プロジェクト報告書（最終）Project Final Report

提出⽇(Date) 2021/01/14

暗号とセキュリティ
Cryptography and security
酒井⻯⾺ Ryoma Sakai

1. 背景

新型コロナウイルスによる授業や会議のオンライ

本プロジェクトは、主に暗号化技術を⽤いて、セキン化により Zoom などのオンラインアプリケーショ

ュリティに関する分野について理解を深め、実際に体ンが注⽬され始めたが、それと同時に当初はセキュリ験することを⽬的としたプロジェクトである。今年度

ティに関する問題が発⽣していた。 今は改善されては新型コロナウイルスの影響によるオンライン授業

きてはいるが、こういった社会情勢の変化から今後もやリモートワークの増加に伴い、情報の管理がより⼀リモートワークやオンラインを使ったコンテンツの層重要なものとなった。ここで⼤切になってくるのが、ニーズが⾼まってくる。その⼀⽅で、セキュリティに情報を管理するセキュリティ技術やそれを扱う我々関しての知識や意識を持たない多くのユーザが、悪意ユーザの危機管理である。そこで今年度の活動は、セのあるユーザによって、個⼈情報などが知らず知らずキュリティの脆弱性をついた攻撃⼿法や現在の対策のにうちに流失してしまったという事例も多くある。

等について学習し、メンバを 2 つの班に分け、それぞこれらのことから、今後、各⼈のセキュリティの知識れを「メールアドオン班」、「セキュリティ意識調査班」の習得や対策に意識を向ける必要がある。セキュリテ

理解を深めるとともに、より効果的な対策⼿法の提案

ィ意識調査班では、これらを背景に知識の習得、啓発や意識喚起を最終⽬標として活動した。

を主として活動を開始した。

昨今では IT 技術の進歩に伴って、他者との会話や重要な書類の送付を電⼦メールのやりとりによって2. 課題の設定と到達⽬標⾏う場⾯が多くなった。電⼦メールを利⽤すると当然

初めは、安全なメールシステムをテーマとした昨年

移動の負担や遠距離の⼈との意思の疎通・情報の共有

度の卒業研究[2]の発表⽤スライドを、誰でもわかりが図りやすい。しかしその反⾯、第三者がなりすましやすいように改善していく、という活動を⾏なった。

を⾏い、これらの情報の盗聴や改ざんに遭う被害が増講義で学んだ程度の知識しか持っていなかったため、加している。このような攻撃は標的型攻撃(APT)と呼「⾃分たちが卒業⽣の研究内容をしっかりと理解すばれ、「組織」向けの脅威が毎年第１位であることがること」「スライドなのでより⾒やすいレイアウト・わかっている。対策として、⼀般の利⽤者に対しては配⾊・図・表現を⽤いてわかりやすいものを作る」と

電⼦メールに安易にファイルの添付をしないようないう２点を当初の課題として設定した。到達⽬標とし呼びかけや、企業に対しては社員や職員に向けた標的ては、中間発表や最終発表の際に、閲覧してくれた⽅型攻撃に対する訓練を⾏う⼈的対策、電⼦メールの認に内容を正しく伝えられることを⽬標とした。それら

証機構や電⼦署名を利⽤することで攻撃を防⽌しての活動の中で、本年度の活動として活動内容を２つ選いる。しかし、対策により⽣じる利便性の低下、ヒュ出してそれぞれグループを分け、それぞれ課題・到達ーマンエラー、導⼊・運⽤コストの⾼さなどから、標⽬標を設定し、活動を開始した。

的型攻撃による被害は増える⼀⽅であり完全には対応できていないのが現状である。メールアドオン班ではこれらを背景として効果的な対策⼿法の提案を主として活動を開始した。

