サエバサバエのちょっとセキュアなお話、あるいは、呑み女子エンジニアのだらしない食卓

第8話 ついついやっちゃうけど開発者もセキュリティ気にしないとね、あるいは、海産物フライ弁当と贅沢だけどゼロな麦ジュース

「おはようございます」

　一杯飲んでリフレッシュしたからか、今日はとてもすがすがしい目覚めだった。

　身だしなみもビシッと整えて出勤する。

　とはいえ、次担当のシステムの準備をしないとね。

　確か、初めて後輩君がメインで開発担当するってことだから、事前に見てあげた方がいいかもしれないわね。

　どうにも、うちは品質管理部門が貧弱だから、直接現場であれこれ言われないように、予防線を張るって意味が多いわ。

　専用のクライアントを使って、ネットワーク上のシステムと連携するタイプの業務システムね。

　今日日 HTML5 を駆使すればデスクトップアプリケーション並みに色々できる上に、パソコンでもスマホでも機種依存なく動くシステムが比較的簡単に作れたりするんだけど、レガシーなシステムと専用プロトコルで通信しててそれを HTTP の基盤に乗せるのが非常に難しいってことで、独自のクライアント実装が必要みたいね。

　非効率的も甚だしいんだけど、日本企業って独自規格大好きなのよね。世界標準の規格があるのにかたくなに使わなかったり。

　ま、ＩＴリテラシーが低いというより理解する気がない人が上に立ってたりするのが一番の問題なんだけど。

　カメラが魂を吸い取るように、ＩＴによる自動化は仕事を奪い取るって思ってる節さえある人もいたりするしね。

　と、話が脱線したわね。

　ＣＩツールで社内共有サーバ上に自動生成される最新パッケージをダウンロードして、インストールしてっと。

　あ、ＣＩっていうのは、Continuous Integration の略で、日本語だと『継続的インテグレーション』とか、いや、後半英語のままやん？　っていうような呼称が一般的ね。

　要は、自動的に最新のソースコードをチェックして、何か問題があればわかるようにするための仕組み、かしらね。

　ソースコードの改修が入るたびに実行ファイルの生成や、自動テストを実行する仕組み。そうすることで、おかしな修正をしてビルドが通らなくなったり自動テストで引っ掛かるような不具合を作りこんだらすぐ分かるようにする、ってことで品質を担保する仕組みよ。

　で、その際に、インストーラとかが必要なシステムならそこまで作成することで、社内で常に最新のアプリケーションの動作が試せるようにするってこともできるわけ。

　前置きが長くなったけど、早速試そうかしらね。

　テスト用のアカウントのユーザとパスワードは test/test12345 でっと。一回入力すれば、記憶させておく定番の機能もあるわけね。

　細かい機能はあたしの範疇じゃないから軽く見るだけにして、使い方を把握するのと、通信内容のセキュリティとか、その辺りをチェックしましょうか。

　マニュアルを見ながら、あれこれと操作してみる。

　合わせてパケットキャプチャソフトを起動してっと。

　うん、通信も暗号化されみたいだし、セキュリティ面は問題なさそうね。

　そうして、一通りの確認を済ませれば、一日が終わりに近づいていた。結構、沢山機能があるのね、これ。

　昨日で一仕事終えて余裕があったから、ま、こういう一日もいいわね。

　これなら、導入もスムーズにいって大丈夫でしょうけど……何か引っかかるのよね。

　もう一度、マニュアルを見ながら起動する。

　毎回打つのが面倒で、ユーザとパスワードは記憶させたので自動起動してくるんだけど……そういえばこれ、どうやって、ユーザとパスワードを覚えてるのかしら？

　ちょっと確認して見ましょう。

　担当した後輩くんを呼んで、

「これ、ユーザとパスワードを記憶する仕組みがあるけど、どこに保存してるの？」

「あ、それは、ユーザーのデータフォルダにファイルを作って保存しています

「どれ？」

　データフォルダを開いて尋ねれば、

「これです」

　その中の一つのフォルダを開いて後輩くんが示したファイル名は、 test 。

「ねぇ、これ、まさかと思うけど、ユーザ名？」

「はい。このフォルダを認証情報の保存フォルダにしてあるので、自動ログイン設定になっていない場合は、ファイル名の一覧を使ってユーザのオートコンプリート機能も実現できます！」

