ネットとセキュリティの「なぜ？」Q&A
HTTPS、多要素認証、暗号、バックアップ——16の疑問と具体例・演習から、仕組みの限界も含めて自分を守る方法を学びます。
この単元の目標
- 暗号化・認証・完全性の役割を区別し、HTTPSだけでは防げないリスクを説明する。
- 二段階認証と二要素認証、認証コードとパスキーの違いを理解する。
- 更新・バックアップ・公式窓口への確認を組み合わせた防御を選ぶ。
安全対策は「一つ導入したら絶対安全」ではありません。何を守る仕組みか、何は守れないかを分けると、広告やうわさに惑わされにくくなります。ここでは16の疑問を、通信・アカウント・端末の三つの視点から考えます。扱うのは概念と防御であり、攻撃を実行する手順ではありません。
通信と本人確認の「なぜ？」
Q. なぜHTTPSが必要なの？ A. HTTPだけでは通信内容が暗号化されず、経路上で盗み見や改ざんを受ける恐れがあります。ただし同じWi-Fiにつながった人が必ず全通信を読めるわけではなく、ネットワークの構成にもよります。HTTPSはTLSによって通信を暗号化し、改ざんを検出し、証明書を使って接続先ドメインを認証します。一方、証明書は商品の品質や運営者の善意を保証しません。詐欺サイトもHTTPSを利用できます。証明書の警告を無視しないことが大切です。
Q. 二段階認証と二要素認証は同じ？ A. 二段階は手順の回数、二要素は「知識・所持・生体」のうち異なる種類を組み合わせることです。パスワードと秘密の質問は二段階でも、どちらも知識なので二要素ではありません。パスワードと所持端末の認証アプリなら、一般に知識と所持の組合せです。アプリの使い捨てコードはSMSの電話番号乗っ取りリスクを避けられますが、偽サイトに入力すれば悪用されることがあります。接続先に結び付くFIDO方式のセキュリティキーやパスキーは、コード入力式よりフィッシングに強い仕組みです。復旧用コードも安全に保管しましょう。
Q. パスワードを使い回してはいけないのはなぜ？ A. あるサービスで流出したIDとパスワードの組が、別のサービスの不正ログインにも使われ得るからです。サービスごとに異なる長いパスワードを使うと、この連鎖を抑えられます。ただしそれだけで端末感染やフィッシングまで防げるわけではありません。パスワードマネージャーによる生成・保存、多要素認証、復旧先メールの保護を組み合わせます。漏えいが疑われるときは変更しますが、理由のない定期変更で末尾だけ変えるより、十分な長さと使い分けが重要です。
Q. 公共Wi-Fiはなぜ注意が必要？ A. 運営元が不明だったり、似た名前の偽アクセスポイントだったりする可能性があるためです。ただし正しく検証されたHTTPSの中身は、偽アクセスポイントだからといって直ちに読めるわけではありません。施設の案内で接続先を確認し、自動接続や不要な共有を切り、接続のためと称する不審な証明書・アプリの導入を避けます。重要な手続きでは自分のモバイル回線も選択肢ですが、回線を変えても偽サイトへの入力は防げません。
具体例：HTTPSなのに不審な請求
「本日中に未納料金を払ってください」というメッセージのリンク先はHTTPSでした。これだけで本物と判断できますか？
解答・解説
判断できません。HTTPSは接続先との通信を保護するだけで、請求の正当性までは確認しません。リンクを使わず、普段の公式アプリや事前に確認したブックマークから請求履歴を確認します。不明なら公式に公表された窓口へ連絡します。
暗号とデータの「なぜ？」
Q. 秘密の鍵をそのまま送らずに共有できるの？ A. ディフィー・ヘルマン型の鍵共有では、各自が秘密の値から計算した公開情報を交換し、同じ共有秘密を導きます。絵の具を混ぜるたとえは「混ぜるのは容易でも元の成分を求めにくい」という直感の説明にすぎません。実際には数学的な計算の難しさを利用します。また鍵共有だけでは相手の身元は分からないので、HTTPSでは証明書や署名による認証と組み合わせます。現代のTLSでは共有秘密から通信に使う鍵を導きます。
Q. ハッシュ関数とは何？ なぜ元に戻しにくいの？ A. SHA-256などの暗号学的ハッシュ関数は、データを一定長の値に変換します。同じ入力なら同じ値ですが、ハッシュ値から元の入力を探すことが計算上非常に難しいように設計されています。「候補を試しても絶対分からない」という意味ではありません。出力の種類は有限なので、異なる入力が同じ値になる衝突も理論上はあります。パスワード保存には単にSHA-256を一度使うのではなく、利用者ごとに異なるソルトとArgon2idなどの専用の遅い処理を使います。ソルト自体は秘密である必要はありません。
