暗号化の内向きな議論はやめよう

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

私たちは暗号技術における自らの卓越性に心を奪われるあまり、データベース内に格納されている保存データの大半が暗号化されていないことを忘れています。

その一例として、Skyhighによる暗号化制御の分析では、クラウドサービスプロバイダーの81.8%がSSLまたはTLSを使用して転送中のデータを暗号化している一方、クラウドに保存されたデータを暗号化しているプロバイダーはわずか9.4%であることが明らかになりました。そのため、クラウドデータベースやAWS S3ストレージバケットへの無制限のアクセスを許可していることが判明する組織が増えている現状は、いつ悪夢を引き起こしてもおかしくありません。

現在のサイバー防御は、データ、コンピューターネットワーク、その他のデジタルシステムを保護する暗号アルゴリズムの解読には、最も強力な従来型スーパーコンピューターをもってしても、想像を絶するほど長い時間がかかるという事実に大きく依存しています。
出典：<https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>

この主張が正しいことに疑いの余地はありません。問題は、暗号化だけでは、データ、コンピューターネットワーク、その他のデジタルシステムを完全には保護できないことです。暗号化によって、転送中のデータは保護され、運が良ければ保存中のデータも保護されます。また、重要なシステムのアクセス制御を補強します。しかし実際には、「ネットワーク」や「システム」がデータを処理してロジックを実行するには、暗号化されていない平文のデータを参照できなければなりません。組織にとって、デジタル上ののぞき見行為よりも、保護されておらずパッチも適用されていないアプリケーションの方が大きなリスクとなります。

結局のところ、侵害が増加の一途をたどっているのはこのためです。転送中や保存中のデータが暗号化されていないからではなく、アプリケーションやAPIが暗号化されたままのデータを処理できないことが原因です。処理するには暗号化を解除する必要があり、その時点でデータが漏えいするおそれが生じます。そして、脆弱性は攻撃者を引き寄せます。

暗号化されていないデータとやり取りし、そのデータを処理するアプリケーションやAPIは、量子ベースの暗号技術が解読されることよりも、データのセキュリティとプライバシーにとって重大な脅威です。これが、アプリケーションやAPIが頻繁に標的となる理由の1つです。F5 Labsによる10年間の侵害分析では、「侵害の53%で、アプリケーションが最初の標的となっていました」。アプリケーションやAPIは、データに到達する最も容易な経路であるだけでなく、暗号化が進むデータパスに残された、データが暗号化されておらず、それを狙う者がすぐに利用できる数少ない場所の1つでもあります。

今日では、侵害が驚くほど頻繁に発生しているため、ほとんど感覚が麻痺しています。アプリケーションを介して、あるデータベースから数百万件ものレコードが盗み出されたというニュースを目にすることも、今や珍しくありません。HTTPではなくHTTPSを使用するなど、暗号化の利用を促す取り組みが進められているにもかかわらずです。また、データを「のぞき見」から守るために使用されるアルゴリズムや鍵長について、ブラウザーが暗号化標準を適用しているにもかかわらず、こうした侵害は発生しています。

今日の「サイバー防御」が暗号技術の強度に大きく依存しているのだとすれば、事態は深刻です。ニュースフィードや受信トレイを埋め尽くすデータ侵害やデータ流出を防ぐには、暗号技術の強度だけでは不十分だからです。データ損失につながる攻撃を認識して防ぐための強固な能力、そしてますます重要になるインテリジェンスが必要です。

暗号化された悪意のあるコードも、悪意があることに変わりはありません。暗号化された盗難認証情報がアプリケーションの認証システムに大量投入されても、盗難認証情報であることに変わりはありません。ミドルボックスを排除しても、脆弱なWebサーバーやアプリケーションサーバーでエクスプロイトが実行され、暗号化されていない価値あるデータへのアクセスを許す脅威はなくなりません。

強力な暗号化によって、アプリケーションやAPIの脆弱性を突く攻撃がデジタル経済の中枢にまで直接運ばれてしまうのであれば、暗号化を強化できることに満足しているだけでは不十分です。デジタル資産であるアプリケーションと、そのアクセス経路であるAPIを保護するには、強力な暗号技術に加え、インテリジェンス、アイデンティティ、攻撃検知を組み合わせた、より包括的なアプリケーション保護アプローチが必要です。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事