メール転送に関わる最近の セキュリティ問題 2003/10/07 朝日大学 経営学部 情報管理学科 奥山 徹 [email protected] http://okuyama.dsl.gr.jp/ 2003/10/07 1 今日のトピックス 電子メールの基礎 電子メールシステム メールアドレスとメッセージ DNSとの関係 ウィルスと電子メール 2003/10/07 2 電子メールシステム MUA(Mail User Agent) MTA(Mail Transfer Agent) DNS(Domain Name System) DNS SMTP MUA SMTP MTA MTA mailbox 2003/10/07 MB MUA POP/IMAP/... 3 MUA(Mail User Agent) ユーザアプリケーション メールを読む メールを書く メールを保存／検索／削除する UNIX ucbmail, RMAIL, mush, mh, mew, … Windows OutLook, Netsape Mail, Eudora, PostPet,… 2003/10/07 4 MTA(Mail Transfer Agent) メールの受信 配信先の決定 メールの配信 リモートへ、ローカルへ、発信者へ（エ ラー） Store and Forward 2003/10/07 5 MTA Programs sendmail http://www.sendmail.org/ qmail http://www.qmail.org/ SMAIL(GNU) MMDF(Multi-channel Memo Distribution, CSNET) exim http://www.exim.org/ Vmail http://wzv.win.tue.nl/vmail/ LSMTP http://www.lsoft.com/LSMTP.html PP(X.400) Postfix http://www.postfix.org/ 2003/10/07 6 インターネットでのメール の送受信 SMTP － Simple Mail Transfer Protocol RFC821(S) TCPのポート25番 ほとんどのMTAはSMTPの実装を持つ DNSとの連係機能を持つ 2003/10/07 7 SMTPの様子 ladoga% telnet vanessa.dsl.ics.tut.ac.jp 25（SMTPへの接続） Trying 133.15.144.8... Connected to vanessa.dsl.ics.tut.ac.jp. Escape character is '^]'. 220 vanessa.dsl.ics.tut.ac.jp ESMTP Sendmail 8.9.3/3.7W; Tue, 14 Sep 1999 15:02:04 +0900 （サーバからのコネクションメッセージ） HELO ladoga.dsl.ics.tut.ac.jp （サーバへのメッセージ） 250 vanessa.dsl.ics.tut.ac.jp Hello IDENT:[email protected] [133.15.144.7], pleased to meet you MAIL FROM:[email protected] （発信者のアドレス） 250 [email protected]... Sender ok 2003/10/07 8 SMTPの様子(2) RCPT TO:[email protected] （受信者のアドレス） 250 [email protected]... Recipient ok DATA 354 Enter mail, end with "." on a line by itself This is a test mail. （メール本文） . （データの終わりを示す） 250 PAA01454 Message accepted for delivery QUIT 221 vanessa.dsl.ics.tut.ac.jp closing connection Connection closed by foreign host. 2003/10/07 9 メールアドレス 発信者／受信者情報として利用 ユーザ名＠ドメイン名 [email protected] その他の形式 %-Hack Route Address UUCP Addressing 2003/10/07 10 %-Hack RFC1123(S) user%domain@relay sender→relay→domain relayに届いた時点でuser@domainに書き換え user%domain%relay2@relay1 sender→relay1→relay2→domain 2003/10/07 11 Route Address RFC822(S) @relay：user@domain sender→relay→domain relayに届いた時点でuser@domainに書き換え @relay1,@relay2:user@domain sender→relay1→relay2→domain 2003/10/07 12 UUCP Addressing domain!user relay!domain!user host!user@domainの解釈 “host ! user”@domain (Internet like) host ! “user@domain” (UUCP like) 2003/10/07 13 コメント形式アドレス Full Name <user@domain> user@domain(Full