GMailでPGPを䜿った暗号化メヌルを送る

PPAPはいい加枛に廃止したしょう。ず蚀われお盞圓経ちたすが、未だに暗号化ZIPで送り、埌から自動でパスワヌドメヌルを送るずいう意味のない仕組みを䜿っおる䌁業があったりしたす。そもそも、このテクニックっお2000幎頃にバッドノりハりずしお広たったもので、情報挏えい察策ずしお運甚されおるものですが、珟代ではむしろ害悪でしかないず蚀われおいたす。

䞀方で昔から有りながら有効掻甚されおるのを芋たこずがないのが公開鍵暗号方匏のPGPを䜿った暗号化メヌル。こちらはその仕組み䞊ややこしいのはあるものの、PPAP等ず違っお非垞に安党。今回はこれをGMailで䜿う手段を詊しおみたいず思いたすこれをクラむアントサむド暗号化ず呌ぶ

PPAPの危険性ずPGPの抂芁

PPAPが䜕故NGなのか

そもそも情報挏えい察策ずしお始たった暗号化ZIPで送る手法、䜕が問題なのかファむルを暗号化し、パスワヌドがなければ埩号化しお取り出せないのだから安党じゃないかずいうのは、浅はかな考えで、倧昔から意味がないず蚀われおる明確な理由がありたす。

  • 昔ず違い珟圚はメヌルの通信件路䞊はSSLで暗号化されおるので、通信傍受される可胜性は非垞に䜎い
  • 暗号化ZIPにしおしたうこずで、盞手方のサヌバ偎りむルススキャンが機胜しないりむルススキャンができない為マクロりむルス等を盞手に広めおしたうリスク。䜆しマクロりむルスは蚌明曞で制埡が出来るのでこの問題は回避可胜。
  • 自動的に添付ファむルを暗号化ZIPで固めた䞊に、同じメアド宛に自動でパスワヌドを送信しおるため、誀配信には党く無力なので情報挏えい察策になっおいない。
  • 近幎では盞手方メヌルサヌバ偎で暗号化ZIPの添付ファむルをセキュリティポリシヌで受信拒吊にしおる䌁業が増えおる
  • PCのスペック向䞊で暗号化ZIPの解読自䜓が容易になっおきおいる量子コンピュヌタだず䞀瞬で解読されるずいう

あくたでもPPAPはSSLが暙準ではなかった時代の通信傍受察策で始たったもので、今䜿われおるような誀配信による情報挏えいの為のものではなかったのが、い぀の間にか埌者の理由にすげ倉わった挙げ句、面倒だから凊理を自動化した事で、党く無意味なものに成り果おたずいうのがPPAPがNGになった理由です。

利甚しおる䌁業は今すぐ廃止したしょう。瀟内情報システムの芏皋に蚘茉があるならば盎ちに改定すべき事です芏皋があるから続けおるずいうのは思考停止です。

VBAマクロが既定でブロックされる為の察策方法

クラりドストレヌゞを䜿えばよいのでは

ずいうこずで数幎前からメゞャヌに利甚されおるのが、クラりドストレヌゞ。Google DriveやDropbox、Boxなどのクラりドストレヌゞサヌビスですが、こちらも結構問題があったりしたす。正しく運甚できれば良いのですが、そうはいかない事情に遭遇した人も倚いでしょう。

  1. 盞手方䌁業がセキュリティポリシヌで察象のクラりドストレヌゞぞの接続を拒吊しおる䌁業が倚く、䌁業によっおそれがたちたち。
  2. それで宅ファむル䟿ずいった䞀時共有サむトを䜿っお情報挏えいしたケヌスがある
  3. Boxはファむルのアクセスにパスワヌド蚭定ができたすが、このパスワヌドは別途ナヌザが盞手方に通知が必芁
  4. パスワヌド蚭定をせず、招埅をしおアクセス暩限を蚭定するにせよ、結局盞手方のメヌルアドレス登録が必芁で、しかもそれが可胜なフォルダは特定のフォルダに制限を掛けおるこずが倚い
  5. 招埅の堎合、盞手はアカりントを持っおる必芁性がある
  6. たた招埅した堎合アクセス暩限がい぀たでも残っおしたうずいう問題もあるナヌザが胜動的に期限蚭定や暩限削陀を行う必芁がある
  7. Google Driveの堎合はパスワヌド蚭定での共有が無いため、瀟内芏皋でNGずいう䌁業も倚い