Q. デジタル署名はどうやって本物か確かめるの？ A. 秘密鍵を用いて文書に対応する署名を生成し、対応する公開鍵で検証します。一般的な署名をすべて「秘密鍵で暗号化し公開鍵で復号する」と説明するのは不正確です。署名方式にはECDSAやEdDSAなどもあります。正しく検証できれば、対応する秘密鍵による署名と、署名後の文書の改変がないことを確認できます。ただし公開鍵が誰のものかを信頼できる証明書などで確認する必要があり、秘密鍵が盗まれていないことも前提です。署名は文書の内容が真実であることや、秘密であることを保証しません。
Q. メッセージアプリのエンドツーエンド暗号化とは？ A. 送り手と受け手の端末の間でメッセージを暗号化し、サービス運営者も通常は本文を復号できない設計です。HTTPSだけの場合は接続先サーバーで復号されるため、保護する範囲が異なります。ただし端末の盗難・感染、相手の画面撮影、暗号化されていないバックアップなどは別の問題です。誰といつ通信したかというメタデータの保護範囲もサービス次第です。「すべての情報が運営者から見えなくなる」とは限りません。
| 仕組み | 主に守るもの | それだけでは保証しないもの |
|---|---|---|
| HTTPS | ブラウザーと接続先の間の機密性・完全性、接続先の認証 | サイトの善意、端末の安全 |
| ハッシュ | 信頼できる比較値を用いたデータの一致確認 | 比較値の出所、内容の秘密 |
| デジタル署名 | 署名鍵に対応する作成元と改変の検出 | 文書の真偽、秘密鍵の持ち主の善意 |
| エンドツーエンド暗号化 | 両端の間のメッセージ本文 | 受信者による転載、端末の安全 |
被害を減らす「なぜ？」
Q. ウイルスとマルウェアは何が違う？ A. マルウェアは悪意のあるソフトの総称です。ウイルスは他のファイルなどに感染して増える種類、ワームは自らネットワークなどを通じて広がる種類です。トロイの木馬は役立つソフトなどを装うものを指し、添付ファイルだけが入口ではありません。ランサムウェアはファイルの暗号化や端末のロックなどで身代金を要求します。「画面を暗号化する」という説明は適切ではありません。これらの分類は振る舞いに基づくため、一つのソフトが複数の特徴を持つこともあります。
Q. ランサムウェアにはなぜバックアップが必要？ A. 仕事や思い出のデータが使えなくなっても、別に保存した正常なコピーから戻せる可能性があるためです。常時接続の保存先や単なる同期だけでは、暗号化・削除がコピー先にも反映される恐れがあります。切り離したコピーや変更・削除を制限した世代別の保存と、復元できるかの確認が重要です。ただし情報を盗んで公開を脅す被害はバックアップだけでは防げません。支払っても復元や情報削除は保証されません。被害が疑われたら端末をネットワークから切り離し、組織の担当者や警察などへ相談します。
Q. フィッシングはなぜ見抜きにくい？ A. 本物に似た画面や差出人表示と、「すぐ手続きしないと停止する」といった焦りを誘う要求を組み合わせるためです。自然な日本語や正しいロゴだけでは判定できません。メッセージ内のリンクではなく公式アプリなどから確認し、パスワードや認証コードを電話やチャットで教えないことが基本です。覚えのないログイン承認通知は許可しません。入力してしまった場合は、信頼できる端末から公式窓口の手順に従ってパスワード変更、セッションの失効、決済事業者への連絡などを行います。
Q. ゼロデイとは何？ A. 開発元が未知である、または修正を提供する時間がない段階の脆弱性や、それを利用した攻撃を指して使われる言葉です。文脈による定義の違いはありますが、「被害が始まってからゼロ日」という単純な経過日数ではありません。修正版がなくても、不要な機能を止める、権限を必要最小限にする、公式の緩和策を適用するなどの防御があります。ゼロトラストはネットワーク内にいることだけで無条件に信頼しない考え方で、ゼロデイを必ず防ぐ製品名ではありません。
Q. OSやアプリの更新はなぜ重要？ A. 更新には不具合修正や新機能だけでなく、セキュリティ上の欠陥の修正も含まれます。2017年5月のWannaCryの拡大には、その年の3月に公開されたWindowsの修正を適用していない環境が関係しました。個人利用では公式の自動更新を有効にし、必要な再起動を済ませます。サポート終了製品は更新が届かなくなるので移行が必要です。組織では互換性や業務継続も確認しますが、確認を理由に無期限に放置せず、リスクに応じて適用計画を立てます。
便利なサービスの限界
Q. VPNを使えば絶対安全？ A. 一般的なVPNサービスは端末とVPNサーバーの間に暗号化した経路を作ります。社内接続や、手元のネットワークから通信先を見えにくくする目的に役立ちます。一方、VPNサーバーより先の保護にはHTTPSなどが必要です。VPN事業者は接続先などを把握し得るため、信頼する相手が変わる面もあります。HTTPSの本文まで当然に読めるわけではありません。フィッシング、端末感染、ログイン先による追跡はVPNだけでは防げず、完全な匿名性も保証しません。
