ブラウザがOSくらいに重要に

　シマンテックが、ノートン・アンチウィルス2008の発表を行った。ノートン360と同様、1つのライセンスで3台のPCにインストールできるようになった。これなら価格的にも他社ツールに負けていない。

　発表会のなかでの説明で、ここ最近、とくにWebブラウザを守ることに注力しているという話があった。AjaxなどでWebブラウザだけでさまざまなことができるようになっており、Webサイトにアクセスしただけで不正コードを実行するような脅威が増えているとか。

　これに対して、怪しいサイトにはアクセスしないというのはもちろんなのだが、正規サイトに密かに不正コードが挿入されていて、知らぬ間にマルウェ アに感染してしまう可能性があるとのこと。実際、2007年のスーパーボールのサイトがハッキングされ、キーロガーが組み込まれ数千人が感染してしまった という事例が報告されていた。

　ということで、ノートン・アンチウィルス2008では、ブラウザを攻撃から防御する機能を強化したとのことだ。これは、Webブラウザがなんでも できるようになり、OSと同じくらいのレベルで守るべき対象になっているということ。このあたりは、ノートンが他社より先行している部分だとの発言もあっ た。

　たしかに、日常的なPCの利用の大部分は、Webブラウザ上の作業となってきている。メーラーも使うけど、GmailなどブラウザのWebメール での利用もそれなりに使っているし、スケジュール管理もWebブラウザから行っているなんていう人も多そうだ。ワープロや表計算だっていまはブラウザ上で できる。自分の作業だと、テキストエディタでの文章書き以外は、ほとんどブラウザだけですませられそうだ。

　こうなると、OSがどれでもあまり関係がない。さらに、ローカルにデータを保存しないのならば、PCが変わっても利用環境はほとんど変化しないこ とになる。このWebブラウザ利用頻度の増大傾向は、今後さらに強まっていくことだろう。OSの機能で優位性を出しビジネスを行っていくのは、クライアン ト環境では今後かなり難しくなっていくのかもしれない。

次の頭痛の種はウィジェット――Finjanの報告書から

Finjanによると、VistaにプリインストールされたウィジェットやiGoogleに用意されているウィジェットはユーザーを危険にさらす恐れがあるという。

　最近の調査によると、ウィジェット（時計や電卓などのツールをデスクトップに並べることができる遊び感覚のグラフィカルな小型アプリケーション）はどれもセキュリティ上の問題を抱えており、新たなマルウェアの波をユーザーのシステムに招き入れようとしているという。

　これらのアプリケーションのセキュリティホールは既に明らかになっている。8月の月例パッチで公開されたMicrosoftのMS07-048ア ドバイザリは、Vistaの「Feed Headlines」ガジェットの脆弱性に対処した。この脆弱性は、悪質なRSSフィードやリンクを呼び込む可能性があるというもの。カリフォルニア州ク パティーノに本社を置くAppleも6月、自社のブラウザエンジンであるWebKitにパッチを施した。WebKitはSafari用のエンジンとしてだ けでなく、Dashboard用のエンジンとしても利用されている。Dashboardは、気象情報、株価、試合経過などのリアルタイム情報を提供する ウィジェットセットである。

　カリフォルニア州サンノゼに本社を置くセキュリティ専門企業のFinjanの報告によると、VistaなどのOS、サードパーティーのアプリケー ション、Webウィジェットなどさまざまなウィジェット環境において、ウィジェットやガジェットのセキュリティの欠陥を狙った新種の攻撃が差し迫ってお り、この騒乱を防止するにはセキュリティモデルを修正するしかないとしている。

　FinjanのMalicious Code Research Center（MCRC）は「Third Quarter Web Security Trends Report」（第3四半期Webセキュリティトレンド報告書）の中で、「すべてのウィジェット環境はセキュリティモデルに不備があり、悪質なウィジェッ トの実行を許すことが分かった。さらにわれわれは、ウィジェット環境で（一部はデフォルトインストールとして）既に提供されている脆弱なウィジェットも発 見した。これらの例は明らかに、こういった小型アプリケーションではセキュリティに対する配慮が欠けていることを示している」と述べている。

　Finjanは以前からこの問題に取り組んでいる。ワシントン州レドモンドに本社を置くMicrosoftは、MS07-048パッチに対する同 社の貢献を認めている。また、Finjanの研究者であるアビブ・ラフ氏とイフタック・イーアン・アミット氏は8月5日、「Defcon」カンファレンス において「The Inherent Insecurity of Widgets and Gadgets」（ウィジェットとガジェットに固有のセキュリティ欠陥」と題された講演を行った。

　Finjanによると、ウィジェットとガジェットは、HTMLライクなプレゼンテーション／レンダリング手法やJavaScriptライクな APIなどのWebモデルが基本的なベースになっている。このため、これらがシステムにもたらす脆弱性の種類が、Web上に存在するものと類似していると いうのも驚くに当たらないという。しかしウィジェット／ガジェット用のエンジンは、その下にあるOSと非常に広範な接続機能を共有しているため、脅威は いっそう大きなものになる。少なくともこれは、OSネイティブのウィジェットやサードパーティーのウィジェットエンジンを利用するウィジェットについて当 てはまるとしている。

