初心者のためのセキュリティー講座

質問 1
インターネットサービスプロバイダー（以下プロバイダー）にダイアルアップ接続でつないでいます。不正にアカウントを使用する事件が新聞などで取り上げられていますが、もし第三者にパスワードを盗まれてアカウントを不正に使われた場合、自分が気が付かないことが考えられます。これを調べる手立てはありますか。また事前の防衛策はありますか。

解答「調べる手立てがありますか」ということですが、これはプロバイダー側でユーザーのアクインターネットでの不正行為セス記録を提供するサービスを用意していれば可能です。もし不正に使用されていれば、アクセス記録を調べて自分が使っていない時間帯や不自然な課金があれば判明するでしょう。このことから、システムを管理しているプロバイダーの協力なしにユーザーが独自に知ることはほぼ不可能です。
自衛する手段は現状ではパスワードを徹底その傾向と対策して管理するという方法しかありません。
「十この「インターネットでの不正行為、その傾向と対策」の連載を始めて、早くもっているか」という2点をいつも思い出してく11回目を迎えました。
ここまで適当なテーマを選択し、その説明や解説などをださい。

行ってきました。今回は、スタイルを変えて、読者の方々から送られた質問に対分に強いパスワードを使用しているか」ということと「ある程度、使い続けたら変更を行

十分に強いパスワードとは、英大文字、英小文字、記号文字、数字を同時に含み、適して答える形で進めていきたいと思います。

度な長さを持つ文字列からできているパスワ

第 11 回ードです（図1）。もし、簡単に推測できる弱読者からの質問に答える

いパスワードを使っていれば、数分から数時間で破られてしまいます。
強いパスワードといっても永遠に安全であるというわけではありません。何事にも「絶JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/対」ということはありません。したがって、長期間にわたり同じパスワードを使い続けるようなことは避けましょう。
ユーザー認証のためにワンタイムパスワー
ドといった技術が導入されていれば、知らない間にパスワードが漏洩したりパスワード破348 INTERNET magazine 1998/8

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

りが発生したりするといった心配はほとんどーホールを持っている場合、インターネットのTA機能とルーターの機能を同時に持っていなくなります（図2）。もし将来、ワンタイムという基盤自体が危険にさらされます。多くるネットワーク機器です。最近は高機能化、パスワードのような技術が広く一般に提供さの場合、これらの重要度の高いソフトウェア

低価格化が顕著になり、かなり普及してきてれるようになれば、不正なアカウント利用のは、さまざまな組織が注意深くチェックし、います。そのため、ISDN用のTAを使ってダ心配は今よりずっと少なくなるでしょう。

問題があれば警告を行っています。

イアルアップを行う代わりに、ダイアルアッ

しかし、より一般的で現実的な認識として、インターネット上で動作しうるすべてのソフ

質問 2

プルーターを使う人も多くなってきているようです。

トウェアをチェックするというのは不可能でダイアルアップルーターは、PPPによる接クライアントとしてTELNETやFTP、あることを理解しなければなりません。また、続機能を本体内部に持つルーターです。ルー

WWWなどを使う場合の注意点はだいた

商用ソフトウェアでソースコードがオープンに

ターとはネットワーク制御機能に特化した小いわかりました。しかし、インターネッなっていないものは外部からチェックすることさなコンピュータのようなものだと考えてくだ

トにはまだまだいろいろなツールがありができません。

さい。そのためISDN用のTAとは性格が異なます。たとえばプッシュ型ソフトウェア

どんなソフトウェアであれ、バグ（ソフトとかICQのようなチャット、メッセージウェアの不具合）からは逃れられません。そダイアルアップルーターを使ううえで一番ソフト、ストリーミングソフトなどさましてそのバグがセキュリティーホールとなる可問題となるのが、ユーザーがダイアルアップざまです。このようなツールを使ううえ

能性は常にあります。

ルーターのパスワードを設定し忘れているこで気を付けなければならないことはどんなことですか。

ります。

いずれにしろ、どんなソフトウェアを使うとでしょう。これは、ダイアルアップルーターにしてもリスクは伴います。それを理解したをISDN用のTAの代わりとして理解しているうえで使用する必要があります。と陥りやすいミスです。もし、パスワードを解答設定しない状態でインターネットに接続していると外部からルーターの設定機能にアクセ

質問 3スして勝手にルーターの設定を変え、使用不アが安全かどうかは、1つ1つチェックを行わダイアルアップルーターを使ってインタ能の状態にされるおそれがあります。ぜひ注なければわかりません。しかし、新しいソフトーネットに接続しています。どのような意してください。

