今朝、私たちのWebサイトへのアクセスに、いつもと違うことが起きました。
午前7時になる数分前、世界中から数百人もの訪問者が突然Stillwell Audioのプラグインカタログにやって来ました。少し調べて理由がわかりました。現行のWindows版製品一式のwarez配布物が出回り始めていたのです。「パッチ適用済み」と説明され、「keygen」と宣伝されているものが付属していました。
なるほど。どうやら、私は戻ってきたらしい。
今年は忙しい一年でした。Version 4に向けた製品ラインアップの再構築、新製品、Linux対応、CLAP対応、そしてこれらのプラグインを今後も発展させていくための、表からは見えにくい多くの作業。warezコミュニティに再び気づかれたことも、また注目される存在になったという、まったく非公式な指標の一つなのかもしれません。頼んだ覚えはありませんが、そういうことのようです。
技術的な点を一つ説明しておきます。誰も一晩でEd25519を破ったわけではありません。
現在のStillwell Audioのライセンスファイルには、製品ごとに個別の署名用鍵を使ってデジタル署名を付けています。改変されていない公式ビルドに対して有効なライセンスを作るには、対応する署名用の秘密鍵が必要です。正体不明の実行ファイルを「keygen」と呼んでも、この暗号技術上の問題が消えるわけではありません。
よくある別の手口は、それほど大したものではありません。プラグインを改変してライセンスを正しく検証しなくしてから、改変されたバイナリだけが受け入れる、ライセンスの形をしたデータを生成するのです。それは公式製品用のkeygenではありません。パッチに別の実行ファイルを組み合わせ、その実行ファイルの動作を根拠なく信用するよう求めているのです。
公式ファイルには、信頼性を支える仕組みがさらにあります。
私たちのWindows用インストーラーはEV証明書で署名されています。誰かがそれを改変したり、再パッケージ化したりすれば、その有効な署名は維持されません。Windowsに発行元不明と表示されたり、予期しないSmartScreenの警告や、セキュリティソフトを無効にするよう求める指示が表示されたりしたら、そこで止めてください。それはもう、私たちが出荷したインストーラーではありません。
macOSでも基本的な問題は同じです。プラグインを改変するとコード署名が無効になり、Gatekeeperが評価する、署名と公証を経た配布経路の外に出ることになります。
AAXは別のケースです。AAXプラグインはPACEを通じて署名され、Pro Toolsがその署名を検証します。バイナリを改変するとPACEの署名は無効になるため、Pro Toolsは読み込みを拒否するはずです。アーカイブに.aaxpluginファイルが入っているだけでは、パッチ適用済みの版がPro Toolsで動作する証拠にはなりません。
私はこの配布物をダウンロードも解析もしていませんし、好奇心を満たすだけのために正体不明の実行ファイルを動かすつもりもありません。皆さんにも、そうしてほしくありません。
keygenやクラックは、マルウェアを隠すのにひどく都合のよい場所です。それを実行する人は、ウイルス対策ソフトの警告や不審な動作、セキュリティ保護を弱めるよう求める指示を、最初から想定しています。だからこそ、この形式はほぼ完璧なトロイの木馬になり得ます。改変されたプラグインも、皆さんのユーザーアカウントでDAWの中で動作します。そのアカウントがアクセスできるものすべてを、改変した人物に委ねていることになります。
私たちのプラグインを試すだけなら、そんなリスクを冒す実用上の理由はありません。Stillwell Audioの評価版はすべて、全機能が使え、作業の邪魔もしません。アクティベーションサーバーも、バックグラウンドで動く認証サービスも、オーディオ処理経路の機能制限もありません。私たちのサイトから直接ダウンロードして、正しく使い、合わなければ普通に削除してください。アンインストールにコンピューターフォレンジックの知識は要りません。
海賊版に腹が立つかといえば、もちろんです。Stillwell Audioは小さな独立企業です。皆さんの購入が、ソフトウェアを支える開発、保守、サポート、無料アップデートの費用を賄っています。でも、説教をすれば誰かの考えが変わると思うほど、私は世間知らずではありません。
ですから、言いたいのはこれだけです。Stillwell Audioがまた活発に動いていることに気づいてもらえたのは、うれしく思います。その過程で、誰もスタジオのコンピューターの制御を謎の実行ファイルに渡さないでくれれば、なおうれしいです。
どうやら、私は戻ってきたらしい。さて、仕事に戻ります。