イ ン タ ー ネット 大 学 S O I で 学 ぶ デ ジ タ ル リ テ ラ シ ー【 村井純教授のインターネット基礎講座 】
ェストダイジ

第 5 回：コ ン ピ ュ ー タ ー ウ イ ル ス と 不 正 ア ク セ ス 対 策
日常でインターネットを使っていても、技術の基本はよくわからない、ホントの意味を知っておきたいというみなさんに、テクノロジーとしてのインターネッ
トがどのような原理や仕組みで動いているかを正しく理解していただくこと

村井純を目的に、インターネット大学SOIの「インターネット概論」の授業の一部をダイジェストとして紹介しています。今回は不正アクセスなどの具体的な方法を見ていき、対策について考えましょう。
http://www.soi.wide.ad.jp/class/20020002/

今回の授業はこちらを参照
SOI「インターネット概論」（第8回「コンピューターウイルスと不正アクセス対策」）
へ

http://www.soi.wide.ad.jp/class/20020002/
slides/08/◎増加するコンピューターウイルスむらい・じゅん

慶應義塾大学環境情報学部教授。日本のインターネット第一号となったWIDEプロジェクトを設立。インターネットでの日本語の取り扱い方の取り決めの開発、IAB委員、インターネット協会（ISOC）理事など国際的なインターネット組織の役員を歴任するなど、インターネットの技術と社会の発展に尽力している。

ス ポンスチーム ）とか、その日本 版 のベースなので、必ずしもウイルス被害の規JPCERT などが有名ですね。こういった模に対応しているわけではありません。

一般的な組織のほかにトレンドマイクロな◎不正アクセスとパスワード

どのウイルス対策ソフトの会社があり、ウイルス警報を出したり、新しいウイルス定セキュリティーというとウイルスに注目が義ファイルを配布したりしています。一方集まりがちですが、前回も述べたように、コンピューターウイルスが発生したときではコンピューターウイルスをまいた人をセキュリティーとはネットワークに繋がってに、その届け出を受け付けて、対策をする罰する法律の整備なども進んでいます。日いる状態だから必要な全般的な用心なの組織がいくつかあります。ISEC（インフォ本でも2000年2月に「不正アクセス行為です。
「繋がっている状態だから鍵をかけメーションテクノロジー・セキュリティーセの禁止等に関する法律」が施行され、最なくてはいけない」と言いだされたのが、ンター）とか、カーネギーメロン大学の中の近はウイルスの報告件数も増えています

SFC（慶應義塾大学湘南藤沢キャンパス）

CERT（コンピューターエマージェンシーレ

（図1）。もっとも発表される数字は届け出ができた頃の話でした。当時はSFCでもイン ター ネット 上 の 大 学 S O I

この連載の内容はSOI（School of Internet）
でストリーミング映像にクリックするとよって公開しています。

http://www.soi.wide.ad.jp/

授業が開始

SOIとは、世界中の学ぶ意欲を持つ人々にインターネットを基盤とした高等教育と研究機会を提供することを目的として1997年に開始したインターネット大学です。
希望者はインターネットから入学を登録し、学生認証を受けることができます。詳細はホームページをご覧ください。

200 +++ iNTERNET magazine 2003.07 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dレッスン 1

ウイルスと不正アクセスの動向

図1 インシデントの被害届け出状況

図2 攻撃手法の多様化・複雑化

（件数）

1200
攻撃者

被害者

1000
800
600
400
2000

1999年

2000年

2001年

2002年

2003年

注：四半期ごとに表示（1月1日から、3か月ごと）

出典：JPCERT/CC（注）
インシデントとはコンピューターやネットワークのセキュリティーを侵害する、あるいは被害を与えようと試みる人為的な行為。法律で既定している「不正アクセス」
よりも広い概念。

● 自動化● 高度な攻撃プログラム● パスワード推測● 既知セキュリティーホールの悪用● サービス妨害攻撃● パケット盗聴● プロトコルの脆弱性への攻撃

ネットワークはそれほど整備されていなか

本語をしゃべるだろうから、日本語の辞書ますから、当然かな漢字変換の元の辞書ったので、あまりセキュリティーに注意をを1冊スキャンすればパスワードがわかるなどからも探られます。ドイツからは明らか払ってはいませんでした。

はずだと考えるわけですね。にかな漢字変換の辞書を使ってアタックしている例があります。だから、辞書に載SFCでみんなにアカウントを配付したのは1990年になってからで、当時はやはり◎破られないパスワードとはっているような単語は駄目なのです。

セキュリティーについての意識は低く、パパスワードを破ろうと思ったら、まずそこのあたりから、絶対破られないパスワスワードを設定してくれない人もいました。の人のことを徹底的に調べるわけです。