　妙に得意げに言うけど、まぁ、いいわ。

　大事なのは、この先。

「ちょっとファイル開いてみるわね」

　愛用のテキストエディタ（黒背景に白文字設定）にドラッグ＆ドロップして開けば。

　表示されたのは、

test12345

　そこには、暗号化されていない、平文で、人が簡単に読める形で、パスワードがそのまま記載されていた。

　うん、予想してたけど、さすがに頭が痛いわね、これ。

　とはいえ、気付いたからには、少々指導が必要ね。

「この機能、設計レビューとかちゃんとしたか聞いてる？」

「えっと、してるはずですが、スケジュールが厳しかったらしくて仕様書には、『ユーザとパスワードを記録する』『ユーザは以前入力した内容を記憶してオートコンプリート機能を実現する』としか記載がありませんでした。私なりに、それをどうにか実装したつもりですが……」

　未だ、あたしが何を問題にしているかは分かってないみたいだけど、雲行きを感じてちょっとしどろもどろになってるわね。

　でも、はっきり言わないとね

「うん、そこは設計担当と品質チームの人にも言っておくわ」

　そう前置きして、責任を一人に負わせない予防線を張りつつ、

「このファイル、データフォルダだからＯＳにログインしてたら、簡単に開けちゃうわよね？　ファイル名がユーザ名で、中身がパスワードっていうのもすぐ想像が付くと思うんだけど」

「いえ、でも、こんなの誰もみないでしょう？」

　ああ、そういう発想か。

「どうして、そう言い切れるの？」

「それは……このシステム使う人は、そんなにパソコンに詳しくないって聞いてるから、こんなフォルダ一々見ないでしょう？」

　確かに、そこまでする人は少ないでしょうね。

　でも、ね。お客さんからの問い合わせで現地に飛んだりして色んな事例を見てきた身としては、それが通用しないことはよく知ってる。

「それは、あまりに楽観的よ。こういうのは、常に最悪を想定して悲観的に準備しておかないと。今までの経験上、こういう粗を喜々として探す人って結構いるから。そういう人がいるつもりで、実装するべきね」

　ついつい言葉に実感がこもってしまったが、そのお陰で後輩くんにも伝わったようだ。

　さっきまで、こちらの顔を見ていたけど、今は殊勝に目線を落としている。

「それに、あら探しされなくても、ユーザとパスワードを平文でパソコンに保存するってこと自体を会社のコンプライアンス規定で禁止しているところもあるのよ。相手の会社の規定にあったら、規定違反のアプリケーションとして最悪賠償問題にもなりえるわ」

　お説教になっちゃってるわね。

「ま、君だけの責任じゃないわ。君が気づけたら格好良かったけど、そんな雑な設計とそれを通した品質部門の方が大問題だから、そっちにはもっと厳しく言っておくわ。だって……」

　ずっとあたしの胸元から顔を上げられない後輩くんの姿に気を使いつつ、リリース直前までこんな初歩的な問題に気づけなかった最大の問題を突き付ける。

「うちの会社も、平文でユーザとパスワードを業務用のパソコン上に保存するの禁止されてるから、外部の監査受けたら一発アウトね」

　本当、頭が痛い。

　後輩くんも、定期的なセキュリティ研修受けてるはずだから気づく芽はあったけど、そこの期待するのは酷よね。それよりも、彼の上の設計担当とそのレビューにも参加したはずの品質担当がしっかり考慮しないといけなかった問題だ。