2.1 メールアドオン班

メールアドオン班は、標的型攻撃を防ぐことができる安全な学内メールシステムを構築しようと考え、

2001 年の⽂献［1］によって提案された公開鍵暗号⽅

役⽴つ場⾯が多いと予想される「セキュリティソフト」式の⼀種である ID ベース暗号(IBE)を⽤いた過去の「インターネット詐欺」の２つに着⽬し、それらに関⽂献[2]をさらに進めることを⽬的とした。理由としする知識の習得及び意識の向上を⽬標として環境をて、背景の電⼦署名が普及していない理由「コストが整えることとした。

⾼い」「相⼿のメールアドレスが電⼦署名に対応しているか不明」に着⽬し、電⼦署名が導⼊されていない

3. 課題解決のプロセスとその結果ことで標的型攻撃の対策が⼗分になされていないこ

3.1 メールアドオン班とを問題として設定した。同卒業⽣の研究では、メー

上記の通り、標的型攻撃の対策の主なものに電⼦署ルシステムの実装までは⾄っていなかったため、何ら名が存在するが、⾼いコストなどからあまり普及してかの⽅法で実装することを⽬標とした。ID ベース暗いないのかが現状である。そこで、どのように改善す号は学内メールシステム等の狭い組織間であれば安れば電⼦署名を普及させることができるのか、議論し全性を保つのに適しているといった特徴を持ち、IDた結果、原因であるコストを減らすことができれば導ベース暗号を⽤いた電⼦署名により、従来の電⼦署名⼊・運⽤がしやすいのではないかと考えた。また、利の煩雑さを解消することができると考えられる。⽂献

⽤する組織が増えることで、対応するメールシステム[1]やその参考⽂献では、ID ベース暗号による鍵⽣成の増加にもつながるのではないかと考えた。その後、及び電⼦署名の正当性や安全性についての検証が⾏

どのような⼿段で電⼦署名のコストを減らすことがわれていた。ここで課題となるのが、ID ベース暗号できるかを議論した結果、暗号化技術を学ぶために並の実装⽅法である。どのような⽅法・仕様で ID ベー⾏して⾏なっていた⽂献[2]発表資料の修正の活動かス暗号の機能を搭載したメールシステムを実現するら着想を得て、ID ベース暗号を⽤いることでコストのかが⼀番の課題であった。

を減らすことができると考えた。
前期の活動では、課題であった実装⽅法について、

2.2 セキュリティ意識調査班

オープンソースソフトウェアを⽤いて、既存のメールセキュリティ意識調査班は、本⼤学の学⽣がセキュクライアントソフトに ID ベース暗号の機能を追加しリティ対策の意識が低いのではないかという課題をて実装することとなった。夏季休暇中に暗号化、復号、仮説として⽴てたのち、アンケート調査を⾏い、結果電⼦署名の各プログラムを記述し、後期初めに実装をから課題点を考察し、本⼤学の学⽣及び⼀般の⽅のセ試みたが、予想していた結果・挙動を得ることができキュリティ意識の向上や知識の習得を⽬的としたなかった。ここで起きていた問題がソフトの対応してweb ページの作成を⽬標とした。

いる環境によるものであった。この問題については、インターネットを利⽤するにあたり、セキュリティ今回の活動期間で修正するのは不可能と判断し、この意識を持って利⽤するのはとても重要なことである。

実装⽅法を放棄、代替案による解決を⾏うこととした。

しかし、⼀⼝にセキュリティ意識と⾔ってもその範囲いくつか案を出し合い、最終的には本学内で使⽤してはとても広い。IT に関わる⼈とそうでない⼈の違いいる Web メールについて、利⽤しているブラウザのだけでも相当な幅になるだろう。ここで、⼀つの指標拡張機能として ID ベース暗号を実装することとした。

として IPA の「2019 年度情報セキュリティに対するこれにより OS による実装⽅法の違いや、挙動の不備意識調査」に基づいたアンケートを実施した。IPA とを軽減できるとした。その後、後期の活動によって実は Information-technology Promotion Agency の略

装できたのは Google Chrome の拡張機能のみとなっで⽇本語では独⽴⾏政法⼈情報処理推進機構というてしまったが、Chrome 上では ID ベース暗号を利⽤ものである。 その結果から、⽬標達成のため⾝近なした署名の検証、添付ファイルの暗号化と復号を実現

