最近、疑問に思うことがひとつ。「Windows だから、セキュリティが弱い（低い？）」のだろうか？

先日、「高木浩光＠自宅の日記」に、「ウイルスバスター2006はトレンドマイクロの定義で言うところのスパイウェアである」というエントリが上がりました。このトラックバックを見ると、『マカーだから関係ないけど』『Windows は使ってないから』というエントリが、チラホラあります。仕事でも、「Windows はセキュリティ面で不安だから」という話を、よく聞きます。

本当に、Windows じゃないから、関係ないの？安全なの？

ある時点まで Windows が、UNIX 系と比較して「危険」だったのは、OS 自体の脆弱性と、使う人の脆弱性の、２つがあったと思います。

まず、OS の危険性について。

Windows は、バグが多い製品です。また、私は Product Feddback Center の、あるバグ報告の一件から、マイクロソフト開発陣の、バグを認識する方法（または組織的なバグトラックの仕組み）について、疑問を持っています。しかし、Windows は、WindowsUpdate、MicrosoftUpdate によって、自動的に修正を適用する仕組みを、比較的早い段階で実装しました。これと同じような仕組みが、他の OS にあるのでしょうか。Windows は、バグが多い製品だとして、他の OS には、バグが全くないのでしょうか。ユーザが、それの存在を、簡単に知り、修正する手段が用意されているのでしょうか。

ここで重要なのは、コンピュータを使う人は、昔のように、一部の情報収集能力に長けた人だけではない、ということです。私は Oracle9i のパッチをあてたことがありますが、はっきり言って、わかりにくい。なんでこんなに面倒な手順なんだ？！SQL Server なら、実行ファイルを実行するだけだぞ？

Product Feddback Center の一件：「Problem with SplitContainer and Panel1MinSize value」と、「SplitContainer で生成されるコードの不具合」。orbit氏の報告に対して、Fixed になっているが、実際には Fix されていない。もしくは、報告の内容と違うことを Fix している。かと思うと、「イメージリソースの選択が出来ないことがある」のように、しつこく現象を確認しようとする姿勢も見える。わからん。。。

次に、使う人の脆弱性について。

Windows の脆弱性のひとつは、普段ログインしているユーザがすなわち「コンピュータの管理者」である（それがデフォルトである）ということだと思います。Mac は触ったことがないのでわかりませんが、UNIX 系は、すべてのことが出来る権限を持った管理者 root では、普通、ログインしません。ログインするときも、単独でログインするのではなく、su コマンド（super user ではなく、switch user）で、ユーザを変更します。Windows でも、NT 系は、本来このような使い方をします。しかし、Administrators 以外ではインストールなども出来ないので、Administrator （または Administrators グループに属するユーザ）でログインしている人が多いようです。もし、Administrators グループに属さない（Users グループにしか属さない）ユーザでログインしていれば、プログラムのインストールが制限されるので、メールに添付されたウイルスの感染確率は、グッと減ることになります。こういう、知識のない人の感染を、知識を持った人の感染と同等に扱うのは、どうでしょうか。

感染確率はグッと減る：実行は出来るので、感染しないわけではない。メールの発信や、スタートアップへの登録は出来る。しかし、レジストリを書き換えたり、Windows の重要なファイルを書き換えることは出来ない。

これ、PC、Personal Computer って呼称を、改めないといけませんかねぇ？「パーソナル」なのに、なんで他の人が使うような設定をしなきゃなんないんだ？！って。

そして、汚染源は、本当に OS だけなの？

「ウイルスバスター2006はトレンドマイクロの定義で言うところのスパイウェアである」は、Windows 上で動く、「ウイルスバスター 2006」というソフトウェアの話です。Windows だからではなく、同製品が Linux 用、Mac 用で販売されれば、それらについても同じことが発生します。ということは、「Windows だから」では無いはず。それを、『マカーだから関係ないけど』とか、『Windows は使ってないから』というのは、おかしいでしょう。また、問題となる今回の機能については、このように書かれています。

質問: 送信しているデータはURLの全体なのか一部なのか？

回答: トレンドマイクロのサーバ（以下弊社サーバ）にはパラメータも含めた全ての 情報を送信します。ユーザが意図的にメールアドレスなどをＵＲＬに入れた場合やセキュリティ上問題のあるWebベースのアプリケーション（URLにパスワー ドや重要な情報がそのままの形で出てしまうようなサイト）にアクセスした場合、FORMの隠しフィールドやリンクにこれらの情報が埋め込まれたページが表示され、ユーザーが明示的に入力しなくても、ＵＲＬリンクのクリックやＦＯＲＭの入力を行ったときに、それらの付随する（明示的に入力されていない）データも結果として送信されることはあります。ただし、弊社サーバに保存されるのはＵＲＬだけで、パラメータは保存されません。

フィッシングサイトや、クロスサイトポストスクリプティング、インジェクション攻撃などの問題は、OS とは関係ありません。利用者や、Web アプリケーションが、何とかするべき問題です。office 氏が侵入した ACCS のサーバは、Windows 系のサーバではないようです。OS のバグや脆弱性ではなく、Web アプリケーション（CGI プログラム）のバグ／脆弱性を利用したものでした（プラス、その後の管理者の対応のまずさ）。

つまり、「『Windows だから危険』または『Windows だけが危険』というわけではない」のです。その上で動いているソフトによって、危険性は広がるのです。もっとも、Windows をサーバとして使うときはマイクロソフト製品で固めることが多いですから、「マイクロソフトだから危険」という意見に対しては、今のところ疑問視出来るだけの情報を持っていません。

本エントリは、「マックだから安全」「Linux だから安全」という意識に対する疑問です。「Windows にバグが多い」「Windows にセキュリティ上の問題がある」ということは、否定しません。では、マックや Linux には、そういう問題はないのか、何を根拠に「安全」というのか、という問いです。例えば、QuickTime Player に脆弱性があり、それを利用する攻撃コードが開発されれば、「マックだから大丈夫」とは言えないわけです。

もっとも、「Windows は多数派で、対応ソフトも多く、狙われる可能性も高い。ソフトが多いということは、ソフトに存在するバグも多くなる（絶対数の問題）。だから Windows は比較的危ない。」ということなら、わかる。