情報セキュリティ第11回

(1)

情報セキュリティ第11回

大久保誠也静岡県立大学経営情報学部

2/64

はじめに

 はじめに

 暗号化と範囲

 電子メールのセキュリティ

 情報セキュリティポリシー

 演習

3/64

暗号化と範囲

4/64

暗号化技術と範疇

 暗号化の実装は様々なものがあります。

 それぞれ、「何を暗号化するのか」「どこからどこまでを暗号化するのか」が異なります。

 情報を守るためには

「今自分が使っている暗号化手法はどういうものか」

を正しく理解する必要があります。

5/64

電子メールのセキュリティ

6/64

セキュリティの知識が必要な例 2

これは何を言っているのでしょうか？

(2)

7/64

AliceからBobにメールを送る場合、

「Aliceのパソコン」→「Aliceのメールサーバー」

→「Bobのメールサーバー」 → 「Bobのパソコン」

と伝わっていく。

メールの経路の概略図

パソコンサーバーサーバー

パソコン

明日、10時

8/64

パスワードやメールの内容が、やりとりされる

やりとりされるデータ

メールの内容

サーバーサーバー

パソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード

9/64

パスワードやメールの盗聴防止や、

メールの内容の改竄

守りたいもの

メールの内容

サーバーサーバーパソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴防止

改竄防止

盗聴防止改竄防止

盗聴防止

なりすましを防止したい

盗聴防止

10/64

POP



Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 ユーザーがメールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワード、メールの内容、すべてが平文でやりとりされる。

11/64

POP：Post Office Protocol メールを受信するプロトコル

POP の概要

メールの内容

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴可能

改竄可能

盗聴可能改竄可能

なりすまし可能

盗聴可能盗聴可能

12/64

APOP



Authenticated Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

 メールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワードのみ暗号化。メールの内容は平文のまま。

 脆弱性が見つかっているので、使用は推奨されない。

(3)

13/64

APOP：Authenticated Post Office Protocol

パソコンとサーバー間のパスワードのみを暗号化

APOP の概要

メールの内容

サーバーサーバー

パソコン

明日、10時

パスワード

メールの内容

メールの内容パスワード盗聴可能

改竄可能

盗聴防止

14/64

POP over SSL

 メールを送信・受信するときに、

「クライアントとサーバー間」を、

暗号化するためのプロトコル。

 「クライアントとサーバー間」は、パスワードも内容も暗号化。

 「クライアントとサーバー間」は、内容は平文。



GmailをThunderbird等で利用した場合、この方法が

利用できる。

15/64

パソコン・サーバー間を暗号化

POP over SSL の概要

メールの内容

明日、10時

パスワード

メールの内容

改竄防止

盗聴防止

さｌｋｄｆｊｌ

16/64

https利用のWebメール



httpsは、

「クライアントとサーバー間」の、

データを暗号化するためのプロトコル。



Webメールにログインするときのパスワードや、ブラウ

ザから入力した文章内容も暗号化される。

 ようするに、「クライアントのサーバー間」は、パスワードも内容も暗号化。

 「サーバーのサーバー間」は、内容は平文。



GmailやHotMail等でも利用できる。

17/64

パソコン・サーバー間を暗号化

https 利用の

Web メールの概要

メールの内容

明日、10時

パスワード

メールの内容

改竄防止

盗聴防止

18/64

ここまでの説明では

メールの内容

明日、10時

パスワード

メールの内容パスワード

自分で制御できる

基本無防備

相手次第

(4)

19/64

セキュリティの知識が必要な例 2

（少なくとも）あなたのパソコンとサーバーの間は情報が守られます

20/64

サーバーとサーバーの間の現状



Googleがレポートを出しました。

 「透明性レポートより安全なメール」で検索。

 結局のところ、プロバイダ依存。

21/64

PGP(Pretty Good Privacy)



PGPは、

「クライアントとクライアント間」の、

データを暗号化するための手法。



Aliceが公開鍵暗号方式で暗号化・認証用データ作成

を行う。Bobは復号や認証用データの確認を行う。

 ようするに、「クライアントとクライアント間」で、内容を暗号化する。認証もできる。

 パスワードについては何もしないので、他の「クライアントとサーバー間」の暗号化手法を同時に使用する

 一般にあまりに普及してない。

22/64

アリスのが送るメールを暗号化。

認証用のデータ付き。

PGP

メールの内容

パスワード

メールの内容

改竄防止

なりすまし防止

盗聴可能

明日、10時

23/64

今までのことで守れるもの守れないもの

24/64

今までやってきたこと

 情報セキュリティについて、主に通信関係についての技術を取り扱ってきた。

 公開鍵暗号

 秘密鍵暗号

 ハイブリッド暗号

 一方向関数

 認証

 鍵配送問題

 パスワード



SSH



HTTPS

 メールに関するセキュリティ

(5)

25/64

Alice

Bob

通信関係技術で守れるもの (1)

盗聴防止改ざん防止

なりすまし防止守れる部分

 今まで講義で取り扱った情報通信技術で、通信関係は守れる。

26/64

Alice

Bob

通信関係技術で守れるもの (2)

