第32回Websig会議「クラウドは○○を共有するサービス」

クラウドは
○○を共有するサービス

第32回WebSig会議
「便利さと、怖さと、心強さと∼戦う会社のための
社内セキュリティ2013年のスタンダードとは!?」

2013/3/9
株式会社トライコーダ上野宣

(C)2013 Tricorder Co. Ltd. 1

上野宣（うえのせん）
•  株式会社トライコーダ代表取締役
–  奈良先端科学技術大学院大学で情報セキュリティを専攻の後、eコマー
ス開発ベンチャーで上場などを経て株式会社トライコーダを設立
–  主な事業は情報セキュリティ教育、脆弱性診断、コンサルティング

–  独立行政法人情報処理推進機構(IPA) 研究員
–  情報セキュリティ専門誌 ScanNetSecurity 編集長
–  OWASP Japan 代表

主な著書・連載など
–  今夜わかるTCP/IP、今夜わかるHTTP
めんどうくさいWebセキュリティ、他多数
–  ＠IT、HackerJapanなどで連載中


クラウドは
○○を共有

TOPIC

クラウドを
安全に使うには

クラウドにおける
脅威を知ろう
まとめ


クラウドはリソースの共有
•  インフラ
•  ハードウェア
•  ストレージ
•  ソフトウェア etc...

•  メリットはスケーラビリティ、柔軟性、従
量課金、リソースのセルフプロビジョニン
グなど

生産性を高めるツールは
みんな使いたい
•  Dropbox、Evernote、サイボウズLive、
Googleドキュメントなど
•  Facebook、LINE、Skypeなど
•  スマホ、タブレットなど

•  より安く、より便利に！


セキュリティはトレードオフ
•  コスト
•  利便性
•  リスク

•  コストが安くなって、便利になると？

【トレードオフ】 trade-oﬀ
何かを求めれば、何かを犠牲にする二律背反の関係

セキュリティ的にクラウドは
○○を共有するサービス
• ○○＝リスク
•  クラウドサービス事業者とのリスク共有
•  セキュリティにおけるリスク
–  危険に遭う可能性、損をする可能性
–  経済のリスクと違い不確実性ではない


クラウドは
○○を共有

TOPIC

クラウドを

脅威を知ろう
まとめ


クラウドにおける脅威

1.  第三者の存在
2.  手が届かない
3.  法的な問題


１．第三者の存在
•  サービス事業者という第三者からサービ
スを受けている
–  データの所有者は誰？
–  サービスレベルは？
–  重要情報が漏えいした際の責任は？
–  クラウド事業者が倒産したら？
–  管理者はいい人？


２．手が届かない
•  「場所」という特性がない
–  ネットワークセキュリティの問題
–  漏えい、改ざん、可用性
–  仮想化技術による問題も


３．法的な問題
•  データはどこの国にあるのか？
–  データの物理的な所在地の法律が影響
–  データ保護、プライバシー
–  開示義務、国家保安


クラウドは
○○を共有

TOPIC

クラウドを

脅威を知ろう
まとめ


•  ユーザーの注意深さだけではセキュリティ
の確保はできない
•  自動化が必要



1.  サービスを知る
2.  技術的な対策をする
3.  法的なことを知る


１．サービスを知る
•  サービス事業者は誰か？
•  サービスの質は？

•  そんなの知らないし、信用できるかもわ
からない
•  リスクを緩和しなければならない
–  まずはどんなリスクがあるかを知っておく必
要がある


リスクを緩和する戦略 (1)
•  リスク前提
–  潜在的なリスクを受け入れて運用を続ける
–  リスクを低下させて許容範囲内に納める
•  リスクの回避
–  機能の一部をあきらめる
–  システムを停止する
•  リスクの限定
–  影響を一定レベルに抑制する手段を実装する
–  インシデントの検知、サポート体制を整えるなど

リスクを緩和する戦略 (2)
•  リスク計画
–  優先順位、実装状況などリスク緩和プランを策定
してリスク管理を行う（事前合意を得ておく）
•  調査と事実認定
–  脆弱性や欠陥の存在を認め、修正する手段を調査
し、損失リスクを低く抑える
–  アップデートや脆弱性の修正
•  リスクの委譲
–  保険に加入、損失を補うことができる他のオプ
ション（資産を増やすなど）