Q. Cookieは便利なのに、なぜ注意が必要？ A. Cookieはブラウザーに保存する小さなデータで、ログイン状態や設定の維持に使われます。ログイン済みの状態を示す情報が漏れると、不正利用される恐れがあります。共有端末ではログアウトし、ブラウザーを更新しましょう。広告などの追跡はプライバシー上の別の論点です。EUでは非必須Cookieへの同意は主にePrivacyのルールに基づき、個人データにはGDPRも関係します。すべてのCookieに同意が必要とは限りません。ChromeがサードパーティCookieを一律廃止する予定だという古い説明も避け、現在の設定や方針を確認します。
Q. パスワードマネージャーに預けても大丈夫？ A. 長く異なるパスワードを多数管理する有力な方法ですが、製品の設計や運用によって安全性は異なります。暗号方式の名前だけで判断せず、信頼できる製品を公式経路から導入して更新し、保管庫の強い認証と復旧手段を整えます。マスターパスワードを使う方式なら長く固有のものにします。端末が感染したり、保管庫を開いたまま他人に渡したりすれば危険です。パスキーを使えるサービスでは併用を検討し、同期アカウントも保護します。
具体例：同期はバックアップと同じ？
写真フォルダーをクラウド同期しています。端末上の写真を誤って消すと、クラウド側からも消えました。何を追加すべきでしょう？
解答・解説
同期は同じ状態にそろえる仕組みなので、削除も伝わります。保存期間を確認した世代管理、別の切り離したコピー、実際に写真を戻す復元テストを追加します。同期サービスに復元機能がある場合も、保存期間や対象を確認します。
場面から選ぶ防御策
パスワードの次に秘密の質問を聞く方式は二要素認証ですか。理由も答えましょう。
解答・解説
通常は違います。どちらも「知っていること」を使う知識要素だからです。二要素認証では、所持端末や生体など別の種類を組み合わせます。
公式のハッシュ値とファイルのハッシュ値が一致しました。そのファイルが絶対に無害といえますか。
解答・解説
いえません。一致は比較対象と同じデータであることの確認に役立ちますが、公式配布物自体の安全性や比較値の出所は別に確認する必要があります。
認証アプリの数字を入力する方式と、接続先に結び付いたパスキーでは、フィッシングへの耐性にどんな違いがありますか。
解答・解説
数字は利用者が偽サイトへ入力してしまう可能性があります。パスキーは正規の接続先に結び付くため、似た別サイトでは通常その認証を使えず、フィッシングに強い設計です。端末や復旧手段の保護は別途必要です。
更新、オフラインのバックアップ、多要素認証はそれぞれ何を減らす対策ですか。
解答・解説
更新は既知の欠陥を悪用されるリスク、バックアップはデータ喪失時の被害、多要素認証はパスワードだけが漏れた場合の不正ログインのリスクを減らします。役割が違うので組み合わせます。
確認クイズ
問1. HTTPSについて正しい説明は？
問2. 異なる種類の二要素の組合せは？
問3. SHA-256について正しいのは？
問4. デジタル署名で直接確認できないものは？
問5. ランサムウェアへの備えとして適切なのは？
問6. VPNについて正しいのは？
確かめるための資料
- 認証・パスワード：NIST SP 800-63B-4（Digital Identity Guidelines）。認証要素、フィッシング耐性、パスワード管理の節を参照。https://pages.nist.gov/800-63-4/sp800-63b.html
- 通信と署名：IETF RFC 8446（TLS 1.3）、NIST FIPS 186-5（Digital Signature Standard）。HTTPSと署名の保護範囲を区別する。
- 防御と復旧：IPA「情報セキュリティ10大脅威」、CISA「#StopRansomware Guide」。最新版の公式対策情報を確認する。
- Cookieの方針：Google「Next steps for Privacy Sandbox and tracking protections in Chrome」（2025年4月22日）は、第三者Cookieについて利用者の選択を維持すると発表。製品の方針は変更され得る。https://privacysandbox.com/news/privacy-sandbox-next-steps/
📝 メモこの端末のみに保存
メモ欄はページ読み込み後に使えるようになります。