セキュリティの素朴な疑問を解く 第1回

Q&A形式でセキュリティの基礎を学ぼう

フィッシングって、釣られるとどうなるの？

Q. セキュリティ技術はなぜ難しいのですか？

A. 日々新しい攻撃が登場し、それを防ぐ技術も進化しているからです。

ネットワークとセキュリティは切り離せない

　インターネットを用いれば、どんなに離れたユーザーでも、瞬時にテキストや写真を送れたり、会話することができる。しかし、不特定多数のユーザーが利用するインターネットでは、今でもさまざまな攻撃が行なわれており、多くの犯罪者たちがソフトウェアの破壊やデータの盗難などの悪事を働いている。また、自らのLANに不正プログラムが潜んでいることだってある。

　こうしたことから、現在ではネットワークとセキュリティ対策は車の両輪であり、切っても切り離せない関係にある。つなげるためのネットワーク技術に、不正アクセスやプログラムを止めるセキュリティを組み合わせることで、初めて安心してさまざまなネットワークサービスを利用できるのだ。

新語が続々登場するセキュリティの世界

　問題なのは、セキュリティの用語や概念が難しく、しかも日々新しくなっていくことである。

　たとえば、用語に関していえば、マシンに送り込まれている不正プログラムは今まで「ウイルス」と認識されていることが多かった。しかし、その後ワームやトロイの木馬、スパイウェア、アドウェア、マルウェア、ボットなどさまざまな用語が登場した。また、ウイルスとスパイウェア、ボットなどは駆除する仕組みが違ったりするため、異なる製品を導入しなければならないことも多い。

　また、Web上の攻撃に関しても、クラッキングやDDoS攻撃のほか、クロスサイトスクリプティングやSQLインジェクションなどの用語が出てくる。これらの多くは攻撃手法の違いから異なる用語が使われるが、こうした用語の意味をきちんと理解するのは実に骨が折れる。

　もちろんこの背景には、製品を提供する側のマーケティング的な意味合いもある。「今まではウイルスだけに対策すればよかったのですが、これからはウイルスと異なるスパイウェアが増えてくるので、スパイウェア対策が必要ですね」といった具合だ。しかし、いったん防御手法が確立してしまうと、攻撃者はすぐに新しい攻撃手法を編み出す。こうしたいたちごっこの状態は、昨今特に顕著だ。こうなると、新語は増える一方といえるだろう。

セキュリティは難解な技術の固まり

　また、セキュリティ技術は基本的に難解な技術の固まりだったりする。SSLやVPNなどで用いられているデータの暗号化、サーバの身元を証明する電子証明書や電子署名、これらのデータの不正な改ざんの検出、データベースとのマッチングや統計的な手法での不正プログラム検出などは、どれも高度な数学的な理論の積み上げで実現されている。もちろん、多くの製品はこうした数学の理論を理解しなくても利用できるが、どのような攻撃を、どのように防ぐかはきちんと知っておきたいはずだ。

　本連載では、こうしたセキュリティの素朴な疑問を解説することにした。内容はフィッシングやユーザー認証などの基本用語の解説から、共通鍵と公開鍵はどのように違うのか？　パスワード認証より生体認証が安全なのはなぜか？　ウイルスはどのように検出するのか？　などの日々感じる疑問も網羅していきたい。

（次ページ、「フィッシングって、釣られるとどうなるの？」に続く）