暗号化したものを見せる場合と見せなくする場合

本日は暗号化の話。クリプトグラフィーという文字や単語を置き換えることで情報を暗号化する方法とステガノグラフィーという一見すると普通の画像の中に暗号化したい情報を埋め込んでしまうという方法がある。

ステガノグラフィー

ステガノグラフィーは昔からあるプロセスです。2001年9月11日の同時多発テロ攻撃後、この強力な手法について非常に大量の報道がなされました。この手法を利用することによって、テロリストや破壊分子その他の人達は、非常に検出が困難な方法で情報を伝達することができたのです。この記事ではステガノグラフィーのプロセスを検証し、またステガノグラフィーが使われていることを検出する方法について説明します。 説明を始める前にまず、ステガノグラフィーのプロセスを、暗号化という別のプロセスと区別することから始めましょう (暗号化は、権限のない人に見られないようにデータを変更するプロセスです)。暗号化のプロセスでは、平文 (つまり暗号化されていない情報) を暗号文 (つまり暗号化された情報) に変えることができます。では暗号化で不可能なことは何でしょう。暗号化しても、暗号化されたデータをインターセプトして検証することはできるため、データが伝送されていることを誰かに知られることは防げません。しかし鍵という非常に重要なものがないと、暗号化データの解読は容易ではありません。これをステガノグラフィーと比べてみましょう。ステガノグラフィーでは、データは (暗号化の有無によらず) 別の媒体のデータの中に隠され、そこにデータが隠されていることを知らない人には媒体そのもののデータしか見えず、その中に隠されたデータは見えません。なぜ暗号化ではなくステガノグラフィーを使うのでしょう。簡単に言えば、暗号化されたメッセージを送信すると、そのメッセージを見せたくない相手からの注目を不必要に集めてしまうことになるからです。一方ステガノグラフィーを使うと、第三者の目の前で、ほとんど疑われる可能性なしに情報の伝達を行うことができます。

ステガノグラフィーの解説に関してはIBMのコラムが詳しい。

クリプトグラフィー

クリプトグラフィーは特定の文字列を置換したりある規則性に基づいて変換することで暗号化を行う暗号化手法。それ自体が何かしら処理されて暗号化されているということは第三者からわかってしまう。そういった意味ではステガノグラフィーのほうが当事者たちにとっては秘匿性を保てそうな気もする。

ステガノグラフィーの解説に関してはこちらが詳しい。

エドワード・スノーデン氏による情報暴露

近年、エドワード・スノーデン氏によって米国や英国の内部機密情報の告発が行われた。（2013年6月）
告発内容としては以下の通り。

• 米国によるインターネット情報の傍受
• インターネット情報の傍受へのIT企業の協力
• NSAの海外各国に関するクラッキング
• 米国の同盟国に対する情報収集
• 英国によるインターネット情報の傍受

とは言ったものの、この情報暴露がそもそも事実なのかという者もいるかと思うが自分は事実だと思っている。
セキュリティーの勉強をしているとそういったことが事実ではないのかと思うことによく出くわす。

エドワード・スノーデンに関してのレポート(pdf),
エドワード・スノーデンに対して充てられたNSAからの訴状(pdf),
スノーデンが情報提供先として選定した新聞社The Guardian

上記のようなリンクからも今回の件が事実に近いということがわかる。調べていると、情報傍受の協力をしている企業もいくつか名前があがっていたり、NSAが「XKEYCORE」というネット上の電子メールや通話記録などを収集・検索できるとされる監視システムを日本側に提供したとする情報もあるが、巷に流れるハッキングアプリなどでさえターゲットのスマートフォンにインストールするだけで容易に相手の全てを記録できてしまうので情報の真意について明らかにすることは難しいが極めて真実に近い情報かと。

情報のトラッキングは常に行われている

また最近ではスマートフォンからの情報収集も過激の一途を辿っている。実際に文字などでの情報入力をしていなくても会話の音声などを聞き、それに関連した広告を配信することなどが当たり前になっており、ビックデータという都合の良い言葉を盾にプライバシーは脅威にさらされている。
スマートフォンやパソコンなどを始めネットワークに接続されているものには注意を払いたい。特に、ブラウザに関しては情報はダダ漏れといってもいい。IPアドレスがわかれば位置情報の特定が可能な「CMAN」などを利用して容易に住所を絞り込んだりすることが可能だ。
画像などに至ってはExif情報が画像に埋め込まれており、撮影情報や撮影場所などの情報も第三者に与えてしまう。大抵のSNSは画像に埋め込まれている情報は自動で削除してくれる仕様になっているが一部のブログサービスなどではそういった機能はないので画像のアップロードを行う際は注意が必要。
またhttpsに対応していないサイトでの入力情報などは容易に情報の傍受が行える。無線通信などの傍受は犯罪にもあたらないのでインターネットの検閲に関しても同じような考えを適用できそうである。

最近だと普段使っているブラウザーをChromeやSafari等からbraveやTorなどのプライバシーに配慮されたやブラウザーやDuckDuckGoなどの様な情報のトラッキングを行わない検索エンジンなどの使用を心がけたい。

対策・懸念すべき事項

情報の検閲・傍受を受けている可能性があることを認識しつつも自分の閲覧環境からのIPを隠すこと（前述のTorなどが有効）、ブラウザやOSのトラッキングを許可しないことが大切だ。その他にも以下のような懸念事項や対策が望まれるものがある。

• マルウェア対策
• ファイアウォール
• サイトの安全評価
• SNSの安全診断
• パスワードの管理

マルウェア対策：

セキュリティソフトを用いて端末とマルウェアの接触の阻止、すでに端末に入り込んでいるマルウェアの検索、駆除を行う。

ファイアウォール：

パソコンやスマートフォンなどの端末とインターネット間の通信を制御する。こちらもセキュリティソフトなどで対応。

サイトの安全評価：

サイトの中身を評価し、危険なサイト（ワンクリック詐欺サイト、フィッシング詐欺サイト）である場合、アクションを行わないこと。

SNSの安全診断：

SNS内の情報の安全性をチェックします。

パスワードの管理：

パスワードを保護し、情報の流出を防ぐ。容易なパスワードの使用は控え、サイトや端末ごとにパスワードを分け管理する。

詐欺・迷惑メール対策

ユーザーに不利益を与えるスパムメールを排除する。Gmailをはじめとした強力なスパムフィルター機能を導入。

以前と比べて様々なものがクラウド化してきている現代だからこそ情報セキュリティに関しては日頃の対策を怠らないことが肝心だ。