劇場型セキュリティと PPAP

最近セキュリティ関連で PPAP なる謎の隠語を聞くのだが，どうも「情報処理」2020年7月号の特集記事が発端らしい？

命名の元ネタはもちろんアレである（笑）

PPAP については特集記事を見ていただくとして，簡単にいうと，暗号化 zip ファイルとその復号パスワードを相手に電子メールで送りつける日本独特の商慣行（笑）を揶揄した言葉のようだ。

つか，今だにこんなことやってる企業あるの？ ホンマに？

劇場型セキュリティ（Security Theater）

「情報処理」2020年7月号でも説明されているが， security theater というのはゼロ年代初頭に起きた同時多発テロ（9.11）を受けて打ち出されたセキュリティ対策の間抜けさ加減を指した言葉で， Bruce Schneier さん著作の『セキュリティはなぜやぶられたのか』にも登場する。

セキュリティは、ある程度、どう感じるかという問題だと第1章で説明した。そうであるなら、実体だけでなく守られているという感覚も得られる対策が望ましい。しかし実際には、実体がなくて感覚だけの対策もある。それでは単なるセキュリティ芝居である。言い訳にすぎないのだ。

最近でも COVID-2019 絡みで

As scientists and health care professionals in general agree, thermal imaging systems are an inappropriate and ineffective strategy for identifying individual cases of Covid-19 and preventing its spread. Beyond the wasted costs, installing thermal scanning as part of a “back to work” process might create a false sense of security that convinces some to prematurely return to their jobs and emboldens others to relax more effective strategies, such as social distancing and responsible contact tracing efforts.

なんてな話もある。 PPAP とか典型的な security theater と言えるだろう。

暗号化 zip とか使うな！

そもそもの話として，暗号化 zip ファイルを解読するツールはそこらに普通に出回ってるけどね（笑）

まともな暗号化圧縮が使いたいなら gpgtar を使いましょう。

• 複数ファイルをまとめて署名・暗号化する

Windows 環境に限定するなら「アタッシェケース」等を使う手もあり（パスワード配布の問題は残るけど）。

電子メールとか使うな！

電子メールはよく葉書に喩えられる。 例として，年賀状に厨二病的な文言を書いて相手に「それ」が渡るまで，どれだけ見られる可能性があるか想像したら軽く死ねるだろう。

いわんや，国家権力をや，である。

大昔，電子メールは重要なメッセージング基盤だった。 だから PGP をはじめとして安全でない電子メールの内容をいかに安全に相手に届けるか，を真剣に考える必要があった。 しかし今日においては，苦労して電子メールなんか使わなくても秘密を安全に配信する手段はあるのだ。

むしろ電子署名をちゃんとしようよ

私は GnuPG を日常的に使ってるが git commit 時の電子署名が主な使い道である。 職業エンジニアだった頃も機密文書の共有は Box や Dropbox 等のクラウド・ストレージを使うのが当たり前だったし，そこで暗号化が必要なら LibreOffice 文書に GnuPG で署名・暗号化すればよかった。

• Git Commit で OpenPGP 署名を行う
• LibreOffice と OpenPGP （仕切り直し）

大袈裟な基盤は必要なく OpenPGP の peer-to-peer で緩やかな信用モデルの下に運用できていれば通常業務には十分である。

• OpenPGP の電子署名は「ユーザーの身元を保証し」ない

最近

• PDFベースの共同編集・電子署名サービスのAnvilがグーグル系VCから5億円超を調達 | TechCrunch Japan
• 電子署名サービスを今夏提供へ–ドロップボックスが2020年の事業戦略 - ZDNet Japan

のようなニュースを見かけるようになり「リモートワークがメインになれば要るよなぁ」と思った一方で，よりにもよって「情報処理」みたいな雑誌が PPAP がどうのとか言ってるのを見るとガッカリしてしまう。 日本の企業はどこまで周回遅れなのか。

もはや暗号化なんてどうとでもできるけど，ゼロトラスト云々な時代なら「そのデータは本当に『正しい』よね？」ってのがより重要なんじゃないのか。

とっとと次に行こうぜ。

参考図書