オンラインセキュリティのプロが語る！
2013年8月21日～23日、パシフィコ横浜にて開催されている、日本最大のコンピュータエンターテインメント開発者向けカンファレンス“CEDEC 2013”。2013年8月22日に行われた、人気オンラインゲームにおけるセキュリティへの取り組みに関するトークセッションをリポートしよう。
そもそもこのセッションは、NPO法人“日本ネットワークセキュリティ協会（JNSA）”が開催する日本最大のセキュリティコンテスト“SECCON2013”の第一回地方大会が、“CEDEC CHALLENGE”としてCEDEC会場で開催されるにあたり、その開会式を行うことが主眼となる。それに併せて、オンラインゲームのセキュリティ（不正行為とその対策）についての知見を深めてもらうことを目的として実施されたのが、この記事で紹介するトークセッションだ。
トークセッションの登壇者は、『ドラゴンクエストX 目覚めし五つの種族 オンライン』（以下、『DQX』）のテクニカルディレクターを務めるスクウェア・エニックスの青山公士氏と、同作をはじめ多数のゲームなどのセキュリティテストを行っているネットエージェントの松田和樹氏。極めて人気の高いMMORPGでセキュリティ問題に取り組んでいる青山氏と、多数の事案を手がけ、セキュリティ問題について豊富な経験を持つ松田氏という顔合わせだけに、ちょっと危ない話も含めて、非常に興味深いやりとりを聴かせてくれた。
ユーザーのセキュリティ意識も重要！
まず、近年、あらゆるネットサービスで急増している“リスト型アカウントハッキング”について、改めて松田氏が解説した。これはご存じの方も多いだろうが、同一のID、パスワードを使用しているユーザーが被害に遭いやすい。手口としては、何らかの方法（セキュリティの弱いサービスをハッキングするなど）によって入手したID、パスワード群を、ほかのサービスで手当たり次第に入力して不正ログインするというもの。
これは、IDとパスワードによる認証システムを使っている限り、サービス提供側がどれほど強固なセキュリティを構築したとしても、ユーザー側がセキュリティ意識を高く持ち、同じID、パスワードをほかのサービスで使い回さないようにしないと、防ぐことが難しい。
青山氏によると、やはり『DQX』においても、一定数の被害報告があるのだそうだ。ログを追うと、不正ログインしたキャラクターは、アイテムなどをゴールドに変えて、別のアカウントに送っているケースが大半。つまり、規約違反として厳格に禁止されているRMT（リアルマネートレード）行為を目的としているわけだ。
これについて松田氏は、不正アクセスそのものは不正アクセス禁止法に抵触する違法行為だが、RMT自体は法で禁止されてはいないという現状があることを指摘。しかし、RMTと不正アクセスが極めて密接な関係にあることから、何らかの対応が必要だとも語る。
青山氏は、『DQX』でも、同一のID、パスワードを使い回すことの危険性を啓蒙し、パスワードを変更することを促してきたものの、なかなか浸透していないという。そこで現在では、セキュリティトークンによるワンタイムパスワードの利用を推奨しているそうだ。
『DQX』には○○○○が導入されていた！！
続いて、『DQX』における不正行為への対処についての話題に。松田氏の目から見ても、『DQX』運営チームのチートやRMTなどに対する姿勢は非常に厳格なものに感じられるようで、改めて『DQX』の運営スタンスについて、青山氏にコメントを求める流れとなった。
青山氏も、RMTについては、「RMTで販売しているアカウントの凍結は当然行いますし、RMTを利用しているユーザーについても、利用停止などの厳しい処分を行っています」と説明する。とはいえ、膨大な数のユーザーを抱える『DQX』だけに、不心得者は全体のごく一部でも、その数はやはり多くなってしまう。松田氏も、「どんどん対処していっても、モグラ叩きのようなもので、たいへんなのでは？」と疑問を呈した。
それに対する青山氏の回答から、驚きの新事実が！ まず、5月から、怪しい挙動のキャラクターを通報する機能を設けたことで、多くの情報が集まるようになったとのこと。……ここまでは、『DQX』プレイヤーなら皆さんご存じのことだろう。
しかし、じつはそこにとどまらず、さらに進んだシステムが導入されている。とくに通報数が多いキャラクターについて、“評価関数”という、いわば“RMT業者度”のようなスコアをつけるようになっており、このスコアが一定以上に達したキャラクターは、自動的にジェイル（牢獄のような場所）に飛ばされ、隔離されるシステムが導入されていたのだそうだ。
