Symantec Security Response へ送りたかったメール

私どもアプリテック社は、Symantec 社が、日夜、クラッカーたちの攻撃と戦って Norton ユーザを守ろうとしていることに、敬意を表します。

ただし、もしも Symantec 社がクラッカー (ハッカーのような高い能力を使って悪意のあるプログラムなどを開発する人々) たちと戦うためには、誤認識もやむを得ないと考えているとしたら、それは大きな間違いです。たとえ、イラク戦争が正当化できるとしても、誤爆は許されるべきではありません。なぜなら、イラク戦争に関係ない人々の人命を奪うことになるからです。

幸い、Norton の SONAR の誤認識は、直接、人命を奪うことにならないかもしれません。しかし、私どもアプリテック社などのソフトウェアベンダのビジネス生命を奪うことになりかねません。この意味において、誤認識は許されるべきではありません。しかし、ソフトウェアには、バグがつきものですから、誤認識をゼロにすることは、無理かもしれません。たとえそうであっても、限りなくゼロに近づけることは可能であり、これを目指すことは非常に重要です。

実際、Symantec Security Response の方々は、誤認識を限りなくゼロに近づけることに取り組んでおられると思います。私どもアプリテック社は、このお仕事に敬意を表します。しかし、単に、あるソフトウェアの特定のバージョンに対してのみ、誤認識をしなければよいと考えて、この崇高なるお仕事をなさっているとしたら、それば大きな間違いです。そのソフトウェアのあらゆるバージョンに対して、誤認識をしないようにしていただかなくてはなりません。そうでないと、私どもは安心して頻繁にバージョンアップを行うことができないからです。この意味で、皆様は非常に難しい、手間のかかかる崇高なお仕事をなさっているのだと思います。

これは「釈迦に説法」かもしれませんが、Norton が特定のウイルスを見つけるときに、単にそのウイルスだけでなく、そのウイルスの別のバージョン、すなわち「そのウイルスの亜種」も見つけるように気をつけていると思います。これも非常に難しい、手間のかかかる仕事です。しかし、この方が、上述の崇高な仕事よりも簡単なのではないかと、私は考えております。

ここで、私どもの立場を述べておきます。私どもアプリテック社は、Norton の SONAR に誤認識された被害者です。しかも、この誤認識について述べると、SONAR は重大度が高レベルであると決めつけて、勝手に私どもの exe ファイルを削除してしまいます。たとえば、Google の GOOGLEUPDATE.EXE に対しては、Norton は重大度が中レベルだと言って、遮断しただけです (その実行を抑止しただけだと思います)。なぜ、私どもは、重大度が高レベルだ、などとこんな酷い仕打ちを受けなくてはならないのでしょうか。 Norton が出すメッセージを見ると、それは私ども弱い立場の会社をいじめているように見受けられます。

私どもでは、私どもの尊厳が傷つけられたと感じており、私どもの正当な権利が侵害されたと感じております。したがって、私どもの尊厳を回復するため、および正当なる権利を主張するために活動することにしています。

この活動の一環として、Symantec Security Response の方々が、私どものアプリケーションに対する誤認識を限りなくゼロに近づけるために、私どもが協力すべきことはしております。

しかし、Symantec Security Response の方々ができる仕事まで、私どもに押し付けられるとしたら、それは私どもの協力の範囲を超えるところですので、受け入れられません。それは Symantec 社の方々にやっていただきたいことだと考えております。私どもは被害者なのです。私どもは、Symantec で実施できるような余計な仕事までするつもりは毛頭ありません。

例えば、なぜ誤認識のレポートを日本語で Symantec Security Response の方々にすることができないのでしょうか。Norton は日本で売られているのですから、日本語の分かるスタッフを何人か Symantec Security Response に含めれば、この言語の問題は、すぐに解決できると思われます。また、私どもでは、Web ページの中に日本語でダウンロードの手順を書いております。Symantec Security Response の方々これを見ることにしていただければ、私どもはこの手順を英訳する必要がないはずです。この意味でも、日本語の分かるスタッフは必須です。

Symantec Security Response の方々は、「問題のファイルを送ってください」というようなことを言うことに慣れているようです。これは、ファイルをスキャンしてウイルスを見つける方式 (手配書方式) を採用している名残のように思われます。そもそも、static analysis 方式、すなわち手配書方式では、問題のファイルを送ってもらえさえすれば、Symantec Security Response の方々は、その問題を解決する仕事を進めることができたのでしょう。ですから、「問題のファイルを送ってください」というのが口癖になっているのかもしれません。

