pr

「カタチだけの暗号化」から脱却する方法を教えます！ メールの盗聴・改ざんに負けない “正しい電子メール暗号化”とは

		「平文」でメールサーバを「中継」する仕組み あなたの会社はどこまで電子メール性善説を信じられますか？

　近年、セキュリティ意識の高まりから企業の業種、規模を問わず「情報漏えい対策」が進んでいる。情報漏えいの事件はニュースとして大々的に取り上げられ、どの企業でもすでに「USBメモリの使用禁止」「ファイルサーバのアクセス管理の厳密化」などの対策が行われているのではないだろうか。しかし、これら「情報が記録されたエンドポイント」への対策は進んでいても、情報の通信経路、具体的には「電子メールの盗聴・改ざん対策」はどうだろうか。

　身近になったインターネットのショッピングを考えてみよう。クレジットカード番号、本名、住所、電話番号などの個人情報をブラウザで入力するときにはSSL通信の鍵のマークを確認するだろう。その後送られる「発注確認メール」は同じような個人情報が書かれているが、このメールはインターネットの世界を「平文」の状態で送られてくる。

　電子メールの仕組みはバケツリレーのようなものである、ということは聞いたことがあるだろう。例えば日本からアメリカにメールを送ったとき、直接その情報が送信元のサーバから送信先のサーバに飛ぶわけではない。この経路間に存在するメールサーバをいくつも経由しているが、その経路については規定されておらず、どこのサーバが中継するかは分からない。

　つまり、どのようなメールでも「平文」で、誰が管理しているか分からないサーバを「中継」する。このように表現すると、いかに電子メールが性善説にのっとったものかが分かるだろう。もし経由したサーバが悪意のあるものだったら？ もし途中で誰かが盗聴していたら？ 電子メールを「性悪説」で考えたとき、真っ先に浮かぶ対策は「暗号化」だろう。

		パスワードさえ付ければ安心？ その電子メール暗号化、中途半端になっていませんか

　安全な電子メール環境を目指すには、暗号化を行うことは必要不可欠になりつつある。しかし、「カタチだけの暗号化」による見せかけの安全で満足してしまっているケースも多く見受けられる。例えば、このような「暗号化されたメール」を受け取ったことはないだろうか。

• 添付ファイル付きのメール（1）が届く
• 添付ファイルを開こうとすると、パスワードが付いていて開けない
• しばらくして、パスワードが書かれたメール（2）が別に届く
• そのパスワードで添付ファイルを開く

パスワードが書かれたメール（2）は「平文」で送られている

　問題は「パスワードが書かれたメール（2）」だ。電子メールに平文で記載されたパスワードは、悪意のある攻撃者による盗聴のリスクを抱えている。添付ファイルにどんなに強力な暗号化が施されていようが、パスワードが盗聴されれば楽々と開くことができてしまう。また、送信側も受信側も「暗号化された安全なメール」と認識しているものが、実は非常に危ういということに気がついていないということも大きな問題だ。

		PGPのソリューションは メールを受け取る側に負担をかけない暗号化

　正しい電子メール暗号化は、盗聴のリスクがある公衆回線（インターネット）上に平文のデータを流さないよう暗号化が行われ、かつ相手先であるメール受信側が無理なく復号できる環境が用意されていることだ。

　日本PGPの「PGP Universal Gateway Email」はこの“理想的な”暗号化を実践するための各種機能を提供する。メールゲートウェイとして設置することで、送信されるメールをシームレスに暗号化する。このとき、すでに企業が持っているメールサーバはそのまま利用でき、電子メール暗号化との共存に苦労するアーカイブやフィルタリングなどのシステムとも親和性が高いのも特長の1つだ。

PGP Universal Gateway Emailの構成例（クリックで拡大します） 受信側がPGPのゲートウェイを使用していればシームレスな暗号化が可能。 また受信側にゲートウェイを使用しない場合でも、Webメールインターフェイスを利用し安全にメール暗号化を実現できる。

　受信側にもPGP Universal Gateway Emailがあれば、現状の電子メール環境の運用と同様の手法で暗号化が行われた状態となり、電子メールによる送信データの安全が確保できる。また、クライアントのデータを暗号化するPGP Desktop Emailが導入されている環境でも、暗号化された電子メールをシームレスに扱える。

　もし受信側にそういった環境がなくても、セキュリティを確保しながら情報を伝える手段を用意している。オプションとして提供されるPGP Universal Web Messengerでは、メール受信者には最初にURLのみのメールが送信される。受信者がそのURLを開き、受信者が作成したパスフレーズを登録することで、以後ブラウザ上でWebメールとして電子メールを読むことが可能だ。このとき、ブラウザのSSLを利用した通信となるので、経路暗号化が行われた状態となり、盗聴の危険性はない。

　また、メール本文を含めた内容すべてを、受信者が登録したパスフレーズで暗号化したPDFファイルとして送信するオプションもあり、どのように配信すべきかは受信側が選ぶよう設定できる。

メールを暗号化したPDFファイルとして送ることも可能だ

　電子メールの暗号化はまだ完全に浸透していないのが現状であるが、セキュリティ対策は何かが起きてからでは打てる手も打てない場合が多い。

　「事件が起きるまで動かない」ではなく、まずは電子メール暗号化ソリューションをもう一度チェックすることから始めよう。

日本PGP
PGP Universal Gateway Email
PGP Desktop Email

ホワイトペーパー ダウンロード 　より強固なセキュリティ体制を確立するため、四電ビジネスが着手した対策は「メール暗号」だった。パスワードの受け渡しをはじめ、課題の多い「メール暗号」にどう取り組んだのか？　成功のポイントを担当者が語る。 　四国電力を中核とする四国電力グループにおいて、総合商社機能を担っている四電ビジネス。同社は、四国電力グループの掲げる高度なセキュリティレベルを達成するため、全社規模でのメール暗号化に取り組んだ。 　同社は、それまでの経験からユーザ操作に依存した方策では実効性がないことを認識。「暗号化が実施されない」「パスワードもメールで送信してしまう」など、さまざまな問題を克服し、メール暗号の運用を短期間で実現させた。 　失敗しがちな「メール暗号」をいかにして成功させたのか？　その取り組みのポイントや、「PGP Universal」の採用経緯、メール暗号の運用実態等を、ユーザ企業の目線から語ってもらった。

提供：日本PGP株式会社
企画：アイティメディア 営業本部
制作：＠IT 編集部
掲載内容有効期限：2008年11月26日