提出日 (Data) 2022/01/18

暗号とセキュリティ
Cryptography and Security
Project Final Report
中村 碧 Nakamura Aoi

1.

背景あるが、広く普及しているわけではない。メールに電子署

1.1

プロジェクト全体名を添付する既存の技術として S/MIME がある。しかし、

本プロジェクトは、暗号化技術用いてセキュリティに関S/MIME はその導入の障壁の高さから十分に普及しておらする理解を深め、実際に活用・体験することを目的としたプ

ず、被害防止の効果を十分に発揮できていない。よって、暗ロジェクトである。主に一昨年に感染拡大した COVID-19号班では、メールを技術的に安全な連絡手段とするため、実の影響により、オンライン授業やリモートワークが増加し現するための技術や仕組みを学び、実装することを方針とた。世の中が PC などの IT 機器に触れる機会が社会の中でして活動した。

増加した反面、IT 機器を通した詐欺や悪質なソフトウェア

1.3

WEB 班に感染してしまう機会も増加した。そこで、個人情報を守COVID-19 が流行する以前から IT 技術を利用する人のる暗号技術や悪質なソフトウェアに感染しないための教育・数は増えていたが、流行後はオンライン授業やオンラインでセキュリティ対策が重要である。今年度、暗号とセキュリ自宅にいながら仕事をする人が劇的に増えた。IT 機器を利ティはセキュリティ技術や悪質なソフトウェアの攻撃方法、用することは、業務の効率化や状況に合わせた働き方が増え

暗号の仕組みを学び実装を試行する「暗号班」と、悪質なソていくため便利になるが、一方で、正しい知識を身に着けてフトウェアから自分自身を教育的な視点で対策と改善を目いないと予期していないところで詐欺にあったり、個人情標にする「WEB 班」、そして、公立はこだて未来大学（以報を悪意のある人に取得されてしまう恐れがある。未来大

下、未来大）にセキュリティの実践的な講義が少ないこと生にも、入学したばかりで始めて PC を触る人や高校の時を背景に、セキュリティに関する実践的な問題を解いたり、の授業で少しだけ触ったことがある人が存在する。悪意の作問を行う CTF にも挑戦する。

ある第三者から攻撃被害にあわないためには、正しい知識1.2

暗号班を身に着ける機会が必要であるが、未来大学の講義だけでSNS が発展した今日でも、メールを連絡手段するコミュは、すべてのリスクを理解して対策するのは難しい。そこニケーションは盛んにおこなわれている。友達や家族とはで、スマホからアクセスできて手軽に読める WEB サイト

SNS で連絡をとり、企業との連絡や仕事はメールを使うとを作成する。WEB サイトには、「自分が使用している PCいう使い分けをしている人は一般的になってきた。私たちがランサムウェアに感染してしまう疑似体験」と「クイズ学生も教授と連絡を取る際は SNS ではなく学内で利用してに答えていくだけで、ネット上の危機から身を守ることがいる Gmail を通して連絡する場合が多い。電子メールを利できる」2 つの機能を作成し、この WEB サイトを閲覧す用していると SNS とは違ったセキュリティリスクが存在するだけでネット上の危機を体験と学習をすることができるる。その中でも近年、様々な組織に被害を出している標的型とし、WEB サイト作成に着手した。WEB サイト作成にあ攻撃メールという攻撃がある。これは、第三者が被害者のたって「情報セキュリティ１０大脅威 ２０２２」[1] を参普段やり取りしている従業員や上司になりすまし、あたか考にクイズページを作ることで、正しい知識を身に着けるも本人であるかのようなメールを送信し、被害者を悪質なことができると考える。

WEB サイトに誘導したり、PC をウイルスに感染させる攻1.4

CTF 班

撃手法である。例として今年は（株）リケンが標的型攻撃の未来大学は情報工学の基本的なことを学びながら、各学被害を受けており、従業員の住所や氏名、電話番号、顔写真科、コースに合わせたカリキュラムが組まれており、学生など６０００件の個人情報が流出し、顧客の取引データ６０はカリキュラムに沿った必修科目と興味に合わせて選択で件が流出している。また、今年の３月にはトヨタ自動車系きる科目があり、自分の好きに合わせて学ぶことができる。の部品メーカーである（株）デンソーも今年の３月に標的型

