in

中小製造業へ向けた情報セキュリティ講座_その9_認証について②

はじめに

第八回~第十回は、認証についてお話できればと思います。
今回は、パスワード運用の注意点と、認証の強化方法についてお話します。

パスワード運用の注意点

パスワードは、現代のシステムで広く使用されている簡単で便利な本人確認方式ですが、知識をキーとしているため、第三者による不正取得や推測がしやすい欠点があります。
ここでは、パスワード作成上の要件や、守らなかった場合のリスクについて学んでいきたいと思います。

パスワードが持つリスク

パスワードでは、以下の様なリスクに注意する必要があります。

  • ユーザーの不注意で、パスワードが漏洩する。
  • 辞書攻撃により、利用されやすいパスワードが推測される。
  • 総当たり攻撃により、全てのパスワードをチェックされる。

パスワード作成上の要件

上記のリスクに対処するため、パスワード認証システムは基本的に以下の要件を満たして運用する必要があります。

  • ユーザー本人もしくは乱数により生成し、他人に漏らさない。
  • 漏洩を防ぐため、メモなどに書き残さない。
  • 漏洩や盗聴の被害を最小限に抑えるため、頻繁に変更する。
  • 辞書攻撃対策として、簡単なパスワードは使用せず、長くて複雑なパスワードを利用する。
  • 総当たり攻撃対策として、数回パスワードを間違えたら当該ユーザーIDを利用不能にする。
  • ショルダーハッキング対策として、ユーザーはパスワードを素早く入力する。

これらの要件を順守すればパスワード認証システムは有効に機能しますが、一方でこれらの要件には矛盾する要素も存在します。

例えば、長くて複雑なパスワードを頻繁に変更していた場合、ユーザーはパスワードを記憶することが困難となるためメモに書き残さなければ運用できなくなったり、入力スピードが遅くなったりします。
そのため、パスワード認証システムはこれらの要件の妥協点を探りながら運用することが必要になりますが、同時にパスワード認証には限界があることも認識する必要があります。

(参考)Windowsが定める強力なパスワードの基準

  • 少なくとも8文字以上
  • 大文字・小文字・数字・記号のすべてを含む
  • 前のパスワードと明らかに異なる
  • 名前やユーザー名を含まない
  • 一般的な単語や名前を使用しない

ユーザーID発行上の注意

パスワードだけでなく、ユーザーIDにいもユニークなものを指定することで、セキュリティレベルを上げることができます。

ユーザーIDは管理しやすくするために、部署名と連番の組み合わせ(eigyo001、soumu123など)やローマ字の社員名など、特定の規則に従って作成されることが多いです。
攻撃者から容易に推測されないように、ランダムで規則的なユーザーIDを発行することもできますが、あまり複雑なものだと管理が困難になるため、バランスを考えることが重要になります。

ユーザーIDの管理

以下に、ユーザーIDを管理する上でのポイントを示します。

  • ユーザーIDを使いまわさない(異動・退職の場合も同様)。
  • 適切にアクセス権の管理を行う。
  • ログインの成功・失敗をログし、記録する。
  • 一定回数以上のログイン失敗時には、該当ユーザーIDをロックする。

認証の強化方法

パスワードに変わる認証方式として、バイオメトリクス認証(生体認証)があります。
ここでは各方式の特徴について説明します。

バイオメトリクス認証とは

バイオメトリクス認証では、複製が困難な生体情報を用いて本人認証を行います。
生体情報は個々人に特徴があり本人を識別できる上、置忘れや盗難の心配がない点が優れています。

指紋認証

指紋の形をトポロジー(位相)として認識し、個人を識別します。
指紋パターンだけでは樹脂素材などによるコピーで突破することが可能なため、体温レベルや皮脂成分なども併用して認証する方式が検討されています。

虹彩

虹彩も個々人ごとに特異であるため、識別に利用することができます。
指紋よりもコピーがしづらいという点が優れています。

声紋

声から得られる、個人で特有な波形を利用して識別に利用します。
ただし風邪や加齢により、本人であっても認証エラーが発生することがあるため、他のバイオメトリクス認証と比べて識別能力は低くなります。

顔認証

顔相を使用した顔認証も、よく利用されています。
多くの端末がカメラを備えている現在では、追加のデバイスが不要となることも大きなメリットとなります。
欠点は声紋と同様、加齢や体重の増減、双子などの識別能力が低い点となります。

その他の認証強化方法

ソルト

ソルトとは、利用者が入力したパスワードに追加するランダムな値のことです。
パスワードは攻撃に備えて、ハッシュ値として保存されますが、ソルトを利用することで攻撃時の手間が大幅に増えます。
また、ハッシュ値から平文を取得されても、そこからソルトを取り除かなければパスワードが得られません。

二要素認証

二要素認証は、複数の認証方式をかけあわせる方式です。
一般的には、以下の中から2つを使って認証を行います。

  • 知識による認証(パスワード)
  • 所有物による認証(スマホへの着信)
  • 生体認証

二要素認証を行っていれば、たとえパスワードが漏洩して一段階目の認証が突破されたとしても、二段階目の認証も突破する必要があり、攻撃が困難になります。

認証要素を3つ・4つにした多要素認証もありますが、認証要素が増えるごとに利便性は低下します。

リスクベース認証

利用者が認証するごとに、アクセス状況が普段と異なるかどうかを判断し、リスクが高い状況では追加の認証を行う方式です。
アクセス状況の判断材料としては、IPアドレスや位置情報、アクセス頻度やアクセス端末などが利用されます。

おわりに

今回は、パスワード運用の注意点と、認証の強化方法についてお伝えしました。
最近の内容と比較して、かなり身近な内容だったのではないでしょうか。
多要素認証やリスクベース認証など、「こうやってセキュリティ水準を上げてくれているんだな」と考えながら使用すれば、多少は手間に感じることも減るのではないでしょうか。

Written by Masahide Yasui

What do you think?

中小製造業へ向けた情報セキュリティ講座_その8_認証について①

中小製造業は、ゼブラ企業になれるか