セキュリティと暗号の仕組み

共通科目情報処理（上級）、インターネットの仕組み、2003年02月14日

                                       電子・情報工学系
                                       新城 靖
                                       <yas@is.tsukuba.ac.jp>

このページは、次の URL にあります。
http://www.hlla.is.tsukuba.ac.jp/~yas/ipe/taiiku-kougi-2002/2003-02-14
あるいは、次のページから手繰っていくこともできます。
http://www.hlla.is.tsukuba.ac.jp/~yas/ipe/
http://www.hlla.is.tsukuba.ac.jp/~yas/index-j.html
http://www.ipe.tsukuba.ac.jp/~yshinjo/

■今日の重要な話

セキュリティ

インターネットを流れるデータは、簡単に盗聴可能な形で流れている。
通信する時には、通信相手は IP アドレスを知ることができる。
サーバ上のファイルのモードに気を付ける。電子メールを保存しているファイルが600になっているか ls -l で調べる。

暗号

キーワード
- 暗号
- 平文
- 暗号文
- 鍵、暗号化鍵、復号化鍵
分類
- 共通鍵暗号
- 公開鍵暗号
鍵を長くすると、解読しにくくなる。
パスワードは、しばしば暗号化の鍵として働く。
暗号化の方法（暗号化のアルゴリズム）が公開されていない暗号は、強いのか弱いのかわからない。
公開鍵暗号は、鍵の管理が楽である。
公開鍵暗号は、暗号通信の他にディジタル署名や利用者認証にも使える。

■セキュリティ

セキュリティとは、安全や機密を保持すること。

◆サーバ上のファイルのセキュリティ

インターネット用のソフトウェアのセキュリティを守る場合、ネットワークを流れるデータだけでなく、サーバにたまっているデータにも気を付ける。

アクセス制御
バックアップ、特権ユーザ
アクセス・ログ

個人では、自刎のファイルのモード(ls -l の rwxrwxrwx の表示)に気を付ける。

電子メールなど、たとえ自分でしか読むことができないように設定されているファイル(モードが 600 (rw-------))であっても、サーバの管理者ならば、見ようと思えば見える状態になっている。バックアップ（器機の故障に備えてコピーを作る）のため。

◆ログ

コンピュータの内部では、様々な操作のログ(log、航海日誌)が取られている。

WWW でアクセスした URL、接続元のIPアドレス
電子メールの送り手、受け手
ログインの時刻、接続元
実行したプログラムの名前

◆通信路のセキュリティ

インターネットの危険性

盗聴
破壊、改ざん
窃盗
不正アクセス（利用権限がないコンピュータを利用する）、crack

インターネットでの通信は、暗号化されていない。（１つひとつのデータグラムは、はがきと同じ。）流れるデータを見れば簡単に内容を知ることができる。

インターネットで通信する時には、通信相手に IP アドレスが渡されている。（電子メールを送る時、ＷＷＷでページを見る時など）

電話でいうと、発信者番号(caller ID)が相手に伝わっている状態である。

IP アドレスから、コンピュータの名前（ドメイン名）を調べることができる（逆引）。

普通は、利用者の名前までは、わからない。しかし、ユーザ名とパスワードを打った時にはログと付き合わせると、利用者が特定可能である場合が多い。

◆防火壁(ファイアウォール(firewall))

防火壁とは、外部のネットワークと内部のネットワークの間に設置し、内部のネットワークのセキュリティを高めるための仕組み。

インターネットの仕組みの基本：どのコンピュータとコンピュータも通信できる。

防火壁では、そのような本来の仕組みに制限を設け、特定のコンピュータとしか通信できないようにしたり、特定のサービスしかつかえないようにする。

攻撃の対象となるコンピュータの数を減らし、集中的に侵入対策を施すことで、セキュリティを高める。

防火壁構築は、様々な技術の集合：

パケット・フィルタリング: TCP/IP の特定のサービスを特定の方向について遮断する。
例：ファイアウォールの内側から外側への電子メールの送信は許すが、逆方向は許さない。
プライベート・アドレスの利用: 壁の内側で、プライベート・アドレスと呼ばれる、インターネット上では決して利用されないことが保証されているIPアドレスを用いる。プライベート・アドレスを使うと、インターネットの外から直接攻撃されることはない。壁の外側をアクセスする時に、「壁の上」で、外でも通じるIPアドレスに付け変える。

