ワイデン上院議員、連邦ネットワークからのレガシーVPN撤廃を提案

米国のロン・ワイデン上院議員は、連邦政府機関、軍事ネットワーク、そして情報機関のシステム全体からレガシーVPNを厳格な2年間という期限内で完全に撤廃するよう、強く訴えています。同議員は、こうした旧式のアーキテクチャがロシアや中国発の高度な国家支援型ハッカーにとって、極めて好都合な侵入口と化していると説得力を持って主張しています。

これを受け、ワイデン氏は行政管理予算局(OMB)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、および米国立標準技術研究所(NIST)宛てに正式な書簡を送付しました。同氏はリモートアクセスに関する要件を直ちに義務化するよう求めるとともに、政府機関や防衛関連企業が現代的なゼロトラストの原則に適合しない製品を調達することを禁止するよう強く求めています。

インターネットに露出したVPNゲートウェイに潜む本質的な危険性

ワイデン氏が特に問題視しているのは、従業員が社内リソースにアクセスする際の従来型の経路である、一般公開されたVPNゲートウェイです。これらのサーバーは本質的に公共のインターネット上で可視化されているため、悪意ある攻撃者は自動化されたスキャナーを使って容易にその存在を発見できます。さらに攻撃者は、使用されている具体的なソフトウェアのバージョンを特定し、既知の脆弱性や発見されたばかりのゼロデイ脆弱性を容赦なく悪用することが可能です。

同議員の書簡では、Cisco、Fortinet、Ivanti、Check Pointといった業界大手のソリューションを標的とした一連の壊滅的な攻撃について、明確に言及されています。これらの製品に存在する悪用可能な欠陥は、米国の政府機関や企業ネットワークの壊滅的な侵害を繰り返し引き起こしてきました。ワイデン氏は、連邦政府機関がセキュリティパッチの後手対応にあまりにも長く依存し続け、本質的に危険なリモートアクセスのアーキテクチャそのものを解体することを怠ってきたと指摘しています。

ゼロトラスト・アーキテクチャへの移行

この脆弱性を是正するため、同議員はCISAと国家安全保障局(NSA)に対し、レガシーVPNゲートウェイを段階的に廃止するための統一的かつ交渉の余地のない期限を設定するよう提案しました。同氏は、2年以内に、民間・軍事・情報機関の各ネットワークから、特に公共のインターネットからの直接的な受信接続を許容するようなシステムを完全になくすことを義務付けています。

その代替として、ワイデン氏はリモートアクセスサーバーを不特定多数のネットワークユーザーから本質的に隠蔽するソリューションの導入を強く推奨しています。接続の許可は、検証を経た後にのみ厳格に付与されるべきだとしています。この認証プロトコルは、単に一般公開されたVPNゲートウェイに到達しただけで無条件に接続を確立するのではなく、ユーザーの本人確認、接続元デバイスの完全性、そしてリクエストの文脈的なパラメータを厳密に検証する必要があるとしています。

連邦調達基準の強化

さらに同議員は、こうした厳格な要件を連邦調達規則の中に恒久的に組み込むことを目指しています。同氏は、OMBと国防総省に対し、ゼロトラスト・アーキテクチャやその他の厳格なNISTセキュリティ基準をネイティブにサポートしていないリモートアクセスツールの調達を明確に禁止するよう求めています。重要なのは、この提案されている規制対象が政府機関だけにとどまらず、それらと連携する膨大な数の契約業者にも及ぶという点です。

ワイデン氏はまた、メモリセーフなプログラミング言語を用いて設計されたソフトウェア製品を優先することも熱心に提唱しています。同氏は、メモリ管理の誤りが複雑なネットワークソフトウェアにおける重大な脆弱性の中でも、依然として最も多発する原因の一つであることを正確に指摘しています。

現時点では、同議員のこの提案は法的拘束力を持つ命令ではなく、あくまで勧告にとどまっています。この構想を実現するには、CISA、NSA、NISTといった機関が協力し、どの技術を「レガシー」とみなすのかを正確に定義した上で、包括的な新たな運用基準を策定し、連邦政府全体に広がる既存インフラを置き換えるための現実的なタイムラインを策定する必要があります。