第3回勉強会 平成10年3月18日
講師: 通産省機械情報産業局電子政策課
小橋雅明 情報国際協力室長(兼)情報セキュリティ政策室長
IPA 前川徹 セキュリティセンター所長
JPCERT/CC 主任研究員
演題: 情報セキュリティ政策の国際動向
＜通産省機械情報産業局電子政策課 小橋雅明 情報セキュリティ政策室長＞
○暗号やセキュリティが重視されるようになった背景
セキュリティ、暗号を考える上で大事なのは、バランスである。 電子商取引の発展のためには、 プライバシーの確保やクレジットカードの番号が盗まれないようにするため、 セキュリティの強化が必要である。 しかし一方で、あまりにも強い暗号が使われ始めると、 犯罪に使われた時に警察はその情報にアクセスしようがない。よって暗号政策は、 セキュリティの確保と国家安全保障の二つの観点から考えていくバランスが必要である。 企業にしても、強い暗号を使うとコストがかかるので、 やはりバランスが必要であろう。
従来、電子計算機等を使ったシステムは、企業内の“閉じた” 環境の中にあったので、データは比較的安全であった。しかし、 ここ数年で社会はインターネットを活用した“オープン”な環境に変わってきた。 オープンな環境におけるセキュリティに関して、以下の問題が考えられる。
コンピュータ・ウィルス
盗聴(AからBへデータを送った場合に、Cから簡単に見ることができる)
データ改竄
否認(Aはデータを送ったにも拘わらず、「送ってない」と主張する可能性がある)
なりすまし(CはAになりすまして、Bに送ったようにすることができる)
○暗号の役割
従来、暗号は軍事・外交の限られた分野で使用されてきた。 最近は、情報技術の発展、電子商取引への期待の高まりから、盗聴、データ改竄、 送受信否認、なりすましを防止するための基礎技術となった。 暗号の役割は、以下の通りである。
秘密を守る(守秘)
情報に間違いがないことを確認する。(完全性：デジタル署名)
情報が確かに送信者からきたものであることを証明する。 (否認拒否：デジタル署名)
相手が本人であることを確認する。(本人確認と公開鍵の認証)
○暗号の種類
暗号の要素として大切なことは、暗号の長さとアルゴリズムがある。 暗号は長ければ長いほど解きにくくなるが、一方で、復号するときに時間がかかる。 アルゴリズムとは、演算方法であり、足し算と引き算が複雑に絡み合ったものである。 暗号の方式は、長さとアルゴリズムという二つから成り立っている。
暗号の種類としては、共通鍵方式と公開鍵方式があるが、 この二つの違いは以下の通りである。
【共通鍵方式】
1種類の鍵を使用して暗号/復号を実施（鍵の秘密配送が別途必要になる)
鍵を2者の間で共有する必要があるので、通信相手毎に別々の鍵が必要)
公開鍵方式より、暗号/復号に要する時間が短くて済む)
【公開鍵方式】
2種類の鍵(秘密鍵と公開鍵)を使用して暗号/復号を実施
2種類の鍵だけで誰とでもセキュアなデータのやりとりが可能 (自分は秘密鍵を持つだけでよい)
共通鍵方式より暗号/復号に時間がかかる
電子署名が可能
公開鍵の技術で問題になるのは、公開鍵は一般に公開されているので、 デジタル署名するときに、 その公開鍵が本当に本人のものかどうかわからないということである。そこで、 認証局が「この公開鍵は、A本人のものである」という証明書を出すことが必要になる。 この証明書には、 相手の情報(名前等)とその公開鍵を証明する認証局(秘密鍵での)の署名があり、 認証局が証明書の正当性を保証するのである。
電子商取引においては、 クレジット会社が証明書発行業務を認証サービス会社にアウトソーシングする事が多く、 認証サービス会社が消費者と仮想商店に証明書を発行して、本人確認する。 その証明書に基づいて、消費者と仮想商店の間で注文・受発注が行われ、 クレジット会社と仮想商店の間で、承認・審査請求が行われる。 この認証サービスを行う会社として、 ジャパン・サーティフィケーション・サービス(NEC・富士通・日立の三社の共同出資)という会社が、 去年の10月から発足している。
○通産省の情報セキュリティ政策
