概要

中間者攻撃（MitM）は、攻撃者が2つの通信当事者の間に入り込み、双方が相手と直接やり取りしていると思い込むようにメッセージを中継する、能動的な傍受の一種です。攻撃者は、改ざんした通信を正当なものに見せかけながら、通信内容を盗み見たり、変更したり、注入したり、破棄したりできます。この種の攻撃は、人間どうしのやり取りだけでなく、暗号技術やネットワークの通信を含む技術的な接続も標的にします。

一般的な手法と変種

MitM攻撃には、対象のプロトコルや環境に応じてさまざまな形があります。代表的な手法には次のようなものがあります。

  • ARPスプーフィング: ローカルネットワークのテーブルを汚染し、LAN上の通信を攻撃者経由に迂回させる。
  • DNSスプーフィング／キャッシュポイズニング: ドメイン名の問い合わせ先を悪意あるホストへ誘導する。
  • 不正なWi‑Fiアクセスポイント: 開放型のホットスポットを提供し、ユーザー通信を攻撃者側へ流す。
  • SSL/TLSストリッピングと証明書を用いる攻撃: 暗号の資格情報を格下げまたは差し替え、暗号化通信を傍受する。
  • man-in-the-browser: ブラウザ内部のマルウェアが、TLSの終了後にページや取引内容を改変する。
  • man-on-the-side: どちらの端点にも完全になりすますことなく、メッセージを注入または遅延させる観測者。

歴史的背景と暗号上の重要性

MitM的な振る舞いへの懸念は、鍵配布と認証の現代的な考え方を形作るうえで重要でした。認証されていないDiffie–Hellmanのような初期の鍵交換方式は、相手の身元を確認しないため、能動的な傍受に弱いものです。この弱点が、公開鍵基盤、認証局、認証付き鍵交換プロトコルの発展を促しました。TLS/SSLのようなトランスポート層暗号が広く使われるようになると、攻撃は暗号アルゴリズムそのものよりも、証明書発行、利用者の行動、あるいは端末の安全性にある弱点を狙う方向へ発展しました。

影響・例・重要性

MitM攻撃が成功すると、認証情報の窃取、機密データの傍受、不正な送金、企業ネットワークへの持続的なアクセスにつながる可能性があります。例としては、安全でないWi‑Fiでのセッションハイジャック、フィッシングとブラウザマルウェアを組み合わせた攻撃連鎖、誤発行された証明書や侵害されたネットワーク基盤による大規模な傍受などが挙げられます。MitM攻撃は通信の両端の間で動作するため、端点や認証手段が弱い場合には、通信の片方だけを暗号化していても防御を破ることがあります。

防止と検出

対策は、強力な認証の導入、傍受の機会を減らすこと、そして異常の監視に重点を置きます。実用的な対策には次のものがあります。

  • エンドツーエンド暗号化と認証付き鍵交換を使うこと（例: 証明書検証を行う最新のTLS、相互TLS）。
  • 信頼できる公開鍵基盤を用い、証明書管理を慎重に行うこと、証明書ピンニングやWebサービスでのHSTSを利用すること。
  • 信頼できないネットワークではVPNを使い、クライアントを更新し、利用可能なら安全なDNS（DoH/DoT）やDNSSECを使うこと。
  • SSHなど長期接続ではサーバーのフィンガープリントを確認し、証明書警告に注意するよう利用者を教育すること。

区別と注目点

MitMは、攻撃者が通信を受動的に盗聴するだけの行為とは異なり、実際に通信を中継したり改変したりする点が特徴です。また、関連概念とも重なります。「man-on-the-side」は完全に支配するのではなく、注入や改変だけを行うものを指し、「man-in-the-browser」はブラウザ内での改ざんに限定された用語です。認証付き暗号化や適切な証明書管理によって広く軽減されているとはいえ、暗号認証、基盤、または端末の安全性が誤設定または侵害されている場合、MitMは依然として重大な脅威です。