October/22/2003 ネットワーク社会におけるセキュ リティの重要性 大阪市立大学 創造都市研究科 都市情報学 情報基盤研究分野 学術情報総合センター 中野秀男

Presentation on theme: "October/22/2003 ネットワーク社会におけるセキュ リティの重要性 大阪市立大学 創造都市研究科 都市情報学 情報基盤研究分野 学術情報総合センター 中野秀男"— Presentation transcript:

1 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 大阪市立大学 創造都市研究科 都市情報学 情報基盤研究分野 学術情報総合センター 中野秀男 nakano@media.osaka-cu.ac.jp http://www.media.osaka-cu.ac.jp/~nakano/

2 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 全体の構成 インターネット / インターネット技術 情報ネットワーク セキュリティとは セキュリティの層 個別（アプリケーション）のセキュリ ティ セキュリティ管理 情報通信倫理

3 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 インターネット概論 インターネットの歴史 1970(ARPANET)-1983(TCP/IP,The Internet)- 1990,1993( 商用利用可 )- 現在：あって当たり前 インターネット技術の変移：技術 → 利用 → 文化 １．電子メール、ファイル転送、電子ニュース ２． WWW system( ホームページ ) Web-based system ３．インターネット放送, インターネット会議

4 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 インターネットの現状 キャリアとコンテンツの住分け 通信媒体と中身 キャリアとしてのインターネット 情報発信・共有・交換としてのインタ - ネット 新しい問題点を解決しながら前進 通信料金 セキュリティ･プライバシ･倫理 ビジネスモデル

5 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 情報システム 目的に合わせたコンピュータとソフト ウェア いろいろな組み合わせ 大型汎用計算機と業務端末 ＵＮＩＸ系サーバとＰＣ端末 WindowsNT サーバと Windows95,98,2K 端 末 集中、分散、アウトソーシング CPU, ファイル， I/O オープン系、クローズ系、官と民

6 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 セキュリティ セキュリティは計れる オープンシステムの脆弱性 ハッカーではなくクラッカー：レベル１，２， ３ 増え続けるアタック ＳＰＡＭ、ＳＰＡＭの踏み台攻撃 ホームページの書き換え コンピュータ・ウィルス 簡単になる攻撃、難しくなる防御 Tiger Team （外部監査チーム） IDS （侵入検知システム）

7 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 インターネットのセキュリ ティ 攻められながら改善されている セキュリティ ｘ 利便性 ＝ 技術力 ｘ 運 用力 守るツールと破るツールは表裏一体 アクセスコントロールと個人識別 CERT advisory ファイアウォール（防火壁） ＳＯＨＯ時代のセキュリティ技術

8 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 セキュリティ対策は １．技術 ２．規則、法律 ３．モラル、倫理、教育 保険もあります

9 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 暗号について 目的： データの秘匿化と認証 専門家： 研究と実践 種類： 慣用暗号と公開鍵暗号 暗号の強さ： 解読に要するリソース量 理論から実践へ 慣用暗号と公開鍵暗号 慣用暗号： 鍵をすべて秘密にする 公開鍵暗号： 片方の鍵を公開

10 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 サーバ・クライアント クライアント（マシン、ユーザ）を信 用するか 知識だけがあるユーザが増えた サーバ・マシンを信用するか CRACK 版のコマンド ３ tier モデル Netscape - WWW server – Database 最近は P2P モデル： Peer to Peer

11 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 対象と守るべきもの 対象 ネットワーク管理者 ユーザ 守るべきもの セキュリティ プライバシー 大事な情報通信倫理

12 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 認証 カテゴリー ユーザ～ホスト間 ホスト～ホスト間 ユーザ～ユーザ間 要素 身体情報 (Something You Are) 知っている事 (Something You Know) 持っているもの (Something You Have)

13 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 パスワード（１） Bad Password 辞書に載っている単語は使わない ＣＲＡＣＫ攻撃 Good Password 文章の単語の頭文字に数字記号を挿入 8 文字のパスワードの弱さ そろそろ Pass-phrase

14 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 パスワード（２） 自分のファイルが破壊されるだけでな い 利用される踏み台攻撃 組織内では適正な指導を パスワードのない人は使用禁止 パスワードの見える telnet これからはパスワードとＩＣカード か？ 増える One time password

