フィッシングサイト対策のすべて
東京⼤大学
情報基盤センター
助教 　宮本⼤大輔

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシング詐欺とは？

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

⽇日本語の壁は機能するか

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングの被害額§

フィッシングによる被害報告§

被害総額（概算）§

2005年年の被害額は  $929mil

Gartner  Survey  Shows  Frequent  Data  Security  Lapses  and  Increased  Cyber  Attacks  Damage  Consumer  Trust  in  Online  Commerce  (Gartner)§

2008年年の被害額は  $3.6bil

Gartner  Survey  Shows  Phishing  Attacks  Escalated  in  2007;  More  than  $3  Billion  Lost  to  These  Attacks.
（Gartner)§

2013年年で  $5.9bil

THE  CURRENT  STATE  OF  CYBERCRIME  2014(RSA)§

2014年年12⽉月で  $453mil

2014  CYBERCRIMR  ROUNDUP  (RSA)§

オンライン犯罪でいえば・・

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

1997年年頃に⾔言われていたこと
E.W.  Felten  et  al.  “Web  Spooﬁng:  An  Internet  Con  Game”,  1997§

短期的な解決⽅方法§§JavaScriptの無効にする
ロケーションバー（アドレスバー）の表⽰示を常に⾒見見えるようにし、注意して
閲覧する

§

⻑⾧長期的な解決⽅方法§§Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

ブラウザは常にアドレスバー
が表⽰示されるようなものにしていきましょう
セキュアな接続の表⽰示を確認できるようにしましょう2007年年頃に⾔言われていたこと§

初めて訪れたサイトの場合§

サイト運営者のことを知っている場合§

その運営者のドメイン名を既に知っている場合– アドレスバーのドメイン名を確認する§

その運営者のドメイン名をまだ知らない場合– SSLのサーバ証明書の内容を確認する§

サイト運営者のことをまだ知らな
い場合
§

§
産総研,  “安全なWebサイト利利⽤用の鉄則”,  2007
⾼高⽊木浩光,  “正しいフィッシング対策について”,  2007

（信⽤用できる運営者か⾒見見極める）

再度度訪れたサイトの場合§

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

アドレスバーのドメイン名を
確認する

そして今
§ アドレスバーの確認ことの意味は重要§ URL  の確認だけでなく、証明書の確認の意味も込められるようになった

ステータスバーの証明書情報がアドレスバーで⾒見見られるようになった

EV-‐‑‒SSL証明書によりアドレスバーが緑⾊色で表⽰示されるようになった

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

問題はなにか§ 「アドレスバーを確認する」という鉄則は約20年年前に確⽴立立されている§ その⼀一⽅方で、フィッシングによる被害は増加し続けている§ 果たして20年年間、何を対策してきたのか？

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

本⽇日のテーマ：
フィッシングサイト対策のすべて§ フィッシング対策技術のこれまでの10年年§ フィッシング対策技術のこれから§ フィッシングメールとサイトの対策

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングサイト問題の構図
表⾯面的な構造メールクライント（ボット）

メールサーバフィッシングメール

エンドユーザフィッシャー
Webサーバ（ボットまたは（フィッシング攻撃者） 　侵⼊入されたサーバ）

フィッシングサイト

内在するステークホルダー
ブラウザベンダー

フィッシングサイト閉鎖事業者

警察・法的機関その他のステークホルダー
・フィッシングサイトが 　設置されたSP

フィッシング対策ソフト
ウェアのベンダー

対策のコーディネータ

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

・エンドユーザのISP・フィッシングサイトに真似られるウェブサイト事業者
etc…

「エンドユーザを守る視点」の原理理
意思決定のサポートを⾏行行う
偽物？

本物？

情報
意思決定に役⽴立立つ情報を提⽰示

教育による解決

注意喚起による解決

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

検知による解決教育によるフィッシング対策  (1)
§ 「アドレスバーを確認しましょう」§ 何を確認するのか、どう確認するのかを教材を使って教える§ テーマ：どのような教材が、 　 　 　 　どのようなユーザに効果的か？