「ま、あたしが気づいたから大丈夫よ。リリースまでに……そうね、ファイル名もファイルの中身も暗号化すればそれで最低限のセキュリティは担保できるわ。ここ以外にも、ファイルにユーザとパスワードを保存してるところがあったら片っ端から全部暗号化しておいて。暗号化は自分で一から作らなくてもライブラリが色々あるはずよ。それは他の開発の人に相談してね」

　そう諭したけど、中々顔を上げてくれない。

　ついつい説教臭くなっちゃうのは、あたしの悪い癖だとは思うんだけど、同時に、それを自覚して気を使ってるつもりなんだけど……指導って難しいわね。

　後輩くんはあたしの胸元から視線をあげられないまま、しばらく無言で時が流れる。

　そうして、ポツリと、

「立派ですね」

　と漏らして後輩くんがようやく顔を上げてくれた。

　どうやら、あたしの説教が響いたようね。

「ううん。当たり前のことを言ったまでよ。忘れないでね」

「え？　あ、ああ、そうですよね。はい。暗号化すればいいんですよね？　問題も理解しました。本当にありがとうございました」

　どうしてか、あたしの顔を見たり視線を下げたりしながら、後輩君はしどろもどろに言う。ま、解ってくれたんならなんでもいいわ。

「じゃ、後は任せたわよ」

　落ち込むどころか妙に元気になって自分の席に戻っていく後輩くんだった。

　お説教受けると必要以上に堪えて心を病んだりすることもあるみたいだけど、あの調子なら大丈夫そうね。

　そこで、終業のチャイムがなる。

「さて、面倒の芽も摘んだし、帰るとしますかね」

　切羽詰まった作業がないなら、残業する必要性なんて全くないからね。

「お先に失礼します」

　颯爽と会社を後にする。

　今日は帰って作るのもなんか面倒だし、出来合いのものですまそうかしらね。

　近所のスーパーに立ち寄れば、半額にはなってないけど３０％引きになったお弁当がいくつかある。その中で、

「あ、これなんかよさげね」

　と、魚介類のフライをメインにしたお弁当に目を惹かれる。ご飯に乾燥パセリがかかってるもなんかいいわね。

「うん、これにしましょう」

　迷っても時間が勿体ないしね。

　あとは、飲物を何か買っていこうかしら。フライにはビールだけど、ちょっとカロリーとか糖質とかに気を使って、贅沢だけどゼロなのにしましょうか。

　そうして、重いレジ袋を引っ提げて帰宅する。

　先にお風呂に入ることにしましょうか。その間に飲み物を冷凍庫に入れてしっかり冷やすのと、お湯を沸かしておくのを忘れずに。

　ささっとお風呂を上がって、インスタントの味噌汁を入れつつ、レンジで弁当を温めて、冷凍庫でキンキンに冷やした麦ジュースと共に食卓に並べれば、あっという間に夕食の準備完了だ。

