」とされている。NSAは 2013年に2,500万米ドル を費やし、民間のマルウェアベンダーから「ソフトウェアの脆弱性」を調達した。 ある情報源 は、ゼロデイの平均価格が40,000ドルから160,000ドルの範囲にあることを示しており、これは2,500万ドルで156件から625件の脆弱性を購入できる可能性があることを意味する。
同じく合法である「白」市場の買い手には、 Facebook、Google、Microsoft や LinkedInなどのソフトウェアメーカーが含まれる。ソフトウェアメーカーは、脆弱性を発見して自社に報告した者に対し、「バグ報奨金」と呼ばれることもある金額を提示する。
また、数十のソフトウェアメーカーとセキュリティ研究者や専門家を結び付けるプラットフォームも存在する。これらのプラットフォームは、そのプラットフォームを通じてソフトウェアメーカーに脆弱性を報告した者に手数料を約束する。iDefenseやTippingPointは、この分野の初期の企業であった。新たな企業も参入しており、その例としてHackerOneがあり、同社は 最近、ベンチャーキャピタルから2,500万ドルを調達した。
バグ報奨金は、ゼロデイ問題に対する新たな解決策である。すなわち、システムをハッキングしないよう人々に金を支払うのである。代わりに、その人々が自らのスキルを使って脆弱性を発見し開示するよう報酬を支払い、ソフトウェアメーカーがそれを修正できるようにすることで、全体的なサイバーセキュリティを向上させる。
バグ報奨金プログラムを通じて支払われる金額は、かなりの規模になることがある。すべての市場において、 価格は通常、バグの種類と、ハッキングに利用される可能性によって決まる傾向がある。しかし、 白市場における価格は、黒市場における価格ほど高くなることは通常ない、また価格がゼロデイ攻撃の被害者に生じる損失に近づくこともない。
ゼロデイを政府が備蓄することのリスク
世界の灰色市場でゼロデイを購入している政府機関は多いが、購入したバグをどのように扱うかについて、明示的な政策方針を持つ国はほとんど存在しない。
米国では、ゼロデイの開示に関する公式政策の一部の詳細が公表されている。元NSA長官のKeith Alexanderは、同機関がゼロデイを「防御のため、…攻撃目的ではなく」として利用していると述べた。バラク・オバマ大統領の 見解は、側近によると、「国家安全保障局がインターネットセキュリティの重大な欠陥を発見した場合」、「ほとんどの状況においては、それらを公表すべきであり、欠陥が悪用されうるよう黙っておくのではない」とするものである。ただし、明確な国家安全保障または法執行上の必要性がある場合には、広範な例外が設けられている。
「国家安全保障」という表現の使用は、いかなるゼロデイも差し控える政策が、当該ソフトウェアのすべてのユーザー（今日の世界では企業、政府機関、個人を含む）のセキュリティを、ハッキングされるさらなるリスクに実質的にさらすことを考えると奇妙である。
米国は、ゼロデイ開示に関する政策を説明する点で、他のすべての政府よりも一歩進んでいることは評価に値する。オーストラリア、中国、ロシア、英国は、ゼロデイに対する立場をまったく公表していない。
こうした慣行、そしてそれを許容する、しばしば不透明な政策の結果は深刻である。政府機関がゼロデイに関する知見を購入して備蓄すると、別の悪意ある個人や組織が同じ脆弱性を発見（または購入）し、悪用しないという保証はどこにもない。
ゼロデイに関する知見を差し控えることで、政府機関はすべてのソフトウェアユーザーを、宙吊りのリスク状態に置いている。このリスクの範囲は世界的であり、問題のソフトウェアやプラットフォームは数十億人に利用されているからである。
代替案はあるのか？
ゼロデイを備蓄する政策と、それがもたらすリスクに代わり、どのような別の政策がありうるだろうか。
ゼロデイの発見または購入に対する義務的な開示、または より厳格な監督は、現状に対する明白な国内的代替策である。国際レベルでは、「 Wassenaar Arrangementを通じてゼロデイの輸出管理を調和させるための自発的な共同行動」が、現在見直し中であることも相まって、もう一つの有力な方向性と見なされている。この協定は、潜在的な軍事転用が可能な兵器や技術の輸出入を管理するために設計された。
コンピュータセキュリティアナリストであり、リスク管理の専門家でもある Dan Geer は、ゼロデイの国際市場において米国政府が他のすべての買い手を（10倍の額で）上回る入札をすべきだと提案しており、その条件として、バグが「疎であり、密ではない」であることを挙げている（すなわち、問題のソフトウェアにはバグが多くではなく少ない）。
