実践企業3社の情シスが語る 「脱PPAP」を従業員と取引先から理解を得て進めるコツ：PPAPをやめたい企業のホンネが明らかに 「パスワード付きZIPファイルの添付」いわゆる「PPAP」からの脱却を目指す動きが民間企業の間で盛んになっている。「脱PPAP」を実現した3社の情報システム部門担当者が集まり、実現までの道のりを本音で語り合った。 電子メールに暗号化したZIPファイルを添付してパスワードを別送するビジネス慣習、いわゆる「PPAP」は“セキュアにファイルを送信する手段”としてこれまで普及してきた。 しかし、PPAPは暗号化したファイルとパスワードを同一経路で送るためセキュリティ対策として有効ではない。パスワード付きZIPファイルはウイルス対策ソフトで検知できないという特徴によって、「Emotet」などのマルウェアに悪用されるケースも増加した。スマートフォンで受信しても添付ファイルが開け
2021年10月8日 株式会社日立製作所 日立グループは、2021年12月13日以降のすべてのメール送受信において、パスワード付きZIPファイルの利用を廃止させていただくことを、お知らせいたします。 パスワード付きZIPファイルが添付されたメールは日立グループにて送受信されず、受信者/送信者の日立グループ従業員に対して、配送を抑止した旨がメールで通知されることとなります。 お客さまおよびお取引先さまにおかれましては、日立グループとのデータの授受の方法につきまして、適宜担当者にご相談頂けますと幸いです。 弊社施策に対するご理解とご協力を賜りますよう、何卒よろしくお願いいたします。 背景 従来、通称PPAP*は、多くの人が利用可能で通信経路上の暗号化を保証する方式として日立グループにおいても利用されてきました。しかし、すでに暗号方式としてセキュリティを担保できるものでなく、昨今はパスワード付き
TL;DR 基本的には二重での暗号は不要 ただし、転送後も暗号化したまま使うなら、転送前から暗号化するのは良い ルールXを無邪気に追加して不整合のあるセキュリティルールを作ってはいけない はじめに 社内のセキュリティルールやスタンダードを決めるときに、HTTPSなのにVPN必須になってたりファイル暗号も必須になってたりするケースたまに見ます。今回は、それは実際に必要なことなのか？ セキュリティ的に有効なのか？ という点で考察をしていきたいと思います。 背景 二重三重に暗号化しても性能ペナルティが無いなら「なんとなく安全そうだから」でOKにしてしまいがちなのですが、これはよく考える必要があります。 というのも 「ルールXを追加することで既存のルールAと不整合が出る」 ってことは割とよくあるからです。具体的には「SCPのファイル転送は（SCPのセキュリティに不備があった時の）安全性のためにファ
内閣府・内閣官房がメールサーバーの設定を変更して添付ファイルを自動的に暗号化Zipに変換する仕組みを停止させた。情報処理学会の機関誌『情報処理』が7月号で暗号化Zipメールの小特集を組み、10月に入ってデジタル改革アイデアボックスに暗号化Zipの添付廃止が提言され、11月24日平井卓也デジタル大臣が記者会見で自動暗号化ZIPファイルと同一経路を使ったパスワード別送の廃止を表明、翌25日から内閣府・内閣官房のメールサーバーの設定が変更された。 電子メールの添付ファイルの自動暗号化Zip化は、金融機関や通信キャリアなど日本を代表する組織の多くで現在も使われていることから、今後、各組織で暗号化Zipファイルを廃止すべきか否か、議論が進むものと考えられる。 暗号化Zipファイル添付の何が悪かったのか自動暗号化Zipファイルの問題は、データを保護する上で全く効果がないにも関わらず、サンドボックスによ
小特集「さようなら，意味のない暗号化ZIP添付メール」より 崎村夏彦（NAT コンサルティング） 大泰司章（PPAP 総研） 楠 正憲（国際大学Glocom） 上原哲太郎（立命館大学） 背景はこちらの記事をご参照ください． 長文の記事です．分割して読みたい方は，こちらからどうぞ． PPAP の定義 崎村：さて，本日は「社会からPPAP をなくすには？」というテーマで座談会を行いたいと思います．アジェンダですが，PPAP の定義，PPAP 賛成の論拠への反論，より良い方策を議論します．まずPPAP の定義ですが，オフラインで鍵を共有するのもPPAP だと思っている方もいらっしゃるようなのですけれども，それは違いますよね． 大泰司：1 通目にZIP を暗号化して添付ファイルを送って，2 通目でパスワードを送るというやり方です．2 つの軸があって，パスワードを同じ経路を送るか，違った経路で送るか