壁の上：壁の内側のコンピュータも壁の外側ののコンピュータも、両方にアクセスできる場所。

2000年5月1日に、筑波大学の入り口でパケット・フィルタを行うようになった。

壁を越える時には、壁の上で WWW Proxy を動かすことがある。

◆悪意があるプログラムとコンピュータ・ウイルス

コンピュータ・ウイルスは、悪意があるプログラム(malicious program)一種で、次のような性質を持つもの。

他のプログラムに寄生する
悪さをする
自分自身のコピーを広げようとする

活動

感染
潜伏
発病

◆トロイの木馬とワーム

トロイの木馬(Trojan Horse)は、他のプログラムに寄生しない。利用者を騙して実行されるのを待つ。

ワーム(worm)は、他のプログラムに寄生しない。

世の中で「ウイルス」と呼んでいるものの中には、トロイやワームに分類されるものが多い。

◆悪意があるプログラムの場所

ローカル
- ウイルス
- トロイの木馬
- ワーム
遠隔のコンピュータ
- 悪意を持つクライアント
- 悪意を持つサーバ

◆防御

ローカルで働く悪意があるプログラムによる被害をを防ぐには、ローカルへの侵入を水際で止める。

ローカル
- 水際で防ぐ。入られたら終り。
- リファレンスモニタによりプログラムの実行を監視する。
遠隔のコンピュータ
- 遠隔からの送られてくるデータを疑ってかかる。
- プログラムがあった場所により権限を変える。
- プログラムに付けられたディジタル署名により権限を変える。

遠隔は、クライアントではない、第三者ということがある。－＞クロスサイトスクリプティング攻撃

◆バグ、弱点、攻撃

プログラムからバグ（誤り）を全てのバグを取り除くことはできない。バグの一部は、セキュリティ的な弱点につながる。

危険性

バッファ・オーバーフロー攻撃
シンボリック・リンク攻撃
クロスサイト・スクリプティング攻撃
DoS (Denial of Service) 攻撃、分散型DoS攻撃
危険なデフォルト

悪意を持つプログラムからの防御

悪意を持つクライアントからサーバを守る
悪意を持つサーバからクライアントを守る
トロイの木馬の｛侵入を防ぐ、実行を防ぐ｝

暗合技術を使っても防げないことがある。

技術者や管理者に求められていること。

技術、知識
倫理、道徳
甘く見ない

インターネットから受け取るデータを疑う／確認する。

◆個人で身を守る方法

技術が未熟な現在、各個人は、どうすべきか。

ある程度、技術を知る必要がある。
- cookie
- クロスサイトスクリプティング攻撃
http://www2.coins.tsukuba.ac.jp/~yas/ipe/inet-2002/tiki.cgi?c=v&p=Report3Links
大事なデータを、インターネットに接続されたコンピュータには置かない。
大事なデータを、電子メールで送らない。
サーバ上のファイルのアクセス権に気を付ける。
よいパスワードを使う
暗号を使う

特に、CGI を使う場合は、重要になる。

◆cookie

cookieは、コンピュータ・サイエンスの専門用語。

協調して動作しているプログラムの間で、ある一連の作業を識別するための数を意味する。

ＷＷＷ（World Wide Web）では、１回のデータ転送ごとに通信路が切断されるので、通常はＷＷＷのブラウザ（クライアント）とＷＷＷサーバの間では、途中経過を保持することができない。

途中経過を保存したい時：

パスワードを打って利用者を確認した後
買い物かごの中身
ＩＰアドレスが毎回違うような場合、前回アクセスしてきた人を確認する

ＷＷＷで途中経過を保存するためには、cookie が使われる。

ＷＷＷサーバが、最初にアクセスした時に利用者ごとにクッキーを生成し、ブラウザに返す。
ブラウザは、返されたクッキーをファイルに保存しておく。
ブラウザは、次に同じサーバに要求を送る時に、ファイルに保存してあるクッキーを読み出して要求とともにサーバに送る。
要求を受け取ったサーバは、要求に含まれているクッキーから、そのブラウザを使っていた人が前回どのページを訪れたかを知ることができる。

サーバは、その情報を利用して、適切なページ（たとえば前回最後に訪れたページ）を表示させるようにすることができる。

◆cookieとプライバシ

現在の cookie の実現では、利用者のプライバシーを犯す危険性が高いという問題が指摘されている。

普通のＷＷＷサーバでは、要求を送ってきたコンピュータのＩＰアドレスを記録しているので、コンピュータ単位でのアクセス状況を記録することはできるが、個人を特定することはできない。

クッキーを利用することにより、コンピュータではなくどの個人がアクセスしてきたかを記録することができる。

クッキーから電子メールのアドレスや氏名まで調べることはできない。しかし、インターネットをサーフしている間にどこかでそれを打ち込んだが最後、クッキーと電子メール・アドレスや氏名との対応が記録されてしまう危険性がある。

参考 Netscape社によるＷＷＷにおけるクッキー実現の案
http://www.netscape.com/newsref/std/cookie_spec.html

JavaScript

JavaScript は、 WWW ページを作る時に使われるスクリプト言語である。スクリプト言語を使うと、単に変数を設定することに比べて、はるかに高度な機能が追加できる。

JavaScript は、文法こそ少し Java に似ているが、Java とはまったく別の言語である。WWW ページの中の Javaアプレットは、「実行可能なインライン・イメージ」に似ているが、JavaScript の記述は、「実行可能なインライン・テキスト」に似ている。たとえば、次の例を考える。

