【ITニュース解説】Two dangerous internet security issues are putting site admins on edge

現代のインターネットは、私たちの生活やビジネスに不可欠な基盤だが、その裏側では常にセキュリティ上の脅威が潜んでいる。最近、ウェブの世界で特に危険性の高い二つの深刻な脆弱性が発見され、多くのウェブサイト管理者たちがその対応に追われている。システムエンジニアを目指す皆さんにとって、これらの脆弱性の仕組みや影響、そして対策を理解することは、将来のキャリアにおいて非常に重要となるだろう。

一つ目の脆弱性は「HTTP/2 Rapid Reset」と呼ばれるものだ。まず、HTTP/2について簡単に説明する。これは、ウェブサイトのデータをやり取りするための通信規約（プロトコル）の一種で、従来のHTTP/1.1に比べて高速で効率的な通信を実現するために開発された。複数のリクエストとレスポンスを同時に処理できる「多重化」という機能が特徴だ。しかし、このHTTP/2の設計上の特性を悪用したのがRapid Reset攻撃である。

この攻撃は、分散サービス拒否（DDoS）攻撃の一種で、特定のウェブサイトやサービスを機能不全に陥れることを目的とする。攻撃者は、HTTP/2の多重化機能を逆手に取り、大量のリクエストをサーバーに送りつける。しかし、これらのリクエストは、サーバーが処理を完了する前に、すぐにキャンセルされる。これをものすごい速度で繰り返し行うのがRapid Reset攻撃の肝だ。

サーバーは、リクエストを受け取ると、それに対応するためのリソース（処理能力やメモリなど）を割り当てる。だが、リクエストがすぐにキャンセルされるため、サーバーはリソースを割り当てては解放するという無駄な作業をひたすら繰り返すことになる。この「リクエスト→キャンセル」のサイクルが短時間で大量に発生すると、サーバーのリソースは急速に枯渇し、最終的には正当なユーザーからのリクエストを処理できなくなり、サービスが停止してしまう。

この攻撃の厄介な点は、リクエストが完了しないうちにキャンセルされるため、通常のアクセスログには記録されにくいことだ。そのため、従来のDDoS対策システムでは、異常なアクセスパターンとして検知するのが難しい場合がある。この脆弱性は、Google、Amazon、Cloudflareといった大手テクノロジー企業が共同で対策を講じたが、まだ多くのウェブサイトやサービスが影響を受ける可能性があり、迅速なソフトウェアアップデートやネットワーク機器の設定変更が求められる。

二つ目の脆弱性は「Terrapin Attack」として知られる、SSHプロトコルに関するものだ。SSH（Secure Shell）は、インターネット経由で離れた場所にあるコンピュータに安全に接続し、コマンドを実行したりファイルを転送したりするためのプロトコルである。SSHは、通信内容が暗号化され、接続元の認証が行われるため、非常に安全性が高いとされている。システムエンジニアがサーバーを遠隔操作する際などにも頻繁に利用される。

Terrapin Attackは、このSSHの暗号化された接続が確立される初期段階で行われる「プレフィックス切り捨て攻撃（prefix truncation attack）」の一種だ。SSH接続では、クライアントとサーバーが互いにサポートしている暗号化方式やその他のセキュリティ機能を交渉し、最適なものを選ぶプロセスがある。この交渉中に、攻撃者が「中間者」として割り込み、特定のメッセージの一部を意図的に削除（切り捨て）する。

具体的には、セキュリティを強化するための「セッション拡張」と呼ばれるメッセージが削除されることで、クライアントとサーバーは、本来であればもっと強力な暗号化方式やより安全な設定を選択すべきところを、意図せずしてセキュリティレベルが低い設定で接続を確立してしまう可能性がある。例えば、メッセージの改ざんを検知する機能（MAC: Message Authentication Code）が省略されたり、より弱い暗号アルゴリズムが選択されてしまうといった事態が起こりうる。

その結果、攻撃者は確立されたSSHセッションの内容を盗聴したり、さらにはユーザーが送るコマンドを改ざんしたり、不正なコマンドを挿入したりする機会を得る可能性がある。これは、たとえSSH接続が暗号化されているように見えても、その暗号が弱められてしまっているため、安全性が損なわれることを意味する。悪意ある攻撃者がサーバーに不正なアクセスをしたり、機密情報を盗んだりする足がかりになりかねない非常に危険な状況だ。

この攻撃は、特定の暗号化モード（特にChaCha20-Poly1305など）とセッション拡張を使用しているSSHクライアントとサーバーの組み合わせで発生する可能性がある。対策としては、使用しているSSHクライアントとサーバーのソフトウェアを最新バージョンにアップデートすることが最も重要だ。開発元が提供する修正パッチを適用することで、脆弱性が修正された安全なプロトコル実装に切り替わる。また、脆弱な暗号アルゴリズムや設定の使用を避けるように、SSHの設定を見直すことも必要となる。

これらの二つの脆弱性は、インターネットがいかに複雑な技術の上に成り立っており、常に新たな脅威にさらされているかを示している。HTTP/2 Rapid Resetは、ウェブサイトの可用性を直接脅かすDDoS攻撃であり、Terrapin Attackは、SSHという安全なはずの通信プロトコルの根幹を揺るがす攻撃だ。システムエンジニアとして、プロトコルの仕組みを深く理解し、常に最新のセキュリティ情報にアンテナを張り、適切な対策を講じ続けることの重要性を認識しておくべきだろう。脆弱性は常に発見されるものであり、それに対して迅速かつ的確に対応する能力が求められる。