しかし、SONAR のような malware 検出手段が登場すると、問題のファイルだけでは、Symantec Security Response の方々は、その仕事を進めることができないのではないでしょうか。なぜなら、SONAR は、プログラムの行動 (behavior) を監視して、malware 検出手段するものだと思うからです。 SONAR は、単なる static analysis を行うものではなく、dynamic analysis を行うものだからです。ここでは、SONAR が malware を検出したという誤認識を再現させる方法が重要になります。Symantec Security Response の方々が誤認識を再現させる方法が分かれば、いや正確には、再現させることができれば、後は Symantec Security Response の方々の力によって、その問題を解決することができるでしょう。

なお、このためには日本語版の Windows など、Norton の動作環境の代表的なものは全て用意しておくなど、問題の再現を迅速に行える環境を用意しておくことが必要です。この意味でも、日本語などの主要言語の分かるスタッフを用意しておくことが重要だと思われます。

ちなみに、ソフトウェアの開発を行っている私ども ISV は、時として、バグ報告を受けることがあります。そんな場合には、「再現手段を教えてください」というのが私どもの応答になっています。再現手段が分かれば、いや実際に再現させることができれば、後は私どもの力によって、解決が図られることが目に見えているからです。そして、私どもでは、バグ報告をなさった方に、「再現させることができました」と第一報を送ることにしています。これは、ほどなく解決するであろうという朗報の意味をもつものです。

Symantec 社においても、少なくとも SONAR の問題については、Symantec Security Response の方々が、その問題を再現させることができたかどうかを、問題指摘者に報告するようにお願いいたします。この時点で、問題指摘者側の責任はなくなり、すなわち報告義務を果たしたことになり、後は、Symantec Security Response の方々が問題を解決するのを待てばよいというフェーズになったことが分かるからです。

ここで繰り返しになりますが、問題解決について、あるソフトウェアの特定のバージョンに対して、誤認識をしなければよいと考えるのではなく、そのソフトウェアのあらゆるバージョンに対して、誤認識をしないようにしていただかなくてはなりません。このためには、static analysis という手段だけで問題解決を図るのでなく、dynamic analysis の内容に踏み込んで、問題解決を図ることが重要です。なぜなら、SONAR は、dynamic analysis を行うものであり、その部分に問題があることもあるからです。

そもそも、SONAR は、どの程度効果のあるものでしょうか。また、SONAR を用いることで、誤認識が増えていることはないのでしょうか。どういうわけか Symantec 社は、この種のデータを示してくれないので、私には、SONAR の存在意義が理解できません。いや、もっと踏み込んで述べると SONAR を一般大衆に売るというのは、無謀なことだと考えます。

確かに、まだ名前がついていないウイルスなどの malware を見つける場合に、SONAR のような機能は有効だと思います。経験を積んだ警察官は、まだ手配書ができていなくても、不審者を一目で見つけ出して、職務質問などを行うことによって、実際に犯罪者の逮捕に結び付けることがあるようです。このような経験を積んだ警察官の役割の一部を SONAR が果たすということは、十分に考えられます。

しかし、経験を積んだ警察官といえども、不審者を見つけていきなり逮捕するというような無謀な行動はとらないはずです。誤認識というか、見当違いというか、そういうこともあるからです。一体、SONAR の能力は、経験を積んだ警察官をはるかに凌ぐものなのでしょうか。悪名高き人工知能のどのような発展によって、そのような高い能力を SONAR は獲得できたのでしょうか。本当に確実な判断能力をもつものなのか、はなはだ疑問です。

もっと謙虚に、SONAR の能力を評価すべきではないでしょうか。そして、たとえ SONAR が不審なプログラムを発見したとしても、何らかの確実な証拠がない段階では、次のようなメッセージにすべきではないでしょうか。「SONAR は、プログラム XXXX が不審で振る舞いをしているかもしれないことを発見しました。これを Symantec の YYYY 部署および XXXX の開発元に連絡して、白黒をはっきりさせることにご協力をするようにお願いいたします。なお、SONAR が誤っていた場合には、XXXX の開発元に深くお詫びするとともに、SONAR が誤った推測をしないように修正させていただきたいと思います。」 SONAR が、このようなものであり、このような位置づけにすれば、それはそれで役に立てることのできる立派なものだと言えそうです。

しかし、もしも、SONAR には確実な判断能力がないのにもかかわらず、
「SONAR がセキュリティリスク XXXX を検出しました。SONAR はセキュリティリスクを削除しました: XXXX。このコンピュータは安全です。」
などと言うようでしたら、それは XXXX に対する悪い風評を流す行為であり、XXXX の名誉を傷つけ、XXXX が動作する権利を奪うものだということになります。一体 SONAR は、このように断定的に第三者を悪く言うことができる権利をどこから得たのでしょうか。こんな無茶苦茶のことをするようでは、サイバーワールドは、セキュリティソフトベンダに支配される暗黒世界になりかねません。