<SCRIPT LANGUAGE="JavaScript">
<!--
for( i=0 ; i<10; i++ )
  document.writeln("<P>hello,world</P>");
//-->
</SCRIPT>

これで、<P>hello,world</P> を 10 回書いたのと同じ効果がある。<!--と //->は、JavaScriptを知らないブラウザにはコメントとして扱われる決まり文句である。関数定義などは、ヘッダ部分 <HEAD></HEAD>に書くという方法もよく使われる。

JavaScript は、CGI と似ているところもあるが、JavaScript でないとできないものに、ブラウザの制御がある。たとえば、次の例では、ブラウザの(戻る)ボタンと同じ動きをさせることができる。

<A HREF="javascript:history.back();">戻る</A>

戻る

ブラウザを制御する仕組みが、悪用される。

JavaScrit は、信頼しているサイトから送られたときだけ有効にする方法がある。クロスサイト・スクリプティング攻撃に弱い。

CGI のプログラムをつくる時には、クロスサイトスクリプティング攻撃 (cross-site scripting atack, XSS atack)に気をつける。これは、クライアントが送られてる文字列の中に<SCRIPT>のようなタグが含まれていた場合、それをそのままクライアントに送り返すと、クライアントで JavaScriptなどのブラウザ上で動作するスクリプト言語が実行されることがある。自分自身のサイトにあるフォームにはそのような問題がないとしても、別のサイト（クロスサイト）に仕組まれたフォームからスクリプトが含まれていることもある。

利用者が信頼していると設定しているホストにクロスサイトスクリプティング攻撃への脆弱性があると、悪意をもった別のサイトから危険なスクリプトを実行させることができる。

このような脆弱性があると、そのサイトの信頼性がなくなる。利用者のクレジットカード番号などが盗まれることになる。

◆基本的な対策

クライアントから送られてきた文字列は、必ず検査してから使う。

「<>」のようなタグがないかどうかを調べる。不用意に同じ文字列を送り返してはいけない。特に次のような文字は、送り返す時には、必ずエスケープする。

----------------------------------------------------------------------
画面表示	代りに送りだす文字列
&		&amp;
<		&lt;
>		&gt;
"		&quot;
----------------------------------------------------------------------

■CGIの注意事項

意図していないプログラムを実行しないようにする。

◆他のプログラムの実行(C言語)

他のプログラムを実行する時には、execve() のようなシステムコールを使い、かつ、限られたプログラムしか実行しないようにすると安全性が高くなる。クライアントから送られてきた文字列をsystem() や popen() に渡してプログラムを実行する時には、必ず検査する。特にシェルが解釈する特殊な文字「| & ; && || `」などが含まれていた場合、意図しないプログラムが実行されることがある。

char *user ;
...
snprintf(cmd,BUFSIZE,"finger %s",user );
f = poepn(cmd,"r");

もし、user に ";" や "|" が含まれていたら、、、　

f = poepn("finger yas; /bin/sh","r");

◆他のプログラムの実行(Perl言語)

Perl には、バッファ・オーバーフローの問題はない。

perl の open() には、危険性がある。 C 言語のライブラリ関数 popen() と同じ動きをすることがある。

open(FILE, "|cmd")

Perl の危険な関数、式、

open
system, exec, ``(バック・クォート)
glob, <>
eval

◆参考

産業技術総合研究所グリッド研究センターセキュアプログラミングチーム
http://securit.etl.go.jp/ )

IPA セキュア・プログラミング講座
http://www.ipa.go.jp/security/awareness/vendor/programming/

■暗号

古くから暗号が使われてきた、４つのグループ

軍隊
外交団
日誌係
恋人同士

暗号技術を甘く見たグループ

日本政府
NTT
パチンコ・カード

◆暗号に関する基本用語と安全性

暗号とは、情報の意味が当事者以外にはわからないように情報を変換することである。

図? 暗号の考え方

平文: 元の情報
暗号文: 変換された情報

平文、暗号文といっても、文字だけでなく、画像や音声などコンピュータが扱えるあらゆるデータが想定されている。

暗号化: 平文を暗号文に変換すること。暗号化鍵が必要。
復号化: 暗号文を平文にもどすこと。復号化鍵が必要。

鍵: 暗号化や複合化に必要な（短い）データ。
解読: 当事者以外の第三者が、暗号文を元にもどすこと、あるいは、復号化鍵を得ること。

暗号化や複合化の方法（アルゴリズム）は、何種類もある。

◆鍵を使うことの重要性

問：

なぜ鍵が必要な暗号化の手法を使うのか？
鍵が不要な暗号化の手法の方が便利ではないのか？

答え：

同じ暗号化の方法（アルゴリズム）を使っていたとしても、鍵を変えるだけで暗号文も変わるという性質が便利である。
- 暗号化のプログラムを作成した人でも、鍵を知らなければ平文を得ることができない。（人間がやっていた時は、暗号化をする兵隊が敵に捕まったとしても、鍵をしらないと解読されることはない。）
- 暗号化のプログラムを作る手間を軽減できる。暗号化のプログラムを１つ作っただけで、様々なデータを暗号化することができる。（人間がやっていた時は、暗号化をする方法を訓練する手間が省ける）
暗号化の手法を公開することができる。どのくらいその暗号が強いのかがわかる。

