XPを使い続けるのがセキュリティ的に危険な理由（ワケ）

Windows XPとOffice 2003の延長サポートが来年4月9日に終了する。それ以降の使用はセキュリティの観点から危険とされているが、それはなぜか――。

[ITmedia]

　Windows XPとOffice 2003の延長サポートが2014年4月9日で終了する。この日を最後に、脆弱性を修正するパッチが提供されなくなり、両製品の継続利用はセキュリティリスクを伴うこととなる。パッチ提供が無くなる以外にもさまざまな危険性がつきまとうことになりそうだ。

　日本マイクロソフトが4月9日に行った記者会見で樋口泰行社長は、XPやOffice 2003のユーザーにできるだけ新しいバージョンの製品の利用を求めた。その理由は、新しい製品ほどセキュリティ対策機能が強化されているというもので、同氏は「いわば堅牢な耐震設計を施しているようなもの」と説明する。

　同社のチーフセキュリティアドバイザーを務める高橋正和氏によると、近年は高度なサイバー攻撃の脅威が現実のもとして頻発化している。単にウイルスに感染する、大量の迷惑メールが送り付けられるというものではなく、攻撃者はそれらを手法として組み合わせた形で行使する。その狙いも、企業や組織、個人から機密情報を盗み出して金銭に換える、あるいは、システムダウンを引き起こして社会的な混乱やビジネス的なダメージを誘発させるものになった。

　新しい製品における「耐震設計」とは、こうした脅威の変化への対応を指すという。例えば、Windowsをみてみると、XPではネットワークワームへの対策に主眼が置かれる。Service Pack 2でWindowsファイアウォール機能が提供されたのが代表的だろう。上述のサイバー攻撃の変化の兆しがみられ始めたのは2005年ごろのこと。2006年にリリースされたVistaから標的サイバー攻撃対策に主眼が移り、7や最新版の8において防御機構が多重化されていった。

　Office製品でも同様に防御機能が強化されていった。その一例ではOffice 2007からファイル拡張子が、従来の「doc/xls/ppt」から「docx/xlsx/pptx」に変更されている。これは、Officeファイルの構造をバイナリからXML化したことによるもので、ファイル内に不正なコードを埋め込みにくくさせて、Officeファイルが攻撃に悪用されるのを阻止する狙いがあったという。Office 2010ではWindowsと同様に多層的構造の防御機能を備えている。

　高橋氏は、製品のサポート終了についてセキュリティの観点から、「ウイルスの感染経験が無い」「感染しても大した被害は無い」「うちが狙われるわけが無い」といった声を耳にするという。しかし、こうした声は実際にサイバー攻撃の被害に遭えば変わるものだろう。その場合、「時に既に遅し」という状況もあり得る。製品の防御機能は、セキュリティの脅威の被害からユーザーを未然に保護することが目的ともいえる。

　XPの継続利用に伴うリスクの一つは、こうした新しい製品に実装されている多層的なセキュリティ機能のメリットを享受できないことだろう。また、XP製品群のうち組み込みシステム向けの「Windows XP Embedded」については2016年1月16日まで続く。万一PC向け製品にも共通する脆弱性が見つかった場合、この脆弱性を悪用する攻撃が発生するかもしれない。それが顕在化した時、ユーザーを保護する抜本的な方策が全く無いことになる。

　ジャストシステムが10日に発表したインターネットユーザーの調査によれば、XPを現在利用しているというユーザーは28.7％だった。類似の調査をみても、約3割程度がXPを使い続けているという状況にある。多くの企業ではリスク管理として7や8への移行が進んでいくとみられるが、それでも使い続ける企業は少なからずあるだろう。その場合には、リスク管理の観点から企業としての姿勢を問われることになるかもしれない。個人でも比較的新しいPCであれば、OSのバージョンアップやデータ移行ツールなどを使って対応できる。

　このように、WindowsやOfficeを新しい製品に移行することは、セキュリティの脅威がもたらす深刻なリスクを考慮すれば理にかなった選択であり、ユーザーの負担もそれほど大きなものではないといえるだろう。

　ただし、ここで懸念されるのは、2007〜2008年ごろに大量に販売された「ネットブック」マシンだ。ネットブックは、ディスプレイ解像度が低いなどハードウェア上の制約が多く、OSのバージョンアップができないか、仮にできたとしても、従前の使い勝手が損なわれる可能性もある。ハードウェアを含めた買い替えが必要だが、XPを継続利用するユーザーは少なくないだろう。ここが潜在的なリスクとなるかもしれない。