ちなみに、
セキュリティ研究者の仕事は
•  コストが安くなって、便利になっても、セ
キュリティを保つようにすること
•  トレードオフの関係性を小さくすること


２．技術的な対策をする
•  実は従来からの技術的手法と同様
–  第三者にデータを預けるときと同様
–  暗号化、鍵管理、認証、データの分離


個人レベルの対策も必須
•  パスワード管理
–  他のサービスと使い回しをしない
•  漏えいしたパスワードによる攻撃が流行っている
–  長い文字列(8文字以上)、推測しにくいもの
•  事業者がパスワードをどう扱っているかわからない
–  パスワード管理ツールの利用なども
•  パスワード管理を自分のリスクに
•  マスターパスワード管理にコストを掛ける
•  マルチプラットフォームのアプリも(KeePassとか)


個人レベルの対策も必須
•  暗号化
–  暗号化した仮想ディスク
•  TrueCrypt、PGP Diskなど
–  アプリケーションによる暗号化
•  PDF、オフィスソフトのパスワード
•  パスワード付きZIP
–  サービスが提供する暗号化機能
•  Evernoteのテキスト暗号化

•  できれば自動的に暗号化される仕組みを
–  手動の暗号化は忘れる


サービス事業者の対策も必須
•  Googleは2011年と比較してアカウントハ
イジャックを99.7%減
–  120の変数によるリスク分析
•  新たな国からのサインインなど
–  二要素認証
•  携帯電話番号、SMS、第2メールアドレス
–  秘密の質問

Oﬃcial Blog: An update on our war against account hijackers
http://googleblog.blogspot.ch/2013/02/an-update-on-our-war-against-account.html


秘密の質問は秘密なのか？
•  登録済みメールアドレスに送信するため
の認証として使う
–  秘密の質問の答えは秘密情報ではないことも
–  メール受信にはPOPの認証があるので、攻撃
者が秘密の質問に答えても読むのは困難
–  メールを読めることが本人確認
–  秘密の質問に答えるだけで、パスワードが変
更されたり、表示されるのはダメ


流行りのセキュリティ対策
•  パスワードのハッシュ化＋salt（＋スト
レッチング）
•  二要素認証、二段階認証
•  全面HTTPS化


Evernoteのパスワード変更しまし
たか？
•  2013年3月3日ユーザー情報漏えい
•  全ユーザーのパスワード強制リセット

http://blog.evernote.com/jp/2013/03/03/12428

Evernoteから漏えいした情報
•  メールアドレス、ID
•  MD5ハッシュ＋salt

•  MD5ハッシュ+salt と SHA-1(saltなし)
だったら、どっちがいい？


暗号化されたパスワードの解読
レインボーテーブル
レインボーテーブルからハッシュ値を検索して平文を導き出す

平文ハッシュ値（MD5）
a 0cc175b9c0f1b6a831c399e269772661
b 92eb5ﬀee6ae2fec3ad71c777531578f
...
aa 4124bc0a9335c27f086f24ba207a4912
...
abc 900150983cd24fb0d6963f7d28e17f72
...

レインボーテーブル：あらかじめ用意しておいた平文とハッシュ値の対応表


３．法的なことを知る
•  契約条件、サービスレベルアグリーメント
(SLA)を知る
•  データの独立性
•  データのアクセスに対する規定
–  クラウド事業者従業員からのアクセス
•  データの所有権
•  法的遵守事項
•  円滑な契約終了がなされるか
–  データの消去


クラウドは
○○を共有

TOPIC

クラウドを

脅威を知ろう
まとめ


安全に使うためのポイント
•  クラウドはリスクを共有するサービス
–  第三者のサービスだと知る
•  リスクの緩和戦略を立てよう
–  もし、そのデータが漏えいしたらどうする？
–  自分でできる技術的な対策
•  パスワード管理
•  暗号化、自動的にできるものがいい


ご清聴
ありがとう
ございました
Thank you!


OWASP Japan
Local Chapter Mtg. 5th
•  2013年3月14日(木) 19時∼
•  http://atnd.org/events/37631
【上野宣】ウェブアプリケーションリスクドキュメ
ント「OWASP Top Ten」RC1 2013版レビュー
【Paul Scott (OWASP Houston)】超訳「Cloud
時代のさまざまなスタイルのWAFのはなし」
【福本・岡田・ほか】OWASP Global AppSec
2013より、アツい(?) ウェブセキュリティトピック
サマリー (C)2013 Tricorder Co. Ltd. 37

第32回Websig会議「クラウドは○○を共有するサービス」

More Related Content

What's hot

Similar to 第32回Websig会議「クラウドは○○を共有するサービス」

第32回Websig会議「クラウドは○○を共有するサービス」