第115話 経営情報システム⑭ セキュリティ
ここではセキュリティ対策について触れることにします。セキュリティとか言うとウィルスとかを連想しますが、それだけではありません。代表的なセキュリティには暗号化、認証、アクセスコントロールがあり、これらをバランスよく組み合わせて適切な対策を講じる必要があります。
ISOでは情報セキュリティについて、「情報の機密性、完全性および可用性を維持すること」と定義している。この３つを合わせて情報セキュリティの３要素（CIA)と呼ぶ。
１．暗号化
暗号化技術は、古代ローマ時代からうんぬん、とかってテキストには書いてある。その昔にはシーザー暗号と呼ばれる暗号があって、・・・。
はいはい。分かりましたよ。そもそも暗号というのは誰かが定めたルールに従って記述されたものであるから、そのルールが解読できれば暗号は解読できるんですよ。暗号化の手順や規則をアルゴリズムといい、各アルゴリズムにおいて用いる具体的な情報を鍵（キー）という。
カンタンなシーザー暗号で確認する。
これはシーザー暗号だ。解読せよ。
→ W R N B R
実はこれと全く同じ問題が、前年７月に受験した某資格試験予備校の模試で出題された。
前述のシーザー暗号であれば、アルゴリズムは「アルファベットを数文字ずらす」であり、鍵は「３つ」ということになる。すなわち、「アルファベットを３文字ずらす」という暗号処理を行えばこの暗号は解読できる。
暗号化方式は大きく次の２つに分類される。
１）共通鍵暗号方式（秘密鍵暗号方式/慣用暗号方式）
暗号化/復号に同一の鍵を用いる暗号方式の総称である。
暗号化する鍵と、その復号に使う鍵が同一ということ。鍵といっても、その鍵はアルゴリズムとキーを表します。念のため。
●共通鍵暗号方式 → 暗号も復号も同じ鍵を用いる
①DES
IBM社が開発した。現在では十分な暗号強度が確保出来ないため、トリプルDESなども利用されている。
②FEAL
NTTが開発した。DESよりも高速に暗号化・復号化できるのが特徴。
③AES
アメリカ政府が開発。DESに代わる共通鍵方式の標準規格として開発された。2001年に「Rijndael（ラインダール）」という暗号化方式が選ばれた（ようだ）。
２）公開鍵暗号方式
データを暗号文に変換するときに用いる暗号鍵と、その暗号文を元のデータに復元するときに用いる復号鍵が異なる点が最大の特徴。
①RSA
公開鍵暗号のアルゴリズム。暗号の解読のしにくさは、大きな数の素因数分解の難しさに依存している。公開鍵暗号の事実上の標準となっている。
●公開鍵暗号方式 → 暗号化と復号化は異なる鍵を使う
送り手（発信者側）は、受信者側（受け手）が公開している鍵を用いて暗号化する。 その暗号を、受信者側（受け手）は、自分の秘密鍵を用いて復号化する。だから発信者側は、受け取る側の公開鍵で暗号化し、受け取る側が自分の秘密鍵で復号化するということになる。
●公開鍵暗号方式 → 送り手は、受け手の公開鍵で暗号化
受け手は、自分の秘密鍵で暗号化
３）認証
認証には、システムの利用者が正当な本人であることを確認するユーザ認証、通信先のサーバが正当な運営者であることを確認するサーバ認証、データ内容の真正性を確認するメッセージ認証がある。
１）ユーザ認証
一般的に使われているのは「ID」とか「パスワード」だ。しかし、IDやパスワードが他人に知られた場合、他人が本人になりすますことが可能になる。そこで近年は金融機関をはじめとしてバイオメトリクス認証の普及が進んでいる。
①ワンタイムパスワード
１回限りの使い捨てのパスワードを動的に生成し、そのパスワードおよびIDを用いて利用者の正当性を判断する方法。高い機密性が要求されるシステムに広く利用されている。
②コールバック
電話回線などによるリモートアクセスにおいて、一旦送信側が通信先を呼び出し、サーバからの発信を求めること。
③RADIUSサーバ
Remote Authentication Dial In Service の略で、「ラディウス」とか「ラディアス」とか呼ぶ。ダイヤルアップ接続で使用される認証システムで、RADIUSはサーバなのでRADIUSサーバに対して認証を得るという形になる。
●RADIUSサーバ → 認証サーバ
④シングルサインオン
ユーザの利便性を図るために、ユーザが一度認証を受けるだけで、アクセスを許可されているすべての機能をりようできるようになる仕組み。何度もユーザIDやパスワードを入力しなければならない手間を省略し、最初の1回だけですべてのユーザ認証を自動的に受けられるように処理するもの。
●シングルサインオン → ID・パスワードの入力は１回限り
⑤バイオメトリクス
指紋や眼球の虹彩、声紋などの身体的特徴 によって本人確認を行う認証方式のこと。
４）サーバ認証
インターネット上では、著名な企業や団体のWebサイトを装い、クレジットカード番号などの機密情報を奪取するフィッシングの脅威が存在する。サーバ認証とは、通信先のサーバが正当な運営者であることを確認するための技術。
①SSL
Secure Socket Layer の略で、共通鍵暗号方式や公開鍵暗号方式、デジタル署名などのセキュリティ技術を組み合わせたプロトコル。HTTPやFTPなどのデータを暗号化し、安全に送受信するためのプロトコルである。
SSL上でHTTPを利用することを、HTTPS（HTTP over SSL）という。HTTPにおいて、SSLが利用されている場合には、URLが通常の“http://”ではなく、“https：//”となる。
●SSL → 共通鍵、公開鍵などを組み合わせたプロトコル
HTTPに使えば、“HTTPS"
②EV SSL
中間者攻撃を回避するため、通信相手の認証機能を厳格化した仕組みである。中間者攻撃とは、盗聴、改変、なりすまし等のこと。
SSLでは暗号通信時にWebサーバがクライアントにサーバ証明書（デジタル証明書、電子証明書ともいう）と呼ばれるデータを送る。クライアントはこの証明書を使い、通しない手のサーバが信頼できるかどうかを検証する。
５）メッセージ認証
そのメッセージが、作成・送信された時点から改ざんされていないことを証明する技術。メッセージが改ざんされていないことを証明するためには、ハッシュ関数が用いられる。代表的なメッセージ認証である電子署名（デジタル署名）を挙げてみる。
電子署名（デジタル署名）とは、「相手の正当性」と「情報の改ざんの有無」を確認するための認証技術のこと。電子署名は一般的には公開鍵暗号方式を採用しており、送信者は相手の公開鍵で暗号化し、受信者は受信者の秘密鍵で復号化する。
なお、CA(認証機関)とは、電子取引などで公開鍵暗号技術に基づく電子書名を利用するときに、公開鍵が正当であることを保証する機関である。公開鍵を配布する企業や個人が偽者でないことを証明することで詐欺などの不正行為を防ぐ。このときに使う公開鍵が、CAから受け取った証明書付きのものであれば信頼性が高くなる。
セキュリティ対策はもう一つ、アクセスコントロールがあるのだけれど、今回はここまでにします。
次回はアクセスコントロールから始めて無線LANのセキュリティ対策まで進められたらと思います。
続く。
