情報セキュリティ 第11回

情報セキュリティ 第11回

大久保誠也 静岡県立大学経営情報学部

2/60

はじめに

 はじめに

 電子メールのセキュリティ

 情報セキュリティポリシー

 演習

3/60

電子メールの セキュリティ

4/60

セキュリティの知識が必要な例2

これは何を言っているのでしょうか？

5/60

AliceからBobにメールを送る場合、

「Aliceのパソコン」→「Aliceのメールサーバー」

→「Bobのメールサーバー」 → 「Bobのパソコン」

と伝わっていく。

メールの経路の概略図

パソコン サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

6/60

パスワードやメールの内容が、やりとりされる

やりとりされるデータ

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード

7/60

パスワードやメールの盗聴防止や、

メールの内容の改竄

守りたいもの

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

盗聴防止

なりすましを 防止したい

盗聴防止

盗聴防止 改竄防止

8/60

POP



Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 ユーザーがメールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワード、メールの内容、すべてが平文でやりとりさ れる。

9/60

POP：Post Office Protocol メールを受信するプロトコル

POPの概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴可能 盗聴可能

盗聴可能 改竄可能

10/60

APOP



Authenticated Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 メールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワードのみ暗号化。メールの内容は平文のまま。

 脆弱性が見つかっているので、使用は推奨されない。

11/60

APOP：Authenticated Post Office Protocol

パソコンとサーバー間のパスワードのみを暗号化

APOP の概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴可能 改竄可能

12/60

POP over SSL

 メールを送信・受信するときに、

「クライアントとサーバー間」を、

暗号化するためのプロトコル。

パスワードで正しいユーザーか認証できる。

 「クライアントとサーバー間」は、パスワードも内容も暗 号化。

 「クライアントとサーバー間」は、内容は平文。



GmailをThunderbird等で利用した場合、この方法が

13/60

パソコン・サーバー間を暗号化

POP over SSL の概要

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴防止 改竄防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

14/60

https 利用の Web メール



httpsは、

「クライアントとサーバー間」の、

データを暗号化するためのプロトコル。



Webメールにログインするときのパスワードや、ブラウ

ザから入力した文章内容も暗号化される。

 ようするに、「クライアントのサーバー間」は、パスワー ドも内容も暗号化。

 「サーバーのサーバー間」は、内容は平文。



GmailやHotMail等でも利用できる。

15/60

パソコン・サーバー間を暗号化

https利用の

Webメールの概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴防止 改竄防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

16/60

ここまでの説明では

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容 パスワード

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

自分で 制御できる

基本 無防備

相手 次第

17/60

セキュリティの知識が必要な例 2

（少なくとも）あなたのパソコンとサーバーの間は 情報が守られます

18/60

サーバーとサーバーの間の現状



Googleがレポートを出しました。

 「透明性レポート より安全なメール」で検索。

 結局のところ、プロバイダ依存。

19/60

PGP(Pretty Good Privacy)



