CODE BLUE2017 に参加してきました

森です。社内研修の一貫として、情報セキュリティ国際会議である「CODE BLUE2017」に参加してきました。参加メンバーは、飛松・井口・山崎、そして私の計4名です。 ※CODE BLUEについて詳しく知りたい方はこちら。研修を行うことになった経緯のひとつは、セキュリティ案件の増加です。昨今のサイバー犯罪は以前より巧みな手口となってきています。メディアでもセキュリティ関連の事件が多く報道されるようになりました。IT業界に関係のない方でも、事件を耳にすることが多くなったのではないでしょうか。これらの理由で案件が増えてきているのではないかと思います。また、弊社ではHP制作だけではなく、サーバー管理なども請け負っています。サーバー運用とセキュリティは切っても切り離せない関係です。より安全な運用をしていくためにも、セキュリティに精通しているエンジニアになる必要があります。当投稿では、「CODE BLUE2017」の簡単なご紹介と、私が聴講したセッション、勉強になったこと、今後の自身の課題や取り組みをお伝えしたいと思います。

Code blueについて

公式ホームページでは、以下のように説明しています。

CODE BLUEとは、世界トップクラスの情報セキュリティ専門家による最先端の講演と、国や言語の垣根を越えた情報交換・交流の機会を提供する国際会議です。欧米の著名な研究者を招へいし、最新の成果を共有するとともに、日本をはじめとするアジア各国の優れた研究者を発掘し、その研究成果を世界へと発信していきます。 医療の世界で使われるCODE BLUEという言葉は、「緊急事態発生」や「関係者招集」を意味します。インターネットの世界においても、IoT（Internet of Things）の時代を迎えるなど、セキュリティ対策の重要性が高まっており、世界各国の研究者を招集し、事態への対処や解決策を共に考える場が必要とされています。 CODE BLUEは国際的なコミュティ形成の場となることを目的にするとともに、CODE（技術）によってBLUE（海）を超えて人と人をつなぎ、よりよいインターネットの世界作りに貢献していきます。

また、各講演のスケジュールはこちらをご覧ください。

聴講した講演の紹介

聴講した講演の一覧です。気になる方は、各聴講の詳細リンクをご覧ください。 1日目

2日目

過激化するサイバー犯罪情勢

「CODE BLUE」の説明でもセキュリティ対策の重要性を言及している通り、昨今のサイバー犯罪情勢はより過激になってきています。ある程度サイバー犯罪について知っているつもりだったのですが、「！？」となるような情報もあり、驚いてしまう講演がありました。 1つは、人工衛星のコントロールが奪われた事件です。この時は何をするでもなく、コントロールを奪われた形跡だけがあり、後から発覚したそうです。「ぞくっ」としますよね。その気になれば、墜落させることもできたのではないでしょうか。 2つ目は、ウクライナでの発電所のコントロールが奪われた事件です。犯人は、発電所の制御用PCに侵入し、自由に操作できる状況だったそうです。この時は特に何もなかったのですが、少し前にも同様の事件があり、その際は1時間程広範囲に渡る停電が起こったそうです。上記2つに共通する部分は、周到に準備を行ったのではないかという点です。またPCスキル以外にも、専門的な知識も必要です。サイバー犯罪者のスキルが上がってきており、より大きな事件が起きることが懸念されます。また、自分のPCの中だけ、あるサービスの中だけの問題でもなくなってきているように感じました。サイバー攻撃によって、電気が止まれば、電車が動かなくなることもありますし、医療施設が機能しなくなることも想像できます。私が上記の犯罪を阻止するのは難しいですが、セキュリティに対する知見や技術を高め、サイバー犯罪に利用されないようにすることは可能です。より安全性の高いサービスを提供していけるようになる必要があると思いました。