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

教育によるフィッシング対策  (2)§

⼿手法：コミカライズ、
ゲーミフィケーション§

対象：騙されやすそうな
エンドユーザ§

フィッシングサイトの跡地に教材を設置する

P.  Kumaraguru,  “Protecting  people  from  phishing:  thedesign  and  evaluation  of  an  embedded  training  email  system”,  2007
S.  Sheng  “Anti-‐‑‒Phishing  Phil:    The  Design  and  Evaluation  of  a  Game
That  Teaches  People  Not  to  Fall  for  Phish”,  2007

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

教育によるフィッシング対策  (3)§

Stay  Smart  Online  (オーストラリア)
政府主導のサイバーセキュリティ教育§ ⼦子供向け対策
§

§

§

エデュテインメント

Klick  Dengan  Bijak  (マレーシア)
25万⼈人に延べ1700時間の講義§ ⼦子供向け対策§Cool  &  Fun
§ モラル、マナー、エチケット§ ロールプレイモデル§§Stop  Think  Connect  (USA)Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

教育によるフィッシング対策  (4)§

⼩小中学校向けのサイバーセキュリティ教育
演習  =  フィッシング判定クイズ（ゲーム化）§ 座学  =  物語形式（ロールモデル）§ 演習  =  クイズ（達成度度テスト）§

http://www.nisc.go.jp/security-site/month/event/chiba.html	
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

教育によるフィッシング対策（5）§ 今後、教育が必要となるであろう対象§ ⾼高校⽣生(15-‐‑‒18)、⾼高齢者（60-‐‑‒)§ まだ研究されていない教材の様式§ アニメーション化§

防⽕火教育、交通安全教育アニメ

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

注意喚起・インタフェースによるフィッシング対策  (1)
§ ⾒見見るべきところは証明書ですが・・

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

注意喚起・インタフェースによるフィッシング対策  (2)§ アドレスバーの情報を強調するツールバー§ SSL  の情報を表⽰示§ ドメイン情報を表⽰示§ 特定のウェブサイトであることを

E.  Herzberg,  “Trustbar”,  2004

表⽰示（例例：Account  Guard)§ 「本物」との⾒見見分けやすさ
Netcraft  Toolbar

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

R.  Dhamija.  “Battle  Against  Phishing”,  2005

注意喚起・インタフェースによるフィッシング対策  (3)§

HTTP  Mutual  Authentication§

Man-‐‑‒In-‐‑‒The-‐‑‒Middle問題

HTTP要求代理理で送信（暗号化）

代理理で応答（復復号化）HTTP応答（暗号化）§

MITMに耐えられるには§

IETF  (httpauth  WG)で議論論されている
Mutual  Authentication  Protocol  for  HTTP
§ クライアントの実装は  2015年年3⽉月§ サーバの実装は  2015年年4⽉月§Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

注意喚起・インタフェースによるフィッシング対策  (4)§ Extended  Validation  SSL  証明書

§ 実社会のエンティティとの結びつきの強化§ DNSSECとの連携§ DANE/TLSA  Veriﬁcation  (RFC6698)
背景・認証局の危殆化(compromise)      例例：DigiNotar事件（2011)
・DNSSECの運⽤用(2010)

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

注意喚起・インタフェースによるフィッシング対策  (5)Google  Chrome  36
Title:   The   siteʼ’s   security   certiﬁcate   is   not  trusted!
   You   attempted   to   reach   example.com,   but  the   server   presented   a   certiﬁcate   issued   by  an   entity   that   is   not   trusted   by   your  computerʼ’s  operating  system.  This  may  mean  that   the   server   has   generated   its   own  security   credentials,   which   Chrome   cannot  rely   on   for   identity   information,   or   an  attacker   may   be   trying   to   intercept   your  communications.   You   should   not   proceed,  especially  if  you  have  never  seen  this  warning  before  for  this  site.  

Google  Chrome  37
Title:  Your  connection  is  not  private
     Attackers   might   be   trying   to   steal   your  information   from   example.com   (for   example,  passwords,  messages,  or  credit  cards).