暗号化の方法が秘密になっていると、一見、より強そうにみえる。しかし、その暗号が、強いのか弱いのか調べる方法がない。攻撃すると、簡単に落ちるかもしれない。暗号化の方法を提供している者が信頼できない時には使えない。

◆長い鍵を使うことの重要性

暗号の安全性は、鍵の安全性によっている。

鍵をきちんと管理する
（コストが許す範囲で）長い鍵を使う

◆暗号の経済学

暗号の安全は、解読にかかるコストを大きくすることで、解読された平文から得られる利益を相対的に小さくすることに依存している。

鍵を長くするだけで、安全性が指数関数的に高くなる。鍵を１ビット長くすると、解読時間が２倍になる。（「鍵の長さを２倍にすると解読時間が２倍になる」は、誤り）。

図? 指数関数

パスワードは、コンピュータの中では、暗号化の鍵として使われる。長いパスワードは、破られにくい。１文字(大文字小文字数字記号)増やすと、総当たりで解読に要する時間が、５０倍から１００倍近くかかるようになる。

暗号の安全にとって、最近のコンピュータの高速化と低下価格下は、１つの脅威となっている。

ムーアの法則。半導体の性能と集積は、１８ヶ月～２４ヶ月ごとに２倍になる。指数関数。
安いコンピュータをたくさん並べて計算させる（並列処理）。

SETI (the Search for Extraterrestrial Intelligence)。

◆共通鍵暗号系と公開鍵暗号系

暗号の方法は、大きく２つに分類される

共通鍵暗号系（対称暗号系）: 暗号化鍵と復号化鍵が同じ（または片方から片方が簡単に計算できる）。
公開鍵暗号系（非対称暗号系）: 暗号化鍵から復号化鍵を容易に類推できない。

◆Caesar暗号

Caesar暗号は、置換暗号（substitution cipher）の１つ。置換暗号では、各文字あるいは文字群が、それぞれ別の文字あるいは文字群に置換される。

Caesar暗号は、知れている最後の暗号である。平文アルファベットをＮ文字ずらした暗号文アルファベットに変える。

N=2 の時の対応表

abcdefghijklmnopqrstuvwxyz
CDEFGHIJKLMNOPQRSTUVWXYZAB

暗号の説明では、平文を小文字で、暗号文を大文字で書く習慣がある。カルタゴ人以来騙された人はいない。

N=13 で、大文字小文字を保存する方法を、rot13 暗号という。rot13 は、電子メールやネットワーク・ニュースで「ネタばらし」の部分を書く時に使われる。

漢字の場合、rot47 という方法がある。nkf -r で、rot13/47 が使える。

◆乱数(random numbers)

数の集合から、無作為抽出で抜き出された数。

真性乱数。ビット列にすると、０と１の発生確率がそれぞれ１／２で、各ビットは他の部分と独立(ｉｉｄ（independent and identically distributed）) である。

物理乱数。量子力学の効果を増幅してディジタル化したもの。平滑化して０，１のバランスをとれば、真性乱数になる。

疑似乱数(pseudo random number)。種(seed)と呼ばれる入力ビットパタンを基に計算された、種よりも長いランダムに見えるビット・パタン。種が決まれば出力乱数は一意に決まる。

◆乱数を使った暗号

Caesar暗号では、定数だけずらしていた。定数ではなく、文字の長さの乱数の列を使い、文字ごとに乱数の数だけだけずらす。

例:

乱数表: 0 18 19 22 22  7  9  4 14  3

　平文: h  e  l  l  o  w  o  r  l  d
        8  5 12 12 15 23 15 18 12  4
暗号文: H  W  E  H  K  D  X  V  Z  G
　　　: 8 23  5  8 11  4 24 22 26  7

乱数表そのものや、大きな乱数表の中でどこから使い始めるかを鍵にすることができる。

真性乱数を使うと、解読する方法は数学的に存在しないことが証明されている。

しかし、真性乱数を使うことはコストが大きい。送信側と受信側で同じ真性乱数を作るのが大変である。

乱数表を記憶する変わりに、疑似乱数を使う方法がある。使う疑似乱数の性質が悪いと簡単に解読される。

実際には、文字をずらすのではなく、足し算、引き算や、排他的論理和と呼ばれる計算が使われることが多い。

◆転置暗号

Caesar暗号やバーナム暗号では、平文の文字の順序を変えずに、文字を置き換える。これを置換暗号という。これにたいして、転置暗号（transposition cipher）では、平文の文字の順序を入れ替えるが、文字の置き換えは行わない。（下の例では、大文字小文字が変わっているが、これは暗号化の説明のために変えて書いているだけである。）