Name) user(User Name)@domain(Univ. Name) ( )のコメントはどこに入ってもよい 2003/10/07 14 メッセージの形式 メールヘッダ(header)と本文(body) RFC822(S):Standard for the format of arpa internet text messages 最初の空白行が区切り From:[email protected] To: [email protected] Subject: Question for ed.jp domains ← 空行（空白もなし） ed.jpドメインの取得に関する問い合わせ 発信者(Sender, 通常一人, 意味上の発信者)と受 信者(Recipient, 一人または複数人) 2003/10/07 15 ヘッダとエンベロープ 封書に似ている エンベロープ(envelope) 投函した人／届け先 封書の表書きの送り主／宛先：実際に事務作業を行った人 配送の際に書き換えられていく RFC821(S)：SMTP→エンベロープはコマンドで指 定 UUCP→エンベロープはrmailのコマンドラインにて 指定 2003/10/07 16 ヘッダとエンベロープ(2) ヘッダ(header) 本文を書いた人／読んで欲しい人 内封された書面の送り主／受信者 基本的に書き換えられない ヘッダとエンベロープの送信者／受信者 同じ場合： 個人宛て 異なる場合： メーリングリストなど 2003/10/07 17 ヘッダとエンベロープ(3) エンベロープはいつ作られるか ヘッダから抽出される 送信するMUAが行う 最初に処理を行うMTAが行う エンベロープは配信処理で書き換えられる 転送 メーリングリスト 2003/10/07 18 返信に利用するアドレス 配信エラー通知の返送（自動） エンベロープの発信者 Errors-To: ヘッダ（エンベロープの概念がないシステム 用） 内容の返信（人が介在） ヘッダの発信者 2003/10/07 From:, Reply-To, (To:, Cc:) 19 メールボックスからMUAへ ローカルメールボックス：UNIXなど POP(Post Office Protocol) IMAP(Internet Message Access Protocol) 2003/10/07 20 メールを送ってもらうための 設定とDNS インターネット SMTPによる直接配信→DNSに配信先を定義 メール配信時に参照されるDNSレコード A RR→ホスト名からIPアドレスを取得 MX RR→メールアドレスから配信先ホスト名を取得 CNAME RR→ホストの別名を取得 Genericなメールアドレス ホスト名部分を持たない MX RRを利用する→メールはMXで指定されたホストに送られる 2003/10/07 21 MXを使って障害に備える メール受信の代行 foo.tut.ac.jp preference=10, mx=mail1.tut.ac.jp preference=50, mx=mail2.tut.ac.jp 数字が小さいほど優先度が高い（コスト値） 送り側は配信に成功するまで順にコストの大きなものへ 配信を試みる mail2はmail1が回復後にmail1に配送 mail2のメールの保存期間に注意 2003/10/07 22 送信されたメールの受理 届いたメールを自分宛てとして認識 ローカルに配信（受理） 「送られてきた＝自分宛て」ではない 自分宛てではないと判断した場合 転送先をさがす 受理するアドレスの設定 sendmail(CF): ACCEPT＿ADDRSに定義 2003/10/07 23 受信設定のまとめ 相手に送り先を教える MXレコードを定義 自分宛てだと解釈する ローカルへの配信（受理） 個別に設定が必要 2003/10/07 24 メールは配信の設定 配信方法のバリエーション DNSのMX参照による配信→MXを参照するMTAの準 備 ホスト名のみによる配送 固定ルールによる配信→DNSを参照する必要性の検討 2003/10/07 25 DNSのMXを参照する場合 MXを参照するMTA sendmail.mx : librisolv.aをリンク OS付属のものより、最新のソースからコンパイルしたほ うが良い→sendmail-8.9.3 MX参照用sendmail.cf(CF) MX＿SENDMAIL=yes→アドレスの補完 2003/10/07 26 固定ルールによる配信 sendmail.cfに固定ルールを書く CF : STATIC＿ROUTE＿FILE ファイアウォールの中などで固定ルールを参照して 配信したい場合は、これを設定する 2003/10/07 27 配信の動作確認 アドレスの解釈が正しいか sendmail -bv あるいは sendmail -bt の /parse MXが正常に検索できているか sendmail -bt で /mx コマンド 実際に送ることができるか sendmail -v 2003/10/07 28 メールサーバの設定 メールサーバのアプリケーションプログラムである、 sendmail は通常パッケージからインストールされ るので、それを使えば良い 最新版は8.12.6である。もし、最新版でなければ、 ftp://ftp.sendmail.org/pub/sendmail/ から入手できる 他のアプリケーション(qmail, postfix, etc.)