1.  専⾨門⽤用語を避ける
2.  簡潔性を重視
    （正確性とのトレードオフ）
3.  具体的なリスクを描写

A.P.  Felt  “Improving  SSL  Warnings:  Comprehension  and  Adherence”,  2015
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

注意喚起・インタフェースによるフィッシング対策  (6)§ 多要素認証§ 持ち物認証§ パスワード以外の記憶型認証§

ジェスチャ認証§ 利利⽤用の促進が課題§ オンラインゲームの場合「セキュリティトークン」を使うと、ゲーム内で特典がもらえるという対応

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

スクウェアエニックス社の場合

注意喚起・インタフェースによるフィッシング対策  (7)
§ サイバー社会における信頼の担保§ サーバの証明書とサイトの証明書§ パスワードに変わるものと

Usability,  Deploy-‐‑‒ability,  Security

J.  Bonneau  "The  quest  to  replace  passwords:  A  framework  for  comparative  evaluation  of  web  authentication  schemes",  2012§ 様々なエンドユーザ§ ⾚赤＝危険、緑＝安全で本当にいいのか§ 視覚障がい者はどうすれば分かるのか
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

検知によるフィッシング対策  (1)
§

検知技術は⼤大きく3通り§

ブラックリスト型のURLフィルタリング

ユーザがアクセスするURLを、フィッシングサイトのURLデータベースと照合§ 検知精度度は60%  -‐‑‒  70%  (2007)から  40%へ  (2009)§§

ホワイトリスト型のURLフィルタリング§§

正規サイトのURLデータベースと照合

ヒューリスティクスによる検知

フィッシングサイトらしさを計算し、閾値と⽐比較§ Uselessという評価  (2007)  からの70%へ  (2009)§

Y.  Zhang  et  al,  “Phinding  Phish:  Evaluating  Anti-‐‑‒Phishing  Tools”,  2007
S.  Sheng  et  al,  “An  Empirical  Analysis  of  Phishing  Blacklists”,  2009

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

URLの分析§ あやしいURLの特徴§ ドメイン名の代わりにIPアドレスを⽤用いる§ 正規サイトと視覚的に似ている§

paypal.comに対するpaypai.com,  paypak.com,  paypay.com  …

§ 記号が多い

http://www.paypal.com.brah.brah.brah.brah.....
§ http://paypal.com@/webcmd.run.org/§Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

DNS  登録情報の分析§ レジストラに登録されてからの期間が短い§ TTL  が短い
§ ホスティング先の地理理情報がおかしい§ 正規サイトのコンテンツと視覚的に似ている

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日IP  アドレスの分析§ レピュテーション§ WebサーバのIPアドレス§ Webサーバの存在するAS番号

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

コンテンツの分析§ ⼈人気が低い§ ⾃自然⾔言語解析によりキーワードを抽出§ Googleで検索索する§ 正規サイトは上位にくるが、フィッシングサイ

トは上位に来ない§ アーカイブされていない§ コンテンツの類似性
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

検知によるフィッシング対策  (2)§

⼆二値分類問題への置き換え
H1

H2

H3

H4

H5

H6

HT

Actual  Conditions

Site  #1

1

0

1

1

1

1

1

phishing

Site  #2

1

0

0

0

0

1

0

phishing

Site  #3

0

1

0

1

1

1

0

phishing

Site  #m

0

1

0

0

0

0

0

legitimate

AdaBoost
Bagging§

パターン認識識の問題§

機械学習による判別

SVM
CART
LR
RF
NN
NB
BART
CANTINA

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

f1 measure

11.96%
12.60%
12.03%
12.69%
13.08%
12.34%
12.21%
12.58%
12.19%
15.26%

Error Rate

AUC
0.87770.95430.87510.95020.87700.91800.87550.94490.86090.95230.87490.95390.8751
0.95180.87350.94860.87650.95400.8226
0.9367

検知によるフィッシング対策  (3)§ 個⼈人に特化したフィッシングサイトの検知§ 個⼈人向けURLホワイトリスト§ 各ユーザに合わせた調整§ ユーザ固有の弱点§ ユーザの⼼心理理状態

Phish?	

§ ユーザの⾏行行動のリスク

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

Not
Phish?	

