phishing とは

phishing attacks
慶應義塾大学政策・メディア研究科1年
(C班) 三島和宏/白畑真/仲山昌宏
{three,true}@sfc.wide.ad.jp
課題から

問1:


これまでの授業の理解を元に、現状の社会システムにおけ
るセキュリティ上の脅威を挙げなさい。このとき、5つの視点
からその脅威に対する言い分を考察し、解決すべき具体的
な問題点を抽出しなさい。また、ユーザの視点からネットワ
ークに対する具体的な要求事項を整理しなさい。
問2:

問１で取り上げた問題に対して、社会・技術の両側面を考慮
したセキュリティアーキテクチャを提案しなさい。提案では「
問題」と「解決のアプローチ」を明確にし、セキュリティアーキ
テクチャの構築プロセスのシナリオを明示しなさい。
2
phishing とは



メールとWebサイトを組み合わせた詐欺の一種
企業からのメールを装い、偽のWebサイトに誘導
偽のWebサイトでは、ユーザの個人情報やクレジット
カード番号の入力を要求
phisher

実際には…


victim
CitibankやeBayなどの著名企業が標的に
日本でもYahoo! JapanやVISAを騙ったメールが
送信される
3
5つの視点とPhishing

テクノロジ



組織



保険等のコスト上昇
世界


ブランドイメージの低下
顧客対応等に伴う経済的損失
社会


“偽装”のためのテクノロジ
“偽装”防止のためのテクノロジ
インターネット上のアプリケーションに対する信頼低下
個人


クレジットカード番号や個人情報の流出
経済的損失とプライバシーの侵害
5
個人の被害

セキュリティホールはソフトウェアだけではない



釣られなかった場合



ユーザの心理
• ソーシャルエンジニアリング的側面
“口座の確認”など言葉巧みに入力を誘う
SPAMメールとしての側面
• 不要なphishingメールを読む負荷
真正なメール/Webサイトを確認するコスト
釣られた場合


クレジットカード番号や個人情報の流出
経済的損失とプライバシーの侵害
6
課題から

問1:


これまでの授業の理解を元に、現状の社会システムにおけ
るセキュリティ上の脅威を挙げなさい。このとき、5つの視点
からその脅威に対する言い分を考察し、解決すべき具体的
な問題点を抽出しなさい。また、ユーザの視点からネットワ
ークに対する具体的な要求事項を整理しなさい。
問2:

問１で取り上げた問題に対して、社会・技術の両側面を考
慮したセキュリティアーキテクチャを提案しなさい。提案では
「問題」と「解決のアプローチ」を明確にし、セキュリティアー
キテクチャの構築プロセスのシナリオを明示しなさい。
7
フィッシング問題の本質

問題: 偽造されやすいシンボルに基づき、ユーザが
「偽物」を「本物」であると信じること

解決のアプローチ





別の方法で真正性を確認する
よくフィッシングに使われるテクニックに対抗する
ユーザをフィッシングの脅威から隔離する
フィッシングの実施に伴う社会的コストを上昇させる
ユーザに対する教育
8
フィッシング被害を防止できる箇所
フィッシングメール
 フィッシングサイトへのアクセス
 機密情報(クレジットカード番号等)の送信

3
2
phisher
1
victim
9
解決のアプローチ(1)


別の方法で真正性を確認する
Webブラウザのアドレス欄やステータスバーの
偽装工作


実際にそのURLをWebブラウザに入力してみれば良い 
画面上のURLをOCRし、認識した文字列で確認用の
Webブラウザを開くなど
アドレスバーまで偽造されたWebサイトの例
(Windows XP SP2未適用のIEの場合)
10
解決のアプローチ(1)

Webサイトをホストしているサーバの情報を表示

Netcraft Anti-Phishing Toolbar
•
http://news.netcraft.com/archives/2004/12/28/netcraft_antiphishing_toolbar_available_for_download.html
SOIのWebサイト(www.soi.wide.ad.jp)を閲覧した場合
おおよそのサーバの運用開始日時
 サーバの知名度
 WebサイトをホストしているIPアドレスが割り当てられている
国名および組織名
Webブラウザのアドレス欄以外の方法で真正性を推定

