現在，数多くの企業が無料で提供している「Webメール・サービス」。多数のユーザーを抱えるものの，ほとんどのサービスでは，セキュリティはそれほど考慮されていない。しかしながら，暗号化などの，セキュリティの仕組みを備えたWebメール・サービスも登場している。なかには，ビジネスとして軌道に乗せている企業もある。そこで今回は，セキュリティを考慮したWebメール・サービスについて解説する。

Webメール・サービスの危険性

　現在，「Yahoo!」や「goo」，「Hotmail」をはじめとする，数多くのWebサイトが，Webベースの電子メール（いわゆる「Webメール」) のサービスを無料で提供している。こうしたサービスの普及により，インターネット上で1日にやりとりされているWebメールの量は，およそ9億件にのぼるといわれている。この億単位のメールの中で，どれだけのメッセージが保護されているのだろうか？

　Webメール・サービスの現状を考えると，ほとんどのメッセージはプレーン・テキスト（平文）形式で送信されており，暗号化等で保護されているのは全体の1パーセントにも満たないのではないだろうか。

　インターネットには，世界中のユーザーが昼夜を問わず接続している。非常に残念なことに，そうしたユーザーの中には，悪意を持った者も少なくはない。そして，悪意を助長するようなツールもインターネットには存在し，安価もしくは無料で入手できてしまう。もし，他人の電子メールの内容を盗み見たければ，ネットワークに流れているデータを盗聴するプログラムはいくらでも手に入る。これをダウンロードして，インターネット上で実行すればよい。

　つまり，インターネットではどこでだれが聞き耳を立てているのか分からないのである。平文のメッセージは，容易に盗み見される恐れがある。

　読者の皆さんもご存知のように，通常の電子メールでは，PGP（Pretty Good Privacy）やSMIME（Secure Multipurpose Internet Mail Extensions）を代表とする，暗号を使ってメッセージを保護する仕組みが確立している。しかし，Webメールについては，そういった仕組みが確立され始めた段階であり，その存在自体が広く知れわたっていない。

　「Webメールの暗号化」が進まない背景には，次の2点が考えられる。まず，「ユーザー側だけでは対応できない」ことである。通常の電子メールでは，送信側と受信側で，暗号化メールに対応したメール・ソフトを使用すれば，すぐにでも暗号化メールのやり取りは可能だ。しかし，Webメールの場合には，一般的なWebブラウザがメール・ソフトの役割を果たすので，セキュリティ機能等の，新しい機能を付加するには，Webメール・サービスの提供側で対応しないと，使用に耐える仕組みは確立できない。

　「インターネットに接続することができて，Web ブラウザさえあれば，世界中のどこからでもメールを送受信することができる」という，Webメールの一番の利点が，メッセージ保護の観点からは弱点となっている。

　もうひとつが，「ユーザー自身がセキュリティの必要性を感じていない」ことである。現状の使われ方を見ると，ほとんどのユーザーが個人的なメールのやり取りに使用しており，機密度が高い文書を取り扱う可能性があるビジネス用とは考えていない。

　しかし，Web メールであろうと，一般的な電子メールであろうと，メッセージのプライバシー保護が大切であることに変わりはないはずだ。暗号化などで，メッセージを保護する必要がある。

　実際，メッセージを保護するWebサービスが登場してきている。1999年ごろから，暗号化などのセキュリティの仕組みを備えた，Webメール・サービスが開始されており，最近では，ビジネスとして軌道に乗っている企業も出始めている。いくつかの例を紹介していこう。

暗号化Webメールのリーダー「Hushmail」

　アイルランドのHush Communicationsは，暗号化Webメールのサービス・プロバイダとしてはリーダー的存在であり，現在「Hushmail」という無料サービスを提供している。同社のユーザーは，222カ国に存在する。

　実際に Hushmail を使ってみた。ユーザー・アカウント作成の時点からSSL（Secure Sockets Layer）によって，ユーザーの入力データを保護している。Webメールのプロバイダの中には，この時点での暗号化を行っていないところもあるので，この点では，プライバシーの保護に重点を置いていることが感じられて，好感を持った。ユーザー登録後は，暗号化Webメール・システムが，Javaアプレットとしてダウンロードされるため，ユーザー側ではなにも用意する必要がない。

　一般的なWebメールとほとんど同じインタフェースが用意されているので，操作は簡単だ。暗号化や電子署名をメールに付加する時は，送信時にチェック・ボックスをチェックするだけでよい。ただし，今は Hushmail アカウント同士でしか，暗号化メールのやり取りができない。この点が，Hushmail の最大の問題点である。一般的なメール・ソフトとも，送受信が可能になるように，今後の Hush Communicationsの努力に期待したい。