平井卓也デジタル改革担当相は2020年11月17日、中央省庁の職員を対象に「パスワード付きZIPファイル」の送信ルールを廃止する方針を明らかにしました。政府の意見募集サイト「デジタル改革アイデアボックス」に投稿された意見を採用したものです。 この流れに乗り、クラウド会計ソフトを提供するfreeeは、2020年12月1日から対外的に「メールによるパスワード付きファイルの受信を廃止する」と発表しました。メールは、当然ですが受信者がいれば送信者がいます。そのため“受信しません”と表明をすることは重要でしょう。 freeeは今後、パートナー企業や取引先からのZIPファイル付きメールを添付ファイルを削除して受信するとのことです。本文はそのまま維持されるため、これで困ることはないと思われます。 プライバシーマーク制度を運営する日本情報経済社会推進協会（JIPDEC）は、2020年11月18日に「メール
某大企業に勤めてるよ！ みんな絶対に知ってる日本でトップクラスっていうかある意味トップの企業だよ！ もちろんDXをゴリゴリに推進しているし「DX」と名の入った部署まで作って本気だよ！ そんなうちの会社の最新のDX事情を教えてあげるYO！ もちろんDaaS社内システムはもちろんDaaS（Desktop As A Service）を使ってるよ！ 要するにリモートデスクトップだよ！ 社内全員がDaaSを利用するんだけど負荷を抑えるためにWindowsのインデックスサーチはOFFにされてるよ！ なのでファイル検索はめちゃくちゃ遅いしOutlookのメール検索も死ぬほど遅いよ！ おまけに一人あたり20GBの容量しか使えないよ！でも基本的にメールのやりとりだからメールだけで使い切るよ！ え？使い切ったらどうするかって？もちろん、古いメールは削除だよ！ なんで20GBしか使えないのか聞いたら、「平均して
一般財団法人日本情報経済社会推進協会（JIPDEC）は11月18日、パスワード付きファイルのメール送信について、誤送信した場合に情報の漏えいを防げないなどとして「以前から推奨していない」とする公式見解を発表した。 パスワード付きファイルをメールに添付する場合、ファイルとパスワードをそれぞれ別メールで送る場合がある。こうした慣習を「Password付きzipファイルを送ります、Passwordを送ります、An号化（暗号化）Protocol（プロトコル）」の頭文字を短縮し、セキュリティの世界ではPPAPと揶揄（やゆ）することが多い。 17日に平井卓也デジタル改革担当相が、霞が関でいわゆるPPAPを廃止する方針を示したことを受け、JIPDECに「zipファイルがダメなのか」などの問い合わせが複数寄せられたという。 JIPDECは事業者の個人情報の取り扱い体制について評価・認証する「プライバシーマ
うっかり忘れたパスワード（rar/zip/pdf）を解析できるフリーソフト（ARCHPR/pikazip/Ophcrack/crark）や、解凍ソフト（lhaplus/winrar）などの情報などをサクッと確認できるサイトです。 windows（ウインドウズ）やexcel（エクセル）に設定したパスワード（パス・pass）を忘れてしまったことはありませんか。 ＲＡＲ形式の圧縮ファイルが開けなくて困っている人も多いのではないでしょうか。 そんなときに助けてくれるツールが、パスワードの解析ソフト。 windows xp以降標準装備のzipはもちろん、RAR・PDFのパスも簡単にはずしてくれます。フリーソフトのpikazipやcRARk、シェアウェアで高性能のarchpr、ログイン解除用のophcrack live cdなど、 用途に応じて色々なソフトがあります。 逆にパスワード・クラックの標的に
英政府は10月11日（現地時間）、IT企業に対し、エンドツーエンドで暗号化（E2EE）されたコンテンツに法執行機関がアクセスできるようにするよう要請する国際声明を発表した。声明に署名したのは、ファイブアイズと呼ばれる英、米、カナダ、オーストラリア、ニュージーランドの5カ国と、インド、日本。 英政府は「テロや児童の性的搾取、虐待などの深刻な犯罪を捜査する場合、E2EEは公共の安全に深刻な影響を及ぼす。ユーザーのプライバシーとセキュリティを損なうことなく、市民の安全を確保するための解決策を見出すために政府と協力するようIT企業に呼び掛ける」としている。 米国では2016年、米Appleが米連邦捜査局（FBI）からの犯人所有のiPhoneのロック解除を拒否したことをきっかけに、国家安全と個人のプライバシーをめぐる議論が高まった。米上院議員は昨年12月、AppleやE2EEのメッセージングアプリ「
機密情報を共有する5カ国協定、いわゆる「ファイブアイズ」の参加国（米国、英国、カナダ、オーストラリア、ニュージーランド）が、日本およびインドの政府代表と連名で声明を発表した。テクノロジー企業に向けて、エンドツーエンドの暗号化された通信に法執行機関がアクセスすることを可能にする解決策の開発を要請している。 この声明は、暗号にバックドアを設けることをテクノロジー企業に同意させようとする、ファイブアイズの最新の取り組みだ。 各国の政府関係者はこれまでと同様、テクノロジー企業が製品にエンドツーエンド暗号化（E2EE）を組み込むことで犯罪捜査が困難になったと主張している。 7カ国の政府代表は、現在の主要なテクノロジープラットフォームでサポートされているE2EEの仕組みのために、法執行機関が犯罪組織を捜査できないばかりか、テクノロジープラットフォーム各社も、一般市民を守るためのサービス利用規約を守らせ
「Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）」の略号である[1]。 日本情報経済社会推進協会に所属していた大泰司章（おおたいし あきら）（現・PPAP総研）が問題提起し命名した[2]。ピコ太郎の『PPAP』（ペンパイナッポーアッポーペン）の響きが「プロトコルっぽい」と言う人がいたことから大泰司が命名のヒントを得た[3]。PPAPという用語は『日本情報経済社会推進協会』の発行する文書にも使われている[4]。 PPAPによるファイルの送受信は、次のような段階によって行われる。 送信者は、ファイルをパスワード付きzipファイルで暗号化し、メールに添付して送信する。 送信者は、1.で送信した添付ファイルのパスワードを、別途メールにて送信する。 受信者は、送信者から受け取った添付ファイルとパスワードによってファイルを
今だから白状すると、昔、運営していたサービスの一般ユーザーのパスワードをハッシュ化（暗号化）せずに平文でDBに保存していたことがある。 言いわけは、幾つかある。 一つは、今では当たり前のようについているパスワードリマインダーの仕組みが当時は一般的ではなかったこと。 ユーザーがパスワードを忘れた、と問い合わせしてきた時に、最も自然な方法はまさに当人が設定した「パスワード」を一言一句違わず登録メールアドレスに送信することだった。あなたのパスワードは○○○です。ああそうそう、そうだったね。こういう感じだ。 当時のユーザーはそれを不審がらなかった。 またサポートコストの問題があった、パスワードの再発行を、そのためのトークンを含んだ長いURLを、大半のユーザーが嫌がっていた。 サポート部門はOutlookExpressに表示された長すぎるURLのリンクが途中で切れててクリックできない、という苦情にい
実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「
Peingで表題のような質問をいただきました。少し長くなるので、こちらで回答します。 現在、暗号化ではIV（暗号初期化ベクトル）が不要なECBモードは推奨されず、それらが使用されるCBC等が推奨されています。 しかし、暗号化後の文章も、暗号化初期ベクトル（平文）も同様にDBに直接保存される為、結局のところ意味をなすのでしょうか？ 暗号化後の文章が漏れる≒IVが漏れると思いますが、どのような時にIVを設定したことによる恩恵が受けられるのでしょうか？ https://peing.net/ja/q/c63a9669-0d8e-4a23-b7f8-67869bf9e0b0 より引用結論から言えば、IVは必須です。詳しくは暗号の教科書（手っ取り早いところではWikipediaの暗号利用モードなど）を読んでいただければよいのですが、わかりやすい例を２つ紹介します。 まずは、以下の２つの住所をAES-2
第５９５号コラム：上原 哲太郎 副会長（立命館大学 情報理工学部 教授） 題：「私たちはなぜパスワード付きｚｉｐファイルをメール添付するのか」 皆さんの組織でも、重要な情報を含むファイルをメールで外部に送付する際に、その漏洩防止等のため、何らかのルールを設けておられるところが多いのではないかと思います。その中で非常によく見かける方式に、このようなものがあります。 ①添付するファイルをあるパスワードを使って暗号化ｚｉｐファイルにする。 ②そのファイルをメール添付して送信する。 ③続いてそのパスワードをメール送信する。 私が見聞きする限り、多くの日本企業や組織がこのようなファイル送信法をセキュリティ強化策と信じて」内規で義務づけたり、自動化システムを導入したりしています。しかしこの種のメール、少し考えるだけでセキュリティの観点からは効果がないことは明らかです。同一経路でファイルとパスワードを送
(2015/8/29追記) 最初に代案だけ書いておくと、(メールで送る程度の秘匿性のものは)「Proself」みたいな別プロトコルを使う、です。 メールパスワードでは、パスワードに規約をつけることもできません。 また、この話は企業等においてのルール化の話です。 ファイルをZIPで暗号化し、まずZIPをメールで送り、しばらくして別メールで8文字程度の乱数パスワードを送るという謎のプロトコルが日本企業で流行っているが、ZIPのパスワードは総当たりでかなり高速に解析できるし、そもそもパスワードをメールで送っているので効果が疑問。— Daiyuu Nobori (@dnobori) June 17, 2013 もう何年前のネタなんだろうという感じでもあるのですが、2015年現在もこの慣習はなくなっていないように感じます。 実際社会人になってからも、残念なことに一度言われたことがありますし(受け売り
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