盗聴防止改ざん防止

なりすまし防止守れる部分

範疇外

 今までの取り扱った情報通信技術では、「人に関するセキュリティ」や「計算機管理そのもの」は、フォローしていない。

27/64

セキュリティ的な事故のニュース



Googleで「情報流出原因」で検索してみよう。

 ニュースになる多くの事件は、「人」が「問題になる行動」を起こした結果、生じてしまうことも多い。

28/64

これからからやること

 情報セキュリティについて、主に通信関係以外の事柄を取り扱う。

情報流出と人的なセキュリティ



情報セキュリティポリシー



認証とは何か

（ライセンス）



（知的財産権）

 機械は技術で守る。人はルールで縛る。

29/64

セキュリティの重要性

 どんなに技術がすぐれていても、それを扱っているのは、あくまでも「人」。

 「人」は、最大のセキュリティホールになりうる。

 セキュリティパッチの当て忘れ

 情報のずさんな管理

セキュリティを維持するためには、

技術だけではなく、運用等も大事

30/64

情報セキュリティポリシー

(6)

31/64

情報セキュリティポリシー

 組織におけるセキュリティ対策を実施するため、

「基本的なセキュリティ方針」を明確にしたもの。

 関連文章は次の3つ：

 情報セキュリティ基本方針

 情報セキュリティ対策基準

 情報セキュリティ実施手順

セキュリティポリシー

32/64

個々の文章

 情報セキュリティ基本方針：

 情報セキュリティに対する、基本的な立場（目的）

や、用語の定義、文章構成等を示す。

 情報セキュリティ対策基準：

 基本方針の目的を達成するために、「何を守るのか」「どのような組織体制で臨むのか」「どのぐらい守るのか」の基準を示す。

 情報セキュリティ実施手順：

 具体的にどのように行動するかを示す。

33/64

情報セキュリティの評価

 実施する際には、

 何を守るべきなのか

 どのぐらいの強さで守るのか

 どのぐらいコストとリスクがあるのか

を評価する必要があります。

書類？個人情報？

紙？ハードディスク？

部屋に施錠すれば大丈夫？金庫に入れる？

漏れた場合の影響は？日常的に運用できる体制か？

特に守らなければならないものはどれか？

34/64

情報資産と情報の分類

 情報資産：

 守るべきターゲット

 「情報そのもの」や「情報を含んだ物体」も含まれている。つまり、「紙」も情報資産になりうる。

 情報資産は、重要性に応じてランク付けされる。

たとえば、「公開情報」「社外秘情報」「機密情報」等。

35/64

県大の情報セキュリティポリシー

36/64

県大の情報セキュリティポリシー

 情報セキュリティ基本方針：

策定済み

 情報セキュリティ対策基準：

策定済み

 情報セキュリティ実施手順：

対策基準策定後に作成する？（予定）

(7)

37/64



[県大のTOPページ]→［法人情報］

→[情報セキュリティ対策基準］

の順にたどる

ファイルのダウンロード

38/64

何が書かれているのか (1)

 第

1

条：



目的や、この文章の位置づけが書かれています。

39/64

何が書かれているのか (2)

 第2条：



一連のセキュリティ関連文書で使用される用語の定義をしています。



場合によっては他と違う定義が書かれていることもあるので、注意が必要です。

40/64

何が書かれているのか (3)

 第3条、第4条



この規定を誰が守らないといけないか



守らないといけない人の義務

41/64

何が書かれているのか (4)

 第

5

条



何を脅威としてとらえるのかの例が書かれている。つまり、何に備えたいのか。

42/64

何が書かれているのか (5)

 第

6

条、第

7

条、第

8

条



実施内容の策定



実施内容の評価



実施内容の見直しのサイクルが書かれている。

(8)

43/64

何が書かれているのか (6)

 第

9

条、第

10

条、第

11

条、別表



他の文章（セキュリティ対策基準と実施手順）を策定すること



全部の文章それぞれの位置づけについて

44/64

県大の情報セキュリティ対策基準

45/64

 情報セキュリティ基本方針第

9

条：



（情報セキュリティ対策基準の策定）

情報セキュリティ対策を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。なお、

情報セキュリティ対策基準は、公にすることにより法人の業務運営に重大な支障を及ぼすおそれがあることから非公開とする。

学外に内容を漏らさないこと

取り扱いにおける注意点

46/64

ファイルのダウンロード

 「県大のTOPページ」→「教職員・学生専用」

→「様式・規定集等」→「静岡県公立大学法人規定集」

→「情報セキュリティ対策基準」の順にたどる

47/64

何が書かれているのか (1)

 第1条：

48/64

何が書かれているのか (2)

 第2条：

(9)

49/64

何が書かれているのか (3)

 第3条～第10条：

50/64

何が書かれているのか (4)

 第11条：

51/64

何が書かれているのか(5)

 第12条～第13条：

52/64

何が書かれているのか(6)

 第14条、第17条：

53/64

何が書かれているのか (7)

 第15条：

54/64

何が書かれているのか (8)

 第16条：

(10)

55/64

何が書かれているのか (9)

 第18条：

56/64

何が書かれているのか (10)

 第19条～第21条：

57/64

何が書かれているのか(12)

 第22条：

58/64

何が書かれているのか(13)

 第23条～第24条：

59/64

何が書かれているのか (14)

 第25条～第26条：

60/64

情報セキュリティ実施手順

 対策基準を満たすために、具体的にどのように行動するかが記載されている。

 記載方法は様々。

適用される部署毎に文章が違う場合もある。



対策基準のうち、適用されるものを抜き出し、



それぞれの基準を満たすための具体的手順を記す。

(11)

61/64

その他の文章 (1)

 学生便覧P6

62/64

その他の文章 (2)

 学生便覧P7

63/64

その他の文章(3)

 公式Webサイト：学内情報ネットワークの利用について

64/64

その他の文章(4)

65/64

演習：

情報流出の事例

66/64

課題と課題の提出

 次のことを調べ、レポートにまとめて提出する

「情報流出」等をキーワードに検索し、どのような事故があったかとその原因を調べる。

 ファイル名は学籍番号の末尾に

情報セキュリティ 第11回