フロイント氏、SSHの性能異常を追跡し複数年にわたるバックドアを発見（インタビュー）

2024年4月のNPR「All Things Considered」のインタビューで、Microsoftのソフトウェアエンジニア、アンドレス・フロイント氏は、オープンソースソフトウェアの日常的なテストを実行していたところ、奇妙なことに気づいたと語る。コンピューターを遠隔操作するために管理者が使うツールであるSSHが、誰もログインを許可されていないマシン上で「リソースを使いすぎているようだった」という。その症状は「自分に対して、予定していた作業から切り替えて調査しない理由をうまく説明できないほど奇妙だった」と述べている。

さらに深く調べたところ、同氏は政府、企業、銀行のサーバーを支えるオープンソースソフトウェアに注入されたコードを発見した。それは、誰かが許可なくログインできるようにするバックドアだった。そのアクセス権を持つ者は、銀行システムの停止、産業用制御の妨害、データの窃取など、ほぼ何でもできると同氏は言う。フロイント氏は、この注入には複数年の作業が必要で、一個人では対応できないほどの労力がかかったと振り返る。

気づきは徐々に訪れたと同氏は言う。自分が間違っているに違いないと考え続け、その後また、本当かもしれないという認識に戻る、ということを繰り返した。同氏が警鐘を鳴らすと、開発者たちが次々と加わり、その欠陥は修正された。あるサイバーセキュリティの専門家は「世界はアンドレスに無制限の無料ビールを負っている」と述べた。

フロイント氏にとって、より深い問題は構造的なものだ。侵害されたコンポーネントは、極めて広く使われていたにもかかわらず、20年近くにわたって無給の1人によって保守されていた。「ここでは不合理なほど運が良かったのであり、今後それを当てにするわけにはいかない」と同氏は言う。

このバックドアはセキュリティツールによってではなく、それ自体の副作用、すなわちSSHログインごとの余分なCPU使用によって発見された。あるエンジニアがそれを軽視することを拒んだのだ。

発見のきっかけは、セキュリティレビューやスキャンではなく、バックドア自体の副作用、すなわちSSHログイン時の余分なリソース使用だった。

フロイント氏の規律が違いを生んだ。その症状は無視できるほど小さかったが、同氏は計画全体を切り替えてそれを追跡した。

同氏自身の説明によれば、この発見は運に依存していた。だからこそ同氏は、Heartbleedの後に行われたように、メンテナーの資金調達が変わらなければならないと主張している。

説明のつかない小さな異常は、追跡するのは安く、無視するのは高くつく。そしてインフラストラクチャソフトウェアは、20年間にわたって無給のメンテナー1人に依存すべきではない。

フロイント氏が報告すると、コミュニティは素早く動いた。人々が次々と加わり、欠陥は修正され、同氏は「インターネットの英雄」となった。インタビューで同氏は、次に何が来るべきかのモデルとしてHeartbleedを挙げている。あのOpenSSLの脆弱性の後、企業はメンテナーに報酬を支払い始め、セキュリティが実際に改善できるようになった。「そしてそれはもっと広く行われる必要がある」と述べている。