HTTP暗号化通信のパラドックス

安心が情報漏えいの穴になる不思議

海老澤 仁
株式会社バーテックスリンク

2004/12/18



 情報漏えい事故が多発している現在、企業では何らかの対策を施す必要があり、さまざまな情報漏えい対策が検討されています。また、2005年4月には個人情報の保護に関する法律(個人情報保護法)が全面施行されることもあり、対策は急務といえます。

 今日のネットワーク環境では、ほとんどの企業内ユーザー(社員など)がHTTPS(HTTPのSSL暗号化通信)を使えるようになりました。ところが、本来セキュリティの強度を上げるために使われているSSL通信のために、機密性が損なわれてしまうというパラドックスが生じています。

 この記事では、情報漏えいとHTTPSの矛盾を具体的な事例を参考にしながら検証し、最適なセキュリティを考えてみたいと思います。

 HTTPSとは

 HTTPSは一般的なセキュリティ対策として、または便利な通信手段として、一般のユーザーが何の疑いもなく使うことができる一番メジャーなプロトコルです。HTTPSは、米Netscape社(現在はAOL社に吸収)が開発した暗号化機能付きのHTTPプロトコルです。HTTPSは、インターネットのWeb接続において、サーバ‐クライアント間でクレジットカードの情報など秘密性の高い情報を安全に通信できるようにするために開発されました。

 HTTPSを利用すれば、インターネット上で通信し合うクライアントとサーバがお互いを認証でき、両者間で暗号化したデータを通信できるようになります。これによって、盗聴やなりすまし、情報の改ざんなどを防げるようになっています。つまり、現在の一般企業での通信環境においては、ユーザーのプライバシーが保護されたまま通信できる、ほとんど唯一といえるインターネットの通信手段になっています。

 企業のネットワーク管理者の現状

 今日の企業では、個人情報保護法の施行に向け情報漏えい対策の整備が急務となっています。特に情報漏えい事故・事件が多発している現在、企業は何らかの対策を施す必要に迫られています。

 情報漏えいの経路はさまざまですが、その中でもインターネット経由での企業の機密情報や顧客情報の漏えいが危ぐされるポイントとして挙げられています。HTTPSを使い暗号化されたデータによる情報漏えいは、企業のネットワーク管理者には頭の痛い問題になっています。なぜならば、暗号化されたデータの内容をチェックすることは難しく、機密情報が送信されてしまっても気付くことができないのです。

 つまり、HTTPS通信は有効なビジネスツールとなっており、一般ユーザーのプライバシーを守るうえでも非常に有効になっている半面、簡単に社内からの情報漏えいが行える大きなセキュリティホールになってもいるのです。ここで問題になるのは、“通信し合うクライアントとサーバがお互いを認証できて、両者の間では暗号化された通信がやりとりできるよう設計されている”HTTPS通信そのものが、セキュリティホールの役目を果たしているということです。

 実際にHTTPS通信を使ったトンネリングツールからの情報漏えいや、インターネット上に公開されたHTTPSサイトからの情報漏えい・ウイルス感染などを事例として紹介したいと思います。

 HTTPSを使ったトンネリングツールの問題

 代表的なトンネリングツールとして「SoftEther」が挙げられます。SoftEtherは、フリーウェアとして配布されているSSL-VPN構築システムです。SoftEtherを使えば、HTTPSセッションを経由してネットワークトラフィックをトンネリングできます。フリーウェアですから、インストール権限さえあれば悪意のあるユーザーは、クライアントをインストールすることができます。ここではSoftEtherなどのトンネリングツールを悪用した例を紹介します。

SoftEther
http://www.softether.com/jp/

 SoftEtherはHTTPSを使用するため、企業内の通常のWebアクセスとしてHTTPSを有効にさえしていれば、正規のWebトラフィックとして認識されます。このため、ネットワーク管理者がトラフィックに制限をかけるために用意したプロキシファイアウォールといったセキュリティをすり抜けることが可能です。

 例えば、ゲートウェイでのセキュリティ対策としてウイルスチェックやURLフィルタリングを行っている場合、企業は有害なサイトやアダルトサイトなどへのアクセスを禁止するためにプロキシを使っていることが一般的です。しかし、SoftEtherを使って暗号化された通信は、これらの対策をすり抜けることが可能です。

 また、ゲートウェイのログは、問題発生後の状況確認に利用されたり、証拠として保存されたりします。しかし、HTTPSの通信は暗号化されているために、SoftEtherを使ったユーザーが何をしたのか、ほとんど分からないようになっています。

 つまり、「自由に通信を行える=すり抜けることができる」「ログをチェックしても何をしたのか全く分からない」といった状態になるのです。企業のネットワーク管理者からすれば、HTTPSはセキュリティの面からも情報漏えい対策の面からもセキュリティホールとなり、簡単に情報漏えいができる土壌となり得ます。このため、ある大企業では、SoftEtherの使用を懲戒処分の理由としたケースもありました。

 SoftEtherと同様の機能を持ったトンネリングツールは、インターネット上で数多く提供されており、今後もHTTPSのセキュリティホール化は増加の一途をたどっていくと予想されます。

 
1/2


Index
安心が情報漏えいの穴になる不思議
Page1
HTTPSとは
企業のネットワーク管理者の現状
HTTPSを使ったトンネリングツールの問題
  Page2
HTTPSサイトの問題
限界が見える現状の技術的な対処方法
決め手はHTTPSのコンテンツフィルター

Security&Trust記事一覧

@IT Special

- PR -

TechTargetジャパン

Security&Trust フォーラム 新着記事
  • 「セキュリティリサーチャー」って何をする人? (2017/5/26)
     ネットにはさまざまな脅威や脆弱性の情報もあふれている。そんな情報過多な状況から、有用な情報だけを選別し、正しく共有していくこともまた必要だ。WannaCry騒ぎ、Apache Struts 2脆弱性……そのとき「彼ら」は何をしていたのか
  • マルウェアを防ぐには出入口対策から――複数のセキュリティ技術で多層防御する (2017/5/24)
    人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃(APT:Advanced Persistent Threat)対策の観点から考える。
  • セキュリティ対策でモノを言うのは「スピード」、20秒以内で検知可能なローソン (2017/5/16)
    「脅威の侵入を100%防ぐのは不可能」という前提に立った新たなセキュリティ対策を模索してきたローソン。脅威の検知と一次対応を速やかに実行し、迅速なインシデントレスポンスを支援するツールを導入した結果、20秒以内に社員が利用する約7000台のPCから感染端末を検索する体制を立ち上げた。
  • 無線LANのただ乗りに「無罪判決」の驚き (2017/5/11)
    2017年4月、セキュリティクラスタが注目したのは先月に続いて「Apache Struts 2」の脆弱(ぜいじゃく)性。対応がよろしくない組織が目立ったためです。無線LANのただ乗りに対して「無罪判決」が出たことにも、話題が集まりました。
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

もっと見る

ホワイトペーパーTechTargetジャパン

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH