現在地 HOME > 掲示板
> 昼休み4 > 469.html
★阿修羅♪
|
現在地 HOME > 掲示板
> 昼休み4 > 469.html
★阿修羅♪
|
|
| Tweet |
HTTP暗号化通信のパラドックス 安心が情報漏えいの穴になる不思議【＠ＩＴ】
http://www.atmarkit.co.jp/fsecurity/special/52ssl/ssl.html
海老澤 仁
株式会社バーテックスリンク
2004/12/18
情報漏えい事故が多発している現在、企業では何らかの対策を施す必要があり、さまざまな情報漏えい対策が検討されています。また、2005年4月には個人情報の保護に関する法律（個人情報保護法）が全面施行されることもあり、対策は急務といえます。
今日のネットワーク環境では、ほとんどの企業内ユーザー（社員など）がHTTPS（HTTPのＳＳＬ暗号化通信）を使えるようになりました。ところが、本来セキュリティの強度を上げるために使われているSSL通信のために、機密性が損なわれてしまうというパラドックスが生じています。
この記事では、情報漏えいとHTTPSの矛盾を具体的な事例を参考にしながら検証し、最適なセキュリティを考えてみたいと思います。
HTTPSとは
HTTPSは一般的なセキュリティ対策として、または便利な通信手段として、一般のユーザーが何の疑いもなく使うことができる一番メジャーなプロトコルです。HTTPSは、米Netscape社（現在はAOL社に吸収）が開発した暗号化機能付きのHTTPプロトコルです。HTTPSは、インターネットのWeb接続において、サーバ‐クライアント間でクレジットカードの情報など秘密性の高い情報を安全に通信できるようにするために開発されました。
HTTPSを利用すれば、インターネット上で通信し合うクライアントとサーバがお互いを認証でき、両者間で暗号化したデータを通信できるようになります。これによって、盗聴やなりすまし、情報の改ざんなどを防げるようになっています。つまり、現在の一般企業での通信環境においては、ユーザーのプライバシーが保護されたまま通信できる、ほとんど唯一といえるインターネットの通信手段になっています。
企業のネットワーク管理者の現状
今日の企業では、個人情報保護法の施行に向け情報漏えい対策の整備が急務となっています。特に情報漏えい事故・事件が多発している現在、企業は何らかの対策を施す必要に迫られています。
情報漏えいの経路はさまざまですが、その中でもインターネット経由での企業の機密情報や顧客情報の漏えいが危ぐされるポイントとして挙げられています。 HTTPSを使い暗号化されたデータによる情報漏えいは、企業のネットワーク管理者には頭の痛い問題になっています。なぜならば、暗号化されたデータの内容をチェックすることは難しく、機密情報が送信されてしまっても気付くことができないのです。
つまり、HTTPS通信は有効なビジネスツールとなっており、一般ユーザーのプライバシーを守るうえでも非常に有効になっている半面、簡単に社内からの情報漏えいが行える大きなセキュリティホールになってもいるのです。ここで問題になるのは、“通信し合うクライアントとサーバがお互いを認証できて、両者の間では暗号化された通信がやりとりできるよう設計されている”HTTPS通信そのものが、セキュリティホールの役目を果たしているということです。
実際にHTTPS通信を使ったトンネリングツールからの情報漏えいや、インターネット上に公開されたHTTPSサイトからの情報漏えい・ウイルス感染などを事例として紹介したいと思います。
HTTPSを使ったトンネリングツールの問題
代表的なトンネリングツールとして「SoftEther」が挙げられます。SoftEtherは、フリーウェアとして配布されているSSL-VPN構築システムです。SoftEtherを使えば、HTTPSセッションを経由してネットワークトラフィックをトンネリングできます。フリーウェアですから、インストール権限さえあれば悪意のあるユーザーは、クライアントをインストールすることができます。ここではSoftEtherなどのトンネリングツールを悪用した例を紹介します。
【SoftEther】
http://www.softether.com/jp/
SoftEtherはHTTPSを使用するため、企業内の通常のWebアクセスとしてHTTPSを有効にさえしていれば、正規のWebトラフィックとして認識されます。このため、ネットワーク管理者がトラフィックに制限をかけるために用意したプロキシやファイアウォールといったセキュリティをすり抜けることが可能です。
例えば、ゲートウェイでのセキュリティ対策としてウイルスチェックやURLフィルタリングを行っている場合、企業は有害なサイトやアダルトサイトなどへのアクセスを禁止するためにプロキシを使っていることが一般的です。しかし、SoftEtherを使って暗号化された通信は、これらの対策をすり抜けることが可能です。
また、ゲートウェイのログは、問題発生後の状況確認に利用されたり、証拠として保存されたりします。しかし、HTTPSの通信は暗号化されているために、SoftEtherを使ったユーザーが何をしたのか、ほとんど分からないようになっています。
