情報セキュリティ 第11回

情報セキュリティ 第11回

大久保誠也 静岡県立大学経営情報学部

2/64

はじめに

 はじめに

 電子メールのセキュリティ

 情報セキュリティポリシー

 演習

3/64

電子メールの セキュリティ

4/64

セキュリティの知識が必要な例2

これは何を言っているのでしょうか？

AliceからBobにメールを送る場合、

「Aliceのパソコン」→「Aliceのメールサーバー」

→「Bobのメールサーバー」 → 「Bobのパソコン」

と伝わっていく。

メールの経路の概略図

パソコン サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワードやメールの内容が、やりとりされる

やりとりされるデータ

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード

7/64

パスワードやメールの盗聴防止や、

メールの内容の改竄

守りたいもの

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

盗聴防止

なりすましを 防止したい

盗聴防止

盗聴防止 改竄防止

8/64

POP



Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 ユーザーがメールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワード、メールの内容、すべてが平文でやりとりさ れる。

9/64

POP：Post Office Protocol メールを受信するプロトコル

POPの概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴可能 盗聴可能

盗聴可能 改竄可能

10/64

APOP



Authenticated Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 メールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワードのみ暗号化。メールの内容は平文のまま。

 脆弱性が見つかっているので、使用は推奨されない。

11/64

APOP：Authenticated Post Office Protocol

パソコンとサーバー間のパスワードのみを暗号化

APOP の概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴可能 改竄可能

12/64

POP over SSL

 メールを送信・受信するときに、

「クライアントとサーバー間」を、

暗号化するためのプロトコル。

パスワードで正しいユーザーか認証できる。

 「クライアントとサーバー間」は、パスワードも内容も暗 号化。

 「クライアントとサーバー間」は、内容は平文。



GmailをThunderbird等で利用した場合、この方法が

13/64

パソコン・サーバー間を暗号化

POP over SSL の概要

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴防止 改竄防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

14/64

https 利用の Web メール



httpsは、

「クライアントとサーバー間」の、

データを暗号化するためのプロトコル。



Webメールにログインするときのパスワードや、ブラウ

ザから入力した文章内容も暗号化される。

 ようするに、「クライアントのサーバー間」は、パスワー ドも内容も暗号化。

 「サーバーのサーバー間」は、内容は平文。



GmailやHotMail等でも利用できる。

15/64

パソコン・サーバー間を暗号化

https利用の

Webメールの概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴防止 改竄防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

16/64

ここまでの説明では

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容 パスワード

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

自分で 制御できる

基本 無防備

相手 次第

セキュリティの知識が必要な例 2

（少なくとも）あなたのパソコンとサーバーの間は 情報が守られます

サーバーとサーバーの間の現状



Googleがレポートを出しました。

 「透明性レポート より安全なメール」で検索。

 結局のところ、プロバイダ依存。

19/64

PGP(Pretty Good Privacy)



