コリー・テューエン氏は、正しい結果を得るために「悪事を正しいやり方で行う」ことを追求するハッカー的思考の持ち主です。
テューエン氏は、Gravwellの創業者兼CEOです。同社はビッグデータの専門家とハッカーが混成チームを組み、データ分析と脆弱性検出を手がけるという、少し変わった企業です。
同氏はチームのハッカー側の採用面接で、「イービル・ビット(悪の因子)」と呼ぶ資質を持つ人材を探しています。「『悪の素質』があるか。製品を見て、それを悪用する方法を探し出す敵対的な思考を持っているか。そのイービル・ビットがなければ、教えて身につくものではないと思います」。人によっては後天的に身につけられるかもしれないと認めつつも、自身の経験では、それは備わっているか、いないかのどちらかだといいます。生まれついてのハッカーという言葉は、単なる形容ではなく事実に近いものです。テューエン氏自身も、生まれながらのハッカーと呼びたくなる人物です。
では「悪」とは、道徳心の欠如を意味するのでしょうか。「誰が道徳を定義するのでしょうか」と同氏は問い返します。「何が善で何が悪かを決めるのは誰でしょう。昔ながらのハッカーの流儀、いまも残る考え方は、すべての情報は自由であるべきだというものです」。ただ、これを好ましくない考え方だとみなす人もいます。
「最近は米国政府の仕事をしていました。重要インフラの一部である変電所に組み込まれるシステムを評価する仕事です。これらのシステムをハッキングするのですが、目的はすべての人にとってのセキュリティを高めることでした。悪の素質を善のために使っていたわけです。ハッキングのスキルは銃に少し似ています。どちらもそれ自体は悪ではありません。使う人の動機しだいで、善にも悪にもなります」
自分がハッカーだと気づいたのは何歳のときだったのでしょうか。「ごく幼いころに自分はハッカーだと気づき、その瞬間から、やりたいことはそれだけでした。コンピューターやその仕組みにずっと興味があったので、高校生のときに叔父から古いPackard Bellをもらうと、まずDOSのマニュアルを端から端まで読みました」
この関心は遺伝ではありません。家族にテクノロジーに明るい人はおらず、Packard Bellを手にするまでは、自分自身の好奇心以外に頼れるものはありませんでした。それがやがてビデオゲームへとつながります。現在の多くのハッカーにとって、ハッキングの入り口として典型的なものです。ゲームのセーブファイルとバイナリエディタを手に入れ、いじり始めました。「残りライフを制御しているバイトはどこだろう。書き換えれば、ライフを無限にできるのでは」。その後、映画『ハッカーズ』を観ます。「もう衝撃でした。これをやりたいと思いました。サイバー空間を飛び回って、ギブソンをハックしたい。出てくる連中はみんなかっこいい、と」
テューエン氏は「いたずら」をしていたものの、映画に刺激されてギブソンのハッキングを夢見ていたものの、不道徳な行為や有害なハッキングに手を染めたことはありません。ただ、清廉潔白だったわけでもありません。「当時は、自分たちが悪いことをしているという認識がはっきりありませんでした。トラブルになるとも思っていません。単純に、この番号に電話すればこのシステムに入れる、何のシステムだろう、わからないから少し探ってみよう、という感覚でした」。若いころのハッキングは、悪意ではなく好奇心によるものでした。
「システムを立ち上げて、いじり回していました。この脆弱性はどう動くのかと。SQLインジェクションを理解するためだけにウェブサイト上にデータベースを構築しましたが、だからといって、悪用できるシステムを探しに出かけることはしませんでした。そこは越えたくない一線だったのだと思います。それほどルールを破るタイプではありませんでした」
高校卒業後はノースダコタ大学に進学し、コンピューターサイエンスの学士号を取得しました。授業は楽しんだものの、技術面は充実していた一方で、セキュリティのプログラムがなかったと感じたそうです。「ノースダコタでは多くのことを学びました。地理的な条件も幸いしたのかもしれません。ノースダコタは、あなたのテーブルよりも平らなので、ケーブルを引き回すのがとても簡単でした。ダイヤルアップ関連のおもしろいことができたので、それも一因です」と付け加えます。