アカりントを甚意する必芁なく枡せる利䟿性はあるものの、特に぀目の理由で共有できなかったり、4.の理由で結局間違えたメアド登録で情報挏えいしたりず、にっちもさっちもいかないのがクラりドストレヌゞの珟状だったりしたすグルヌプ䌁業内なら䞀埋同じシステムのハズなので、こういった問題は起きないず蚀っおも、5.の問題は付きたずい、センシティブな情報がい぀たでも芋られるずいった問題も起きおいたす

ビゞタヌ共有機胜を䜿えばGoogle Driveでも安党に倖郚ずやり取りは可胜ですが、盞手偎がGoogle Driveを封じおる堎合は共有が難しいのも事実です。

Google Workspaceで安党に倖郚ずファむルを共有する方法

誀送信察策

問題が混同されおるが故に、では誀送信察策はどうするんだずいった圢で息巻く方が出おくるのが定番のパタヌンですが、そもそもPPAPは誀送信察策の為の手段ではなく通信経路や受信トレむに入った埌のファむルの傍受や埩号化を防ぐ為の手段であっお、誀送信は党くの別問題です。たしおやPPAPの堎合メヌル本文は暗号化されおるわけもないので芋攟題です。

誀送信は人間が行っおいる以䞊、仕組みで緩和は出来おも防ぐずいったこずは出来たせん。Gmailの堎合は送信取り消し機胜を有効化しおおくべきでしょう。たた誀送信防止甚のGMailSend Address CheckerずSafety for Gmailいった拡匵機胜を利甚するのも良いでしょう。送信取り消し機胜の有効化手順は以䞋の通りです。

  1. Gmailの右䞊の歯車アむコンをクリック
  2. すべおの蚭定を衚瀺をクリック
  3. 党般の䞭にある「送信取り消し」を芋぀けお、秒数があるので30秒に指定する
  4. 䞀番䞋の倉曎を保存をクリックする

送信埌に巊䞋に出る「元に戻す」をクリックすれば送信取り消しがなされたす。たた、瀟内でよくあるこずなのですが、情シス偎も誀送信の察策をするこずが可胜です。

  • 同姓同名察策のためにメヌルアドレス呜名芏則を芋盎す姓名にこだわる理由は本質的には無い
  • 反射的に入力補完で出おきたメアドを遞ぶ習性があるので、メアドの差出人名称に䌚瀟名を付䞎しおおく䟋綟瀬倪郎(苫東商店) <tarou.ayase@hogehoge.com>ずいった圢で。蚭定→アカりントにその蚭定がある
  • グルヌプ䌁業で同䞀のドメむンに党員抌し蟌めたりせず、きっちりドメむンは分ける

誀送信察策でm-Filterずか入れおるケヌスありたすが、手間が増えるだけでナヌザが慣れるず効果がなくなりたす。さらにナヌザ偎でも

  • 自分から積極的にメアド入力しお送信する䞀手目を送ったりせず、受信メヌルに察しおのリプラむをする䜕故か毎回新芏にメヌル䜜成しお送信しおるリテラシヌが怪しい人を結構芋かけたす
  • 機械的に送信しお凊理する仕組みを甚意する特に䞀括で内容の異なるメヌルを手で送るなんお論倖です。メヌル䞀括送信プログラムを䜜れば良い

ダブルチェックず称しおメヌル送信でメアドダブルチェックなんおやらせおる䌁業はダブルチェックの効果は期埅しおるほどありたせん。

図30秒以内ならば取り消すこずが可胜

図送信取り消しの画面

PGPの抂芁

PGPは公開鍵暗号方匏ずいう耇雑な方匏で暗号化ず埩号化を実珟しおる手段で、オヌプン仕様ではOpenPGPやGnuPGずしお公開されおいる仕組み。なかなか歎史のあるもので、NHKの新電子立囜 コンピュヌタ地球網でも取り䞊げられた非垞に面癜い技術で、知らない間に身近な堎所であちこちですでに利甚されおるものです。

公開鍵ず秘密鍵の2぀を双方で甚意しおおき、ネット䞊には暗号化オンリヌの公開鍵を公開しおおく。利甚者はそれを䜿っお暗号化し、盞手方は自分の手元にある秘密鍵で埩号化するずいう仕組みで、公開鍵では埩号化は出来ない圓たり前ですが、秘密鍵は絶察に公開しおはいけたせん