通産省は、情報産業の発展や電子商取引の発展に伴い、 従来から不正アクセスやサイバーテロに対する施策を行ってきている。 では、なぜ不正アクセスやサイバーテロが通産省の施策と関連するのか。
まず、電子商取引の発展ということを考えると、 消費者や企業がネットワークを安心して使うためには、 セキュリティ上の不安を取り除くことが必要である。もう一つは、 国内産業の育成のためである。不正アクセスやサイバーテロに対抗するためには、 強度のセキュリティ製品を作る必要があるが、 従来は外国製品が入ってくることが多かった。通産省は、外国企業との競争、 国内産業の育成という観点からも、 不正アクセスやサイバーテロに対する注意を喚起し、 業界全体で取り組むことが重要だと考えている。
暗号政策の課題としては、不正アクセスおよびコンピュータ・ウィルス対策、 サイバーテロの防止、セキュリティ評価、暗号・認証政策が挙げられる。 これらの課題に対する諸外国の動向は以下の通りである。
【諸外国の動向】
不正アクセスおよびコンピュータ・ウィルス対策、サイバーテロ
G8リヨングループにおいてハイテク犯罪WG
米国重要インフラ保護委員会(1997,10報告書)
OECDのセキュリティガイドライン(1992理事会採択)
セキュリティ評価
OECDのセキュリティガイドライン(1992理事会採択)
コモンクライテリア(1996,1 欧米政府調達のための共通基準)
暗号・認証政策
OECD暗号政策ガイドライン(1997,3理事会採択)
○暗号政策の基本的方向性
暗号供給者と利用者の健全な発展を目指すために、 次のような方向性で暗号政策に取り組んでいる。
技術開発と実証実験
暗号政策は、 電子商取引を中心として産業の情報化を進めるためのキーテクノロジーであり、 プライバシーの保護や著作権の保護の面からも有効な技術である。 そこで、次世代に向けて民間企業が継続的に多様かつ高度な暗号を開発できる環境を整備する必要がある。 暗号アルゴリズム、プロトコル、評価方法等の技術的開発を支援し、 電子商取引推進事業における暗号関連技術の開発および実証実験を加速的に展開する。
啓発利用の促進
暗号アルゴリズムのISOへの登録
暗号強度、機能、コスト等に関する評価結果の情報提供
利用者の自主的判断・選択の保証
※他方、 暗号やコンピュータ・ネットワークの活用に付随して生じる犯罪の防止にも注目し、 警察庁等と連携しつつ、暗号の自由活用と犯罪防止の双方の実現を図っていく。
認証局(機能：公開鍵の登録、公開鍵証明書の発行)の構築
認証局の信頼性を評価する目安は必要だが、 アプリケーションによって認証局に求められる信頼性、セキュリティレベルは異なる。 そこで、 様々なニーズに応じて、利用者が自主的に認証機関を選択できる環境作りを支援する。 当面は、政府の規制よりECOM(電子商取引推進協議会)の CA(認証機関)運用ガイドライン等の民間の自主的ルール作りを支援する。
輸出管理政策
ワッセナー合意リストに基づき、暗号技術・製品は、 その鍵の長さに拘わらず「機微な貨物」として分類する。 我が国の輸出貿易管理令では、 全ての輸出・技術提供取引について個別許可の対象となる。
国際協調
暗号システムの国際的相互運用性の確保が必要である。 また、テロリズムや麻薬取引の等の犯罪に悪用されないようにする必要がある。 OECDの暗号政策ガイドラインを評価し、基本的にこれに則った方針をとる。
○サイバーテロリズム対策
フォーリン・アフェアーズ誌に掲載された政治学者の言葉によると「現在テロは、 伝統的政治テロに加えて、 様々な理由によりテロ行為を行う集団や個人が登場してきている。 テロの手段も通常兵器から、生物・化学兵器に多様化し、 さらにオンライン社会においては、情報テロに活動を集中させれば、 その破壊力は従来型のテロ行為よりはるかに大きくなるだろう」というものがあった。 また、米国国防省の研究会の中でも「情報インフラは攻撃に弱く、 かってないほどの脆弱性のトンネルが作り出されている」と言われている。