PGPは、

「クライアントとクライアント間」の、

データを暗号化するための手法。



Aliceが公開鍵暗号方式で暗号化・認証用データ作成

を行う。Bobは復号や認証用データの確認を行う。

 ようするに、「クライアントとクライアント間」で、内容を 暗号化する。認証もできる。

 パスワードについては何もしないので、他の「クライア ントとサーバー間」の暗号化手法を同時に使用する

 一般にあまりに普及してない。

20/64

アリスのが送るメールを暗号化。

認証用のデータ付き。

PGP

メールの内容

サーバー サーバー

パソコン

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

なりすまし防止

盗聴可能

盗聴可能

盗聴防止 改竄防止

明日、10時

明日、10時

21/64

今までのことで 守れるもの 守れないもの

22/64

今までやってきたこと

 情報セキュリティについて、主に通信関係についての 技術を取り扱ってきた。

 公開鍵暗号

 秘密鍵暗号

 ハイブリッド暗号

 一方向関数

 認証

 鍵配送問題

 パスワード



SSH



HTTPS

 メールに関するセキュリティ

23/64

Alice

Bob

通信関係技術で守れるもの (1)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

 今まで講義で取り扱った情報通信技術で、通信関係 は守れる。

24/64

Alice

Bob

通信関係技術で守れるもの (2)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

範疇外

範疇外

 今までの取り扱った情報通信技術では、「人に関する セキュリティ」や「計算機管理そのもの」は、フォローし ていない。

25/64

セキュリティ的な事故のニュース



Googleで「情報流出 原因」で検索してみよう。

 ニュースになる多くの事件は、「人」が「問題になる行 動」を起こした結果、生じてしまうことも多い。

26/64

これからからやること

 情報セキュリティについて、主に通信関係以外の事 柄を取り扱う。

情報流出と人的なセキュリティ



認証とは何か





 機械は技術で守る。人はルールで縛る。

27/64

セキュリティの重要性

 どんなに技術がすぐれていても、それを扱っているの は、あくまでも「人」。

 「人」は、最大のセキュリティホールになりうる。

 セキュリティパッチの当て忘れ

 情報のずさんな管理

セキュリティを維持するためには、

技術だけではなく、運用等も大事

28/64

情報セキュリティポリシー

情報セキュリティポリシー

 組織におけるセキュリティ対策を実施するため、

「基本的なセキュリティ方針」を明確にしたもの。

 関連文章は次の

3

 情報セキュリティ基本方針

 情報セキュリティ対策基準

 情報セキュリティ実施手順

セキュリティ ポリシー

個々の文章

 情報セキュリティ基本方針：

 情報セキュリティに対する、基本的な立場（目的）

や、用語の定義、文章構成等を示す。

 情報セキュリティ対策基準：

 基本方針の目的を達成するために、「何を守るの か」「どのような組織体制で臨むのか」「どのぐら い守るのか」の基準を示す。

 情報セキュリティ実施手順：

 具体的にどのように行動するかを示す。

31/64

情報セキュリティの評価

 実施する際には、

 何を守るべきなのか

 どのぐらいの強さで守るのか

 どのぐらいコストとリスクがあるのか

を評価する必要があります。

書類？個人情報？

紙？ハードディスク？

部屋に施錠すれば大丈夫？ 金庫に入れる？

漏れた場合の影響は？ 日常的に運用できる体制か？

特に守らなければならないものはどれか？

32/64

情報資産と情報の分類

 情報資産：

 守るべきターゲット

 「情報そのもの」や「情報を含んだ物体」も含まれてい る。つまり、「紙」も情報資産になりうる。

 情報資産は、重要性に応じてランク付けされる。

たとえば、「公開情報」「社外秘情報」「機密情報」等。

33/64

県大の情報セキュリティポリシー

34/64

県大の情報セキュリティポリシー

 情報セキュリティ基本方針：

策定済み

 情報セキュリティ対策基準：

策定済み

 情報セキュリティ実施手順：

対策基準策定後に作成する？（予定）

35/64



[県大のTOPページ]→［法人情報］

→[情報セキュリティ対策基準］

の順にたどる

ファイルのダウンロード

36/64

何が書かれているのか (1)

 第

1



37/64

何が書かれているのか (2)

 第

2





38/64

何が書かれているのか (3)

 第

3

4





39/64

何が書かれているのか (4)

 第5条



40/64

何が書かれているのか (5)

 第6条、第7条、第8条







何が書かれているのか (6)

 第

9

10

11





県大の情報セキュリティ対策基準

43/64

 情報セキュリティ基本方針 第9条：



情報セキュリティ対策を実施するために、具 体的な遵守事項及び判断基準等を定める情 報セキュリティ対策基準を策定する。なお、

情報セキュリティ対策基準は、公にすること により法人の業務運営に重大な支障を及ぼ すおそれがあることから非公開とする。

学外に内容を漏らさないこと

取り扱いにおける注意点

44/64

ファイルのダウンロード

 「県大のTOPページ」→「教職員・学生専用」

→「様式・規定集等」→「静岡県公立大学法人規定集」

→「情報セキュリティ対策基準」の順にたどる

45/64

何が書かれているのか(1)

 第1条：

46/64

何が書かれているのか(2)

 第2条：

47/64

何が書かれているのか (3)

 第3条～第10条：

48/64

何が書かれているのか (4)

 第11条：

49/64

何が書かれているのか (5)

 第12条～第13条：

50/64

何が書かれているのか (6)

 第14条、第17条：

51/64

何が書かれているのか(7)

 第15条：

52/64

何が書かれているのか(8)

 第16条：

何が書かれているのか (9)

 第18条：

何が書かれているのか (10)

 第19条～第21条：

55/64

何が書かれているのか (12)

 第22条：

56/64

何が書かれているのか (13)

 第23条～第24条：

57/64

何が書かれているのか(14)

 第25条～第26条：

58/64

情報セキュリティ実施手順

 対策基準を満たすために、具体的にどのように行動す るかが記載されている。

 記載方法は様々。





それぞれの基準を満たすための具体的手順を記す。

59/64

その他の文章 (1)

 学生便覧P6

60/64

その他の文章 (2)

 学生便覧P7

61/64

その他の文章 (3)

 公式Webサイト：学内情報ネットワークの利用について

62/64

その他の文章 (4)

63/64

演習：

情報流出の事例

64/64

課題と課題の提出

 次のことを調べ、レポートにまとめて提出する

「情報流出」等をキーワードに検索し、どのような事 故があったかとその原因を調べる。

 ファイル名は学籍番号の末尾に

l をつけたもの。