【社会】「メールでパスワード別送」セキュリティ的にはNG いまだはびこる「PPAP」問題 [朝一から閉店までφ★]
-
2022年09月13日 16時50分
ファイルをメール送信するとき、まずパスワード付きのzipファイルを送り、続いてパスワードを別送するという方法が広く使われてきた。セキュリティへの配慮から生まれた方法だが、実は意味がないのだという。
9月3日におこなわれた弁護士業務改革シンポジウム（主催・日弁連）の第1分科会で、情報セキュリティにくわしい吉井和明弁護士が解説した。
●「パスワード別送」がダメな理由
ID: - というかもうメール添付自体やめろよ
-
何がすごいって
全国に支店・支社があるような大企業でも
コレやってたりするんだぜｗID: B5/aqxUm0.net>>5
うちの会社っすなー。パスワードの前に半角空白いれてくるし。googleなどに対抗しようと社員に毎月サクラのノルマを課すしITやシステム部分はクソ弱いしPCのメモリが4GBエクセル使えないのにエクセルでのファイル提出を要望してくるしもはやギャグ以外では成り立たないレベルID:>>5
拝承ID: szCcKFYO0.net>>5
電話かFAX -
うちの会社これやってるわ
じゃあ、どうすればいいのよさ？ -
意味ないよな。自動で同じアドレス送るだけだから、誤送信したらおしまいだし。 ID: k2ylEu6L0.net>>7
元々は逆
1通目（ファイル）で誤送信した時に2通目（パス）を送る前に気付けば中身を見られずに済む
と言う誤送信対策の為のもの
ものぐさな会社が2通目は自動送信にすれば楽じゃんと本末転倒な事を始めたのが間違いwID: v8TkwXxt0.net -
せめてパスワードは、別の手段で送れば良いのに
FAXとかLINEとかSMSとかID: Oq9/lmCc0.net>>8
LINEですらハッキング出来るのでLINEは危険だろ？ -
ペンパイナッポーアッポーペン禁止 ID: 8ObBCTrA0.net>>10
誰も言ってなくてワロス - パスワードはテレパシーでお願いします
- 良い感じの代替手段が無いからみんな継続してやってるよね
- プライム上場1万人以上の企業だけどPPAPやわ
-
総務省が推奨してたような ID: /DofX5zu0.net>>17
最近は、ファイル共有サービスを使えって言ってる -
送ったあとに誤送に気付くことがあるからな
効果はかなり薄いけど意味がないことはないよ -
先に今日のパスワードファイルを送信してから
時間を置いて暗号化ファイルを送ったほうが多少マシ - SNSワンタイムや事前に取り決めたものじゃないと意味無いよなぁ
- 添付の資料につきましてはパスワードは郵送にてお送りいたします
-
誤送信対策じゃないのこれ
意味なくはないと思うけど、他にやりようはあるだろとは思うID: ONu3Gn2X0.net - NTT社員はいまだにこれで送ってくる。
- パスワードは電話で伝える
-
>>48
別に完全に意味ないって全否定してなくね？ID: 2BpAs17N0.net -
送信した瞬間に「うわ、間違ったところに送っちゃった」って気付いた状況では役に立つ
次のパスワードメールを送らないからな
後は、違う通信になるので、片方だけしか傍受できない可能性もあるID: r2fPvpaw0.net>>64
1分遅延送信とか2分遅延送信を設定しとけよw - で、何なら満足なの？
-
応用で拡張子まで受信者に変更させる方法もあるけど
なんなんあれ -
パスワードは今日の8 ID:
- 「今、メール出したから、で、パスワードは〇〇だから」って電話すればオケだろ
- パスワードのないフリーWi-Fiって別に危なくないよね
- やっぱり大事な話は料亭で直接会話しないとな
-
ああ、よくあるなｗｗ
パスワードかかったファイル添付したメールの後にパスワードメールｗｗ
ぼく（意味あるのかコレ）ID: /lOLCTZc0.net - というかこの問題のベストプラクティスを教えてほしい
-
>>93
35だけど、Re:だと宛先チェックしない問題、毎回宛先選択だと
