米MS、Passportの欠陥修正を完了

　米国時間5月7日に見つかったPassportサービスのセキュリティホールは、数百万人の個人情報を危険にさらした深刻なものだったが、米Microsoftは徹夜で対応にあたり、この欠陥を修正した。

　同社PassportチームのプロダクトマネジャーであるAdam Sohnは、「5月8日午前8時までに、Passportサービスを、本来あるべきはずの、もっと安全なバージョンに切り替えた」と述べた。

　「（今回のセキュリティホールは）我々が行ったテスト段階でのチェックで見落とされていたものだ」とSohn。さらに、「この機能は2002年9月頃から存在していた。潜在的な被害の程度については、現在調査中」と付け加えた。

　昨日CNET News.comが他に先駆けて報じたこの欠陥は、MicrosofｔがTrustworthy Computing運動を展開し始めて以降、同社のセキュリティに関するチェックでの見落としが明らかになった脆弱箇所のうちで、おそらく最も影響の大きなもの。ちなみに、この運動のなかには脆弱箇所を減らすという事項も含まれている。

　Microsoftはこれまで、Passportを今後提供していくWebサービスの中核技術をなすものと宣伝してきた。Passportのアカウントは、ユーザーがWebサービスを手軽に利用できるよう、誕生日、クレジット番号、送付先など、オンライン用の個人情報データを保存しておく場所となる。さらにアカウントに含まれる1対のユーザー名／パスワードのみで、複数サイトにアクセスできるようになっている。現在は推定で「2億個のPassportアカウントが使用されている」（Microsoft）という。

　今回のセキュリティホールは、Muhammad Faisal Rauf Dankaと名乗る、セキュリティコンサルタントで学生のパキスタン人が発見したもの。同氏がこの欠陥を5月7日深夜にセキュリティ関連のメーリングリスト、Full-Disclosureに送信したことで、広く知れ渡る結果となった。

　「このセキュリティホールを見つけるのは、思わず笑ってしまうほど、とても簡単だった」というDankaは、欠陥を発見した後、まずは「security@microsoft.com」といった、複数のMicrosoftアドレスに電子メールで通知を試みたが、うまくいかなかったという。それでも、彼の出したメールは最終的にMicrosoft Security Response Centerに転送され、結局は担当チームに届いたものの、それはニュース報道の後だった。

　MicrosoftのSohnは、「今回の経験はいい教訓になった。今後は、通常以外のルートから入ってきた情報かどうかをきちんと確かめ、さらにそれが本物なら、全員で対応にあたるようにしたい」と語っている。