意外な盲点？アプリケーションを踏み台にしたソフトフォンのウイルス感染

　このところ、ダウンロードしたソフトウェアにより、ピアトゥピア（peer to peer）で使えるインターネット電話がちょっとした話題だ。たとえばスカイプ（Skype）などもその例であるが、こうしたソフトフォンは、手持ちのPCにダウンロードしさえすれば、いつでもどこでも同じ環境をもったユーザーとの間で、インターネットによる無料電話を可能にしてくれる。メリットは、無料というほかに、ピアトゥピアなるがゆえにサーバーなしで使えるといったうま味もある。こうしたことから、日常の「電話」として利用するユーザーも登場してきており、キャリアによっては、今後の脅威になるのではないか、といった見方をしているところもあるようだ。しかし、無料かつ手軽に利用できる極めて便利なピアトゥピアのソフトフォンも、とくにウイルス感染という側面からみた場合、警鐘を促しその対策ソリューションによる武装を勧めるベンダもある。

■ 通話だけではない「電話」の役割

　そもそも「電話」というサービスが提供する機能は、通話という単に音声の伝送だけにはとどまらない。緊急時の通報といったライフラインとしての役割を確保しておくことも重要である。タムラ製作所ブロードコム事業部の松本信幸氏は「ピアトゥピアのソフトフォンは、通話という点ではまぎれもなく実用に耐えうる。だが、安全性という点からみて、ウイルス感染を無視できない」と指摘する。こうしたソフトフォンは、専用電話機を使用するのではなく、前記のようにインターネットからダウンロードして、手持ちのPCにインストールする。そして、そのPCにマイクロフォンおよびイヤホンを接続して使うようになっている。したがって、PCなるがゆえにひょっとしたらウイルス感染の可能性もあり、そうなったとき緊急時の通報として果たして機能してくれるのか、といったような懸念もうまれてくるのである。

■ ネットワーク経由でウイルスは拡散する

　PCにおけるウイルスの動作をおさらいしてみよう。これは、利用者が本来目的としていない動作を強制的に行わせるものだ。感染経路は、かつてはフロッピーディスクなどを介する経路が多かったが、いまでは電子メールに添付されてくる経路が主流となっている。また最近では、Sasser（サッサー）のように、Windowsのセキュリティホールを攻撃する際、直接IPアドレスを用いて不特定多数に対してランダムアクセスし、ターゲットを見つけたらピアトゥピアで感染するようなタイプもみられるようになってきているのである。こうしたウイルス感染への対応は、いまはその時点で最新ワクチンによる定期的なウイルスチェックしかなく、あとは面倒でもひんぱんにサービスパックの更新するくらいしかないであろう。

■ ウイルスはこうしてソフトフォンに感染する

図1：IP電話の陰に隠れてウイルスは感染活動を行う

　松本氏は「いま仮に自分がクラッカーであるとしたら、ソフトフォンを攻撃するウイルスはこうしてつくるだろう」とちょっとこわい話をしてくれた。「実はソフトフォンにおいて懸念されるウイルスは、Sasserのように直接IPアドレスを用いてピアトゥピアで感染していくタイプ。Sasserはランダムアクセスに、現在おかれた環境と似通った環境のPCを探し出して感染する。したがって効率は非常に悪いのだが、ソフトフォンに寄生できるようなウイルスをつくれば、アプリケーションに感染先を教えてもらうことが可能となる。こうすれば、たとえば災害など何かのトリガで、通話を切断できなくするようなウイルスをばらまきトラフィックオーバーを起こさせることはいとも簡単」。こうしてウイルスは、アプリケーションを踏み台にして感染していき、電話をかければかけるほどその被害がどんどん広がっていくというシナリオが出来上がるわけだ（図1）。感染当初の発病パターンはひたすら自分を増殖させるといった行動をとるが、松本氏のいうように、さらにネットワークに強大な負荷をかけるようにでもしておくと、何か事件が起こったとき、それを引き金にしてネットワークをいっせいにダウンさせるような過激なことも十分可能という。

　こうしたソフトフォンでも、セキュリティは万全といわれてはいる。「しかしそれは、あくまでも盗聴対策の一部、通信経路上の暗号化での話でしかない。したがって、ウイルスが暗号化前の情報をバックドアから送出してしまえば盗聴は可能だし、データを送出するネットワーク機器が、ウイルス感染していた場合は暗号化の鍵も一緒に送出してしまうことも起こりうるので、当然暗号は解読されてしまう危険性がある」と松本氏は警告する。