NSAがゼロデイに年間2,500万ドルを支出する場合、Geer氏の計画の下では、これは少なくとも2億5,000万ドルに増加することになる。NSAの予算は年間少なくとも100億ドルであり、そのうち 2013年に12億ドル が攻撃的サイバー能力に費やされた（言い換えれば、国家支援によるハッキングである）。
これらの予算規模を考えると、Geer氏の提案は財政的には可能であるが、公式政策の重大な転換を必要とする。その第一歩は、ソフトウェアメーカーがパッチを適用できるよう、すべてのバグを直ちに開示することを義務付けることである。
根本原因に取り組む
政府が本当にゼロデイ脆弱性の問題に真剣に取り組むつもりであれば、問題の根本原因に取り組むことを検討するかもしれない。すなわち、バグのあるコードについて、ソフトウェアメーカーに責任を課すことである。
1980年代以降、ソフトウェアメーカーの一般的な慣行は、
「patch and pray」として知られている。要するに、ソフトウェアメーカーは製品を急いで市場に出し、リリース前に追加のテストやバグ（ゼロデイを含む）のパッチ適用に時間と資源を投じる代わりに、脆弱性のパッチは後からリリースすることを選ぶのである。
経済的な論理は単純である。出荷は売上と収益に等しい。テストやバグ修正のためにリリースを遅らせることは、コストを増加させる。欠陥のあるソフトウェアによる損失はソフトウェアメーカーではなくユーザーが負担することを考えると、 出荷前にバグを修正するインセンティブはソフトウェアメーカーにはほとんどない。壊れたものの代償を支払わなくてよいとき、「move fast and break things」とすることは容易である。
さらに事態を悪化させるのは、ユーザーが必ずしも速やかにソフトウェアを更新するとは限らないことである。これが彼らにとって唯一の防御手段であるにもかかわらずである。その結果、脆弱性は発見され、パッチが提供されてから何年も残存しうる。
欠陥のあるソフトウェアによる損失について、ソフトウェアメーカーに責任を負わせれば、こうしたインセンティブは完全に変わるだろう。バグを最小化してユーザーを保護する必要性と、イノベーションを阻害しないことのバランスを取る方法を見つけるため、多くのアプローチが検討されうる。
欠陥のある製品に対してソフトウェアメーカーにどのような形の責任を課すにしても、大きな政治的意志が必要となるだろう 、特に現在の提案が逆の方向を推し進めている状況では。しかし、適切に行われれば、ソフトウェアメーカーに対し、ソフトウェアのバグ数を減らすためのより厳格な措置を採用する強いインセンティブを生み出すだろう。これは、数十億人のソフトウェアユーザーのサイバーセキュリティを大きく押し上げることになる。
サイバーセキュリティ政策のパラドックスは続く
政府当局は、サイバーセキュリティの強化のためにできる限りのことをしていると主張している。ゼロデイは、個人、政府機関、企業のサイバーセキュリティにとって深刻な脅威である。
しかし、政府機関はゼロデイの最大の買い手である。本当にサイバーセキュリティに真剣であるなら、なぜこれらの政府機関は、自ら発見または購入したゼロデイの一部について、その知見を差し控えるのか。
これは、現在のサイバーセキュリティ政策の パラドックスを示す、もう一つの例である。サイバーセキュリティの強化を任務とする政府機関が、正反対の結果をもたらす活動を行っているのだ。
発見または購入したすべてのゼロデイを開示するという明確な政策は、国際的なサイバーセキュリティの強化に向けた大きな前進となるだろう。さらに望ましいのは、欠陥のあるソフトウェアに起因する損失について、ソフトウェアメーカーに一定の責任を割り当てることで、問題の根本に取り組む政策である。
欠陥のあるソフトウェア（ゼロデイを含む）の問題に取り組むための政治的意志が結集されるまで、ソフトウェアユーザーが自らを守るためにできる最善のことは、残念ながら、ソフトウェアメーカーの方針に従うこと、すなわち「patch and pray」である。
本記事はもともと The Conversationに掲載されたものである。こちらの 原文記事を参照されたい。掲載は、世界経済フォーラムによる見解の支持を意味するものではない。
Agendaの最新情報を追うには、 週刊ニュースレターを購読してください。
著者： Benjamin Dean は、School of International and Public Affairsにおけるインターネットガバナンスおよびサイバーセキュリティのフェローであり、所属先は Columbia Universityである。
画像：虫眼鏡がコンピュータ画面の前にかざされている。REUTERS/Pawel Kopczynski.
