アカウント名:
パスワード:
パスワード付きZIPファイルを添付したメールが悪いんじゃなくて、そのメールを送った後にパスワードを書いて送るのがダメな話なんですよねぇ。
私がパスワード付きZIPファイルを送る場合は、事前に電話をしてそこでパスワードを決めてから送る、というようにしてます。
パスワード付きZIPファイルを添付したメール「も」悪いんですよ。近年急激にPPAP廃止の流れに傾いた背景として、Emotetというマルウェアの流行があります。パスワード付きZIPファイルだとメールスキャンでマルウェアを検出できず素通ししてしまうんです。企業としてはパスワード付きZIPファイルを添付したメールを排除したくて仕方ないので、こういうステートメントを出すわけです。
パスワード付きZIPファイルなマルウェアがあるんでしょうか?受信して暗号買得展開してやるまで組み込まれたやつ?
だからEmotetって書いてあるじゃん一から十まで説明しないといけないのか？
セキュリティソフトがパスワード解除してスキャンすればいいんでないかい？
暗号化ZIPが来る度に総当たりでクラックさせるの?それともPPAPとあたりを付けてパスワードを記載したメールを待ち受けしろと？
PPAPで問題にされる「セキュリティソフト」はMTAと連携してサーバー上で動作するタイプのものだから、どっちにしてもMTA側で大量に遅延が発生するし、下手するとサーバーがぶっ壊れるレベルで負荷が増大しますぜ。#そしてその挙動を悪用したメール爆弾攻撃は容易に作成出来そう。
それが実用的なレベルで可能なら、人間が操作しなくても受信した時点で自動的にパスワード解除するメールクライアントが出ているはず。
そうそう、前後のメールにパスワード書いてありそうだしね～
安全な経路で別途パスワード送っておくのが良いですねぇ。…FAXとかｗ
SSLの証明書とまぁ同じような理屈だね。ハンドキャリーでパスワードリスト渡して、何番目使ったよーとか伝えるのが一番原始的だけど確実かな。
事前共有キーワードと日付をハッシュしたのをパスワードにする、ってぐらいでも良い気もするんだけどね。毎日違うパスワードになるので、パス使い回しだけど使い回しじゃない感じになる。
協力会社さん含めこれでやってたランダムに変えると後でメールあさった時に開けられないってこともあってなぁ
パスワード付きZIPは安全じゃないので止めようってのが最近の流れね事前共有キーとかは本質ではない
じゃあ、パスワード付き7zならいいのか？
パスワード付きZIPで送られることのデメリットは喧伝されているけれど、メリットもあるんじゃね？たとえば、解凍しない限りファイルの内容をカジュアルに読み取られることはないセキュリティレベルの低い取引先に情報送らなきゃならない案件なんて山ほどあって、PPAPでもできるだけマシってな場合もある。ProsConsどちらもどっちを取るか、って話じゃないかなと思うんだ
PPAPを廃止したとして、対案は何なんだろう？オンラインストレージ使えば社内に持ち込まれるときにウイルスチェックできるとでも？
うーん。宛先誤りは 「PPAP『が』脆弱」 ではなく 「PPAP『も』脆弱」 ではないでしょうか？
たとえばオンラインストレージのアクセス制限で代替したとして、許可を与える相手を間違えたら当然漏れますし。事前に相手を認証しておくなら、別チャネルでキーを事前共有するのと同じではないかと。（もちろん別の観点で差があるかもしれない）
「脱PPAPのベストプラクティスはこれが共通認識ですよ」的な話がセキュアな方々からもあまり聞かれなくてモヤモヤします。
そんなものないのです。海外でもマルウェア対策で暗号化ZIP使わないほうが良いと言われてるけど機密レベルが高いと使ってる場合だってあるし、暗号化ZIPだと宛先間違いされると意味がないと言うなら、他のツリーであるようにWebストレージ使ってもパスワードやURL送るときに宛先間違ってたら漏洩はする。先にパスワードを定めてもファイルが漏洩したら力技で復号できるし、ファイル交換用のサービスとアカウントを用意するのはコストや即時性の問題があるし、結局相手の真正性の確認って取れてるの？って話になる。
