「農水省へのサイバー攻撃、文書124点が外部流出か」記事へのコメント

イントラでの暗号化の是非

[inouek (31502)]

個人情報を扱うイントラで動いてるブラウザアプリ導入時に、SSLつけようとしたら、
上司に「サーバ負荷が高まるし管理めんどいから不要」:と言われたんですが、必要ですよね？

根拠はベンダが「シェアハブかまさない限り盗聴なんか出来ないから」と言ったからだそうだけど、
本件みたいなトロイがローカルに潜んでたら、平文通信だとPWや入力データ抜かれると思うんだが。

しかしざっとググるとイントラでもSSLすべきって言ってるのは業者の広告ページばかり。
上司の方が正しいのかな？

--
---------------------------- うちの猫は、ながぬこ

Re:イントラでの暗号化の是非

[Anonymous Coward]

まあ，その環境での SSL 導入は効果ゼロかというと理論的にはゼロじゃない．でもまあ，実際は小さいんじゃないかな．今売られているハブはだいたいスイッチングハブだと思うし．

それに，ローカルにトロイが潜んでいる時点でもういろいろ ダメ なので，それによる被害を多少軽減できたとしても，なんというか，-100 を -95 にするような話だ．

筋論でいえば，SSL にかける労力をトロイとかウィルスを防ぐための労力に回すべきだろうな，この場合．

Re:イントラでの暗号化の是非

[ogino (1668)]

スイッチング HUB での盗聴が難しいというのは昔の話でしょう（20世紀？）。デフォルトゲートウェイの ARP 偽造をして盗聴（中間者攻撃）するツールは何年も前から普通に出回っていると思いました。ettercap [nikkeibp.co.jp]の説明をみると 2002年当時にはもうあったのか。

Re:

[Anonymous Coward]

イントラネット内での偽装系は検出が比較的に容易だと思うのですけど、実際のところどうなんでしょうか。