初心者のためのセキュリティー講座

インターネットを使うにあたり、不正アクセスや不正アクセスには当たらないが、不当な妨害や不快な思いをするといういろいろなリスクが発生します。今回は、そのリスクの中で、自分の責任で負うべきリスクとそのリスクの自覚について考えてみたいと思います。

個人情報を公開するリスク
インターネット上での個人情報の問題というのは、いくつかの段階があります。一番軽い段階は、自分のメールアドレスを自動的に収集されてしまい、ダイレクトメールが送られてくるレベルでしょう。このような不特定多数のメールアドレスに送られるダイレクトメールの類は、SPAM（スパム）と呼ばれます。

インターネットでの不正行為

その傾向と対策

インターネットを使っている人のほどんどは、商品広告などのダイレクトメールを電子メールで受け取った経験があると思います。
どこかのインターネット上の通販会社に電子メールを送った記憶もなく、何で知ったのか不思議に思うことがあるでしょう。
これは、SPAMの専門会社が存在していて、インターネット上で公開されているありとあらゆる情報から、自動的に電子メールのメールアドレスを抽出しているのです。ネットニュース、ウェブページ、メーリングリスト、その他可能なかぎりの情報源から自動的に収集しています。そのような会社は300万路地裏、繁華街、そして自室。実生活において、なにかしらのアクシデントが起こる可能性はどんな場所でも常にあります。でも、私たちは家から一歩も出ないわけにはいきません。私たちは、身の回りにどんな危険があるか、そのリスクを知ることでアクシデントを避ける術を知っています。インターネットもまた、実生活とそんなに変わらない心構えが必要なのです。今回は、そんなちょっとした心構えについてお話ししていきます。

第5回
自ら負うべきさまざまなリスクについて---AT YOUR OWN RISK

以上のメールアドレスを収集していると言われます。その収集したメールアドレスを売ったり、あるいは送付するのを代行したりする専門会社が海外には存在します。
あるいは、そこまで大規模ではなくてもなんらかの手段を使ってメールアドレスを収集して、自社広告のダイレクトメールを送る会社もあります。
インターネット上で積極的に電子メールを利用している人は、同時にそのメールアドレ

JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

スがどこからか漏れ出し、ダイレクトメール業者に知られてしまうというリスクも負うことになるのです。
しかし、この程度であれば、インターネッ
ト上に限らず現実社会でも経験している現象

398 INTERNET magazine 1998/1

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

です。郵便受けには、毎日のようにいろいろを見つけだすというのは、非常にわずかな確な広告が投げ込まれていますし、また、知ら率でしかない」と思っている人もいることで

たとえば、よくある例としては、BBSのよない業者からのダイレクトメールが送られてしょう。しかし、必ずしもそうとは言い切れうな仕様をもったcgiプログラムに対する嫌がくることもしばしばです。それ以上にSPAMません。ある出版社がインターネット上で公らせや妨害です。この簡易BBS cgiプログラが盛んなのは、インターネットでの電子メー開しているウェブページ上で個人情報を出しムというのは、ウェブページをインターフェイ

ルの送付コストが、現実社会で印刷物や郵便ている女性のページ一覧を集めて興味本位なスとして、自由な入力を許し、入力されたメ料金にかかるコストに比べると非常にわずか取り上げ方をしたという例がありました。掲

ッセージはウェブページに反映されるというもだからです。非常に少ない反応率でも、わず載にあたって本人の承諾はとらなかったそうのです。多くは、入力されたメッセージを単かなコストで大量に送ることによって、それです。その結果、取り上げられた女性に、不純にウェブページの最後に追加するだけのごをカバーしているのです。

特定多数の人から気分を害するようなメール

くごく単純なcgiプログラムです。認証や入力ですから、SPAMに対する非難を気にしなが次々と送られて来たそうです。最後は、結のアクシデントといったことを特別考慮していような業者がSPAMを行うのは、避けられ局それまで使っていたメールアドレスを放棄いるようなものは、あまりないようです。

ないものがあります。無視して消してしまえせざるえなかったとのことです。このような事ばいいだけですが、多少なりとも無駄な通信例は極端で、非常に稀だと思いますが、今後のが「誰でも」、「いつでも」、「いくらでも」、コストを負担しなければならないのは、割りも同じような事例が出てこないとは限りませ

好きなことが書き込めるような仕様になって切れない気持ちになります。また、ポルノのん。個人情報を公開する危険性を低く見積います。しかし、ここで少し考えてください。

通信販売や必要もないダイエット食品のダイもるべきではありません。

制限のないアクセスを許しているウェブペー

レクトメールが次々と送られてくるのは、あまり気分のいいものではありません。ています。

この簡易BBS cgiプログラムは、多くのも電子メールのメールアドレスを一般に公開

ジは、新宿や渋谷のように不特定多数が訪れするのも、個人情報をウェブページ上に公開る場所のようなものです。もし、新宿や渋谷システム側でSPAM業者のアドレスを事前するのも、そのリスクさえ十分に理解して公の人通りの多い所に、何でも書き込んで構わに登録して受け付けないようにしたり、ある開しているのなら、第三者がその是非を議論ない掲示板があったら、いったいどんなこといは、届いたメールの文を見て自動的に捨てすべきことではないと考えます。になるでしょうか。てしまうようなソフトウェアもあるようですが、本稿の目的は、あくまでも、存在するリスクユーザーが、自分の思うとおりに簡易BBS

