情報セキュリティ第12回

(1)

情報セキュリティ第12回

大久保誠也静岡県立大学経営情報学部

2/64

はじめに

 はじめに

 暗号化と範囲

 電子メールのセキュリティ

 日常生活と情報セキュリティ

 演習

3/64

暗号化と範囲

4/64

暗号化技術と範疇

 暗号化の実装は様々なものがあります。

 それぞれ、「何を暗号化するのか」「どこからどこまでを暗号化するのか」が異なります。

 情報を守るためには

「今自分が使っている暗号化手法はどういうものか」

を正しく理解する必要があります。

5/64

電子メールのセキュリティ

6/64

セキュリティの知識が必要な例 2

これは何を言っているのでしょうか？

(2)

7/64

AliceからBobにメールを送る場合、

「Aliceのパソコン」→「Aliceのメールサーバー」

→「Bobのメールサーバー」 → 「Bobのパソコン」

と伝わっていく。

メールの経路の概略図

パソコンサーバーサーバー

パソコン

明日、10時

8/64

パスワードやメールの内容が、やりとりされる

やりとりされるデータ

メールの内容

サーバーサーバー

パソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード

9/64

パスワードやメールの盗聴防止や、

メールの内容の改竄

守りたいもの

メールの内容

サーバーサーバーパソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴防止

改竄防止

盗聴防止改竄防止

盗聴防止

なりすましを防止したい

盗聴防止

10/64

POP

 Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 ユーザーがメールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワード、メールの内容、すべてが平文でやりとりされる。

11/64

POP：Post Office Protocol メールを受信するプロトコル

POP の概要

メールの内容

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴可能

改竄可能

盗聴可能改竄可能

なりすまし可能

盗聴可能盗聴可能

12/64

APOP

 Authenticated Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

 メールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワードのみ暗号化。メールの内容は平文のまま。

 脆弱性が見つかっているので、使用は推奨されない。

(3)

13/64

APOP：Authenticated Post Office Protocol

パソコンとサーバー間のパスワードのみを暗号化

APOP の概要

メールの内容

サーバーサーバー

パソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴可能

改竄可能

盗聴防止

14/64

POP over SSL/SMTP over SSL

 メールを送信・受信するときに、

「クライアントとサーバー間」を、

暗号化するためのプロトコル。

 「クライアントとサーバー間」は、パスワードも内容も暗号化。

 「クライアントとサーバー間」は、内容は平文。

 GmailをThunderbird等で利用した場合、この方法が利用できる。

15/64

パソコン・サーバー間を暗号化

POP over SSL の概要

メールの内容

明日、10時

パスワード

メールの内容

改竄防止

盗聴防止

さｌｋｄｆｊｌ

16/64

https利用のWebメール

 httpsは、

「クライアントとサーバー間」の、

データを暗号化するためのプロトコル。

 Webメールにログインするときのパスワードや、ブラウ

ザから入力した文章内容も暗号化される。

 ようするに、「クライアントのサーバー間」は、パスワードも内容も暗号化。

 「サーバーのサーバー間」は、内容は平文。

 GmailやHotMail等でも利用できる。

17/64

パソコン・サーバー間を暗号化

https 利用の

Web メールの概要

メールの内容

明日、10時

パスワード

メールの内容

改竄防止

盗聴防止

18/64

ここまでの説明では

メールの内容

明日、10時

パスワード

メールの内容パスワード

自分で制御できる

基本無防備

相手次第

(4)

19/64

セキュリティの知識が必要な例 2

（少なくとも）あなたのパソコンとサーバーの間は情報が守られます

20/64

サーバーとサーバーの間の現状

 Googleがレポートを出しました。

 「透明性レポートより安全なメール」で検索。

 結局のところ、プロバイダ依存。

21/64

PGP(Pretty Good Privacy)