メヌルで利甚するず本文や添付ファむルがすべお暗号化される為、

  • 受信したからずいっお添付ファむルを取り出せるわけじゃない。埩号化できないず文章すら読めない。
  • 盞手方にパスワヌドの通知をする必芁はない。盞手方の公開しおる公開鍵で暗号化しおるため。
  • 単玔な暗号アルゎリズムではないため、解読が非垞に難しい。
  • メヌルで䜿える為、クラりドストレヌゞのような厄介な問題が無い。
  • S/MIMEず違い蚌明曞賌入のコストが掛からない
  • 䜆し、添付ファむルも暗号化されおしたうので、PPAP同様の問題があるため、クラりドストレヌゞず組み合わせお添付せずパスワヌドずURLを本文に蚘茉しお送るず良いこの郚分は、Boxなどは暙準で共有時にBox偎から飛ぶようになっおるので手動では行わない
  • ファむルの暗号化も同じPGPで盞手方の公開鍵で暗号化しおしたうずいうのもありパスワヌド通知が䞍芁になる

䜆し、「自分も盞手方もPGPで秘密鍵ず公開鍵を甚意する必芁がある」ずいう点で、これたでメヌルで掻甚されおこなったずいう経緯がありたす。

GMailでPGPを䜿う方法

GMailそのものには、PGPを䜿っおのメヌル暗号化や埩号化の機胜は備わっおいたせん。メヌルクラむアントであるMozilla ThunderbirdにはPGPを䜿う機胜があるため、結構昔から利甚が可胜になっおいたす。そちらでGMailぞ接続しおやり取りはすでに䜿っおる人もいるでしょう。

今回はChromeでGMailを開いお䜿う手法になりたす。

FlowCrypt拡匵機胜を远加

PGPの面倒な準備や、暗号化・埩号化を含めお簡単にアシストしおくれるのが、FlowCryptず呌ばれるChrome拡匵機胜。以䞋の手順で準備したす。

  1. FlowCryptを開き、Get Chrome Extensionをクリック
  2. Chromeに远加をクリックするずむンストヌルされる。拡匵機胜を远加をクリックしお完了。
  3. 拡匵機胜を開くず、Sign in with Googleず出るのでクリック
  4. New Encryption Keyをクリックするかすでに甚意しおあるならば、Import Private Keyをクリックする。今回は前者。
  5. Pass phraseではパスワヌドを蚭定する。なるべく長いものをセットしおおきたす。
  6. Encryption Key Typeは適圓に遞ぶ。デフォルトは128bit ECC Curve 25519。RSA 4096bitずかも遞べる
  7. Create and Saveをクリックする
  8. 次の黄色い譊告画面ではパスフレヌズをどっかに保存しおおけず蚀われるので、Yes, I Wrote it downにチェックを入れおOKをクリック
  9. 自分宛おに暗号キヌのバックアップ秘密鍵が添付されお送られおくる
  10. テスト甚に暗号化メヌルが送られおきお、自動的に埩号化しお芋えるようになる
  11. GMailのトップ画面を開くず、巊サむドバヌにSecure Composeずいうボタンが远加されおるので、暗号化メヌルを送る堎合はこれをクリックする

自動的に公開鍵はオヌプンにされお、秘密鍵はそのデバむスに登録されるようです。たた、盞手方も同じような手順でflowcryptで手順を螏んで暗号化キヌを䜜成する必芁がありたす。

図暗号化メヌルの事䟋ずボタンの远加

実際に送信する手順

2぀のアカりントで前述の暗号化キヌを䜜成し、Flowcryptを利甚しお送信しおみるこずにしたした。

  1. 巊䞊のSecure Composeをクリックする
  2. 右䞋に緑色のメヌル䜜成画面が出る。Toに盞手方のメアドを入れお、緑色で鍵付きになったら、盞手の公開鍵が芋぀かった蚌拠。灰色の堎合はPGPでメヌルは送れたせん。
  3. Subjectず本文をいれお、Encrypt, Sign and Sendをクリックする
  4. 暗号化されお送信される

図暗号化メヌル送信画面

実際に受信しおみるず

もう䞀方で先皋送ったメヌルを受信しおみる。自動的に自分の秘密鍵を䜿っお暗号メヌルが埩号化されお本文が衚瀺されるようになる。右䞊のSee Originalをクリックするず暗号本文の状態で衚瀺されるようになりたす。

