昨年、Linuxで書かれたランサムウエアが登場したとお伝えしました。ランサムウエアとはファイルを勝手に暗号化して、復号化に金銭を要求するマルウエア（コンピュータウイルス）です。前回は設計が不備があり、暗号鍵の場所が判別できたので解読ツールがすぐに提供されましが、今回のランサムウエアはJavaScriptで動作し、もっと高度な設計になっています。

JavaScriptは通常の利用では直接ファイルシステムにはアクセスできません。しかし、今回はNode.jsというサーバサイドでJavaScriptを動かすモジュールが同梱されています。これにより、直接ローカルファイルにアクセスできるようになっています。

さらにやっかいなことに、暗号鍵を匿名通信ネットーワークであるTorを利用して取得し、ファイルをAESで暗号化します。つまり、今回のランサムウエアの作者は暗号技術における暗号鍵の保管場所の重要性を理解しており、外部サーバから暗号鍵を取得する方法を採用しているのです。

こうなってしまうと、攻撃者にお金を払っても元に戻る保証はないわけですから、バックアップファイルを頼るしかありません。通常の暗号化の運用でも、暗号化したファイルが壊れて元に戻せなくなることはありますので、普段からバックアップとリストアの手順を確実なものにしていただければと思います。

今回、MySQLを暗号化するという大変具体的な目的をもったウェブセミナーを日本オラクル株式会社の協力で開催することになりましたので、ご案内いたします。

■【ウェブセミナー】クラウド・仮想化時代のMySQL暗号化のポイント
http://www.softagency.co.jp/webinar/20160128
主催：株式会社ソフトエイジェンシー　協力：日本オラクル株式会社
事前登録制です。ウェブセミナーですので、インターネットにつながる環境であればどこからでもご参加いただけます。

MySQLはクラウド上のシステムで利用されるデータベースとして大変多く利用されています。ウェブシステムにおけるMySQLは個人情報や取引データなどの重要な情報を保存することも多く最もセキュリティを意識しなければなりません。

コスト削減のために、システムをクラウドへ移動するという流れは、もはや止めることはできません。しかし、クラウド上へシステムを移動することによるセキュリティ上の不安は残ったままです。一番、大きな問題はクラウドが多くのコンピュータで構成されており、データが保存先が不明瞭になることです。

それであればデータを暗号化するということが一つの解決手段となります。本セミナーではMySQLをServer-GENERALで暗号化して、実際にデモンストレーションも行います。

鍵管理、パフォーマンス、アクセス制限、さまざまな問題に直面する暗号化の課題をどう解決しているのか実際にご覧いただける良い機会ですので、ぜひご参加ください。

昨年、フランスのパリで起きたテロ事件以来、暗号化技術が政治的な標的にされる懸念を伝えてきましたが、先月末、こっそりと中国で暗号化解除義務の反テロ法案が成立しました。

「中国だから」と思われるかもしれませんが、中身は前回、英国で審議中と伝えた法案の内容とほぼ同じです。米国は立場上は懸念を表明していますが、米国内で同じことをしようと議論していますので、中国側から逆に「ダブルスタンダード」だと非難されています。

今回の内容は、中国国内の通信会社やインターネットプロバイダーに暗号鍵の提出を求めており、いわゆる当局が通信を傍受するためのバックドアを設けるというものです。

しかし、状況はそんなに単純なものではないでしょう。当局がバックドアを設けていると分かれば、さらにテロ組織の地下活動が増えるだけで、結局、一般ユーザへの監視が強化されただけということになりかねません。（実際は、そちらが真の目的という説もあります。）

そうなると、機密保護のために第三者の影響を受けない自前の暗号鍵管理の技術は今後さらに重要な役割を果たすことになりそうです。プライベート空間での暗号鍵管理を当局が規制することは、かなり難しいでしょうから、今後そのような技術の普及のきっかけとなる出来事になるかもしれません。