DBSJ 2020年度第1回セミナー　オンライン講義・学会発表におけるセキュリティ問題

1. オンライン講義・学会発表に
おけるセキュリティ問題
立命館大学情報理工学部 上原哲太郎
＠ 2020年度 第1回DBSJセミナー「コロナ時代のデータお作法」

2. 自己紹介
上原哲太郎（うえはらてつたろう）
• 専門はシステム管理・セキュリティ・
デジタル・フォレンジックなど何でも屋
• 神は細部に宿るというがセキュリティ的には
悪魔が細部に宿ると信じている
• 大学のシス管・事務情報化経験20年
自治体セキュリティ20年以上
総務省勤務（2011～13 通信規格とセキュリティ）
• （一財）情報法制研究所理事
NPOデジタル・フォレンジック研究会副会長
NPO情報セキュリティ研究所理事
• 京都府警・和歌山県警・滋賀県警
サイバー犯罪対策のアドバイザー
• 芦屋市CIO補佐官
• 政府系委員はいろいろ
公文書管理委員会専門委員
CRYPTREC各委員
総務省自治体セキュリティポリシー改訂
経産省サイバーフィジカルセキュリティガイドライン
内閣府接触確認アプリ
2020年度 第1回DBSJセミナー
2

3. パンデミックは「ついに」やってきた
2020年度 第1回DBSJセミナー
3
想定されて
いなかった？
準備が十分では
なかった！

4. 突然はじまる「新しい日常」
2020年度 第1回DBSJセミナー
4

5. 遠隔会議・講義＆オンライン学会
…プロトコルで見ると
2020年度 第1回DBSJセミナー
5
H.323 WebRTC 独自
標準は確立
マルチベンダ可
ほぼ拠点間専用
家庭内に不向き
FW問題多々
Webブラウザのみ
で接続可能
仕様・実装が未熟
NAT/FW問題もあり
会議・講義等には
他の標準も必要
接続トラブル
極小
クライアント
アプリが必要
相互接続性なし

6. どれにする?問題
2020年度 第1回DBSJセミナー
6
画質?音質?
安定性?
挙手…
投票…
価格!
ユーザ登録?
認証連携?
クライアントの
使いやすさ
セキュリ
ティ！
利用者や接続
相手は繋がる?
※ロゴ・サービス名は
各社の商標です

7. 何故セキュリティが問題になった?
• Zoom bombing
• 会議番号の
桁数が当初小さく
総当たりで簡単に
会議に潜り込めた
• 悪戯…だが
「誰でも会議に
割り込める」
これでよいのか
2020年度 第1回DBSJセミナー
7

8. Zoomに続々みつかる脆弱性
• 2019年7月 Mac版クライアントに
乗っ取り可能な脆弱性
• 2020年3月 iOS版クライアントが
FacebookにAnalyticsデータを送信
• 2020年3月 Mac版クライアントがOSの
セキュリティ機能を回避するほか複数の脆弱性
• 2020年4月 Windows版クライアントに
認証情報を詐取されかねない脆弱性
• 2020年7月 Windows版クライアントに
ゼロデイ脆弱性
• 細かいものはさらにいっぱい…
2020年度 第1回DBSJセミナー
8

9. Zoomは大丈夫なのか？？
• 2020年4月3日
Citizen Labの暴露
• 暗号はAESだが
暗号運用モードに
ECBを使っている!
• ZoomはE2E暗号化を
標榜していたが
サーバで復号できる
• しかもその暗号鍵が
（限られた場合だが）
中国のサーバに
転送されている?!
2020年度 第1回DBSJセミナー
https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-
a-quick-look-at-the-confidentiality-of-zoom-meetings/
9

10. あちこちで…
2020年度 第1回DBSJセミナー
10
Zoomは米上院も
米XXX州の学校も
あの米有名企業も
この日本企業も
禁止したと言うぞ?
ウチで採用して
大丈夫なのかね?！
ここでアンケートとります！

11. Zoom Eric S. Yuan CEOの
ブログ投稿(4月)
• セキュリティと
プライバシーの
問題をお詫び
• End-to-End暗
号化(E2EE)に
取り組むことを
約束
• そして、昨日…
2020年度 第1回DBSJセミナー
11https://blog.zoom.us/ja/a-message-to-our-users/

12. Zoom 5.4以降にE2EE実装
• Zoom
2020年度 第1回DBSJセミナー
12
クライアントを5.4.0以上にして
アカウント管理者がE2EEを
有効にすれば使える
SIP/H.323連携や
Lync/Skype連携は無効になる
（E2EEだから!）

13. …そういう問題だっけ?
• 暗号化しても
鍵を持っていれば復号可能
• …鍵は誰が持ってるの?
どうやって確かめるの?
2020年度 第1回DBSJセミナー
13
暗号化ヨシ！

14. そもそもWeb会議システムとは
• サーバで通信品質・画質音質を判定
場合によっては再変換
• なので普通はサーバは通信を見ている
• 暗号化するにしても鍵管理が必要
メンバが増減すれば
鍵更新が必要なので煩雑
• 「暗号鍵はクライアントにしか
ありません!」を確かめる方法は?
2020年度 第1回DBSJセミナー
14
サーバ ?