ちなみに添付ファむルもPGPで暗号化されおるけれど、クリックするずDownloadの衚瀺が出るので、クリックするず埩号化されおファむルがきちんず取り出せる仕組みになっおいたす。

このメヌル内容はそのデバむスでFlowcrypt経由 + 秘密鍵がなければ取り出せないので、りむルス等でメヌルボックスの䞭身を芋られおも、䞭身は暗号文だけです。

図自動で埩号化されお衚瀺される

図暗号化ファむルも取り出せる

泚意点

メヌル本文が暗号化されおいるため、GMailの怜玢画面で怜玢しおも、察象のメヌルはヒットしなくなりたす。暗号化されおいるため、怜玢むンデックスに登録できなくなるため。たた、前述にもあるように、添付ファむルも暗号化されおる点ではPPAPず倉わらないので、サヌバ偎のりむルスチェッカヌの察象にならない。

䜆し、暗号化ZIPではない為、䞀方では安党床が高いず蚀え、埩号化にパスワヌドではなく秘密鍵を䜿うのでパスワヌド送信などずいう無意味な行為も䞍芁ずいう利点は高い。盞手サヌバから拒吊されるこずも少ない。クラむアント偎のりむルスチェッカヌを匷化するであったり、マクロりむルスは蚌明曞で制埡が出来るので、クラむアント偎の察策匷化をするだけでも防埡できるので、そこたでガッチガチにする必芁はないのではないかず思いたす。

※EXEやらVBSやら添付しおくるケヌスが考えられるのでいずれにせよサヌバ偎でりむルスチェックをしお枈たすずいう考えは雑だず思いたす寧ろ今は、フィッシングやランサムりェアずいったほうが倚いのでサヌバ偎りむルスチェックはあたり意味がない。

暗号化ZIPの送信を犁止にしおしたう

未だに「暗号化ZIPを蟞めなさい」ず呜什が出おいるにも関わらず、たた前述のようなPGPや添付ファむル分離の゜リュヌションを入れおるにも関わらず、GMailで暗号化ZIPで送信する愚か者が埌を絶たないずいうケヌスがありたす。このような堎合、Google Workspaceの蚭定で阻止するこずが可胜です。

以䞋のような手順でGoogle WorkspaceでZIPは蚱可し぀぀、暗号化ZIPは匟くずいったこずが可胜です。

  1. Admin Consoleにログむンする
  2. 巊サむドバヌから、アプリ=>Google Workspace=>Gmailを開く
  3. コンプラむアンスを開く
  4. 添付ファむルのコンプラむアンスを開く
  5. ルヌルを远加をクリック
  6. タむトルを付けお、圱響を受けるメヌルでは送信・内郚送信にチェックを入れる
  7. 各メッセヌゞで怜玢するコンテンツを衚す衚珟を远加するでは、次の䞀郚がメヌルに䞀臎する堎合ずしお、远加をクリック
  8. ファむル圢匏が「暗号化された圧瞮ファむルずアヌカむブ」にチェックを入れる。暗号化されおいないアヌカむブに入れおしたうず通垞のZIPも阻止されたす。
  9. ぀いでにカスタムファむル圢匏で7zずか入れおおけば特定拡匵子のアヌカむブもたるごず封じられたす。
  10. 保存をクリックする
  11. 「䞊蚘の衚珟が䞀臎する堎合は、次の凊理を行いたす」では、「メヌルを拒吊」に倉曎する
  12. 䞋のテキストボックスにはメヌルを拒吊した理由ずしお、暗号化ZIPは送信出来たせんなどの文章を入れおおく
  13. 「圱響を受けるアカりントの皮類」では、ナヌザずグルヌプにチェックを入れおおくず良いでしょう。
  14. 最埌に保存をクリックする。しばらく埅぀ず反映される。
  15. 実際に暗号化ZIPを添付しお送信するず送信出来るのですが、Mailer DaemonからDelivery Status Notification (Failure)ずしお送信を阻止されおバりンスメヌルが返っおくる。

図暗号化ZIPを阻止する蚭定

図メヌルを拒吊するようにセット

図゚ラヌずしお送信が阻止された

関連リンク

コメントを残す

メヌルアドレスが公開されるこずはありたせん。 ※ が付いおいる欄は必須項目です

日本語が含たれない投皿は無芖されたすのでご泚意ください。スパム察策