PGPは、

「クライアントとクライアント間」の、

データを暗号化するための手法。



Aliceが公開鍵暗号方式で暗号化・認証用データ作成

を行う。Bobは復号や認証用データの確認を行う。

 ようするに、「クライアントとクライアント間」で、内容を 暗号化する。認証もできる。

 パスワードについては何もしないので、他の「クライア ントとサーバー間」の暗号化手法を同時に使用する

 一般にあまりに普及してない。

20/60

アリスのが送るメールを暗号化。

認証用のデータ付き。

PGP

メールの内容

サーバー サーバー

パソコン

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

なりすまし防止

盗聴可能

盗聴可能

盗聴防止 改竄防止

明日、10時

明日、10時

21/60

今までのことで 守れるもの 守れないもの

22/60

今までやってきたこと

 情報セキュリティについて、主に通信関係についての 技術を取り扱ってきた。

 公開鍵暗号

 秘密鍵暗号

 ハイブリッド暗号

 一方向関数

 認証

 鍵配送問題

 パスワード



SSH



HTTPS

 メールに関するセキュリティ

23/60

Alice

Bob

通信関係技術で守れるもの (1)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

 今まで講義で取り扱った情報通信技術で、通信関係 は守れる。

24/60

Alice

Bob

通信関係技術で守れるもの (2)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

範疇外

範疇外

 今までの取り扱った情報通信技術では、「人に関する セキュリティ」や「計算機管理そのもの」は、フォローし ていない。

25/60

セキュリティ的な事故のニュース



Googleで「情報流出 原因」で検索してみよう。

 ニュースになる多くの事件は、「人」が「問題になる行 動」を起こした結果、生じてしまうことも多い。

26/60

これからからやること

 情報セキュリティについて、主に通信関係以外の事 柄を取り扱う。

情報流出と人的なセキュリティ



認証とは何か





 機械は技術で守る。人はルールで縛る。

27/60

セキュリティの重要性

 どんなに技術がすぐれていても、それを扱っているの は、あくまでも「人」。

 「人」は、最大のセキュリティホールになりうる。

 セキュリティパッチの当て忘れ

 情報のずさんな管理

セキュリティを維持するためには、

技術だけではなく、運用等も大事

28/60

情報セキュリティポリシー

29/60

情報セキュリティポリシー

 組織におけるセキュリティ対策を実施するため、

「基本的なセキュリティ方針」を明確にしたもの。

 関連文章は次の

3

 情報セキュリティ基本方針

 情報セキュリティ対策基準

 情報セキュリティ実施手順

セキュリティ ポリシー

30/60

個々の文章

 情報セキュリティ基本方針：

 情報セキュリティに対する、基本的な立場（目的）

や、用語の定義、文章構成等を示す。

 情報セキュリティ対策基準：

 基本方針の目的を達成するために、「何を守るの か」「どのような組織体制で臨むのか」「どのぐら い守るのか」の基準を示す。

 情報セキュリティ実施手順：

 具体的にどのように行動するかを示す。

31/60

情報セキュリティの評価

 実施する際には、

 何を守るべきなのか

 どのぐらいの強さで守るのか

 どのぐらいコストとリスクがあるのか

を評価する必要があります。

書類？個人情報？

紙？ハードディスク？

部屋に施錠すれば大丈夫？ 金庫に入れる？

漏れた場合の影響は？ 日常的に運用できる体制か？

特に守らなければならないものはどれか？

32/60

情報資産と情報の分類

 情報資産：

 守るべきターゲット

 「情報そのもの」や「情報を含んだ物体」も含まれてい る。つまり、「紙」も情報資産になりうる。

 情報資産は、重要性に応じてランク付けされる。

たとえば、「公開情報」「社外秘情報」「機密情報」等。

33/60

県大の情報セキュリティポリシー

34/60

県大の情報セキュリティポリシー

 情報セキュリティ基本方針：

策定済み

 情報セキュリティ対策基準：

策定済み

 情報セキュリティ実施手順：

対策基準策定後に作成する？（予定）

35/60



[県大のTOPページ]→［法人情報］

→[情報セキュリティ対策基準］

の順にたどる

ファイルのダウンロード

36/60

何が書かれているのか (1)

 第

1



37/60

何が書かれているのか (2)

 第

2





38/60

何が書かれているのか (3)

 第

3

4





39/60

何が書かれているのか (4)

 第5条



40/60

何が書かれているのか (5)

 第6条、第7条、第8条







41/60

何が書かれているのか (6)

 第

9

10

11





42/60

県大の情報セキュリティ対策基準

43/60

 情報セキュリティ基本方針 第9条：



情報セキュリティ対策を実施するために、具 体的な遵守事項及び判断基準等を定める情 報セキュリティ対策基準を策定する。なお、

情報セキュリティ対策基準は、公にすること により法人の業務運営に重大な支障を及ぼ すおそれがあることから非公開とする。

学外に内容を漏らさないこと

取り扱いにおける注意点

44/60

ファイルのダウンロード

 「県大のTOPページ」→「教職員・学生専用」

→「様式・規定集等」→「静岡県公立大学法人規定集」

→「情報セキュリティ対策基準」の順にたどる

45/60

何が書かれているのか(1)

 第1条：

46/60

何が書かれているのか(2)

 第2条：

47/60

何が書かれているのか (3)

 第3条～第10条：

48/60

何が書かれているのか (4)

 第11条：

49/60

何が書かれているのか (5)

 第12条～第13条：

50/60

何が書かれているのか (6)

 第14条、第17条：

51/60

何が書かれているのか(7)

 第15条：

52/60

何が書かれているのか(8)

 第16条：

53/60

何が書かれているのか (9)

 第18条：

54/60

何が書かれているのか (10)

 第19条～第21条：

55/60

何が書かれているのか (12)

 第22条：

56/60

何が書かれているのか (13)

 第23条～第24条：

57/60

何が書かれているのか(14)

 第25条～第26条：

58/60

情報セキュリティ実施手順

 対策基準を満たすために、具体的にどのように行動す るかが記載されている。

 記載方法は様々。





それぞれの基準を満たすための具体的手順を記す。

59/60

演習：

情報流出の事例

60/60

課題と課題の提出

 次のことを調べ、レポートにまとめて提出する

「情報流出」等をキーワードに検索し、どのような事 故があったかとその原因を調べる。

 ファイル名は学籍番号の末尾に

l をつけたもの。