11
解決のアプローチ(1)

S/MIMEの利用



受信時に電子署名を検証
電子メールの内容改ざんを防止
Fromアドレスの真正性の保証
• 電子証明書の発行ポリシによる
12
解決のアプローチ(2)


よくフィッシングに使われるテクニックに対抗する
フィッシング詐欺にはセキュリティホールが
悪用されるケースが多い



Internet Explorer: Windows Update
Mozilla, Firefox, Opera: 自動的な
アップデートメカニズムなし
ウィルススキャンソフトの活用

セキュリティホールを悪用したHTMLファイルを
検知・アクセスを遮断
セキュリティホールを突くことを意図したコードを
含むHTMLを検知したNorton Antivirusの画面
13
解決のアプローチ(3)

ユーザをフィッシングの脅威から隔離する


ホストへの到達性を遮断



パケットフィルタリング
Sinkhole routing
コンテンツのフィルタ


End-to-end アーキテクチャは毀損されちゃうけど…
Webのフィルタリング
コンテンツの変更

例：
• SPAMらしいメールのSubjectの先頭に文字列を追加
SALE! → **SPAM** SALE!
• フィッシングっぽいWebページには警告文を自動挿入
14
解決のアプローチ(3)
Phishingサイト
IPアドレス
ブラックリスト
Phishingサイト
URLブラックリスト
phisher
victim
Phishingメール
文面ブラックリスト
15
解決のアプローチ(4)

フィッシングの実施に伴う社会的コストを上昇させる



警察当局の取り締まりの強化
被害企業による民事訴訟
釣られる人を減らす
16
解決のアプローチ(5)


ユーザに対する教育の強化
S/MIMEの信頼モデルを考えてみる
 理論上は…
 Root CAを信用する
 Root CAが保証するBridge CAを信
用
 Bridge CAが個人証明書を証明
 公開鍵暗号系により、メールが個
人証明書の秘密鍵によって
署名されたことを証明

でも実際は…


みんなが信じるのは
鍵マークや“セキュア”シール
テクノロジを信じて
いるわけではないのでは?
 メールの電子署名が真正であるこ
とを証明
 ほとんど暗黙の前提
 ソフトウェアの実装が正しく行われ
ていることを信用
 公開鍵暗号系と共通鍵暗号系を
信用
https://www
17
バランス: S/MIMEの場合
セキュリティ投資
 PKIの導入コスト







メール送信者側
メール受信者側

電子証明書の管理
(CRL等の維持管理)
ヘルプデスク運用
etc…
顧客における金銭的損失、
プライバシー侵害
顧客満足度の低下
ブランドイメージの低下
顧客対応に要するコスト



フィッシングサイトの運営IP
アドレス所有者や上流サイト
との調整
法的対応コスト



コールセンター等
問題解決に要するコスト

運用管理




教育コスト


秘密鍵の生成
電子証明書の購入
メールソフトの変更
リスク
法執行機関対応
弁護士費用
etc…
どちらが大きいか?
18
フィッシング対策アーキテクチャの構築
5つの視点において…
フィッシングに
関して被害を
受ける可能性のある
フィッシングに
対して講じうる
対応策
リスク
の洗い出し
の洗い出し
リスク分析
(頻度と金額)
現実的に
実行可能な
アプローチの実行
19
まとめ

被害に対する解決のアプローチは多岐にわたる





別の方法で真正性を確認する
よくフィッシングに使われるテクニックに対抗する
ユーザをフィッシングの脅威から隔離する
フィッシングの実施に伴う社会的コストを上昇させる
全ての対策にはコストがかかる



トレードオフの見極めが重要
現時点においてコストを負担するのは被害者
• 一般消費者による自衛策
• 著名Webサイト運営者の自衛策
全ての対策には教育が必須
20

Download Report