暗号化ファイルとパスワードを別々でメール送信するのはなぜですか？

先日、ITエンジニアとして大失態をしました。

• 暗号化した添付ファイルと解除用パスワードを同一メールで送信

エンジニアとしてダサすぎます。

とテンション下がりまくりだったのですが疑問が湧きました。

調べた結果は

ぶっちゃけ意味ないよ！暗号化って単語に騙されているだけです！！

という悲しい結果に・・・

 

なぜ意味がないのでしょうか。

このような理由があります。詳しく解説していきます！

 

パスワードの解析が容易

ネット上には解析ツールがごろごろ転がっています。

誰でも簡単にダウンロードできて解析できてしまいます。

そのため、英数字記号を組み合わし文字数が長くてやっとパスワードと成り立つレベルです。

 

盗聴対策になっていない

メールの仕組み上、メールが届くには複数のサーバを経由します。

メール送信に暗号化を用いても自分のメールサーバ経路までです。

その先はサーバ間経路や相手のサーバ次第なので暗号化されている保証はありません。

• 途中経路で盗聴
• 相手が受信したサーバをハッキングして盗聴

といくらでも盗聴手段がありますので対策としては不十分となります。

 

誤送信対策になっていない

システムで自動化されている場合は対策としては効果0です。

手動であれば対策となりますが、完璧とは言えません。

どちらにしても穴だらけの対策となっています。

 

パスワード付きZipはファイル・フォルダ名を覗けます

はい、このようにファイル名・フォルダ名が覗けます。

暗号化ファイルをWクリックしてエクスプローラーで見ればOKです。

GMailの拡張子弾きもこの手法を利用しています。

 

まとめ：別々でメール送信するのは慣習でやっているだけ

いかがだったでしょうか。

昔の慣習で未だに続いてるザルなセキュリティ事情でした。

組織に属している内はルールに従わないとダメですけどね！！

 

てっとり早い対策としては

• パスワードはスマホにSMSを送る

とかでしょうか。導入コスト考えると実行する企業は皆無でしょうが・・・