全ての問題を解決できる方法がないから、どれかに注目して対策をうつしかない。でもそれって現状からなんか改善されてるんだっけ？っていう。方法が定まらないのにやめる発言しちゃった大臣は罪深いと思う
パスワード付きZIPはセキュリティスキャンできないっていう問題があるよ
だから端的に言えばメールに添付されたパスワード付きZIPそのものが悪、という話になる# なのでそんな怪しいファイルは消してしまえってことなんでしょう
GMailはパスワードついてると問答無用で削除してくれてた気がする…。
でもまぁ、そういうスキャンはクライアント側でやればいいんじゃないの、とも思うのだが。駄目なの？
その手のマルウェアは犯人が事前に主要なアンチウイルスソフトで検知されないことを入念に確認してから送りつけるので、それでは対策にならんのでしょう。
その場合、暗号化してないzipでも結局メールサーバ上でのスキャンにもかからないんじゃないだろうか。
結局、添付ファイルは禁止！ってことだよね。暗号化zipに限らず。
※まぁjpegとかなら良いんだろうけど。偽装埋め込みとかマルウエアがしてくるわけもないしｗ
いんやそうはならないサーバー側ならメールボックスへ配信する前に比較的潤沢なリソースでサンドボックス実行とかして挙動がおかしければ削除とかできるからね配信後にクライアント側でスキャンするといっても非力なのでチェック内容は限られてるんだよ
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds
パスワード付きZIPファイル (スコア:1)
パスワード付きZIPファイルを添付したメールが悪いんじゃなくて、そのメールを送った後にパスワードを書いて送るのがダメな話なんですよねぇ。
私がパスワード付きZIPファイルを送る場合は、事前に電話をしてそこでパスワードを決めてから送る、というようにしてます。
Re:パスワード付きZIPファイル (スコア:3, 参考になる)
パスワード付きZIPファイルを添付したメール「も」悪いんですよ。
近年急激にPPAP廃止の流れに傾いた背景として、Emotetというマルウェアの流行があります。
パスワード付きZIPファイルだとメールスキャンでマルウェアを検出できず素通ししてしまうんです。
企業としてはパスワード付きZIPファイルを添付したメールを排除したくて仕方ないので、こういうステートメントを出すわけです。
Re: (スコア:0)
パスワード付きZIPファイルなマルウェアがあるんでしょうか?
受信して暗号買得展開してやるまで組み込まれたやつ?
Re:パスワード付きZIPファイル (スコア:1)
だからEmotetって書いてあるじゃん
一から十まで説明しないといけないのか？
Re: (スコア:0)
セキュリティソフトがパスワード解除してスキャンすればいいんでないかい？
Re: (スコア:0)
暗号化ZIPが来る度に総当たりでクラックさせるの?
それともPPAPとあたりを付けてパスワードを記載したメールを待ち受けしろと？
PPAPで問題にされる「セキュリティソフト」はMTAと連携してサーバー上で動作するタイプのものだから、
どっちにしてもMTA側で大量に遅延が発生するし、下手するとサーバーがぶっ壊れるレベルで負荷が増大しますぜ。
#そしてその挙動を悪用したメール爆弾攻撃は容易に作成出来そう。
Re: (スコア:0)
それが実用的なレベルで可能なら、人間が操作しなくても受信した時点で自動的にパスワード解除するメールクライアントが出ているはず。
Re:パスワード付きZIPファイル (スコア:1)
Re: (スコア:0)
そうそう、前後のメールにパスワード書いてありそうだしね～
Re:パスワード付きZIPファイル (スコア:1)
Re: (スコア:0)
安全な経路で別途パスワード送っておくのが良いですねぇ。
…FAXとかｗ
SSLの証明書とまぁ同じような理屈だね。
ハンドキャリーでパスワードリスト渡して、何番目使ったよーとか伝えるのが一番原始的だけど確実かな。
事前共有キーワードと日付をハッシュしたのをパスワードにする、ってぐらいでも良い気もするんだけどね。
毎日違うパスワードになるので、パス使い回しだけど使い回しじゃない感じになる。
Re: (スコア:0)
