HTTP暗号化通信のパラドックス

安心が情報漏えいの穴になる不思議

海老澤 仁
株式会社バーテックスリンク
2004/12/18

---

　情報漏えい事故が多発している現在、企業では何らかの対策を施す必要があり、さまざまな情報漏えい対策が検討されています。また、2005年4月には個人情報の保護に関する法律（個人情報保護法）が全面施行されることもあり、対策は急務といえます。

　今日のネットワーク環境では、ほとんどの企業内ユーザー（社員など）がHTTPS（HTTPのＳＳＬ暗号化通信）を使えるようになりました。ところが、本来セキュリティの強度を上げるために使われているSSL通信のために、機密性が損なわれてしまうというパラドックスが生じています。

　この記事では、情報漏えいとHTTPSの矛盾を具体的な事例を参考にしながら検証し、最適なセキュリティを考えてみたいと思います。

HTTPSとは

　HTTPSは一般的なセキュリティ対策として、または便利な通信手段として、一般のユーザーが何の疑いもなく使うことができる一番メジャーなプロトコルです。HTTPSは、米Netscape社（現在はAOL社に吸収）が開発した暗号化機能付きのHTTPプロトコルです。HTTPSは、インターネットのWeb接続において、サーバ‐クライアント間でクレジットカードの情報など秘密性の高い情報を安全に通信できるようにするために開発されました。

　HTTPSを利用すれば、インターネット上で通信し合うクライアントとサーバがお互いを認証でき、両者間で暗号化したデータを通信できるようになります。これによって、盗聴やなりすまし、情報の改ざんなどを防げるようになっています。つまり、現在の一般企業での通信環境においては、ユーザーのプライバシーが保護されたまま通信できる、ほとんど唯一といえるインターネットの通信手段になっています。

企業のネットワーク管理者の現状

　今日の企業では、個人情報保護法の施行に向け情報漏えい対策の整備が急務となっています。特に情報漏えい事故・事件が多発している現在、企業は何らかの対策を施す必要に迫られています。

　情報漏えいの経路はさまざまですが、その中でもインターネット経由での企業の機密情報や顧客情報の漏えいが危ぐされるポイントとして挙げられています。HTTPSを使い暗号化されたデータによる情報漏えいは、企業のネットワーク管理者には頭の痛い問題になっています。なぜならば、暗号化されたデータの内容をチェックすることは難しく、機密情報が送信されてしまっても気付くことができないのです。

　つまり、HTTPS通信は有効なビジネスツールとなっており、一般ユーザーのプライバシーを守るうえでも非常に有効になっている半面、簡単に社内からの情報漏えいが行える大きなセキュリティホールになってもいるのです。ここで問題になるのは、“通信し合うクライアントとサーバがお互いを認証できて、両者の間では暗号化された通信がやりとりできるよう設計されている”HTTPS通信そのものが、セキュリティホールの役目を果たしているということです。

　実際にHTTPS通信を使ったトンネリングツールからの情報漏えいや、インターネット上に公開されたHTTPSサイトからの情報漏えい・ウイルス感染などを事例として紹介したいと思います。

HTTPSを使ったトンネリングツールの問題

　代表的なトンネリングツールとして「SoftEther」が挙げられます。SoftEtherは、フリーウェアとして配布されているSSL-VPN構築システムです。SoftEtherを使えば、HTTPSセッションを経由してネットワークトラフィックをトンネリングできます。フリーウェアですから、インストール権限さえあれば悪意のあるユーザーは、クライアントをインストールすることができます。ここではSoftEtherなどのトンネリングツールを悪用した例を紹介します。

【SoftEther】 http://www.softether.com/jp/

　SoftEtherはHTTPSを使用するため、企業内の通常のWebアクセスとしてHTTPSを有効にさえしていれば、正規のWebトラフィックとして認識されます。このため、ネットワーク管理者がトラフィックに制限をかけるために用意したプロキシやファイアウォールといったセキュリティをすり抜けることが可能です。

　例えば、ゲートウェイでのセキュリティ対策としてウイルスチェックやURLフィルタリングを行っている場合、企業は有害なサイトやアダルトサイトなどへのアクセスを禁止するためにプロキシを使っていることが一般的です。しかし、SoftEtherを使って暗号化された通信は、これらの対策をすり抜けることが可能です。

　また、ゲートウェイのログは、問題発生後の状況確認に利用されたり、証拠として保存されたりします。しかし、HTTPSの通信は暗号化されているために、SoftEtherを使ったユーザーが何をしたのか、ほとんど分からないようになっています。

　つまり、「自由に通信を行える＝すり抜けることができる」「ログをチェックしても何をしたのか全く分からない」といった状態になるのです。企業のネットワーク管理者からすれば、HTTPSはセキュリティの面からも情報漏えい対策の面からもセキュリティホールとなり、簡単に情報漏えいができる土壌となり得ます。このため、ある大企業では、SoftEtherの使用を懲戒処分の理由としたケースもありました。

　SoftEtherと同様の機能を持ったトンネリングツールは、インターネット上で数多く提供されており、今後もHTTPSのセキュリティホール化は増加の一途をたどっていくと予想されます。

1/2

Index
安心が情報漏えいの穴になる不思議
	Page1 HTTPSとは 企業のネットワーク管理者の現状 HTTPSを使ったトンネリングツールの問題
	Page2 HTTPSサイトの問題 限界が見える現状の技術的な対処方法 決め手はHTTPSのコンテンツフィルター

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）