つまり、「自由に通信を行える＝すり抜けることができる」「ログをチェックしても何をしたのか全く分からない」といった状態になるのです。企業のネットワーク管理者からすれば、HTTPSはセキュリティの面からも情報漏えい対策の面からもセキュリティホールとなり、簡単に情報漏えいができる土壌となり得ます。このため、ある大企業では、SoftEtherの使用を懲戒処分の理由としたケースもありました。
SoftEtherと同様の機能を持ったトンネリングツールは、インターネット上で数多く提供されており、今後もHTTPSのセキュリティホール化は増加の一途をたどっていくと予想されます。
1/2
安心が情報漏えいの穴になる不思議 海老澤 仁
http://www.atmarkit.co.jp/fsecurity/special/52ssl/ssl02.html
株式会社バーテックスリンク
2004/12/18
HTTPSサイトの問題
代表的なHTTPSサイトの問題として、「宅ふぁいる便」を悪用した例を説明します。宅ふぁいる便そのものは非常に便利な正規のサービスですので、誤解しないようにしてください。
【宅ふぁいる便】
http://www.filesend.to/
宅ふぁいる便では、まず送り先相手のメールアドレスを記入し、送りたいファイルを添付（HTTPSサイトにファイルをアップロード）します。すると、相手のメールアドレスにファイルが送られたことが通知されます。その通知メールには、添付されたファイルをダウンロードするための専用URLがリンクとして記載されています。受取人はそのURLへアクセスして、ファイルのダウンロードを行います。
さて、一般企業にいるごく普通のユーザーの視点に立ってみましょう。企業同士の取引で発生するやりとりの場合、提案書や見積もりなどのファイルを会社から与えられたメールに添付して送っています。しかし、添付ファイルのサイズが大きいと、メールサーバの設定によりメールでの送受信ができないケースがあります。
そういった場合の代替策として、宅ふぁいる便のようなHTTPSサイトを使用するケースが増えています。しかし、このサービスを悪用することで、前述のトンネリングツール同様に、機密情報に分類されるファイルを社外に簡単に持ち出すことができてしまいます。
限界が見える現状の技術的な対処方法
メールを使った情報漏えいに対しては、メールフィルターの導入で機密情報ファイルの流出を防止することが可能です。宅ふぁいる便のようなサービスについては、URLフィルターを導入して当該サイトへのアクセスを禁止することで情報漏えいを防ぐことができます。
しかし、メールフィルターやURLフィルターを導入した環境下でもHTTPS通信を使ってファイルを持ち出すことができます。URLフィルターなどの製品はデータベースに登録されていないサイト、例えば自宅に立てたHTTPSサーバや海外にある無名なHTTPSサイトなどへのアクセスが簡単にできてしまいます。アクセスさえできれば、あとは企業内からファイルを簡単に持ち出すことができるということです。
最近では、HTTPでPOSTを禁止する（＝ファイル持ち出し不可にする）という対策を取っている企業も多いようです。残念ながら、HTTPS通信ではPOSTの禁止は適用されないため、機密情報ファイルを簡単に持ち出すことができます。
あるいは、HTTPSプロトコルをポートごと閉じてしまう対策方法もあります。ただし、ブラウジングできるサイトのうち、数〜数十パーセントがHTTPS サイトとなっている現状を考慮すると、HTTPSを止めてしまうのは、通常のブラウジングであれば行けるはずのサイトにすら行けなくなり、Webサイトでの情報のやりとりが全くできなくなるという不都合を招くことになります。ネットワーク管理者への風当たりが厳しくなることは当然ながら、利便性を著しく損なうセキュリティ対策となるため、得策でないことは明白です。
決め手はHTTPSのコンテンツフィルター
HTTPS通信による情報漏えい対策については、メールフィルターとURLフィルターに加えて、HTTPSに対応したコンテンツフィルターを導入することで問題を解決できます。HTTPSに対応したコンテンツフィルターでは、暗号化されたコンテンツを平文に戻し、中身をチェックします。
まず、メールフィルター（メールフィルターはコンテンツフィルター機能を持っています）を使用して、持ち出してはいけない機密情報ファイルを止めるという規制を行います。次に、URLフィルターを導入し基本的なアクセスに関する許可や不許可を一般ユーザーへ適用します。
そして、コンテンツフィルターを導入し、HTTP経由で持ち出されるファイルの検査やログの取得を行い、持ち出してはいけないファイルだけ（例えば個人情報）をブロックします。また、HTTPSサイトへのアクセスもURLフィルターとコンテンツフィルターを組み合わせることで対応します。
なお、HTTPSのログを全部取得することは、暗号化されて流れているコンテンツの中にクレジットカード情報などのプライバシー情報が多いため問題となり得ます。このためセキュリティインシデントのみのログを取ることが推奨されます。
以上、情報漏えいとHTTPS通信の矛盾がご理解いただけたでしょうか。企業のセキュリティとHTTPSの機密性・利便性が両立しなくなっている現状は明らかでもあり、ネットワーク管理者の方々の奮闘が無駄にならないよう、情報漏えい対策の1つとして参考になればと思います。
2/2
題名には必ず「阿修羅さんへ」と記述してください。