話題で理解しやすく、正しい知識を⾝につけることですることができた。また、学内メール利⽤時の認証が利⽤できないため別の認証基盤を利⽤した。これによグラミング学習サイトや web 上の知識、過去の講義って、従来の電⼦署名同様に送信者と受信者がどちらなどを参考にして、前半の活動は知識の習得に時間をも正しく本⼈であることの証明が可能となった。

費やした。エディタはオープンソースで共同編集が⾏える Atom を採⽤し、メンバ同⼠わからない点を教え

3.2 セキュリティ意識調査班

セキュリティについての意識向上を⽬的として調あったり、コミュニケーションを取りながら作業を分担する際の効率化を図った。

査を⾏い、結果から「セキュリティソフト」と「イン次に、重要になってくるのが Web サイトのレイアターネット詐欺」の⼆つを主な課題として設定した。

ウトである。本グループは、セキュリティソフトやイセキュリティソフトに関しては、知識を広め、意識のンターネット詐欺という事例に対して、web サイトの向上を図るためには、本グループのメンバがそれぞれ閲覧に不慣れな⾼齢者の⽅や、⼩さい⼦供でも利⽤ししっかりとした理解が必要になる。しかし、使⽤したやすいように、シンプルで直感的な操作を後押しすることのないセキュリティソフトの詳細を、他⼈に教⽰ようなデザインを⽬指した。本グループにはデザインできるレベルで知ることは難しく、インターネット上コースの学⽣がいないため、テーマに沿ったサイトをにある情報のみでは他のまとめサイトとの差別化が共有しながら、どのようにすればシンプルでわかりや図れないため、実際に⼊⼿して使⽤感、使⽤した際のすいレイアウト・デザインになるか意⾒を出し合った。

不具合などを確かめてみることにした。グループメン

その際、シンプルでわかりやすい⾃分たちが⽬指すもバが 6 ⼈それぞれ１種類ずつ使⽤できるよう、グルーのに近しいサイトには、いくつかの共通点があることプ内で協議して代表的な６つを選出した。

を発⾒した。画⾯上部にヘッダー、画⾯下部にフッタ

インターネット詐欺については、事実として過去５ーがあり、各項⽬を⾒やすいように配置しているなど年間で検挙数が 1.2 倍以上に増加している。⾝近にイが挙げられた。それらの点を元にしてレイアウトを作ンターネットが普及してきたこともあり、その⼿⼝も成した。加えて、強調したい⽂章や⾔葉を太⽂字にしさまざまである。また、詐欺というのはその⼿⼝、⼿たり、⾊を変えるなどできるだけ⾒やすくなるような法をあらかじめ認識しておくことで、個⼈の裁量で回⼯夫をした。

避することが可能である。⾃分が引っかかるわけがな

Web サイト上の具体的な⽂章、内容について、セキい、といった意識をなるべく減らすことがとても重要ュリティソフトに関しては各ソフト間の⽐較がしやになる。

すいように、無料試⽤期間や⼀つのライセンスでイン以上のことから、「セキュリティソフト」「インターストール可能な台数など、掲載する情報、項⽬は可能

ネット詐欺」についての知識を発信し、⾝につけてもな限り類似したものを記載するようにした。専⾨⽤語

らうための⼿段として、Web サイトを作成するといを多⽤した⽐較サイトが多く⾒受けられたため、それう⽅法を採⽤した。理由としては、先述のアンケートらを細かく、知識のない⼈でも理解できるように噛み結果などが掲載しやすく、⽐較しやすい点や、セキュ砕いた説明になるように意識した。また、実際に使⽤リティソフトとインターネット詐欺の項⽬の切り替したメンバの評価を、「性能的にこの値段が妥当だとえがクリックひとつで⾏えるという使いやすさが適思うか」など具体的なポイントを４つ指定しそれらのしていると考えたからである。また、操作の説明をせ評価、使⽤環境、導⼊したデバイスなどを記載し再現ずとも閲覧するユーザが直感的に操作できる点、作成性を持たせるような⼯夫をした。インターネット詐欺する際に学習⽅法や解説書が豊富であるため学習環に関しては、詐欺の種類、特徴、⼿⼝、被害に遭う⼈境を整えやすい点も選択した理由の⼀つである。の傾向などをそれぞれまとめた。