協力会社さん含めこれでやってた
ランダムに変えると後でメールあさった時に開けられないってこともあってなぁ
Re: (スコア:0)
パスワード付きZIPは安全じゃないので止めようってのが最近の流れね
事前共有キーとかは本質ではない
Re: (スコア:0)
じゃあ、パスワード付き7zならいいのか？
パスワード付きZIPで送られることのデメリットは喧伝されているけれど、メリットもあるんじゃね？
たとえば、解凍しない限りファイルの内容をカジュアルに読み取られることはない
セキュリティレベルの低い取引先に情報送らなきゃならない案件なんて山ほどあって、PPAPでもできるだけマシってな場合もある。
ProsConsどちらもどっちを取るか、って話じゃないかなと思うんだ
PPAPを廃止したとして、対案は何なんだろう？
オンラインストレージ使えば社内に持ち込まれるときにウイルスチェックできるとでも？
Re: (スコア:0)
B社には、パスワード付きファイル本体がメールに添付されて届く。そのファイル用のパスワードも別のメールでB社に届く。
B社にはファイル本体もパスワードも届いているので、B社の人はファイルの内容を読めてしまう。
上記のような状況では情報漏れの防止にはならないのに、いかにも何か効果があるように言っているのでPPAPなどと揶揄されているのです。(ファイル本体がある時点で、無限にパスワード入力の試行を行える等の話もあったかとは思いますが)
Re: (スコア:0)
うーん。
宛先誤りは 「PPAP『が』脆弱」 ではなく 「PPAP『も』脆弱」 ではないでしょうか？
たとえばオンラインストレージのアクセス制限で代替したとして、許可を与える相手を間違えたら当然漏れますし。
事前に相手を認証しておくなら、別チャネルでキーを事前共有するのと同じではないかと。
（もちろん別の観点で差があるかもしれない）
「脱PPAPのベストプラクティスはこれが共通認識ですよ」的な話がセキュアな方々からもあまり聞かれなくてモヤモヤします。
Re: (スコア:0)
そんなものないのです。海外でもマルウェア対策で暗号化ZIP使わないほうが良いと言われてるけど機密レベルが高いと使ってる場合だってあるし、暗号化ZIPだと宛先間違いされると意味がないと言うなら、他のツリーであるようにWebストレージ使ってもパスワードやURL送るときに宛先間違ってたら漏洩はする。先にパスワードを定めてもファイルが漏洩したら力技で復号できるし、ファイル交換用のサービスとアカウントを用意するのはコストや即時性の問題があるし、結局相手の真正性の確認って取れてるの？って話になる。
全ての問題を解決できる方法がないから、どれかに注目して対策をうつしかない。でもそれって現状からなんか改善されてるんだっけ？っていう。
方法が定まらないのにやめる発言しちゃった大臣は罪深いと思う
Re: (スコア:0)
パスワード付きZIPはセキュリティスキャンできないっていう問題があるよ
だから端的に言えばメールに添付されたパスワード付きZIPそのものが悪、という話になる
# なのでそんな怪しいファイルは消してしまえってことなんでしょう
Re: (スコア:0)
GMailはパスワードついてると問答無用で削除してくれてた気がする…。
でもまぁ、そういうスキャンはクライアント側でやればいいんじゃないの、とも思うのだが。
駄目なの？
Re: (スコア:0)
その手のマルウェアは犯人が事前に主要なアンチウイルスソフトで検知されないことを入念に確認してから
送りつけるので、
それでは対策にならんのでしょう。
Re: (スコア:0)
その場合、暗号化してないzipでも結局メールサーバ上でのスキャンにもかからないんじゃないだろうか。
結局、添付ファイルは禁止！
ってことだよね。暗号化zipに限らず。
※まぁjpegとかなら良いんだろうけど。偽装埋め込みとかマルウエアがしてくるわけもないしｗ
Re: (スコア:0)
いんやそうはならない
サーバー側ならメールボックスへ配信する前に比較的潤沢なリソースでサンドボックス実行とかして挙動がおかしければ削除とかできるからね
配信後にクライアント側でスキャンするといっても非力なのでチェック内容は限られてるんだよ