【ITニュース解説】WriteFreely: 49 title matches and an administrator who may be the first user

WriteFreelyというシステムは、ブログや記事を公開するためのツールだ。このシステムは「フェデレーション（連合型）」という仕組みを持っている点が特徴だ。フェデレーションとは、複数の独立したWriteFreelyサイトがそれぞれデータを持ちながらも、お互いにコンテンツをやり取りしたり、他のサイトのユーザーをフォローしたりできるような、緩やかにつながったネットワークを形成できることを意味する。これにより、中央集権的な巨大サービスに依存せず、自分たちの手で管理できるブログサービスを運営しつつ、他の多くのユーザーと交流できる可能性がある。

ある調査ツールZoomEyeを使って、インターネット上に公開されているWriteFreelyのサイトがどれくらいあるか調べてみたところ、興味深い結果が出た。このツールは、ウェブサイトのタイトルや使われているアプリケーションの種類などからサイトを検索できる。今回の調査では、「WriteFreely」というタイトルを持つウェブサイトが49件見つかった。しかし、「WriteFreely」という特定のアプリケーションが使われているサイトとしては1件も検出されなかった。これは何を意味するかというと、タイトルからWriteFreelyを使っていると推測できるサイトは49件あったが、ZoomEyeが「これはWriteFreelyだ」と自動的に認識できる特徴的な目印（これを「アプリケーションフィンガープリント」と呼ぶ）を持たないサイトが多かったということだ。つまり、特定のアプリケーションを狙って探すだけでは、WriteFreelyのサイトをすべて見つけ出すことは難しいという警告でもある。

たとえ見つかったサイトの数が少なくても、それらのサイトの所有者が誰なのか、きちんと管理されているかを確認することは非常に重要だ。なぜなら、たとえ一般には公開されていないサイトであっても、そこにはまだ公開されていない下書きの文章や、他のシステムと連携するための秘密の鍵（APIトークン）、あるいはアカウントを紛失した際に復旧するための情報などが保存されている可能性があるからだ。これらの情報が外部に漏れると、大きな問題につながる恐れがある。

WriteFreelyのシステムには、初期設定に関する重要な注意点がある。一部の設置方法では、システムに最初にログインしたユーザーが、そのサイトの「管理者」になってしまうという機能があるのだ。管理者とは、サイト全体のデザインを変更したり、ユーザーを管理したり、セキュリティ設定を変えたりできる、非常に強力な権限を持つユーザーのことだ。もし、個人的な用途で使うつもりでサイトを設置し、まだ誰もログインしていない状態で誤ってインターネット上に公開してしまった場合、悪意のある誰かが最初にログインして、そのサイトの管理者権限を乗っ取ってしまう危険性がある。このような事態を防ぐためには、システムをインターネットに公開する前に、必ず管理されたネットワークの中で、意図した管理者がきちんとログインして管理者権限を確立しておく必要がある。具体的には、公開されているブログのURL、ログイン画面への経路、他のシステムと連携するためのAPIの入り口、そして管理者設定がどうなっているかなどを確認すべきだ。また、フェデレーション機能が有効になっているか、新しいユーザーが自由に登録できるようになっているか、管理者権限が意図した通りに設定されているか、そして誰でも管理者になることができるような別の裏口が存在しないか、といった点も確認することが大切だ。

次に、APIというものについても理解しておく必要がある。API（アプリケーション・プログラミング・インターフェース）とは、簡単に言うと、異なるソフトウェア同士が情報のやり取りをするための「窓口」のようなものだ。WriteFreelyには、記事を作成したり管理したりするためのAPIが用意されており、一部の読み取り操作は誰でも利用できるように公開されている場合もある。このAPIを使うためには、「APIトークン」という、パスワードのような秘密の文字列が必要になることがある。このAPIトークンは、特定のブログアカウントとして機能し、コンテンツの投稿や編集といった操作を行える。しかし、このAPIトークンの権限は、システム全体の管理者（サーバー管理者）の権限とは異なる場合が多い。APIトークンが漏洩すると、ブログの内容が改ざんされたり、意図しない情報が公開されたりする危険性はあるが、必ずしもサーバー全体が乗っ取られるわけではない。それでも、どのAPIトークンが存在し、それぞれが何ができるのか、そして最後にいつ使われたのかをきちんと記録しておくことは重要だ。また、このAPIトークンをウェブサイトのデザインファイル（公開テーマ）や、ブラウザ上で動作するプログラム（クライアントサイドスクリプト）、あるいはプログラムのソースコードを公開する場所（リポジトリ）などに直接書き込んで公開してしまうのは絶対に避けるべきだ。もし、開発メンバーがチームを離れるようなことがあれば、使われていたAPIトークンは速やかに新しいものに交換する必要がある。さらに、APIトークンを受け取るための入り口（トークンエンドポイント）が安全に保護されていることや、サーバーの記録（ログ）に認証情報であるトークンがそのまま残ってしまわないようになっているかも確認しなければならない。

今回のZoomEyeの調査で見つかった49件のWriteFreelyサイトは、少数のため一つ一つ慎重にレビューできる範囲にある。ただし、この49件はすぐに「脆弱性があるリスト」と判断すべきではない。一つ一つのサイトについて、なぜ調査が必要なのかという明確な理由を見つけ、その調査がアカウント情報の列挙やコンテンツへの不正アクセスに至らないように、適切な範囲で情報を収集する必要がある。具体的には、そのドメインの所有者が誰か、使われているSSL証明書の名前は何か、管理者権限が適切に設定されているか、誰でも自由にユーザー登録ができるようになっているか、フェデレーション設定はどうなっているか、使われているAPIトークンは何か、そしてブログのバックアップや下書きが保存されている場所のアクセス権限はどうなっているか、といった項目を確認することが求められる。

ZoomEyeのようなツールは、今回のように「タイトルは一致するが、アプリケーションとしては認識されない」といった、製品固有の検索では見落とされがちなシステムを発見するのに非常に役立つ。この49件という限定されたリストは、運営者が自分たちが所有するドメインのリストと照らし合わせ、外部からどのように見えているかを把握するのに利用できる。そして、特にリスクが高いと判断されるサイトについては、自らの管理者画面から詳細を確認し、セキュリティ対策が適切に行われているかを検証することが可能だ。WriteFreelyのようなシステムは、一般の人が閲覧できる「公開された読書面」と、記事を投稿・管理するための「非公開の公開権限」という二つの側面を持っていることが多い。これら二つの面が、セキュリティ上、意図的にしっかりと分離されているかどうかが、安全な運用における重要な判断ポイントとなる。