コーダーがセキュリティを制する：共有＆学習シリーズ - 機密データの漏洩

機密データの漏洩は、ここ数年で最も大きく報じられ、影響力の大きかったデータ侵害のいくつもの原因となってきました。例えば、3億件以上の顧客記録が盗まれたマリオットの壊滅的な侵害や、Equifaxが攻撃を受けた際の1億5000万件の流出などが挙げられます。攻撃には中程度の技術力や、場合によっては特殊な機器が必要になることもありますが、多くのケースでハッカーにとって実行はそれほど難しくなく、攻撃の一部を自動化するツールも存在します。

機密データの漏洩とは、本来許可されたユーザーのみが閲覧すべき情報が、暗号化されていない、保護されていない、あるいは保護が不十分な状態で、権限のない第三者にさらされることを指します。多くの場合、これにはクレジットカード番号、ユーザーID、企業秘密、法律や業界規制で保護されるべき個人情報など、ハッカーが盗み出そうとするデータが含まれます。

ハッカーは、暗号化されずに保存されている機密情報を盗み出すか、あるいは暗号化スキームを間接的に攻撃することで情報を入手します。強力な暗号を直接解読しようとするのではなく、暗号鍵を盗んだり、転送準備中など、データが非暗号化状態に移行するタイミングを狙って攻撃を仕掛けます。

本エピソードでは、以下の内容を学びます。

• 攻撃者が機密データの漏洩を引き起こす仕組み
• 機密データの漏洩がこれほど危険な理由
• この脆弱性を修正するための技術

攻撃者はどのように機密データの漏洩を悪用するのか？

機密データの漏洩は通常、サイトがデータを保護するために強力なエンドツーエンド暗号化を採用していない場合や、保護スキームに悪用可能な欠陥がある場合に発生します。また、使用されている暗号化が極めて脆弱であったり、時代遅れであったりする場合にも起こり得ます。

暗号化が至る所に適用されていない場合、ハッカーはそれを回避する方法を探そうとします。例えば、ユーザーIDデータベースが情報を暗号化状態で保存していても、取得時に自動的に復号される仕組みであれば、ハッカーは本ブログで以前取り上げたSQLやXMLインジェクションといった攻撃手法を使い、データベースに復号処理を実行させることが可能です。そうすれば、ハッカーは労力をかけずにデータを復号できてしまいます。わざわざ頑丈な鉄の扉を壊そうとする必要はなく、鍵を盗めばいいのです。

暗号化の脆弱性も問題です。例えば、クレジットカード情報が古い暗号化スキームで保存されている場合、ハッカーがローカルファイルインクルージョンの脆弱性を利用してデータベース全体を自分のコンピュータに引き出せば、大きな問題となります。もし取得されたデータがAES-256ビットのような強力な暗号で保護されていれば、ハッカーの手に渡っても解読は非常に困難です。しかし、DESのような古い標準など、より脆弱で時代遅れの暗号化が使われていれば、GPUラックのような特殊な機器を持つハッカーは、比較的短時間で暗号を解読できてしまいます。

なぜ機密データの漏洩は危険なのか？

機密データの漏洩が危険なのは、権限のないユーザーに保護された情報を見られてしまうからです。重要でないデータであれば保護されることはないため、その保護が破られることは何らかの問題を引き起こします。組織にとって、このような事態は決して直面したくないものです。

機密データの漏洩がどれほどのトラブルを引き起こすかは、流出したデータの種類によって異なります。ユーザー情報やパスワードが盗まれれば、それを使ってシステムへのさらなる攻撃が仕掛けられる可能性があります。個人情報が漏洩すれば、ユーザーはなりすましやフィッシングといった二次被害に遭う恐れがあります。また、流出したデータが米国の医療保険の相互運用性と責任に関する法律（HIPAA）や欧州の一般データ保護規則（GDPR）などの法律で保護されている場合、組織は多額の罰金や政府による制裁を受ける可能性さえあります。

機密データの漏洩を根絶する

機密データの漏洩を防ぐには、まず企業全体で機密データを強力かつ最新の状態に保ち、エンドツーエンドで暗号化することから始めます。これには、保存データと転送中データの両方が含まれます。機密データを保存中に暗号化するだけでは不十分です。使用前や転送前に暗号化が解除されていれば、サーバーを騙して復号させる二次攻撃によってデータがさらされる可能性があるからです。

転送中のデータは、中間者攻撃や移動中のデータに対するその他の攻撃による漏洩を防ぐため、常にトランスポート層セキュリティ（TLS）を使用して保護する必要があります。また、機密データはネットワーク上のどこにもキャッシュされるべきではありません。機密データは、強力な暗号化を施して保存するか、TLSで保護して送信することで、攻撃者に悪用される隙を与えないようにすべきです。

最後に、組織が保護している機密データの棚卸しを行いましょう。組織がそのデータを保持する理由がないのであれば、削除してください。何の利益もないのに、なぜトラブルのリスクを抱える必要があるのでしょうか？組織が管理していないデータは、盗まれることもありません。

機密データの漏洩に関する詳細情報

詳細については、OWASPによる機密データの漏洩に関する解説をご覧ください。また、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで、習得した防御知識を試すこともできます。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warriorブログをご覧ください。