サイバーセキュリティ
プロックスシステムデザイン株式会社
執行役員

川口

1. はじめに賢 Ken Kawaguchi

辞書攻撃、総当たり攻撃の 3 つです（表 1）。
「類推攻撃」は、 他人が類推しやすいパス

近年、日本企業や政府機関等への大規模なワードを一つ一つ試してみる攻撃です。
ユーザ

サイバー攻撃が激しくなり、その攻撃手法も名とパスワードが同じ文字列の場合や、1234一段と高度になっています。また、国益を保などの簡単に予測できる文字列を設定してい護するため各国のサイバー戦争が激化している場合は、比較的短時間でパスワードが破らく中、日本人のインターネットセキュリティれてしまいます。

に関する意識は大変低いのが現状です。

「辞書攻撃」
は、辞書に掲載されている単語セキュリティ意識向上のためには対策の必を入力する手法です。Tokyo、dog、cat な要性を知り、的確な対策の実践が重要です。

どの文字列はもちろん、tokyo のスペルを逆

ここでは一般消費者がインターネットを利さにした oykot や、 キーボードのキー配列用するうえでのリスクを再認識し、被害を最の並び順を利用した qwerty なども危険で小限におさえる対策の一部を紹介します。

す。また、dog1 のように dog という一般的な名称に 1 を加える文字列も大変多く存在しま

2. パスワードクラックについてのユーザが一般的な名称の末尾に "1" を加えていたという調査結果が発表されています。

従来、個人をターゲットにした攻撃は単な「総当たり攻撃」
は、考え得るすべてのパスる嫌がらせやイタズラ目的が多かったが、近ワードを試す攻撃手法です。気の遠くなるよ

年では不正取得した個人情報の売買を目的とうな話ですが、インターネット上には、総当した攻撃が大変増えています。不正アクセスたり攻撃用のクラッキングツールが存在し、の手段は多種多様ですが、最も多いのがパス子供でも簡単に「総当たり攻撃」が自動で行え

ワードクラックです。これはサーバを利用すます。クラッカーは様々な手法を用いて攻撃るユーザ名とパスワード情報を不正入手するをしかけサーバの侵入に成功すると、次の目手法です。一般的なアプローチは、類推攻撃、的は root 権限の奪取です。

表1 パスワードクラックの主な攻撃手法

10

す。ある有名なソーシャルサイトでは、 2/3

図1 root 奪取による社会的立場の変化

図 2 「秘密の質問」の具体例

root 権限とはスーパーユーザ特権をあら大統領候補）が遭遇した事件を紹介します。

わし、それを手に入れることでサーバに保存

オバマ氏の場合は、自身が利用するTwitterしてあるすべてのファイルにアクセスができのパスワード情報が盗まれアカウントが乗っ取て各種設定も自由に行えます。専用のハッキ

られ、サラ・ペイリン氏は利用していた Yahoo

ングツールを利用すると誰でも簡単に rootメールが不正アクセスされました。犯人はある権限の奪取が可能で、 個人情報を含む機密方法によりパスワード情報の再設定に成功し、データの盗難や改ざん、消去という形の被害誰でも閲覧できる掲示板にパスワード情報を公が発生します。

開しました。このことによりサラ・ペイリン氏のさらに悪質な場合は、侵入したサーバを踏み台（攻撃拠点）としてほかのサーバを攻撃す

メールは一般市民にすべてを読まれ、プライベート情報までも公になってしまいました。

るなど、重度な犯罪に利用されることも珍し

なぜパスワー ド情報が盗まれたのでし ょくありません。このようなケースでは、踏みう。多くのインターネットサービスでは、パ台にされたサーバはクラッキングされた被害スワードを忘れてしまった時に備え、自分だ者の立場から一転して加害者となり、損害賠けが分かる「秘密の質問」
を設定します。この償や刑事責任を負うことになるので、不正侵質問に答えることによりパスワードの再設定入されないために十分な対策を行うことが必ができる仕組みになっています
（図 2）
。

