今回は，2004年前半にも出荷が予定されているWindows XP Service Pack2（SP2）を取り上げます。SP2は2004年3月2日現在，最終開発段階に入っていると予想され，米Microsoftはすでに大量の関連情報をWebサイトで公開しています。今回は，一般公開されている情報を紹介しながら，SP2出荷の意味と機能概要を把握することにします。
SP2の出荷背景
| 図1●SP2の出荷背景 |
|
図1から受ける印象は個人個人により大きく異なると思いますから，以降の解説を読む前に，まずこの図を時間をかけて眺め，自分なりの解釈を試みるとよいと思います。一部の方は，技術的な観点から，次のような解釈を導き出すかもしれません。
「Microsoftはセキュリティ問題解決を最優先課題と位置付け，修正パッチを多数出荷してきた。しかし残念なことに，それらを問題解決の決定打とするにはいたらなかった。そこでMicrosoft社は，一時的な対策（修正パッチ提供）ではなく，根本的な対策（技術革新）の必要性を痛感したようである。
客観的に見て，これは自然な解釈ですが，その一方で次のような新たな疑問点を提示しています。
疑問1：SP2はもはやService packとは呼べないのではないか？
疑問2：Microsoft社が考えている技術革新とは具体的にはどのようなものか？
疑問3：技術革新のユーザーへの影響はどの程度なのか？
疑問4：技術革新はどのような成果を挙げるのか？
SP2は現時点（2004年3月2日）ではまだ出荷されていませんから，これらの疑問への回答を用意することは時期尚早です。しかし，今後のSP2に関する公開情報を吟味・検証する際の重要な視点にはなるでしょう。
それでは今度は，技術的な視点ではなく，マーケティングという角度から，図1の解釈を試みてみましょう。例えば，次のような解釈を導き出す人がいるはずです。
Microsoft社は多数の修正パッチの配布成果を誇るとともに，すべてのユーザーがそれらの修正パッチを（労をいとわずに）適応してくれていたならば，一部のウイルスやワームのまん延を防止できた，と主張しているようである。
図1を見ると分かるように，「Security Patches proliferating」という見出しが先頭に置かれ，多数の修正パッチの配布努力を暗に強調しています。これはかなり（論理を欠く）強引な解釈と思われそうですから，次のようなBill Gates氏の発言内容も紹介しておきます。
The second is just the updating thing. Anybody who kept their software up to date didn't run into any of those problems，because the fixes preceded the exploit. Now the times between when the vulnerability was published and when somebody has exploited it，those have been going down，but in every case at this stage we've had the fix out before the exploit.
この発言内容は，こちらで公開されたものですが，驚いたことに，先の解釈内容とまったく同じです。Gates氏の発言内容を日本語で忠実に再現すれば，次のようになります。
修正パッチを適応していれば，問題はいっさい発生しなかったはずです。脆弱性が悪用される前に，必要な対策が取られるからです。確かに，脆弱性が公表され，それが悪用されるまでの間隔は狭まっていますが，修正パッチを適応しておきさえすれば，悪用を防止できたというのがこれまでの事実です。
ご覧のように，Gates氏は修正パッチの実効性を強調するとともに，同時に，「脆弱性の公開とその悪用間隔の短縮化傾向」（セキュリティ問題の深刻さ）にも触れています。この短縮化傾向は，先の図1内では，「修正パッチ公開日と悪用間隔の短縮化」としてデータ付きで図解されています。例えば，SQL Slammerはパッチ公開から180日後，同じように，Blasterは25日後にぞれぞれまん延し始めたとされています。つまり，修正パッチをその都度適応していれば，いずれも防止できた，というわけです。しかし，Gates氏の発言内容は，次のような疑問への回答を用意しているわけではありません。
疑問1：修正パッチの適応作業は余分な負担ではないのか？
疑問2：適応後の修正パッチの管理作業は余分な負担ではないのか？
疑問3：適応後の動作確認作業は余分な負担ではないのか？
疑問4：修正パッチを適応しても，次に出現するウィルスへの脅威は残っているのではないか？
先に紹介した4つの疑問とここで新たに追加された4つの疑問の，合計8点の疑問点リストを見て，皆さんはどのようなことをお感じになりますか。すでに触れたように，SP2が正式に出荷されていない今，これらの疑問への回答を用意することは時期尚早ですが，幸いなことに，方向性（改善点）は打ち出されています。それでは次に，現在確認できる範囲の改善点の一部を見てみましょう。
SP2の改善点
Microsoftが公開する多数のSP2関連ドキュメントでは，SP2の改善点という場合，一般には，次の4つの機能のみを指しています。
- Network protection
- Memory protection
- Safer message handling
- More secure browsing
ところが，こちらからダウンロードできる「Windows XP Service Pack 2 White Paper」というタイトルのWord形式ドキュメントでは，次のようなより多くの改善点を紹介しています。
- Network protection
- Memory protection
- Execution Protection (NX)
- More secure browsing
- Safer message handling
- Improved computer maintenance
- Windows Update 5
- Windows Installer 3
- Security Center
これら9つのSP2改善点を見ると，次の2つの方向性が打ち出されていることははっきりします。
- SP2はもはやSPとは呼べない
- 新しい技術が導入される
| 図2●SP2の改善点 |
|
ご覧のように，SP2は「通常のバグフィックスを超えるものである」と表現され，次の3つの役割を引き受けると述べられています。
- 既存バグの修正
- Windows XPセキュリティの大幅な改善
- アップグレード・プロセスの簡素化
現時点で断定することはできませんが，先に挙げた8つの疑問への回答は用意される，と考えてよいでしょう。一部の方は，「Security Center」という項目に興味を示されていると思います。「Security Center」は，セキュリティ関連機能を一元的に管理・操作するためのGUI（Grahical User Interface）といわれます。GUIの意味と役割，および問題点は，前回触れましたから，今回は割愛します。
現時点で間違いなく言えることは，SP2適応後のシステム運用では，GUIとしての「Security Center」がきわめて重要な意味を持つ，ということです。また一部の方は，「Execution Protection (NX)」や「More secure browsing」などの項目に視線を向けたことでしょうが，今回はSP2の概要を紹介するにとどめ，個々の機能項目については，今後の連載で詳しく取り上げることになります。
Microsoftは今後多数のSP2関連ドキュメントを公開することと思います。多くの方は，その中のどのドキュメントを読んでよいのか分からなくなると思います。私は次のような選択基準を設けています。参考になればさいわいです。
- 「ICF」あるいは「インターネット接続ファイアウオール」という用語を無条件で採用しているドキュメントは信頼できない
現在の「ICF」あるいは「インターネット接続ファイアウオール」は，SP2仕様では「Windows Firewall」に名称変更されています。 - 現在のWindows XPを構成するすべてのバイナリファイルが再コンパイルされることに言及していないドキュメントは信頼できない
本連載ですでに触れたように，SP2は現在のWindows XPをWindows Server 2003に近づけることにあります。このため，必要最小の対策として，バイナリファイルの再コンパイルが必要になります。具体的に言えば，Dependency Walkerで調査できるリンカー・バージョン番号が7.10以上になっている必要がある，ということです。この点をはっきり述べていないドキュメント，あるいは，そのドキュメントの作者は，現状認識が甘いといわざるを得ません。なお，Dependency Walkerについては，第9回を復習してください。
今回のまとめ
- SP2は従来のService Packという範疇で捉えるべきではない
- SP2関連情報が多量に公開されている
- 信頼できる公開情報を選択的に読むべきである
今回は以上で終了です。次回またお会いいたしましょう。ごきげんよう！