次は、転置暗号の１つ、コラム転置の例である。キーは、同じ文字を含まない１個の単語や熟語である。このキーでコラムに番号付けをする。たとえばコラム１は、アルファベットで先頭に近い文字の下のコラムとなる。

MEGABUCK
--------
74512836
--------
pleasetr
ansferon
emillion
dollarst
omyswiss
bankacco
untsixtw
otwoabcd

　平文: pleasetransferonemilliondollarstomyswissbankaccountsixtwotwo
暗号文: AFLLSKSOSELAWAIATOOSSCTCLNMOMANTESILYNTWRNNTSOWDPAEDOBUOERIRICXB

◆DES

ＤＥＳ（Data Encryption Standard）は、アメリカ商務省標準局（NBS, National Bureau of Standard, 現在のNIST, National Institute of Standrds and Technology）が１９７７年に定めた暗号標準である。ＩＢＭ社による提案が元になっている。ＤＥＳは、アメリカ政府内で、コンピュータ・データのうち、非機密だが取扱い注意（unclassified but sensitive）のデータを暗号化するための標準である。ＤＥＳを一般の商用にも使うことを推奨している。たとえば、ＵＮＩＸのパスワード・ファイルは、ＤＥＳにより暗号化されている。

ＤＥＳは、対称暗号系（慣用暗号系）の１つであり、暗号化と復号化に同一の鍵（５６ビット）を用いる。ＤＥＳは、転時暗号の一種である。転時暗号では、平文の文字の順序（コンピュータでは、ビット）を入れ替えるものである。ＤＥＳでは、６４ビットの平文について、鍵をもとにビットの入れ替えを１６段繰り返す。

アメリカでは、ＤＥＳを取り扱うチップ（ＩＣ）が多く利用されている。アメリカは、暗号に関する製品がソフトウェアも含めて輸出禁止になっており、ＤＥＳチップもその制約を受けている。ＤＥＳ暗号化を行うソフトウェアについては、アメリカ以外で開発されたものが広くインターネット上で配布されている。

ＤＥＳが作られる時、コンピュータ科学者は、５６ビットのキーの長さでは短すぎると主張した。ＩＢＭの提案は、１２８ビットだった。安全保証局の要求で、５６ビットに減らされた。１９８８年にアメリカ連邦政府は、１９８８年にＤＥＳの効果を保証しないと決定した。

DES は、Unix のパスワードのハッシュ関数として使われている。

◆AES

Advanced Encryption Standard。

DES に変わる新しい標準。全世界に対して公募され、ベルギーのJoan Daemen とVincent Rijmenにより開発されたRijndael方式が採用された。鍵の長さは、 128ビット、192ビット、256ビットから選べる。

◆一方向関数(ハッシュ関数)

y=f(x) で、x から y を計算することは簡単だが、y から x 逆を計算することは非常に難しい関数。

暗号やディジタル署名で使われるのは、Collision Proof 性が求められる。

同じビットパタンが得られる２つの元データを見つけることが困難であること。
ある特定のビットパタンを抽出できるような元データをみつけることが困難であること。

暗号を使えば、一方向関数が作れる(暗号を使わなくても一方向関数を作ることはできる)。

one_way_function( x )
{
	return x をキーとして 0 を暗号化したもの ;
}

Unix の /etc/passwd に保存されているものは、DES を25回繰り返して使って作った一方向関数の結果。パスワードそのものは、保存されてない。

◆メッセージ・ダイジェスト

元データからデータの指紋と呼ぶべきような特徴的な数(普通は元データの長さによらず固定長)を抽出するもの。

チェックサムや CRC (Cyclic Redundancy Check) にも似ているが、一方向関数としての Collision Proof 性が求められる。

元データが壊れていないか（誰かに改ざんされていないか）を調べる時には、メッセージ・ダイジェストを計算して比較する。

◆MD2、MD4、MD5

RSA社の B.Kaliski や R.Rivest らによって提案されたメッセージ・ダイジェストのアルゴリズム。任意の長さのデータから128ビットのメッセージ・ダイジェストを生成する。

同じビットパタンが得られる任意の２つの元データを見つけるのに 2^64 のオーダ
ある特定のビットパタンを抽出するような元データを見つけるのに 2^128 のオーダ

◆公開鍵暗号系

公開鍵暗号系（非対称暗号系）では２つの異なる鍵を用いる。便宜上、この２つを公開鍵と秘密鍵と呼ぶ。

これらの鍵は、互いに相手の逆関数になっている。

公開鍵で暗号化したものは秘密鍵で複合化できる。
秘密鍵で暗号化したものは公開鍵で複合化できる。

図? 公開鍵暗号を使った暗号通信の手順

受手は、公開鍵と秘密鍵の組を作り、公開鍵を誰でも読めるようにする。
送手は、受手の公開鍵を暗号化鍵として用いて暗号文を作り、送る。
送手は、受け取った暗号文を、自分の秘密鍵を復号化鍵として用いて復号化し、元の平文を得る。

