国の情報セキュリティ政策を遂行する「内閣官房情報セキュリティセンター（NISC）」は4月25日、PDFファイルの改ざんによるサイバー攻撃への対策を発表した。また、アドビシステムズ社が政府の証明書に対応したことにより、Adobe Reader/Acrobat上で政府の電子署名が確認できるようになる。
■政府機関も多用するPDF
PDFは、文書のやり取りに広く用いられており、政府機関の多くも資料の公表にPDFを用いている。こうしたPDFファイルを改ざんしてウイルスを仕込み、政府機関になりすましてメールで送りつける事例が内外で報告されており問題となっていた。
PDFに仕込まれたウイルスは、閲覧ソフトAdobe Reader/Acrobatの脆弱性を悪用してパソコンに感染する。被害を防ぐためには、閲覧ソフトを更新して常に最新の状態に保つことが重要となってくる。NISCでは、4月11日に公開されたAdobe Reader/Acrobatのアップデート（10.1.3/9.5.1）を受け、各府省庁にアップデート公開の情報提供を行うとともに、システムに関する影響を検討の上、速やかにアップデートを行うよう指示したという。
■Adobe Reader/Acrobatが政府の証明書に対応
NISCでは、PDFに電子署名を付け、閲覧者が文書の作成者や改ざんが行われていないことを確認することが望ましいとしており、今年1月からホームページに掲載のPDFに電子署名が付くようになった。ところが、署名が付いてはいるものの、作者が検証できないという状況だった。政府機関では、電子署名に政府認証基盤（GPKI）を用いた証明書を利用している。電子署名は印鑑登録証明書付きの実印のようなもので、文書にはこの電子署名があったものの、閲覧ソフトが証明書の発行元を認識していなかったため、正当性が検証できなかったのだ。
閲覧ソフトに正しい発行元であることを認識させるには、発行元が自ら署名して発行する「ルート証明書」と呼ばれるものをインストールする必要がある。ルート証明書のインストールは、ユーザー自身で行うこともできるが、発行元の正当性や信頼性、証明書の真正を自分で判断しなければならず、お勧めできる方法とはいえない（Windows環境では、Windowsのインストール済み証明書を取り込む方法もある）。Adobe Reader/Acrobatには、同社が承認したルート証明書があらかじめインストールされているが、それらと同じように標準搭載されるのが望ましい。
NISCでは、アドビシステムズに協力を要請し、同社は4月21日より政府のルート証明書の自動配信を開始した。Adobe Reader/Acrobatでは、証明書の更新確認を30日おきに行っているので、今月20日にかけて順次更新される予定だ。NISCの下記リリース「PDFファイルの改ざんによるサイバー攻撃への対策について」を開いて、「内閣参事官（Counselor），日本国政府（Japanese Government）によって証明されており…」との表示があれば更新済み。「文書の署名の完全性が不明です。作成者を検証できませんでした」と表示される場合は、政府のルート証明書がインストールされていない未更新状態だ。
今すぐインストールしておきたい場合には、[編集]メニューの[環境設定]を開き、パネル左の[分類]項目から[信頼管理マネージャー]を選択。[自動更新]のフレームにある[今すぐ更新]ボタンを押すと更新される。
■Adobe Reader/Acrobatをよりセキュアに
NISCの対策は、政府機関に向けたものだが、これは、一般のユーザーにもそのまま当てはまる。下記3点に留意して安全に使っていただきたい。
・速やかなアップデートを
Adobe Readerは、家庭で使われている多くのパソソコンにもインストールされており、不特定多数を狙った脆弱性攻撃が日常的に起きている。アップデートは直ちに適用し、ソフトウェアを常に最新の状態にしておく必要がある。
・より安全な「Reader X」へ移行
脆弱性修正などのアップデート対象となっているサポート中のAdobe Readerには、バージョン9とReader X（バージョン10）がある。Reader Xには、脆弱性攻撃からアプリケーションを守る「サンドボックス」と呼ばれる機能（Acrobat Xでは「保護モード」と呼んでいる）を搭載しており、これを突破した攻撃は、今のところ確認されていない。旧版をお使いの方は、より安全なReader Xへの移行をぜひ検討していただきたい。
・「JavaScript」の無効化
Adobe Readerを狙った脆弱性攻撃では、攻撃の際にJavaScriptを使って不正なコードをメモリー上に配置する手法がよく用いられる。Webで公開されているPDFの大半は、このJavaScriptを必要としないので、JavaScriptを無効化しておくことによって、修正前に受けてしまう攻撃のリスクを軽減できる。[編集]メニューの[環境設定]を開き、パネル左の[分類]項目から[JavaScript]を選択。[Acrobat JavaScriptを使用]のチェックを外して[OK]ボタンを押すと、JavaScriptが無効になる。
（2012/05/01 ネットセキュリティニュース）
【関連URL】
・PDFファイルの改ざんによるサイバー攻撃への対策について[PDF]（内閣官房情報セキュリティセンター）
http://www.nisc.go.jp/press/pdf/pdf_kaizan_press.pdf
・アドビ システムズ、内閣官房情報セキュリティセンターによる「サイバー攻撃」対策に協力（Adobe）
http://www.adobe.com/jp/aboutadobe/pressroom/pressreleases/20120425_NISC.html