パスワードは市販ツールで容易に解析可能

　講演の冒頭でシュローデル氏は、ファイルに設定されたパスワードを解析する様子を披露した。解析に利用したのは特別なツールではなく、市販のツールだ。

　シュローデル氏はまず、編集ロックなどの目的で設定されたExcelファイルのパスワードを解析する様子を示した。Microsoft Officeファイル向けパスワード解析ツールであるロシアのElcomsoftの「Advanced Office Password Recovery」を使い、設定されたパスワードを特定。解析に掛かった時間は約1秒という短さだ。

　次にZIPファイルについても、同じくElcomsoftが販売するパスワード解析ツール「Advanced Archive Password Recovery」を使い、16秒程度でパスワードを解析してみせた（写真2）。

写真2：Advanced Archive Password Recoveryを使い、ZIPファイルに掛けられているパスワードを16秒程度で解析した

　「こうしたツールは“パスワードリカバリソフト”などと銘打って市販されており、オンラインショップで120ドル程度払えば誰でも購入できてしまう」とシュローデル氏は説明する。「『パスワードでアクセス制限を掛けているから安全』だと思うのは大きな間違いだ」

複雑かつ覚えやすいパスワードを設定するには

　パスワード解析ツールが利用する手法として一般的なものは、パスワードを総当たりで入力して正しいパスワードを見つける「ブルートフォースアタック」と呼ばれる手法である。パスワードの桁数が短ければ短いほど、使用する文字の種類が少なければ少ないほど短時間で解析できる。

　こうした背景を踏まえ、シュローデル氏はパスワードを設定する際には以下の項目を考慮すべきだと強調した。

• 桁数は9桁以上にする
• 大文字と小文字を使う
• 数字を含める
• 記号を含める

　現在市販されているクライアントPCでパスワード解析ツールを実行すると、8桁のパスワードの場合、どんなに複雑でも1年～24年程度で解析されてしまうとシュローデル氏は警告する。一方、9桁であれば2260年程度の期間が必要となるため、安全性は高まると述べた。「名前や固有名詞をパスワードに利用するのはもってのほか。私は記号を含む12桁のパスワードを設定するように心掛けている。こうすれば解析に18億9000万年という長い年月が必要になる」

　長いパスワードを設定した方がよいのは理解していても、あまりにパスワードが長いと記憶するのが難しくなる。そこでシュローデル氏は、まず短い英文を考え、その文を構成する単語の頭文字を並べてパスワードにすることを推奨した（写真3）。また「o（オー）」の代わりに「0（ゼロ）」を使ったり、「i」の代わりに「!」を使うなど、形が似た別の文字に置き換えるのも効果的だとアドバイスした。

写真3：短い英文を考え、その文を構成する単語の頭文字を並べてパスワードにすれば、長いパスワードでも忘れにくいという

PDFの添付ファイル実行の誘導テキストに注意

　「企業内や企業間で情報共有するに当たっては、パスワードの他にも注意すべきことは数多い」とシュローデル氏は指摘する。中でも業務で利用される頻度が高いPDFは、特に注意して扱うべきだと警告した。

　PDFの閲覧には、「Adobe Reader」や「Adobe Acrobat」といったアドビシステムズ製のPDF閲覧、編集製品を使うケースが少なくないだろう。シュローデル氏は、「これらの製品でPDFを開封するときに、攻撃者の細工によって知らないうちにマルウェアを実行させられてしまう可能性を否定できない」と注意を促す。

　実行ファイルが添付されたPDFをAdobe ReaderやAcrobatの過去のバージョンで開いた場合、エンドユーザーにファイルの実行許可を求める「ファイルを起動」というダイアログが表示される。このダイアログにあるテキストボックスには実行するファイル名とパスが記載されており、PDFの開封者はどんなファイルが実行されるのかを事前に確認できる。PDFの作成者はこのテキストボックスにテキストを追記可能だ。だがテキストボックスの表示領域が狭いため、長いテキストの場合は後半の一部のテキストしか表示されない。

　「攻撃者はこの仕様を悪用し、PDFの開封者にマルウェアの実行を促せる」とシュローデル氏は説明する。例えば「フォントが見つかりませんでした。標準フォントで閲覧する場合は『開く』をクリックしてください」などの比較的長い誘導テキストを追記すると、マルウェアのファイル名が隠れてしまう（写真4）。PDF開封者がこの誘導テキストを信じて「開く」ボタンをクリックするとマルウェアが実行されてしまう。「何らかの許可を求めるダイアログが表示されたら、テキストをくまなく読むことを習慣にするよう、従業員に指導するのが望ましい」とシュローデル氏は聴衆に訴えた。

写真4：Adobe Readerで添付ファイル付きのPDFファイルを開封したときに表示される「ファイルを起動」のダイアログ。本来はダイアログ中央下部のテキストボックスに添付ファイルのファイル名やパスが表示されるが、追記したテキストでそれらが見えなくなっている

　後編は、横浜市CIO補佐監を務める内田勝也氏の講演を紹介する。