その抜け道とは「リモートデスクトップ」に関するものだ。Windows Proエディションに標準搭載されている機能で、他のPCやスマートフォンからネットワーク経由でWindowsのデスクトップ環境にアクセスし、操作できるツールだ。このリモート接続には「Remote Desktop Protocol」（RDP）というプロトコルが使われており、まるで直接PCにログインしているかのような操作が可能になる。

　ところが、Tech系メディア「Ars Technica」が報じたところによると、RDPには思わぬ仕様があることが分かった。Windowsでログインパスワードを変更しても、古いパスワードでRDPを使ってログインできてしまうという。

　この問題はセキュリティ研究者のダニエル・ウェイド氏によって発見され、Microsoftに報告された。ウェイド氏は、「ユーザーがパスワードを変更すれば、それまでアクセス可能だったデバイスやサービスに接続できなくなるのが普通だ」という一般的な期待に反しているとし、「これは信頼性の崩壊につながる」と警告した。

　一方、Microsoftの見解は異なる。同社はこの挙動を「意図された設計」と説明。システムがオフラインであっても、最低1つのアカウントがログイン可能であることを保証するための仕様だとし、脆弱（ぜいじゃく）性とは見なしておらず、修正の予定もないとしている。

　この現象が起きるのは「Microsoftアカウント」または「Azureアカウント」でサインインされたWindows環境で、リモートデスクトップが有効になっている場合だ。初回ログイン時にオンラインで認証された資格情報は暗号化されてローカルに保存され、以後RDPではローカルに保存された情報と入力されたパスワードが照合される仕組みだ。これにより、たとえパスワードを変更しても、キャッシュされた古いパスワードでのログインが可能になる。

　ウェイド氏はこの仕様のリスクとして、古いパスワードが複数有効なまま残ることで、意図しないRDPアクセスが永続的に可能になる恐れがあると指摘する。特に、パスワードが漏りした場合、この挙動が大きな損害をもたらす可能性があると警鐘を鳴らしている。そして、「これは、パスワードが一度でもキャッシュされたWindowsマシンに“静かなリモートバックドア”が作られるのと同じだ」と強く非難している。

　Microsoftはその後、公式ドキュメントにこの仕様に関する注意書きを追加した。ただし同社によると、ウェイド氏がこの問題を初めて報告したわけではなく、2023年8月にも他の研究者から報告があったとしている。

　MicrosoftアカウントやAzureアカウントの情報が漏えいした場合、たとえパスワードを変更しても、RDPを通じてリモート操作される危険があるというのは非常に深刻な問題だ。この仕様が果たして将来的に見直されるのだろうか。

上司X：　Windowsのリモートデスクトップ機能で、アクセスに必要なパスワードを変更したとしても古いパスワードが有効なままってという話だよ。

ブラックピット：　古いパスワードが有効なまま、というのは解せませんねえ。

上司X：　「システムがオフラインになってからどれだけ時間が経過しても、少なくとも1つのユーザーアカウントが常にログインできるようにするため」だというのがMicrosoftの主張なんだが……。

ブラックピット：　パスワードが第三者によって一方的に変更されたとき、RDP経由でログインできなくなる事態が生じることを避ける、ということでしょうか？

上司X：　そういうことなのかな？

ブラックピット：　自分でこの話題を紹介しておいてよく分かってないってどういうことですか（苦笑）

上司X：　でも実際、資格情報をキャッシュしようがしまいが、変更したパスワードをそのまま使える仕様、というのは問題な気がするけどなあ。

ブラックピット：　問題でしょうねえ。気になるのであれば、やはりリモートデスクトップ機能自体を無効にしておく必要がありそうですね。まあ、僕はそもそも使ってませんけど。

上司X：　人ごとというわけか（苦笑）。だが、ユーザーにとっては仕様とはいえちょっとした問題になるのは間違いないだろう。パスワードを漏らさないことは重要なのは言うまでもないが、この問題が明らかになった今、特にリモートデスクトップユーザーは注意しておく必要があるかもしれないな。