ここで、公開鍵から秘密鍵を計算することは難しい。ある平文を公開鍵で暗号化してみたところで、秘密鍵を得ることは難しい。

公開鍵暗号の利点は、鍵を管理する手間が掛らないこと。

共通鍵暗号: 情報を交換する間で鍵を安全に共有しなければならない。しかも、通信相手ごとに鍵を変える必要がある。
公開鍵暗号: 受手ごとに、１つの暗号化鍵を公開するだけでよい。今までに通信をしたことがない人からでも、暗号化されたメッセージを受け取ることが可能である。

公開鍵暗号系は、暗号通信だけでなくディジタル署名や利用者認証、電子現金にも応用される。

◆RSA

Rivest Shamir Adleman。

ＲＳＡ暗号は、Rivest, Shamir, Adleman の３人によって開発された公開鍵暗号系である。ＲＳＡ暗号の安全性は、大きな数を素因数分解することの難しさに基づく。北米では、ＲＳＡは、２０００年に特許が切れた。

◆楕円曲線暗号

Elliptic Curve Cryptosystem。

公開鍵に基づく暗号化の１つの方法。買得の難しさは、楕円曲線上の離散対数問題を解くのと同程度と言われている。RSA よりも鍵が短くて高速である。

最近(2002年9月)、Sun がソース・コードを OpenSSL プロジェクトに寄進した。

◆認証

認証とは、情報の正当性や完全性を確保する技術である。

利用者認証: アクセスしてきた人が正当か否かを判定する。しばしばパスワードや暗唱番号が用いられる。
ディジタル署名(メッセージ認証、電子署名): 通常の署名とおなじく、送られてきたメッセージが送信者本人のものであることを識別、確認すること。

◆認証の例

顔パス
写真付きＩＤ
キャッシュカードと暗証番号
クレジット・カード番号と有効期限

◆ディジタル署名

ディジタル署名では、通常の署名と同様に、次のような性質が必要である。

受信側は、送信者が誰であるのかを照会することができる。
送信者は、後でそのメッセージを送ったことを否定できない。

ディジタル・データでは完全なコピーが簡単に作れるので、紙上の署名や捺印よりも難しい。

公開鍵暗号系を使ってディジタル署名を行うことができる。

図? 公開鍵暗号を使ったディジタル署名の手順

（受手ではなく）送手は、公開鍵と秘密鍵の組を作り、公開鍵を誰でも読めるようにする。
送手は、自分の秘密鍵を暗号化鍵として用いて暗号文を作り、送る。
送手は、受け取った暗号文を、送手の秘密鍵を復号化鍵として用いて復号化し、元の平文を得る。この時、きちんと平文が得られた場合、その平文は、その公開鍵の持ち主から送られてきたことがわかる。

メッセージ全体を暗号化する代わりに、メッセージを平文で送り、それにメッセージを一方向関数（ハッシュ関数）と呼ばれる方法で計算した結果だけを、秘密鍵で暗号化したものを送る方法もある。一方向関数では、計算結果から元の値（メッセージ）を計算することが難しい。

ディジタル署名や利用者認証は、公開鍵暗号系ではなく、共通鍵暗号系を用いても可能である。ただし、この場合、鍵を管理する信用できる管理センターが必要となる。

◆公開鍵暗号を使った利用者認証

乱数を送って、秘密鍵で暗号化してもらう。

公開鍵で復号化して、元の乱数が得られたら Ok。

毎回違う数を使えば、傍受されていても平気。

利用者認証のために、公開鍵暗号系を用いることができる。銀行の口座を例に、これを説明する。

口座を開く時に、顧客は、公開鍵と秘密鍵を生成し、公開鍵を銀行に届け、秘密鍵を自分で保持する。
顧客が通信回線を通じて銀行にアクセスしてきた時、銀行は乱数を１つ生成し、顧客の公開鍵でそれを暗号化し、顧客に送り返す。
顧客は、送られてきた暗号化された乱数を、保持している秘密鍵で復号化し、銀行に送り返す。
銀行は、顧客から返された乱数が正しければ、正当な顧客であると判定する。

次回の呼び出しでは、別の乱数を用いることで、通信を記録している傍受者にも対応することができる(challenge-response方式)。

単なる暗証番号の場合、通信を傍受されたら終り。

◆鍵の確認

公開鍵で自由に鍵が得られたとしても、鍵か偽物だと、意味はない。

鍵がが本物であるかをどうやって確認するか。

友達の輪。直接会って確認する。PGP 方式。無効化が難しい。
別の第三者に証明してもらう。印鑑証明方式。

では、その第三者は、信頼できるのか。

■電子現金

電子現金（electronic cash、電子マネー）とは、現金が持っている有用な性質をディジタル情報を使って実現しようとするもの。

■電子透かしと電子あぶりだし

電子透かしは、暗号化の技術を使って著作権の保護するための技術。電子あぶりだしは、機密情報がそこに含まれていることまで見えなくする技術。

■通信路の暗号化

◆SSH(Secure Shell)

Unix r系コマンドの置き換え。

rsh/ssh
rlogin/slogin
rcp/scp
ftp/sftp

トンネリング。暗号化された通信路を作り、その中を他の通信プロトコルを通す。

◆r系コマンドの弱点

通進路が暗号化されていない。パスワードが盗まれる。
~/.rhosts, /etc/hosts.equiv の機能が弱い。

IP spoofing (なりすまし).

rsh のセッションで行われるであろうパケットを偽造する。

IP アドレスでホストを認証すると危ない。

DNS spoofing.