しかしながら、学んだ知識や技術を実験という名目で活か攻撃によって身代金の要求をされている。今年も猛威を振すことができる機会は少なく、特にセキュリティに関してるっている標的型攻撃メールであるが、対策として電子メーは、実験を通してセキュリティの重要性を理解したり、暗号ルに電子署名を付けることで送信者の身元を証明すること化技術を実装する機会はさらに少ない。そういった状況のができ、標的型攻撃メールの被害を回避することができる。

中、未来大生の IT 企業の就職率は高いため、大学でセキュ

また、電子署名はメール本文の改ざん防止にもつながるのリティについての実戦経験をあまりできずに卒業してしまで標的型攻撃メールの対策をしつつ、通信中に悪意のあるう場合がある。そこで、私たちは CTF（Catch The Flag）リンクをメール本文に埋め込まれることも防止することがを通して、未来大生にセキュリティ意識の改善と実践経験の可能だ。この技術は標的型攻撃メールに対して大変有効で両方を獲得できる機会になるのではないかと考えた。そもそも、CTF とは情報セキュリティスキルを競い合うコンテサイトを参考に別のサイバー攻撃の疑似体験が出来る Webストのことで、情報セキュリティのスキルを用いて問題のページ作成を企画する。昨年度のクイズページの反省点を中から Flag を見つけ出し、得点を稼ぐ競技だ。本プロジェ活かしたクイズページを企画する。

クトでは、CTF の競技性を低くし、初学者でも遊びやすいよう改善した CTF を未来大生に体験してもらうことで、未来大生のセキュリティ意識改善と、情報セキュリティインシデントの対応能力向上に挑戦する。

3. 現在のサイバー犯罪の脅威やそれらの対策・予防策を調査
課題: それぞれの脅威から具体的な被害や対策・予防策を調べる。

4. クイズ用 Web ページの大枠を作成サイトの目的、な課題の設定と到達目標

2.

まず、プロジェクト全体として昨年度の暗号とセキュリ
ティのプロジェクト学習の活動の様子やプロジェクト報告書、グループ報告書を参考にし、メンバーの希望に合わせてぜセキュリティについて学ばなければならないのかを作成する。
課題:HTML/CSS でクイズの問題文や選択肢、解説を表示するプログラムを作成する。

班分けを行った。その結果、前年通りメールについての課

5. クイズを実装するための関数を作成

題を解決する「暗号班」、教育的な観点からセキュリティ意課題:JavaScript で正解不正解の判定を行う関数を作成す識改善に努める「WEB 班」、そして今年は CTF を通してる。未回答の場合、警告を出し正解不正解の判定を中断し未来大生のセキュリティ技術向上と意識改善を行う「ＣＴ

解答しなおすプログラムの作成をする。

Ｆ班」の 3 つに分かれて活動を行った。これらの活動は各

6. クイズの問題作成

グループリーダーが課題と到達目標をより詳しく決め、そ

課題:IPA が公開している情報セキュリティ 10 大脅威かれぞれの班で課題解決に向けて活動を始めた。

2.1

ら得た情報をもとに四択クイズを作成する。

暗号班

背景で述べたように、標的型攻撃の被害は大きなものである。よって、我々はメールによる標的型攻撃の被害の大きさを課題とし、この被害の軽減を目指すこととした。背7. クイズの解説作成 (代表的なセキュリティ問題をピックアップし 6-7 の繰り返し)
課題: 不正解者に対して解説を簡潔にまとめて書く。正解以外の間違いの選択肢に対しても根拠を説明する。

景でも述べた実例のように、標的型攻撃ではなりすましが行われることが多い。よって、この被害を軽減するために

8. Web ページをローカルサーバーから公開サーバに移行

は、メールによるなりすましを防止する必要があると考え

課題: 外部の端末から Web ページにアクセス可能にするた。このためにはメールへの電子署名の付与が現実的な手つづいて、サイバー攻撃疑似体験ページについての具体法である。しかし、背景でも述べたように既存の、電子署的な作成手順は以下の通りである。