こうした警告に対し、通産省はかねてからサイバーテロ対策の勉強会において、 石油精製、石油化学、電力、 鉄鋼等エネルギー・製造業の制御系システムをモデルとして検討を行ってきたが、 今回その成果を発表した(3,16読売新聞夕刊)。 この報告書では、サイバーテロやクラッキングの脅威に対処するために必要最小限の技術・運用体制の提言を行っている。 アメリカでも、去年の秋に大統領の諮問委員会(重要インフラ諮問委員会)が、 通信・運輸・石油・ガス・水道・エネルギー・電力・金融等についてのサイバーテロ対策のための報告書を発表している。 結論としては、啓蒙普及の重要性、対策のために専門の組織を作ることや、 事故が起こったときのためにあらかじめ訓練を行うといった提言を行っている。
＜IPA 前川徹 セキュリティセンター所長＞
○IPAの組織と活動
IPAは1991年からコンピュータ・ウィルス対策室を設けて対応していたが、 セキュリティ問題の重要性から、1997年の1月にセキュリティ・センターを設け、 ここで一元的にコンピュータ・セキュリティの施策を実行していくことになった。 主として取り組んでいるのは、コンピュータ・ウィルス対策事業、 コンピュータの不正アクセス対策事業、暗号認証技術の関連事業である。
○コンピュータ・ウィルス対策事業
【IPAのウィルス感染防止7箇条】
IPAでは、以下のような感染防止7箇条を広報し、ウィルス対策を行っている。
最新のワクチンソフトを使い、ウィルス検査を行う。
ウィルス被害に備えるため、データのバックアップを行う。
感染の兆候を見逃さず、感染の可能性が考えられる場合は、ウィルス検査を行う。
メールの添付ファイルは、ウィルス検査後に開く。
ウィルスが感染している可能性のあるファイルを扱うときは、 マクロ機能の自動実行は行わない。
外部から持ち込まれたフロッピーディスクおよびダウンロードしたファイルは、 ウィルス検査後使用する。
コンピュータの共同利用時の管理を徹底する。
○不正アクセス対策事業
【不正アクセスの種類】
侵入
盗聴
情報の不正コピー、改竄、破壊、不正な削除
妨害(大量のメールを送ったり、ウィルス等を送る)
不正アクセス対策としては、被害届出の受付を行い、相談にのっているが、 残念ながら宣伝不足もあり、月に2件程度しか届出が来ていない。 しかし、これは氷山の一角に過ぎず、実際はもっと被害があるはずである。
○暗号認証関連事業
暗号アルゴリズムの登録
国際標準機構であるISOでは、暗号アルゴリズムの登録制度を持っているが、 IPAはその日本窓口になっている。
新暗号技術の開発
一つは、新しい暗号方式の開発。もう一つは、 ある暗号がどのくらい安全かという物差しを作っていく活動を行っている。
○現状
1997年一年間でのコンピュータ・ウィルスの届け出件数は、2391件であり、 これまで一番多かった年の2倍以上になっている。特に注目すべきは、 マクロ・ウィルスという種類が増加していることである。1996年には1割以下だったが、 現在は6割以上がマクロ・ウィルスによる被害になっている。 マクロ・ウィルスは、文書ファイルに付いてくるウィルスであり、 プログラムをダウンロードしなくても、電子メールに添付された文書を開くだけで、 感染してしまう。 よって、文書ファイルを送った本人が知らず知らずのうちに相手のコンピュータを感染させてしまうことも多いのである。 また、メール経由のウィルスの感染についても、一昨年は4%くらいであったが、 現在はわかっているだけでも、3割以上がメール経由で感染している。
＜JPCERT/CC 主任研究員＞
○JPCERT/CC(Japan Computer Emergency Response Term/ Coordination Center)の組織体制
1996年10月1日にスタートした民間の非営利団体であり、中立的な組織である。 総会、運営委員会、事務局にて構成する。 現在、専従のスタッフが７名(うち技術スタッフは私を含めて4名)である。
○現在の活動内容
【不正アクセス対応】
不正アクセスの情報の受付
被害状況、侵入手口の把握
関連する技術情報の提供
【セキュリティ技術の啓発】
インターネットセキュリティ技術に関する情報収集
不正アクセスの実状に基づく勧告文書の発行
セキュリティ関連技術資料の発行
セミナー/シンポジウム等の開催
報提供（Web/FTP）サーバ、情報提供メーリングリスト運営
○業務範囲
【できないこと】
事件の捜査、犯人の追及 →刑事事件は警察へ
証拠物件の強制的な入手(押収・保全)