結局はイタチごっこで、決定的な解決方法はを知らないということに対して注意を促すとのようなcgiプログラムを作ったり使ったりすありません。電子メールを活用する以上は避いうことです。その点をよくご理解ください。

るのは、そのサイトの管理者の判断であり、また、ユーザーの判断でしょう。これも、第けられないリスクなのです。

自分で用意したCGIを使うリスク
善意ばかりではない三者が口を挟むべきことではありません。しCGI（Common Gateway Interface）は、かし、そのような仕様の機能が中途半端な次の例は、少々深刻です。よく雑誌などWWWサーバーの機能をさまざまに拡張するcgiプログラムが引き起こすトラブルは、そので、インターネットの活用事例として自己紹ための枠組みを提供するものです。その中でプログラムを作ったり使ったりする者が背負介や、自分の個人情報を出しているウェブペもプログラムのインターフェイスとしてウェブっているリスクであることは確認するまでもあージを紹介しているものがあります。そのよページを利用するものは、CGI-BINプログラりません。もし、そのリスクを認識せずに使うな雑誌記事を見て、「ウェブページとは、自ムといいます。ここでは単にcgiあるいは、cgiうと、その認識のずれによって大きなトラブ己紹介をするような場なのか」というようにプログラムと呼ぶことにします。

ルとなる可能性があるでしょう。

理解している人がいます。

一般ユーザーが、自分でcgiを使えるようソフトウェアを使うリスク

しかし、その前に個人情報をインターネッなインターネットサービスプロバイダーが数多トで公開するということは、新宿や渋谷のよくあります。また、一般ユーザーが使うようウェブページを見るために、私たちはウェうな大都会で、自分の個人情報を壁に張り付なcgiプログラムは、あちらこちらで公開されブブラウザーを使います。ウェブブラウザーとけるということと同じだということを認識しています。ところが、cgiプログラムの多くは、てソフトウェアですから、何かしらのバグ（ソて欲しいと思います。必ずしも、善意の人の最小限のプロトタイプ的な仕様を実現していフトウェアの不具合）があります。

みが、その個人情報にアクセスしているわけるだけで、例外的な入力に対する処理や、不こう断言すると驚く方がいるかもしれませではないのです。

正な利用に対してはまったく考慮されていな

んが、ソフトウェアとは、そんなに完全なも「莫大なウェブページの中から自分のページいようです。そしてそのためトラブルを起こしのではありません。特に新しい機能を加えたインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/1

399

後や、開発が終わったばかりの新しいソフト

このチェーンメールとデマメールの特徴は、うのがあります。これは、もっともらしい手ウェアには、まだ発見されないバグが潜んで受け取った人が、善意でそのデマを自分の知口や自動車のナンバーまで詳細に書かれたもいます。っている人に流すことです。口コミで伝わるので、いろいろな会社などの間をFAXという問題は、そのバグがいつ、どのような形でデマとは異なり、電子メールは、まったく媒体を使って流れていました。

現れるかです。もし、そのバグがたとえ深刻「同じ内容」を「簡単に」、そして「すぐに」もっともらしい内容が電子メールという新なセキュリティーホールであったとしても、そ送れます。したがって、そのデマの伝搬は無しくて非常に伝達の早いメディアに乗ってしのリスクは使用する側が背負うことになりま制限にインターネット上に広がっていきます。

まうと他のメディアでは見られない妙な説得す。ウェブブラウザーのセキュリティーホール

もしかするとこのGood Timesウイルスの力があります。そのようなメディアの特性をを突き、WWWサーバー上のあるページをア

デマの最初は、誰かを担ぐための単なる冗談知ることによって、あなたが不確実な情報にクセスすると、突然コンピュータのディスクだったのかもしれません。なぜなら、そもそも踊らされるリスクを減らすことができます。の中身を全部消してしまうようなプログラム

メールのサブジェクトにわざわざGood Timesの存在も否定できません。そのような潜在的と書いて送ってくることは非常に不自然だか

ソフトウェアの取得に関するリスクなリスクは、常に潜んでいます。

らです。理由や発端はともかく、現在でもインターネット上では自由にコピーして利もちろんきちんとした会社や組織の持つウGood Timesのデマは、死に絶えていません。

用できるプログラムが多くの良心的な作者にェブページだけにアクセスするだけなら、そのこのリスクは何でしょうか。それは、不確よって作成され、そして、あちらこちらのサようなサイトで故意にシステムを破壊するよ実な情報に踊らされることです。このようにイトで公開されています。そのようなボランうな罠は仕掛けられていないでしょうから、問デマが流れるのは、別にインターネットのよタリーな精神があるからこそ、インターネッ題はほとんどないと考えてよいでしょう。ネうなメディアに限らず一般社会でもあります。

