情報処理安全確保支援士 2015年 春期 午前2 問03

表示順制御による拡張子偽装【午前2解説】

正解の理由

• 実際のファイル名（制御文字を含む原文）: report\u202Epdf.exe
• 表示上に見える文字列（多くの表示系でこう見える）: reportexe.pdf
  この例では見た目上は「.pdf」であるため安全に見えますが、実際の拡張子は「.exe」であり実行ファイルです。RLOは実際のファイル名バイト列を変えずに「見た目」を逆転させるだけである点が重要です。

解法ステップ

1. RLOという用語が「表示の向き（左右）を制御するUnicodeの制御文字」であることを思い出す。
2. 選択肢を見て、どれが「表示順を変えて拡張子を偽装する」ことを述べているかを確認する。
3. 表示順を操作するのは制御文字に関する説明だけなので、該当する選択肢を選ぶ。
   （選択肢の分類：恐喝型詐欺→除外、公開観察→除外、SNMP通知→除外、表示順制御→選択）

選択肢別の誤答解説

• ア: 「偽の警告で脅してソフト購入を迫る」は恐喝型やソーシャルエンジニアリング（Scareware）に該当し、RLOとは無関係です。
• イ: 脆弱性のあるホストを公開して観察する行為はハニーポットや研究目的の手法で、表示方向制御とは別分野です。
• ウ: SNMPのMIB変化を検知してイベント通知するのはネットワーク監視の挙動で、表示制御とは関係ありません。
• エ: 文字表示の方向性を制御するUnicodeの制御文字を用い、ファイル名の表示を逆転させて実際の拡張子を偽装する、まさにRLOの手口を説明しています。RLOは表示順のみを変えるため、見かけと実体が異なるケースを生みます（例を参照）。

よくある誤解

• RLOは「拡張子そのものを書き換える」と思い込む誤解：RLOは表示の順序を変えるだけで、ファイル名のバイト列（実際の拡張子）は変わりません。見た目が偽装される点が危険です。
• 効果が分かりづらい例を使う誤り：例えば「exe」を逆にしても見た目が変わりにくい（左右対称に見える）ため、RLOの動作を示すには不適切です。表示変化を明確に示すには「report\u202Epdf.exe」のように逆転後に別の拡張子が前に来る例を使います。
• すべてのビューアが同様に表示すると思う誤解：アプリやOSによっては制御文字を表示したり除去したり、または既知の拡張子表示設定（拡張子を常に表示）により誤装が見破られる場合があります。

補足コラム

• 関連するUnicode制御文字:
  • RLO (U+202E) — 右から左への表示を強制
  • LRO (U+202D) — 左から右への表示を強制
  • PDF (U+202C) — これらのオーバーライドを終了（Pop Directional Formatting）
    攻撃者はRLOを拡張子の直前に挿入し、PDFを入れないままファイル名末尾まで表示方向を逆転させることが多いです。
• 対策例: ファイル名表示で制御文字を可視化・除去する、既知の拡張子を常に表示する、Webやメールで受信時にUnicodeの制御文字をフィルタする、ファイル取得時に実行形式の拡張子を別途チェックする、など。
• 検出スクリプト例（制御文字の有無をチェックする簡易Pythonコード）:

bidi_controls = ['\u202A','\u202B','\u202C','\u202D','\u202E']
def has_bidi_control(s):
    return any(c in s for c in bidi_controls)

# 例
fn = "report\\u202Epdf.exe"  # 実運用では実際のU+202Eを含む文字列をチェック
print(has_bidi_control(fn))

FAQ