Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商

Size: px

Start display at page:

えつまやぶき
5 years ago
Views:

1 WHITE PAPER: White Paper 再び拡大してきたネット上の盗聴からユーザを守る中間者攻撃の脅威に対抗するためにサイト運営者が取るべき防衛方法とは? powered by Symantec

2 Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商標または商標です合同会社シマンテックウェブサイトセキュリティは本書の情報の正確さと完全性を保つべく努力を行っていますただし合同会社シマンテックウェブサイトセキュリティは本書に含まれる情報に関して ( 明示黙示または法律によるものを問わず ) いかなる種類の保証も行いません合同会社シマンテックウェブサイトセキュリティは本書に含まれる誤り省略または記述によって引き起こされたいかなる ( 直接または間接の ) 損失または損害についても責任を負わないものとしますさらに合同会社シマンテックウェブサイトセキュリティは本書に記述されている製品またはサービスの適用または使用から生じたいかなる責任も負わず特に本書に記述されている製品またはサービスが既存または将来の知的所有権を侵害しないという保証を否認します本書は本書の読者に対し本書の内容に従って作成された機器または製品の作成使用または販売を行うライセンスを与えるものではありません最後に本書に記述されているすべての知的所有権に関連するすべての権利と特権は特許商標またはサービスマークの所有者に属するものでありそれ以外の者は特許商標またはサービスマークの所有者による明示的な許可承認またはライセンスなしにはそのような権利を行使することができません合同会社シマンテックウェブサイトセキュリティは本書に含まれるすべての情報を事前の通知なく変更する権利を持ちます 2

3 CONTENTS 1. はじめに 4 2. ネット上での個人情報の脅威と中間者攻撃 5 3. 中間者攻撃への対処方法 9 4. おわりに 10 3

4 1. はじめに中間者攻撃 ( Man-in-the-Middle Attack MITM Attack ) とはサーバとクライアント間の平文データ ( 暗号化されていないデータ ) をキャプチャー監視して割り込んで気付かれることなく盗聴したり両者が交換する情報を自分のものとすりかえることにより通信内容に介入したりする手法ですこれによりウェブサーバの HTTP セッションをハイジャックすることも可能になりその危険性が指摘されていますさらに昨今ではスマートフォンを外部モデムとして用いてインターネットに接続するテザリング対応端末の登場による WiFi の利用シーン拡大や HTTP セッションをハイジャックできる Firefox のアドオン Firesheep が世に出るなど中間者攻撃の危険性が拡大しているといえます中間者攻撃にはクライアント側で対処する方法とウェブサイト側で対処する方法がありますがクライアント側では利用者負荷が高くまたすべての利用者が対処するには限界があるためウェブサイト側でいかに効率よく効果的な防御策を行えるかという点が鍵となりますこのホワイトペーパーでは中間者攻撃の仕組みと傾向防御手法としての SSL を用いた暗号化について解説いたします 4

5 2. ネット上での個人情報の脅威と中間者攻撃インターネットの利用用途は様々ですが多くのサイトが現在では会員登録や購買問い合わせなどで個人情報やクレジットカード番号のような重要情報を取得しています個人情報の取得は E コマースなど様々なトランザクション処理で不可欠なものですがネットワーク上を流れる通信はそのネットワークでの悪意のある参加者による通信情報の盗み見 ( 盗聴 ) 通信内容の書き換え ( 改ざん ) 通信相手になりすましての情報の送信 ( なりすまし ) というリスクにさらされていますインターネットはネットワークへの参加者が不特定多数であることからそのリスクが大きいですが例えば特定の社員以外が非公開情報を閲覧できるページを用意する場合はイントラネットにおいても上記のような 3 つのリスクが同じように存在します 5

