6. セキュリティについて

6-1. セキュリティの必要性

何を守るべきか (1)

データの保護• 改竄されないように . 他人に見られないよう

に . 計算機資源、ネットワーク資源

• 快適につかえるように . 悪用防止 ( 目的外利用の禁止 )

• 他人へ迷惑をかけないように .• 自分が悪さをしない .( 言うまでもない )

何を守るべきか (2)ー データの保護 ー

金銭情報、プライバシー、命にかかわる情報 → 社会的責任の問題

大学の場合• 研究アイディア• 試験問題、成績• 人事、入札

→ 対策を怠ると「信頼の失墜」につながる

何を守るべきか (3)ー 計算機資源、ネットワーク資源 ー

計算機資源、ネットワーク資源の安定した利用

→ 使えなくなると「業務の停止」につながる

何を守るべきか (4)ー 悪用防止 ー

平成 12 年 不正アクセス禁止法 施行• 自ら不正していなくても 第三者に不正利用 さ

れれば、 管理不足 を理由に損害賠償に及ぶ恐れ .

• ( 自らの不正は論外 .)

平成 14 年 プロバイダ責任法 施行• 一定の条件のもと、プロバイダは免責 → ユーザに責任を問われるように• 大学の場合は？

6-2. インターネットのセキュリティ 人的側面ｰ ｰ

どのようにして狙われるか(1)

電話でのなりすまし 建物への侵入

→ 最近は無線 LAN

ネットワーク越しの侵入 通信内容の傍受 , データの改竄 ウィルス

どのようにして狙われるか(2)

パスワードクラック ｰ ｰ

一般ユーザ権限で侵入し、 root の奪取 Brute Force( 総当たり ) 攻撃 スニッファ ( 盗聴 )

• 出張先からアクセスした時、端末に仕掛けがしてありパスワードが盗まれた

• ノート PC を持ち込んでつなぎ、盗聴

[Brute Force( 総当たり ) 攻撃に関して ]

アルファベット ( 大文字小文字 ) と数字によるランダムな 8 文字の組み合わせ

628 ← 15 桁

The Oxford English Dictionary

59 万語 ← 6 桁

( しかし現在の計算機の性能だと 8 文字でもまだ不十分 )

防衛 (1) パスワード管理 ｰ ｰ

定期的に変更 悪い例

• アカウントと同じ•誕生日や電話番号•英単語• (空パスワードは論外 )

良い例• 他人が見たら無意味で、自分だけが絶対忘れな

い

MrZfCcM0a5d2r7

比較的良い例

あかね → Madder(初恋の人 )

Morozoff Cheese Cake

0527( 出会った日)

防衛 (2) ウィルス対策 ｰ ｰ

メールの添付ファイルの形でやってくることが多い

最近は知らぬ間にインストールされているWeb サーバ (IIS) も攻撃の的

ファイル共有にも注意 Web ブラウザの設定もやり直す方が良

い

『ウィルス対策ソフト』の活用！！

防衛 (3) 管理ｰ (主に PC-Unix) ｰ

いらないサービスは切っておく ( 適切な制限 )

ログの解析

防衛 (4) データの防衛 ｰ ｰ

ファイルのアクセス権を適切に設定• Unixのアクセス権•Windowsのファイル共有、アクセス権

ネット上のトラブル

公衆の面前での誹謗中傷は名誉毀損になる(実社会と同様にネット上でも )

サイバースペースって言えども仮想空間ではない

簡単に手に入る”マスメディア”のようなもの

インターネットのエチケット(1)

異機種で構成されている ｰ ｰ 使ってはいけない記号がある

•半角カナ ( や ｱｲｳｴｵ ｢｣･､｡ )• 機種依存文字 ( ㍑ ㎡ ⅠⅡⅢ① ② ③ ) •絵文字 (i-mode 、 j-sky)

c.f. http://www.s-ichi.com/semi/bght/cara.htm http://wwwsoc.nii.ac.jp/csj/learned-society/check/jisx0208.html

インターネットのエチケット(2)

メールのエチケット ｰ ｰ

チェーンメールを受け取っても転送しない .

著作権にも注意

ウィルスを送ってしまわないように対策

不正アクセスの禁止

他人のアカウントの使用 セキュリティホールを攻撃する行為

ツールを試してみるのももちろんダメ •例 :ポートスキャンツール等 → アタックの準備の第一歩と見られる

最後に

(技術上のセキュリティホールも問題だがむしろ ) セキュリティ意識の方が問題になり易い

実社会のモラルは当然インターネット上でもあてはまる

インターネットの方が無意識のうちにモラル違反を起こしやすい

6-3. インターネットのセキュリティ 技術的側面ｰ ｰ

どのようなサービスが狙われるか

セキュリティホールの見つかってるものが狙われるケースが多い•メールクライアント (Outlook, 他 )•Web ブラウザ (IE, 他 )•Web サーバ (特に IIS. Apache も .)

