2016.08.29(月)

クラウド型日本語入力システムは入力文字が漏えいする危険性(IIJ)

脆弱性と脅威 脅威動向

株式会社インターネットイニシアティブ(IIJ)は12月17日、IMEのオンライン機能利用についてブログで注意喚起を発表した。最近の日本語入力プログラムでは、常時インターネット接続を必要とするクラウド関連の機能が実装されることが増えてきた。便利な機能であるが、入力した文字情報が漏えいする危険性もある。なお、ここでいうクラウド関連の機能は、「ユーザ辞書の外部サーバへの保存(辞書同期)」および「外部サーバからの変換候補の取得(クラウド変換)」を指している。

ユーザ辞書には自動学習によりデータが蓄積されるため、意図していない単語が登録されていることがある。たとえば、入力の手間を省くために自分のクレジットカード番号を「くれじっと1」と単語登録している場合などだ。辞書同期機能を使う場合は、これを外部のサーバに保存することになるため、保護に使われる認証情報の管理には注意を払う必要がある。また、クレジットカード番号など送信されると困る情報を扱う場合はIMEを無効化したり、こういった情報を辞書登録しないということを心掛けて利用する必要があるとしている。

クラウド変換の場合には、外部サーバから変換候補を得る仕組みから分かるとおり、入力されたデータは外部に送信される。文章を入力すると、その内容が逐一サーバに送信され、各定時には入力対象のアプリケーション名とユーザのセキュリティ識別子(SID)が同時に送信される。この情報を第三者が何らかの方法で入手した場合、再構築することで重要な情報が漏えいする可能性がある。

なお、IMEが無効で半角英数字のみ入力可能な状態では送信されない。ブログでは、特に企業などの組織において、IMEで取り扱う情報を組織内部にとどめておくべきと判断した場合は、組織内のソフトウェアの利用・管理方針などと照らし合わせた上で「ユーザ環境の設定により当該機能を利用しないように徹底する」「組織境界に設置されたファイアウォールなどで、当該機能の通信を禁止する」といった対策を検討するよう勧めている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. ジャパンネット銀行および福岡銀行を騙るメールに注意、本文には「貴様」(フィッシング対策協議会)

    ジャパンネット銀行および福岡銀行を騙るメールに注意、本文には「貴様」(フィッシング対策協議会)

  2. PC版の「LINE」の自動アップデート機能に脆弱性、再インストールを呼びかけ(JVN)

    PC版の「LINE」の自動アップデート機能に脆弱性、再インストールを呼びかけ(JVN)

  3. 脆弱性の悪用でWebサイトを攻撃の踏み台に…、減らない現状に注意を呼びかけ(JPCERT/CC)

    脆弱性の悪用でWebサイトを攻撃の踏み台に…、減らない現状に注意を呼びかけ(JPCERT/CC)

  4. 「サイボウズ ガルーン」に複数の脆弱性、アップデートを呼びかけ(JVN)

  5. 「夜フクロウ」にDoSの脆弱性、アップデートを呼びかけ(JVN)

  6. 違和感のないサイバー攻撃メールにするため使われる単語(IPA)

  7. ブラジルを送信元とするパケットが増加--定点観測レポート(JPCERT/CC)

  8. 「シンプルチャット」にXSSの脆弱性、アップデートを呼びかけ(JVN)

  9. Drupal の RESTWS モジュールにおける遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  10. CMS「Geeklog IVYWE版」にXSSの脆弱性、パッチ適用を呼びかけ(JVN)

  11. マルウェアもインフラも一度きり、極めて高度な犯罪グループを発見(カスペルスキー)

  12. 大手企業名を騙ったヤミ金融業者サイトを初めて検知、手法模索の結果か(BBソフトサービス)

  13. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  14. 勝手にGoogle Playアプリを購入し、インストールするトロイの木馬を確認(Dr.WEB)

  15. ヘルプデスク向けチケット管理アプリケーションに複数の脆弱性(JVN)

  16. 複数のWebブラウザに機微な情報が漏えいする脆弱性(JVN)

  17. 復活した「Locky」の標的は日本?! ランサムウェア最新情報まとめ

  18. Apache Commons FileUpload のマルチパートリクエストの処理に起因する DoS の脆弱性(Scan Tech Report)

  19. ボット化したIoT機器が感染拡大を目的にTelnet探索を行っている可能性(警察庁)

  20. 複数の「D-Link」ルータ製品に重大な脆弱性、アップデートを呼びかけ(JVN)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★9月15日まで ノベルティや海外カンファレンスのお土産大放出キャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★9月15日まで ノベルティや海外カンファレンスのお土産大放出キャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×