ベスト・オブ・バックドア・フェイル
マイクロソフトのデータベースハック
2021年8月に起きたMicrosoftのデータベースハックは、「想像しうる最悪のクラウドの脆弱性」の一つと評されました。セキュリティ専門家は、Microsoft Azureのインフラに脆弱性（内蔵型バックドアではない）を発見し、数千人のAzure顧客のデータを修正・削除するためのバックドアアクセスを可能にしました。セキュリティ会社は、この脆弱性を利用して、希望するあらゆる顧客データベースにアクセスすることができました。
Microsoft Exchangeのハッキング
今年の初め、顧客に悪い知らせを発表しなければならなかったのは、やはりマイクロソフトでした。2021年1月、複数のゼロデイエクスプロイトがマイクロソフトに報告され、悪意のある攻撃者がMicrosoft Exchangeサーバにリモートアクセスできるようになりました。しかし、パッチが適用されていないExchangeサーバーは、依然として攻撃を受けやすい状態にあります。この脆弱性を経由して企業のメールシステムが狙われ、“感染症の研究者、法律事務所、高等教育機関、防衛請負業者、政策シンクタンク、NGOなど、さまざまな業界の情報が流出しました。“
意図的に組み込まれたバックドア
オンライン上で悪意ある攻撃者のバックドアとして機能するこのような脆弱性とは別に、意図的に組み込まれたバックドアもあります。これは、企業がバックドアを作らなければ簡単に防ぐことができた最悪のケースです。
しかし、シークレットサービスはこのようなバックドアを喜んでスパイ活動に利用したり、以下の事例に見られるように、企業にバックドアを組み込むよう積極的に圧力をかけたりしている。
おそらく誰もが覚えているのは、CIA（以前はBNDも）が他国の秘密通信を監視するために所有していたスイスのCrypto AGの有名なケースだろう。この会社は、すべての通信が安全に暗号化されることを約束して、特に世界中の政府に安全な通信ツールを販売することに成功しました。実際、CIAは、Crypto AG製品を使用している政府の秘密通信を盗聴することができたのです。
また、ファーウェイは、中国政府がファーウェイのすべての顧客をスパイできるようにバックドアを設置していると繰り返し非難されています。ファーウェイは、現在世界中で行われている5Gプロジェクトにおいて重要な役割を担っているため、この件については大いに議論されています。
しかし、意図的にバックドアを組み込んでいることで最も有名なのはNSAです。NSAは、いくつかの有名なバックドアを失敗させた責任者であり、米国のハイテク企業に協力するよう圧力をかけ続けています。
NSAバックドア
Juniperバックドアの失敗
最もよく知られているバックドアの失敗のひとつは、ジュニパーネットワークスによるものだ。2017年、暗号学者とセキュリティ研究者は、注目を集めた暗号犯罪を記録しましたが、これはジュニパー自身がバックドアをビルトインしていたからこそ可能だったのです。2008年、ジュニパー・ハブは自社のOS「ScreenOS」にバックドアを組み込み、Qと呼ばれる内部パラメータがわかれば、デバイスの暗号化されたVPNトラフィック全体を読み取ることができるようにした。これは、いわゆる「NOBUS（Nobody but us）」と呼ばれるバックドアでした。
そして2012年、未知のハッカーがジュニパーのネットワークに侵入。彼らは、ScreenOSのソースコードを変更し、そこにあるQというパラメータを変更することに成功したようです。彼らは、既存のバックドアのロックを変更しただけでした。つまり、暗号化されたVPNデータを他人が平文で読むことができてしまったのです。
この内蔵バックドアを誰が乗っ取ったのかは、今のところわかっていない。ジュニパー自身も、NOBUSバックドアの恥ずかしい収用に気づいたのは3年後で、2015年12月に慌てて緊急アップデートで対応した。
RSA社と乱数生成器
セキュリティ企業のRSAは、乱数生成器Dual Elliptic Curve（Dual_EC_DRBG）を暗号ライブラリBSafeに含めたことで、NSAから1,000万米ドルを受け取った。この1,000万ドルはうまく投資されました。RSAは何年にもわたって、このバックドア付きの暗号ライブラリを販売し、顧客はそれを自社製品に組み込んでいたのです。
さらにRSAは、実際には壊れていることがわかっているDual_EC_DRBGが、NIST、ANSI、ISOのオープンスタンダードに含まれていることを確認しました。その一部始終は、2013年にエドワード・スノーデンが公開したNSAの内部文書によって明らかになりました。
グーグルの中国人ハッカー
2010年、グーグルは自社の電子メールサービスGmailにハッカーが侵入したことを認めざるを得ませんでした。彼らが政治的使命を帯びた中国のハッカーであることは、かなり確かなことです。あまり知られていないのは、このハッカーたちがGmailアカウントにアクセスするために、グーグルのネットワーク上でも簡単には利用できない特殊な方法を使っていたことです。彼らは、政府が合法的に電子メールにアクセスできるように、Googleが法執行機関のためだけに作ったバックドア、いわゆる合法的傍受を利用したのです。
暗号化バックドアは脆弱性
この短いまとめは、バックドアの失敗例をまとめたもので、悪用されているバックドアはまだまだあると思いますが、ウェブ上で自分自身や機密データを守るためには、強力な保護ツールが必要であることを示しています。
このバックドアの失敗例のまとめは、「善人だけ」のためのバックドアは単純に不可能であるという事実を立証しています。
バックドアは、たとえ法執行機関が犯罪者を捕まえるためだけに使用するものであったとしても、オンライン上のあらゆる犯罪者に広く門戸を開き、私たちを複数の脅威に対して脆弱にしてしまいます。そのため、バックドアは他の脆弱性と同様に考えなければなりません。暗号化されたバックドアは、セキュリティ上の重大なリスクであり、決して許されるものではないことを理解しなければなりません。
政治家は、現在進行中の暗号戦争でよく行われているような監視強化を求めるのではなく、ウェブ上のすべての人のセキュリティを擁護しなければなりません。