もともとは、サイバーワールドがクラッカーたちに支配されないように戦っていたはずのセキュリティソフトベンダが、突然サイバーワールドを支配する権力者になるとしたら、それはこわい話です。

ここで、どのようにクラッカーたちと戦うべきか考えてみましょう。そのためには、
(a) クラッカーたちとの戦い
と
(b) Symantec 社の収益を高める行為
とを明確に区別することが必要です。

Symantec 社のトップマネージメントは、各四半期 (３ヵ月) ごとの収益などを高めるために、いろいろな策を打ち出すことでしょう。たとえば、誤認識の報告は、英語で直接、米国の Symantec 社に提出してもらうことにして、サポート部隊の負荷の軽減と報告の伝達の迅速化を図ろうと言うかもしれません。また、SONAR を開発することによって、セキュリティソフトにかかるトータルな開発費を低減させようというかもしれません。

ひょっとすると、短期的な視野では、これらは正しいかもしれませんが、少なくとも長期的にみれば、これらは明らかに誤りです。たとえば、上記のようなまずい策が出てきた場合は、それを実施したらどうなるのか、トップマネージメントに分からせることが、Symantec 社の従業員にとって重要です。Apple 社の iPhone 4 に電波問題があるのならば、それを Steven Jobs に知らせることが重要なのです。

SONAR の誤認識問題がどれだけ Symantec 社の評判を落とすものか、誤認識問題の解決のための Symantec 社の作業負荷がどれだけ増えるのか、そうしたことをトップマネージメントに分からせてください。Symantec 社のトップマネージメントが誤った道を選ばないようにガードしてください。これは Symantec 社の従業員の義務でもあります。

そして、ときには、
(b) Symantec 社の収益を高めるという発想ではなく、
(a) クラッカーたちとの戦いをどう進めるべきか
という観点から戦略を練ることも重要です。

たとえば、クラッカーたちとの戦いを支援するボランテアを組織して、そうした人々だけに新たな malware 発見のツールとして SONAR を提供して、そうした人々が新たな malware の第一発見者としての名誉を得られるようにするのもよいかもしれません。こうした人々は、SONAR が見つけたものは、単なる malware の候補 (容疑者) であって、慎重に調べないといけないということを十分に理解できるでしょうから、たとえ SONAR に誤認識があったとしても。これにより第三者の名誉を棄損することにはなりそうにありません。そもそも、新たな malware の第一発見者のつもりが、誤認識であったとしたら、その第一発見者を名乗った人は、汚名を着せられることになりますから、慎重に判断をすることになるでしょう。

なお、ここでは、SONAR は、まだ名前が付いていないような新たな malware を見つけたり、捕捉しそこなっていた亜種のウイルスを見つけたりする場合に有効だと捉えています。なぜなら、名前が付けられた malware は、Norton などが従来の手配書方式で対処することになるでしょうから、SONAR が活躍する必要はないと考えているからです。

アプリテック社内のミーティングにおいて、次のような意見があったことを、ここに記しておきます。

犯罪多発地帯に行ってみたいと思う人がいるように、ネットサーフィンで危険地帯を動き回る人もいる。そうした人の安全を守るツールとして、SONAR は役立つのかもしれない。すなわち、SONAR が誤認識をしてもかまわないから、危ないと思われるものを回避するモードがあってもよいかもしれない。ただし、第三者の名誉を損なうことのないように、メッセージの出し方には注意を払うことが必要である。すなわち、そのモードにおいては有用なソフトウェアの利用ができなくなることを利用者に知らせるメッセージにすべきである。すなわち、そのモードを利用することは、その利用者が損をする可能性があるのであるということであり、第三者の名誉を損なうことがなければ、そうした機能を提供することはかまわないだろう。 Internet Explorer の設定には、これに似たものがある。

世の中には、クラッカーたちもいますが、悪いことをしないハッカーたちもいますし、クラッカーたちとの戦いを支援したいと考えている人々もいます。そうした人々を巻き込んで、クラッカーたちとの戦いをすることが重要ではないでしょうか。ボランティアを動員するのです。

ここで、ボランティアは、
(a) クラッカーたちとの戦いのために働くのであって、
(b) Symantec 社の収益を高めるために働くのではない
ことに注意しなければなりません。たとえば、もしもホワイトリストに登録をすることが、 (a) のために有効だというのであれば、ボランティアを動員できるかもしれませんが、(b) のためであれば、ボランティアを動員することは無理でしょう。

Symantec 社などが横暴にも ISV のソフトウェアを誤認識して名誉を傷つけることがあるので、ISV は自衛手段として、ホワイトリストに自分のプログラムを登録して、誤認識されないようにすべきだ、という意見があります。この意見は、一見するとよい意見に見えるかもしれません。しかし、深く考えると、いろいろ問題があります。