「いただきます」

　プルタブを開けて缶を空け、一息吐いたところで弁当に取りかかる。

　内容は、アジフライ、エビフライ、カキフライ×２がメイン。フライの下にはレタスとキャベツが敷いてあって、箸休め的に桜漬けが少量。後は、パセリの掛かったご飯。

　中々そそられるわね。

「まずはエビフライかしらね……って、これ、ソースとかはついてないのね」

　フライ系の弁当だと、小さなボトルや袋に入ったソースが付いてることが多いけど、これは何もついてないみたい。

「だったら、適当に用意すればいいわよね」

　自宅で自炊もするんだから、調味料の一つや二つ、常備してるわ。

　ということで、ウスターソース、ケチャップ、タルタルソースを冷蔵庫から出してきた。

「やっぱり、エビフライはタルタルソースね」

　チューブから反り返ったエビの曲線に沿って粒々の具材を孕んだ白いソースを載せ、一気に齧り付く。

「うんうん。やっぱりエビフライにはタルタルソースねぇ」

　魚介の癖を酸味が抑えるから、相性がいいのかしらね。タルタルの味を纏ったエビの食感と旨味、そして衣の油が口内に残ってるところで、

「これよね」

　買ってきた麦ジュースを開けて注ぎ込む。これは、揚げ物との相性が抜群ね。

「ビール以外認めないって人もいたりするけど、これはこれで美味しいわよね」

　糖質ゼロを売りにしつつ、さり気なくアルコール度数６％と平均的なビールよりちょびっと高いのが贅沢なところかしらね。５％と６％じゃ誤差の範囲だけど。

　ここで、ご飯へ。

「なんだか洋食って感じがするわね」

　主に、掛かっている乾燥パセリのおかげだろうけど、お弁当の容器に収められてるけど、お茶碗じゃなくて平皿に盛られたご飯を食べている気分になるわね。

　ご飯を頂けば、味噌汁だけど、そこで、最近食卓上にずっと置いてあるコーレーグスに目を向ける。

　これって汁物になんでも入れるっていうから、入れてみようかしら？

　気になったら試すしかなわいわよね。

　そぉっと数滴、味噌汁に垂らせば、それだけでツンと唐辛子と泡盛の匂いが漂ってくる。

　お箸で混ぜてから、一口飲めば。

「なにこれ、おいしい！」

　インスタント味噌汁が化けたわね、これ。唐辛子と味噌汁のお出汁の味がいい塩梅。

　フライのこってりが、辛みですっきりするし、弁当との相性もよさそうね。

　なら、

「さて、大物のアジフライにいきましょうか」

　一番大きな面積を占めるハート形のアジフライ。『ハート』にロマンを感じることはなくてせいぜい様付けで呼びたくなる程度の女子力しか持ち合わせてないけどね。

　これは、タルタルソースより、ウスターソースとケチャップが好みね。

　全体にさっとウスターソースをぶっかけ、ケチャップを載せて箸で全体に拡げて馴染ませる。

　そうして囓れば。

「へぇ、臭みもないし、凄い美味しいじゃない、これ」

　スーパーの厨房で手作りしてるだけに、３０％引きになる時間でも比較的鮮度がいいのかもね。

　青魚にウスターソースとケチャップでしっかり味を付ければ、獣肉に負けないガッツリ感が味わえるわねぇ。

　これは、麦ジュースが進むわね。

「ふぅ、ちょっとクールダウン」

　箸休めの桜漬けを囓る。そんなに味はこくないけど、ほどよい酸味とコリコリした食感を楽しめば、揚げ物で盛り上がった気分も落ち着いてくるわ。

　アジフライの残りを食しつつ、今度はウスターソースに浸されたお野菜を食べる。ドレッシングはあまり使わないから、こういうときは野菜にはウスターソースを掛ける派よ。

　フライの油も溶け込んでいるから、これは箸休めというよりは完全に一体化してる感じね。でも、悪くない。レタスとキャベツでアジを食べるのも味なものね。

　ご飯も適度に食べ、麦ジュースを空け、味噌汁を飲んでさっぱりする。

「さて、最後はカキフライね」

　これは二つあるから。

「一つはタルタルソースでいただきましょう」

　適度に乗せて、一口で頬張る。

「ああ、これ、想像以上にミルキーね」

　海のミルクというだけのことはある。そこに加わるタルタルソースのしっかりした味も、アクセントになって、とても、

「麦ジュースが進むわね」

　ゴクゴクと飲み干して、次を開ける。

「最後は、ウスターソースだけで」

　敢えてヒタヒタになるぐらいに掛けて、口に放り込めば、先ほどとは違う酸味と旨味の凝集されたウスターソースの味わいをミルキーさがまろやかにしてくれる。

　どっちが主体か解らないけど、とにかく、

「麦ジュースが進むわね」

　一息に缶を空けて、缶を開ける。

　更に缶を開けて、少し残っていたご飯と味噌汁を食べ尽くし。

　最後の一本まで飲み干す。

　レジ袋に空き缶を詰めて、食べ終わった弁当もレジ袋に詰めてしまえば、後片付けもおしまい。でも、味噌汁の器だけは洗わないといけないわよね。

　ともあれ、これでお夕飯はおしまい。

「ごちそうさまでした」