Gmail詐欺が暗示する“より大きなセキュリティ問題”

次の記事

献血者をすばやく発見するFacebookのアプリケーション

この週末、Gmailの全バックアップをハードドライブに保存できる「G-Archiver」というアーカイブサービスが、実は詐欺の入り口だったというニュースが出回った。このアプリにはユーザー一人一人のメールアドレスとパスワードをアプリ制作者自身のメールアカウントに送る“機能”がハードコードされており、制作者は全員のGmailメッセージを開いて見ることができたようだ。

ユーザーも、よりによってサードパーティーのサービスにメールのログイン認証の情報を入力するなんて人が良すぎる。本件については最低限の同情心しか湧かないが、ここにはもっと大きな検討課題もある。

GmailはGoogle Docs、GoogleアプリなどGoogleの幅広いオフィスサービスへの玄関口だ。これらのサービスでは文書を他者と共有もできるので、もし一人のユーザーのメール認証情報が人手に渡れば全機密文書が悪者の手に渡ってしまう。つまり、一ユーザーの認証情報が外部に漏れることにより、その人の勤務先までリスクに晒されるのだ。

これがあるから専門家の多くはGoogle Appsが現実にMicrosoft ExchangeやSharepointのライバルになることはない、と結論付けている。企業のビジネスに関わる全機密情報はいったんGoogleのサーバーに保存されると、あとはパスワードを山勘で当てるか、今回のような事実上のフィッシング詐欺ひとつで外部に漏れてしまう。

Google社員にこの問題について訊いたとき教えてくれたのは、Google AppsではパスワードONLYではない認証メカニズムも使える、ということだ。Google Appsのセキュリティ方針を見ると、こう書かれている。: 「Google Appsでは標準規格SAML 2.0で標準ウェブSSOシステムと連携しているため、カスタムのサインインや高度認証(セキュアID)との連携もできる。ソリューションはカスタムメードにしたり、Google Partner提供のものにもできる」

もちろん、多くの企業は認証にセキュアIDを使わないだろうから、依然リスクに晒されることに。いずれ将来、もっと小さな中小企業もこれが必須になってくれればいいのだが。

あと、もうひとつGoogleのセキュリティ方針で気になったのは、法律で求められればサードパーティーにも情報を提出するという点だ(検索差押令状、法廷の命令、罰則付き文書提出令状など)。グーグルは「可能な時は常に、法的に許される範囲で情報提出前にユーザーに通知するよう努力する」と書いている。多くの企業にとってはこれで充分というわけにはいかないだろうし、そういう企業は法廷で、情報提出前に情報転送の可否を争う方を選ぶだろう。情報が自社サーバーにあればそれも可能だが、Googleは今のところ、みなさんのために出廷し争うことはない。ユーザーは情報開示の通知があるだけラッキーと思わなくては。買い手危険負担なのだから。

[原文へ]

(翻訳:satomi)