いまなら聞ける！

セキュリティ用語で覚える新社会人の「鉄則」

宮田　健
＠IT編集部
2008/4/1

---

　4月、それはフレッシュな新社会人が活動を始める季節です。不安と期待でいっぱいの新社会人がまず覚えなくてはならないこと、それはセキュリティに関する用語の正しい使い方なのではないでしょうか。そこで今回はセキュリティに関するキーワードを基に、新社会人なら知っておきたい鉄則を紹介します。

★　セキュリティ　5つの鉄則　★ 安全・強固なパスワードを使おう 使い終わったらかならずログオフしよう 迷惑メール対策はまずセキュリティアップデートから 「気が付いたら情報漏えいに加担していました」なんて論外 最大のセキュリティホールはあなたかもしれない

　安全・強固なパスワードを使おう

　社会人になって会社で自分の机が与えられると、すぐにPCやメールシステムに自分のIDとパスワードが配られるのではないかと思います。初期パスワードは分かりにくいからすぐに覚えられる自分の誕生日やイニシャル、好きなものの英単語を新しいパスワードにして……ちょっと待ってください。そのパスワードは本当に安全でしょうか？

　パスワードはどのようにして保存されているのでしょうか。通常、パスワードはハッシュ関数を用いて、一意の暗号文字列を作成します。例えばMD5というハッシュ関数を使って、「atmarkit」のハッシュ値を作成すると、「45a6ea6ea4ea0043a56b33d361ea14ac」となります。どんな文字列でも16バイト（128ビット）のハッシュ値を作成できますので、これをパスワードとして保存し、入力された文字列のハッシュ値と比較すればよいのです。

【関連記事】 セキュリティ用語事典［ハッシュ関数］ http://www.atmarkit.co.jp/aig/02security/hashfunction.html セキュリティ用語事典［MD5］ http://www.atmarkit.co.jp/aig/02security/md5.html

　ハッシュ値から元の文字列に変換するのは難しく、事実上不可能といってもよいので、もしハッシュ値が流出しても安全です……といいたいところですが、いくつかの問題があります。

　万が一、あなたが設定したパスワードがごく簡単なもの、例えばユーザー名とパスワードが同じだった場合、これはもうパスワードとはいえません（このようなユーザー名とパスワードが同一のものをJoeパスワードといいます）。また、辞書に載っているようなよくある言葉だった場合、これも辞書を基に総当たり攻撃をかけられると、非常に短時間でパスワードが判別できてしまいます。このように総当たり攻撃でパスワード破りを行うことをブルートフォースアタックといいます。

【関連記事】 セキュリティ用語事典［ブルートフォースアタック］ http://www.atmarkit.co.jp/aig/02security/bruteforceattack.html

　このブルートフォースアタックを前提にすると、パスワードはどのように作ればよいのでしょうか。＠ITの連載「セキュリティ対策の「ある視点」（8）」によれば、約64Gbytesの辞書ファイルがあれば、英数字記号までも含めた14文字までのWindowsパスワードを復元することができるということです。15文字以上のパスワードは格納方式が変わるため、パスワードの強度が上がります。ちょっと長いかもしれませんが15文字以上のパスワードを考えるとよいでしょう。

　「そもそも自分のパスワードがバレたところで影響なんてないよ」などと思わないでください。あなたのアカウントが盗まれるということは、そのアカウントを踏み台として、あなたの企業の情報がすべて筒抜けになってしまう可能性もあるのです。そのためにはまず、あなたのパスワードをもう一度考え直してみるのも立派な仕事なのかもしれません（先輩社員に通用するかは責任を持てませんが）。

　使い終わったらかならずログオフしよう

　先日、友人からこのようなメールが届きました。

「知らない人のページのリンクをクリックしたら、自分のページが表示された！」

　もう少し詳しく説明しますと、SNSサイトでまったく知らない人のページを見ていたら、「いまこの人が気になっています」と書かれたリンクがあり、そこをクリックしたところ、なんと表示されたのが友人のSNSのホームページそのものだったというのです。友人は普段からセキュリティに関しては気を付けており、自分の個人情報もなるべく出さなかったはずなのになぜ？ とメールからもうろたえている様子が手に取るように分かりました。

　勘のいい読者ならばもうお気付きでしょう。その「気になっています」というリンクには、自分のSNSホームページとなるようなURLがリンクされていたのです。例えば代表的なSNSであるmixiですと「こちら」が張られていたリンクとなります。

　さて、いま挙げた「こちら」のリンク、もしかしたらいま読んでいるあなたもmixiの自分のページが表示されてしまわなかったでしょうか。今回は単に自分のページへ飛ぶだけでしたが、もしこれが「勝手に日記を書くためのリンク」や「退会するためのリンク」であったとしたらどうでしょうか。実際にこのような「外部からのリクエスト」を受け付けてしまうがために起きる攻撃をクロスサイトリクエストフォージェリ（以下、CSRF）と呼びます。

図1　クロスサイトリクエストフォージェリ（CSRF）の書き込み

　CSRFはログイン不要、またはログインした情報をCookieに保存しているようなサイトで、一度ログインをするとしばらくの間セッションが有効となるような場合に、外部からの意図しないリクエストが実行できてしまうものです。

【関連記事】 セキュリティ用語事典［クロスサイトリクエストフォージェリ（CSRF）］ http://www.atmarkit.co.jp/aig/02security/csrf.html Security&Trust ウォッチ（33） 「ぼくはまちちゃん」 ――知られざるCSRF攻撃 http://www.atmarkit.co.jp/fsecurity/column/ueno/33.html

　対策としてはWebサイト運営者側にて、外部からでは分からない情報をリクエストに含ませるなど、いくつかの方法が考えられます。このようなことは先のmixiでは対策済みでありますが、上記のように巧みに「リンクを踏ませる」文章を並べることで思わずクリックすることを狙ったものもあります。友人が見たものはあくまで好意的な表現ですが、「この人はひどい」という文言で同じリンクが張られていたとしたらどうでしょうか。

　そして利用者側として対策できること、それはこまめなログオフです。上記のように、サービス内の（つまり、ログオンしていないとそもそも見られない）ページに張られていた場合は避けようがありませんが、クロスサイト、つまり外部に攻撃のリンクが張られていたとしても、こまめにログオフしておけばおかしいことに気が付くはずです。もちろん、Webサイトを作る側の業務に携わる人は、CSRFなどの脆弱性を知ることでこれをきっちりと排除するコーディングを心掛ける必要があります。

【関連記事】 星野君のWebアプリほのぼの改造計画 第4回 まこと先輩と星野君とCSRFの微妙な関係 http://www.atmarkit.co.jp/fsecurity/rensai/hoshino04/hoshino01.html Security&Trust ウォッチ（47） Webアプリケーションを作る前に知るべき10の脆弱性 http://www.atmarkit.co.jp/fsecurity/column/ueno/47.html

1/2

Index
いまなら聞ける！ セキュリティ用語で覚える新社会人の「鉄則」
	Page1 安全・強固なパスワードを使おう 使い終わったらかならずログオフしよう
	Page2 迷惑メール対策はまずセキュリティアップデートから 「気が付いたら情報漏えいに加担していました」なんて論外 最大のセキュリティホールはあなたかもしれない

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）