Download to read offline
More Related Content
![サイバーセキュリティ対策の自動化に向けた機械学習技術の活用 [TTCセミナー, 2017/9/12]](https://cdn.slidesharecdn.com/ss_thumbnails/20170912ttcseminar-170917132813-thumbnail.jpg?width=640&height=640&fit=bounds)
![セキュリティオペレーション自動化に向けた、基盤技術と共通インターフェースの構築 [ISOC-JP workshop, 2016/05/20]](https://cdn.slidesharecdn.com/ss_thumbnails/20160520isocjpworkshopdistribution-160524103159-thumbnail.jpg?width=640&height=640&fit=bounds)
Dbsj2020 seminar
- 1. オンライン講義・学会発表に おけるセキュリティ問題 立命館大学情報理工学部 上原哲太郎 ＠ 2020年度第1回DBSJセミナー「コロナ時代のデータお作法」
- 2. 自己紹介 上原哲太郎（うえはらてつたろう） • 専門はシステム管理・セキュリティ・ デジタル・フォレンジックなど何でも屋 • 神は細部に宿るというがセキュリティ的には 悪魔が細部に宿ると信じている •大学のシス管・事務情報化経験20年 自治体セキュリティ20年以上 総務省勤務（2011～13 通信規格とセキュリティ） • （一財）情報法制研究所理事 NPOデジタル・フォレンジック研究会副会長 NPO情報セキュリティ研究所理事 • 京都府警・和歌山県警・滋賀県警 サイバー犯罪対策のアドバイザー • 芦屋市CIO補佐官 • 政府系委員はいろいろ 公文書管理委員会専門委員 CRYPTREC各委員 総務省自治体セキュリティポリシー改訂 経産省サイバーフィジカルセキュリティガイドライン 内閣府接触確認アプリ 2020年度 第1回DBSJセミナー 2
- 3.
- 4.
- 5. 遠隔会議・講義＆オンライン学会 …プロトコルで見ると 2020年度 第1回DBSJセミナー 5 H.323 WebRTC独自 標準は確立 マルチベンダ可 ほぼ拠点間専用 家庭内に不向き FW問題多々 Webブラウザのみ で接続可能 仕様・実装が未熟 NAT/FW問題もあり 会議・講義等には 他の標準も必要 接続トラブル 極小 クライアント アプリが必要 相互接続性なし
- 6.
- 7. 何故セキュリティが問題になった? • Zoom bombing •会議番号の 桁数が当初小さく 総当たりで簡単に 会議に潜り込めた • 悪戯…だが 「誰でも会議に 割り込める」 これでよいのか 2020年度 第1回DBSJセミナー 7
- 8. Zoomに続々みつかる脆弱性 • 2019年7月 Mac版クライアントに 乗っ取り可能な脆弱性 •2020年3月 iOS版クライアントが FacebookにAnalyticsデータを送信 • 2020年3月 Mac版クライアントがOSの セキュリティ機能を回避するほか複数の脆弱性 • 2020年4月 Windows版クライアントに 認証情報を詐取されかねない脆弱性 • 2020年7月 Windows版クライアントに ゼロデイ脆弱性 • 細かいものはさらにいっぱい… 2020年度 第1回DBSJセミナー 8
- 9. Zoomは大丈夫なのか？？ • 2020年4月3日 Citizen Labの暴露 •暗号はAESだが 暗号運用モードに ECBを使っている! • ZoomはE2E暗号化を 標榜していたが サーバで復号できる • しかもその暗号鍵が （限られた場合だが） 中国のサーバに 転送されている?! 2020年度 第1回DBSJセミナー https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto- a-quick-look-at-the-confidentiality-of-zoom-meetings/ 9
- 10.
- 11. Zoom Eric S.Yuan CEOの ブログ投稿(4月) • セキュリティと プライバシーの 問題をお詫び • End-to-End暗 号化(E2EE)に 取り組むことを 約束 • そして、昨日… 2020年度 第1回DBSJセミナー 11https://blog.zoom.us/ja/a-message-to-our-users/
- 12. Zoom 5.4以降にE2EE実装 • Zoom 2020年度第1回DBSJセミナー 12 クライアントを5.4.0以上にして アカウント管理者がE2EEを 有効にすれば使える SIP/H.323連携や Lync/Skype連携は無効になる （E2EEだから!）
- 13. …そういう問題だっけ? • 暗号化しても 鍵を持っていれば復号可能 • …鍵は誰が持ってるの? どうやって確かめるの? 2020年度第1回DBSJセミナー 13 暗号化ヨシ！
- 14. そもそもWeb会議システムとは • サーバで通信品質・画質音質を判定 場合によっては再変換 • なので普通はサーバは通信を見ている •暗号化するにしても鍵管理が必要 メンバが増減すれば 鍵更新が必要なので煩雑 • 「暗号鍵はクライアントにしか ありません!」を確かめる方法は? 2020年度 第1回DBSJセミナー 14 サーバ ?
- 15.
- 16. サービスはまず機能と質で選ぶ そこにセキュリティの視点を 2020年度 第1回DBSJセミナー 16 サービスに 求める機能 参加対象 発表 講演者 セキュリティ オンライン会議特定少数 全員 参加者の特定・限定 秘匿性を保つ方法 資料共有の方法・秘匿維持 オンライン講義 特定多数 基本1人 参加者の特定・限定 講義資料の保護(著作権法35条) 参加者同士の対話の制御 オンライン学会 Webinar 不特定多数 特定少数 参加者の特定・限定 匿名・仮名参加者の扱い 質問の取り方（荒し対策） オンライン講義や学会に限れば 一番厄介なセキュリティ問題は避けられる
- 17.
- 18. オンライン講義の セキュリティ諸問題 • 「野良聴講者」問題 • 例えば共通鍵方式の場合… •学生がTwitterでURL呟く→漏洩→野良発生 • 大学では教務システムと認証連携が理想 • 講義資料の著作権問題 • 配布手法を間違えると35条適用除外に • 配布URL等がちゃんと管理できる? • 聴講者のコミュニケーショントラブル • 参加者同士でワークショップ等させたく なることがある一方でトラブルの元にも 2020年度 第1回DBSJセミナー 18
- 19.
- 20.
- 21.
- 22. 我々がずっと頼ってきたもの • 境界線防衛モデル Perimeter DefenseModel Intranet Internet Gateway 安全なLAN 危険な ネットワーク 境界線を作り 通信を制限/遮断する ここなら 安心 2020年度 第1回DBSJセミナー 22
- 23.
- 24. VPN接続のリスク • VPNアクセスポイントは 攻撃者の最大の狙い目 • LAN内に入れると色々オイシイ •LAN内に大したものがなくとも… • 認証はID/PWだけでは不十分 多要素認証を導入するべき • VPNを使う端末の 「無防備な瞬間」に注意 • VPN前にインターネット接続が必要 • 端末にネット接続手段が複数ないか？ 2020年度 第1回DBSJセミナー 24
- 25. VPNさえ越えられれば… • 実は大学でも VPN踏み台事案は 多い • 企業等では大問題 大学でも 研究の機微性に よっては問題 20.5.8朝日新聞 2020年度 第1回DBSJセミナー 25
- 26.
- 27. VPN装置そのものの脆弱性に起因する問題 • 特定のVPN装置の 脆弱性情報が 闇で出回り 一気に危殆化 • 被害は 確認されて いないが… 20.8.27産経新聞2020年度 第1回DBSJセミナー 27
- 28.
- 29.