が利 用したければそれをインストールする必要がある 最近では、sendmailよりpostfixを使う傾向にあ る 2003/10/07 29 メールサーバの設定(2) 必要に応じて、POPやIMAPなどのMDAの サーバプログラムをインストールする 設定が終わったら、一通りテストしてみる 2003/10/07 30 コンピュータウイルスとは？ コンピュータウイルスとは、プログラムに寄生 する極めて小さなプログラムであり、自分自身 を勝手に他のプログラムファイルにコピーする 事により増殖し、コンピュータウイルス自身に あらかじめ用意されていた内容により予期され ない動作を起こす事を目的とした特異なプログ ラムです IPA(情報処理振興事業協会)のページより http://www.ipa.g.jp/security/ 2003/10/07 31 コンピュータウイルスの定義 1） 自己伝染機能 自らの機能によって他のプログラムに自らをコピーし又はシステム機能を 利用して自らを他のシステムにコピーすることにより、 他のシステムに伝 染する機能 2） 潜伏機能 発病するための特定時刻、一定時間、処理回数等の条件を記憶させて、 条件が満たされるまで症状を出さない機能 3） 発病機能 プログラムやデータ等のファイルの破壊を行ったり、コンピュータに異常な 動作をさせる等の機能 通商産業省の「コンピュータウイルス対策基準」より 2003/10/07 32 ウイルス今昔物語 昔のウイルス FDなどの外部媒体を経由する場合が多く、自己伝製瀬にはそ れほど高くなかった 時には破壊的なウイルスが蔓延することがあったが、多くは自 己顕示的なものであった 今のウイルス 電子メールやWEBなど、利用可能な伝染媒体を駆使するワー ムタイプ（自己伝染性の強いもの）が主流となっている ファイルを実行すくことで伝染するものにとどまらず、スクリプト タイプのように、各種アプリケーションの問題点を突くような、複 合型ウイルスとなっている（Nimdaなど） 破壊活動やDDoS攻撃など悪質なものが多くなってきている 2003/10/07 33 ウイルス被害の届け出件数 (2002) 2002年ウイルス届出状況 2500 2000 20352件 1500 届け出件数 1000 500 0 2002年1月 2002年3月 2002年5月 2002年7月 2002年9月 2002年11月 年月 2003/10/07 34 ウイルス被害の届け出件数 (2003) 2003年ウイルス届出状況 2500 2000 10741件 1500 届け出件数 1000 500 0 2003/10/07 2003年1月 2003年2月 2003年3月 2003年4月 2003年5月 年月 2003年6月 2003年7月 2003年8月 35 ウイルス被害の届け出件数 (1990～2003) 25000 20000 15000 届け出数 10000 1990は4月～12月 2003は1月～ 8月 5000 0 1990 2003/10/07 1993 1996 1999 2002 36 2003年8月の状況 IPAの2003年8月の被害届け出状況による(http://www.ipa.go.jp/security/txt/2003/09outline.html) 被害届け出件数： 2,014件（今年度最悪） 相談件数： 3,065件 感染実害率： 21.4%（22ヶ月ぶりに20%超） 届出ウイルスの種類：36種類 新種ウイルス ：W32/MSBlaster, W32/Mimail, W32/Welchi, W32/Antinny Windows/DOS系：1,879 、マクロウイルス及びスクリプト系：134、 Mac系及びUNIX系：11 一番届出の多かったウイルスW32/Sobig 感染経路：メールにより感染したケースが最も多い（届出件数の 78.2％の割合を占める、不明・その他が増加していることも注目） 2003/10/07 37 W32/MSBlaster 被害が拡大した要因は、 ・ Windows XP/2000 などは購入したままの状態で影響を受けるセキュリティホールがあった ・ そのセキュリティホールを修正する等の予防策がとられなかった などが挙げられる。 2003/10/07 38 感染を防ぐには 1）最新のウイルス定義ファイルに更新し、ワクチンソフ トを活 用すること 2）メールの添付ファイルは、開く前にウイルス検査を行 うこと 3）ダウンロードしたファイルは、使用する前にウイルス 検査を 行うこと 4）アプリケーションのセキュリティ機能を活用すること 5）セキュリティパッチをあてること 6）ウイルス感染の兆候を見逃さないこと 7）ウイルス感染被害からの復旧のためデータのバック アップ を行うこと 2003/10/07 39 ウイルス感染の種類 ブートセクタ型ウイルス ファイル感染型ウイルス マクロ型ウイルス MS-WORDマクロウイルス MS-EXCELマクロウイルス スクリプト型ウイルス VBスクリプトウイルス JAVAウイルス 2003/10/07 40 メールの添付ファイルに関する 注意 1） 見知らぬ相手先から届いた添付ファイル付きの メールは厳重注意する 2） 添付ファイルの見た目に惑わされない 3） 知り合いから届いたどことなく変な添付ファイル付 きのメールは疑ってかかる 4） メールの本文でまかなえるようなものをテキスト形 式等のファイルで添付しない 5） 各メーラー特有の添付ファイルの取り扱いに注意 する 2003/10/07 41 メールの添付ファイルに関する 注意（１） 1） 見知らぬ相手先から届いた添付ファイル付 きのメールは厳重注意する 見知らぬ相手先から送信されたメールの添付ファ イルについては、安全を確認することが難しく、また、 ほとんどのケースが自分に必要ないものであるの で、無条件に削除することが望ましい。 