秘密分散 フォー メール
サイズの大きなファイルのデータを圧縮できるZIP。定番圧縮ツールのZIPファイルを送付する際、パスワードを設定できる機能、いわゆる「暗号化」を利用しているユーザーがほとんどです。しかし、暗号化の強度に不安を抱く方も多いのではないでしょうか？
この記事では、ZIP暗号化の強度や設定方法についてや、メリット・デメリット、パスワードの解析方法やつけ方まで詳しく紹介していきます。
ZIP圧縮ファイルをより安全に利用するためにも、ZIP暗号化の特長、安全性について理解しておきましょう。
※本記事に掲載している情報は2021年3月時点のものです。
目次
秘密分散 フォー メール
カンタン・便利なのに高いセキュリティ
Outlookメールでの情報漏えいリスクを防ぎます。
ファイルサイズを縮小できるZIPは現在主流となっている圧縮形式の1つで、拡張子は「.ZIP」です。Windowsだけではなく、MacOSやLinuxなど多数のオペレーティングシステムで利用できるため、ネットワーク経由で送付および拡散する際に幅広い分野で使用されています。
ZIP暗号化は共通鍵暗号方式の原理により、暗号化・復号化を1つの鍵によって実行します。正しく使用されれば正常に復元できるZIPですが、本来の受信者ではない第三者に鍵を知られてしまうと誰でも復号化が可能になり、暗号化の意味が失われてしまうこともあります。
また、ZIP暗号化方式の種類や使い方によって強度が異なるため、情報漏えいリスクに備えるには、ZIP暗号化について理解を深めることが重要です。
日常的に利用されている便利なZIPファイルの暗号化ですが、安全性について疑問視する声もあります。
パスワードを知らなければ解凍できませんが、圧縮パッケージファイルを開けばファイル名やファイルタイプ、変更時間など閲覧可能であることから、ZIP圧縮形式での暗号強度は低いと指摘されているためです。
では、ZIPファイルの暗号化について詳しく見てみましょう。
ZIPファイルには、AES とStandard ZIP 2.0（ZIPcrypto）の2種類の暗号化方式が使用されています。AESの方は強度が高い方式とされていますが、幅広いOSでカバーされているため使用されるシーンが多いのはStandard ZIP 2.0です。
互換性の高い標準の暗号化方式ZIPcryptoは初心者向け、Standard ZIP 2.0よりも強力なAESは漏えいリスクに備える場合におすすめです。
AES（Advanced Encryption Standard）暗号化とは、アメリカ政府が標準で使用している高度暗号化技術です。
ビット数が異なるAES128とAES256の2種類のAES暗号化があり、暗号化鍵の短いAES128はスピーディーな圧縮・解凍が可能、対するAES256は、AES128より時間を要するため安全性レベルを向上させることができます。
いずれにせよ、Standard ZIP 2.0より高い強度がありますので、セキュリティ面を重視する場合はAES256の暗号化方式がおすすめです。
Standard ZIP 2.0暗号化は、古くからサポートされている暗号化技術で、ZIP圧縮ファイルを簡易的に暗号化します。
AESに比べるとセキュリティ面に脆弱性があり、簡単に解析されてしまう点がデメリットです。よって、安全性の高さを重視する場合には、AES暗号化の使用を推奨します。
ほとんどのZIPソフトでサポートされているStandard ZIP 2.0暗号化は、使いやすく個人ユーザー向けといえます。パスワード解析ツールを使えば簡単にパスワードがわかってしまうため、高いセキュリティレベルを望むことはできません。
機密性が低く、互換性を重視する場合に使用するとよいでしょう。
暗号化はセキュリティを高める手法として広く利用されていますが、その安全性には限界もあります。暗号化はあくまで現在のコンピュータの処理能力を前提とした対策です。複雑なパスワードの解析に一般的なPCであれば数年〜数十年以上の時間を要するため、データの漏えい防止対策となっています。
しかし、PCに詳しい方なら個人でも活用できる、並行処理や分散処理といった手法を用いると、PC1台の数百〜数千倍の処理スピードでのパスワード解析が可能です。
また、量子コンピュータという、従来のコンピュータとは異なる原理で構成されたコンピュータも開発されています。量子コンピュータならば、スーパーコンピュータが数万年〜数億年かかるような膨大な計算を数分で行ってしまいます。
量子コンピュータはまだ研究段階であり、一般ユーザーが手にすることはできませんが、仮に量子コンピュータが一般化した場合は、暗号化はセキュリティ対策として意味をなさなくなります。
このようなコンピュータの計算技術の発展に伴い、計算技術を前提としない新たなセキュリティ対策の手法が今後求められるようになると考えられます。
ここでは、初心者から上級者まで使える定番ツール「Lhaplus」の暗号化方法を紹介します。Windows7以降、ZIPファイルの暗号化は標準機能から外れたため、ZIPファイルにパスワードを設定できる圧縮・解凍ソフトが必要です。
Lhaplusはインストールするだけで、ZIPをはじめlzhやcab、rarなど20を超えるファイルの圧縮と解凍が可能になります。
＜STEP1＞
暗号化したいファイルやフォルダを選択し、右クリックから「圧縮」「.ZIP（pass）」を選択します。
＜STEP2＞
パスワード設定画面にてパスワードを入力し、「OK」をクリックすれば、デスクトップにZIPファイルが作成されます。