　「これにより、デフォルトでローカルリソースへの特権的アクセスを獲得できる強力な攻撃ベクター（媒介物）が提供される」とFinjanは指摘する。

　Finjanではこれまで、多数のセキュリティ上の弱点を発見した。その後で修正された弱点の1つが、Vistaのサイドバーの全バージョンにプ リインストールされている「Contacts」ウィジェットの脆弱性である。攻撃者は、不正な形式でありながら無害を装った連絡先情報を提供することによ り、ターゲットになったシステム上でその連絡先を表示させるだけで、そのマシン上でコードを実行することができる。その際、ユーザーによる操作は必要とさ れない。

　Microsoftの「Live.com」でも脆弱性が発見された。Live.comはカスタマイズ可能な新しいポータルで、RSSフィードの最 新の見出し、Hotmailアカウントの受信ボックスの内容の要約、地域の天気予報などを表示する。Live.comのRSSリーダーウィジェットには、 攻撃者からのデータフィードを通じて悪質なコマンドを招き入れるという脆弱性があった。攻撃者はこの欠陥を利用して、ユーザーアカウントから特権情報への アクセスを入手することにより、そのユーザーになりすまし、ブラウザを乗っ取ることができる。

　Yahoo!のウィジェットエンジンにもセキュリティの不備があったことが分かっている。「Konfabulator」エンジンをベースとする同 技術は、サードパーティーアプリケーションとしてインストールすることができ、ネイティブのウィジェットエンジンを備えていないOSにウィジェット機能を 提供する。Finjanによると、以前、Yahoo!のウィジェットエンジンでは「Contacts」ウィジェットに脆弱性があり、攻撃者は不正なスクリ プトを実行させることができたという。

　Finjanでは、ウィジェットやガジェットを通じた攻撃が増加すると予想している。iGoogle、Live.com、Yahoo!、Vista、Mac OS上で利用できるなど、ウィジェットやガジェットは広範に普及しているからだ。

　FinjanのMCRCでは、信頼できないサードパーティーのウィジェットは使わないこと、そしてシステムをコントロールする力を持った本格的な アプリケーションとしてウィジェットを扱うようユーザーにアドバイスしている。また、インタラクティブなウィジェットの使用に際しては注意が必要だとして いる。この種のウィジェットは、RSSや気象情報といった外部からのフィードを利用するため、信頼されたコンテンツに悪質なペイロード（コード）を便乗さ せるチャンスを攻撃者に与える可能性があるからだ。

　セキュリティポリシーに関しては、Finjanはウィジェットおよびウィジェットエンジンに対して厳格なポリシーを適用すべきだとしている。 「ウィジェットは重要な業務アプリケーションや生産性向上ツールとは見なされないため、従業員によるウィジェットやガジェットの利用は制限すべきだ」と MCRCは報告書に記している。またFinjanによると、ウィジェットやガジェットはゲートウェイでブロックすることにより、社内ネットワークから遮断 すべきだという。

　「ベンダーもユーザーも、あらゆゆるアプリケーション、たとえビジュアルなエンターテインメント用として作成された小さなアプリケーションであっても、セキュリティに対する潜在的脅威になるという認識を持たなければならない」とMCRCの報告書は指摘する。

　「ウィジェットやガジェットの脆弱性は、攻撃者がユーザーのマシンを支配することを可能にする。このため、ウィジェットやガジェットは、ユーザー がそのメリットを享受できるようにするために、セキュリティを念頭に置いて開発すべきである。この攻撃ベクターは業界に大きな影響を与える可能性があり、 企業は広範囲にわたる新たなセキュリティ懸念に早急に対処しなければならない。企業に必要なのは、こういった環境の変化に対処することができ、コードをリ アルタイムで分析し、これらの斬新な攻撃ベクターに含まれる悪質なコードを検出することによって万全の防御を提供するセキュリティソリューションだ」

Firefox関与のQuickTime脆弱性、US-CERTなどが危険度「高」と評価

　MozillaのFirefoxブラウザ経由でAppleのメディア再生ソフトQuickTimeの脆弱性を悪用するエクスプロイトコードが公開された問題で、米US-CERTや仏FrSIRTが正式なアドバイザリーを公開した。

　FrSIRTによると、QuickTimeリンク（.qtl）ファイルの「qtnext」パラメータ処理方法に設計上のエラーが存在する。影響を受けるのはQuickTimeのバージョン7.xで、深刻度は4段階で最大の「Critical」と評価している。

