『インターネット・セキュリティとは何か』① 板倉正俊著

『インターネット・セキュリティとは何か』板倉正俊著

ぼくのまわりでちらほら聞こえてくること・・・量子コンピュータの出現やリーマン予想の証明により、今のセキュリティのシステムだと危険なのではないか。確かに、現代のセキュリティは、とても大きな数の素因数分解やら離散対数問題の解法といったコンピュータにとって困難（かなり時間がかかる）という前提で、暗号化してセキュリティの武器として利用しています。なので、技術や学術が進歩し、コンピュータであっという間に計算できるようになれば、クレジットカードやその他もろもろの暗号はすぐに解読され、安心して生活することすらできなくなるでしょう。技術や学術の進歩は時として、私たちの生活システムの基盤を崩す可能性があるのも否めません。
もしかしたら、近い将来、別のシステムに変える必要が迫られるかもしれません。というか10年以内には、確実に別のシステムに変わると個人的に思っています。なぜなら、技術と学術はものすごい勢いで成長しているからです。

とはいえど、過ぎ去っていく今のセキュリティシステムだから学ぶ必要はない、そんなわけはありません。ということで、この本読んでみました。
セキュリティ関連の本は、昔少し読んだけどもさっぱり理解できなかった思い出があります。知らない用語の羅列・様々な知識（数学・ネットワーク・ハードウェア等）を前提とした説明に投げ出しました。なので簡単そうな本を選んでみました。実際、とても読みやすかったです。おすすめの一冊。



第１章　インターネット・セキュリティの考え方

セキュリティの本質
インターネットセキュリティにおいては、完璧を求めては、お金がいくらあっても足りません。また、そこまで手間をかけていられません。そうして点を勘案して、「何を守らなければならないのか」を考えると効率的だということに気付きます。
つまり、インターネットセキュリティの一つの基本として、守るべきものをよく考えた上でセキュリティ対応の検討に着手するということが挙げられます。
といっても、何が重要で何を守るべきか、ということはなかなかピンとこないと思います。そういうときは、自らが構築したサイトの仕組みや取り扱うデータの種類を正確に洗い出し、それらをインターネットの特性に重ね合わせてみる作業が必要です。
そうして、守るべきものを特定した後にセキュリティを施すのです。


インターネット・セキュリティという分野では一般人には慣れない語句ばかりが登場します。
ですので、ここでは、語句の定義と、その由来・課題・具体例を添えて紹介することにします。


インターネット上の脅威
インターネットセキュリティを達成するということは、以下に挙げる悪党たちから、自分あるいは自社のwebサイトを守り抜くことになります。

インターネット上の脅威について、語句の定義をします。

定義（ハッカー） かつては純粋にコンピュータ技術に魅せられた、高度な知識を身につけているコンピュータ・マニアを意味してた。 現代では、ネットワークに奥深く入り込み悪さをするネットワーク犯罪者のことを指すことが多い。

由来：
米国MIT(マサチューセッツ工科大学)では、正規のプログラムをチューニングするプログラムのことをハック(hacks)と呼び、「ハッカー」はこうした素晴らしいプログラム技術を持つ尊敬するべき人々への敬称でした。

定義（クラッカー） 人のシステムに入り込んで不正を行う人のことを指す。

具体例：
商用のソフトウェアに対し、リバースエンジニアリングを行い、シリアルナンバーを勝手に偽造したり、不正使用排除機能自体を取り去ったりして無料でソフトを使えるようにしてしまう。

定義（ネット詐欺師） インターネットの世界で、人を欺罔して錯誤に陥れ、財産を騙取したり瑕疵ある意思表示を行わせる人を指す。

課題：
クレジットカードの盗難などあるが、インターネット関連の法律が未整備な状況であるため、物理的な世界に比べて、被害者救済や犯人検挙が難しい。

定義（産業スパイ） 企業の機密情報を違法に収集・地用することによって、利益を得ようとする犯罪者。

課題：
1999年にフォーチュン1000社を対象として、機密情報を盗まれたことによるアメリカ企業の損失規模は450億ドル以上にのぼる。それにも関わらず、表面化されないのは、被害に遭った事実を隠蔽したがる傾向にあるからです。そのことが、産業スパイがますます増加する原因にもなっています。

