セミナーレポート
2012年のサイバー攻撃・暗号技術は？
「NICT情報通信セキュリティシンポジウム2012」が開催
2012年2月10日、情報通信研究機構（NICT）が「情報通信セキュリティシンポジウム2012」を開催した。クラウド・コンピューティングのセキュリティ国際標準や、世界中で頻発しているサイバー攻撃の事例紹介、暗号の開発情報など、情報セキュリティ全般の講演が行われた。
 |
| NICTが開発したネットワーク攻撃可視化ツール“nicter”の画面 |
「ボットネット」が主役
今年で6回目の開催となる今回のシンポジウム。まずは利用が進むクラウド・コンピューティングについて、NICTネットワークセキュリティ研究所の中尾康二氏が講演を行った。中尾氏によると現在、数万台単位の端末を利用して一斉に攻撃を仕掛けるDDoS攻撃、フィッシング詐欺への流入など、一連の攻撃が「ボットネット」によって行われるのが主流になっているという。
サイバー攻撃が多国間にわたる中、国際標準化組織ITU-T（国際通信連合・電気通信標準化部門）＊の中にクラウド・コンピューティングのためのセキュリティ対策を考えるフォーカスグループ（FG）が立ちあげられている。FGでは、「クラウド・コンピューティングとは」というクラウド自体の定義づけを含めたクラウド・コンピューティングのセキュリティを標準化するための作業が進められている。
「クラウドのセキュリティをどのようにハンドリングしていくか、という『マネジメントの軸』と、暗号技術などの『テクノロジーの軸』が必要」と、標準化活動のポイントを述べた。
クラウドのセキュリティ研究は、米国企業を中心とするクラウドの業界団体CSA（Cloud Security Alliance）のほか、NIST（米国国立標準技術研究所）も行っている。中尾氏は「こうした団体が個別に研究するよりも、連携してより完成度の高いドキュメントにする必要がある」とも訴えた。
セキュリティの共通言語「CYBEX」
様々な組織でセキュリティ研究やサイバー攻撃情報を共有するに越したことはないが、どんな事象が発生したのかを記録するには、共通のフォーマットがないと不便である。「様々な組織で全く同じ現象のインシデントを話す際、言葉が違ってくる場合が多い」とNICTの松尾真一郎氏は講演で述べたが、そうした問題を解消するための指標となるのが「CYBEX」と呼ばれるフレームワークだ。
CYBEXはITU-Tで議論されているセキュリティ情報交換のための国際標準だ。ソフトウェアの脆弱性が発見された時、どのように記述すればよいか、ハードウェアなどの機器はどのように表記するか、などの内容が盛り込まれている。共通の表記にすることによって、電話やメールなどでのやり取りで発生してしまう認識の食い違いが起こりにくくなることを目指している。
CYBEXは表記のフォーマットが作られているが、どのようなプロトコルを使って送信するかということも今後検討されていくという。
 |
 |
|
|---|---|---|
| クラウドの国際標準を解説する中尾氏 | 関数型暗号を紹介する松井氏 |
サイバー攻撃へのあり方は
暗号技術については、三菱電機 情報技術総合研究所の松井充氏が講演し、「関数型暗号」と呼ばれるものを紹介した。現在インターネット上で利用されている暗号技術は、共通鍵暗号と公開鍵暗号が主流だ。WEBサイト上でよく見られる「SSL」は2つを組み合わせて作られたものである。
従来の公開鍵暗号は、1つの公開鍵に対応する秘密鍵が1つである（詳しくは連載「暗号と暗号史第8回」を参照）。
松井氏が紹介した関数型暗号は、1つの公開鍵と複数の秘密鍵を対応させることができるという。こうすると、企業内で使う際は、文書作成時に「総務部の課長のみ」と公開する範囲を決めてネットワーク上に保存し、これを見ることができるのはその肩書き（属性）を持った人だけが復号できる仕組みが可能となる。
また、関数型暗号はプライバシー保護もできる、と松井氏は述べた。大学側が行うアンケートで「大学2年、必修科目は●●」という属性を持っている人が対象の場合、アンケートに答える学生は他の情報を出すことなく、開示することができる。もし学生が「大学4年」と嘘をついていたとしても、嘘をついた、ということがばれるだけで、他の情報が解読されることはないという。
関数型暗号は現在概念が出来上がった段階で、実装には10年程度はかかると言われている。
一方、サイバーディフェンス研究所の名和利男氏は、「サイト書き換えなどは今現在も起こっているもの」と、自身の講演直前に発生したWEBサイトの改ざん事例をスライドに表示しながらサイバー攻撃が連続性のものであることを主張した。
今回のシンポジウムでは、NICTが開発しているサイバー攻撃可視化ツール「nicter」も紹介された。しかし、技術と運用の両輪がうまく回らなければ、情報セキュリティ対策は不十分と言える。技術開発もさることながら、こうした技術をどのように運用していくかが重要だ。セキュリティ対策は、運用次第で有効にもなれば無意味にもなることを改めて認識した。
【セミナーデータ】
- イベント名
- ：NICT情報通信セキュリティシンポジウム2012
- 主催
- ：情報通信研究機構（NICT）
- 開催日
- ：2012年2月10日
- 開催場所
- ：ベルサール九段（東京都千代田区）
【関連カテゴリ】
情報セキュリティ
注釈
＊：ITU-T（International Telecommunication Union-Telecommunication sector）
国連の下部組織で、通信に関する国際標準を策定する部門。