ヴィニー・リウ氏がNSAにスカウトされたのは、わずか17歳のときでした。現在はBishop FoxのCEOを務めています。
同氏はNSAでの業務についてはあまり語りませんが、「最初の1年はレッドチームに所属し、2年目はより対外的な業務が中心でした」とだけ明かしています。
リウ氏は、直接会ったこともなく、当時使っていたハンドルネームも覚えていないという空軍関係者の推薦でNSAにスカウトされました。しかし、これほど若い年齢でこのような形で組織にリクルートされたと聞くと、並外れたハッカーを思い浮かべるかもしれません。ただ、本人が自らについて語る印象はそうではありません。
「スキャッタード・スパイダーのような大規模なハッキングに関わっていたわけではありません。ただ、システムがどう動くのかを理解し、システムを構築したり停止させたりする方法を考えることに、多くの時間を費やしていました。私は昔からホワイトハット寄りの人間です。スリルのために何かに侵入しようとしていたわけではなく、ただ学びたかっただけ――そこが彼らの目に留まった理由だと思います」
コンピューターやプログラミングについての初期の知識は、大学に進学していた姉から得たものでした。「姉は大学から時々、本や資料を持って帰ってきてくれて、私はそれらを貪るように読みました。とても面白いと感じたんです。姉がさまざまなプログラミングの本を持ち帰ってくるたびに、『これは何だろう』と思い、自分で理解しようとしていました」
当時リウ氏はまだ10歳にも満たない年齢でしたが、すでにハッカーの重要な資質――強い好奇心と理解したいという欲求――を見せていました。とはいえ、ハッキングやハッカーという概念そのものは知りませんでした。動機は単純で、自分が楽しいと感じることをして、それを楽しむこと。この姿勢は、その後の人生を通じて変わっていません。
その後、高校時代にコンピューターとコンピューティングについて学び始めました。学位を取得する前にNSAからスカウトされたことからも明らかなように、リウ氏は非常に優秀でした。ハッキングという概念は理解しており、実際に手を出してもいましたが、それはあくまで好奇心と楽しみのためでした。「当時はIRCに多くの時間を費やしていました」と同氏は説明します。そこで出会ったのが、後にNSAに推薦してくれることになる空軍関係者でした。
培った知識を使って何か「後ろ暗いこと」をしたことはあるかと尋ねると、「いいえ」と答えました。さらに「学校のコンピューターネットワークに侵入したことすらない、ということですか?」と突っ込んで尋ねると、こう答えました。「それは後ろ暗いことだとは思いません。学校でプログラミングに熱中していれば、それくらいは当たり前のことです」
実際にやったとは明言していませんが、やった、あるいはそれに類することをやったことを暗に示す発言です。
「私の考えるハッカーの定義とは、統制やセキュリティシステムをかいくぐる方法を見つけ、意図しない挙動を引き起こさせることを好む人物です」。ここで注目すべきは、リウ氏がハッキングの動機について一切言及していない点です。リウ氏にとって、ハッキングという行為そのものが独立した価値を持っています。ブラックハットとホワイトハットを分けるのは、ハッカーの目的だという考え方です。
「意図は非常に重要だと思います。探求すること自体と、破壊や傷害、危害を加える目的で探求することは別物です。この二つには明確な違いがあります」。リウ氏は常に、自由に、楽しみのために探求を続けてきましたが、決して危害を加えることはありませんでした。おそらく、こうした悪意のなさが徹底しているからこそ、同氏は自身のハッカーとしてのキャリアについて語ることに慎重なのでしょう。
自身の発見をダークウェブで売却することを考えたことはあるか尋ねると、当時はそもそもダークウェブが存在しなかったため不可能だったと答えました。「私が始めた1990年代前半には、ダークウェブはまだ存在していませんでした」。ここでもまた、質問の核心をわずかにかわすような答えです――「やらなかった」のではなく、「やろうにもできなかった」というわけです。ただし、この回答自体は事実に即しています。ダークウェブが実質的に発展したのは、2002年にTorプロジェクトのソフトウェアが公開され、2008年頃にTorブラウザが登場して以降のことだからです。
その経歴には一見矛盾するような部分もあります(NSA内でハッキングに関わっていたことと、学校のネットワークへの侵入を当たり前のことのように語ること)が、リウ氏には明確な倫理観が備わっていることは間違いありません。ハッキングを始めたのは、純粋に楽しむためでした。技術はあり、それを楽しんでいましたが、悪意を持ったことは一度もありませんでした。
この倫理観がどこから来たのかについて、同氏は「両親と、初期の教育者たちからです。彼らは非常に良いロールモデルだったと思います」と語ります。これは、道徳とは生まれつき備わっているものではなく、後天的に学ぶものだという考えを示唆しています。
統計的に見ると、多くのハッカーは神経多様性(ニューロダイバーシティ)を持つとされています。神経多様性とは、単に脳や思考プロセスが標準とは異なることを指す言葉です。ハッカーの場合、これはしばしばADHDやASD(かつては「アスペルガー症候群」と呼ばれていました)として現れます。こうした特性は、いわゆる「普通」の人々(神経多様性を持たない大多数の人々)が「型にはまらない発想」と見なすものや、長時間にわたる持続的で深い集中を助けます。どちらもハッカーにとって明らかに有益な資質です。
リウ氏自身は神経多様性を持っているのでしょうか。「いいえ。自分は神経多様性があるとは思っていません」と同氏は言います。「妻は私のことを『どうかしている』と言うかもしれませんが、従来の意味での神経多様性があるとは思っていません。ただ、自分がやっていることが本当に好きなだけです」