偽のDNSのサーバを立てる。

◆SSHでの解決方法

ホストの認証を、IP アドレスではなく、公開鍵で行う。

ホスト鍵。1024ビット。
サーバ鍵。768ビット。標準で１時間ごとに変える。

サーバは、２つの鍵と６４ビットの乱数を送る。クライアントは、乱数を送り返す。乱数が一致したら、IP spoofing されていない。

クライアントは、セッション鍵（対称暗号系の鍵）をサーバの２つの公開鍵で暗号化して送る。

対象暗号の鍵（セッション鍵）を生成し、公開鍵で送る。

これ以降の通信は、セッション鍵で暗号化される。

◆SSHでのユーザの認証

暗号化された通信絽が確立された後は、パスワードを流しても安全。

個人ごとに RSA 公開鍵での認証機能を利用したほうがよい。

◆トンネリング(port forwarding)

SSH で暗号化された通信路の中に一般のアプリケーションの通信を通す。

よくつかわれるもの。

X11
POP, IMAP

使い方：

ssh -L 10110:remote:110 remote

ローカルのポート番号 10110 に来た要求を、remote の 110 に転送する。

◆SSH1の弱点

SSH1 には、プロトコル上、いくつかの弱点が見つかっている。

SSH2 を使った方がよい。

RSA社が提唱している公開鍵を使ってセッション鍵（秘密鍵）を交換する方式(PKCS1 1.5 )そのものに、脆弱性がある [1]。

PKCS -- Public-Key Cryptography Standards

[1] Daniel Bleichenbacher, "Chosen ciphertext attacks on RSA encryption standard PKCS #1", Advances in Cryptology, CRYPTO 98. Springer.

サーバ鍵を１時間に１回しか変えない。

SSH 1.5 は、1024 ビットの鍵を使っている。これを破るには、2 ²⁰ + 2 ¹⁹ 回接続でよい。毎秒、約 400 回。

１個所からの接続に上限を付ける。OpenSSH はそうなっている。 Distributed 攻撃には、弱そう。

OpenSSH
http://www.openssh.com/

◆SSL(Security Session Layer)

Netscape 社によって開発された。主に、WWW (World Widw Web) での暗号通信に使われている(他にも使える)。

URL が http: ではなく https: で始まる。
ブラウザの画面に通信路が暗号化されていることを示す印がつく

SSL を使っていない時には、そのまま盗聴可能な形でインターネット流れる。

少し前まで、輸出用 WWW ブラウザは、鍵の長さが４０ビットに制限されていた。今は、１２８ビットまで使える。

◆証明書

個人や組織の名前。
公開鍵。
これらを、認証局の秘密鍵を使ってディジタル署名したもの。

X.509 形式(バイナリ)を、テキストに変換したものの例:

Certificate:
    Data:
        Version: 1 (0x0)
        Serial Number: 0 (0x0)
        Signature Algorithm: md5WithRSAEncryption
        Issuer: C=JP, ST=Ibaraki, L=Tsukuba, O=University of Tsukuba, OU=COINS, 
CN=Distributed Systems/Email=yas@is.tsukuba.ac.jp
        Validity
            Not Before: Feb 18 14:42:56 2002 GMT
            Not After : Feb 18 14:42:56 2003 GMT
        Subject: C=JP, ST=Ibaraki, L=Tsukuba, O=University of Tsukuba, OU=COINS,
 CN=Distributed Systems/Email=yas@is.tsukuba.ac.jp
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
            RSA Public Key: (1024 bit)
                Modulus (1024 bit):
                    00:d0:94:49:23:dd:29:10:f4:c5:d9:df:07:72:07:
                    91:14:5c:a7:2a:0c:96:51:b5:93:31:a9:09:c0:1d:
                    f0:3f:5b:61:3f:bc:75:14:b8:54:49:f6:e7:db:a6:
                    9f:22:0c:af:23:a4:8a:70:fb:96:56:cc:26:fa:f8:
                    ce:47:32:2a:ea:f6:12:64:96:4a:73:11:52:f7:fa:
                    15:2a:6f:8a:60:f4:77:f5:e9:dc:cc:2f:37:bc:a5:
                    ef:7a:a5:13:48:73:ad:c3:a5:90:15:9b:c8:94:f0:
                    9b:33:39:2f:a4:6e:8d:61:c0:54:3f:5b:5f:4e:a9:
                    30:a6:a3:cd:a0:e8:2b:80:89
                Exponent: 65537 (0x10001)
    Signature Algorithm: md5WithRSAEncryption
        a4:eb:18:03:f4:0a:93:cc:ad:fd:75:5b:60:b0:5c:ec:3f:2e:
        d5:fc:92:cc:41:d4:69:66:5b:5b:19:16:8f:e9:35:78:2d:1d:
        ad:c2:81:79:d8:7f:6d:68:8f:a5:5a:7c:f7:22:1f:69:a6:66:
        28:c6:3a:59:26:c2:57:92:c6:8d:8c:94:75:5e:4c:33:af:17:
        e7:d2:28:9a:06:f8:c6:86:5c:67:8b:e2:f9:fc:c9:d6:b6:f7:
        b3:8b:3d:0f:cd:c3:b5:a9:f8:bd:41:88:27:2e:35:fb:93:fb:
        e9:93:f4:ae:b3:49:1e:b9:db:c5:16:a6:38:b0:7e:ef:ce:a9:
        17:fd