検知によるフィッシング対策  (4)ユーザの意思決定を分析に加える
危険？

安全？

機械学習を⽤用いて各個⼈人ごとに
調整する
-‐‑‒

ユーザ固有の弱点の補強-‐‑‒

Personalization:求められるユーザ各個⼈人向けの調整

Personalization

弱判定器

  ユーザの真贋判定における意思決定（フィッシングか否か）は、少なくとも⼆二値を返す判定器と捉えられる

結合⽅方法

  Boosting  には、弱点を補強するように重み付けを⾏行行う理理論論的特徴がある−αDt (i ) ⎛ e t if ht ( xi ) = yi
Dt +1 =× ⎜⎜ αtZt⎝ e if ht ( xi ) ≠ yi

任意のエンドユーザにとって間違えやすいウェブサイトを
正しく判定できる判定器が⾼高い重みを獲得する

D.  Miyamoto  et  al,  “HumanBoost:  Utilization  of  Users'  Past  Trust  Decision  for  Identifying  Fraudulent  Websites”,  2009
H.  Pareek  et  al,  “Human  Boosting”,  2013

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

検知によるフィッシング対策  (5)
§ 難読化の類型化
var ftspzxjwygbc ="0730078507690784077507820786070207780767
07800773078707670773077107310776076707880
76707850769078407750782078………
(snip)
function mljbkqwugvy() {var ebfxyvdjzhcmr, mlsziqyw;
mlsziqyw=0;
ebfxyvdjzhcmr=0;
while(ebfxyvdjzhcmr<qmiekwxgrvnybcup(ftspzxjwygbc)) {
mlsziqyw=zbqkynhjdgsfxc(ftspzxjwygbc,ebfx
yvdjzhcmr)-653;
aotlxfkdnbhsq+=uzmrpbst(mlsziqyw);
ebfxyvdjzhcmr=ebfxyvdjzhcmr+ebhnrlgdqi;}
document.write(aotlxfkdnbhsq);}
mljbkqwugvy();	

var ihuaplwebvcjo ="0139019401780193018401910195011101870176
01890182019601760182018001400185017601970
1760194017801930184019101950………
(snip)
function okuaqebt() {var wjkqafgurtbpeo, hbplgynjqrifd;
hbplgynjqrifd=0;
wjkqafgurtbpeo=0;
while(wjkqafgurtbpeo<pwlmgeyuivnc(ihuaplwebvcjo)) {hbplgynjqrifd=qhupsmzafgb(ihuaplwebvcjo,w
jkqafgurtbpeo)-13;
zmusoivqly+=soevgwbahfz(hbplgynjqrifd);
wjkqafgurtbpeo=wjkqafgurtbpeo+divoaexugm;}document.write(zmusoivqly);}okuaqebt();

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

検知によるフィッシング対策  (6)§ フィッシング検知とマルウェア検知§ ⾃自然⾔言語解析の壁§ ⽇日本語の壁§ 解析時間に対する要求§ ウェブの8秒ルール

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングサイト対策の10年年
Principle:  Supporting  Usersʼ’  Decision-‐‑‒Making
Education

Education-‐‑‒  Educational  materials

Raising  Awareness-‐‑‒  User  Interface  for  Trust

Detection-‐‑‒  Warning  suspicious  websites

Research on Phishing	Raising  Awareness

L: 1 (phishing)	

Detection

Label as “phishing”
when L > th (0.5)	
(th: 0.5)	
Otherwise“not phishing”	
L: 0 (legitimate)	
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングサイト情報の共有§コーディネータ間との情報共有 　§

IODEF  及び  IODEF  の拡張によるフィッシング報告
§
§
§

§

§

APWG  のフィッシング報告ツールに採⽤用
RFC5070/RFC5901
IETF  MILE  WGで標準化が続く

メールではなく
構造化⽂文書による報告

STIX/TAXI  による脅威情報共有

フィッシングサイト閉鎖事業者の情報共有§

このサイトを知っているかどうかにゼロ知識識証明を利利⽤用

T.  Moore  “The  Phish  Market  Protocol:  Securly  Sharing  Attack  Data  Between  Competitors”,  2009

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングメールの対策  (1)§

似て⾮非なるスパムとフィッシングメール
Buy   Viagra   for   Lowest  Cost   on   Net   -‐‑‒   Order  Viagra   Online   100mg,  50mg   for   Cheapest   Price  on  Net  and  get  Free  Pills,  we   accept   Visa   cards  Safe   &   Secure   Processing  s i n c e   t h e   y e a r   1 9 9 9  http://...../

