 |
HTTP暗号化通信のパラドックス
安心が情報漏えいの穴になる不思議
海老澤 仁株式会社バーテックスリンク
2004/12/18
情報漏えい事故が多発している現在、企業では何らかの対策を施す必要があり、さまざまな情報漏えい対策が検討されています。また、2005年4月には個人情報の保護に関する法律（個人情報保護法）が全面施行されることもあり、対策は急務といえます。
今日のネットワーク環境では、ほとんどの企業内ユーザー（社員など）がHTTPS（HTTPのＳＳＬ暗号化通信）を使えるようになりました。ところが、本来セキュリティの強度を上げるために使われているSSL通信のために、機密性が損なわれてしまうというパラドックスが生じています。
この記事では、情報漏えいとHTTPSの矛盾を具体的な事例を参考にしながら検証し、最適なセキュリティを考えてみたいと思います。
 |
HTTPSとは |
HTTPSは一般的なセキュリティ対策として、または便利な通信手段として、一般のユーザーが何の疑いもなく使うことができる一番メジャーなプロトコルです。HTTPSは、米Netscape社（現在はAOL社に吸収）が開発した暗号化機能付きのHTTPプロトコルです。HTTPSは、インターネットのWeb接続において、サーバ‐クライアント間でクレジットカードの情報など秘密性の高い情報を安全に通信できるようにするために開発されました。
HTTPSを利用すれば、インターネット上で通信し合うクライアントとサーバがお互いを認証でき、両者間で暗号化したデータを通信できるようになります。これによって、盗聴やなりすまし、情報の改ざんなどを防げるようになっています。つまり、現在の一般企業での通信環境においては、ユーザーのプライバシーが保護されたまま通信できる、ほとんど唯一といえるインターネットの通信手段になっています。
|
企業のネットワーク管理者の現状 |
今日の企業では、個人情報保護法の施行に向け情報漏えい対策の整備が急務となっています。特に情報漏えい事故・事件が多発している現在、企業は何らかの対策を施す必要に迫られています。
情報漏えいの経路はさまざまですが、その中でもインターネット経由での企業の機密情報や顧客情報の漏えいが危ぐされるポイントとして挙げられています。HTTPSを使い暗号化されたデータによる情報漏えいは、企業のネットワーク管理者には頭の痛い問題になっています。なぜならば、暗号化されたデータの内容をチェックすることは難しく、機密情報が送信されてしまっても気付くことができないのです。
つまり、HTTPS通信は有効なビジネスツールとなっており、一般ユーザーのプライバシーを守るうえでも非常に有効になっている半面、簡単に社内からの情報漏えいが行える大きなセキュリティホールになってもいるのです。ここで問題になるのは、“通信し合うクライアントとサーバがお互いを認証できて、両者の間では暗号化された通信がやりとりできるよう設計されている”HTTPS通信そのものが、セキュリティホールの役目を果たしているということです。
実際にHTTPS通信を使ったトンネリングツールからの情報漏えいや、インターネット上に公開されたHTTPSサイトからの情報漏えい・ウイルス感染などを事例として紹介したいと思います。
|
HTTPSを使ったトンネリングツールの問題 |
代表的なトンネリングツールとして「SoftEther」が挙げられます。SoftEtherは、フリーウェアとして配布されているSSL-VPN構築システムです。SoftEtherを使えば、HTTPSセッションを経由してネットワークトラフィックをトンネリングできます。フリーウェアですから、インストール権限さえあれば悪意のあるユーザーは、クライアントをインストールすることができます。ここではSoftEtherなどのトンネリングツールを悪用した例を紹介します。
| 【SoftEther】 http://www.softether.com/jp/ |
SoftEtherはHTTPSを使用するため、企業内の通常のWebアクセスとしてHTTPSを有効にさえしていれば、正規のWebトラフィックとして認識されます。このため、ネットワーク管理者がトラフィックに制限をかけるために用意したプロキシやファイアウォールといったセキュリティをすり抜けることが可能です。
例えば、ゲートウェイでのセキュリティ対策としてウイルスチェックやURLフィルタリングを行っている場合、企業は有害なサイトやアダルトサイトなどへのアクセスを禁止するためにプロキシを使っていることが一般的です。しかし、SoftEtherを使って暗号化された通信は、これらの対策をすり抜けることが可能です。
また、ゲートウェイのログは、問題発生後の状況確認に利用されたり、証拠として保存されたりします。しかし、HTTPSの通信は暗号化されているために、SoftEtherを使ったユーザーが何をしたのか、ほとんど分からないようになっています。
つまり、「自由に通信を行える＝すり抜けることができる」「ログをチェックしても何をしたのか全く分からない」といった状態になるのです。企業のネットワーク管理者からすれば、HTTPSはセキュリティの面からも情報漏えい対策の面からもセキュリティホールとなり、簡単に情報漏えいができる土壌となり得ます。このため、ある大企業では、SoftEtherの使用を懲戒処分の理由としたケースもありました。
SoftEtherと同様の機能を持ったトンネリングツールは、インターネット上で数多く提供されており、今後もHTTPSのセキュリティホール化は増加の一途をたどっていくと予想されます。
1/2 |
|
| Index | |
| 安心が情報漏えいの穴になる不思議 | |
 |
Page1 HTTPSとは 企業のネットワーク管理者の現状 HTTPSを使ったトンネリングツールの問題 |
| Page2 HTTPSサイトの問題 限界が見える現状の技術的な対処方法 決め手はHTTPSのコンテンツフィルター |
|
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
