VBScriptを掌握する極限の知見：`Scripting.Signer`によるスクリプト電子署名と改ざん検知の要塞化
レガシーシステム、あるいはタスク自動化の最前線において、VBScript（Visual Basic Scripting Edition）は今なおインフラの根底を支え続けている。しかし、その手軽さと強力なOS直結の権限ゆえに、常に「セキュリティリスク」というパンドラの箱を背負ってきた。
「誰がこのスクリプトを書いたのか」
「実行する瞬間までに、悪意ある第三者によってコードが改ざんされていないか」
この問いに明確な答えを出せないまま、野良スクリプトを`cscript.exe`や`wscript.exe`に放り込んでいる現場は多い。グループポリシー（GPO）やAppLockerによる実行制御も有効だが、コードそのものの「無謬性（整合性）」を暗号学的に担保するアプローチこそが、真にセキュアな運用環境を構築するカギとなる。
今回は、Windows Script Host（WSH）が内包する隠し玉、`Scripting.Signer`オブジェクトを用いたVBScriptのデジタル署名検証と、エンタープライズ環境に耐えうる堅牢なセキュア運用手法の極限を解説する。
—
1. なぜ `Scripting.Signer` なのか？ アーキテクチャの核心
`Scripting.Signer` は、COMコンポーネントとして提供される `Scripting.Signer` オブジェクトであり、内部でCryptoAPI（あるいは後継のCNG）をラップし、スクリプトファイル（`.vbs`, `.js` 等）に対するAuthenticode署名の付与および検証を実行する。
特筆すべきは、単に「ファイルの存在確認」をするのではなく、X.509証明書チェーンを辿り、信頼されたルート証明機関に基づいた署名の有効性と、ハッシュ一致によるコードの非改ざん性をプログラム的（動的）に検証できる点にある。
オブジェクトのライフサイクルとメモリ管理の鉄則
VBScriptのCOMオブジェクト運用において最も恐ろしいのは、背後で解放されないCOMの参照によるメモリリークと、それに伴う`explorer.exe`やホストプロセスの不安定化だ。特にセキュリティ関連のオブジェクトを扱う際は、例外発生時であっても確実に参照を破棄しなければならない。
‘ 【極限の知見】オブジェクトのライフサイクル管理の模範実装
Option Explicit
Sub ExecuteSecureVerification()
Dim oSigner
Set oSigner = Nothing
On Error Resume Next
‘ オブジェクトの生成
Set oSigner = WScript.CreateObject(“Scripting.Signer”)
If Err.Number <> 0 Then
WScript.Echo “致命的エラー: Scripting.Signer が初期化できません。WSHの構成を確認してください。 Error: ” & Hex(Err.Number)
Exit Sub
End If
‘ — ここに検証ロジックを記述 —
On Error GoTo 0
‘ 明示的なメモリ解放（リファレンスカウントのデクリメント）
Set oSigner = Nothing
End Sub
VBScriptでは `Set obj = Nothing` を明示的に呼び出すことが、ガベージコレクションの気まぐれに依存しないプロフェッショナルなメモリ最適化の基本命題である。
—
2. 実装：VBScriptの署名検証と改ざん検知エンジン
実務において、スクリプトが実行される直前に「このファイルは本当に安全か？」を自律的に判定する仕組みを作る。以下のコードは、指定されたVBScriptファイルにデジタル署名が存在し、かつ改ざんされていないかを検証するプロダクション品質のスクリプトである。
‘ ==============================================================================
‘ Script Name: SecureScriptVerifier.vbs
‘ Description: 任意のVBScriptファイルのデジタル署名および整合性を検証する
‘ ==============================================================================
Option Explicit
Call Main()
Sub Main()
Dim fso, targetScriptPath, oSigner, isSigned
Set fso = CreateObject(“Scripting.FileSystemObject”)
‘ 検証対象のスクリプトパス（例として自分自身を指定、または引数から取得）
If WScript.Arguments.Count < 1 Then
WScript.Echo "使用方法: cscript.exe SecureScriptVerifier.vbs <検証対象のスクリプトパス>”
WScript.Quit(1)
End If
targetScriptPath = WScript.Arguments(0)
If Not fso.FileExists(targetScriptPath) Then
WScript.Echo “エラー: 指定されたファイルが存在しません: ” & targetScriptPath
WScript.Quit(2)
End If
Set fso = Nothing
‘ Signerオブジェクトの生成と検証実行
On Error Resume Next
Set oSigner = CreateObject(“Scripting.Signer”)
If Err.Number <> 0 Then
WScript.Echo “エラー: Scripting.Signer オブジェクトの作成に失敗しました。”
WScript.Quit(3)
End If
‘ Signer.Verify メソッドによる署名検証
‘ 戻り値は Boolean (True: 署名ありかつ有効 / False: 署名なしまたは無効)