損害賠償請求等の法律面での支援 →民事事件は弁護士等の専門家へ
個別のシステム・コンサルティング
パソコンのインストール・操作支援(ヘルプ・デスク) →民間の有料サービスへ
○不正アクセス
不正アクセスとは、全てが犯罪というわけではなく、 「もともとシステムが予定している使用方法に反する行為が行われること」という、 犯罪行為よりももっと広い概念である。 不正アクセスの中で犯罪に該当するようなものは、我々の管轄ではないので、 JPCERTでは犯罪行為に該当しない不正アクセスを扱っている。
我々のような緊急対応組織は国際的に色々な国にあるが、 その中でもアメリカにあるCERT/CCが受け付けた不正アクセスの件数は、 近年、1年間に2000～2500件が報告されている。 JPCERTに届けられた件数は昨年1年間で約350件と少ないが、暫時増加している。
【最近の不正アクセスの特徴】
踏み台攻撃
目的地に直接侵入するのではなく、AからB、BからBといった具合に踏み台を経由して、 侵入する方法。侵入者をわかりにくくするために行われる手口である。
影響が広範囲
一カ所を狙うというのではなく、無差別に、 世界中のインターネットに接続された組織に対して、 攻撃をしかけるというものである。
手口が高度化・組織的
侵入の為のツールや情報がアンダーグランドで交換されている。 最近では、一般の週刊誌に不正アクセスの方法が掲載されることもある。
ホームページの乗っ取り
不正アクセスの検出が困難(愉快犯)
管理側の油断、認識・技術不足も原因の一つだが、 最近はますます検出が困難になってきている。
無くならない古典的侵入手法(管理者の油断)
サービス妨害攻撃
以前は、侵入することが最終目的だったが、 最近はコンピュータ・システムを動かなくしてしまう攻撃が増えている。
休暇・夜間(特に長期休暇)は狙われやすい
＜質疑＞
司会: 説明の中にもあったが、今回通産省からでた中間報告書には、 コンピュータへの不正アクセスやウィルスの被害状況について、 数値や対応策が要領よくコンパクトにまとめられているので、 活用されると有効と思う。ご参考までに。
質問: こうしたいたずらや犯罪になるようなことをする人とは、 どういう種類の人なのか。好奇心だけでやっているにしては、悪質である。 また、摘発されて捕まったというケースはあるのか。
IPA: 犯人が捕まるケースは、たいへん希である。 ただ、アメリカのカルフォルニア州では、 14・15歳の子供がおもしろ半分に政府のコンピュータに侵入し、 摘発されたことがある。過去の例を見ると、比較的若年層の興味本位の犯行が多い。 ただし、クレジットカードの不正使用のため、 企業の活動の妨害のための不正アクセス、 あるいは政府のサイトを書き換えるといった「おもしろ半分」ではすまされないケースも増加してきている。
JPCERT: 我々は犯人を追及できるわけではないので、 どういう人が不正アクセスを行っているのか、正確に把握していない。 一般には、テロリスト・産業スパイ・愉快犯といったいくつかの分類がなされている。 日本で大きな事件が起こらないのは、現時点で、 インターネット上に金銭的価値のある情報が少ないからであろう。しかし、 来年再来年になって、電子商取引が行われるようになると大きな事件が起こる可能性もある。
質問: 既存の法律の体系で、こうした行為が防止できるか、あるいは取り締まれるのか。
通産省: 現行の刑法の体系では、侵入するだけでは犯罪にならない。 侵入し業務を妨害したり、経済的損失を与えたりしない限り刑法では処理できない。
質問: これからどの時点で、どういう法律にしていくか、 極めて難しい問題であると思うが。
通産省: 欧米ではほとんど、侵入するだけで犯罪になる。アメリカは刑法は州法なので、 ほとんどの州は不正侵入を取り締まることのできる条文が盛り込まれている。
しかし、アメリカでもその刑法で立件されているかというと、そうではなく、 むしろ抑止力として働いている。
質問: 日本での被害について、具体例とその対処はどうであったか。
