Microsoftのセキュアブート、10年間発見されず脆弱性が放置されていた

パソコンが起動する時、安全なプログラムだけが動くように守ってくれる「セキュアブート」という仕組みがあります。これは、悪いプログラム（マルウェア）がパソコンの心臓部に入り込んで、動かないようにするための大切なガードマンのようなものです。

ところが、このセキュアブートに、なんと10年以上も気づかれずにいた「弱点」があったことが最近明らかになりました。一体、どういうことなのでしょうか？

この弱点は、「シム」と呼ばれる、プログラムに「これは大丈夫だよ」とお墨付きを与えるためのデジタル証明書が悪用されたことで起きました。通常、古い証明書や問題のある証明書は「失効」といって、使えなくする手続きがされます。しかし、過去に発行された一部の証明書が、なぜか失効されずにそのままになっていたのです。この「失効されていない古い証明書」を悪用されると、セキュアブートのガードマンが「これは安全だ」と騙されてしまい、本来なら通してはいけない悪いプログラムまで通してしまう可能性があった、というわけです。

つまり、パソコンが起動する一番大事な瞬間に、セキュリティの網の目をかいくぐられてしまう危険があったということです。これは、パソコンの安全を守る上で、非常に大きな問題と言えます。

この問題は、セキュリティの研究者たちが最近になって発見し、大きな注目を集めています。長年、誰にも気づかれずに存在していたということは、パソコンのセキュリティ対策を考える上で、思わぬ盲点になっていたのかもしれません。私たちの普段使っているパソコンが、実はこんなに長い間、見えない穴を抱えていたかもしれないと考えると、少し不安になりますね。