15. パブリッククラウドサービスは
「信頼」して使うしかない
• なので認証制度がある
•従来のISMSおよびPマーク制度
•ISO27017、SOC1/2/3等、FedRAMP
•「政府情報システムにおける
クラウドサービスの
セキュリティ評価制度」
• あとは判る範囲でやる
•クライアントの脆弱性発見と修正ペース
•その他「事故頻度」など
2020年度 第1回DBSJセミナー
15

16. サービスはまず機能と質で選ぶ
そこにセキュリティの視点を
2020年度 第1回DBSJセミナー
16
サービスに
求める機能
参加対象 発表
講演者
セキュリティ
オンライン会議 特定少数 全員 参加者の特定・限定
秘匿性を保つ方法
資料共有の方法・秘匿維持
オンライン講義 特定多数 基本1人 参加者の特定・限定
講義資料の保護(著作権法35条)
参加者同士の対話の制御
オンライン学会
Webinar
不特定多数 特定少数 参加者の特定・限定
匿名・仮名参加者の扱い
質問の取り方（荒し対策）
オンライン講義や学会に限れば
一番厄介なセキュリティ問題は避けられる

17. 参加者限定・特定の手法
2020年度 第1回DBSJセミナー
17
次の講義は
https://xxx…
にアクセス!
共通鍵方式
次の講義は
受講登録者
A,B,C君に
個別認証方式
A
B
C
D
共通鍵だと
URL等の
「鍵」管理が
必要
個別認証は
参加者管理が
煩雑に

18. オンライン講義の
セキュリティ諸問題
• 「野良聴講者」問題
• 例えば共通鍵方式の場合…
• 学生がTwitterでURL呟く→漏洩→野良発生
• 大学では教務システムと認証連携が理想
• 講義資料の著作権問題
• 配布手法を間違えると35条適用除外に
• 配布URL等がちゃんと管理できる?
• 聴講者のコミュニケーショントラブル
• 参加者同士でワークショップ等させたく
なることがある一方でトラブルの元にも
2020年度 第1回DBSJセミナー
18

19. オンライン学会の
セキュリティ諸問題
• 「野良参加者」問題（特に有料の場合）
•共通鍵は漏洩しやすい
•個別認証には利用者登録が必要であるが煩雑
利用者IDの本人確認のレベル
（アイデンティティ保証レベルLoA）によっ
ては問題になるかも？
• 匿名・仮名参加を許すと
「荒し」のリスクが高まるがどうする?
2020年度 第1回DBSJセミナー
19

20. 「URLクリック慣れ」問題
• 特に個別認証方式の場合
フィッシングの温床に
•「講義のURLが変更になりました
新URLはこれです！」
→URLクリック
→認証サイトに移行
しかしこれがフィッシング
2020年度 第1回DBSJセミナー
20

21. 実際にはオンライン講義・学会
システムの「外」の問題が多い
• オンライン講義にかかる通信に備え
LANの構成を変更
（教務システムとクラウドの連携）
Firewallのルールを変更
VPN整備
→大学への攻撃リスク高まる
2020年度 第1回DBSJセミナー
21

22. 我々がずっと頼ってきたもの
• 境界線防衛モデル
Perimeter Defense Model
Intranet Internet
Gateway
安全なLAN 危険な
ネットワーク
境界線を作り
通信を制限/遮断する
ここなら
安心
2020年度 第1回DBSJセミナー
22

23. 安全に壁の中に
入れるのか?
• 境界線防衛の延長vs
新しいパラダイム
Intranet
Internet
Gateway
危険な
ネットワーク業務の
データ
2020年度 第1回DBSJセミナー
23

24. VPN接続のリスク
• VPNアクセスポイントは
攻撃者の最大の狙い目
• LAN内に入れると色々オイシイ
• LAN内に大したものがなくとも…
• 認証はID/PWだけでは不十分
多要素認証を導入するべき
• VPNを使う端末の
「無防備な瞬間」に注意
• VPN前にインターネット接続が必要
• 端末にネット接続手段が複数ないか？
2020年度 第1回DBSJセミナー
24

25. VPNさえ越えられれば…
• 実は大学でも
VPN踏み台事案は
多い
• 企業等では大問題
大学でも
研究の機微性に
よっては問題
20.5.8 朝日新聞
2020年度 第1回DBSJセミナー
25

26. 今年7月発表された事案
BYOD端末を
入り口に
2020年度 第1回DBSJセミナー
26

27. VPN装置そのものの脆弱性に起因する問題
• 特定のVPN装置の
脆弱性情報が
闇で出回り
一気に危殆化
• 被害は
確認されて
いないが…
20.8.27 産経新聞2020年度 第1回DBSJセミナー
27

28. そもそも現時点の脅威は…
• バタバタで動かしてしまったこと
システム変更
いつまで？
突然の
ポリシー変更
データ持出し
許可制へ
本人確認が
難しく
サイバー攻撃
凡ミス増加
2020年度 第1回DBSJセミナー
28

29. まとめ
• オンライン講義・学会の
セキュリティ問題は…
•どのサービスを利用するのかの選定問題
•サービス固有のトラブルへの不安
•そのサービス利用にあたっての
システム変更が生み出した問題
•サービス運用に伴い増加した
リスクの問題
2020年度 第1回DBSJセミナー
29