■ ウイルス迎撃のために考えられる方策

図2：ソフトフォンの安全性を確認する仕組み

　それでは、ソフトフォンにおけるウイルス迎撃対策はどうするのであろうか。一つには、余計なポートへのアクセスを制限するというシンプルな方法もあるが、松本氏はタムラ製作所で開発した方策を語ってくれた。「IP電話で通話しようとすると、まず通話2点間で音声を通すための接続を設定しなければならない。そしてこの接続設定のために必要な相手側のIPアドレス、ポート番号、使用するコーデックの種類、パケットの送出間隔などの情報がやりとりされる。そこでウイルスを監視する場合、こうした接続の情報に基づいてパケットの送出間隔と、コーデックの種類からネットワークにかかってくる基本となる負荷を導きだす。たとえば、G.711コーデックのパケット送出間隔を20msとすると、ネットワークにかかってくる負荷はおおむね片道88kbpsである。もしウイルスが盗聴しようとした場合データを別のところへ送るので、同じような負荷がもう1つ作られる、つまり88kbps×2になるのである。そこで、内蔵したイーサリアルなどの監視ツールで帯域をチェックできるようにしておく。これがどうみても88kbps×2を定常的に超えていると、自分が予想もしていないようなところに送出されていることになり、異常と判断しアラームを出す」。もちろん、複数個所と同時に通信する会議端末使用時のように、自分が承知していれば、複数の通信があっても異常ではないという判断ができる。

　こうした対策は、サービス提供の段階でプロキシサーバーモデルもしくは最低限リダイレクトサーバーモデルを介在させるものであれば次のステップが実現できる。たとえば、プロキシサーバーから指定されたポートとIPアドレス以外はリジェクトさせる機能を端末側にもたせればいい。また万一ウイルスに感染していたら、そのサーバーを運用しているISPから該当する最適なワクチンをダウンロードして駆除するのである。こうした機能は、端末側にファーム化して搭載させればいい（図2）。

■ ピアトゥピアのソフトフォンは既存の電話に置き換わるものではない

　ソフトフォンにおけるウイルス感染の被害には、主に2通り想定される。第1が、ネットワークに強大な負荷をかけてダウンさせたりして機器を使えなくさせてしまうといった、いわば愉快犯的な破壊系である。この種の発病は、まだ目にみえてくるからいいかもしれない。しかし問題なのは、盗聴してだまっているような、いわばトロイの木馬的な情報搾取系だ。この場合は、どれほど感染が広がってもほとんどみつけられないので、その被害たるや想像を絶することが想定される。こうした対策に向けて、上記のような秘策をタムラ製作所では開発したという。

　松本氏は「通常の電話では、いざ有事の場合は電気通信事業法によって発呼規制できる。あの阪神淡路大震災のときもそうだったし、年末年始のようなトラフィックオーバーが生ずると推測されるときもそうで、たとえば10回か20回に1回しかつながらないような設定にすることが法的に認められている。しかし現状のサーバークライアントモデルでないソフトフォンは、そうした規制がかけられないばかりか、有事に使用すべき通常の電話回線をウイルスの影響で妨害することさえ起こりうる。つまり、前述のように電話を切断できないようなウイルスを流してトラフイックを増大させるのである。それだけに、ISPなどの管理下でリソース管理した方がベターなのかもしれない。また安全確保のためには、有償であってもISPからセキュリティサービスの提供を受け、ユーザーは端末にこれを利用するのが現実的ではないか。まちがえてはならないのは、こうしたソフトフォンは少なくとも現時点では現在の電話に置き換わるべきものではなく、仲間うちのインターホン的な利用法、乱暴な表現かもしれないがバーチャル井戸端会議程度の使い方にとどめるべきで、有事の際には使えなくしてしまうくらいの覚悟がないと、結局は重宝している利用者自身の首を絞めることにもなりかねない」と警鐘を鳴らしている。

■ ＵＲＬ
　株式会社タムラ製作所
　 http://www.tamura-ss.co.jp/

■ お問い合わせ先
　株式会社タムラ製作所
　コ－ポレ－ト戦略室　広報グル－プ：hanbai@tamura-ss.co.jp

（真実井宣崇）
2004/10/22 00:00

Enterprise Watch ホームページ