ードの作り方みたいな話も出てきました。

インターネットは地球全体をおおっている

誕生日の4桁の数字は銀行などの暗証番

よく数字もまぜなさいとか、記号も1つ入のでパスワードをかけないと、そこからほ号に使われているし、乗っている自動車のれてください、それが 1 つはいるだけでかころびが発生して個別のネットワークも安

ナンバープレートの数字4桁とか、自宅のなり難しくなってアタックから守られますみ

全を保てないという話をして、パスワード電話番号の下4桁とか、このあたりは4桁たいなことがいわれます。

利用に努めました。現在のSFCではパスの数字だとヒット率が高いですね。それか

とにかくパスワードを推測して入ってくワードを定期的に変更するよう義務付け

ら学生だと、自分の名前や所属しているるのが一番プリミティブな方法です。だかているので、みなさんの中にも「同一のパサークルの名前、あるいはその年齢層のら、パスワードはわかりづらいものを定期スワードを長く使い過ぎだよ」というメール

人に人気のあるアイドルの名前や、TV番的に変えること、そして人目につきやすいをもらった人がいるかもしれません。

組の名前などを順番にスキャンしていくとところにはそのパスワードをさらさないといなぜ、パスワードの定期的な変更が必結構ヒットする。こうしたものをコンピューうことは、基本的なネットワークリテラシー

要かといえば、パスワードを破ることで、ターのデータベースでやっていくとパスワです。こうしたケースでは被害者というのネットワークへの侵入を図る人がいるからードがわかるという研究論文を読んだ記はコンピューターであって、そこに自動的です。キーサーチといって、パスワードを憶があります。にパスワードを推測して入ってくるわけで探していくプログラムがあって、アタックす

いまははるかにレベルが上がっていて、すが、パスワードがわからなくてもコンピュる人はそういうソフトウェアを使っていま世界中のウェブサイトから単語を拾ってきーターにはいろいろな穴があるため入るす。たとえば、どうせSFCの学生なんて日て辞書にしてサーチするという手法がありことはできるのです（図2）。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.07 +++201

ポートスキャンとファイアウォール

レッスン 2

図3 ポートスキャンが狙うサービス

プリンター7%

図4 ファイアウォールの仕組み

telenet ６%

FTP 11%http 44%

イントラネット
ファイアウォール

ネットワークを囲い込む● アクセス制限● 内向き/外向きのパケットフィルタリング● ネットワークに管理者のポリシーを反映

ドメイン13%

最近のファイアウォール● コンテンツフィルタリング● ウイルスゲートウェイ● VPNのエンドポイント

PC 19%

インターネット

出典：JPCERT/CC（注）
JPCERTに報告が来たものなので、世の中の状況を必ずしも反映しているとは限りません。

◎深夜に響くオフィスの電話ち構えています。それを端からスキャンしてうわけです。

たとえば、電話のモデムが入り口としてうまく反応する入口からコンピューターには危ないという話がありました。会社のネ侵入しようとするときに使われます。サーットワークはぎちぎちにセキュリティーがかバーになるUNIXなどのコンピューターをこういった侵入に対抗するためにファイかっていて、家から会社のシステムに入れ買ってきて立ち上げると、最初にいろんなアウォール（図4）があります。防火壁です

ないから帰って仕事ができないので、エンサービスができるように動き出します。セね。ネットワークの一部に見張りを立てて、ジニアが自分の内線の電話にモデムをくットアップするほうも全部知っているわけ

中のコンピューターに必要じゃないと思わ◎ファイアウォールの役割っつけて、帰宅後そのモデムから入っていではないので、たとえばメールなどの必要れるデータを通さない、一種のフィルターくという仕事の仕方をけっこうしていた時なサービスだけを使っています。それ以外をかけるわけです。ファイアウォールとい期があったのです。最近そんな仕事の仕のサービスは、よくわからないものが自動うのはネットワークをこういうふうに使おう方をしたら首が飛びますね。この場合、大的に動き出しているのを放っておくと、そと決めて、壁を作って、必要な部分にだけ会社の電話番号を端からかけてモデムがこを狙って侵入してくるケースがあります。

穴を開けているようなものですから、新し出たところから侵入してしまえば後は楽勝

ポートスキャンはそのサーバーがどんないサービスにアクセスしようとするとはねです。夜中に警備員が回っていると、暗サービスをネットワークに対して提供してられてしまう。したがって、何かを新しく始い事務所のなかで、端から電話が鳴っているのかを調べて、そのなかできちんと管めようとすると、ファイアウォールに新たなはすぐに切れるのだそうです。いったん入理されていないサービスを見つけて、そこ穴をあけてもらわなければならないわけでってしまえばなんでもできるので被害を受からセキュリティーホールを経由して入っす。よくインターネットの新しいサービスにけるケースがけっこう多かったわけです。て悪いことをするわけです。入ったあとに

