情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問24

ステガノグラフィ【情報セキュリティマネジメント解説】

正解の理由

• 「ステガノグラフィ」は語源がギリシャ語で、steganos（覆われた）＋graphy（書く）から来ています。英語では steganography。
• 暗号（cryptography：内容を読みづらくする技術）と違い、ステガノグラフィは「存在を隠す」ことが目的です。

解法ステップ

1. まず問いが「存在を秘匿する」ことを求めている点に注目します。
2. 各選択肢の目的を短く確認します：
   • CAPTCHA：人間と機械の判別
   • クリックジャッキング：ユーザ操作のだまし取り（UIの覆い隠し）
   • ステガノグラフィ：データを目立たなく埋め込む（存在を隠す）
   • ストレッチング：パスワード強化のための計算増加（ハッシュ処理）
3. 「存在を秘匿する」に最も合うものがウであると判断します。

選択肢別の誤答解説

• ア：CAPTCHA
  • CAPTCHAは「人間かボットか」を判定する仕組みです（Completely Automated Public Turing test to tell Computers and Humans Apart）。メッセージの埋め込みや秘匿とは関係ありません。
• イ：クリックジャッキング
  • クリックジャッキングはウェブページ上でユーザのクリックをだまして別の操作をさせる攻撃手法です。UIを重ねてだます点が特徴で、データを画像内に埋め込む技術ではありません。
• ウ：ステガノグラフィ（正解）
  • 画像や音声に見えない形で情報を埋め込み、第三者に存在を気付かれにくくします。これが設問の求める技術です。
• エ：ストレッチング
  • ストレッチング（key stretching / password stretching）は、パスワードハッシュに計算負荷を付けて総当たり攻撃を難しくする技術です。データの「隠蔽」とは目的が異なります。

よくある誤解

1. 「暗号化（encryption）と同じ」と混同する
   • 暗号化はデータの中身を読めなくする技術です。外から見ればデータが存在することは明らかです。一方、ステガノグラフィは存在自体を目立たなくします。両者は目的が違います（併用することもあります）。
2. 「画像に何か埋めると必ずバレる」と思い込む
   • 単純な埋め込みは検出されやすいですが、巧妙な手法や圧縮への対策を施すことで気づかれにくくなります。逆に大量のファイルチェックや専門の解析（ステガノ分析）で発見されることもあります。
3. 「業務で使っていい」と軽く考える誤り
   • 正当な目的でも、社内規程に反する可能性があります。秘匿したデータの持ち出しや不正な情報隠蔽は重大なリスクになります。

補足コラム

• ステガノグラフィの実務上の意味合い
  • 社内での悪用例：機密情報を画像ファイルに隠して外部に送るなどの情報漏えい手段として使われることがあります。対策としては、ポリシーによる禁止、DLP（Data Loss Prevention：情報流出防止）ツールの導入、疑わしいファイルの隔離と監査が考えられます。
• 検出方法と現実的な対策
  • ステガノ分析（steganalysis）という検査手法で異常なビットパターンや統計の偏りを調べますが、完璧ではありません。実務では「ファイルの出入り管理」と「従業員教育」が重要です。
• 実例イメージ
  • たとえば封筒の余白に見えないインクで書くようなイメージです。暗号は封筒の中身を読めなくする（鍵がないと読めない）、ステガノは封筒に何か入っていること自体が分かりにくくする、という違いです。

FAQ