古典的な誤送信問題があるな。 -
パスワード自体が時代遅れのセキュリティ対策なんだよ
取り扱いを複雑にすればいいって問題じゃない - うちの会社は半年前に自動で圧縮＆暗号化で送信して、パスワードも自動で後で追送信してくれるようになったのに
-
>>109
ウチはパスワード掛けてますよ
的なポーズだとは思ってるｗｗID: /lOLCTZc0.net>>118
だよねー。あと客先に合わせるのもある。
個人的には添付メールなんて害悪以外何者でもないと思ってるけど、この程度なら気にしたら負けよな。
密にやり取りするならプロジェクト単位で何らかの共有サービスで連携するし。 -
時間も金も手間もかからない代案出せよ ID: V+rQC9ud0.net>>123
携帯番号にSMSでパスワードを送る？ID: TmvVB2/90.net>>123
パスワードだけ電話でよくね？ -
最近はパスワードが重複発行されて来るんだけど
同じメールに2、3個のパスワードが書かれてる
そして正解は1つ -
複数のEXEファイルとか送る時に
セキュリティで弾かれる時に
フォルダに入れてzip暗号化
これでたいがいスルーできる -
固定の取引先なら打ち合わせでパスワード決めとけばメールで送らんでもええやろ。
単発の相手なら別ルートからパスワード送信やな。
全く同じメーラーから全く同じ宛先に追撃しても何の対策にもなってない。 -
メールのゲートウェイで自動的にPPAPやる
製品があるらしく某自動車会社が
使っててびっくりしたよ - で、ファイル送るときはどうすればいいん？
- ジャック「エコー！ブラボー！チャーリー！デルタ！」
-
パスワードはFAXだろ普通 ID: Oq9/lmCc0.net
- 秘密鍵は相手がしょっちゅう無くすからな
-
脱PPAP製品の資料をPPAPで送ってくる会社があってさ
大⚪︎商会とNT⚪︎ね
馬鹿すぎて話にならんわID: TmvVB2/90.net>>193
大塚○会そんな感じなのか -
国内外の会社と商談してると日本の企業だけパスワード付きのファイルを送ってくるんだけど
ファイル開くの面倒くさいから対応が後回しになるんだよね
未だにこれやってる企業はビジネスチャンスを失ってることを自覚したほうがいいよ -
office365の暗号化機能使ってるわ
インストール版のoutlookだと出来ないから
暗号化の時だけweb版使うのが面倒だけど -
>>202
本当はルータをジャックした場合を想定すると、
メール一個をモニターしたら圧縮ファイル解凍できちゃうのと、
バカスカ流れる無限のメールからパスのもう一通を探し出すのが困難なのを利用してるんだけどね
要するに木を隠すには森的な方法
インターネット黎明期からある
特にフリーカー対策 -
届くメールのフォーマットが同じだから
自動化されてるんじゃないのかな
改修するにも金かかるから放置だわな - ダメなのはわかるけど現時点での最適解も一緒に告知しないと聞いてもらえないよ
-
>>233
裸の添付ファイルを勝手に圧縮、暗号化するんだぜ 頭が悪いわID:>>237
ウィルス対策の側面もある - これってメール添付自体がNGってことでしょ
-
>>1
SDGSのバッチ付けてる会社とメールパスワード別送の会社は信用しないほうがいい -
ちなみに外資の仕事してるとこういうの全くなくて楽
やっぱりこれ日本のクソアプリか何かなのかID:>>265
外資はどうなってんの？ -
で、じゃあどうするのってのの決定版が
無いんだよな。だから無くならないID: -
クラウドストレージでのやりとりも
結局はURLやパスワードの通知が必要だし
あんまりガチガチにすると営業活動に支障出るしなぁ
どっぷりお付き合いがあってデータのやりとりが頻繁な会社だと
Dropboxの共有アカウント作ってたりするけど -
うちはクラウド上のフォルダに事前にメール登録して貰ってた
ファイルをアップロードする時に登録された送信先を選ぶとアップロード時に自動で暗号化されてそのシステムからURLとパスワードが書かれたメールが送信される
