第1回 USBデバイスはセキュリティにおける悪者じゃない
長谷川 晴彦ペンティオ株式会社
代表取締役
2005/11/15
データの持ち運びが目的のUSBフラッシュメモリ
では各論に入ろう。USBフラッシュメモリは、USBデバイスの中で最もポピュラーだ。量販店などで市販されているUSBデバイスのほとんどがUSBフラッシュメモリである。
USBフラッシュメモリの基本用途は「USBデバイスにデータを入れ手軽に持ち運ぶ」ということ。いわばデータ交換用のメディアの一種だ。例えば、メールアドレスやWebブラウザのお気に入りを記録しておき、それを出張先のオフィスやホテルなどで借りたPCのUSBポートに差し込めば、自分のPCと同じようにメール送信を行ったりWebブラウジングができたりする。
このあたりの用途については読者諸兄も詳しいと思われるので割愛するが、要するにUSBフラッシュメモリに求められる第一の要件はポータビリティだということを頭に入れておこう。
ほかの外部メディアに比べてコンパクトで持ち運びに便利。しかもUSB経由なので汎用性が高い。わざわざPCを持ち運ぶ手間が省けるし、企業や研究機関などPCの持ち込みが制限されている場所にも自分のデータを持ち込むことができる（USBフラッシュメモリの持ち込みが制限されていなければ）。
だが、このポータビリティがUSBフラッシュメモリの弱点であるともいえる。紛失したり、盗まれたりする可能性が高いし、うっかり落として壊してしまい、大切なデータがそっくり失われてしまう危険性もある。
中に入れておいたデータがプライベートなお気に入りリンクぐらいなら問題はないが（もちろん心理的には大ダメージであるが）、仕事で使う大切なデータを大量に保存してあったら大変だ。業務に多大な影響が出るだけでなく、紛失は情報漏えいにつながりかねない。
さらに持ち込まれたUSBフラッシュメモリによって、PC内のデータを外部に持ち出されるという危険性もある。小型で持ち運びやすいUSBデバイスは不正な持ち込みを制限するのが難しい。そこで大学や企業のコールセンターなどでは、PCのUSBポートそのものを使えなくしてセキュリティを図ろうとする動きもある。
たしかにUSBフラッシュメモリはこうした危険性をはらんでいるし、悪用されるケースもあるだろう。だからといって、すべてのUSBデバイスを悪者にして、PCのUSBポートを使えなくしてしまうのは賢明な選択とはいえない。USBデバイスにはUSBフラッシュメモリのほかに、まったく違う機能と可能性を持ったUSBキーやUSBトークンがあり、これらセキュリティを向上させるためのUSBデバイスを活用する機会を自ら捨ててしまうのは本末転倒だといえるからだ。
USBフラッシュメモリのセキュリティ
紛失や盗難による情報漏えいといったリスクを軽減するために、USBフラッシュメモリのセキュリティが強化されている。
その1つが本人判定機能だ。これは、第三者に内部のデータを使用されないように、パスワード入力によって持ち主本人を特定するものなどが代表といえる。パスワードだけでは不安ということであれば、「BUFFALO ClipDrive Finger! RUF2-F」のようなUSBデバイスに指紋リーダを搭載した生体認証機能を持つタイプを考慮に入れてみたい。
2つ目の方法は、内部に保存したデータを暗号化することである。「MySHELTER」「Secret Zip」などUSBフラッシュメモリ内のデータを暗号化するPC用ソフトウェアがバンドルされている製品もある。
これらの暗号化ソフトウェアはデバイス内部のデータをPC側で暗号化して格納する方式を採用している。例えば、「MySHELTER」では特定のUSBフラッシュメモリとPCの組み合わせによって復号できる鍵を生成することで、仮にUSBフラッシュメモリが第三者の手に渡っても、ほかのPCでは復号できないような仕組みになっている。
また、「I･O DATA EasyDisk」シリーズは、「割り符暗号」という仕組みを採用している。割り符暗号とは、1つのデータをジグソーパズルのように細かいピースに分割し、それをPCとUSBフラッシュメモリが分け合って保持し、全部のピースがそろわなければ復号できないという暗号方式だ。この方法も他人のPCでデータを復号されるリスクが大幅に軽減する。
さらに、まったく違うアプローチをするUSBフラッシュメモリも登場している。「SASTIK 0MB II Standard」はフラッシュメモリであるにもかかわらず、デバイス内ストレージの容量はゼロ。これをPCのUSBポートに差し込むとネットワーク上のストレージサーバにアクセスでき、そこにデータをストックする。つまり、USBデバイスそのものは単なる鍵であり、それ自体にはメディア機能はないというわけだ。
この方式のメリットとして「デバイスが壊れても、データそのものは失われない」ということが挙げられる。落としたり、水に濡れたりするだけでなく、USBフラッシュメモリはUSBポートから抜く際にアンマウント操作を行わなければならず、いきなり抜いてしまうとデバイスが故障してデータが失われる可能性がある。だが、データがオンラインストレージに保管されていれば、デバイスが壊れてもデータは保全される。従来のUSBフラッシュメモリとはやや趣が違うが、いわば発展形の1つといえるだろう。
 |
2/3
|
 |
| Index | |
| USBデバイスはセキュリティにおける悪者じゃない | |
| Page1 USBデバイス：3本の進化系統樹 |
|
 |
Page2 データの持ち運びが目的のUSBフラッシュメモリ USBフラッシュメモリのセキュリティ |
| Page3 PCを他人に操作されないようロックするUSBキー ネットワーク環境で真価を発揮するUSBトークン USBデバイスの“収斂（しゅうれん）進化” |
|
 |
USBデバイスとセキュリティ 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
