脅威モデリング：初心者向けガイド

序論

• 「脅威モデル（Threat Model）」という概念は、多くの分野において未知のものとして認識されています。
  • ハイブリッド型ポストアーク量子暗号の議論や、エンドポイント攻撃への翻弄など、混沌とした情報環境の中でこの重要性に気づかされました。
  • 学術的な文献を探している方へ：まずは STRIDE やシステム理論から学習してください。
• 本記事の対象者: 新規スタートアップやゼロからの設計において、「良い脅威モデルが答えるべき問い」を直感したい方。

初心者向けの脅威モデリング

基本的な考え方

• 過度に複雑にする必要はありません。「大雑把」であり、非公式なプロセスとして実施可能です。
• プロダクトやサービスの設計段階で実行することで、良い結果につながる可能性があります。
• 最低限答えるべき 3 つの問い：
  1. 何を保護しているか？（資産）
     • これを定義できない場合は、基礎作業が残っています。
  2. 誰が攻撃しようとしているか？（アクター）
     • ハッカー、アクティビスト、自然災害、過労な従業員、ロビイスト、国家の敵対者など。
  3. どのように攻撃されるか？
     • 具体的な攻撃シナリオと「ムア phys' の法則（何でもあり）」を記録する。
  4. どう防ぐか？（緩和策）
     • リスクを軽減するための具体的な行動。

よくある欠陥と改善点

• 単純なチェックリストとしての限界：重要な詳細情報が省略されることが多く、実用的でないことが多いです。
• 関係性の把握: 資産は単なるリストではなく、**グラフ（相互接続性）**として考える必要があります。
  • すべての標的が同じ価値を持つわけではありません。
• 前提条件（アジュームション）の明示: 「何が事実か」という仮定を隠さないことが重要です。
  • 例：インビジブルサラマンダー攻撃 は、E2EE システムにおける「1 メッセージ = 1 キー」という前提が成り立つ場合にのみ機能します。
• 「生きているドキュメント」として: スナップショットではなく、状況に合わせて継続的に更新する必要があります。

やり始める方法（ステップバイステップ）

専門的な脅威モデリングの推奨アプローチ（Threat Modeling Manifesto 流）は以下の通りです：

1. メモ（7 つの項目）
   • デザインに関する主要な要素を、コピー＆ペーストで管理しやすい形式でメモします。
2. マッピング
   • システム全体を大きな紙（またはデジタル図）上に描きます。
   • コンポーネント間の通信関係や依存関係を線で結んで視覚化します。
3. ズームイン（詳細分析）
   • 全体のグラフ上でボックスを引いて領域を切り出し、一つずつ掘り下げます。
   • そのコンポーネントへの入出力をすべて記録し、7 つの項目に対して回答を試みます。
4. 反復
   • このプロセスを繰り返して抽象化度を下げ、より深いレベルでの前提条件を確認します。

実践的なアドバイス

• 最高レベルから始めて細部に降りる: データベースは X25519 に依存しないが、RSS フィード機能を備えるのは不適切な場合があるなど、関係性を慎重に確認しましょう。
• 不十分さを認める: プロジェクトの初期段階でも「不完全なモデル」を書くことが、最終的なセキュリティ向上につながります。

良い例と悪い例

良い特性を持つモデル（作者自身の例）

• 明確なセクションに分かれている：
  • 前提条件
  • 資産
  • アクター（攻撃者・被保護者双方をロール名付きで定義）
  • リスクのステータス分類：
    • 設計により防止済み
    • 緩和済み（前提条件が正しければ問題なし）
    • 対処可能（コストと努力が必要）
    • 未解決（Open）

悪い例：Matrix の脅威モデル

• Matrix の仕様書に含まれるセキュリティ脅威モデルは、以下の点で改善余地があります：
  • 単なる攻撃タイプのリストであるがに過ぎない。
  • 資産や前提条件のリストが存在しない。
  • 暗号学やキー管理に関する記述が含まれていない。
• 評価: 「C-」（悪質な脅威モデルよりはマシだが、実質的に機能していない）
• Signal と比較すると、Signal は仕様のみで脅威モデルを導き出させる方針ですが、Matrix のドキュメントは陳腐化しており更新されていません。

脅威モデリングがもたらす成果

セキュリティ原則の理解深化

• **「攻撃者は一度正しくなれば十分」**という防衛側の原則を理解する助けになります。
• クレデントスタッフィングの防止:
  • パスワード再利用は人間のためのものであり、システムとして許容すべきではありません。
  • 解決策: パスキー（Passwordless）の採用と、適切なバックアップ計画の実施です。
  • これにより、フィッシングやcredential stuffing のリスクが軽減され、ユーザビリティ向上も図れます。

分散型 E2EE における意思決定

• MLS プロトコルを採用する際の課題（認証サービス、メッセージ順序付け）を明確にできます。
• ATProto/BlueSky のような「グローバルステート（ブロックチェーンベース）」設計は、グループキー合意の実装を阻害し、セキュリティ目標と矛盾します。
• 脅威モデリングを通じて、効率性と分散性を両立する設計を見出す助けになります。

ポストアーク量子暗号のための脅威モデリング

議論の現状と問題点

• IETF TLS ワーキンググループにおいて、「ハイブリッド型 PQ+T vs 純粋な PQ」の議論が進行中です。
• 「国家によるバックドアがあるからハイブリッドは危険」といった主張（NSA FUD）に対し、以下の事実が必要です：
  • ML-KEM は NSA が設計したものではなく、国際的なコンセンサスにより選ばれたものです。
  • 情報理論的に後方門（バックドア）が存在することは否定されています。

Q-Day への備えと戦略

• リスクの正体: 「Q-Day（量子コンピュータ实用化）」待機ではなく、「Harvest Now, Decrypt Later（今収集・後復号化）」が現実の脅威です。
• アルゴリズム比較:
  • 純粋な ECDH: Q-Day で全滅。
  • 純粋な PQ: アルゴリズム自体が安全なら安全。
  • ハイブリッド: 移行期間をカバーし、アルゴリズムの破壊へのヘッジになります。
• 結論: 純粋な PQ よりもハイブリッドの方が早急に採用すべきであり、将来的に PQ に完全移行する準備も進めるべきです。

RFC 議論における立場

• ハイブリッド KEM を使用することでセキュリティは低下しません。
• 法的要件（CNSA 2.0, FIPS など）に従う必要がある組織にとって、非ハイブリッド RFC の採用基準は制約となります。
• 推奨: ロジカルな理由で反対するのではなく、リスク低減の観点からハイブリッドを採用するべきです。

まとめ

• 脅威モデリングは、単なる文書作成ではなく、セキュリティ思考を養うプロセスです。
• ドキュメントの質と有効性を「スモークテスト（大まかな検証）」として活用し、より良いシステム構築のための基盤とすべきです。