トやコンピュータはさらに便利に使えるようットサーフなどと称して、あちこちのサイトにたとえば過去によく知られた例として「当たになるのでしょう。これは称賛されるべきイむやみにアクセスしている場合は、その罠にり屋情報」の怪文書があちこちに流れたとい

ンターネット文化、あるいはインターネット出会うリスクがぐっと上がります。
幸いなことに、通常は、上記のような致命的なソフトウェアのバグは、見つかり次第改良され、対処されたバージョンが短期間でリリースされます。問題は、そのような最新の図A CGIを利用したプログラムを使う場合のリスク情報をユーザーが知っているかどうかです。そ

不特定多数のアクセスを許すということは、どんな人がアクセスするか分からないというリスクを負う。

して、その新しいバージョンを入手しているかです。
もし、広く問題点が知られている状態で、いつまでもセキュリティーバグをもったウェブブラウザーを使い続けることは、誰が考えても、かなり問題があるのは明らかです。

情報コントロールのリスク
情報のコントロールとして、最近よく話題になるのが、チェーンメールやデマメールでサーバーす。もっとも有名なのは、 Good Timesというコンピュータウイルスに関するチェーンメールとデマメールです。 今 もどこかで「Good Timesというサブジェクトのついたメールは、コンピュータウイルスに感染しているメールなので注意するように」というデマが電子メールとして流れていることでしょう。

400 INTERNET magazine 1998/1

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

務などでパーソナルコンピュータを使っている精神といえるでしょう。
その配布方法のタイプですが、UNIXでの人は、実行バイナリーのやり取りやフロッピ配布の場合はソースコードという形で公開さーのやり取りでウイルスが移らないように、ウれているケースが多く、パーソナルコンピューイルス検知ソフトウェアを常用している人がタに配布される場合は、すぐに使えるように多くなってきています。

理と言えるでしょう。

自己責任がキーワード
インターネット利用の責任の論理は、常に利用者が自己責任において利用するという点コンパイルされた実行バイナリーという形で一方、パーソナルコンピュータをもっぱらで一貫しています。ある意味で大人の論理で公開されているケースが多いという傾向があホビーやまったく個人的な範囲でしか利用しす。しかし、多くのユーザーは、それに戸惑ります。

ない人は、頻繁に実行ファイルやフロッピーっています。なぜなら、インターネットは「こパーソナルコンピュータ場合、心配なのは、を他の人とやり取りするわけではないので、あれだけお金を払っているのだから、これだけその実行バイナリーがウイルスに侵されていまりウイルス感染には神経を使ってはいないのサービスは受けたい」というコストに対するかもしれないということです。しかし、これ傾向があります。

るサービスが与えられる場だと思っているかは故意にウイルスをばらまいているわけではあ管理がしっかりした信頼のおけるサイトからです。この意識は捨てなければなりません。

りません。知らぬ間に自分のパーソナルコンら取る場合はあまり心配はないでしょうが、インターネットは、不特定多数の利用者がピュータがウイルスに侵されており、そして知ソフトウェアを公開しているサイトのすべてがネットワークに接続することによって、集まらぬ間に配布用の実行バイナリーにそのウイ必ずしもきちんと管理しているわけではありってきている所です。参加資格があるわけでルスが付着してしまうのです。

ません。また、管理者がウィルスに対して、はなく、誰かがコントロールしているわけでも●どんなに努力しても完全ということはありまないのです。

このようなウイルスの伝染は、インターネせん。ウイルスを自動的に検知するソフトをしかも、地域や国境といった地理的隔離もットに限らず、日常の業務の範囲ですらも発準備するといった事前の備えや、どのサイトありません。これは何を意味するかというと、生してしまう厄介な問題です。現在では、業が安全かを見抜くのは、ユーザーのリスク管

ネットワーク的には、どんな所に住んでいても、自由に大都会の繁華街に行けるということと同じです。情報の地域差ということでは差がなくなるわけですから、これはある意味ではすばらしいことです。しかし、大都会の繁華街は、一部の人にとっては、日常の風景図B チェーンメール伝搬の構造はデマと同じであり、そのリスクも判断できるので安全でしょうが、必ずしもすべての人にとって日常の風景ではありませんし、また、安全であるとは限りません。

まとめ
インターネットを使うときは、常に頭の片隅にリスクということを思い出しながら使用しなければいけません。しかし、それは別にインターネットに限ったことではありません。
本稿は、インターネットも現実社会と何ら変わらないという、ごく当たり前のことを再確認したにすぎないのです。
チェーンメールの広がり方は、口コミのデマとは比較にならない速度で広がる。これらのメールに対しては、無視してだれにも転送しないことだ。善意のつもりが、実はチェーンメールを広げていることになる。毅然として無視するためには、チェーンメールとは何かを知る必要がある。

JPCERT/CCでは、本連載のバックナンバーをウェブサイト上で公開しております（PDF形式）。

jhttp://www.jpcert.or.jp/magazine/beginners.html

発信者

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/1401

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.