具体的なコードの記述に際しては、メンバは HTMLそしてゲーム感覚で⾃分のセキュリティ意識を図等の Web 制作に関する知識が乏しかったため、プロることができるとし、サイト内に Web アプリケーションを作成した。これは、前述の調査の際に⾏なったは、アーキテクチャに対応したライブラリの選定、あアンケートを、Web サイトを閲覧した⼈にも答えてるいは作成が必要であると思われる。

もらい、結果をすぐに表⽰することで、⾃分のセキュリティ意識について知ってもらおうというものである。

4.2 セキュリティ意識調査班

前期の活動では、IPA の「2019 年度情報セキュリティに対する意識調査」を参考に、未来⼤⽣を対象と4. 今後の課題したセキュリティ意識に対するアンケートを⾏い、未

4.1 メールアドオン班

来⼤⽣のセキュリティ意識の現状を調査した。その結現状では、動作環境が Chrome のみとなっているた果から、未来⼤⽣のセキュリティ意識やセキュリティめ実⽤的と呼べるレベルには⾄っていない。そのため、に関する知識が低い傾向にあることがわかった。そこ対応するブラウザを拡張することやスマートフォンで、未来⼤⽣のセキュリティ意識の向上やセキュリテでの利⽤を想定した改善が必要であると考えられる。

ィに関する知識を深めるため、セキュリティに関するそして UI に関しても、ユーザの利⽤を促進するため詐欺⼿⼝をまとめた Web サイトを作成した。後期かに、検証が失敗した際の警告や処理、拡張機能利⽤時

らは、前期に作成した Web サイトのレイアウトの改の画⾯などにあまり⼒を⼊れることができなかった。

善やあまり知識の無い利⽤者にも理解しやすいよう、そのため、危機感を感じさせるような通知や、安全性インターネット詐欺に関するクイズを作成し、そのクを感じさせるデザインなどを⼯夫して、仕組み以上にイズに使⽤する問題や図表などの作成も⾏った。また安全性を向上させる必要があると考えられる。また、アンケート機能を実装した Web アプリケーションの鍵⽣成サーバーにそれぞれのユーザが秘密鍵を要求開発を⾏った。今後は、学外の⼈へアンケートを実施

しなければ、このサービスを利⽤することができない。

し未来⼤⽣以外の⼈のセキュリティ意識の向上が⾒

たとえ、通信経路を暗号化して、秘密鍵をそれぞれの込める Web サイトを⽬指す。また、多様なデバイスユーザに転送できたとしても、不安点は残る。そこで、への対応や、利⽤しやすいインターフェースを追求す

学⽣証に秘密鍵を埋め込み、⼊学時にその学⽣証⼿渡ることが必要である。

しで渡すことによって、安全に本⼈へ秘密鍵を配布することが可能である。学⽣証が難しいとしても、参考⽂献

FeliCa カード等に鍵情報を埋め込み、実際に配布する[1] D. Bonoh and M. Franklin, Identity-basedことができると考えられる。

encryption from the Weil pairing. In: Annual

そして、今回は活動計画や期間との兼ね合いもあり

international cryptology conference. LNCS 2139,

ブラウザの拡張機能としての実装となったが、本来⽬Springer, Berlin, Heidelberg, pp. 213- 229, 2001.

標としていた Web メール以外のメールクライアント
ソフトに ID ベース暗号を⽤いた暗号化、復号、電⼦[2]三浦幸泰 ID ベース暗号の学内向けメールシステ署名の機能を実装できたらと思う。この解決策として

ムの鍵⽣成, 公⽴はこだて未来⼤学 卒業論⽂, 2020.