は「このサービスがうまく動かない場合は、スーパーユーザー、アドミニストレーター

ファイアウォールの有無を確かめてくださ◎サービスを提供するための穴を探すなどの強い権限を手に入れて、入ってしまい」
といった表示がありますが、インスタン

ポートスキャン
（図3）というソフトがありえばセキュリティーのシステムは、外側にトメッセンジャーなどの複合化サービスでます。サーバーのなかではいろいろなサーくらべると内側には全然甘いので、いろんは、ファイアウォールがあるとその先に行ビスが、リクエストがきたら動き出そうと待なことができる。次々と侵入を続けるといけないものはいくつもあります。

202 +++ iNTERNET magazine 2003.07 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

自分を信じてもらうための仕組み

レッスン 3

図5 SSHの仕組み

図6 バイオ認証のいろいろ● SSH（Secure SHell）● アプリケーション層の暗号化ツール
・ 暗号化通信路を構築● 公開鍵暗号方式
・ 接続先が増えれば増えるほど管理する鍵も増える● TCP Portをフォワードする機能

虹彩
顔認証（アイリス認証）

生体としての本人の認証
TCP/IPアプリケーション

TCP/IPアプリケーション

クライアント

サーバー

PortZ

筆跡認証

声紋認証

PortK

セキュアチャネル
SSH
PortYSSHD
PortX

Port22◎SSHはアプリケーションのパイプPortJ◎認証技術のさまざまな形

指紋認証

ぼくの知り合いの筆跡認証の技術の会
社では、入退室管理に自社技術を採用し前回の講義（2003年6月号）と重複する認証技術にはいろんな方法があります

部分がありますが、アタックが来たときにが、「ぼくは村井純だよ」
といったときに本ました。うまく作動していたのですが、そのこのコンピューターをいかに守れるかがセ当かどうかを証明するのは難しい。

うち社員達がサインではなく、花や丸や四本人を特定できるというのは、たとえば角などを組み合わせ、本人だけにさっと書ICカードを持っていてそれでないと自分のけるマークを登録して使うようになりましSSH（SecureSHell）という用語はよく目部屋に入れないとなればそれが証明になた。筆跡認証技術も応用は広そうですね。にすると思います。SSHというのはアプリるという考え方もある。しかし、部屋を開入り口だけでなく、ネット一般についてケーション層で公開鍵暗号を使ってチャけといてよと誰かにこのカードを渡したとも自分が誰だよという仕組みはあるが、そネルが暗号化されます。この暗号化されたんに、誰でも自分になりすませます。

れを誰が証明するか、その証明書をどう信キュリティーです。そのためのさまざまな技術があります。

た安全なパイプを使って電子メールや本当に本人じゃないとダメとなったら、TELNETなどの通信を行えば、盗み見らバイオ認証が必要になってきます（図6）。

れてもわからない。これで初めて、パスワ指紋や虹彩、筆跡などですね。

頼するかの仕組みが必要になります。
そのための証明書のネットワーク作りが始まっています。この証明書は我々の生ードを流しても大丈夫になります。だから、バイオ認証は、指紋やサインをスキャナ活ではどういったところに根拠があるかとこうした仕組みがないところでパスワードーで読んで登録してあるデータと比較する

言うと、印鑑証明とか住民票や戸籍とかを流すと誰かに見られていると思った方わけですが、どちらの認証でも100パーセですね。こういった証明を電子証明に作がいいですね。いまウェブなどで「セキュント一致したら、こいつは悪人だからすぐり替えようとしているのが電子政府の一部

アなチャネルにしますか」という聞かれ方に逮捕しろというアラートが出ます。指紋なんです。それに加えて、大学や友達や会をしますが、ここで「ノー」と応えたら、入を読んだ場合、まったく違っていたら嘘つ社などが証明してくれる必要があります。

力されるパスワードなどは見られているときと言ってはねるけれど、逆に、毎回絶対実社会で必要なCA（サーティフィケート・考えた方がいいわけで、こうしたところで、に誤差が生じるはずなので、ぴったり一致オーソリティー）の程度はいろいろです。そ決してクレジットカード番号などを言わなしたら何か偽造データとしか思えない。これを電子的に再構築する試みが進んでいいようにしましょう。の間のゾーンを認証するという仕組みです。

ます。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.07 +++203

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ
番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.