情報科学概論
名古屋大学における情報セキュリティについて
情報基盤センター
小川 泰弘

情報セキュリティとは？
• 計算機の利用• ネットワークの利用 以前は専門家だけ 最近は、利用が広がり犯罪者も利用• 様々なセキュリティを考える必要がある

情報系の学生は、より専門的な理解を！
2名古屋大学
情報セキュリティガイドライン• 名古屋大学では、全構成員が守るべきガイドラインを作成• 情報連携統括本部のサイトに掲載
http://www.icts.nagoya-u.ac.jp/ja/security/guideline.html

3

情報セキュリティの概念• 利用者は誰か？
認証: Authentication• 何ができるか？
権限・権利管理: Authorization• 安全に通信しているか？
暗号化通信: Encryption• 機器は安全か？
機器の完全性（ウィルス対策）： Anti-Virus4利用者は誰か？
• 利用者認証： ユーザＩＤ、パスワード
 「名古屋大学ＩＤ」• 名古屋大学ＩＤは、すべての基盤
 絶対に他人・友人等には貸さないこと• 他人が利用すると、大きな問題が生じる
 問題の責任を問われる場合も5

何ができるか？
• 名古屋大学ＩＤは、多様に利用
 履修登録 電子メール
 情報メディア教育センターの端末
 NUCT (ＷｅｂＣＴ)
 その他、多様な情報システム

6何ができるか？
• 名古屋大学ＩＤは、多様に利用
 履修登録 電子メール
 情報メディア教育センターの端末
 NUCT (ＷｅｂＣＴ)
 その他、多様な情報システム

してはいけないことも！
7何をしてはいけないか• 他人の権利を侵すこと
 著作権・プライバシーなどを侵す 誹謗・中傷などをインターネットなどへ記載• 権限のないシステムを利用すること パスワードを盗む・推測する、クラックツールを使う
 不正アクセス防止法によって処罰• 目的外の利用
 大学のシステムをバイトに利用• 過剰利用 大量のメール送信など
8著作権侵害• 違法なファイル共有
 Gnutella, WinMX, Winny, Share, 迅雷(Xunlei)
 学内ネットワークは監視対象• ソフトウェアのライセンス違反
違法コピー研究室内でライセンス数以上に使用
研究室のソフトを自宅で使用
9

著作権侵害違反事例１• 一昨年度は名古屋大学で3件発生
 BitTorrent で映画ファイルを交換 米国著作権管理団体から計算機(IP)を特定して指摘
 学生もしくは所属研究室が判明
 学生および指導教員が研究科長から厳重注意
訴訟問題に発展する可能性もありうるので注意

10

著作権侵害違反事例２• 大学での Winny の利用 ２ちゃんねる に FQDN が掲載される
 ２研究室が該当 大学関係者が発見し、センターへ通報

大学でのネットワーク監視へ11不適切な情報の拡散• 掲示板などでの誹謗・中傷• Twitter などでの飲酒・犯罪の告白• デマの拡散炎上

インターネットは世界中と繋がっている12インターネット上の匿名性• 基本的にはない その気になれば特定可能

自分が特定されても問題ない
発言・行動を行う

13安全な通信• インターネット上の通信は他人から傍受される可能性
 安易にパスワードなどを入力しない• 暗号化されているか可能な限り確認
 ＳＳＬ(ブラウザの鍵マーク）

14

SSLのマークの一例

15

SSLマークが無い例

SHA-1署名が原因
16

セキュリティ上のリスク• マルウェア
 ウィルス トロイの木馬
 スパイウェア• フィッシング• ファーミング

17マルウェア（malware）• 悪意のあるソフトウェアの総称• 「不正プログラム」とも呼ばれる
 ウィルス トロイの木馬
 スパイウェア
 バックドア 悪質なアドウェア などなど

• 悪戯から金儲け、犯罪行為へ
18

コンピュータ・ウィルス（virus）• ファイルからファイルに感染• 当初は実行ファイル、現在はWord, Excel, 画像など何でもアリ• 報道では他のマルウェアと混同される• 多種多様な感染経路

19

トロイの木馬(Trojan horse)• コンピュータ内に潜み悪質な動作をする
 ファイルの削除・改変
 アンチウィルスソフトの無効化
 バックドアの設置
 他のプログラムのダウンロード（スパイウェアなど）• 他のファイルに偽装して実行→感染

20

スパイウェア (spyware)• ユーザの情報を秘密裡に収集・送信 キーロギング パスワードの奪取
 ファイルの転送
 ブラウザハイジャック
 偽の警告メッセージ• 他のファイルに偽装して実行→感染• 他のプログラムとセットになっていることも21

フィッシング (phishing)• 本来とは異なるウェブページを表示 メール本文のURLをクリック別ページへ
 短縮URL• 事例
 ＵＦＪ銀行のＨＰを模したサイト
ユーザＩＤとパスワードを入力させる→ 口座の認証情報が盗まれる
 学内にフィッシングサイトが構築されたことも22