要です
（図 1）
。

オバマ氏もペイリン氏も、この「秘密の質複雑なパスワードを設定していても油断は問」によりパスワードを再設定されアカウンできません。
実例としてオバマ大統領とサラ・トが乗っ取られてしまいました。
「秘密の質

ペイリン氏（元アラスカ州知事・元アメリカ副問」によく見られるのが「ペットの名前は？」
SE 169 2012. DECEMBER11

図 3 更新プログラム通知の表示例「母親の名前は？」「出身地は？」という内容で

元 よ り 更 新 プ ログ ラ ム が 公 開 さ れ ま す 。

すが、友人や知人との会話の中でペット自慢

Windows では「Windows update」と呼んをされる方も多いでしょう。母親や出身地のでいます（図 3）。また、各ソフトウェアの更新ことについて話すこともあるかと思います。

プログラムについては「アッ プデー トのイン

このように他人でも知り得る可能性の高い答ストール準備ができました。
」というメッセー

えを設定した場合、ハッキングされる可能性ジがデスクトップに表示されることがありまが確実に高まりますので、質問には必ず架空す。このようなメッセージを確認した場合はの名前を設定されることをお薦めします。

必ず適用してください。ソフトウェアの不具パスワード管理を十分に行い、利用するコ合を解消し、コンピュータを常に最新の状態ンピュータの OS（Operating System オペにすることで不正侵入されにくいセキュア※ 2

レーティング システム）やソフトウェアが常な環境を保ちます。に最新でセキュ リティ ホー ル

※1のない状態であれば、外部から侵入されるリスクを大幅に軽減できます。

3. フィッシングについて
インターネットの普及により、お店に行か（1）
簡単に想像できるパスワードを設定しない。

※1
セキュリティホール
（security hole）
コンピュータソフトウェ
アの欠陥。
※2
セキュア（secure）
安全性が確保された状
態のこと。

12

なければできなかった買い物、チケットの予約や銀行への振り込みなどが、手元の PC かパスワードは、最低 8 文字以上の英数字をらできるようになり大変便利になりました。

組み合わせて設定します。なお、パスワード

今やインターネットは生活に密着したツールを書いたメモを忘れないようにモニタや机の一つですが、取引相手の顔が見えないことに貼っている人を見かけますが危険な行為でから様々なリスクも同時に存在します。ここす。クラッキングはインターネット経由だけ

では大別して 3 つのリスクを挙げ、インターではなく、身近な現実社会から行うソーシャ

ネットを安全に利用するためのポイントを紹

ルクラッキングという手法も一般的です。パ介します。

スワードが書かれた紙を盗む、入力中のキーショッピングサイトを利用する際、個人情を盗み見るなどして、 不正アクセスする場

報やクレジッ トカー ドの情報を入力します

合があるので、パスワードの管理は紙で行わが、通常の通信方法の場合、テキストデータず、入力する際は人に見られぬよう細心の注の平文のままデータが送られ Web サーバに意が必要です。

辿り着きます。Web サーバにデータが送られるまでには様々なネットワーク機器を通過（2）OSやソフトウェアを最新の状態に保つ。

しますが、その経路上でデータを盗み取るこOS に 不 具 合 が 発 見 さ れ る と、OS 提 供とが技術的に可能です。データを盗み見る「傍図 4 通信方法による安全性の違い

図 5 フィッシングサイトへ誘導するメールの実例

受」、知り得たデータを利用して第三者になりマークと、URL バーの https を確認してくだすまし取引を行う「なりすまし」、データの情さい。なお、犯罪手法が高度化している現在、報内容を書き換える「改ざん」が主なリスクとSSL を使っていたとしてもそのサイトを全面して挙げられます。これらのリスク回避を目的には信用できません。

的として一番良く知られているのが SSL ※ 3

ここで「フィッシング詐欺」
について紹介し（Secure Socket Layer ）です。SSL は情報ます。 情報をつり上げるという意味でこれを暗号化して送り、Web サーバにデータがらのサイトを「フィッシングサイト」と呼びま到着してから復号することにより大切な個人す。犯罪者はあらゆる手段を使ってフィッシ情報を守っています。もし、経路上でデータングサイトに誘導し、個人情報やパスワード、を盗まれても複合することが難しいため、オクレジットカード情報等を入力させて金銭をンラインショップやネットバンキングで広く不法詐取したり、闇マーケットに情報を転売採用されています（図 4）。