でも誤送信は発生はするなID: -
公務員は全部そうやらなきゃだめなんだよ
だから、官公庁と仕事してるところはそうなってしまう -
パスワードも定期的に変えるほうが単純になりやすくてセキュリティリスクが増大する ID: ERE8CWqa0.net>>316
1ヶ月の変更ルールが有って8桁のパスワードで上4桁を固定して下4桁は年と月にするとか -
うちの会社もこのパスワード別送ルールあって
意味ないから廃止してほしいって何回言ってもルール変えられないID: VDpYb2K90.net -
LINEの時代にメールなんか使ってる会社あるの？ ID: fVojpTI10.net
-
ウイルスとかにバラまかないように
送信者が２重チェックするシステムだとおもってたが
全自動で送っちゃうの？ - もしかしてピコ太郎はこれからネタにした？
-
別に漏洩してもいいファイルなんで平文で送りたいんだけど
外部のアドレスに添付ファイル付けるには暗号化ZIPの形式じゃないといけないので面倒 -
常駐先の新人の女性社員から「パスワードは初めて二人で飲みに行った日です」ってメール来た時は震えた
業務のファイルに対してなのに
学生気分なのかなんなのかわかんないけど怖かったし注意も出来なかった
結局LINE見返してなんとかしたけど無駄だし怖いしやめて欲しいID: 2MnvL2a10.net -
暗号化zipの良いところ
パスワード送った相手はOK、それ以外が勝手に解析したら悪意と宣言できる点
zipでなくてもデファクトなら何でもいい
要は秘密開示範囲を示す儀式があればいい
技術的な秘匿性の追求は、コストかけていい本当の機密プロジェクトに適用してください。平凡な仕事にそこまでのコスト無駄。暗号化zipが正解。
細かいセキュリティの差でセールスするサービスも下らない。 -
こういう製品があるらしい
- 結局ファイル送るときの最適解は何なんだよ！
-
一応公開鍵暗号が解決策にはなるんだが普及しないのは面倒だからか
１対１のときにしか使えないからか -
>>40
PTSD言いたいんちゃうん -
海外はこんなんやってないというが裸でやり取りしてるのか？
それともファイル交換ストレージを使ってるのかな？ID:>>506
Password to followっていう決まり文句があるくらいにはやってるよ -
パスワードをそのまま書いたら取引のある社長から分けるのが常識だって言われたな
意味ないのにと思いながらもとりあえず応じておいた
いちいち反論はしないwID: -
FAXでええやん
セキュリティ完璧やでID: -
意味無くはないだろ？
本気のヤツなら破るかもしれんが
イタズラ程度なら十分防げるわ - コナン君みたいな怪文書にパスワード隠して送信
-
A社からPPAPでファイルを受け取り
俺が手を加えてB社にノーガードメールで送ってる
そのメールのCCには、A社の担当も入ってるが「せっかく暗号かけてるのに」とかは言われない
みんな特に何も考えてないんだろう
会社によっては自動でPPAPになってるぽいしID: ZXSKDsQw0.net -
パスワードは直接手渡しすれば良い ID: wEDqwN570.net
-
>>617
マジレスすると正解
メールとパスワードが同時に盗聴されなければパスワードは破られないから、
メールのみの場合よりセキュリティは向上するID: UAbenehW0.net>>619
ZIPのパスワードなんて普及しすぎて解析進んでそうだけどな -
開発会社がこれやってるからな
すべてをメールで送ってる時点でなんの意味もないのに頭腐ってんのかと
そんなソリューション作る方も大概だが - Microsoft Teamsで添付してるわ
-
明確な意味はある。
ファイルや宛先を間違えて送ってしまうことがあるが
パスワード別送する間にそれに気づくことがある。
引用元:https://ai.2ch.sc/test/read.cgi/newsplus/1663146440/l1000
SDGSのバッチ付けてる会社とメールパスワード別送の会社は信用しないほうがいい