なりすましを防ぐ方法について
2005.10.25 Tuesday 21:58
今回の方法は，まずはがきを発送してそこに書かれている連絡先に出欠をもらうものだった．もしそのはがきが偽物で連絡先も全て偽物だったとしたら，各個人の正確な連絡先が誰かのところに集められてしまう．
しかも当日行ってみて初めて騙されたことに気付くだろう．
こちらから一方的に情報を流すだけであれば，無料のサーバーだろうが，誰かの間借りだろうが特に問題は起こらない．ところが情報を集めるとなると各人が本当に自分の情報を出して良いものなのか確認する手段が必要だ．
かつては学生寮という実体が存在し，その住所も電話番号も設立当初から変更がなかったので宛先を見れば真贋は容易に判別できるし，連絡も容易だ．自分が4年間住んでいたところの住所が正しいかどうか判別できないことは無いだろう．途中住居表示の変更で住所が変わってはいるが，実体として移動したわけではないからMapfanやMapionでその住所を入力すれば場所を確認できる．
またインターネットに於いても法人として独自ドメインを取得していたので，そのドメインの正当性を確認する方法があった．
しかし現在はかつての場所には何もなく，電話も当然解約され，独自ドメインも失った．そうなった今OB会の正当性を確認できる物は人と人とのつながりしかない．そのような状態でどうしたら幹事から個人に信頼できるかたちで連絡をつけられるだろうか．
まず一般的な戦略として信頼できるルートからたどってその正当性を確認する方法．これは現在SSL等で使われる証明書発行サービスと近い．しかしOB全員が共有できる信頼できる団体といったらたぶん浜松市しかなく，浜松市民の税金で運営しているところに何かを依頼するのは公平性の立場から行って難しい．少なくとも公には出来ない．
また，電子証明書を使う方法も認知度のない任意団体では難しい．我々が取れるなら誰でもその名前で証明書を取れてしまうからだ．
ここで様々な手段について証明力を考えてみよう．
確認というのは，データが与えられたときにそれを自力で確認する方法について，なりすましは正当性が確認された後に第三者がなりすますことの難しさを表している．
このように考えると自力での正当性の証明はかなり困難だ．
また，住所にしても個人の住居では正当性の確認は難しい．
今の時点では信頼できる人に証明してもらうことが必要だろう．ただ今後回を重ねていく中でOB会のみんなに新たな信頼性のコンセンサスを作っていくことは出来ると思う．
ただ，コストと属人性の排除を考えると電子的なものにせざるを得ない．そうなるとなりすましや乗っ取りの可能性が0ではないから，そのような場合に備えて複数の方法を用意したりそれらを組み合わせて使ったりすることが必要だろう．また電子的とは言っても一般的な電子証明書はサーバや証明書の維持費を考えるとこれまた現実的とは言えない．
で，どのようにするかは次回をお楽しみに...
しかも当日行ってみて初めて騙されたことに気付くだろう．
こちらから一方的に情報を流すだけであれば，無料のサーバーだろうが，誰かの間借りだろうが特に問題は起こらない．ところが情報を集めるとなると各人が本当に自分の情報を出して良いものなのか確認する手段が必要だ．
かつては学生寮という実体が存在し，その住所も電話番号も設立当初から変更がなかったので宛先を見れば真贋は容易に判別できるし，連絡も容易だ．自分が4年間住んでいたところの住所が正しいかどうか判別できないことは無いだろう．途中住居表示の変更で住所が変わってはいるが，実体として移動したわけではないからMapfanやMapionでその住所を入力すれば場所を確認できる．
またインターネットに於いても法人として独自ドメインを取得していたので，そのドメインの正当性を確認する方法があった．
しかし現在はかつての場所には何もなく，電話も当然解約され，独自ドメインも失った．そうなった今OB会の正当性を確認できる物は人と人とのつながりしかない．そのような状態でどうしたら幹事から個人に信頼できるかたちで連絡をつけられるだろうか．
まず一般的な戦略として信頼できるルートからたどってその正当性を確認する方法．これは現在SSL等で使われる証明書発行サービスと近い．しかしOB全員が共有できる信頼できる団体といったらたぶん浜松市しかなく，浜松市民の税金で運営しているところに何かを依頼するのは公平性の立場から行って難しい．少なくとも公には出来ない．
また，電子証明書を使う方法も認知度のない任意団体では難しい．我々が取れるなら誰でもその名前で証明書を取れてしまうからだ．
ここで様々な手段について証明力を考えてみよう．
確認というのは，データが与えられたときにそれを自力で確認する方法について，なりすましは正当性が確認された後に第三者がなりすますことの難しさを表している．
- 住所→ 確認: コスト高，なりすまし: 困難
- 電話番号→確認: 不可，なりすまし: 困難
- URL→確認: 不可(独自ドメインなら可能性はあるが一般には難しい，なりすまし: 管理上のミスや攻撃によってはありうる
- メール→確認: 不可，なりすまし: あり得るが可能性は低い
- サーバ証明書(SSL)→確認: 実体を伴う団体では容易，なりすまし: 困難
- 証明書付きメール(PGP/S-MIME)→確認: 個人レベルでは可だが普及率低い，なりすまし: (証明書の管理が適切なら)困難
このように考えると自力での正当性の証明はかなり困難だ．
また，住所にしても個人の住居では正当性の確認は難しい．
今の時点では信頼できる人に証明してもらうことが必要だろう．ただ今後回を重ねていく中でOB会のみんなに新たな信頼性のコンセンサスを作っていくことは出来ると思う．
ただ，コストと属人性の排除を考えると電子的なものにせざるを得ない．そうなるとなりすましや乗っ取りの可能性が0ではないから，そのような場合に備えて複数の方法を用意したりそれらを組み合わせて使ったりすることが必要だろう．また電子的とは言っても一般的な電子証明書はサーバや証明書の維持費を考えるとこれまた現実的とは言えない．
で，どのようにするかは次回をお楽しみに...
Comments