6 中間者攻撃は盗聴手法を悪用します攻撃者がブラウザとウェブサーバとは独立した通信経路を確立しますブラウザ -ウェブサーバ間のメッセージは経路を中継して通信されるようになり結果として全ての通信内容が攻撃者によって制御されます同時に攻撃者はユーザにウェブサーバと直接対話していると思わせます攻撃者はブラウザ -ウェブサーバの間で交わされている全てのメッセージを盗聴できるだけでなく間に別のメッセージを入れたりすることもできます中間者攻撃のイメージこの中間者攻撃は近年では様々な手法を利用して実行されています Black Hat 2009 では新たな中間者攻撃手法として sslstrip が発表されましたこの手法は特定の http リクエストを監視して見つけた時にリダイレクトを掛けて情報入手しますこの攻撃によって 24 時間で 117 件の電子メールアドレスと 16 件のクレジットカード番号 7 件の PayPal ログイン情報そのほかにも 300 件以上のログイン情報が流出しました http の平文データをキャプチャー監視し特定のリクエストが来たときにリダイレクトをかけて sslstrip アプリケーションが Proxy のように振る舞い情報を入手できるようにする 6

本来サイトが SSL 化されていればこのような盗聴を試みても情報が盗み見られることはありませんしかし ID パスワードなど情報を入力する部分以外が SSL 化されていなかったりネットユーザの経路を変更する攻撃手法が組み合わされたりすることによるなりすましサイトへの誘導が行われるとユーザは情報が盗聴される危険に晒されることになります例えばネットユーザの経路変更をする攻撃としては

それ以降の通信で偽者の機器にデータが転送されるようにする攻撃手法これらの経路変更の攻撃を組み合わせてユーザが悪意のあるサイトに導かれてしまうと元々 SSL 化されていたサイトにアクセスしていたつもりだったのになりすまされたサイトで知らずに入力した個人情報が盗み取られてしまったりします Black Hat 2009 の sslstrip の発表では下図のような本物の Gmail や

中間者攻撃の現実的な脅威をにわかに注目させることになりました Firesheep は従来からその危険性を指摘されている HTTP セッションハイジャックを容易に実行可能にするツールですこのアドオンを使うと経路上を流れている他のユーザの cookie にあるアカウント情報を取得してそのユーザに成りすましてログインすることが可能になりますこの時に Twitter Facebook

7 本来サイトが SSL 化されていればこのような盗聴を試みても情報が盗み見られることはありませんしかし ID パスワードなど情報を入力する部分以外が SSL 化されていなかったりネットユーザの経路を変更する攻撃手法が組み合わされたりすることによるなりすましサイトへの誘導が行われるとユーザは情報が盗聴される危険に晒されることになります例えばネットユーザの経路変更をする攻撃としては以下のような手法があります DNS キャッシュポイズニング : ARP スプーフィング : ドメインネームサーバに偽の DNS 情報をキャッシュとして蓄積させ悪意のあるサイトに誘導する攻撃手法 ARP プロトコルにおいてある IP アドレスに対する MAC アドレスの問い合わせが来た時に, 偽者の機器が自分の MAC アドレスを返しそれ以降の通信で偽者の機器にデータが転送されるようにする攻撃手法これらの経路変更の攻撃を組み合わせてユーザが悪意のあるサイトに導かれてしまうと元々 SSL 化されていたサイトにアクセスしていたつもりだったのになりすまされたサイトで知らずに入力した個人情報が盗み取られてしまったりします Black Hat 2009 の sslstrip の発表では下図のような本物の Gmail や PayPal のサイトになりすました例も公開されました南京錠マークのファビコンが出ていますがアドレスがになっておりなりすましサイトであることが分かります 1 その後 2010 年 10 月に Eric Butler 氏によって公開された Firefox のアドオン Firesheep の登場は中間者攻撃を誰でも簡単にできるツールとして中間者攻撃の現実的な脅威をにわかに注目させることになりました Firesheep は従来からその危険性を指摘されている HTTP セッションハイジャックを容易に実行可能にするツールですこのアドオンを使うと経路上を流れている他のユーザの cookie にあるアカウント情報を取得してそのユーザに成りすましてログインすることが可能になりますこの時に Twitter Facebook Windows Live Amazon.com Evernote など世界的に知られているサイトばかり 20 以上が発表された Firesheep によって攻撃可能と指摘されました 2 1: Moxie Marlinspike, New Tricks For Defeating SSL In Practice, 2: 7