なお、機能をカスタマイズするにはLhaplusのアイコンをダブルクリックして設定画面を開き、「一般設定」タブから「詳細設定」をクリックすれば、細かく設定することも可能です。
圧縮ファイルにパスワードを設定できる暗号化は、安全性を高めたいユーザーのニーズに応える利便性の高いツールですが、完璧ではないためデメリットも伴います。
ZIP暗号化を利用するなら、メリット・デメリットをきちんと把握したうえで、上手に活用しましょう。
ZIP暗号化を使用する目的は、企業や個人によりさまざまです。代表的な利用方法として、まず「誤送信対策」があげられます。大切なデータをメールで送付した瞬間に、「宛先を間違えた！」と慌てた経験はありませんか？
そのような誤送信をしてしまった場合でも、ZIP暗号化をしていれば漏えいのリスクを低減することができます。パスワードが設定されていますので、早い段階で誤送信に気付けば情報漏えいを未然に防ぐことにつながります。
また、自社や自身のためではなく、取引先への気遣いやコンプライアンス上の問題のために、ZIP暗号化を使用するケースもあるでしょう。
パスワードのかかったZIPファイルを送付することで、「あの会社はセキュリティ対策をしっかりしている」という印象を与えます。暗号化によりワンクッション置くことで、会社の信頼性や安心感につながるのもメリットです。
ZIPファイル内に保存されたデータのみ暗号化されますので、ファイルの名前、日付、サイズ、属性などの情報はZIP暗号化が適用されません。よって、パスワードがわからなくても、ファイル情報を表示できてしまう点がデメリットとなります。
また、ZIP暗号化はパスワードを知らない人に対して、ファイルを開かせないようにするには有効ですが、復号化を必要としない場合は暗号化の効果を発揮しません。つまり、パスワードがなくても、ZIP暗号化されたファイルを削除したり、名前を変更することは可能です。
加えて、「1234」のようなあまりに単純なパスワードではすぐに解析されてしまいます。AES256のような強度が高い暗号化であっても、高度なセキュリティは期待できません。
PCに悪意あるウイルスが侵入している場合、ファイルを開く際入力したパスワードが記録されてしまう危険性もあります。
パスワードを解析する方法で述べたとおり、ZIP暗号化のパスワードは解析ソフトなどでクラッキングされる恐れがあります。ZIP暗号化によりセキュリティレベルを上げることはできても、情報漏えいのリスクが完全になくなるわけではないので注意が必要です。
ZIP暗号化による安全性は、暗号化方式の強度はもちろん、パスワードそのものの強度、さらにパスワードの管理方法にも関わってきます。以下、ZIP暗号化の強度を保つために気をつけたいことについて確認しておきましょう。
パスワード設定でありがちなパターンが、日付や名前、電話番号の下4桁、「1234」のような連番です。こうしたパスワードは誰にでも推測できてしまうため、安易に設定してしまうと、パスワードを知らない相手でも、解析ツールを使って短時間でクラッキングされる危険性があります。
また、推測できないよう複雑なパスワードにしたとしても、組み合わせや長さなど設定の仕方に規則性がある場合、その法則を知られてしまうことでパスワードを突破されるかもしれません。あくまで第三者に推測できないパスワードを設定することを心がけましょう。
パスワードの解析を難しくするためには、パスワードの長さと構成を複雑にする方法が有効です。例えば、アルファベットだけ、数字だけで設定するよりも、アルファベットの大文字、小文字、数字を組み合わせて設定した方が難易度は高くなります。
そして4桁よりも6桁、6桁よりも8桁というように、桁数が長くなるほど解析に時間がかかりますので、内閣サイバーセキュリティセンターから、パスワードの桁数は少なくとも10桁以上で、大文字・小文字の英数字および記号を組み合わせたものにすることが推奨されています。また、パスワードの使いまわしは非常に危険ですので、必ずパスワードは都度変更するようにしてください。
どれだけ難しく、複雑にパスワードを設定したとしても、パスワードそのものが漏えいして攻撃者に知られてしまえば意味がありません。また、ZIP圧縮ファイルとパスワードを同じメールで送付するのもたいへん危険です。
対策としては、個人個人の危機管理意識を高めてパスワードの管理をしっかりすること、ZIP暗号化したファイルとは別に、チャットツールや電話などでパスワードを伝えるなどの手段がおすすめです。これなら環境を整える必要もなく、導入の手間もかかりません。
ZIP暗号化は2種類あり、互換性を重視する場合はStandard ZIP 2.0、安全性を重視する場合はAESというように使い分けができます。
パスワード解析ツールがどんどん登場していますので、セキュリティ強度を高めるためにも、推測できそうな単純なパスワードは避け、10桁以上に設定すること、パスワード管理を徹底するなどの対策を行いましょう。
企業や個人で用途や目的が異なりますので、置かれている状況において最善の方法を選択することが大切です。
※本記事における価格情報記載はすべて税抜表記です。
※Microsoft、Windows、Windows 10およびMicrosoftのロゴは、米国およびその他の国におけるMicrosoft Corporationの登録商標または商標です。
※その他、記載されている会社名、製品名は、各社の登録商標または商標です。
※ZENMU Virtual Desktopは、株式会社ZenmuTechの製品です。
※株式会社日立システムズエンジニアリングサービスは、ZENMU Virtual Desktopの正規販売代理店です。
このコラムをシェアする
