本当は怖いフリーWiFi(社内怪談LT)
- 9. - 9 -
何が怖いのか
例えば…
簡単なOSINTと組み合わせることで、本人が特定できてしまう
ホテルロビーでスマホを操作している
• 対象者の端末機種名を、目視で特定する
• ネットワーク情報から、端末機種や氏名などを特定する
• 機種名から、人と名前が結び付けられる
• その後、ネットワークの傍受をすることで、通信内容と人が結び付けられる
悪意のある攻撃の対象になる可能性がある
機種/OS名が分かると、攻撃手段の選択がしやすくなる
• 残存する脆弱性を、機種名を基に探すことができてしまう
偽
ServiceName: 山田花子のiPhone
機種: iPhone X
WEBアクセス: xx省の職員ページ, SNS
xx省に勤めている
山田花子さんのSNS
アカウントは…
このまま後をつける
と自宅住所も…
盗聴,
改ざん,
収集
仕事のアクセス
SNSチェック
- 10. - 10 -
mitigation
受動的な緩和策としては以下を実施したほうが良いでしょう
送信を制限する(アクセス先を考える)
機密情報を取り扱わない
• DNSの偽装などにより、本来とは異なるサイトへ誘導される可能性
• SSL(HTTPS)による暗号化を過信しない
状況により、ProxyなどでSSLが偽装される可能性
外部から見える情報を管理する
• ホスト名を氏名から変更する、等
受信を制限する
接続機器を事前に最新の状態にしておく
• 外部から不正にアクセスできる脆弱性などをつぶし込む
• スマートフォンはそれくらいしかできません
不要なサービスを止める
• ファイル共有やSSHなどのポートが開いていないか
パーソナルファイアウォールを活用する
• Window Firewallは対策として有効です
ウイルス対策ソフトは使ったほうが良い
• Windows標準の Windows Defender はかなり優秀です
「安全/危険」 の二択ではな
く
「何をどこまで許容するか」
で判断しましょう