定義（マフィア） 組織的な犯罪を実行する人々のことを指す。

具体例：
ロシア・マフィアによる米Citibank資金横領事件。このマフィアは、Citibankから1040万米ドルを世界中の銀行口座に分散移動させたという事件のことです。

定義（内部犯罪者） 内部犯罪とは、社内・企業内の事情に精通する内部者が悪事を働くこと。その人を指す。

具体例：
FBIとCSIの共同捜査によると、ネット犯罪・不法行為の55%が内部犯罪者だという。

定義（サイバー・ストーカー） 物理的な世界でいわゆる「ストーカー」がやっているのと同じことをネット上で行う人を指す。

原因：
「お互いの姿が見えない」がサイバーストーカーを増加させる可能性がある。

定義（コンピュータ・ウイルス） 人のパソコンに侵入すると同時に悪事をするように作られた小さなプログラムを指す。

感染経路：
主に電子メールからといわれている。外部のプログラムを受け入れる可能性が一番高いのがメールだから。




被害のかたち
インターネットの被害の種類は、以下の9つで大抵のことはカバーされます。ネットの犯罪として問題になっている事件の原因は、以下の９つの類型のどれか一つもしくは複合された状態に分類できます。インターネットセキュリティをまかされた場合は、以下の９つを全てカバーできれば十分です。むしろ、ここで挙げた全てに完璧な対応をすることが、大変なのです。

被害のかたちについて、語句の定義をします。

定義（盗聴） ネット上で行き来するデータの盗み読みを指す。

盲点：
意外と認識されていませんが、暗号化しないかぎりインターネットで送受信するデータはいとも簡単に盗聴されてしまいます。ほとんど全てのメールは他人に読まれているものだと認識すべきです。

定義（改ざん） 行き交うデータの中身を変えてしまう行為を指します。

盲点：
盗聴と同様この改ざんも、データを暗号化せずに裸のまま送った場合にはいとも簡単にやられてしまいます。

定義（なりすまし） 他人の名やメールアドレスをかたってデータを送信したり、ホームページを開くことを指す。

盲点：
赤の他人である犯罪者だけでなく、なりすましは内部でも起こり得ます。

定義（事後否認） 取引後、自らその取引を否認すること。

対策：
本当にその人が注文したかどうかを証明するのは、大変難しい問題でしたが、今では、「認証」を使ってその問題を解決しています。

定義（データ破壊） とにかく他人のデータを壊してしまうこと。

具体例：
コンピュータウイルス。

定義（ホームページの乗っ取り） 管理者用のパスワードを盗み出したりして、他人のホームページに不当なアクセスをすること

具体例：
気象庁のホームページが乗っ取られ、天気情報の変わりに卑猥な画像が掲載されたことがあります。

定義（不正アクセス） 不正アクセスは実際の権限者ではないのにwebサイトに入ってくることを指す。

具体例：
証券会社のサイトで「会費を支払っていただいている会員に限っては、分析情報まで閲覧可能」というサイトに、勝手にパスワードを盗んで、会員専用ページに侵入すること。

定義（スパムメール） 欲しいと思っていない人たちに宛ててメールを発信することを指す。

具体例：
自動発信機能を利用して数百万通といったサイトの処理能力の限界を超えるようなものすごい通数のメールを企業の取引サイトへ送り付け、サイト全体をダウンさせ、営業妨害を行うという事例もアメリカで起きています。
一時期はやった「不幸の手紙（１時間以内に10人以上に送りなさい）」といったチェーンメールもスパムメールの一種。

定義（サイバーテロ） 物理的な世界でのテロをインターネットを用いて実現させることを指す。

具体例：
・強力なコンピュータウイルスの短期間での広範は散布
・インターネット網の基幹部分のハッキングやクラッキング
・公安や国防関連のインターネット施設への不正侵入や破壊行為





インターネット・セキュリティの実現
セキュリティ技術とは、その名の通り、技術によってセキュリティを実現することをいいます。インターネットの世界の特殊性を反映して、インターネット・セキュリティの技術には結構特殊なものがあります。
以下、そのような技術を紹介していきます。

