「信頼」を盗む泥棒を追い出せ！中間者攻撃（MitM）から身を守るための防犯術
こんにちは。セキュリティの世界へようこそ。
システム開発をしていると「暗号化」という言葉をよく耳にしますよね。でも、「鍵をかけておけば万全」だと思っていませんか？
実は、どれだけ頑丈な金庫を持っていても、その金庫を運んでいる最中に「偽物の金庫」にすり替えられたら意味がありません。これが、ネットワークの世界で最も恐れられている中間者攻撃（Man-in-the-Middle Attack：MitM）です。
今回は、新人のエンジニアや開発者の方に向けて、この「なりすまし泥棒」をどうやって見破り、撃退するのかを、身近な例えを交えてお話しします。
—
1. 中間者攻撃（MitM）って結局何なの？
家から離れた場所にいる友人へ、手紙を送る場面を想像してみてください。
通常、手紙は郵便局（サーバー）を通って届きますよね。でも、途中の配達員が「悪意ある泥棒」だったらどうでしょう？
- 開封と改ざん： あなたの手紙を一度開いて中身を書き換え、また封をして届けます。
- なりすまし： 友人があなたに返事を送る際、その泥棒が「私こそがあなただ」と名乗り出て、メッセージをすべて横取りしてしまいます。
これがネットワークで起きると、パスワードやクレジットカード情報が丸裸にされます。暗号化技術（AESやRSA）は「手紙の中身を読めなくする」技術ですが、「そもそも手紙を渡している相手が本物か？」を確認しないと、泥棒に暗号化された手紙を渡すことになってしまうのです。
—
2. 「証明書ピンニング」：偽物を見破る「指名手配書」
皆さんがWebサイトにアクセスする際、ブラウザは「SSL/TLSサーバー証明書」というものを受け取ります。これは「私は〇〇という会社ですよ」という身分証明書のようなものです。
しかし、攻撃者は偽の証明書を巧妙に作成し、「自分は本物のGoogleです」と嘘をつくことがあります。これを防ぐのが証明書ピンニング（Certificate Pinning）です。
どういう仕組み？
家の中に「家族の写真」が飾ってあるとします。もし知らない人が「私は家族です！」と入ってきたら、写真と見比べて「違う！」とすぐに分かりますよね。ピンニングとは、アプリやプログラムの中に「このサーバーの証明書はこれだ！」という情報をあらかじめ埋め込んでおく（ピン留めする）手法です。
もし、通信の途中で提示された証明書がピン留めしたものと違っていたら、アプリは「偽物だ！」と判断して通信を即座に遮断します。
—
3. HSTS：通信の「強制的なお約束」
次に、HSTS（HTTP Strict Transport Security）についてです。
普段、皆さんは http://example.com のようにURLを入力する際、ブラウザが勝手に https://（暗号化通信）に書き換えてくれるのを待っていませんか？
実は、この「最初はhttpで接続して、後からhttpsへリダイレクトする」という隙を攻撃者は狙います。最初にhttpで通信した瞬間に、泥棒が割り込んで暗号化されない通信を強制するのです（SSLストリップ攻撃）。
HSTSで何ができるの？
Webサーバー側で「このサイトは常にhttpsでしか通信しません！」という強力な宣言をブラウザに送る仕組みです。一度このヘッダーを受け取ったブラウザは、次回以降、どんなことがあってもhttpでの接続を一切拒否するようになります。
サーバー側の設定例（Apacheの例）
.htaccess やサーバー設定ファイルに以下の行を加えるだけで、強力な防犯ロックがかかります。
# HSTSを有効にする設定
# max-ageは秒数指定（例：1年間有効にする場合）
# includeSubDomainsはサブドメインも保護対象にする設定
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</IfModule>—
4. 今日からできるセキュリティの習慣
技術は日々進化していますが、攻撃者の手口も巧妙です。最後に、皆さんが開発現場で意識すべき「泥臭い対策」をまとめておきます。
1. 証明書を過信しない： 特にスマホアプリ開発では、デフォルトの証明書検証だけでなく、信頼できるルート証明書を明示的に指定する「ピンニング」の実装を検討してください。
2. ヘッダーをケチらない： Webサーバーを構築する際は、HSTSヘッダーを必ず設定しましょう。これは「設定しておくだけで防げる攻撃」の筆頭です。
3. 公開鍵暗号の原理を知る： RSAや楕円曲線暗号（ECC）は、あくまで「鍵の受け渡し」に使われます。その受け渡しが正しいことを保証するPKI（公開鍵基盤）の信頼チェーンを理解することが、セキュリティ担当者の第一歩です。
「面倒だな」と思うかもしれませんが、これらはあなたのユーザーを泥棒から守るための、極めて大切な防犯扉です。
セキュリティは完璧を目指すものではなく、「泥棒が諦めるレベルまでコストを引き上げる」作業です。一歩ずつ、着実に堅牢なシステムを作っていきましょう。応援しています！
コメント