名を付与する技術の S/MIME は十分な効果を発揮できてい1. 前年度の成果物を分析ない。よって我々はより導入障壁が低い形での電子署名の

課題: 前年度の Web ページを分析し、良い点や改善点を付与システムを開発することを目標とした。これによって挙げる。

メールによるなりすましを防止し、標的型攻撃の被害軽減

2. サイバー攻撃の疑似体験とクイズページ作成決定を実現できると考えた。

課題: 昨年度のフィッシング詐欺を疑似体験できる Web

WEB 班

サイトを参考に別のサイバー攻撃の疑似体験が出来る Web

2.2

課題として未来大学の講義だけでは、すべてのセキュリティインシデントを理解し、対策できない。よって、未来大生の現状のセキュリティ意識を課題とし、私たちは WEBサイトを通して教育的な観点から未来大生のセキュリティ意識改善に取り組んでいくことを目標とした。目標を達成するために、前期では主にどのような知識や情報が必要か、どのような言語を学習するのか方向性を決めた。次に後期では、WEB サイトのメイン機能である「クイズページ」とページ作成を企画する。昨年度のクイズページの反省点を活かしたクイズページを企画する。

3. 近年、勢力を増している攻撃を調べ、警察庁のデータより疑似体験のテーマをランサムウェアに設定。
課題: ランサムウェアの特徴、被害の大きさをわかりやすく伝える。

4. ランサムウェアの特徴を調べ、疑似体験のシナリオと攻撃の方法を設定。

「ランサムウェア感染の疑似体験ページ」を作成することで課題: 疑似体験での実装方法について考える。

問題解決のための作業に着手した。まずクイズページの作

5. ランサムウェアの説明をしたウェブサイトを作成。

成手順は具体的には以下の手順で活動を行った。

課題: 事前に知識を身に着けた状態で体験をすることで確

1. 前年度の成果物を分析かな知識の定着を目指す。概要を説明するが、この後の疑課題：前年度の Web ページを分析し、良い点や改善点を似体験のネタバレにならないようにする。

挙げる。

2. サイバー攻撃の疑似体験とクイズページ作成決定
課題: 昨年度のフィッシング詐欺を疑似体験できる Web

6. 疑似体験シナリオのウェブページを作成。
課題: 今回のシナリオでは攻撃を受け改ざんされランサムウェアを仕込まれた広告が表示されたサイトにアクセスしてしまいドライブバイダウンロード攻撃を受けてしまった。

えることを意識し、Network ジャンルの問題では、ネットという設定である。

ワークには常に情報漏洩の危険性があることを感じてもらページのデザイン、構成、内容を考える。

えるように。さらに、Misc ジャンルの問題では、テキスト

7. 疑似体験終了後の説明ページを作成

エディタのみで解答できるような、特別なソフトウェアをランサムウェアの対策について調べる。

必要としない内容にすることとした。これらの身近に感じ

8. GitHub に移行、実装る問題とわかりやすい解説を通して、実践的な知識と技術

GitHub 用に調整をする。

を参加者に身につけてもらうことを到達目標としている。

2.3

CTF 班

現在、セキュリティがキーワードに設定されている講義

課題解決のプロセスとその結果

3.
3.1

暗号班

は情報機器概論、オペレーティングシステム、システム管理

先ほど述べた「より導入障壁が低い形での電子署名の付方法論、情報マネジメント論、ネットワークセキュリティ与システムを開発する」という目標を達成するため、我々はの 5 つであり、これらの講義では、Wireshark やバイナリ

ID ベース暗号を用いた電子署名をメールに付与するシステ

解析ツールなどのソフトウェアを用いた実践的な授業は行ムの開発を行うということを、課題解決の手法として定めわれない。しかし、未来大生の多くは IT 企業に就職するたた。ID ベース暗号においては、公開鍵を ID 等の既知の情め、実践的なセキュリティの知識を求められる。そのため、報とする。このことから、ID ベース暗号を用いた電子署名