定義（監視） ネットワーク上をどういった信号が行き交うのかをモニタリングすること。

具体例：
・ソフトウェアでの監視
        「危なさそうなパターン」のアタックを発見する、対応は限定的。
・人間による監視（専用のソフトウェアは必要だが）
        熟練したエンジニアになると、行き交う情報を大局的に分析し、経験に基づき危険を察知することができる。

欠点：
どちらにせよ、Webサイトは24時間運用が当たり前で、人員を雇ったり、ホスティングサービスにそのようなオプションをつけるとなると、費用はそうとう高いものになるという覚悟は必要。

定義（ログ取得） ログ取得とは、自分のサイトに出入りした交信の履歴を記録しておくこと。

具体例：
侵入経路や操作の履歴が記録されるため、それを基に不正アクセス者をつきとめることができます。さらに、そのような悪者に対しての、威嚇にもなります。

欠点：
行き交う情報を捉えて後で解析可能な状態にしてディスクに書き込むために
・高いCPU性能が必要
・膨大なディスクの容量も必要
大抵は、どのレベルまでログを取るのかを予め決めておき、そのレベルにあわせてソフトウェアの設定をすることになります。

定義（暗号化） 暗号化は、「鍵」と呼ばれる暗号化のためのタネの数字と、「暗号アルゴリズム」（暗号化ロジック）と呼ばれる計算式を用いて、送信するデータをまったく異なる別のデータに変換すること。

具体例：
・電子メールで目にする「S/MIME」や「SSL」
・ブラウザの「HTTPS」

例題：「公開鍵暗方式」
公開鍵暗号方式とは、暗号化と複合化で鍵が違うということ。
例えば、家のドアの鍵について、「ドアを開ける専用の鍵」と「ドアを閉める専用の鍵」を作るのと原理は一緒です。自分が「ドアを閉める専用の鍵」を持っていて、弟が唯一その「ドアを開ける専用の鍵」を持っていたとします。私は、「ドアを閉める専用の鍵」家を閉じて、数時間後、ドアが空いていることを確認しました。それは、絶対弟の行為だと分かるわけです。
このような原理を数学的技術を使ってコンピュータに実現させたのが公開鍵暗号方式です。

定義（認証） 認証とは、インターネット上で出会った相手が誰かを判別する技術のこと。

具体例：
インターネット上で相手の存在や、身元を確認できる技術が必要となりますが、これが「認証技術」と呼ばれるものです。ただ、認証は画一的な技術ではなく、以下のようにいくつかのレベルに分類されます。
・実在確認（相手が本当にいるかどうかを確認する技術）
・本人確認（交信してきた相手の身元を確認する技術）
・権限確認（交信してきた相手が、どの程度の権限を持っているかを確認する技術）

また、その他にも、送られてきたメッセージが完全かどうかを確認する「メッセージ認証」などもあります。

定義（アクセス・コントロール） アクセス・コントロールとは、自分のサイトにアクセスしてくる人たちに、それぞれ別々の権限を与えること。 必要な人に、必要なところにだけアクセスさせるということ。

具体例：
・会員制のサイト
        会費を払っている人にだけ重要なデータの置かれている領域に入ってもらう仕組みなど

定義（ウイルス・チェック） ウイルス・チェックとは、自分のところのコンピュータが前述のウイルスに感染していないかを検査すること。

例題：（新種のウイルス対策）
新種のウイルスは毎月かなりの数発見されています。当然発見される以前に開発されたウイルス・チェックソフトでは、新しいウイルスは発見できないため、ウイルス・チェック・ソフトは頻繁にアップロードしなければなりません。

例題：（インターネットの場合）
インターネットの場合、「水際」でウイルスを阻止するのが肝要なので、インターネット用に使用しているサーバーにウイルスチェックソフトをインストールしたり、外部から取り込まれるメールやデータを徹底的にチェックする必要があります。

定義（サイバー・パトロール） 警視庁ハイテク犯罪対策総合センターの捜査員が行っているもの。

具体例：
違法サイトなどを縦覧するというもの