インターネットが普及した今日では、インターネット上における「盗聴」や「改ざん」が身近な出来事になってしまいました。中間者攻撃では、会社の機密事項を扱う研究開発部門などを標的として極秘の情報が狙われるなどだけでなく、企業側と顧客との間に割り込んで両者が交換する情報を盗聴したりすりかえたりもします。したがって顧客とのやり取りをインターネットで行っているならば、どんな企業でも注意しなければいけないことになります。

中間者攻撃とは何か

中間者攻撃とは二者間の通信途中に不正な手段を持って割り込み、通信内容の盗聴や改ざんを行う攻撃で、MITM攻撃（Man in the middle attack）とも呼ばれます。無線LANや中継地点のネットワーク機器などに十分なセキュリティ対策が施されていない場合に発生するケースが多くなっています。暗号化されていない平文によるインターネットの通信は比較的容易に盗聴・改ざんが可能ですので、中間者攻撃対策を立てていない場合には実際にこうした被害にあうこともありえます。

またサイトアタックなどの明確な攻撃ではないだけに、データの抜き取りや改ざんが行われていることに気が付きにくいという性質もあり、気がついた時には被害が拡大してしまっているというケースが多いのも、中間者攻撃の特徴です。

中間者攻撃の被害の流れ

中間者攻撃の被害の流れとしては、先ほど例にあげた「無線LANで通信内容を傍受→盗聴」というパターンの他にも、「脆弱性のあるアプリを利用→SSLサーバ証明書を検証せずに暗号化→通信内容を攻撃者が盗聴」というパターンや、「オンラインバンキングを利用→送金先口座の改ざんによる不正送金」などのパターンもあります。

ここでは、新聞などでも大きく取り上げられることの多い「オンラインバンキングを利用→送金先口座の改ざんによる不正送金」を詳しく見てみましょう。

インターネットバンキングの不正利用を防ぐ手段のひとつとして「ワンタイムパスワード」があります。ワンタイムパスワードは一定時間のみ有効で、一度ログインに使用すると無効になるためセキュリティ的に非常に強固だとされています。しかし、中間者攻撃をしかけて偽のログイン画面を表示してユーザーにワンタイムパスワードを入力させてその情報を取得してしまい、セッションが切れる前にリアルタイムで不正に送金処理を実行してしまうという方法では、ワンタイムパスワードは無力になってしまいます。

実際に三井住友銀行のネットバンキングではワンタイムパスワードが中間者攻撃で盗まれてしまいました。

中間者攻撃の対策方法としてはどんな手段があるか

それでは中間者攻撃に対する対策としてはどのような手段があるのでしょうか。まず基本的なことですが「平文による通信を避けて暗号化通信をする」ということがあげられます。また「公的な認証局が発行した電子証明書を用いているかを確認する」ということも有効です。これらはSSLを導入することによって可能になりますので、まだSSLを導入していない場合には、早急に導入を検討したほうが良いでしょう。

しかしSSLを使っていることで信頼性を担保する場合、信頼性の高いSSLサーバ証明書を利用しているかどうかが大切です。SSLサーバ証明書には様々なレベルがあり、悪意ある攻撃者がSSLサーバ証明書を発行する認証局であるというケースもありえるからです。暗号化はされていても、その暗号化をしている組織自体が善意で暗号化していることまでは証明できません。

SSLサーバ証明書には以下のような種類があります。

この中で、EV SSLサーバ証明書は最高レベルの厳格な認証を行いますので、SSLサーバ証明書を、悪意を持って取得することは非常に難しくなっています。

SSL通信で中間者攻撃を防ごうとするときの注意点

SSLによるでは、最初に「サーバ側の証明書」と「クライアント側の証明書」を交換し、お互いが信頼して通信できることを確認します。信頼関係が確立できたら通信データの暗号化を実現して相手先だけが解読できる鍵を与えます。鍵がないと暗号化されたデータが読み取れませんので、万が一データを盗まれても安心です。また横から悪意を持っている第三者が通信に割り込んできて本人になりすますことは不可能になります。

しかし、この鍵自体を不正に取得する中間者攻撃をしかけられた場合には、SSL通信においても中間者攻撃が成功してしまいます。

中間者攻撃の流れ

この暗号鍵自体を不正に取得する手順は以下のようになります。

1. AさんがBさんと暗号化通信をしたいと思い、Bさんに鍵を送ってくれるよう依頼します
2. しかしこの時Cという悪意ある第三者に通信が乗っ取られており、依頼はCを通じてBに送られます
3. BさんはAさん宛に鍵情報を送りますが、それをCが受信します
4. Cはその鍵情報を無視して自分のところで解読可能な新しい鍵情報をBさんのふりをしてAさんに送ります
5. Bさんからの鍵情報だと信じているAさんは機密事項を含んだ情報をBに送ります
6. しかし実際にはBさんには届かずに偽の鍵情報を持っているCに機密情報が届きます
7. Cには自分で管理している暗号鍵を使ってAさんからBさんあての機密情報を入手します

このような不正な中間者攻撃を行われると、暗号鍵自体が本来の目的通り機能しなくなってしまいます。このようなケースでの被害を防ぐために最良な方法は、先ほどの「EV SSL証明書」です。一見して正常なSSL通信が行われているように見えても、中間者攻撃で通信が乗っ取られている場合には「EV SSL証明書」で表示されるはずの緑色のアドレスバーのウェブサイト運営組織が表示されません。

逆に言えば「ドメイン認証証明書」では、不正サイトに誘導されたことに気が付かずに、機密情報を流してしまうことがありえます。

通信内容の「盗聴や改ざん」はどの企業にも起こりえます

「盗聴や改ざん」はそれ自体が起こっていると気付きにくいまたは気付かずに、そのまま放置されてしまうことも多々あります。放置し続ければ、大きな被害となることもあります。もちろんSSLが中間者攻撃を防ぐ万能薬にはなりませんが、いくつか施すべき重要な施策の一つであることは間違いありません。更に、常時SSLにすることで一部の中間者攻撃を防ぐことは可能となります。

中間者攻撃の脅威について理解を深め、まだ対策を立てていない企業は早急に対策を立てることをおすすめします。