 |
 |
記事検索 |
イベントレポート |
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
JPRSのフィッシング対応措置、ドメイン名を直接削除する可能性も |
||||||||||||||
|
||||||||||||||
|
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
|
||||||||||||||
今回紹介されたのは、JPRSが行なっているフィッシング対策だが、世界中のレジストリの多くがほとんど同じようなフィッシング対策を行なっているという。 堀田氏はまず、フィッシングに関連した統計データを紹介する中で、JPRSが実際に受け取っているフィッシング報告の件数の推移グラフを示した。これは、JPドメインを使ったフィッシングサイトに関する問い合せ（実質的にはフィッシングサイトの停止依頼）の件数だが、2007年以降、数が激減している。正確な原因は不明としながらも、JPを使ったフィッシングサイトが減ったのではないかとの推測がなされているとのことだ。 続けて、レジストリとレジストラ、レジストラント（ドメイン名の登録者）の関係が図で説明された。ドメイン名に関する登録データは、多くの場合、レジストリが直接管理しているのではなく、販売窓口とも言えるレジストラが管理しており、これがフィッシング対策におけるレジストリの立場の難しさを示していると言える（詳細は後述）。
● レジストリによるフィッシングサイト対応の流れ 堀田氏は次に、具体的にJPRSの場合を例に挙げ、レジストリがフィッシングに対して行なっているアクションを紹介した。まず、セキュリティベンダーやCERT、フィッシングサイトに名前を騙られた銀行などの被害者らから、JPドメインを使ったフィッシングサイトに関する報告がなされる。この報告が意図するところは、多くの場合、JPRSから該当するドメイン名の管理者に連絡し、フィッシングサイトを停止するように依頼してほしいというものである。 そこでJPRSは該当するWebサイトをチェックし、その画像イメージを保存。必要に応じてJPCERT/CCと情報を共有する。 次にJPRSは該当するドメイン名のレジストラに連絡し、そのドメイン名の管理者（＝レジストラント）に「適切なアクション」を取らせるように依頼する。 ここで、レジストラがISPやWebホスティング事業者の場合、顧客（＝レジストラント）との契約に基づいて、不適切な内容をレジストラが「取り下げる（take down）」ことができるのが一般的であり、また、もしレジストラントに連絡が取れない場合でもレジストラがドメイン名を削除することができる。 一方、もしレジストラから反応がない場合は、JPRSが直接、該当ドメイン名のレジストラントに電子メールもしくは郵便で適切な対応を取るように依頼する。その上でレジストラントから反応がない場合は、JPRSが該当ドメイン名を削除することになるが、今のところそのような事態に至ったことは（JPRSでは）ないという。 ● レジストリが対応することには問題点も しかし、このようなレジストリによるフィッシング対策には次のような問題が指摘されている。
さらにドメイン名を無効にしても、以下のような「効果」の点での限界もあることがわかっている。
これらの問題点や限界を踏まえ、レジストリがフィッシング対策でなすべきことを議論するJPドメイン名諮問委員会が2008年2月に次のような勧告を出したことが講演の最後に紹介された。
関連情報 ■URL CeCOS II 東京 開催概要 http://www.antiphishing.org/events/2008_operationsSummit_jp.html
（ 山賀正人 ）
- ページの先頭へ-
|
