時代遅れのセキュリティの基本

今でも笑っちゃうような古いセキュリティポリシーってあるもんです。

- 添付ファイルのパスワードと別便送付 -

「ファイルを添付する際はパスワードをかけて、別メールでパスワードを送る」というルールはどれほど意味があるのでしょうか。３０年前のインターネット勃興期であれば、バケツリレー方式でメールが送られるわけだから、間にあるコンピュータでも電子メールは読み放題だったかもしれません。「カッコウはコンピュータに卵を産む」の１９８０年代なら十分にあり得るセキュリティ対策だったでしょう。

また２０年前のダムHUB全盛時代であれば、メールサーバーにスニッフィングかければ、電子メールのパスワードだって本文だっていくらでも読むことができました。

電子メールの仕組みは今も同じです。パスワードをメールサーバーに平文で送って、平文でメールを読む。だがスニッフィングで電子メールのセキュリティが破られたという話は最近とんと聞かない。むしろ社内のネットワーク管理者が一番怖い。金融機関とかだったら、そういう専門部署だってありそうですね。

それは、スニッフィングできないスイッチングＨＵＢと、ＩＳＰの守秘義務のおかげです。スニッフィングするためには特別なポートにスニッファーをつながない限りできません。もちろん、裁判所の許可がなければ通信の無断傍受で重大なペナルティでしょう。「カッコウ...」の時代のように、どこの誰だかわからない経路を通るという事はないのです。

という事で、我々が送るメールの送信元と、宛先の間に流れるメールパケットはよほどのことがない限り読みだすことは不可能でしょう。しかも狙ったメールは膨大なトラフィックから見つけ出さなければならない。恐ろしいほどの根性か、シカケを必要とします。圧縮された添付ファイルをトラフィックから取り出して、パスワードを解読する事はあまりにもコストとリスクの高い行為なのです。そのために、わざわざ添付ファイルを暗号化して、パスワードを別便で送るというのは効率が悪い。

問題は、添付ファイルは、圧縮を解かれ、コンピュータの中やファイルサーバーの中で平文化されて保存されていることなのである。そちらの方がよほどセキュリティ意識があまい。

たとえ添付ファイルと別メールでパスワードを送ったところで、解凍されてＰＣにある平文ファイルは危険にさらされているわけです。

二度手間をかけて、何の意味があるのでしょうか。もちろん、送付する内容が非常にセンシティブであれば、その程度の配慮は必要でしょうが、一般的な文書のやり取りに、こんな手間かける人は「一生やってろ」と言いたくなります。

そんな手間かけるなら、クラウドのファイル転送サービスの方がよほど安全でしょうね。

一番需要なのは「送信先を絶対間違えるな」という事なんですけどね。


- パスワードの定期的変更は効果があるか -

パスワードを定期的に変更しても、一旦破られたパスワードには効果がないでしょう。どうせ password123 が pasword345 に代わるだけです。辞書攻撃を受ければひとたまりもない。

一定の効果はあっても一時的なものでしかありません。

よく「フェイスブックのパスワードなら FBpassword123 でヤフーならYHpassword123 と変えて使いまわさないようにしているよ」という人がいるけれど、だいたいそんなルールはみんな使っているから、簡単に辞書攻撃されるでしょうね。既にパスワードによるセキュリティは崩壊しているのです。

これはもうソーシャルハッキングの世界かもしれませんが、古いパスワードに何かキーワードを付け加えれば、もう簡単に破られるものなのです。



- パスワードはメモに書くな -

このルールを考えた人は多分、新約聖書も旧約聖書もすべて暗記している、素晴らしいニンゲンかもしれません。ついでに般若心経も記憶してほしいくらいです。

実は昔、職場で支給されていたノートＰＣが実におバカな仕様で、Bios パスワードをかけているにも関わらず、再起動してもパスワードを聴いてこないんですね。電源を切ったときだけはパスワードを聴いてくる。しかもスリープから復帰した時もパスワードを聴いてこない。電源スイッチを押したときだけ初めて Bios パスワードが有効になるというすごくおバカなＰＣでした。