 PGPは、

「クライアントとクライアント間」の、

データを暗号化するための手法。

 Aliceが公開鍵暗号方式で暗号化・認証用データ作成

を行う。Bobは復号や認証用データの確認を行う。

 ようするに、「クライアントとクライアント間」で、内容を暗号化する。認証もできる。

 パスワードについては何もしないので、他の「クライアントとサーバー間」の暗号化手法を同時に使用する

 一般にあまりに普及してない。

22/64

アリスのが送るメールを暗号化。

認証用のデータ付き。

PGP

メールの内容

パスワード

メールの内容

改竄防止

なりすまし防止

盗聴可能

明日、10時

23/64

今までのことで守れるもの守れないもの

24/64

今までやってきたこと

 情報セキュリティについて、主に通信関係についての技術を取り扱ってきた。

 公開鍵暗号

 秘密鍵暗号

 ハイブリッド暗号

 一方向関数

 認証

 鍵配送問題

 パスワード

 SSH

 HTTPS

 メールに関するセキュリティ

(5)

25/64

Alice

Bob

通信関係技術で守れるもの (1)

盗聴防止改ざん防止

なりすまし防止守れる部分

 今まで講義で取り扱った情報通信技術で、通信関係は守れる。

26/64

Alice

Bob

通信関係技術で守れるもの (2)

盗聴防止改ざん防止

なりすまし防止守れる部分

範疇外

 今までの取り扱った情報通信技術では、「人に関するセキュリティ」や「計算機管理そのもの」は、フォローしていない。

27/64

セキュリティ的な事故のニュース

 Googleで「情報流出原因」で検索してみよう。

 ニュースになる多くの事件は、「人」が「問題になる行動」を起こした結果、生じてしまうことも多い。

28/64

これからからやること

 情報セキュリティについて、主に通信関係以外の事柄を取り扱う。

情報流出と人的なセキュリティ

情報セキュリティポリシー

認証とは何か

（ライセンス）

（知的財産権）

 機械は技術で守る。人はルールで縛る。

29/64

セキュリティの重要性

 どんなに技術がすぐれていても、それを扱っているのは、あくまでも「人」。

 「人」は、最大のセキュリティホールになりうる。

 セキュリティパッチの当て忘れ

 情報のずさんな管理

セキュリティを維持するためには、

技術だけではなく、運用等も大事

30/64

日常生活において

(6)

31/64

日常生活と情報セキュリティ

 現在では、多くの媒体がネットワークに繋がっている。

 日常生活で、メールやブラウジング、携帯電話やパソコン等、さまざまな情報機器を日常的に利用している。

 安全に過ごしていくためには、これらのものを理解しておく必要がある。

 企業の不祥事等が報道されている。個人も様々な危険にさらされている。

 学生生活を送る際に必要となる、日常的な情報セキュリティと情報倫理の考え方についてみていく。

32/64

情報セキュリティの目的

 情報セキュリティの目的

完全性：情報が完全な形で保たれていること

機密性：必要のある人以外に、情報が渡らないこと

可用性：必要なときに、情報が利用出来ること

 これから見ていく内容

機器の問題

不注意

不適切な取り扱い

33/64

使用している情報機器等の問題

 我々は様々な機器やソフトウェアを利用している。これらの機器が安全であるか否かは、非常に重要。

 セキュリティホール：

 自分は何を使っているのか？

 パッチは当てているか？

 機械の故障

 形在る物はいつかは壊れる

 バックアップはとってある？

34/64

例：登録したサイトから漏れる

 個人情報を提供した会社や店舗から漏れていく

 「個人情報過去５年」で検索

 「米Yahoo 漏洩」で検索

 「住宅クレジットカード流出」で検索

 「アットパスワード流出」で検索

 自分の個人情報を誰が持っているのか、

事故が起きたとき、自分の個人情報も漏れていないか、

確認できるように。

35/64

人の不注意による情報流出

 ソフトウェア自体には問題がなくとも、我々の理解不足や不適切利用は、大きな問題を引き起こす

 情報の管理の仕方

人の不注意や意識の低さは、それそのものが脆弱性である。

その行動が何を引き起こすのか、理解していない。

「パスワード書いた紙を落としてしまった」「メールの宛先を間違えてしまった」「不用意に個人情報を書いてしまった」「セキュリティパッチを面倒であてなかった」等々

36/64

パソコンの盗難

あれ？パソコンがない

しめしめ、

上手く盗めたぞ

重要な情報は持ち出さない。

持ち出したら目を離さない。

 パソコンを外に持ち出て、物理的に盗まれることも例：車上荒らし

 パソコンは持ち出し禁止にする会社も。

(7)