本グループでは、未来大に不足している実践的なセキュリ

では、既存の暗号方式による電子署名の検証で必要であっティ分野の技術や知識を提供することを問題として設定した、認証局からの公開鍵の入手が不必要となる。このことかた。

ら、システムの導入障壁を低下させることが可能となると考この問題の解決には、実践的なセキュリティ分野の知識え、この手法を採用した。実装として、我々は当初 Chromeと技術を未来大生に身に着けてもらうことが必要不可欠で拡張機能としてこのシステムを完成させることを目指した。

ある。しかし、前年度までの本プロジェクトの活動では、一なぜなら Chrome 拡張機能であれば導入が容易なのである

般的なセキュリティの知識を提供するまでに止まっていた。と考えたからだ。しかし、Chrome 拡張機能からではメー

そのため、今年度では、新たに CTF を通して未来大生に実ルの本文の内容の認識や、メールへの電子署名の付与に支践的な知識を身に付けてもらうことを目的とした CTF を設障があった。よって GAS(Google Apps Script) を併用する立した。しかし、初めて CTF に参加する場合、既存の CTF形での作成に変更した。上記のような経緯で、Chrome 拡のサイトの多くには共通する 3 つの問題点がある。1 つ目の張機能と GAS を併用したメールへの電子署名の付与と検証問題点は、セキュリティ分野に関する専門知識を要求されるの機能を持ったシステムを作成した。この成果物は ID ベーことである。実際、Network ジャンルの問題のほとんどでス暗号を用いた電子署名の有用性を示すことができたと考は、WireShark などのソフトウェアの操作ができるだけでえている。

は解答は難しく、RSA 暗号の基本的な仕組みや脆弱性、IP

3.2

WEB 班や TCP などのプロトコルの仕様についての知識などが要背景で述べた未来大生のセキュリティ意識を向上させる求される。2 つ目の問題点は、身近に感じにくい問題を扱っために２つの Web ページを制作した。１つ目はクイズペーていて、興味を持ちにくいことである。3 つ目の問題点は、ジというクイズ形式でサイバー攻撃の具体的な対策・対応丁寧な解説が提供されないため、参加者のスキルアップに方法を学ぶ Web サイトを制作した。問題は IPA が公表しつながらない場合がある。多くの場合、未来大生は初めてている情報セキュリティ１０大脅威２０２２ [1] から具体的CTF に取り組むことが想定されるため、既存のサイトではなサイバー犯罪の事例を参考に作成した。サイトのないよ興味を失ってしまうと考えられる。よって、今年度の CTFうとしては、クイズが１０問用意されており、１問ずつ解答

グループは、CTF を楽しんでもらえるようなデザインとシと答え合わせを行い、間違えた場合にのみ詳しい解説が表ステム、身近に感じやすい問題、分かりやすい解説を備え示される。２つ目は疑似体験ページを制作した。疑似体験

た CTF サイトを作成することを課題として設定した。

ページではサイバー攻撃の脅威を知ってもらうことやこれ到達目標として、本グループでは、初心者に優しく、解説らの脅威に対して危機感を意識してもらうために、ランサがわかりやすい、未来大生に向けた CTF サイトを作成する

ムウェア感染の疑似体験ができる Web ページを制作した。

ことを目標とする。具体的には、デザインは直感的に操作がまた、体験後にランサムウェアの詳しい解説サイトに移行可能であり、一目見て興味をもってもらえるようなものをすると、具体的な仕組みや本体験以外のランサムウェアの目標とする。問題は Web、Crypto、Network、Misc ジャ

感染方法や、対策・対応を知ることができるようになってンルと幅広いジャンルを取り扱うことを目標とする。Webいる。これらの成果物はサイバー犯罪の具体的な予防・対ジャンルの問題では XSS を実際に体験できるような環境を応策を中心に学習できるので去年の成果物とあわせること作成する。また、Crypto ジャンルの問題では、実際に使わによりセキュリティ知識が深まるよう制作した。