私は支給されたＰＣの Bios パスワードを支給されて速攻で変えたのにその甲斐が全くない。そのうち、忘れちゃうんですよ Bios パスワード。

そうして数年使っているうちに、ＰＣがどうにもならず、再起動も受け付けないので電源長押しでＰＣの電源切ったら初めてパスワード聞かれた。焦りましたよ。全然覚えちゃいない。

ってことで周囲のみなさんに聞いてみたら、出てくる出てくるデフォルトのパスワード書いた付箋紙が引き出しの中からズラズラとですね。笑っちゃいました。

ま、これが実態というものです。

結局まさかと思っていた滅多に使わない危ないパスワード入れてみたら、ちゃんと動きましたけどね。
たいていパスワードなんて紙に書いてありますよ。手帳にね。特売サイトのパスワードとか、求人広告のパスワードとか、ニュースサイトのパスワードとかどうでもいいパスワードが何十種類とですね。

ただ、本当に大事な金銭が関わるようなパスワードなんて書いてありません。重要な聖書の語句のように、人の心に刻まれているものです。

よく顧客のシステムの初期パスワードを設定することはありますが、「パスワード変更の儀」を経て、パスワードは知らない事にしています。たいていわかるんだけどね。

- アカウントロックアウトのポリシー -

普通のシステムでは、ログインに数回失敗すると、アカウントがロックアウトされ、数分間ログインできないようになっているのですが、 Windows ではこの設定が標準ではありません。なのになぜかグループポリシーとして、パスワードの長さや複雑さを要求してくる。GPO の設定で複雑さや長さ制限をかけても、隣のアカウントロックはかけないところが何故かおおい。

もっともこのパスワード設定がＧＰＯというわかりにくい処に設定できるのに、コントロールパネルのような、アクセスしやすい処に設定がないのも随分おかしいな、と思うのは私だけでしょうか。

アカウントロックのポリシーはブルートフォースアタックには一番効果的だと思うのは私だけなのかしら。

実際、iPhone のパスワードロックは４桁の数字が基本です。アカウントロックのポリシーがないので、９９９９回の力技のトライで簡単に画面ロックが解除できてしまいます。


- 頼むから root でダブルクリックしまくるなよ -

ある、お客さんのところで、中途入社のシステム管理者に業務を引き継いだことがあるのですが、なんと彼、そこら中にあるアイコンをダブルクリックしまくるのですね。もう目がテンになりました。メールの添付ファイルももちろんダブルクリック。

頼むから止（辞）めてくれ、と心の中だけじゃなく、実際口に出していってしまいました。

もちろん彼が数日後に馘首されたのは言うまでもありません。

でも多いんでしょうね。目の前にあるアイコンを何でも「ダブルクリックして開きまくるシステム管理者」ってね。

本当は右ボタンメニューを開いて「何か怪しげなメニューが出ないか」を常に注意すべきことなのですが、オブジェクトを右クリックして相手が実行ファイルであっても「開く」というメニューしか出ないのは問題ありだな、と常に杞憂しています。
メールの添付ファイルだったらまず、保存してスキャン。
「Word で開く」とか「偽装したZIPファイルを実行」「ヤバいＶＢスクリプトを実行」とかもっと確実な情報を出して欲しいものです。

右ボタンを押して、ZIP ファイルを偽装したアイコンであれば「開く」ではなく「実行する」とか「実行しちゃうけどイイの？」くらいのメニューにしてもらいたいものです。

- 生体認証は安全の嘘 -

生体認証は怖い。もし漏えいでもしたら、指を切り落とさない限り、リセットできないのである。指紋認証をリセットするためには、新宿歌舞伎町の裏にある雑居ビルの３Ｆあたりにある「✖✖興業事務所」で「落とし前」をつけなければならない。ろうえいしたらタイヘンな個人情報、認証情報なのですね。

実際、マレーシアあたりでベンツを盗んだ窃盗団がオーナーに落とし前をつけさせたことがあるらしいですけどね。

- P2P は使っていない -
P2P つかっていますよ。だって Windows10 の Windows Update はデフォルトで P2P なんだもの。


--

こうした「今では時代遅れ」のセキュリティポリシーがまかり通っている、という事は、新しく策定すべきセキュリティポリシーにも対応できていない、つまりセキュリティポリシーのＰＣＤＡサイクルが機能していないということなのです。