「システムを隠す」ことでセキュリティを高めるのは本当に悪なのか？

システムやアルゴリズムの構造を秘匿することでセキュリティを高める「隠ぺいによるセキュリティ(Security by Obscurity)」は、現代では本質的な安全性を確保できていないとされています。しかし、セキュリティの専門家であるUtku Şen氏は「隠ぺいによるセキュリティは過小評価されている」と指摘しています。 Security by Obscurity is Underrated – Utku Sen - Blog – computer security, programming https://utkusen.com/blog/security-by-obscurity-is-underrated.html 脆弱性のあるシステムを攻撃者から隠すことでセキュリティを高めようとする「隠ぺいによるセキュリティ」は、ひとたびシステムの構造が外部に漏れると攻撃を防ぐ手だてがないことから、現

[Amigomr]

あくまでも次善の策であるべきでは。意図しない仕様変更やミスで、今まで隠せていた脆弱性が露わになることが完全に無いと断言できます？ システムを隠せているから大丈夫みたいに誤解されると危険じゃないかしら。

[nabinno]

単純に論点ずらしとしか言いようがなく、知る必要性があるところに対して隠蔽する理由にはならない。機密性は技術的コントロール、隠蔽によるセキュリティは管理的コントロールよりの話。

[uva]

Security by Obscurity

[inoueyuworks]

隠すセキュリティ(Security by Obscurity)の効用についてのまとめ。

[tettekete37564]

担保には出来ないが隠せている間は強度ファクタたり得る、という認識。いわゆる共有 URL と同様。電気的に繋がっている以上本当に隠せているかどうかの証明が難しい。物理的な観察により無効化される可能性もある

[misomico]

それだけで終わりにしないなら

[gogatsu26]

“Şen氏は「隠ぺいによるセキュリティは、それだけでは不十分ですが、コスト無しでリスクを減らすことができるセキュリティ層として機能します」と”

[csouls]

機会が増えればリスクは高まるというのは、昨今のFintechの事例でも証明されたばかり