れている暗号を取り扱うことで、暗号を身近に感じてもら

3.3

CTF 班

Web ページを訪れてセキュリティ意識向上に役立ててもら問題提起で述べた「未来大に不足している実践的なセキュうことが出来る。また、アンケート結果から未来大生のセリティ分野の技術や知識を提供すること」を問題として設キュリティ意識の現状の調査から改善点を見つけることで定し、具体的な解決策として、初心者に優しく、解説がわ

さらに効果的なセキュリティ意識向上を目指した Web ペー

かりやすい、未来大生に向けた CTF サイトを作成するこジ作成に役立たせることが期待できる。とを目標とし、活動を行った。Web サイト作成にあたって

4.3

当初はサーバを契約することで、CTF サイトにログイン機CTF 班

当初の想定通り、初心者に優しく、できる限り身近な問題能や特典表示機能を実装し、実際の CTF の大会のようにを扱う日本語の CTF サイトを作成することができたが、未参加者が点数を競い合うようなシステムにする予定だった。

来大に CTF 文化を根付かせるには至っていない。問題点は

しかし、参加者の人数が競争できるほど十分に集まらない

主に 2 つ考えられる。1 つ目の問題点は、未来大生のほと可能性や、サーバーの運用にかかる費用を継続して払い続んどの人は CTF に興味がないため、実際の CTF サイトにけることができない問題点があるため、サーバーレスの構アクセスしないからだ。2 つ目の問題点は、CTF サイトの成を実現した。また、CTF サイトの問題作成に当たって、問題をすべて解いた後に何をしたら良いかわからず、CTF

AWS を利用して SQL インジェクションを用いた問題を作をやめてしまうためだ。多くの CTF の大会は複数人のチー成した。これは、当初予定していた Web ジャンルの問題をムで参加することが前提となっているため、他の CTF の大作成途中に、理想的なサーバー環境を構築することが叶わ会に参加しにくいことがやめる原因として考えられる。こなかったため、断念したからである。そして、Web サイト

れらの問題の解決方法として、CTF に関するコミュニティのデザインは CTF をフィクション映画の演出されたハッキを作成することが挙げられる。1 つ目の問題点は、作成したングのような派手なものだとイメージしていることが多い

コミュニティでイベントなどを開催して、CTF に興味がなため、実際に参加したときのギャップを埋めるべく、CTFい人にも実際に CTF を体験してもらうことで解決できる。

サイトのデザインでは、CTF 参加者が楽しめるように映画

2 つ目の問題点は、コミュニティ内で技術的に優れている人「マトリックス」をオマージュした文字が上から下へながれやモティベーションの高い人と交流を行うことで、継続していくデザインを採用した。て CTF の大会に参加してもらうことで解決できる。以上より、未来大に CTF のコミュニティを作成することを今後の

4.

今後の課題

4.1

暗号班

今回の成果物は、GAS と Chrome 拡張機能を使用した代償として、Gmail 上でのみ動作するものとなった。この制約は実際の普及において大きな問題となると思われる。今後の課題としてはユーザーのメールサーバーや利用サービスにとらわれない形への改良が必要であると考えている。また、機能の開発に当初の予定以上の期間を使ってしまい、ユーザーインターフェースの配慮が疎かとなった。ユーザーがより使いやすいソフトウェアとすることも今後の課題である。

4.2

WEB 班

今後の展開としては、成果物を宣伝しより多くの未来大生に Web ページを利用してもらうことで未来大生全体のセキュリティ意識向上に繋がることが期待できると考える。また、未来大生以外でも成果物の Web ページを公開することでセキュリティ意識向上に役立たせることが出来るように制作した。改善すべき点としては、アンケートの指摘よりWeb ページ全体のデザインが良くなかったことが挙げられた。また、セキュリティの観点から電子メールに URL を添付しアクセスすることが危険であることから Hope で公開したため学部 3 年のプロジェクト学習 2022 を登録している学生、または最終発表当日のスライド内にある QR コードからアクセスした人のみが利用できる状態であることから未来大生全体に周知することが出来ず独自で用意したアンケートに協力してもらうことが出来なかった事は改善を試みたい。これらの改善によって、多くの人に成果物である課題としたい。

参考文献[1] IPA。 情報セキュリティ１０大脅威、 2022。