ワイデン上院議員、数百の連邦機関に暗号化技術の導入を要請　利用者の機密性の高い通信を保護

ロン・ワイデン上院議員は月曜日、内部告発者やメンタルヘルスの危機に直面する退役軍人らが連邦機関のウェブサイトを通じて連絡を取る際、ハッカーに狙われる恐れがあるとして、数百の連邦機関が暗号化ツールを導入すべきだと訴えました。

オレゴン州選出の民主党議員である同氏は、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と行政管理予算局（OMB）に対し、Encrypted Client Hello（ECH）の導入に向けた措置を講じるよう求めました。ECHは、ユーザーが閲覧するウェブサイトの名前を保護するサイバーセキュリティ技術です。両機関に宛てた書簡で要請しています。同氏の事務所は、ECHによる保護を利用していないサイトを少なくとも350件確認しました。

ワイデン氏によると、連邦機関のウェブサイトはほぼすべて暗号化されているものの、標準的なウェブ暗号化ではウェブサイト名が保護されない場合があります。同氏は一例としてreportfraud.ftc.govを挙げました。

「データがインターネット上を流れる際、ネットワーク接続を監視するハッカーや外国の関係者は、こうして露出したウェブサイト名を容易に把握できます」と同氏は書簡に記しました。「この可視性により、悪意のある盗聴者が内部告発者を特定したり、機密情報取扱資格を持つ連邦職員をプロファイリングしたり、危機的状況で支援を求める米国民を追跡したり、機関同士のやり取りを割り出したりする恐れがあります」

ワイデン氏は、数十万のウェブサイトをインターネットに接続するコンテンツ配信ネットワーク（CDN）では、ECHがとりわけ有効だと指摘しました。CDN経由で配信されるウェブサイトの場合、ECHを使えば、ユーザーのウェブ通信を傍受する者はコンテンツを配信しているネットワークまでは確認できても、具体的なサイトは特定できません。

CDNのインフラを利用しながらECHを導入していない機関には、ECHに対応していながら有効にしていないFBIの情報提供窓口があります。また、退役軍人省のオンライン自殺予防ホットラインは、Amazonが対応していないためECHで保護されていません。このほか、国家安全保障関連の人事サービスや内部告発の窓口を提供する機関も含まれます。

ワイデン氏は、ECHによる保護がないため、外国の敵対勢力がFBIに犯罪情報を提供した人物を特定できる可能性があると警告しました。

ワイデン氏はCISAとOMBの幹部に対し、2点を勧告しました。

「CISAは、文民の連邦機関に対し、すべての一般公開ウェブサイトと機関間のウェブシステムでECHによる保護を有効にするよう義務付けるべきです」と同氏は述べました。「OMBは、国家サイバー長官室およびCISAと連携し、連邦政府との契約を目指す商用クラウド事業者やネットワーク事業者に対して、ECHによる保護への対応を必須条件とするべきです」

CISAとOMBは、この書簡に関するコメントの求めにすぐには応じませんでした。書簡はNextGov/FCWが最初に報じました。

月曜日の書簡は、連邦機関のセキュリティ技術の改善を目指すワイデン氏の最新の働きかけです。7月には、古く安全性に欠ける一般公開のVPNを廃止するよう連邦政府に促す書簡を送っており、CyberScoopが最初に報じました。