その後、アイダホ大学でコンピューターサイエンスの修士課程に進みました。政府が運営する奉仕型奨学金(SFS)プログラムです。「簡単に言えば、奨学金をもらう代わりに、卒業後の数年間は政府のために働き、政府が投資に見合うものを得られるようにする仕組みです」と説明します。
その時期が来て、選択肢を検討しました。政府の職の多くは東海岸にありました。しかし同氏は人口7,000人ほどの小さな町の出身です。
東海岸で何度か面接を受けたものの、魅力を感じませんでした。結局、気の進まない東海岸か、全米各地にあるエネルギー省の研究機関のいずれかという選択になり、そのうちの一つがアイダホにありました(いまもあります)。
アイダホ国立研究所(INL)は、エネルギー省の原子力エネルギー研究開発の中核拠点です。産業用制御システム(ICS)や制御技術(OT)の防御に関する世界的な権威としても知られています。所有者は形式上エネルギー省で、運営は当時もいまも民間のBattelle Energy Alliance(BEA)が担っています。
「結局INLに行き、本当によかったと思っています。素晴らしいチームで働き、のちにGravwellを共同創業するパートナー(クリストファー・ワッツ氏、現CTO)と出会ったのもここです。コンピューターの仕組みをいじり回すという点で、あの時期が本格的に扉を開いてくれました」
テューエン氏は2013年までINLに勤め、同年にケネス・ショー氏とともに退職し、2人でSouthfork Securityを共同設立しました。ここで初めてトラブルに巻き込まれます。きっかけは、以前から望んでいた「看板を掲げて独立しよう」という思いつきでした。
Southforkについて、同氏はこう語ります。「セキュリティテストができるのではないかと考えました。スキルは十分にありました。そのアイデアを民間に持ち込んで、何ができるか試そうと。Southfork Securityの名でオープンソースのツールをいくつか作ったのですが、それが新たな大騒動に発展しました」
この騒動は複雑で泥沼化しました。一因は、悪意を含まない意味で「ハック」という言葉を早くから使っていたことにあります。当時のハックやハッキングは、現在のような道徳的に中立な響きを持っていませんでした。それでも同氏はSouthforkを「私たちはものをハックし、ツールを作る会社」と表現しました。この点は頭の隅に置いておいてください。経緯としては、同氏とショー氏はINLでICSのサイバーセキュリティツール「Sophia」を共同で開発していました。INLでは、ソフトウェアを開発し、実質的に民間へ展開するのが慣例でした。
民間企業となったSouthforkは、Sophiaの商用化プロセスで入札に参加しました。2人の創業者はINL在籍中にSophiaの開発で重要な役割を果たしていたので、筋は通っています。しかし、新会社が入札を勝ち取れないことはすぐに明らかになりました。
「そこで、ほぼゼロから、Sophiaと同じ課題を解決しつつオープンソースとなるツール(Visdom)を作りました」
ここから話がこじれます。同じ課題を解く2度目の試みは、1度目とどこまで違うといえるのでしょうか。BEA(INL側)は違いはないと判断し、テューエン氏とSouthfork Securityを著作権侵害、営業秘密の不正利用、雇用契約違反で提訴しました。VisdomはINLの専有コードから違法に派生したものだと主張したのです。
訴訟は公開の法廷審理には至りませんでしたが、裁判所の審理の水面下では、当初はテューエン氏の敗訴が濃厚と見られました。その後、勝訴の可能性も出てきましたが、最後は自ら和解に応じる形で終わりました。おそらく訴訟を続ける資金が尽きたためです。敗訴濃厚に見えたのは、BEAが強硬な一方的(エクスパーティ)仮差止命令をすぐに得たからです。この命令により、フォレンジック専門家がテューエン氏のコンピューターのハードディスクをイメージ化できるようになり、Visdomのソースコードの公開も一時的に差し止められました。BEA側は、テューエン氏が自ら(悪意ある)ハッカーを名乗っており(「私たちはものをハックし、ツールを作る」)、証拠を破壊するおそれがあると主張しました。