　現在は，このメール・システムの暗号化アルゴリズムには，「Blow Fish」（かぎ長は 1024ビット）が使用されているが，PGPの考案者であるPhilip R.Zimmermann氏が同社に加入したことにより，PGP5を元に開発されたOpenPGP が実装される予定である。そのた め，このHushmailと一般的なメール・ソフトとの間で暗号化メールをやり取りすること も現実的になってきた。

直接メールを送る「SafeMessage」

　米国のAbsoluteFutureは，「SafeMessage」という有料の暗号化 Web メール・サービスを提供している。このサービスでは，通常のメールとは異なり，メール・サーバーを経由せず，ピア・トゥー・ピアで通信経路を確立し, 相手に直接メールを送る「ダイレクト・メッセージング」というシステムを採用している。さらに詳しい内容については，同社のWebサイトなどを参照してほしい。このシステムの特徴としては，以下の6つが挙げられる。

  1. 複数の暗号化アルゴリズムを用意する
  2. 送信状況確認が可能である
  3. メッセージの共有機能と自動廃棄機能を持つ
  4. 送信ルートの追跡を無効化する
  5. ファイルの添付が可能である
  6. オンラインとオフラインでのメッセージ参照機能を持つ

　料金は，5ライセンス・パックで年間700ドル，10ライセンスで年間1095.99ドルである。

サーバー側で暗号化処理をする「Ziplip」

　米国のZiplipが提供するWebメールは，Hushmail とは異なり，クライアントにソフトウエアなどの仕組みを付加せずに，メッセージをサーバー側で暗号化する。そのため，クライアントのハードウエアにはその負荷がかからない点が優れていると言える。携帯電話のような，ハードウエアに制約がある端末でも，暗号化メールを送ることが可能になるからだ。

　Ziplipのような，サーバー側での暗号化が一般的になれば，携帯電話から，プライバシーを保護したWeb メールを送信できるようになる日も近いのではないだろうか。

　Ziplipは，米国のほかに，日本とシンガポールにもオフィスがあり，日本語でのベータ版サービスも開始している。また，同社は，セキュアな Web メール以外にも，セキュアなファイル保存（「インターネット・ストレージ・サービス」）や，「セキュア・ドキュメント・デリバリー」，「セキュア共有メッセージ・ボード」，「セキュア・ファイル共有」といったサービスを提供している。

【3月13日追記】

　今回のコラムでは，暗号化Webメール・サービスをいくつか紹介した。これらは通信経路での盗聴による，メッセージ内容の漏洩防止に効果が高いので，通常のWebメール・サービスと比較すれば確かにセキュアだ。しかし，「暗号化＝Webメールのセキュリティが万全」ということではないことを忘れないでいただきたい。

　例えば，プロバイダのユーザー情報管理が杜撰（ずさん）ならば，パスワードなどを盗まれて，本人になりすましてメールを盗み読まれる可能性がある。この場合には，たとえメッセージ内容を暗号化しても意味はない。また，「Feed Back」のコメントで書いていただいたように，セッション管理に不備があっても，同様に盗み読まれてしまう。*1

　暗号化メッセージのプライバシーが守られても，それはWebメールのセキュリティの一部分であることに注意しなくてはいけない。今回紹介したようなサービスの利用を考える際には，プロバイダのサービス管理面も十分考慮する必要がある。

*1[IT Pro 注]　例えば，記事中で紹介されているZiplipの場合, Netscape Navigatorから使用した場合セキュリティ上の問題が報告されており（詳細は「WWWメール・サービスで他者によるのぞき見などの危険」を参照のこと），現在も問題は修正されていない。（【3月13日追記】 Ziplipジャパンは，同社トップ・ページに，「Netscape Navigatorご利用のユーザー様へのお知らせ」を追加した）



参考URL

■Hush Communications
□Hushmail

■AbsoluteFuture, Inc.
□SafeMessage

■Ziplip, Inc.
□Ziplipジャパン

■[関連記事]　「WWWメール・サービスで他者によるのぞき見などの危険」

田中　健介(Tanaka Kensuke)
株式会社ラック　不正アクセス対策事業本部
kensuke@lac.co.jp

　IT Proセキュリティ・サイトが提供する「今週のSecurity Check [一般編]」は，その週に起きたUNIX関連およびセキュリティ全般のニュースや動向をまとめた週刊コラムです。セキュリティ・ベンダーである「株式会社ラック」のスタッフの方を執筆陣に迎え，専門家の立場から解説していただきます。