「最新のセキュリティ対策を導入したから安心だ」。もしそう語る専門家がいたら、その人は歴史を知らないか、あるいは嘘をついています。
情報セキュリティの歴史、それは人類が「完全な安全」を目指し、そして残酷に打ち砕かれ続けてきた敗北の記録です。ニュースを開けば連日のように報じられるサイバー攻撃や個人情報漏洩。これほどテクノロジーが進歩した現代において、なぜ私たちはたった一つのシステムすら完璧に守ることができないのでしょうか。
実はその答えは、今から50年以上も前にすでに出されていました。人類は、コンピュータが普及し始めた黎明期に、すでに「構造的な敗北」を宣告されていたのです。今回は、なぜ防御側は常に不利なのかという『鬼滅の刃』にも似た構造的欠陥から、7年という歳月を無に帰した証明プロジェクトの末路まで、デジタル社会が抱える「逃れられない絶望」の正体に迫ります。
1. 攻撃者に有利な「夜の闇」で戦い続ける、防御側の不平等な構造
情報セキュリティの本質的な難しさを理解するために、まずは一つの概念を知る必要があります。それが「攻撃者の非対称的な優位性」です。
この概念を、これ以上なく見事に象徴しているのが、漫画『鬼滅の刃』における鬼殺隊と鬼の戦いの構造です。無限列車編において、夜明けと共に逃げ出した上弦の鬼・猗窩座（あかざ）に対し、主人公の炭治郎は涙を流しながらこう叫びました。
「逃げるな卑怯者！ 鬼殺隊はお前らに有利な夜の闇の中で戦ってるんだんだぞ！」
この叫びは、そのまま現代のセキュリティ担当者の悲鳴として置き換えることができます。情報セキュリティの世界において、防御側（鬼殺隊）は常に、攻撃側（鬼）にとって圧倒的に有利な土俵で戦うことを強制されています。
攻撃側は、巨大な城壁のどこか一箇所、たった一箇所のひび割れや隙間を見つけさえすれば「勝利」となります。対して防御側は、城壁のすべて、それこそ24時間365日、全方位を完璧に見張り続けなければ「敗北」してしまいます。たった一人の見張り番が瞬きをした瞬間、あるいはたった一つのレンガが風化した瞬間、システムは崩壊するのです。
この「一箇所でいい攻撃側」と「全方位を守る防御側」という圧倒的な不平等がある限り、セキュリティにおける「完全な勝利」は、原理的に、そして構造的にあり得ないのです。鬼殺隊が常に夜の闇という不利な条件で戦うように、私たちはコンピュータを使う以上、この非対称な呪縛から逃れることはできません。
2. 1970年「ウェアレポート」が突きつけた、あまりに早すぎた終焉
「今はまだ技術が足りないだけで、いつかは完璧なシステムができるはずだ」。そう信じたい気持ちは分かります。しかし、人類の知性は50年以上前の1970年に、すでにその希望を公式に打ち砕いています。
当時、アメリカ国防総省が有識者を集めて作成した歴史的な報告書「ウェアレポート（コンピュータシステムのセキュリティ管理）」は、現代のセキュリティ担当者が今なお直面している絶望の原点です。超エリートたちが集まり、どうすれば国家機密をコンピュータで守れるかを真剣に検討した結果、出された結論は驚くほどシンプルで、かつ投げやりなものでした。
「大規模なソフトウェアシステムにおいては、エラーや異常が完全にないことを検証するのは事実上不可能である」
考えてもみてください。国防総省から集められた最高の頭脳たちが、分厚い報告書をまとめ上げ、その最後に真顔で「無理です」と書いた時の絶望感を。
なぜ不可能なのでしょうか。その理由は「組み合わせ爆発」にあります。システムが巨大化・複雑化し、機能が増えれば増えるほど、プログラムの挙動の組み合わせは天文学的な数字に膨れ上がります。万能を目指して巨大化したOS（オペレーティングシステム）の全コードを完璧に管理し、あらゆるパターンでミスがないことを確認することは、コスト的にも論理的にも、人間の手に負える領域を超えてしまったのです。巨大な城壁を一人残らず、アリ一匹通さずに見張ることが物理的に不可能なのと同様、OSという巨大な迷宮に脆弱性をゼロにすることは、半世紀前に「不可能」と定義されました。
3. 知性の敗北：7年かけて導き出した「安全である可能性がある」という名の虚無
