Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。

黒塗り文章の漏えいは機能の誤用

Blogosに最近黒塗りデータが漏えいしている件についての解説が書かれていました。

blogos.com

ミスのほとんどは注釈ツール「長方形」の誤用

「黒塗りが外せる!」と大騒ぎになる時は、本来使うべきツールではなく、無料で入手可能なPDF閲覧ソフト「Acrobat Reader」の注釈ツールに含まれる「長方形ツール」を誤って使っているパターンがほとんどです。

 この「長方形ツール」は、もともと文書の一部分を四角く囲って強調するためのツールですが、枠および内側の色を黒に指定すれば、墨ベタのような外観になります。これを隠したい箇所に貼り付けていけば、下の文字が読めなくなるというわけです。

 しかしこの方法は、いわば紙に付箋を貼り付けているようなものですので、「Acrobat Reader」上でマウスを使ってドラッグすれば簡単に外せてしまいます。

(Blogos記事より引用)

 

◆キタきつねの所感

上記Blogos(文春オンライン)森友学園等の極秘文書の黒塗り部分の解読法について図解解説されていました。

私は黒塗り部分のコントラストを使った解読だろうと勘違いしていました。これは昔からある手法ですが、黒塗り部分と下に隠した文字が微妙に文字の濃淡がある場合、画像加工ソフト(Photoshop等)でコントラストをいじると文字が浮かんでくるのですが、これだろうな・・と勝手に思っていました。

ある意味古典的な解読手法なので、少し薄いマジックで塗りつぶしてたのかな・・・と想像していたのですが、なる程、ソフトの黒塗り方法の勘違いであるならば、簡単に元の文章にたどり着けますね。

 

とは言え、このBlogosの記事で取り上げられた黒塗り解除方法(PDFファイルからの黒塗り情報の解読)についても、2007年頃から指摘されている機能の誤用と言えそうです。

www.j-cast.com

www.security-next.com

 

ではどう対処すれば良いのか・・・ですが、Blogos記事では

正しいソフトおよびツールを使う方法をマスターしたい

 黒塗りを行うことの是非はさておき、今回のような意図しない流出事故をなくすには、正しいソフト(Acrobat Pro)を用い、正しいツール(墨消しツール)を用いて処理を行うことがまず重要です。注釈ツールを使うのはまったくの論外です。

(Blogos記事より引用)

という事を推奨しています。これは妥当だと思います。

しかし・・Acrobat Readerの注釈機能が原因だったとすると、有償版のAcrobat Proを持っていない事が漏えいの遠因となっていると考えられるので、紙にプリントアウトし、該当箇所をマジックで塗りつぶした上で、PDF化するのが最も基本的な対処だと思います。

しかし、それでも私が当初勘違いした、黒塗りのコントラスト差分で解読される危険性があります。そこまで防ぐなら、ケシポン等で一度スタンプした上でマジックを使うと、かなり解読リスクは減ると思います。

個人情報保護スタンプ ローラーケシポン ブルー ISー500C

個人情報保護スタンプ ローラーケシポン ブルー ISー500C

 

電子データからPDF化する方が手間を考えると望ましいという事ならば、もう1つ奥の手が考えられます(邪道ですが)。

それは、元の文章ファイル(Wordや一太郎)で、黒塗りしたい文章を一度、ブランクに置き換えます(消してしまう)その上で黒塗りの長方形を被せてPDF化すれば・・・あら不思議。Blogosの手法で黒塗りが移動されたとしても・・・元の文章は見えません(元の文章が削除されている訳ですから当然ですが)。

そもそも、黒塗り=見せたくない部分である訳ですから、黒塗り自体が実は意味が無い事にしてしまう。森友学園の交渉文章等の資料でこんな事をしていいのかについては議論の余地がありそうですが、少なくても漏えいするリスクについては極小化できる事は間違いありません。

 

驚いて目が飛び出る人のイラスト(男性)

 

更新履歴

  • 2018年6月16日PM(予約投稿)