「プレイされている方の中には、目立っていた場所から、RMT業者っぽいキャラクターが消えているなと感じている方も多いのではないでしょうか」（青山氏）というように、この仕組みは確実に成果を上げているようだ。一方RMT業者もしぶとく、目立ちにくいところに逃げるなどの対策を取り始めている気配があるそうだが、それに対してもしっかり対処していくとのことだった。
残念ながら「“調査関数”の詳細についてはお話できません」（青山氏）とのことだったが、調査関数の詳細がわかってしまえば、RMT業者は当然、網の目をくぐろうとするわけで、詳細が公開されないのは当然のことだろう。ただ少なくとも、「通報された数だけでは、“評価関数”が一定以上に達することはありません」（青山氏）とのことなので、他プレイヤーの勘違いなどで通報されるなどして、無実のプレイヤーがジェイルに飛ばされる心配は無用、というわけだ。
通常の3倍！？ 驚くべき『DQX』の構造
続いては、広くオンラインゲームにおける不正行為に関する話題に。松田氏の、「最近では、いろいろな不正行為がニュースになりますが、目にしていちばん嫌だったというか、他人事ではないな、と感じたものはありますか？」との質問に対して青山氏が挙げたのは、昨年頭に発生した、とあるカードゲームにおけるデュープ（複製）事件だ。
そのころ『DQX』のベータテスト期間中。青山氏も危機感を強め、内部の仕様を改めて確認し直したそうだ。「複製されるような不具合がないことは当然確認してありますが、万一複製された場合に、アイテムのIDが重複していることを確認できるようになっているか、といったところを再確認しました。結果的には問題ありませんでしたが」（青山氏）と、何重にもおよぶチェック体制が整っていることが明かされた。
しかし、『DQX』のように強固なセキュリティが築かれているのは、もしかしたら稀なのかもしれない……と思わされたのが、続いて語られた松田氏の経験談だ。
松田氏が見てきた中には、「信じがたい実装のゲームもあります」という。とくに、オンラインゲームの開発経験が乏しい家庭用ゲームメーカーが、ソーシャルゲームにチャレンジして失敗しているケースが多いそうだ。なかには、ユーザー認証の仕組み自体がない、というケースすらあったという……。
これを聞いた青山氏は、「そのお話からすると、『DQX』の技術陣はそうとう優秀ですね。まあ、ユーザー認証は当然必要ですが（苦笑）」と前置きしつつ、『DQX』においては、「クライアントは書き換えられるもの、という前提で、確率に関する処理はすべてサーバー側で実行しています」と明かした。つまり、端末側でどれだけチート、不正を企てても、アイテムドロップ確率や、合成の結果などに干渉することはできないというわけだ。
松田氏は、『DQX』のPC版リリースが決定したことで、従来よりもチートの危険性が増す懸念を指摘したが、青山氏によると、この“クライアントを信用しない”というコンセプトは、開発の最初期から貫かれているとのこと。基本構造の部分で、チートに干渉されない仕組みができているため、心配は無用だというわけだ。
ちなみに、『DQX』のように、“基本的にすべてサーバーで処理し、クライアントは結果を受け取って演出するだけ”という仕様は、「おおざっぱに言って、工数としては3倍くらいかかります」（青山氏）と、非常に開発コストのかかるものなのだとか。『DQX』の場合、プロデューサ－、ディレクターも技術に明るく、そうした開発の重要性を理解している人物だったために実現した、と語る青山氏。これを聞いて、思わず「うらやましい！」と叫んでしまった開発者は多いかもしれない。
しかし、システム側でどれだけ念の入った対策を施しても、不正を企てる者はいる。とくにBOT（キャラクターを自動で動作させたりする不正プログラム）対策は難しいものがあるという。『DQX』では、“不在プレイ”を規約違反としているが、怪しい事例への対処は、人力によるものとなる。つまり、「連絡があったら、そのキャラクターの前に行って質問をします。それに回答がないとジェイル行きに」（青山氏）という手間のかかる対応をしているわけだ。しかし、なかには画像解析を駆使して、質問されたらそれらしい答えを返すBOTを組むような輩までいるのだという。最終的には、「やはりいたちごっこですね」と嘆息する青山氏。オンラインゲームの運営はひと筋縄ではいかないのだ。
以上、秘中の秘、といった部分は隠しつつも、興味深い話が多数飛び出したトークセッション。『DQX』開発、運営チームが膨大な労力を費やし、考え抜いたセキュリティ・不正対策を構築していることは、よくおわかりいただけたのではないだろうか。
しかし、繰り返しになるが、“リスト型アカウントハッキング”などの手口に対しては、やはりユーザーが意識を高く持っていなければ、被害を防ぐことは難しい。楽しく、安全にオンラインゲームを楽しむため、改めて意識し直しておきたいところだ。