ウェアは誰でも作れますし、実際に次々と新ことに気を付ければいいのでしょうか。

これは非常に難しい問題です。ソフトウェ

TELNET、FTP、WWW、電子メールとい解答ィルタリング機能を持つダイアルアップルー
ターを使用しているなら、ファイアーウォーったサービスを提供する、インターネットを支える基本的なソフトウェアがセキュリティ

図1

強いパスワードと弱いパスワード

最近では高機能なダイアルアップルーターがいろいろ出回ってきています。パケットフしい技術を用いたソフトウェアが現れます。

一般的なダイアルアップルーターは、ISDN

図2

ルの一部として活用することを考えてみてく

ワンタイムパスワード■強いパスワード
第三者

aZ$e2pq3

あるタイミングで生々

大文字、小文字、数字、記号をランダムに組み合わせている

ワンタイムパスワード

ユーザーAのあるタイミングのワンタイムパスワード■弱いパスワード

インターネットtanaka（人名を使用）
認証サーバー

impress（会社名を使用）
19620817（生年月日を使用）
RXY32531（ユーザーIDと同じ）
jaguar（辞書に載っている言葉を使用）

クライアント（ユーザーA）

ワンタイムパスワードはあるタイミングで一回のみ有効なので、たとえネットワーク上で第三者に盗み読みされても第三者はそのパスワードを使うことはできない。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/8349

ださい。ルーターをファイアーウォールの一部みましょう。システム管理者は（ネットワーとして上手に使うと、外部からの不正アクセ

質問 4

スを防ぐことができます（図3）。

暗号について雑誌などでみかけるのです

スワードを入力します。それをネットワークが、実際どんな場面で使われているのか上で盗聴されてしまえば、そのままパスワーがよくわかりません。電子メール用の暗ドが漏洩してしまいます。もし、ネットワー号ソフトを手に入れる機会があったのでクに流すデータが暗号化されていればパスワすが、使う場面もよくわかりません。

ードを解読することはほとんど不可能でしょ

パケットフィルタリングの基本的な考え方には、大きく2通りあります。
1つは必要なパケットのみを通過させ、それ以外はすべて遮断する「all deny」という考ク経由で）システムにログインするためにパう。

え方であり、もう1つは、不要なパケットのみを遮断し、それ以外はすべて通過させる「all解答

次に電子メール用の暗号ソフトウェアに関してですが、これは、電子メールの内容を暗allow」という考え方です。もちろん前者のほうがより安全であることは言うまでもありよく見聞する例は、WWWブラウザーで使号化するという技術も役に立ちますが、電子われているSSL（Secure Sockets Layer）署名という技術も役に立ちます。たとえば、もし、インターネット側から内部のネットでしょう。WWWブラウザー経由でパスワーいつもメールをやりとりしている人から、唐ワーク上の資源にアクセスする場合には、アドやクレジットカード番号などを入力すると突に不審なメールが届いたとします。そのメクセスに必要なパケットの種類は何であるかき、通信の内容を盗聴から保護する目的で暗ールの送り主が、正しい送り主かどうかを確をあらかじめ調べておき、設定時に必要最小号を用いています。金銭にかかわったり、パ認するのは難しい問題です。このような場合、限のパケットのみを通すようにします。

スワードのように人に知られてはいけなかった

電子署名を用いれば誰がその内容を書いたのりするような情報を保護するために用いられかという証明を行うことが可能になります。

ます。

また、電子的な文章（データ）は、紙に書いません。

これらの注意事項は、専用線でインターネットに常時接続する際、ダイアルアップルー

ネットワーク盗聴から通信を保護する目的たものとは違い、そのままでは内容を改ざんでの暗号利用は非常に有用です。たとえば、してもその痕跡が残りません。電子署名を行システム管理者がネットワーク経由でシステなえば、内容が改ざんされたかどうかを検出ムのメンテナンスをするという状況を考えてすることが可能となります（図4）。

ターを通常のルーターとして使う場合も同様です。

図3

ダイアルアップルーターを使った場合のセキュリティー

TAの場合

図4

署名付きメール

平文

ダイアルアップルーターの場合
インターネット

インターネット

Aさん（送信者）
電子
メール
で送信A
クラッカー

クラッカー

インターネットサービスプロバイダー

アタック
アタック

電子署名

インターネットサービスプロバイダー

ダイアルアップ
ルーター

Aさんの秘密鍵

平文

A

TA

電子署名
ハッシュ関数TAを使った場合、コンピュータ自身のセキュリティーを高めなければならない。ダイアルアップルーターを使った場合、ダイアルアップルーターによってアクセス制御を行い、セキュリティーを高めれば内部のコンピュータは守られる。