   The   security   questions   and   answers   of  PayPal   account   were   changed   on   21   Sep.  
2013.
  If  you  did  not  authorize  this  change,  please  contact   us   immediately   using   the   phone  number  found  on  the  following  page:https://www.paypal.com/uk/login/
Thank  you  for  using  PayPal!
The  PayPal  Team.
   Please   do   not   reply   to   this   email.   This  mailbox   is   not   monitored   any   you   will   not  receive   a   response.   For   assistance,   lo   in   to  your   PayPal   account   and   click   the   Help   link  located  in  the  top  right  corner  of  any  PayPal  page.

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングメールの対策  (2)§ メールに含まれるURLの解析§ メールヘッダの解析

IPアドレス	
メールヘッダ	
サイズ	

構文解析	

A.  Almomani  et  al,  "A  Survey  of  Phishing  Email  Filtering  Techniques",  2013

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

自然言語解析	フィッシングメールの対策  (3)§ DNS  情報を使った信頼性向上§ DKIM  /  Veriﬁer§ SPF§ アカウントの証明書§ ウェブメーラーの機能追加

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

メールによらないフィッシング
§

SMS  /  IM
SMS	

§
IM	

Voice  Phishing§

別名

Vishing§ Voice  over  Phishing§ 電話詐欺（韓国）§ 振り込め詐欺（⽇日本）§§Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

ウェブサイトも不不要マルウェア対策とフィッシング
§

マルウェアに感染したPCのフィッシング対策は困難§

Man-‐‑‒In-‐‑‒The-‐‑‒Browser
§
§

§

Pharming§§§

マルウェアがブラウザの通信を監視
銀⾏行行にログインすると通信（セッション）を乗っ取り、ユーザの送⾦金金⼿手続きの宛先を任意の振込先に改ざん
Hostsファイルを書き換える「⼀一度度だけ動作して消える」パターンもある

感染が前提条件の場合の対策§§

複数のデバイスを使った確認
トランザクション署名

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシング対策研究の最先端(NECOMAの場合)
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

NECOMAとは？

§

NECOMAプロジェクト  (Nippon-‐‑‒European  Cyberdefense-‐‑‒Oriented  Multilayer  threat  Analysis)では、欧州委員会  FP7  プログラム  (Seventh  Framework  Programme)  と総務省省  戦略略的国際連携型研究開発推進
事業の⽇日欧  ICT  協調課題である「サイバー脅威に対する回復復性強化のためのサイバーセキュリティ」に取り組んでいます（平成25年年度度〜～27年年度度）

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

NECOMA
Cloud / Server Collection	
Security	
Collection	

Demo	

Network Security	
Demo	
Collection	

Demo	

Mul$ple	  Layers	An	
  Infrastructure	
  Analysis	layer	
  Defense	

Client Security	
Collection	

Demo	

Analysis	Analysis	

Defense	ndpoint	
  layer	  Analysis	
	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  An	
  eDefense	

End User Security	
Collection	

Demo	

Defense	
Analysis	

Defense	43	熟練者の視線解析（偽サイト）

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

初⼼心者の視線解析（偽サイト）

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

初⼼心者と熟練者の違い
§

視線の特徴
§

§

§

アドレスバーを⾒見見る/⾒見見ない効果
§
§

§

熟練者
§ アドレスバーに表⽰示されるURL  や  SSL  情報から分析する§ 認識識にかかる時間が短い
初⼼心者§ コンテンツに注⼒力力する
0.0
10.0 20.0 30.0 40.0 50.0
§ アドレスバーを⾒見見ない
アドレスバーを⾒見見た場合
アドレスバーを⾒見見ない場合