2003/10/07 42 メールの添付ファイルに関する 注意（２） 2） 添付ファイルの見た目に惑わされない テキストファイル（拡張子「.txt」）や画像ファイル（拡張子 「.jpg」）などの、ウイルスに感染することのないファイルに見 せかけた添付ファイルを送りつけるウイルスが発見されてお り、注意が必要である。 添付ファイルは、見た目に惑わされず、プロパティで拡張 子を表示するなどによりファイル形式を確認し、ファイルを実 行するアプリケーションを把握するとともに、自分に必要なも のかどうかを判断したうえで使用するべきである。 2003/10/07 43 メールの添付ファイルに関する 注意（３） 3） 知り合いから届いたどことなく変な添付ファイル付 きのメールは疑ってかかる メールを送信するタイプのウイルスが激増しており、知り合 いから送信された添付ファイル付きのメールは、送信者の知 らない間にウイルスが送信している可能性が ある。巧妙に 添付ファイルを開かせるような心理をついてくるので、このよ うな知り合いからのメールこそウイルスの疑いを持って接す る必要がある。 メールに付帯の情報（メール本文等）もウイルスが作成 し ている可能性があるため、これらの情報も信用せず、 例え ば先方に問い合わせるなどにより安全を確認して から使用 するべきである。 2003/10/07 44 メールの添付ファイルに関する 注意（４） 4） メールの本文でまかなえるようなものをテキス 形式等のファ イルで添付しない 受信者にウイルス検査の作業負担を生じさせることに なり、また、検 査を行ったとしても不安感を完全にぬぐいさることはできないので、添付 ファイル付きのメール送信は避ける。 必要にせまられ添付ファイル付きでメールを送信する場合には、当該 ファイルのウイルス検査を行ってから実 施するようにし、あわせてメール に付帯の情報（メール 本文等）以外で、添付ファイルを付けた旨とその 内容を事前に先方に伝えるような配慮が望ましい。 一方、このようにして届けられたものでも、受信者はウイルス検査後使 用するという用心深さが必要である。 2003/10/07 45 メールの添付ファイルに関する 注意（５） 5） 各メーラー特有の添付ファイルの取り扱いに注意 する メーラーの設定、メーラーの特殊性などの添付ファイルの 取り扱いに関連する事項をよく把握して使用することが重要 である。 例えば、一部のメーラーでは、受信時に添付ファイルをあ らかじめ指定されたフォルダに自動的に展開しファイル保存 する。このようなメーラーを使用している場合は、ウイルス検 出などでメール本文ごと添付ファイルを削除した時に、保存 されている複製も忘れずに削除されるような設定にする必要 がある。 2003/10/07 46 検証：Nimdaに見る新世代ウイ ルスの類型 Nimda 全方向ウイルス：これまでのウイルスが持ってい た感染拡大機能を併せ持つ サーバ、メール両方を介しての自動侵入機能 IISのサーバのバグをつく IEのブラウザのバグをつく 当然Outlookを使ったメールを介しても媒介する 特定ブラウザを通じての感染機能 2003/10/07 47 検証：Nimdaに見る新世代ウイ ルスの類型（具体的な内容） このウイルスは、セキュリティホールを悪用したウイ ルスで、Windows95/98/ME/NT/ 2000で動作する。 マイクロソフト社の Internet Information Server (IIS) のセキュリティ ホールのあるシス テムに侵入するとホームページを改ざんする セキュリティホールのあるInternetExplorerで改ざんされたホーム ページを見るとウイル スに感染する クライアントが感染すると、Outlookのアドレス帳に登録されているア ドレス等にウイルス を添付したメールを送信する 添付ファイル名はreadme.exeである そのウイルス付メールを受け取ると、Outlookではメールを開いただ け で、OutlookExpressではプレビューしただけでも感染することがあ る 2003/10/07 48 検証：Klaz 毎月6日に発病しCド ライブのファイルを削除する このウイルスは、InternetExplorerの既知のセキュリティ ホールを悪用したウイ ルスで、メールの添付ファイルを介し て感染を拡げる このウイルスは、メールを開くだけで感染する可能性がある Outlook Expressではプレビューしただけで感染する場合 もある 感染しても自覚症状やウイルスメール送付先からの連絡が な いなど感染兆候がないので、発病するまで気がつかない ケース が多々ある 発病すると：毎月6日に発病し、Cドライブのファイルを削除 する 2003/10/07 49 検証：W32/MSBlasterの脅威 根本的な問題：WindowsNT/2000/XPに元から内在している 問題点を突いた（他にも別のバグがある可能性が…） IPAの観測では3分位で感染→最短では3秒で感染した 対策情報をブラウズするとかWindows Updateをダウンロー ドしようとすると感染する 対策情報そのものがWebでの公開を中心としていることを逆 手にとっている OSが再起動を繰り返すという最悪の状況に陥る 2003/10/07 50 まとめ メールは現在の必須情報交換網（イン ターネットと携帯電話を合わせると、普及 率は実に7割以上と推定される） それだけに問題点も多い ウィルス伝播 SPAMメール いやがらせメール 正しく使いましょう 2003/10/07 51
© Copyright 2024 ExpyDoc
