マイクロソフトのエンジニアが、学生がオンラインテストで不正行為をするために悪用される可能性のあるエンタープライズレベルの Chromium のバグを修正

管理者の制御下にある将来の Chromium ベースのブラウザでは、ユーザーが特定の URL の Web ページのソース コードを表示できないようにすることができるようになります。この機能は、今週初めにバグ修正が行われるまで、過去 3 年間、企業顧客には提供されていませんでした。

2018 年 10 月 15 日、CDW に買収された Google の教育パートナーである Amplified IT の従業員が、管理者が組織または企業のポリシーに従って設定できる Chromium URL ブロックリストが実際には機能しないというバグレポートを提出しました。

明らかに、技術に精通した学生たちは、答えを判断するために Web ベースのテストのソース コードを閲覧していました。

「view-sourceURLブラックリストに登録されている場合、これはview-source:http://[URL]利用できないはずです」とバグレポートには説明されています。「Googleフォームをテストプラットフォームとして使用している学校では、生徒がこのショートカットを使ってページのソースを検索し、正しい回答を見つけることができます。」

生徒はこのショートカットを使用してページのソースを検索し、正しい答えを決定することができます。

教育機関の顧客からの同様の懸念を報告した Google 従業員からの確認や、Web ページのソース コードを表示して不正行為をする方法を説明する動画など、これが問題であるという十分な証拠があるにもかかわらず、URL にview-source:プレフィックスが含まれている場合に URL ブラックリストがそれを捕捉できないバグは、数日前まで放置されていました。

この問題は、Googleでも数年間勤務した経験を持つベテランブラウザ開発者である、Microsoftのプリンシパルプログラムマネージャー、エリック・ローレンス氏によって修正されました。MicrosoftのEdgeブラウザは、GoogleのChromeと同様に、オープンソースのChromiumプロジェクトをベースにしています。

ウェブページのソースコードを閲覧できなくなるという漠然とした見通しは、ネット上のさまざまな人々を不安にさせたが、これは何の根拠もなく、ウェブソースコードの閲覧をめぐる最近の公開論争と結びついていた。ミズーリ州知事マイク・パーソン氏は、安全でないデータ処理を発見するために記者がウェブページのコードを精査したことは、違法なハッキングに相当するという不合理な主張をした。

Chromium が最終的に URL ブラックリストを意図どおりに機能させるようになることに不満を言う理由はいくつかありますが (子供のように扱われたり、管理者によってツールが制限されたりするのは誰も好まないでしょう)、実際にはそれほど大きな不満ではありません。

教育の文脈において、学生にウェブソースコードの閲覧権限を付与しないことは、ウェブアプリケーションの書き方を学ぶための長年の道のりを閉ざすことになるという議論も成り立ちます。人気のウェブアプリは不正アクセスを防ぐために難読化されていることが多いことを考慮すれば、今回のバグ修正は、ウェブページをローカルに保存してテキストエディタで開くといった、ウェブページを閲覧するあらゆる手段を完全に排除するものとは言えません（もっとも、これもポリシー制御によってブロックすることは可能です）。

ローレンス氏は批判に応えようと、今週初めにHacker Newsへの投稿でURLブロックリストのバグを修正した理由を説明した。彼は次のように書いている。

この説明を誰もが受け入れたわけではない。これに対し、Quasseldroidのメンテナンスを担当するドイツ在住のコンピューター科学者、ヤンネ・マライケ・コシンスキー氏は、ローレンス氏を非難した。

「IT業界で優秀な人材の多くが今日活躍しているのは、物事がどのように機能するのか好奇心を持ち、実験し、ルールを破り、そこから学んだからです」とコシンスキー氏は書いている。「こうした好奇心は奨励されるべきであり、止めるべきではありません。…もしあなたがこの閉鎖的な技術文化に貢献しているのであれば、DRM技術やAndroid SafetyNetの開発者と同じくらい責任を負わなければなりません。」

それは一つの見方ではあるが、それは、許可設定とユーザー権限を認識するシステムを実装した Microsoft、Google、Apple、その他あらゆる商用テクノロジー企業で働いたことのあるほぼ全員を無視することになる。

話を進めるために、ローレンスのバグ修正が、上で言及したオーウェル風の抑圧のブーツではないと仮定してみよう。とはいえ、これはテクノロジーによる権力の剥奪に対する正当な懸念と隣り合わせであり、学生とそのデバイスを監視する監督ソフトウェアや、リモートワーカーに同様の監視を適用する業務監視ソフトウェアなど、はるかに優れた例がある。

学校、雇用主、その他の当局など、行政上の統制を行使する特権階級の人々と、何が合理的で何が抑圧的かを探るための議論をもっと行うべきだと言えるでしょう。特に、自由が当たり前のものとして扱われているアメリカにおいてはなおさらです。ITツールが私たちに不利に働くのではなく、私たちのために機能してくれるという幸運に恵まれるべきです。

それが解決されるまで、ソフトウェアのバグを大切にしてください。ソフトウェアの粗雑さが続くと、権威主義のあらゆる技術的表現がハッキング可能になります。®