Detection of unknown new malicious sites by digital certificates used in TLS handshake and access avoidance

本研究の目的は，通信が暗号化された短命な未知の悪性サイトをアクセス時に通信の復号無しで検知し，通信遮断することによってセキュリテ ィを向上することである.この実現のため，暗号化に用いられる電子証明書及び関連要素の特徴量により悪性を高精度で判定する. そして，サイトへのアクセス時に，悪性を実時間で判定することで，短命な未知の悪性サイトへのアクセスを防止する.また，悪性の確率が高くも低くく もないサイトへのアクセス時に，警告ページへ誘導することで， 誤判定による通信の即座の誤遮断と許可を抑制し，可用性と安全性の低下を最小限に抑える.本年度は，暗号化された通信から電子証明書の特徴量として，サーバの識別子であるドメイン名と電子証明書の発行者を抽出し，それらの特徴量から経験的な推測に基づき悪性を判定する機構を実装した．そして，判定に基づき，悪性サイトへの通信の遮断を実装した．その結果，正解率は高くはないものの，ある一定以上の確率で悪性サイトへの通信を遮断できていることを実ネットワーク上で確認した．その一方で，悪性である確率の高い電子証明書の特徴量の1つであると考えられる証明書の種類については，技術的には検知可能であるものの，実ネットワーク上での検出は容易ではなく，改善が必要があることが判明した．また，正解率の判定においては，2つの外部の悪性判定サイトのAPIを利用するシステムを構築した．さらに，誤判定時に利用者がアクセスできないという可用性の低下を最小限に抑えるため，警告ページへの誘導手法を実ネットワーク上で実装した．

本研究の目的は，通信が暗号化された短命な未知の悪性サイトをアクセス時に通信の復号無しで検知し，通信遮断することによってセキュリテ ィを向上することである.この実現のため，暗号化に用いられる電子証明書及び関連要素の特徴量により悪性を高精度で判定する. そして，サイトへのアクセス時に，悪性を実時間で判定することで，短命な未知の悪性サイトへのアクセスを防止する.また，悪性の確率が高くも低くく もないサイトへのアクセス時に，警告ページへ誘導することで， 誤判定による通信の即座の誤遮断と許可を抑制し，可用性と安全性の低下を最小限に抑える.本年度は，暗号化された通信から電子証明書の特徴量として，サーバの識別子であるドメイン名と電子証明書の発行者を抽出し，それらの特徴量から経験的な推測に基づき悪性を判定する機構を実装した．そして，判定に基づき，悪性サイトへの通信の遮断を実装した．その結果，正解率は高くはないものの，ある一定以上の確率で悪性サイトへの通信を遮断できていることを実ネットワーク上で確認した．その一方で，悪性である確率の高い電子証明書の特徴量の1つであると考えられる証明書の種類については，技術的には検知可能であるものの，実ネットワーク上での検出は容易ではなく，改善が必要があることが判明した．また，正解率の判定においては，2つの外部の悪性判定サイトのAPIを利用するシステムを構築した．さらに，誤判定時に利用者がアクセスできないという可用性の低下を最小限に抑えるため，警告ページへの誘導手法を実ネットワーク上で実装した．