isSigned = oSigner.Verify(targetScriptPath)
If Err.Number <> 0 Then
WScript.Echo “検証プロセス中に例外が発生しました。Error: ” & Hex(Err.Number) & ” – ” & Err.Description
Set oSigner = Nothing
WScript.Quit(4)
End If
On Error GoTo 0
‘ 結果の判定と出力
If isSigned Then
WScript.Echo “[SECURITY SUCCESS] 署名は有効であり、ファイルは改ざんされていません。”
WScript.Quit(0)
Else
WScript.Echo “[SECURITY FAILURE] 警告: 署名が存在しないか、不正に改ざんされている可能性があります！”
WScript.Quit(99)
End If
Set oSigner = Nothing
End Sub
コードの深層解説
1. `oSigner.Verify(Path)` の挙動:
このメソッドは、ファイルに付与されたAuthenticode署名を抽出し、Windowsの証明書ストア（信頼されたルート証明機関など）と照合する。もしコードの1バイトでも改ざんされていれば、ハッシュ値の不一致により `False` を返す。
2. 終了コード（Exit Code）の設計:
Automation（タスクスケジューラやCI/CDパイプライン）からの呼び出しを想定し、セキュリティ違反時は明確な非ゼロの終了コード（`99`等）を返却する設計にしている。これにより、上位システムでの自動遮断が可能となる。
—
3. 署名プロセスの自動化（証明書の付与）
検証ができるということは、当然「署名（Sign）」も可能であるということだ。開発環境やセキュアなビルドサーバー上で、VBScriptに対してコード署名証明書を付与する手順（Signerオブジェクト、または標準ツール`SignTool.exe`との使い分け）を押さえておく必要がある。
`Scripting.Signer` オブジェクトには、実はファイルを署名するための `.Sign()` メソッドも用意されている（※実行には適切な証明書ストアへのアクセス権と秘密鍵が必要）。
‘ 【参考】Scripting.Signerによる署名付与の概念コード
‘ ※実運用では証明書のハッシュ(Thumbprint)やSubject名を正確に指定する必要がある
Sub SignTargetScript(scriptPath, certSubjectName)
Dim oSigner
Set oSigner = CreateObject(“Scripting.Signer”)
On Error Resume Next
‘ 第1引数: 対象スクリプトパス
‘ 第2引数: 証明書の件名（Subject）またはストア内の識別子
‘ 注: 環境やOSのセキュリティポリシーにより、Signer.Signよりも
‘ Windows SDKの SignTool.exe を利用する方が確実な場合が多い。
‘ oSigner.Sign scriptPath, certSubjectName
If Err.Number <> 0 Then
WScript.Echo “署名に失敗しました: ” & Err.Description
Else
WScript.Echo “署名成功: ” & scriptPath
End If
Set oSigner = Nothing
End Sub
> アーキテクトの知見:
> `Scripting.Signer.Sign` はスクリプト単体で完結するメリットがあるが、商用環境や厳格なPKI（公開鍵基盤）運用においては、Microsoft公式の `SignTool.exe`（Windows SDKに含まれる）をVBScriptから `WshShell.Run` でキックする手法の方が、タイムスタンプサーバーの指定やSHA-256（Strong Cryptography）の強制など、より高度なオプションを制御できるため実用的である。
—
4. レガシー環境・エンタープライズ運用における極限のベストプラクティス
現代のセキュリティ基準において、VBScriptを野放しにすることは許されない。しかし、既存の業務基盤の移行コストを鑑みたとき、「VBScriptをセキュアに延命する」という選択肢は極めて現実的な防衛策となる。
A. 「実行前検証ラッパー」の強制
エンドユーザーやオペレーターが直接 `.vbs` をダブルクリックして実行する運用を廃止する。代わりに、以下のようなマスターランチャー（`Run-Secure.cmd` やインテリジェントなVBScriptランチャー）を配置する。
1. ランチャーが `Scripting.Signer` を使って対象スクリプトを検証。
2. 署名が「Valid（正常）」である場合のみ、`cscript.exe` にプロセスを引き渡して実行。
3. 改ざん検知時は即座にイベントログへ警告を書き込み、プロセスを強制終了。
B. グループポリシー（GPO）との統合
Windowsの「セキュリティの設定」や「AppLocker」において、スクリプトの実行を「デジタル署名されているもの」に限定するポリシーと組み合わせることで、OSレベルとアプリケーションレベルの二重の防御壁が完成する。`Scripting.Signer` は、そのポリシーの妥当性をプログラム内部から自衛的に監査するための強力な武器となる。
—
5. 結びにかえて
VBScriptは「古い言語」ではない。それは、Windowsの深部に直結した「極めてプリミティブで強力なシステム制御インターフェース」である。
技術を排斥するのではなく、そのリスクを完全に掌握し、暗号学的な裏付け（デジタル署名・改ざん検知）によって要塞化すること。それこそが、レガシーアーキテクチャの最前線に立つエンジニアに課された責務であり、真の「技術至上主義」の姿である。
今日からあなたの管理するVBScriptに `Scripting.Signer` を組み込み、コードの信頼性を担保せよ。システムは、厳格な守りの上にのみ、静寂と安定を手に入れる。