通産省: ネットワークを通しての被害は、日本ではほとんど例はない。 日本でのコンピュータ犯罪は、 例えば銀行の内部の人がオンラインを使って金銭を横領するといったケースがほとんどである。ただアメリカの場合は、 外部の者がシティバンクのお金を全く別のところに移動したとか、 部外者が米国防省のシステムの中に侵入しようとしたという例がある。
司会: 日本でも総務庁のホームページで、総務庁の“務”を“無”と書き換えられて、 有名になったことがあるが。
JPCERT: 新聞で大きく扱われた事件に、某通信株式会社の研究所がサーバ (社員が外部から通信回線を使って情報にアクセスするためのサーバ) を長年に亘りクラッカーに不正使用されていたという事件があった。 公式には「不正アクセスを受けたのは、あまり重要な情報ではない」 とされているようだ。また大阪の放送局のホームページが書き換えられ、 天気予報のページにポルノ映像が貼り付けられたことがあった。
IPA: 不正アクセスについては、組織や企業の信用問題に関連して、 あまりマスコミに登場しない。アメリカでもCERTに届けられる件数は、 一年に2000件を越えているが、新聞などに取り上げられるのは、せいぜ い10数件程度である。
インターネットはアメリカ中心のネットワークであり、 ホストの約7割はアメリカにある。そのため現在は、被害もアメリカが中心であるが、 これからは日本でも増えてくるだろう。
質問: 暗号の技術は、アメリカが一番進んでいるように感じるが、 日本の暗号技術の国際的レベルはどういう状況か。
また現在、暗号は管理貿易の対象かもしれないが、 逆に暗号製品を世界に普及させれば、世界標準を確立してしまうこともできるだろう。 この点について、どう考えるか。
通産省: 技術はアメリカとそんなに変わらないし、 先程キーの長さとアルゴリズムと申し上げたが、 解読しにくいアルゴリズムを開発するという点では、日本の企業も優れている。 しかし、アメリカの方が従来から暗号を使った民間ベースでの需要が多かったので、 製品レベルではアメリカの方が進んでいる。また、イスラエル、インド、ロシア等は、 優れた数学者がいるので、数年後には優れた暗号製品が出てくる可能性が十分ある。
輸出について、アメリカの国内の状況で話すと、 FBI等国家の安全保障を考える側からすると、強い暗号はなるべく国外に出したくない。 しかし一方、「輸出管理政策でがんじがらめになっているうちに、 他国の暗号製品が世界標準を確立してしまうのではないか」 という懸念が産業界から強く出ている。アメリカの議会でも、 輸出管理と鍵をどう管理するかという問題に関して5～6本の法案がでており、 議論が起こっている。
質問: JPCERTは現代において、奇特な団体ではないか。代表の石田先生、 また山口先生等のご活躍は学問的良心に裏打ちされていると思うが、 全く中立でボランティアでやっていることに背景はあるのか。
JPCERT: 我々としては、被害を受けた人に届出してもらわなければならないが、 そのためには民間企業では好ましくないだろう。国ということも考えられるが、 一部にはこれを嫌う人もいる。一番望ましいのは、全く色がないという状態である。 今の状態が全く無色とは、言えないだろうが、 例えば自分が届け出た情報が裏で警察に通報されるかもしれないという心配があれば、 届け出しなくなるだろう。 我々は、情報を提供していただくことを最優先の課題としている。
質問: アメリカのCERTもこういう中立性の高い組織になっているのか。
JPCERT: 日本ではあまりこういう形態はないのだが、 アメリカの大学(CMU:カーネギーメロン大学) がつくっているビジネス・センターの一部署としてCERT/CCがつくられている。 大学という枠の中にあるので、外部(CERT/CCの活動に批判的な人々) からの攻撃からも防御され、 また中立性も保たれている。
質問: 活動するためには資金も必要だが、 JPCERTの財源はどういうところから出ているのか。
JPCERT: もともと1980年代の終わりくらいから数名の人がボランティアとしてやってきた。 だんだん届出が増え、ボランティアでやるには限界があるので、 1996年の10月から通産省から予算を頂いている。 本来は、インターネットで利益を得ている企業から少しずつ資金を集めて、 中立的な組織運営を目指したいと考えている。