第一の問題は、Symantec 社のホワイトリストに登録しても、Trend Micro 社の Virus Buster に誤認識されてしまうかもしれませんし、McAfee 社のセキュリティソフトに誤認識されてしまうかもしれません。 Symantec 社の Norton が特に誤認識が多いので、Symantec 社のホワイトリストだけに登録すれば実質的に問題がないというのであれば、それはそれで分かりやすいかもしれません (そうだとしても腑に落ちない点が残りますが)。しかし、(a) クラッカーたちとの戦いという観点からは、セキュリティソフトの各社共通のホワイトリストが望ましいでしょう。こうすれば、ISV などは１箇所に登録するだけで済むからです。 Symantec 社が、セキュリティソフトのリーディングカンパニーになるためには、各社共通のホワイトリストを推進する活動が望まれます。

第二の問題は、ホワイトリストをどのように活用するのか、明確に述べられていないことです。ホワイトリストに登録しても、誤認識されてしまうようでしたら、意味がありません。少なくとも、ホワイトリストに登録したソフトウェアに関しては、各セキュリティソフト会社が、各セキュリティソフトの Update を出す前に、ホワイトリスト中の全ソフトウェアをテストデータとして用いて、誤認識があるかどうかチェックしてほしいものです。こうしないと意味がありません。 Symantec 社は、ホワイトリストをどのように扱うのか、すなわちどのような義務を果たすのか、明確に表明し欲しいものです。Symantec 社は、ISV にホワイトリストへの登録を勧めているようですが、まずは自らの義務を明確に述べるべきです。そうでないと、ホワイトリストは (a) のためではなく、何らかの活動をしていることを示して時間をかせぐだけの (b) のためのもののように思われます。

なお、クラッカーが malware をホワイトリストに登録したらどうなるのか気になるかもしれません。これは問題ありません。なぜなら、自由に登録できるホワイトリストは、完全なホワイトリストではなく、malware を含んだものだと考えるべきだからです。こうしたホワイトリストは、セキュリティソフトのテストデータとして使うことができるものです。そして、こうしたテストの際に、ホワイトリスト中の malware を含んだソフトウェアは、ブラックリストに移動させればよいでしょう。それだけのことです。

第三の問題は、ホワイトリストの有効性です。従来の手配書方式の malware の検出は、いわばブラックリスト方式だと言えます。malware に一つ一つ名前を付けて、ブラックリストに載せて、そのリストのどれかと一致するものを検出するからです。世の中の malware の数は、数え方にもよりますが、数十万とか、数百万に及んでいるとのことです。(b) Symantec 社の収益を高めるという発想から、何とかしてセキュリティソフトの開発費を低減させたいと考えて、ホワイトリスト方式に至ったのかもしれません。いわく、これだけ malware の数が増えると、むしろ malware でない正しいソフトウェアの数の方が少ないだろう。したがって、これをホワイトリストに登録することで、セキュリティソフトの開発費を低減させることができるかもしれない。

この考えは、間違っています。なぜなら、malware でない正しいソフトウェアの数の方が、malware の数より多いからです。これは、正しいソフトウェアを開発している人々と malware を開発しているクラッカーの数とを比べてみれば分かることです。malware は、数え方によりますが、それぞれの亜種をそれぞれカウントに含めるために数十万とか、数百万になるのかもしれません。同様のカウント方法を正しいソフトウェアにも適用すると、各ビルドごとにカウントするようなものですから、莫大な数になることは明らかです。

こう考えると、ホワイトリストは何の役に立つのか、疑問ばかりが目立ちます。(a) クラッカーたちとの戦いのためという観点から、ホワイトリストの作成にボランティアを募るのは無理でしょう。ISV の自衛手段としても、上記の第二の問題が明確にならないと、意味が薄いといえそうです。

以上見てきたように、現状は、必ずしも「(a) クラッカーたちとの戦いのため」に有効なことがなされているわけではないようです。そこで、お願いですが、Symantec Security Response の皆様は、勇気をもって、(a) クラッカーたちとの戦いのために有効なことをなさってください。そうすれば、ボランティアを巻き込むことができますし、Symantec 社の評判もあがることでしょう。こうすることは、結果として、(b) Symantec 社の収益を高めるはずです。

その際に、くれぐれも、誤認識騒動で第三者の名誉を傷つけることのないようにお願いいたします。そして、(b) Symantec 社の収益を高めるという点を前面に出すことのないようにするのがよいでしょう。なぜなら (b) を前面に出すと、ボランティアを巻き込むことができないだけでなく、間違った方向に向かってしまいそうだからです。

以上、長々と書きましたが、Symantec Security Response の皆様におかれましては、ここに書いた正しい考えをもって、私どもに降りかかった誤認識問題を解決していただきたいと思います。