30.5

FN
FP
Error Rate

60.0
56.6

21.4
18.9
26.9

41.1

これまで何度度も⾔言われていますが§

アドレスバーを確認するべき

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

46

セキュリティの習慣  (1)§

セキュリティ習慣§

情報を⼊入⼒力力する前にアドレスバーを⾒見見ましょう§

教育への効果§§

注意喚起への効果§§

URLやセキュリティの知識識は、アドレスバーに表⽰示されるため、アドレスバーを⾒見見ることが役⽴立立てられる

検知の結果
§

§

URLやセキュリティの知識識は、アドレスバーを⾒見見ない限り働かない

素⼈人かどうかを判別しやすくなる

利利便便性の⽋欠如はそれほど⾼高くないと思われる

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

47

セキュリティの習慣  (2)§ 習慣は、無意識識下においても動作する
アカウントの凍結	

目的は「凍結」されたアカウントの確認であってセキュリティではない	

ログインして確認したい

無意識識化でも動作する習慣を⾝身につけさせるには？
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日48

アドレスバーを確認する習慣を⾝身につけさせる研究

D.  Miyamoto  “EyeBit”,  2014

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日そしてパラダイムシフトへ§ 既存の研究§ 未来の技術へ

意思決定のサポート
偽物？

本物？

意思決定プロセスのチェック
偽物？

本物？

情報
thinking

意思決定に役⽴立立つ情報を提⽰示
seeingEducation

Attention

Detectionbreathingheart-‐‑‒beating

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日認知⼼心理理学における活動分析技術
Cognitive task analysis 	
Blinking, EOG (electrooculography)

Gaze tracking	[Veltman 1998, Wilson 2003]	

[Marshall 2003, Zhai 1999]	

Pupil dilation	

Facial warmth	

[Marshall 2002]	

[Veltman & Vos, 2005]	

Voice stressRespiratory[Rothkrantz 2004][Veltman 1998, Wientjes 1992]	

Blood pressure

EEG (electroencephalogram)[Veltman 1996, Miyake 2000]	

[Wilson 2001, Prinzel 1999]	

Skin conductivity

EMG (electromyography)[Haag 2004]	

[Lundberg 1994, Karthikeyan 2012]	

Gesture recognition

Facial expression[Ehlert 2003]	

[Kuilenburg 2005, Jeniffer 2007]	

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日視線分析とフィッシング対策  (1)§ そもそも、何を⾒見見たかを調査するのは重要§ 認知⼼心理理学から裏裏付けると・・§ ⽬目線の動きと精神状態異異常

  [Crawford  2005,  Noris  2007]
サッケーディック
§ 凝視§

§ ⽬目線が動いている中に意思決定しない[Irwin  2007]§ サッケーディック反応から⾼高負荷を推測可能[Tokuda  2011]
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日52

視線分析とフィッシング対策  (2)
§ サッケーディック反応を取得するには§ サンプリングレート  の問題

§ 個⼈人毎のキャリブレーションが必要§ ⾚赤外線を照射し、瞳の反応を取得§ ⾮非装着の場合§

キャリブレーションが頻繁に必要な場合がある§ 装着式の場合§

キャリブレーションの問題はそうでもないが、サンプリングレート300Hzを満たすことが難しい

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日53

視線分析とフィッシング対策  (3)Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日54視線分析とフィッシング対策  (4)§ 視線の意図§ Informational  Intention:  意図に基づいて閲覧§ Navigational  Intention:  特に意図なく閲覧§ フィッシングサイト認識識との相関

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日55

ユーザの⼼心理理とセキュリティ§「⼈人」に対する理理解が必要§

ネットワークセキュリティ§§

エンドユーザを守るセキュリティ§§

ネットワークの知識識が必須

エンドユーザの知識識が必須？

⽇日本国内ではセキュリティ⼼心理理学とトラスト研究会§

安⼼心・安全という⾔言葉葉の難しさ

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングと多層解析§ SSL  解析との連携§ SSL  handshake  の特徴との分析§ ボットネット解析との連携§ IPアドレス/FQDN  と悪⽤用の形跡§ ちなみに  NECOMA  では・・§ 全部のデータを  Presto  (Hadoop)  上に乗せて§ 複数のデータを  sql  ライクに検索索
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシング対策研究の最先端の更更にその先に⾒見見えてきた幻影
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日Neuro  Cybersecurity  の時代へ  (1)Emerging security
threats	

