2018年上半期　診断結果にみる情報セキュリティの現状(2)
ネットワーク診断、スマホアプリ診断

SSL/TLSについて

―SSLとTLS 1.0以下の脆弱性が問題になってからだいぶ経ちますが、いまだに放置されているケースがあるのですね。

齊藤　はい。暗号化通信でTLS 1.0以下を許可しているシステムが、30.2％検出されました。TLS 1.0以下のままでは、暗号化された通信が、DROWN、POODLE、BEASTなど複数の既知の脆弱性によって解読され、情報漏洩などの被害につながる危険性があります。さまざまな対策はありますが、これらの脆弱性はプロトコル自体に存在するものですので、最善策は、TLS 1.0以下のサポート停止になります。

―TLS 1.3が2018年8月にリリースされましたが、認知されるまでには少し時間がかかりそうです。

齊藤　確かに、TLS 1.3が広く認知されるまでには一定の時間が必要だと思いますが、TLS 1.3への対応にいち早く取り組むことで、サービス提供者としての信頼性の向上につながります。Google ChromeやFirefoxなどの主要ブラウザでは、すでにTLS 1.3への対応が進められています。クレジットカード業界のセキュリティ基準であるPCI DSSでは、マイナーリビジョンver.3.2.1で、脆弱な暗号化方式である初期SSL/TLSの無効化が、ベストプラクティスの位置づけから要件に変更されていますし、TLS 1.3をルール化しようとする動きはすでに始まっています。

OpenSSHについて

齊藤　Webアプリケーション診断同様、ネットワーク診断でも、システムコンポーネントのバージョン・パッチ管理が徹底されていない問題が顕著に出ています。診断したシステム中、36％にバージョン・パッチ管理の問題が検出されましたが、そのうちの約3割をOpenSSHが占めています。

―旧バージョンのOpenSSHを使い続けると、どんな危険があるのですか。

齊藤　OpenSSHは、ベンダーからサポートの終了が明示的に公開されません。新しいバージョンがリリースされたタイミングで、それ以前のバージョンは、サポートが終了したとみなして差し支えないでしょう。
旧バージョンのOpenSSHを使用し続けることは、脆弱性やバグが蓄積されたシステムを放置していることになります。脆弱性を悪用されると、サービス運用妨害や重要情報の奪取、セキュリティ制限の回避など、さまざまな影響や被害を受ける可能性があります。

―そのほか、リモートデスクトップに関する問題が約2割のシステムで検出されていますね。

齊藤　はい。脆弱性が存在するリモートデスクトップや保護レベルの低いリモートデスクトップが2割弱検出されました。リモートデスクトップ機能は、遠隔からPCを操作できる便利な機能ですが、その反面、任意の場所から接続が可能な場合には、ブルートフォースアタック（総当り攻撃）という手法によって、アカウント情報を奪取される危険性があります。アカウントを奪取された場合、高い権限での処理が実行されてしまう可能性があるため、リモートデスクトップに関わる問題では、早急な確認と対応が必要です。

齊藤　コンポーネントなどのシステムの脆弱性を狙うマルウェアやサイバー攻撃は、国内外で後を絶ちません。古いバージョンのコンポーネントを使用し続けることは、脆弱性を積み重ねることになり、システム自体の経年劣化を早めることになります。日々、危険な状態のまま運用を継続した結果、事業継続自体が脅かされるなどの被害を受けることがないよう、システムの現状を把握し、時代の流れをキャッチアップして、積極的なセキュリティ対策を施すことが必要となっています。

―時代遅れになってしまったものは、使用せずに排除するという決断が必要ですね。では続けて、スマホアプリの診断結果についてお伺いします。

バックアップ可能な領域に重要情報が保存されている問題

―「バックアップ可能な領域に重要情報が保存されている問題」とは、どういうことですか。

齊藤　スマートフォンのローカル環境内において信頼境界を意識しない領域に重要情報が保存されていると、悪意のあるアプリに侵食されて、情報が漏洩する恐れがあります。これは、単に悪意のあるアプリをインストールしなければいい、というものではありません。近年、フルバックアップやアプリの保存データは、ローカル環境からクラウド環境に転送されるようになっています。もし転送先のクラウドやサーバに脆弱性が存在する場合、そこから情報が漏洩する危険性があるのです。

―ユーザの知らない間に、意図せず情報が流出しているかもしれないということですね。

不要なログが出力されている問題

―では2つ目の問題、「不要なログ」とは何でしょうか。

齊藤　とくに目立つのは、スマホが外部と通信した際のアクセスログで、API認証に伴うトークン制御や暗号化に関わるキー情報などを含むものです。また、デバッグモードのまま利用された場合に、認証情報などの機微な情報が露出するケースもあります。これは、セキュリティの観点から推奨されません。
今は、個人情報やプライバシー情報の保護について、世界的に法規制が整備されつつあります。たとえば、スマホ機能の位置情報を活用するナビゲーションやお店検索などのサービスアプリの場合、アプリ提供側で位置情報を収集する機能を開発してログに格納することが可能ですが、位置情報を取得する際にユーザの同意を得るようになっていないと、規則違反とみなされ、懲罰の対象になる可能性があります。

―ユーザの知らないところで、プライバシー情報を活用するのは許されないのですね。Web、ネットワーク、スマホのいずれにおいても、技術や法規制の動向をいち早くつかみ、セキュリティを確保していく必要があるといえますね。
齊藤様、どうもありがとうございました。
SQAT® SECURITY REPORTには、各種セキュリティ診断結果による現状分析だけでなく、旬のトピックが多数掲載されています。本レポートは、[SQAT® SECURITY REPORT]よりダウンロードいただけますので、ぜひ、ご覧ください。