「ゴミ箱」とセキュリティ研究者が酷評　Microsoft Recallの変更の顛末

自動ハッキングツール「TotalRecall」

　サイバーセキュリティ戦略家で倫理ハッカーのAlexander Hagenah氏は、RecallがPCに記録する全ての情報を自動的に抽出して表示するツールをGitHubで公開した。

　「TotalRecall」（1990年の有名なSF映画のタイトルと同じ）と名付けられたツールは、Recallデータベースの場所を自動的に判別し、ファイルのコピーを作成し、その際にすべてのデータを解析するプログラムだ。ソフトウェアの正式リリース前に公表して、セキュリティ強化を促すことを目的に作成された。

　Recallのデータは、軽量データベースのSQLiteでユーザーフォルダに保存される。TotalRecallはデータベースを解析して、指定した条件で検索する。画像の文字情報はOCR機能を利用して抽出するなど、Recallの機能をうまく利用している。

　Hagenah氏は、このプログラムを「とても基本的なSQLiteの解析」と説明している。また、Q&Aでは「PCにログインしてソフトウェアを実行すると、暗号は解除される」と述べ、Microsoftが当初から説明してきた「データは暗号化して保存される」という対応では、安全とは言えないことも指摘している。

　6月6日付のWIREDは、こうしたセキュリティ研究者たちの警鐘と研究内容を解説した。その中で元NSA（国家安全保障局）のハッカーで、サイバーセキュリティコンサルタントのHunter Strategy氏は「現状、Recallはセキュリティのゴミ箱のようなものだ。これは、企業セキュリティの観点から見て、私がこれまで見た中で最も恐ろしいものの1つだ」とコメントしている。

　この翌日、MicrosoftはRecallのアップデートを発表した。CEOのSatya Nadella氏が「ほかの何よりもセキュリティを優先する（Prioritizing security above all else）」と題した社内向けメッセージを発して、約1カ月後のことでもあった。