3 Firesheep によって Facebook アカウントをハイジャックした例 Firesheep を使った攻撃はウェブサイト側でセッション ID(cookie の値 ) を暗号化していない場合に可能になります Cookie には secure フラグがあり設定を施すことで暗号化されていない HTTP 接続で cookie の値が通信経路を流れる心配がなくなります

8 3 Firesheep によって Facebook アカウントをハイジャックした例 Firesheep を使った攻撃はウェブサイト側でセッション ID(cookie の値 ) を暗号化していない場合に可能になります Cookie には secure フラグがあり設定を施すことで暗号化されていない HTTP 接続で cookie の値が通信経路を流れる心配がなくなりますしかしウェブサイトでログイン時に HTTPS による暗号化をすることがあっても secure フラグでセッション ID を非暗号経路を流れないようにすることを忘れているケースがあります Firesheep はパケットスニファの技術を使いこの暗号化されていない cookie を盗聴セッション ID をハイジャックしますとりわけ Wi-Fi を用いたオープンワイヤレスネットワークやイントラネット上では多くのケースで HTTP による通信が行われており情報が平文で流れていますそのため HTTP セッションハイジャックの攻撃を受ける危険にさらされており注意が必要ですスマートフォンは近年爆発的に普及し大変便利なデバイスですがネットへの常時接続によりセキュリティリスクが顕在化しつつあります最近では Android 版 Firesheep FaceSniff が登場することによりスマートフォンでも HTTP セッションハイジャックが可能になりましたこのように中間者攻撃が容易に可能になるツールの登場によってネットユーザにとって盗聴被害に遭うリスクが顕在化しています 3: Symantec Inc. Protecting Users from Firesheep and other Sidejacking Attacks with SSL, 8

