【EC運用実録ファイル】

その秘密のファイル守れてないですよ。暗号化して安心してしまう事実【LE通信67号】

ビジネスメールで、お客様の個人情報を含んだファイルや外部に出せないファイルを送信しなければならないこともあるかと思います。
そんな時、教育された社員であれば重要ファイルをパスワードで
「暗号化ZIP」に圧縮してメールに添付して送付し、
別メールにて先ほどのパスワードを送信していることでしょう。

これは、1通目を傍受された場合でも、
パスワードが分からないために
簡単に開くことができないようにするためです。
しかし、何度も何度も暗号化して別メールで送信を繰り返していると
この作業は非常に面倒になり、
以下のようなやり取りになっていることもありませんでしょうか？

	ケースA：
2社間で共通のパスワードを決めてしまい、そのパスワードで暗号化するルールとしてパスワード自体を送信しない。
	ケースB：
パスワードは、別メールで送信しているがそのパスワードが簡単なものになる。 [1]送信年月日例）20160901 もしくは 0901 [2]相手の会社電話番号の下4桁例）6960
	ケースC：
別メールにてパスワードの送信をやめてしまい暗号化ファイルを添付したファイルに以下のような内容でパスワードのヒントを記載してしまう。 [1]お互いが知っている電話番号例）XXさんの携帯番号 [2]部分的に伏字にしてパスワードを記載する例）leXXXXX (XXXXは数字)

ケースAの場合は、複雑なパスワードであれば問題ありませんが、
社員の退職などにより流出の危険性もあるので定期的に変更することが望ましいです。

問題となるのは、ケースBとケースCです。
特にケースCにおいては、メールを傍受した人間にとってはパスワードが掛かっていないに等しい状態と同じです。暗号化されたZIPファイルは、いとも簡単に解除されてファイルの中身が参照されることでしょう。

なぜ暗号化したはずのファイルが簡単に解除されるのでしょうか？
まずは、推測されるようなヒントがメールの本文に存在していることです。
ケースBとCには「電話番号」、「leXXX（XXXXXは数字）」など見ただけで数字だとわかる文言が含まれており、社内の人間だと予測できてしまうことでしょう。

次に、暗号化ZIPのパスワードを探しだすソフトの存在です。
このソフトではパスワードを解析する際に条件が設定でき、
数字のみ、英語小文字のみ、文字数等の設定が可能となっています。
このソフトで「数字のみ」でパスワードの解除を試みれば・・・
わずか数秒、数十秒でパスワードが分かってしまうのです。

こういったソフトはずいぶん前から存在しており、
みなさんもご存じのフリーソフトが集まるポータルサイトで簡単にダウンロードできます。
もちろんソフト自体は、パスワードを忘れた際に使える
お役立ちソフトなので全く悪質なものではありません。

では、解読されにくいパスワードとはどういったものでしょうか？
それを知るには、現在の解読技術がどのくらいかということを知る必要がありそうです。

情報収集をしてみたところ、
世の中に1秒間に1億回 総当たりでパスワードを解析できるサービスがあり、
またハイスペックなPCで少し工夫をすることでも
同じくらいの解析能力を発揮できるという記事を見つけました。
計算してみると、、、、、

8桁の場合
・[0-9]数字のみ総パターン数 10,000,000 解析時間 1秒
・[0-9]数字,[a-z]英字,特殊記号34文字総パターン数 576,480,100,000,000 解析時間 67日
となります。

同じ8桁なのに恐ろしい違いです。数字だけだとたった1秒です。
これはもうパスワードが掛かっているとは言えません。

数字だけですと、1桁に対して0～9のパターンしかないので
総当たりしても大した数にならないのです。

解析時間 67日のものは、英字の大小の区別なしの場合なので、
これに小文字大文字を含めたランダムな文字列にすることで
かなり解析時間がかかるパスワードとなります。

簡単に解析できないパスワードを日常的にしようするのであれば、
8桁の英数で大文字小文字+記号を混ぜた文字列にすること
をオススメします。

メールで機密情報を送信する必要がある場合には、
1通目に上記のようなパスワードにて暗号化したファイルを添付してメールを送信し、
2通目にそのパスワードを記載して送信することで、
万が一ファイルが第三者に渡った場合でも、簡単に解読されることを防ぎます。

さて、パスワードの中身の重要性は理解していただけたでしょうか。

安全にメール送信を送る方法として、PGP(Pretty Good Privacy)やGPG(Gnu Privacy Guard)など
鍵(秘密鍵、共通鍵)を設定しておき、鍵がないと解除できないようにする方法がありますが、
当然双方が対応するメールソフトを使う必要があります。
これはかなりのハードルとなることでしょう。
メールソフトで送信しないケースになりますが、
googleDriveやOneDrive等のストレージサービスで特定のアカウントしか
アクセスできない場所を作成してファイルをダウンロードしてもらうという方法も有効でしょう。
これもアカウントの設定というハードルが存在することになります。

セキュリティと利便性は、必ず反比例する法則があります。
手間がかかるが安全、お金がかかるが安全、時間がかかるが安全など方法はさまざまです。
ライフエスコートではお客様の送信頻度、
内容の秘匿度合に合わせた運用方法についてメールにてアドバイスをさせていただくことが可能です。
ご希望の方は下記メールアドレスまでご連絡くださいませ。

■□■□■□■□■□■□■□■□■□■□■□■□■□
株式会社　ライフエスコート
東京都渋谷区富ヶ谷2-43-15 山崎ビル5F
TEL：050-5526-2334
FAX：050-3457-9501
Email：info@life-escort.co.jp
平日　9：30～18：30
ホームページ：https://www.life-escort.co.jp
■□■□■□■□■□■□■□■□■□■□■□■□■□