COLUMN

コラム

ＰＰＡＰ

2023年09月22日
おすすめの〇〇

第53回目のコラムはエンジニアのJTさんです

………….

おはようございます。
急に頂いたご指名にどきどきおろおろしつつ、今回はお仕事に関係する話にしてみようということで、今さらではありますがPPAPについて。

PPAP。
くだものにペンをぶっ刺しながら踊るお話ではありません（それが命名のきっかけではあるらしいですが…）。

Ｐ：パスワード付きZIPファイル送付
Ｐ：パスワードを記載したメール送付
Ａ：暗号化
Ｐ：プロトコル

Aがローマ字ってところがなんとも無理矢理な感じで気持ち悪いですが、要するに暗号化ZIPファイルを添付して送っておいて、別メールに「パスワード送ります」って書いて送る、よくやるアレですね。

このPPAPについては、ずいぶん前からセキュリティやユーザビリティの観点でいろいろと問題が指摘されていて、2020年11月には政府からも廃止宣言が出されました。このWorkplaceでもニュースが転載されていましたね。

で、廃止宣言が出されて2年経った今はどうか…というと、実際には今でも当たり前のようにこの方法が使われています。それも、老舗で伝統を重んじる大手メーカーだけでなく、クラウドベースでアプリ開発しているITリテラシーも高そうな会社（←つい最近の私の常駐先）までもが、です。

ということで、本当に今さらな話で皆さんも重々承知されている内容だとは思いますが、改めてこの問題点について取り上げてみました。

まず、そもそもこのPPAPは何が問題なのか。
いろいろありますが、ちょっと考えただけでも以下のような問題が挙げられます。

・ウイルス対策ソフトが役に立たない
 現在のウイルス対策ソフトやgmailのようなメールサービスでは圧縮ファイルの中身までスキャンしてくれますが、パスワード付きで暗号化されるとスキップされてしまい、不正なファイルが含まれていたとしても検知できません。
少し前に流行ったEmotetなどは、まさにこれを逆手に取ってウイルススキャンを回避し、ユーザにファイルを開かせるという仕組みになっています。考えた人は頭いいですね。

・メールの盗み見防止の効果は低い
 「添付ファイルのメールが盗み見られたとしてもパスワードが書かれていないから大丈夫」というのがPPAPの理屈です。しかし、パスワードの書かれた２通目もほぼほぼ同じ通信経路を通るため、１通目が見られたら２通目も見られるでしょ、ということであまり意味がありません。
また、もし添付ファイルのメールを違う宛先に誤送信した場合、パスワードはなくても解析ツールで比較的簡単に解析できてしまう可能性もあります。「2022」みたいに単純なパスワードだと一瞬でしょうね。

・送る側も受け取る側も面倒くさい
 送る側はZIPにパスワード設定して添付して送信、さらにパスワードも送信という手間がかかります。受け取る側も二度手間です。
今の私の常駐先で少し前まで使われていたメールサービス（PPAP方式）では、添付ファイルの拡張子が「.zi_」となって送られます。そのためファイルを開くには、
　ファイルを保存⇒拡張子を変更⇒パスワードを探す⇒解凍
と非常に面倒くさい手順を踏む必要がありました。さらに、最近ではスマホでメールを開くことも多いのですが、暗号化ZIPの解凍はかなり面倒です。正直イラッとします。

以上のように、PPAPは手間がかかる割に思ったほどのセキュリティ効果はなく、むしろウイルスを素通しする危険まであったりするわけです。

ではどうするか、です。やり方はいろいろありますが代表的なところとして…。

・パスワードは別ルートで
 パスワード付きのZIPファイルをメール添付で送るところまではPPAPと同じですが、パスワードは別経路で送る方法です。SMSやチャットツール、LINEなどのSNSでも良いですね。受け手側の解凍の手間は変わりませんが、少なくともパスワード漏洩は防ぐことができます。
前職にいた頃、SMSやチャットツールがメジャーでない時代では、パスワードを電話で伝えていました。いやまあ、今思えばそれもどうかとは思いますけどね…。

・メールそのものを暗号化
 添付ファイルのみを暗号化するのではなく、S/MIMEなどの方式を使ってファイルを添付したメールそのものを暗号化してしまう方法です。事前に公開鍵証明書を持つことでパスワードの受け渡しは不要となり、通常の添付メールを送るだけでよいのでユーザビリティは非常に良いと思います。ただ、公開鍵証明書の取得の敷居が高かったりするので、今後も普及は難しいかも知れません。

・クラウドストレージ経由で
 これが今の主流だと思いますが、ファイルはクラウドストレージ上に置いて、URLや共有方法だけを別途伝えるという方法ですね。たとえば双方がgoogleなど同じストレージサービスを使っているのであれば容易に共有可能ですし、他にも多様なバリエーションのサービスがありますので、相手や環境に応じて取捨選択が可能です。

ちなみに今の私の現場では以下のようなシステムが使われています。

1.送り側はWEB上で宛先、本文を入力し、ファイルをアップロードして送信する
2.システム側で本文とファイルを分離し、ファイルをクラウドに保存⇒ダウンロードURLをPDFに出力⇒メールにPDFを添付して送信 3.受け取り側がPDF内のダウンロードURLを開くとシステムからパスコードが送信され、それを入力することで添付したファイルが個別にダウンロード可能となる

要するにファイル添付とパスワード送付をシステムが担ってくれるわけで、受け側の手間はあまり減りませんが、PPAPの問題点の多くは解決できているように思います。

ということで、PPAPの問題点と解決策をつらつらと書いてみました。今のところ代替策としてこれひとつでOKというものはないようですが、これからまた画期的なものが出てくると思われます。
参画されている現場でまだペンをぶっ刺しながら踊ってるようでしたら、可能であればやり方を変えてみるよう提言してみるのもよいかも知れません。

最後に、ご存知の方もいらっしゃるかも知れませんが、先日​たまたまネットで見かけたすばらしいパスワードポリシーをご紹介して終わりにしたいと思います。

パスワードは16文字以上かつ、アルファベット大文字、アルファベット小文字、数字、季語を必ず含めてください」
⇒「Furuike8Kawazutobiko6Mizunoo10」
コラム一覧