ファーミング (pharming)• DNSの設定を書き換える
URLをIPアドレスに変換• 偽のサイトへ誘導• 偽装手口 ブロードバンド・ルータの設定変更
 PCの hosts ファイルの変更（トロイの木馬などによる）23

様々な感染事例• ウェブサイトを見るだけで感染 信頼できないサイトを閲覧しない
 信頼できないリンクをクリックしない（掲示板） Java Scriptの無効化で防げることも• 短縮URLの悪用• メールを開くだけで感染（添付ファイル、HTML) メールを受け取るだけで攻撃を受ける場合も• ネットに接続するだけで感染• USBメモリを通じて感染
24

Winnyの危険性• 通常のファイルやフォルダを偽装した実行ファイルが存在• 誤ってファイルを実行すると、
 ウィルスが動作（例：山田オルタナティブ） コンピュータ内のファイルをインターネットに公開
 画面をキャプチャ

学内でも感染事例あり！
25

ファイル名の偽装• アイコンの偽装

26

27

28

ファイル名の偽装• アイコンの偽装• RLTrap Unicodeの制御文字 RLO を利用し exe を隠す

29

圧縮・解凍ソフトの脆弱性• 予期せぬディレクトリへファイルを解凍
 相対パスの悪用

 同じライブラリの利用による脆弱性の拡大

30

ユーザの誘導• 怪しげな広告バナー

 「ウイルスに感染しています」と虚偽のメッセージが出ることも31

怪しげなソフトのインストール

32

パソコン遠隔操作• ウェブサイトの脆弱性• トロイの木馬 iesys.exe• バックドアからの侵入• 犯罪予告の書き込み

33

ブルートフォースアタック• パスワードを総当たりで試す
 ログイン回数の制限で防げる• リバースブルートフォースアタック
 パスワードを固定して、ユーザIDを変更
 JAL と ANA が侵入される
 ユーザ側では対策できない34

パスワード• 頑健なパスワードの使用 ID・名前・誕生日・電話番号はダメ 短いものはダメ（最低8文字）
 数字・記号を混ぜる
 使いまわしをしない• 他人に教えない
定期的な変更は一長一短
35解けない暗号• ワンタイムパッド(one time pad)
 暗号鍵として平文と同じ長さの乱数を使用
 理論上、解読不能
鍵が変わると
 類似：バーナム暗号

全く別の文

平文
鍵

暗号文

CA

T

DOG

↓

↓

↓

↓

↓

↓

+1+14+13-1-14-14-6-13-26

↓

↓

↓

↓

↓

↓

DOGCPAITG
36

解けない暗号• ワンタイムパッド(one time pad)
 暗号鍵として平文と同じ長さの乱数を使用
 理論上、解読不能
鍵を文字列に 類似：バーナム暗号することも可能

平文
鍵

暗号文

CA

TDOG

↓

↓

↓

↓

↓

↓

A

NM

N

FZ

↓

↓

↓

↓

↓

DO

GI

G

P

37

ワンタイムパッドの鍵• 毎回変更する
 異なる平文に同じ鍵を使用しない
 平文より短くして繰り返さない• 生成に疑似乱数を使わない• 安全に配送する
実用性は高くない38自分だけは安全？
• いつ被害者になるか• いつ加害者になるか

39

対策• Windows Update などのソフトの更新• セキュリティパッチの適用• アンチウィルスソフトの導入
 http://w3serv.itc.nagoya-u.ac.jp/
sitelicense/antivirus/• 信用できないファイルをクリックしない 知人からのメールの添付ファイルにも注意• Windows XPの使用禁止• 頑健なパスワード40

対策の限界最大のセキュリティホールは人間• 単純なパスワード• セキュリティ対策の不備
 パスワードなどが初期設定のまま• 情報機器の紛失• 無線LANの盗聴・ただ乗り• 電子メールによるパスワードの問合せ• パスワードの盗み見
ソーシャルハッキング• 振り込め詐欺41

インターネット空間• 「仮想空間」？
 仮想でもあり、現実でもある
 “virtual”の誤訳。本来の意味は「実質上の」• ネットは現実社会の一部であり、現実社会の写像でもある
 現実社会に無いものはネットにも無い
 現実社会とネットは相互に影響を与え合う42

「ネットde真実」• 「ネットで真実を知った」• 「マスコミは隠している」

ネットには正しい情報も間違った情報も存在

たいていの「真実」に辿りつける
43

名大の情報セキュリティ窓口
ITヘルプデスク
 電話：052-747-6389
 E-mail: it-helpdesk@icts.nagoya-u.ac.jp

情報連携統括本部
http://www.icts.nagoya-u.ac.jp/

4445

レポート
今回の講義内容について、どの程度事前に知っていたか、感想と合わせて記述• 提出形式： PDF• 提出先： yasuhiro@is.nagoya-u.ac.jp
Subject は 「情報科学概論レポート」• 締め切り： 5月31日
46