EEG	
Human emotion	

APT	

SocialEngineering	

fraud	

Phishing	

Interface	
NeuralScience	

Detection	

Education	Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

59

Neuro  Cybersecurity  の時代へ  (2)§ EEG  and  10-‐‑‒20  system

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

60

Neuro  Cybersecurity  の時代へ  (3)§ Less  than  $100

§ One  point  (FP1)

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

Fp1	

61

Neuro  Cybersecurity  の時代へ  (4)§ 認知活動の計測と意思決定予測§ ストレス予測

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日Neuro  Cybersecurity  の時代へ  (5)§ ⾼高度度な情報処理理活動の観測§ 問題点§ 利利⽤用している想定環境がPCの前であるため、電磁波の影響を受けやすい§ 汗、⽪皮脂による影響を受けやすい§ ⽪皮膚電位、まばたきなどによって⽣生じる
ノイズ除去

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日63

⽪皮膚電位・温度度とフィッシング対策  (1)Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日64

⽪皮膚電位・温度度とフィッシング対策  (2)§ 緊張による⽪皮膚電位の変化§ 体温の増加（特に顔の体温）[Ora  2010]§ 筋電位との関係

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

65プライバシーへの配慮  (1)§ 観測可能な⽣生体情報§ 情報の取り扱いについての異異なる規定

医療療分野、脳神経科学§ 情報技術§§ “個⼈人特定可能”  の意味の違い

匿匿名性§ 技術的進化§Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

66プライバシーへの配慮  (2)1. 社会的受容§ インフォームドコンセント§システムの利利⽤用者がベネフィットとリスクを両⽅方とも理理解していること§ 認知タスク分析によるメリット§

セキュリティの向上§ システムを⽤用いるリスク§

意志決定パターンをシステムが知ること§ ガイドラインの公表§

⽬目的、ゴール、データ使⽤用⽅方法など

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

67プライバシーへの配慮  (3)2. データの機密性§ 集積したデータの暗号化§ データ転送における機密性

3. ユーザへの安全性§ システムの誤作動時における安全性§ ネットワーク障害時における安全性

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

68プライバシーへの配慮  (4)  § 資料料§ Guidelines  considered  in  Japan

Brain  Machine  Interface  (BMI)§ Brain  Computer  Interface  (BCI)§ Heart  to  Heart  Science  (HHS)§§ Society  for  Neuroscience  (SfN)§

http://www.sfn.org/member-‐‑‒center/
professional-‐‑‒conduct/sfn-‐‑‒ethics-‐‑‒policy§ National  Institute  of  Health  (NIH)§

http://videocast.nih.gov/pdf/
ohrp_̲appendix_̲belmont_̲report_̲vol_̲2.pdf

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日69

⼈人間の認知の限界  (1)Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日70

⼈人間の認知の限界  (2)§ スクリーンが⼩小さいと判別困難な⽂文字がある

www.jаpánnetbänk.co.jp

アクサン
記号  “á”

ウムラウト
  “ä”

www.jаpánnetbänk.co.jp	
キリル語の  “а”
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日71

⼈人間の認知の限界  (3)フォント	

アルファベットの “a”	キリル文字の “а”	Arial

www.japannetbank.co.jp

www.jаpannetbank.co.jp	

Times New
Roman	

www.japannetbank.co.jp	

www.jаpannetbank.co.jp	

Century

www.japannetbank.co.jp	

www.jаpannetbank.co.jp	

メイリオ	

www.japannetbank.co.jp	

www.jаpannetbank.co.jp	

ＭＳ明朝	
 

www.japannetbank.co.jp	
 www.jаpannetbank.co.jp	
 ＭＳゴシック	 www.japannetbank.co.jp	
 www.jаpannetbank.co.jp	
 Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日72

フィッシングサイト対策のすべて
Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日

フィッシングサイト対策のすべて§ 「アドレスバーを確認する」がすべて§ エンドユーザの意思決定をサポートするために教育、注意喚起・インタフェース、検知による解決が試みられてきた§ 研究発表されたアイデアの多くは利利⽤用可能になっている§ 先端研究では§ 「アドレスバーを確認する」習慣付け§ 「ただしく判断しているか」を⽣生体情報から分析する

Daisuke  MIYAMOTO,  UTokyo,  IIJ-‐‑‒labセミナー  2015年年5⽉月27⽇日