V.S.A. III

こんにちわ，五十嵐です．情報セキュリティの話題で，毎日事欠かないというのもどうかと思うんですが，今日は IPA (独立行政法人 情報処理推進機構) のレポートから．

• コンピュータウイルス・不正アクセスの届出状況[4月分]について (IPA 2006/05/02)

特筆すべきは「セキュリティ対策ソフトウェアの押し売りに注意！！」という「今月の呼びかけ」ですね．

IT やセキュリティに詳しくない人たちを対象にして，だますという行為の根本は，ホームページ詐欺となんら変わるところがありません．ウィルスに感染したかもしれない，あるいはこれから感染する恐れがあると脅し，そのための対策ソフトを購入してしまうように誘導する悪質な手口です．

話は少し変わりますが，私は自分の子供達のブラウザの設定で，暗号化された通信(https)から平文の通信(http)に変わるときに警告が出るように設定していました．最初は，これは何？と気にしていたものの，説明を完全に理解できないまま，[OK]を押せばよいという認識になってしまっていたようです． [OK]ボタンしか出てこないので，それ自体は[OK]を押すしかないのですが，意味がわかって押しているわけではなくて，どうすれば先に進めるかを知っているだけなのです．

IPA の呼びかけの中でも「警告の軽視」ということが取り上げられています．世の中には，インストールの説明で「警告が出ますが問題はありませんので[OK]を押して，先に進んでください」というような安易な誘導を行っているものも少なくありません．こういった風潮が「警告の軽視」につながっているのだと私は思っています．

ソフトウェアが信頼できるものであるかどうかを確認する仕組みのひとつがマイクロソフト社の署名という形ですが，マイクロソフトに署名をしてもらうのはビジネスの一環ですし，ソフトウェアの動作の中身まで本当にその署名で保障できるのかどうかもわからない世の中になっています．

PGP (Pretty Good Privacy) という電子署名の仕組みがありますが，これは，信頼できる知人が署名したものは信頼できるはず，という友達の輪のような考え方をします．誰かが私を信頼してくれたとすれば，その人は，私の署名が施されたものを見て，それを信頼するという仕組みです．これを署名そのものに署名する(正確には，少し違いますが)という連鎖や複数の人の署名があることで信頼性を高めていくという方式を取っています．

情報セキュリティで最後は「人」であるということをよく言いますが，人が悪いことをするものでもありますが，この人なら悪いことをしないという信頼も逆にあるはずなのです．そういう信頼の仕組みが最終的には生き残っていくのではないかと私は考えています．SNS (Social Network Service)が流行っているのもそういう理由ではないかと思います．

IPA の呼びかけの話から少し離れてしまいましたが，ソフトウェアの信用をどのように保証，検証するかという点が，ウィルス対策ソフトの押し売りへの対策の根本的な解決策につながるのではないかと思った次第です．

またまた話が飛びますが，「共謀罪」は市民の言論の自由などを奪う可能性もあるとして懸念されていましたが，逆に，こうした信頼の輪を崩すような行為への抑止にも適用できる法律の可能性も示唆しているのではないかと思っています(すみません，現時点での「共謀罪」の成り行きを把握しておりませんが，4/28 の強行採決は取り下げになった模様です)．
# 適用範囲を限定しない「共謀罪」については，私は「反対」の立場を取っています．

見たことのないメッセージが出ても，まず慌てないことが大切ですが，そういったことは私のこのブログを読んでいる方の多くはご存知かと思います．そういう方々には，是非とも，身近な方々にそういう詐欺行為が横行していることや，そういうときにはまず，詳しい人に聞いてみるということも大切だということを伝えて欲しいと思います．

「この家は放っておくと危ないですよ」という言葉で手抜きの住宅修繕を行うという詐欺行為がありましたが，ウィルス対策ソフトの押売りもまったく同じ手口です．だまされやすい人を救うには，そういう手口が横行していることを知らせるしかありません．どんなにがんばっても家の知識を得ることには限界があります．情報セキュリティも同じはずです．専門的な言葉を省き，どういう詐欺があるのか，そういう詐欺にであったら，どうすればいいのかを地道に広く知らせていくことが，今すぐ専門家としてできることだと思っています．

【2006/05/31 追記】
新たに同様の手口で対策ソフトウェアの購入を促すトロイの木馬が現れたようです．

• 「スパイウェアに感染しています」――偽の警告でだますトロイの木馬 (2006/05/31 ITmedia エンタープライズ)

御注意ください．