350 INTERNET magazine 1998/8

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

暗号化

初心者のためのセキュリティー講座

Apacheの最新版では、任意の不正なCGIプ

質問 52）FTPサーバーが立ち上がらなくなる方法

ログラムの起動に対してエラー処理を行う設個人でPC-UNIXを使っています。

定が可能になっています。たとえば、phfに/etc/inetd.confの中のFTPサービスをコメ

1）個人でWWWサーバーを立ち上げて対する不正アクセスはすでに知られて久しく、ントアウトし、デーモンとして動作している

運用する際のチェックポイントを教多くのサイトで対処済みとなっていますが、inetdにroot権限でHUPシグナルを送ります。

えてください。

いまだに存在しないphfに対して攻撃を試みinetdはHUPシグナルを受け取ると自動的に2）FTPサーバーが勝手に立ち上がってようとする者がいます。この最新版Apache/etc/inetd.confの読み込みを初期化します

しまうのですが、それを止める方法

では（すでにサーバーには存在していない）（図5）。

はありますでしょうか。

phfに対してアクセスしようとすると、自動的

また、セキュリティーを考慮して、ftpdだけにアクセスを行ったユーザーのIPアドレスなどではなく不要なネットワークサービスのエント解答の情報を記録するような機能を設定できます。

リーを同様にコメントアウトしてください。たCGIプログラムに関しては、さまざまなフ

とえばPC-UNIXをクライアントとして使って1）WWWサーバーのセキュリティーについてリーソフトが出回っています。しかし、それいるような場合、POPやIMAPといったメーポイントを押 さえて解 説 するために、らすべてがセキュリティーに対して十分な配ルサーバーの稼動は不必要になります。そのWWWサーバー以外のセキュリティーが保た慮を行っているプログラムであるという保証

ようなときは、/etc/inetd.confにあるPOPとれているホストを使用しているとしましょう。

はどこにもありません。入手して使用していIMAPの設定部分をftp同様にコメントアウト

何よりもまずWWWサーバーに関しては、るCGIプログラムの脆弱性を突いた攻撃が行してinetdにHUPシグナルを送ってください。

最新のものを使うように心がけてください。

われるかもしれません。また、十分に信頼でほかに、サーバープログラムをデーモンとし古いWWWサーバーをインストールしたままきる配布先からコピーしない限り、悪意を持て起動している場合は、/etc/rc.* や/etc/

不正アクセスに対するメンテナンスを怠ると、った者が「トロイの木馬」としてCGIプログ

rc*.d/*といったファイルを調べて不要なエンWWWサーバーの脆弱性に対して攻撃が行わラムに何かを仕掛けるという危険性は常にあ

トリーをコメントアウトしたうえで、動作中れ、それが成功してしまう可能性があります。

ります。どこから手に入れたかわからないよのプロセスをkillするか、あるいはシステムをWWW サーバーとしてよく使われているうなプログラムは使うべきではありません。

再起動するなどしてください。

図5

FTPサーバーが勝手に立ち上がらなくなる方法

1 /etc/inetd.confのftpサービスの部分をコメントアウトする

平文
Bさん（受信者）

Linuxの場合
ftp

stream tcp

nowait root

/usr/sbin/tcpd wu.ftpd -l -i -anowait root

/usr/sbin/tcpd wu.ftpd -l -i -anowait root

/usr/libexec/ftpd

ftpd -lnowait root

/usr/libexec/ftpd

ftpd -l↓コメントアウト

B

平文

#ftp

stream tcp

FreeBSDの場合
ftp

stream tcp↓コメントアウト

電子署名

#ftp

stream tcp

ハッシュ関数

Aさんの公開鍵

2 PSコマンドでinetdのプロセス番号を調べる

A% ps axuw | grep

電子署名復号化

比較して同じだったら改ざんされていない署名付きメールを使えば本人の確認ができ、また、電子メールの内容の改ざんも防止できる

inetduser15609 0.0 1.3

932308 p3 Sroot

81 0.0 0.3

844

72 ? S May 15

09:16

0:00 grep inetd
0:00 /usr/sbin/inetd↑プロセス番号

3 killコマンドでinetdプロセスにHUPシグナルを送り初期化する% kill -HUP 81↑プロセス番号

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/8351

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.