2018年8月度勉強会の様子を公開しました
2018年8月に開催された勉強会、「最新の攻撃動向と被害の最小化方法」の様子を公開いたしました。
カリキュラム及び概要
- 日時：2018年8月29日（水） 17時00分～19時10分
- 場所：フクラシア東京ステーション 会議室Ｈ（5階）
- 第一部 「最新の攻撃動向と被害の最小化方法」
日本アイ・ビー・エム株式会社 小倉 秀敏氏 - 第二部 「仮想通貨交換業者に求められるマネーロンダリング対策」
SAS Institute Japan株式会社 水谷 剛士氏 - 第三部 「暗号通貨・ブロックチェーンを巡る技術トレンド概観」
株式会社野村総合研究所 畑島 崇宏氏
「最新の攻撃動向と被害の最小化方法」
日本アイ・ビー・エム株式会社 小倉 秀敏氏
最新の脅威として SIM ハイジャックと実際に攻撃に使われたマルウェアの二つを挙げさせていただきました。
特にSIMハイジャックの場合、スマートフォンでは2段階認証でお使いになりますが、そこで使われる SIM を乗っ取るという攻撃が米国で出てきています。
多要素認証があるから大丈夫だと考えてしまうと危険です。
次に攻撃に使われたマルウェアは発見できないということを述べたいと思います。
では、そのようなものを踏まえた上でどのような対策を考えていくべきかの方針に関して簡単にまとめましたのでご紹介したいと思います。
最近の脅威ということで、仮想通貨に関わるものをまとめてみました。一つ目は、ブロックチェーンの取引情報自体を改ざんすることです。
それから、ノードの一つを攻撃してマルウェアを感染させ、仮想通貨の取引をしている一つのクライアントにウイルスを入れて不正な取引をします。
もう一つは、仮想通貨の取引所を攻撃するようなケースがあると思います。
一番目のブロックチェーンの取引情報自体を改ざんするというのは非常に難しいです。
ブロックチェーン自体は、極論を言うと巨大なP2Pネットワークです。その中の取引情報を暗号化して受け渡すところでエラーが起きたときに、そのエラーを多数決のような方法で修復しますので、取引情報自体を改ざんするには全ノードの51パーセントを改ざんする必要があります。
ビットコインのブロックチェーンは多くのノードがあるので、そのうちの 51 パーセントを改ざんして取引情報全体を変えてしまうことは不可能です。
「仮想通貨交換業者に求められるマネーロンダリング対策」
SAS Institute Japan株式会社 水谷 剛士氏
本日のアジェンダですが、8月に金融庁から「仮想通貨交換業者等の検査・モニタリングの中間とりまとめ」という報告のレポートが発表されましたので、簡単にご紹介させていただきます。
その上で、アンチマネーロンダリングの基本的な概念やAML業務の流れについて説明をさせていただき、それを踏まえてAMLシステムに求められる機能を簡単に説明させていただきます。
仮想通貨取引における疑わしい取引のケーススタディーを少しお話しさせていただいて、さらなるAMLシステムの高度化もお話しさせていただきます。
このほど、8月に金融庁から発表された検査・モニタリングの現状を抜粋させていただきます。
金融庁の資料のコピーですが、第1線、第2線でビジネス部門やリスク・コンプラ部門、内部監査部門の3ラインディフェンスということで第3線まであるわけですが、3 線ともに「セキュリティやアンチマネロン、資金共有のリスクを評価した上でリスクに応じた内部管理の体制の整備を行っていない」ということで、マネロン対策について高度な対応を求められているという現状です。
次に、アンチマネーロンダリングの基本的な概念ですが、その業務を支える三つの主なものを挙げており、一つは顧客管理、二つ目と三つ目が取引の管理になります。
もちろん、顧客が取引を行うわけですので不可分なところではあるのですが、ここでは顧客と取引ということで分けております。
顧客管理につきましてはKnow Your Customerということで頭文字を取ってKYC業務と呼ばれますが、Customer Due Diligence ということでCDDとも呼ばれます。
取引の管理ですが、取引のフィルタリングとモニタリングで二つを挙げており、取引のフィルタリングはトランザクションが取引の依頼が顧客からあった時点で、その取引を通すのか通さないのかその場で判断する、未然に判断するが取引のフィルタリング業務になります。
