Scribble at 2022-06-22 14:53:24 Last modified: 2022-06-22 17:17:36

HDMI というインターフェイス規格は、ふつうモニターとパソコンとを結ぶ映像ケーブルのものだと知られているが、HDD レコーダなどでも使われるように、他にも多くの形式のデータを伝送するために使われる。規格の策定とライセンスの管理をしている団体にメーカーは年会費を払う必要があり、また個々の製品にもロイヤリティが必要であることから当初は採用する事例が少なかったが、最近は HDMI のロゴを使うといった幾つかの条件をつけてロイヤリティが下がったことから、低価格のパソコンやモニターでも採用されるようになってきた。従来のアナログ端子やデジタル端子よりも小さくて台形の（ときどき片方が直角になっている変な形状のコネクタもあるが）コネクタと言えば、「ああ、あれか」と思い当たる方も多いだろう。

「他にも多くの形式のデータを伝送するために使われる」と書いたが、映像データを HDD に送出できるということは、映像データの中に色々なデータを仕込めば送出できるということでもある。そして、オンラインの映像サービスで配信されている映像に不正な信号が仕込まれているかどうかなんて、たいていの利用者は考えもしないだろう。しかし、やろうと思えばブラジルの「いけないサイト」からダウンロードした最新アニメの動画にウイルスが仕込まれているかもしれないし、Chromecast でアクセスした YouTube のチャネルから、特定のサーバを攻撃するボットが埋め込まれている動画がばら撒かれている可能性だってある。

こういう事例でも改めて思うのだが、僕が日本で生半可な情報セキュリティの記事を書いているお子様方の不見識に強い違和感を持つのは、たとえば「攻撃ベクター」という用語を、あたかも攻撃のパターンであるかのように解説している人がかなりいるということだ。たとえば、ウイルスやワームに感染させるために、メールにスクリーンセーバーのプログラムを添付するか、それとも自己解凍形式の ZIP ファイルを添付するか、あるいはマクロ入りの WORD ファイルを添付するか、こういう違いを「攻撃ベクター」の違いだと思い込んでいる人がたくさんいる。そして、こういう視野狭窄な人々の解説によって、愚かな記事を読んで何か重要なことを知った気になってしまう人たちも、同じ程度の視野狭窄に陥り、そして困ったことにそういう人たちは自分が視野狭窄であるかどうかに気づくチャンスが殆どない。

attack vector が "vector" という言葉を使っているのは、或る攻撃対象を攻撃できる可能性について分割したり分析すると、それぞれ異なる観点から異なる効力や難しさの攻撃が可能だからだ。そして、線形代数の初歩的な理解が教えるように、それら異なる攻撃手法を組み合わせると、目標にするポイントとは関係なさそうに見えるところへの攻撃が組み合わさって、本来の攻撃対象について有効な攻撃となるかもしれない。つまり、攻撃ベクターとは出来合いの攻撃のどれを選ぶかといった、バカでも予想できたり対策できるような既存の選択肢という問題ではないのだ。情報セキュリティ・エンジニアリング（そして、それゆえに攻撃も）が、或る意味で「クリエイティブ」であると言われるのは、こういう理由がある。

もう少し正確に言えば、攻撃ベクターの vector としての効力（スカラー）と向き（攻撃対象）が通常の情報セキュリティ攻撃と一致するということはありえる。その場合は、攻撃ベクターと攻撃方法や攻撃手法は同じことを意味するので、用法としては一致していてもよい。しかし、攻撃手法は認証情報の盗聴なら認証情報の盗聴が目的であり、それしかしない。これに対して攻撃ベクターは別の目的があって認証情報を盗聴することもあるが、それはもともとの目的ではない場合もある。