15 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 セキュリティ・ホール セキュリティ的な対策がされていない 穴 ＣＥＲＴから報告されている Computer Emergency Response Team 良く使われているものほどアタックさ れる 報告された穴は塞ぐ 表裏一体のセキュリティ監視ソフト ＣＲＡＣＫ，ＩＳＳ，ＳＡＴＡＮ

16 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 セキュリティの層（ネット ワーク） １層：物理的なセキュリティ ２層：１つのネットワークでのセキュ リティ ３層：コンピュータ間のセキュリティ ４層：プログラム間で共通なセキュリ ティ ５層：セッション毎のセキュリティ ６層：文字列、画像等のセキュリティ ７層：特定のプログラム間のセキュリ ティ

17 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 物理的なセキュリティ（環 境） 火災･煙･ほこり（ファン） 地震（阪神淡路大震災） 爆発（阪大爆発事件） 温度の上昇と下降 虫（小さな虫） 電気ノイズ（電源 ON/ ＯＦＦ） 雷（廊下にイーサ） 湿気･水（コーヒー）･飲食物（煎餅 等）

18 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 物理的なセキュリティ（破壊 欲） ネットワーク･ケーブル ネットワーク･コネクタ 部屋の無断侵入 機器の持ち出し

19 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 物理的なセキュリティ（盗 聴） ワイヤによる盗聴 (passive,active) イーサネットでの盗聴 対策： Secure IP （暗号化） 無線による盗聴 端末の補助ポート 電磁波漏れ ディスプレー、プリンタケーブル

20 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 IP/TCP 層におけるセキュリ ティ Ping of Death( 大きなＰＩＮＧパケット ) ネットワーク・スヌーピング（覗き 見） メッセージ応答を記録して後から不正 使用 メッセージ変更 メッセージ遅延と拒否 アドレス・マスカレーディング ルーティング攻撃

21 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 アプリケーションのセキュリ ティ ＳＭＴＰ（電子メール）：成りすまし ＰＯＰ（電子メールの受信） ＮＮＴＰ（電子ニュース） :INN 攻撃 ＷＷＷシステム（サーバとブラウザ） telnet （遠隔端末）：パスワードが見え る SSL Telnet や ssh(secure shell) TCP Wrapper

22 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 暗号化電子メール 本文の秘匿化 本文の認証（書き換え防止） 発信者の認証（なりすまし防止） 代表的な暗号化電子メール ＰＥＭ (Privacy Enhanced Mail) ＰＧＰ (Pretty Good Privacy) でも最後は人と人の信頼関係

23 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 ＷＷＷのセキュリティ セキュアソケット層（ＳＳＬ） セキュアＨＴＴＰ（Ｓ - ＨＴＴＰ） ＷＷＷブラウザのセキュリティ 保護なしフォームの提出の問題 java 等のセキュリティホール ホームページの書き換え バッファーオーバーフロー攻撃 これからは商取引に

24 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 大阪市立大学の場合（１） 全学のファイアウォールは Packet Filtering 各部局はそれに準じるかきつく ＯＣＵＮＥＴ運用の指針に明記 教員や研究目的は基本的にフリー 情報処理教育システムは学内のみ到達 ＷＷＷは Proxy Server でカバー

25 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 大阪市立大学の場合（２） 学術情報総合センター内は機能毎に フィルター 一部の業務は物理的に別のネット パスワードのないアカウントは認めな い ネットワーク上での問題は トラフィックの運用上の問題以外は 当該の部局や委員会で対応

26 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 セキュリティ管理 組織内の規則とガイドライン 階層的セキュリティ管理 外からのアタックと、内からの情報漏 れ 外からのアタックと、内の犯罪者 ログと情報収集 ( ｓｅｃｕｒｉｔｙ ｈｏ ｌｅ ) SOHO 環境でのセキュリティ管理 公開の場でのセキュリティ管理

27 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 トータルなセキュリティ セキュリティ ｘ 利便性 ＝ １ セキュリティ ｘ 利便性 ＝ 技術力 セキュリティ ｘ 利便性 ＝ 技術力 ｘ 運 用力 セキュリティ ｘ 利便性 ＝ 技術力 ｘ 気 力

28 October/22/2003 ネットワーク社会におけるセキュ リティの重要性 情報倫理 倫理基準は時代とともに変わる ホームページの著作権 カード時代におけるセキュリティと倫 理 不幸のメール : chain mail 匿名通信 プライバシーの保護