取引のモニタリング業務は、取引を実行し終わった後に日次や週次、月次等のバッチ処理で複数の取引をひも付け、その取引を分析してマネーロンダリングやテロ資金供与が疑われる取引をあぶり出すという業務になります。
これら三つの業務を貫くコンセプトとして、リスクベース・アプローチがあります。
今年の2月に金融庁から発表され、このような考え方が当然に実施していくミニマム・スタンダードだと言われております・・・
「暗号通貨・ブロックチェーンを巡る技術トレンド概観」
株式会社野村総合研究所 畑島 崇宏氏
こちらに挙げました Coinbase/Bitmain/Binance は、現在、業界をリードしていると言ってもいい三つのメガプレーヤーです。
マイニング機器メーカーや取引所が並んでいますが、今後、このようなプレーヤーが日本からも続々と出てくると思いますし、マイニングや交換業以外の形でのプレーヤーも出てくると思います。
暗号通貨やブロックチェーンのアダプションをしていくために大事なことは、何のために暗号通貨やブロックチェーンを使うのだろうかということです。
利活用目的として、三つのキーワードを挙げていますが、価値のインターネット、トラストレス、非中央集権です。
このような目的で使うことを前提としたときに、暗号通貨やブロックチェーンが産業として離陸、ないしは飛躍していこうとしたときのポイントとして、プロトコルの成熟、ユースケースのフィット、規制との整合というところかと思います。
まず主なブロックチェーンプロトコルの概観ですが、そもそも、ブロックチェーンという言葉を漠然と一般名詞で語るのは限界に来ていると思います。
ブロックチェーンには非常に多くのプラットフォームがあるわけで、簡便に縦軸、横軸でトランザクションがパブリックかどうか、コントラクトの作り込みの柔軟性という観点の 2 軸で整理しました。時間も限られますので、本日はこのマトリクスのうち、パブリックなものにフォーカスしてお話します。
ブロックチェーンの現状を90年代のインターネットに例える向きがありますが、インターネットは90年代のカオスからの成熟を経て今に至ると思います。
そのときに起きたプロトコルの成熟というのは、スループットの向上、プライバシーの精度向上、ガバナンス、セキュリティ、スタンダードというものが進んでいく過程において、インターネットバンキングやモバイルバンキングが使えるようになりました。
インターネットの成熟で見た五つのブロックをブロックチェーンにもあてはめることができ、スループット、プライバシー、ガバナンス、セキュリティ、スタンダードというブロックで整理したいと思います。今のブロックチェーンも90年代のインターネット同様に解決しなくてはならない課題を五つ抱えていると思いまして、この五つについてスループットからプライバシー、ガバナンス、セキュリティ、最後にスタンダードという順番に見てまいりたいと思います。
最初に紹介するのは、トランザクション、処理性能の問題です。
ブロックチェーンではネットワークで流れてきたトランザクションをバケツに貯めるような仕組みになり、そのときブロックすなわちバケツの大きさが決まっていますので、大量のトランザクションが届くとさばけないという問題が出てきます。これを、解いていこうとするときに複製のジレンマと分散のジレンマがあるかと思います。
複製のジレンマというのは、ブロックチェーンが台帳の複製をみんなで持ち合った上で特定の力持ちのようなプレーヤー1人に頼ることなく、ネットワークに参加する全員でトランザクションを検証する仕組みを持って複製を抑止するという構造に起因します。
みんなが同じ台帳の複製を持って検証しているので、単純に参加者が増えるだけでは検証のパフォーマンスは増えません。
分散のジレンマとは、大量のトランザクションをさばきたいのであればバケツの大きさ自体を大きくすればいいのではないかとなるわけですが、そうなると大きなバケツをさばける特定の力持ちだけに権力が集中してしまいますし、また同時にハッキングのリスクも高まってしまうので好ましくはない、というわけです。これら二つがトランザクションのスケーラビリティの課題です。
たとえば分散データベースの場合、ノードを増やしていくとスループット性能は向上するわけですが、ブロックチェーンにおいては参加者各自がブロックチェーンのデータ全体を検証していくわけなので、ノード数を増やしてもスループットの性能は残念ながら向上しないというのが課題です・・・