リウ氏がNSAで初めて正式に雇用されたのは、わずか17歳のときでした。1999年のことです。「私はフルタイムの職員でした」と同氏は説明します。「ただ、授業を受けることも許可されていました」。NSA内での業務内容を明確に分類するのは難しく、本人は「対外的な業務」だったとしか語っていません。仮にNSAのためのハッカーだったとすれば、それは標的に何らかの害を及ぼすことを明確に意図していた点で、ブラックハットと見なせるのでしょうか。それとも、善良な側のために行うハッキングは自動的にホワイトハットとなるのでしょうか。
いずれにせよ、NSAを離れた後のキャリアは、明確かつ着実にホワイトハットの方向へと進んでいきました。
NSAに在籍した2年間で、民間のセキュリティ業界は急速に拡大しました。「特に親しくしていた同僚たちを中心に、多くの同僚が民間企業に引き抜かれていきました」。@stakeが設立されたのは1999年、リウ氏がNSAに入った年と同じです。その1年後、@stakeはLopht Heavy Industriesを買収しました。同社は、著名で実力のあるハッカーたち(Weld Pond、Kingpin、Space Rogueを含む)を多く引き寄せていた組織でした。
2001年までには、周囲の誰もが民間企業へと転職していく状況になっていたといいます。「私も同じようにしようと決めました。NSAを離れたのですが、その前にまず学位課程を修了したいと考えていました。それにはさらに数年かかりました」
21歳になる頃には、NSAでの2年間の実務経験と、取得したばかりのコンピューターサイエンスの学位、そして、丁寧に表現するなら「攻撃的セキュリティ」に関する相当な知識を身につけていました。「多くの場合」と同氏は述べます。「ハッカー(ここでは社内のレッドチームと外部の攻撃者の両方を指しています)は、システムについて、開発者本人よりも深く理解するようになります。システムの挙動をどう覆すかを、それだけ深く考え抜いているからです」
これは決して単純な道のりではありません。ハッカーもまた、他のセキュリティ専門家と同様にバーンアウト(燃え尽き)に陥りやすい存在です。「実に優秀な、まさに一流と呼べるハッカーたちが、燃え尽きて心が折れてしまう姿を何度も見てきました」
これだけの経歴があれば、民間セクターでの就職に苦労することはまずありませんでした。2003年、リウ氏はアーンスト・アンド・ヤング(Ernst & Young LLP)のAdvanced Security Centerでセキュリティコンサルタントとして働き始め、そこでフラン・ブラウン氏と再会します。リウ氏とブラウン氏は大学1年時に同じ寮に住み、同じ授業を受けていた間柄でした。
それから18か月以内に、2人ともHoneywellにスカウトされました。共にHoneywellのグローバル侵入テストチームを率いることになります。しかし今回も、在籍期間はわずか16か月でした。その間、2人は「助けを必要としていた友人たち」から副業の下請け仕事を受けるようになっていきました。すでに次の展開を考え始めていた2人は、「よし、やってみよう」という結論に至りました。
この問いに対する最終的な答えがBishop Foxでしたが、そこに至る正確な経緯をたどるのは容易ではありません。リウ氏とブラウン氏はいずれも、Honeywellを退職してすぐにBishop Foxを共同設立したと述べています。リウ氏のLinkedInプロフィールによれば、Honeywell退職の前年にすでにこれを行っていたことになっています。一方、ブラウン氏のプロフィールでは、Honeywell退職と同時期だったとされています。
しかし、Bishop Foxという社名は、2014年に行われたStach & Liu LLCのリブランディングによるものです。Dun & Bradstreetによれば、Stach and Liu自体が設立されたのは2011年です。そして2013年にBishop Foxへと改称されました。前者の社名が法律事務所のように聞こえるのに対し、後者は侵入テストやレッドチーミングが持つ「守る」側面と「攻める」側面の両方を象徴しているためだと考えられます。
いずれにせよ、Bishop Foxに至るまでの経緯が紆余曲折を経たものであったとしても、リウ氏とブラウン氏が設立した会社は、今や攻撃的セキュリティ分野におけるトップクラスの権威として広く認められる存在となっています。リウ氏はそのCEOとして、攻撃的セキュリティの「実演者」から「統率者」へと歩みを進めてきました。
自分は今もハッカーだと思うか、との問いに対して、「そう思いたいですね。10年前であれば、間違いなく『はい』と即答していたでしょう。最近では、私のチームからは少し時代遅れだと思われているかもしれませんが、キャリアの大部分をハッキングに費やしてきました。最近は会社の経営に多くの時間を割いていますが、それでも自分は今もハッカーだと思いたいです」
自分がハッカーであると明言することに、やはりわずかなためらいが見られます。しかし、同氏が紛れもなくハッカーであることは明らかです。ハッキングとは物理的なプロセスであると同時に一種の精神状態でもある以上、一度ハッカーになれば、それは生涯変わらないものです。ただし一つはっきりしているのは、リウ氏自身も、フラン・ブラウン氏も、そしてBishop Foxという組織全体も、善のために戦うハッカーであるということです。
翻訳元: https://www.securityweek.com/hacker-conversations-vinnie-liu-performer-turned-ringmaster/