37/64

例：物品の廃棄

ゴミから情報もういらないや入手！

情報はきちんと削除する

 物品を捨てるときは、その中に「重要な情報」が含まれていないかに注意する。

 ハードディスク等は、OSの機能で削除していても、データを復元できることも。

38/64

例：パスワードの管理

あれ？

これは...

覚えられないなぁ...

パスワードは適切に管理する

 初期パスワードは必ず変更する。数ヵ月に1回パスワードの変更を行う。

 他人に教えたりしない。他人に推測されづらい。

39/64

例：メールの誤送信

極秘

あれ？

これは...

極秘

送信 Bob

Alice あて先はきちんと確認する

あ！

送り間違えた！

40/64

近頃の例：

 「メールcc 情報流出」をキーワードに検索

 「不注意情報流出」をキーワードに検索

41/64

ソフトや仕組みを盲目的に利用

 思いもよらない情報が重要な役目を果たしてしまうシステムも存在している。

 どのような情報がどのぐらい重要か、把握する必要がある。

 盲目的にそのソフトを使って大丈夫？

42/64

例：

 「初音ミクTカードアップロード」

で検索。

 問題の流れ：

初音ミクのTカードをゲットし、

喜び勇んで画像を

アップロードする人が続出。

ところがTカード番号は、

個人情報的に重要。

会社が警告を出す。

http://tsite.jp/cp/index.pl?xpg=PCIC0102&cp_id=6433 http://mikut.jp/

何が重要かを知る

(8)

43/64

情報の流れる範囲の無理解

 twitter やmixi、facebook等、身近な話題や日頃の出

来事を簡単に外部に発信することができる。

 "つぶやき" などと呼ばれているため言葉的には限定

された範囲を想像するが、実際には全世界に叫んでいるのに等しい場合がある。

 その行動により情報が流れる範囲を常に意識して行うべきである。

44/64

発信する情報の内容

 あまり考えず、思ったままに書き込みを行ってしまう人が、この世の中には存在している。

 個人情報やプライベートな、はては無免許運転、万引き、カンニング等の犯罪行為までが存在している。

 犯罪行為自体が問題外だが、全世界に向けて告白してしまうことにより、問題を大きくしてしまう。

 発信する情報はよく吟味し、問題が無いと判断できたときのみに発信するべき。

45/64

例：

 「twitter 炎上」で検索をすると、

沢山出てきます。

46/64

情報セキュリティのまとめ

 情報は電子の海を勢いよく広がっていき、一度放ってしまうと回収することは困難。

 一瞬の不注意や思い込みによる判断で、取り返しのつかない事態に。

 普段から意識することが重要

それはやって大丈夫なのか

それは流して大丈夫なのか

それはどの範囲で流れるのか

47/64

おまけ

48/64

文章の書きっぷり

 「アンケートはのちほど修正できます」

↓

少なくともシステムは、個人と回答を結びつけて保存している可能性がある

 「教員に対して匿名で行われます」

↓

教員以外に対しては匿名かは保証されてない

(9)

49/64

演習：

情報流出の事例

50/64

課題と課題の提出

 次のことを調べ、レポートにまとめて提出する

「情報流出」等をキーワードに検索し、どのような事故があったかとその原因を調べる。

 ファイル名は学籍番号の末尾にk をつけたもの。

51/64

13 回目について

 教材を公開するので、それを見て、レポートを提出してください。

 教材は、動画とPDFからなる予定です。

 詳細は、経情グループウェアのお知らせ欄に、7/21ごろを目処に掲載します。

 レポートの締め切りは、7/29ごろの予定です。

情報セキュリティ 第12回