「機能を拡張する」

これは、最後の講演のスピーカーであるジョージ・ホッツ氏がJailbreakについて説明した言葉です。少しiPhoneに詳しい方であれば、Jailbreakをご存知かと思います。簡単に説明するとJailbreakはiPhoneをハックして、通常はダウンロードできないアプリケーションをダウンロード可能にするといった制限を意図的に外すことができるようにすることです。ジョージ・ホッツ氏は、このJailbreakのことを「機能を拡張すること」と説明しました。この時、彼らは面白半分で脆弱性を見つけ告発してやろうと思っているのではなく、自分なりの正義を貫いているのだろうと漠然と思いました。というのも、色んな製品には、各供給者の都合で、制限をかけていたりしますよね。（ライバル会社の製品は使えないとか…）そんなことせずに、もっとオープンになって協力し合えばより良いものを提供することが出来るのではないでしょうか。それを行動に移しているのが、ハッカーの人たちだなと漠然と思いました。現在の彼は、オープンソースによる車の自動運転化を目指しています。これも車に対しての「機能拡張」ですよね。また、彼の自動運転化が実現すれば、メーカー問わず対応することができるそうです。（いくつかの条件あり）トヨタでは自動運転AIに多額の予算を投じているので、驚くべき差です。（彼は、最初のプロトタイプを一人で、たったの1ヶ月で作成したようです） iOSをご利用の方ならご存知のApp Store。実はこれ、ハッカーによって当たり前となったサービスのひとつだそうです。自動運転化も同じように当たり前になる時がそろそろ来るのかもしれません。自動運転化は、一部の人に必要な機能ではなく、社会全体で必要な技術です。各会社間で壁を作らず、ハッカーとも協力して、オープンな取り組みで進めていけば、より良いものができるような気がしています。

脆弱性と法

ITセキュリティの専門職ではなくても、IT業界に関わっている身として、セキュリティとは切っても切り離せない関係です。学生の講演だったのですが、脆弱性と法律について講演された方がいました。セキュリティ関連の事件だと、個人情報が流失した、などの事件がありますよね。こういった場合の刑罰などについて講演されていました。この講演を聴いて、改めてセキュリティへの意識を高めようと思いました。今までも管理しているサーバーに対してのセキュリティ対策は行っていました。しかし、仮にこの対策に不備があり、何か事件に発展した場合に、法で罰せられる可能性があることについて意識したことはあまりありませんでした。特にHPなどのWeb制作のみに関わっている人には、同じような人も多いのではないでしょうか。法律に詳しいというわけではないですが、少なくとも自分に関わりのある刑罰などについては理解した上で、サーバー運用などをしていく必要があると思いました。

今後の課題・取り組み

今回2日間に渡り、大変貴重な経験をすることができました。多くの講演での、技術的な詳細部分は、正直に言うと理解することは難しかったです。ですが、脆弱性に対する解決のアプローチや、脆弱性を発見した時の対応（他のアプリケーションにも同様の問題があるのではないか？と疑問に思うなど）を学ぶことが出来、大変良かったと思います。もちろん、自分の中でのセキュリティ対策への関心の向上に加え、エンジニアとしての在り方を考えさせられる機会となりました。

今後の課題

セキュリティ対策への関心が向上しただけでは、何も解決できません。まずは、サイバー犯罪情勢や、手口を少しずつ理解していこうと思います。

今後の取り組み

初めから高度な技術を身につけることはできないと思っています。まずは、案件でもよく関わることの多い、Webアプリケーション関連のセキュリティ対策について、学んでいこうと思っています。セキュリティ対策を学ぶと同時に、様々な手口も理解していきたいと思います。多少はサイバー犯罪者の心理を理解できるかもしれません。また、セキュリティ対策にはPCなどのハードウェアについても精通している必要があります。PCを使うものとしても、どのような仕組みなのか、各パーツがどのような役割を果たしているのか、なども少しずつ学んでいこうと思っています。

まとめ

今回、参加するまでは、無知な自分がどこまで理解し、学ぶことができるのかとても不安な部分がありました。しかし、結果的には想像以上のものを学べたと思っています。参加していなければ、自分なりのエンジニアとしての在り方を意識することもなかったでしょう。 IoT業界が今後もより活発になってくる今日、更にセキュリティ対策の重要性が高まってくると思います。 IT業界に関わる身として、責任をもって安全なサービスを提供できるようになるためにも、学ぶ姿勢を常に持っていきたいと思います。