「システムが大きすぎるからいけないんだ。だったら、極限まで機能を削ぎ落とし、数学的に安全を証明できる小さなOSを作ればいいじゃないか」
1970年代、ウェアレポートの絶望に抗うべく立ち上がったのが「PSOS（証明可能な安全性を持つOS）」プロジェクトでした。彼らの思想は極めて純粋でした。プログラムの一行一行を、まるで数学の証明問題のように「これが正しいこと」を証明し積み上げていけば、絶対に穴のないOSが完成するはずだ、と考えたのです。
世界最高峰の知性が結集し、7年という途方もない歳月が費やされました。たった一行のコードが安全であることを証明するために、気の遠くなるような数式を積み上げ、あらゆる分岐を潰し続ける日々。しかし、7年間の苦闘の末、彼らがようやくたどり着いた結論は、信じられないほど曖昧で、ある種空虚なものでした。
「安全である可能性がある」
これが、人類が知性の限界まで挑んで得た答えです。「危険であるとは証明されなかった」という消極的な事実だけであり、結局のところ「100%安全である」と断言することはできませんでした。この虚無感こそが、コンピュータ科学が突きつけられた冷厳な限界点です。これほど多大な努力と知性を注ぎ込んでも、得られたのは「確信」ではなく「否定できない」という霧のような言葉に過ぎなかったのです。
正直なところ、100%の安全が存在しない以上、現代のセキュリティは「破られないこと」を目指す段階をとうに過ぎています。今は「破られたときにいかに早く修復し、被害を最小化するか」という、敗北を前提としたレジリエンス（生存戦略）へとシフトせざるを得ないのです。
4. 「絶対」を信じる者からハックされる。オラクル創業者の大失態
情報セキュリティにおいて「アンブレイカブル（絶対に壊れない）」と豪語することが、いかに危険な脆弱性になるかを示す有名なエピソードがあります。
データベース最大手オラクルの創業者が、現場のエンジニアたちの制止を振り切って、「オラクルはアンブレイカブルだ！」という挑発的な広告を打ったことがありました。この宣言は、世界中のハッカーたちにとって「世界一難しいパズルを解いてみろ」という招待状に他なりませんでした。
一斉に開始された攻撃。その結果はどうだったか。セキュリティの脆弱性を修正するためのパッチ（プログラム）の発行数は、月に数件程度だったものが、瞬く間に倍々ゲームで増え続け、最終的には数百件という異常な数にまで膨れ上がったのです。
「絶対」を信じる心、あるいは「絶対」を標榜する傲慢さ。それ自体が、攻撃者を呼び寄せ、システムを崩壊させる最大の穴となります。現代のシステムも常に、私たちの知らない未知の穴を内包しています。私たちが手にしているiPhoneも、仕事で使うクラウドも、その根底には「誰にも見つけられていないだけの穴」が必ず潜んでいるのです。
まとめ
この記事をまとめると…
- 非対称な戦い：攻撃側はたった一箇所の隙を見つければいいが、防御側は全方位を守らなければならない。この『鬼滅の刃』のような不平等な構造がセキュリティの宿命である。
- 1970年の宣告：半世紀前の「ウェアレポート」の時点で、大規模システムからエラーを完全になくすことは論理的に「不可能」だと定義されていた。
- 知性の限界点：7年をかけたPSOSプロジェクトですら「100%の安全」は証明できず、「安全である可能性がある」という虚無な結論に終わった。
- 敗北を前提としたリテラシー：完全な安全など存在しない。重要なのは「絶対」を信じることではなく、常にリスクと隣り合わせであることを認める冷徹な認識である。
私たちは、50年前に突きつけられた「守れません」という宣告を抱えたまま、デジタルの海を泳いでいます。完全な安全が存在しない世界で私たちが持つべきは、完璧な盾への妄信ではなく、いつか盾が砕かれることを前提とした、しなやかな生存戦略とリテラシーなのです。
配信元
番組名：ゆるコンピュータ科学ラジオ
タイトル：情報セキュリティの敗北史。システムはなぜ安全にならないのか？【セキュリティ1】#97
配信日：2023-11-05