9 3. 中間者攻撃への対処方法これらの中間者攻撃を防ぐ方法としてはネットユーザが自身で身を守る方法とウェブサイト側で対策を施す方法があります前者としては米国電子フロンティア財団 (Electronic Frontier Foundation) が配布するブラウザアドインの HTTPS Everywhere 4 をインストールするという方法があります HTTPS Everywhere は HTTP セッションを強制的に HTTPS にし暗号化することによって Firesheep の攻撃を防ぎますしかしこのツールはアドインという性質からユーザ自身がインストールしなければならないという条件がありますこのようにクライアント側のソリューションはそれぞれ長所短所がありまた全てのブラウザに導入するということも現実的ではありません代わりにウェブサイト管理者がサイト側で対策を行うことによって攻撃のリスクを軽減しユーザがインストールしなくとも安全に利用できる環境を整備することが必要と言えますウェブサイト管理者が SSL を使ったセキュアな通信経路をユーザに用意すると正当なサイトと通信していることをユーザが証明書によって確認できるようになりますつまりデータを暗号化して送信する相手が正当かどうかが判別できますウェブサイトに正当な証明書がインストールされていなければなりすましの可能性があることをブラウザの警告画面によってユーザが検知することが出来ますので中間者攻撃の被害を未然に防ぐ事ができますまたウェブサイト側での Firesheep への最も効果的な対処方法はウェブサイトの全ページを SSL 化することまたは cookie に secure 属性を必ず付けることですただし cookie に secure 属性をつけると HTTP 通信では cookie が送信されなくなりますのでサイトの作りによってはウェブアプリケーションの動作に支障をきたす可能性がありますのでご注意くださいすべてのページが SSL 化されるとログインのパスワードが読み取られたり cookie 情報が読み取られるリスクを軽減できます従来 SSL を全ページに導入するとパフォーマンスが劣化するという話がありましたが近年のマルチコア CPU の技術進化によりシステムへのパフォーマンス負荷は大きく下がりました Google Inc. の Adam Langley 氏によると Gmail の SSL デフォルト化 (HTTPS 化 ) による影響は CPU 負荷の 1% 以下セッションあたり 10KB 以下のメモリネットワーク負荷の 2% 以下ということが報告されています 5 ユーザの安全性確保のためにも全ページへの SSL 導入をご検討くださいユーザがより安心してサイトを利用できるようにするのであれば全ページへの SSL 導入の際には EV SSL 証明書を導入することが最も効果的な方法となります EV SSL 証明書は SSL サーバ証明書の上位製品で単に通信を暗号化するだけではなくアドレスバーにウェブサイトを運営する組織名を表示してくれます EV SSL 証明書導入サイトでのアドレスバー表示例 (Internet Explorer 10 の場合 ) ウェブサイトの運営組織はシマンテックによって厳格にその実在性が証明され悪意のある第三者に発行されることはありませんサイト訪問者にとっては運営組織が表示されるのでそのサイトが経路変更などによって導かれたなりすましサイトではないことが視覚的に分かります仮に紛らわしい FQDN などで SSL サーバ証明書が取得され中間者攻撃用のサーバにインストールされた場合でもいつもの緑色のアドレスバーと組織名と違うことが一目で分かるので中間者攻撃に気づくことが可能です結論としてセッションハイジャックの防止経路変更の防止両方の利点を兼ね備えた EV SSL 証明書を全ページに導入することが中間者攻撃への最も効果的な対策と考えることができますさらにシマンテック EV SSL 証明書にはウェブサイトのマルウェア検知機能があり中間者攻撃以外のウェブサイトに埋め込まれた悪意のあるソフトウェアも検知してすぐに除去処理をすることが可能ですこのマルウェア検知機能によってマルウェア配信加害者になってしまうリスクを軽減することができます 6 4: 5: 6: 詳細はホワイトペーパー Google ブラックリストに載らないためにを参照 9

10 4. おわりに中間者攻撃は HTTP の平文データ ( 暗号化されていないデータ ) をキャプチャー監視して割り込んで気付かれることなく盗聴したり両者が交換する情報を自分のものとすりかえることにより通信内容に介入したりする手法です WiFi を活用するスマートフォンの普及と sslstrip や Firefox のアドオン Firesheep の登場によって中間者攻撃の危険性は拡大しています中間者攻撃はネットワーク上で情報を盗聴する攻撃手法ですのでその経路を暗号化することと通信相手の正当性を識別できるようにする事が攻撃を防ぐ基本的な方法になります中間者攻撃にはクライアント側で対処する方法とウェブサイト側で対処する方法がありますがウェブサイト側で SSL を使う方法が最も効率的ですまた EV SSL 証明書にすることでより視覚的に本物のサイトの識別が可能になりユーザビリティが向上しますシマンテックでは SSL サーバ証明書 EV SSL 証明書のリーディングカンパニーとして今後ともこれらの新しい脅威に対して最適なソリューションを提供して参ります 10 Copyright 2014 Symantec Corporation. All rights reserved. シマンテック (Symantec) ノートン (Norton) およびチェックマークロゴ (the Checkmark Logo) は米国シマンテックコーポレーション (Symantec Corporation) またはその関連会社の米国またはその他の国における登録商標または商標ですその他の名称もそれぞれの所有者による商標である可能性があります製品の仕様と価格は都合により予告なしに変更することがあります本カタログの記載内容は 2014 年 4 月現在のものです WPMITM2011_1308 合同会社シマンテックウェブサイトセキュリティ東京都港区赤坂赤坂インターシティ Tel : websales_jp@symantec.com

WHITE PAPER: White Paper サーバ間通信での SSL サーバ証明書管理について powered by Symantec

WHITE PAPER: White Paper サーバ間通信での SSL サーバ証明書管理について powered by Symantec Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標です

Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標です その他の会社名 製品名は各社の登録商

Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商