この例は、自分の秘密鍵で自分を公開鍵を署名したものなので、何の証明にもなっていない。

◆認証局の階層

証明書がついていたとして、それが本物であるかをどうやって確認するか。

認証局(CA, Certificate Authority)に、証明書を発行してもらう。(認証局の秘密鍵でディジタル署名をしてもらう)

その認証局は、信頼できるか？

ＷＷＷブラウザには、ルート認証局の証明書が予め含まれている。

末端のＷＷＷサイトは、ルート認証局、または、中間認証局から発行された証明書を提示する。

◆ハンドシェーク

接続時に、乱数(共通鍵暗号に基づく暗号化の鍵を生成するため)を交換する。その乱数は、普通、サーバ側が提示した証明書に含まれている公開鍵で暗号化される。

ハンドシェークで使われる公開鍵暗号系

RSA
DH(Diffie-Hellman)
Fortezza

データを暗号化するために使われる共通鍵暗号系

RC4
RC2
DES
3DES (Trible-DES)

■実習

◆Tera Term の接続方法

Tera Term (Windows 2000 用のTelnetプログラム)で接続する方法として、次の２種類があることを確認しなさい（他にもある）。

Telnet。ポート番号 25。
SSH。ポート番号 22。

◆WWW ブラウザの cookie の状態

WWW ブラウザが、cookie をどのように扱う状態になっているかを調べなさい。

◆SSL 暗号化のビット数と証明書

SSL で暗号化されたページを表示してみなさい。暗号化のために、何ビット鍵が使われているか、調べなさい。そこで使われている証明書を表示して、何が書かれているかを確認しなさい。

対象

Netscape

「保護」ボタンを押す。
「セキュリティ情報」を選ぶ。
「ページ情報を開く」ボタンを開く。
下のページの「セキュリティ:」の項目を見る

Netscape 7.01 (Linux)、Linux を起動し、端末で次のように打つ。

/home/s015374/netscape/netscape &

右したの鍵のかかっているアイコンを開く、または、
- 「表示メニュー」の「ページ情報を開く」を開く
- 「タブ」を開く
- 「表示」ボタンを押す
- 「一般」、「詳細」タブを切替えて見る。

◆認証局

WWW ブラウザで、認証局の証明書を表示しなさい。 Netscape 7.01 (Linux)

「編集」メニューから「設定」項目を選ぶ
「プライバシーとセキュリティ」カテゴリの「証明書」項目を開く
「認証局」タブを選ぶ


% ssh-agent tcsh 
% printenv SSH_AUTH_SOCK  
% ssh-add -l 
% ssh-add 
% ssh-add -l 
% ssh remote uname -n 
% exit

ssh-agent にコマンド(上の例ではtcsh)を与える代りに、csh の環境変数を設定させるコマンドを出力させ、eval で実行する方法もある。


% eval `ssh-agent` 
% printenv SSH_AUTH_SOCK 
...

◆SSHによるトンネルの作成

次のプロトコルについて、ssh で接続先のホストに暗号化された通信路を作成しなさい。

POP、または、IMAP
SMTP

これには、ssh コマンドに対して -L オプションを与えるとよい。


% ssh -L lport:rhost:rport rhost

-L に与えるホスト名としては、localhost (127.0.0.1) もよく使われる。まったく別のホストでもかまわない。

% ssh -L lport:rhost2:rport rhost1

ただし、rhost1 と rhost2 の間の通信は、暗号化されないことに注意しなさい。

◆Tera Termの利用

Tera Term で、公開鍵を使ってログインできるように設定してみなさい。

↑[もどる] ←[2月7日] ・[2月14日] →[2月21日]

Last updated: 2003/02/14 14:27:20

Yasushi Shinjo / <yas@is.tsukuba.ac.jp>