どのようにして狙われるか

ポートスキャン バッファオーバーフロー DoS(ping of Death 等 ) ウィルス → DDoS Windows 系サービス ( ファイル共有 )

ポートスキャン

攻撃者 被害者

攻撃の準備 ( 情報集め )

Web はサービスしてるかな ?

メールはサービスしてるかな ?

! ツールを使ってサービスを総なめ

210.72.??.??? - - [28/Aug/2001:01:21:23 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%

u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078

%u0000%u00=a HTTP/1.0" 404 289

210.92.???.??? - - [28/Aug/2001:01:48:24 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3

%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u007

8%u0000%u00=a HTTP/1.0" 404 289

バッファオーバーフロー攻撃の例

DoS 攻撃

攻撃者 被害者

DoS=Denial of Service

小さなパケット

DDoS 攻撃

攻撃者 被害者

IIS の既知の脆弱性

Outlook の既知の脆弱性IIS

Outlook

ファイル共有

ある日突然一斉攻撃

DDoS=Distributed DoS

ウィルス繁殖の１パターン

メールのセキュリティ (1)

ウィルス (開かなければただの ASCII)

勝手に開いてくれるソフトの存在 「小さな親切、大きなお世話！」

•Outlook 等のソフトの穴が狙い•マクロウィルス

メールのセキュリティ (2)

通信の非秘匿性 (誰でも簡単に盗聴可 )

送信時は認証無し (詐称の危険 )

受信時の認証パスワードの扱い→公衆回線では暗号化しないとサーバ乗っ

取りにつながる危険性

Webのセキュリティ( クライアント )

アクセス制御 ( ユーザ認証 )

送信データは盗聴の危険性 (重要なものは SSL を利用 )

Cookieや JAVA はセキュリティの観点から言うと切った方が本当は better

アクセス制御 ( ユーザ認証 )

通信状態の確認 (SSL になってるかどうか )

Netscape6 の場合

plain

ssl

Netscape4 の場合 (1)

plain

ssl

Netscape4 の場合 (2)

plain

ssl

IE の場合

plain

ssl

セキュリティの設定 (例 :Netscape4)

システムのセキュリティ(Windows)

不要なサービスは停止• OSによってはWeb サーバ (IIS) がはじめ

から起動されるようになっている→格好の攻撃の的

共有に注意• システムディレクトリ (C:\Windows 等 ) は

外からアクセスできないようにする

ファイアウォールによるセキュリティ (1)

ファイアウォールの手法• NAT(IPマスカレード ,NAPT,PAT)• DMZ

Firewall

Internet(WAN)

内部ネットワーク (LAN)

NAT

202.xx.yy.a 202.xx.yy.b

172.16.zz.s 172.16.zz.t172.16.zz.u

×

senri saho一般 PC

Firewall

Internet(WAN)

緩衝セグメント (DMZ)

内部ネットワーク (LAN)

DMZ

公開サーバ類

ファイアウォールによるセキュリティ (2)

ファイアウォールでまもれないもの•Virus (Proxy 型だと一部可能 )• アプリケーションの脆弱点•DoS(回線占有 ), Buffer Overflowは一部OK•有害コンテンツ• 人間の意識のレベル

RCNP の外部から使用できるサービスについて

Firewall

Internet(WAN)

緩衝セグメント (DMZ)

内部ネットワーク (LAN)

公開サーバ類

ウェブ公開 (ウェブサーバ、 Kakudan)

SMTP( メールサーバ )

SSH(senri, saho

および mail-in のみ )

RCNP の内部から使用できるサービスについて

Firewall

Internet(WAN)

緩衝セグメント (DMZ)

内部ネットワーク (LAN)

公開サーバ類

SSH, telnet, FTP,

メール送受信 ( 経由ｻｰﾊﾞ )

News( 経由ｻｰﾊﾞ )

X( 申請ﾍﾞｰｽ )

ウェブ閲覧 ( 経由ﾌﾟﾛｷｼ )

情報の収集元

JPCERT/CC IPA セキュリティセンター bugtraq-jp

Virus対策ソフトベンダー (Symantec, Trend Micro 等 )

6-4. インターネットのセキュリティ 理論的裏付けｰ ｰ

一方向ハッシュ関数

= メッセージダイジェスト 任意のデータから , そのデータ固有の短い情報 (ハッシュ値 ) を与える関数 .

メッセージ

一方向ハッシュ関数の利用

メッセージ

送信

ハッシュ値 ハッシュ値

一方向ハッシュ関数 一方向ハッシュ関数

両者を比較

平文

公開鍵方式 (RSA)による暗号化

暗号文暗号化

平文

復号化

暗号文通信

送信者 受信者

暗号化と復号化に異なる鍵を使用

受信者の秘密鍵

受信者の公開鍵

受信者の公開鍵

使用 使用

暗号通信プログラムの実際sshのセッション

(1) Host-To-Host Authentication ( リモートホストの公開鍵を利用 ) (2) Encryption ( ローカルホストで共通鍵作成 ) (3) USER Authentication ( パスワード認証 or RSA ユーザ認証 )

(1) では公開鍵暗号方式 , (2)以降は共通鍵暗号方式

ssh の鍵交換

ssh の鍵交換