したりします。一般的な誘導方法はメールでSSL を採用するサイトは Web ブラウザのす。
「システムに変更がありました。新たにURL と鍵マークで簡単に確認できます。SSL

ユーザ登録をお願いします。
」「セキュリティ

通信を行う場合の URL は通常の http:// ではの更新が行われたため新たにパスワード情報なく、https:// から始まります。また Web ブの入力をお願いします。
」という内容を無差別

ラウザに鍵マークを表示させることにより、に送りつけ、メール本文に書かれている URL

SSL 通信であることを分かりやすくしていまをクリックさせることでフィッシングサイト

す。オンラインショップに限らず、問い合わを閲覧させます。URL は正規サイトの文字列せやアンケートフォームなど、大事な個人情ですがクリックした先のページはフィッシン

報を入力する際は、必ず Web ブラウザの鍵グサイトです
（図 5）
。

※3
SSL
（secure sockets layer）
インターネットで、暗号化したデータを送受信するためのプロトコル。
プロトコル：コンピュータ間でデータをやりとりするために定められた手順・規約。

SE 169 2012. DECEMBER13

図 6 安全と危険を視覚的にアピールするEVSSL

フィッシングサイトでも SSL が利用される

完全に定着しているとは言えません。その反ケースがありました。そのサイトの URL は、面、犯罪手法は日々高度になっています。個

正規サイトの文字列の一部を変更した非常に人情報を入力するさいは十分にサイトを確認

紛らわしい文字列で、一見して偽サイトとはし、少しでも不安に感じる要素があれば利用分かりません。
そこで、フィッシングサイトにを中止するなど、自衛を心掛けてください。

有効な新しいタイプの SSL が生み出されました。それが EVSSL（Extended ValidationSSL）です。EVSSL ではサイト利用者が一目※4
iCloud（アイ-クラウド）
米国アップル社が提供するパーソナルクラウドサービス（個人向けサービス）。

14

4. おわりにで安全性を確認できる工夫がされています。

私が管理するサーバは個人的な用途でのみその一つがブラウザのアドレスバーを緑色に使用しホー ムペー ジも公開しておりません

変化させるというものです（図 6）。例としてが、毎日 1000 回を超える不正アクセスが確

アップルの「iCloud認されます。

※4」にアクセスするとブラウザのアドレスバー が緑色に変化します。

マスコミが取り上げるサイバー攻撃は大規

そして Web サイトを運営する組織名と、そ模な事件に限られますが、現実には規模を問の組織が実在することを確認し SSL 証明書

わずあらゆるデータが標的になっていることを発行した認証局名を交互に表示し安全性をが分かります。

アピールしています。反面、不正なサイトやインターネットは様々な情報やサービスのフィッシングサイトとして報告されている場利便性を享受する代わりに多くのリスクが伴合はアドレスバーが赤色に変わり危険性を表うことを認識することが重要です。今回紹介現します。

したセキュリティ対策は今からでもすぐに実EVSSL は金融機関や保険会社、EC サイ行できることばかりです。インターネットをト（EC：Electronic Commerce エレクト

安全に利用するための参考としていただけれロニックコマース（電子商取引））など、サイば幸いです。

トの信頼性を高め、利用者に安心して Web

かわサービスを安心して提供したい企業のページに使われていますが、一般的な SSL と比較し導入コストが高いためインターネット社会に

ち●けん1965 年東京都保谷市（現西東京市）に生まれる。ゼネコンにて施工品質および安全管理を主に担当するが、施工性とコスト重視の業界に理念が合わず16 年で退社。独学で得た知識を生かし2002年
インターネットサーバサービスを基盤事業とするプロックスシステム
デザイン（株）に入社。現在に至る。