審理が進むにつれ、裁判官の心証は変わったようです。BEAによる当初の差止請求は退けられ、仮差止命令の一部は解除されました。BEAが求めた略式判決も認められませんでした。裁判は一向に進展しませんでしたが、資金力だけを見ればBEAがSouthforkより長く持ちこたえる状況でした。裁判所が重要な判断を示す前に、双方は非公開で和解しました。VisdomはBEAに引き渡され、Southforkは事実上解散しました。裁判所が当初、創業者を悪意あるハッカーと誤って決めつけたことが大きな原因でした。
Southforkの整理後、テューエン氏は2014年にDigital Bondへ移りました。上級研究員として、産業用制御システム、IoTセキュリティ、脆弱性研究に取り組みました。2015年末に同社を離れ、上級コンサルタントとしてIOActiveに加わりました。同社は攻撃的セキュリティの企業で、所属する人々はしばしば自らを「悪事を正しいやり方で行う海賊」と称しており、同氏の思考にぴったりの職場でした。
2017年にIOActiveを退社してGravwellを設立し、それから10年近くたついまもCEOを務めています。同氏は2020年、IOActiveにゲストブログ「Hiding in the Noise」を寄稿しました。この記事には、同氏の経歴と考え方がよく表れています。「アイダホ国立研究所、Digital Bond、IOActiveで長年働きました。これらの職場での私の仕事は、攻撃側として0-day脆弱性を見つけることでした」
これらの企業ではいずれもICSに注力しました。最初はINLの重点分野だったことがきっかけですが、難しく、ほかとは少し違うことから関心を持ち続けました。
「プロトコルのリバースエンジニアリングをするわけです。独自プロトコルも含めて、解析して低レベルのネットワークバイナリを扱う作業が必要になります。どれも非常に興味深いものでした。一般的なITシステムは、ある種の技術に収束してきています。たとえば、いまはすべてがウェブです。その点、ICSは難しく、とても興味深い分野です。組み込みシステムが詰まった、ICSと関係の深い車両の研究にも取り組みました。そこも私にはとても魅力的でした」
同氏はGravwellを、セキュリティログ、マシンデータ、ネットワークデータのためのデータ分析プラットフォームと説明します。「防御とは、脅威アクターXYZがどう動くかを調べるだけではないと考えています。自社の環境を理解し、防御側の最大の強みを最大限に生かす必要があります。ここは自分たちの縄張りで、その中身を誰よりも知っているのは自分たちだ、という強みです」
コリー・テューエン氏は複雑な人物です。ハッカー的な思考を持ちながら、悪意あるハッキングに誘惑されたことは一度もありません。若いころは少しやんちゃでしたが、悪質ではありませんでした。Gravwellの採用で探している「イービル・ビット」を、同氏自身が持っているわけです。ただし、それは従来の意味での「悪」ではありません。善い目的を達成するために、やんちゃにはなっても、悪質にはならないという力です。
こうした姿勢は、本人が「意地」と呼ぶものにも表れています(これも、「意地悪」のような否定的な意味ではありません)。「ハッカーに余分な時間を使わせて良い成果を引き出す最良の方法は、『このシステムはハッキング不可能だ』と言うことです。そう言われたら、ええ、わかりました、となりますから」と同氏は説明します。
「私は正義感も意地も強すぎるのだと思います。絶対にできることを『できない』と言われたら、意地でもやります。誰かがそう言ったからといって、それが真実とは限りません」。ハッキング不可能だという主張は、あらゆるハッカーへの直接の挑戦状です。
同氏には起業家としての顔もあります。これまでに2つの会社を設立しました。最初のSouthfork Securityは、物議を醸す形で失敗に終わりました。2社目のGravwellは、まもなく10年を迎えます(他社に勤めた期間の短さと比べてみてください)。自分の運命は自分で握りたいという思いがうかがえます。一方で、人柄には一見矛盾した面もあります。ハッカーは壊す人間で、起業家は作る人間です。コリー・テューエン氏はその両方をこなしますが、いつも茶目っ気とユーモアを忘れず、口語的な言い回しをふんだんに交えます。
翻訳元: https://www.securityweek.com/hacker-conversations-corey-thuen-and-the-evil-bit/
