Tweet
注目のQ&Aランキング
対象：ITコンサルティング
回答数： 4件
回答数： 5件
回答数： 6件
はじめまして。業務上において初めてコミュニケーションをとる相手に機密情報を送る方法を考えています。
暗号化したファイルを相手に送る場合、どうやって鍵配送問題を解決したら良いでしょうか？ただし、公開鍵暗号は使えず、事前の鍵交換もできないとします。
日本国内で以下の方法をとる場合、現実的な脆弱性はありますか？
小さなサイズのファイルの場合は、
・ 暗号化したファイルをemailその他のインターネット経由で送信
・ 鍵は電話かファックスで伝達
大きなサイズのファイルの場合は、
・ 暗号化したファイルをDVDに焼いて送信
・ 鍵はemailで伝達
（これらの方法は手間がかかるために受け取り側からは評判が悪いです。）
また、この他に用いることができる方法がありますか？
どうぞご教授お願い致します。
Moriya, Tomoさん （ 東京都 / 男性 / 30歳 ）
回答：3件
谷口 浩一
Webプロデューサー
3
鍵の送付において、いずれも問題ありです
公開鍵暗号方式が採れない場合は、Moriya, Tomoさんが列記したどの方法にもしっかり脆弱性があります。
こんにちは。
チームデルタの谷口です。
暗号化したファイルの送付にemailを使うことは問題ありません。
まともな暗号化方式で暗号化していれば、です。
ただ、鍵の送付については、電話、FAX、どちらもダメです。
ましてやemailで送るなら、ファイルを暗号化したメリットは実質ゼロになってしまいますよね。
少しでもリスクを低めたいなら、必ず特定した人物が開封できることが保証される方法で、かつ個人情報保護シールつけて郵送するのがいいんじゃないでしょうか。
でも、いずれの方法にしても、完全な秘匿性を維持するのは無理ですよ。
初めての相手と安全に通信する暗号化メリットを享受するなら、公開鍵暗号方式を使える環境やルールを相手と整えることが一番だと思います。
安全の確保と若干の手間はトレードオフであることを相手にも納得してもらってください。
メジャーメーラーはPGPなど公開鍵による暗号化を実装してますし、鍵はメール本文、あるいはシグニチャに貼っつけちゃっても安全は保証されるんですから。
暗号化/複合化の操作も憶えてしまえば簡単なことです。
ご参考になれば幸いです。
成功するWeb戦略とホームページ制作のチームデルタ
谷口浩一
補足
公開鍵暗号方式は現在ほぼ完全な暗号化手段ですし、これが実に簡単に、しかもほぼ無料で利用できるにも関わらず、確かに普及してませんよね。
結局は受信者が、複合化/暗号化の手間をどう考えるか、なんだと思います。
ファイルやメール操作を含めた、情報武装へのリテラシー、企業文化も影響するでしょうね。
また、ウィルスの猛威に比べれば、ネットを流れる情報のモニタリングや改ざんリスクに対するリアリティーに欠けるんせいもあると思います。
事実、ネットでのモニタリングや改ざん被害例って大きく報道されませんから。
鍵により暗号化された情報を知ることができたとしても、それは遠い未来のことです。
ですから、安全は確保されますが、他の通信手段で鍵がリークする可能性が、他人に複合化される危険度よりも高いならば、そもそもファイルを暗号化する意味はないんですよね。
平文でネットに流したって、覗かれる可能性はもともと極めて低いんですから。
評価・お礼
Moriya, Tomoさん
回答ありがとうございます。
そうなんです。電話・ファックスの盗聴リスクを想定するかどうかなのです。鍵を郵送するかどうかは、電話・ファックスでやりとりできる程度の内容なのかどうかで判断したいと思います。
それにしても公開鍵暗号は普及しませんでしたね。1人1鍵とは言わないまでも、電話番号程度の位置づけで1社1鍵ぐらいは普及して欲しいです。
質問やお悩みは解決しましたか？解決していなければ...
坂田 岳史
ITコンサルタント
-
手間と安全性のバランスが重要ですね。
こんにちは、IT経営コンサルタントの坂田です。
私はある大手企業とメールでコミュンケーションしています。その企業では次のような対策をしています。
(1)CCをシステム的に使えないようにしてる。
以前、BCCで送るつもりが間違えてCCで送ったことあるそうで、それ以来CCはシステム的に使えな
いようにしてる。
(2)ファイルをメール添付で送る場合は、ファイルを暗号化して、鍵は別メールで送る。
(3)鍵は予め決まっているが、定期的に変更する。
現実的には、このような対策でも十分だと思います。
メールを使う場合の注意点ですが、上記の方法だと送信サーバーを常に盗聴されれば、暗号化されたファイルと鍵を盗まれるリスクがありますが、そこまでやる価値がある情報化どうかという問題あります。
現実的には、送信先間違いの対策として行っているようです。
ですので、私は以下の方法は最も現実的だと思います。
・ 暗号化したファイルをemailその他のインターネット経由で送信
・ 鍵は電話かファックスで伝達
セキュリティは強化することにことしたことないですが、その分手間やお金がかかります。
情報の重要度と手間などのバランスを取ることが重要だと考えています。
評価・お礼
Moriya, Tomoさん
>現実的には、送信先間違いの対策として行っているようです。
盗聴の心配よりもケアレスミスの方が問題を起こしやすいのですよね、実際には。なので暗号通信の仕組みを複雑にすることによりケアレスミスによる流出が増えることも恐いのです。
岡本 興一
ITコンサルタント
1
事例紹介
IT業界でよく使われている方法を簡単に列挙します。
* 1. 暗号化メール
最もコストをかけず、安全に情報を即時送付する方法は、公開暗号鍵によるメールの暗号化。
GPGを使えば、手間以外のコストは不要です。
GPGで送受信する環境を一度構築すれば、次回以降は全くと言っていいほど手間がかかりません。
* 2.ファイル送信ASP
宅ファイル や データ便といった大容量データ送信ASPによりSSLで送付する方法です。
データを受け取るために、パスワードを付与することができます。
ただ、このパスワードの受け渡し方法が問題になります。
また、ASP業者自体を信頼してよいか?という問題もあります。
* 3.自社サイトSSL領域に送付ファイルを設置
2.と原理は同じですが、設置場所に認証機能を付与する必用があります。
認証方法の設置コストと手間、パスワードの受け渡し方法が問題になります。
* 4.暗号化zip
zip そのものの暗号化強度の問題はありますが、よく使われます。
手軽でコストがかからないので利点
これも、パスワードの受け渡しが問題になります。
* 5.パスワードの受け渡し方法について
最も安全なのは、直接会って記録に残さず口頭で伝えることですが、不便です。
そこで、テキストファイルにパスワードを記述し、暗号化zipにします。
これを、メールに添付して送付し、解凍に必用なパスワードは電話等口頭で伝えます。
間に一手間入るのは面倒ですが、複数の手段を組み合わせることにより、全ての情報を入手しない限り、最終的なデータの受け取りができない様にすることができ、しかもコストがかかりません。
ご参考になれば幸いです
集客につながるホームページ
ネットとセキュリティ〜ウィジット株式会社
岡本興一
（現在のポイント：-pt）
このQ&Aに類似したQ&A
表示中のコンテンツに関連する専門家サービスランキング