　US-CERTによれば、QuickTimeにリンクさせたファイルはWebページに組み込んで、ユーザーがそのページを訪れると自動的に立ち上 げるようにすることが可能。リモートの攻撃者がユーザーをだまして細工を施したQuickTimeファイルを開かせることにより、任意のコードを実行でき てしまう恐れがある。

　現在公開されているコンセプト実証コードは、Firefoxがデフォルトブラウザになっているシステムをターゲットとしているが、ほかのアプリケーションもこの脆弱性の影響を受けるという。

　Appleの公式パッチはまだリリースされていない。当面の回避策としてUS-CERTでは、Firefox拡張機能のNoScriptを使うなどしてQuickTimeムービーへのアクセスを制限する方法を紹介している。

ACCESS、携帯向けWebブラウザが4億台突破

　ACCESSは9月4日、携帯端末や情報家電向けのWebブラウザ「NetFront」の世界での累計搭載数が8月末で4億台を突破したと発表した。NetFrontは1996年に発売。搭載数が1億台を突破したのは2003年10月だった。

　2億台突破は2年後の2005年9月、3億台突破はその15カ月後の2006年11月だった。3億台から4億台までは9カ月しかかかっておらず、 成長ペースが上がっていることが分かる。1億台突破時に267機種だった搭載機種数は、今年8月末には1233機種まで拡大した。

　NetFrontの搭載は当初は携帯電話が中心だったが、デジタルテレビやセットトップボックス、カーナビなどにも搭載されるようになり、搭載数が膨らんだ。

Webアクセシビリティ診断機能を搭載した「やさしいブラウザ」が登場

インフォ・クリエイツはWebページの拡大表示や音声読み上げを行う「やさしいブラウザ」の最新版を公開。Webアクセシビリティの診断機能が搭載された。

Web ブラウザ『Firefox』で P2P ファイル共有

『BitTorrent』は、最も人気の高いピア ツー ピア (P2P) ファイル共有の仕組みの1つだ。これまで BitTorrent のクライアント アプリケーションは、単体のツールとして機能するものが多かった。しかしオープンソースの新興会社 AllPeers Ltd. が作成したツール『AllPeers』は、Web ブラウザ『Firefox』のなかで BitTorrent を活用するものだ。

Allpeers Ltd. の CTO、Matthew Gertner 氏は次のように語った。「AllPeers を使えば、トレントのリンクをクリックするだけで、通常ファイルをダウンロードするのと同じように、目的のファイルをブラウザの中でダウンロードできる。 AllPeers 独自の『Social BitTorrent』という機能により、トレントからファイルのダウンロードを行ない、同じくドラッグして共有する機能を使ってファイルを誰かと共有で きる。ファイルを共有する最も抵抗の少ない方法だ」

Allpeers Ltd. は P2P ファイル共有環境を2年以上前から提供しているが、これまでは自社のプライベート ネットワークに限定していた。今回の Allpeers によって、ユーザーが利用できるファイルの数が大幅に増えることになった。

しかし Allpeers 機能は、多くの BitTorrent クライアントのようなフル機能のクライアントではない。AllPeers のユーザーは、任意のトレント トラッカーを作成できず、既存のものを用いるほかない。

Gertner 氏によれば、これは法的および技術的な理由によるものという。つまり AllPeers Ltd. は、ユーザーの誰かが共有する権利を持たないファイルのトレント トラッカーを作った場合、法的なリスクを被る可能性を恐れている。

AllPeers がトレントの検索機能を備えていないのも同じ理由だ。

Gertner 氏は、「それらが必ずしも許可を得ているものとは限らず、当社がそのような行為の源になるのは避けたかったため、(検索機能は) 必要なかった」と述べた。

オープンソースWebブラウザ「Firefox」，3年弱で4億ダウンロード達成

　米Mozilla FoundationのオープンソースWebブラウザ「Firefox」のダウンロードが，リリース開始後3年弱で4億回に達した。Firefoxの普及 促進を図るコミュニティ・サイト「Spread Firefox」が米国時間9月7日に明らかにしたもの。

　Firefoxは，2004年11月9日に初めて正式版を公開（関連記事：ついに公開，Firefox正式版）。その後99日で2500万回ダウンロードされ，約半年で5000万ダウンロード（関連記事：Firefoxの累計ダウンロード数が公開から約半年で5000万件に），1年で1億ダウンロードを記録した。2億ダウンロードを突破したのは，約1年前の2006年7月末だった（関連記事：Firefoxが累計2億ダウンロードを突破）。

　米メディア（CNET） は，「ダウンロード回数と実際にインストールされている件数を混同してはいけない」と忠告する。「しかし，数年前のブラウザ市場がまるで 『Internet Explorer』の独占状態のようだったことを思えば，4億ダウンロードという数字は注目に値する」（CNET記者のStephen Shankland氏）。

　Mozilla Foundationの開発スケジュールによると，次期版となる「Firefox 3」（開発コード名は「Gran Paradiso」）はアルファ7番を8月にリリース済みで，今秋に正式版を公開する予定である。