パスワードを守る -- パート２
Brian Livingstonのパスワードを守る -- パート２
原文は以下サイトにて : http://itmanagement.earthweb.com/columns/executive_tech/article.php/3450541
パスワードを守る -- パート２
By Brian Livingston
December 23, 2004インターネットを安全にする方法は知っている。で、問題は”そうするの？”だ。
先週"Pass2Go"というUSBフラッシュドライブ上で動作するソフトウエアについて書きました。いろいろなサイトへのユーザ名とパスワードの組合せをUSBドライブに保存しておくものです。USBポートからUSBドライブを抜き取ってしまえばもう、それらのパスワード情報はそのＰＣからは使えなくなるわけです。
これはマイクロソフトのＩＥ（暗号化はとっくの昔に破られている）やMozillaファウンデーションのFirefox（マスターパスワードを設定しないと暗号化してくれない）を使う方法に比べてよい方法ではあります。
しかし外出時においてはPass2Go -- やその他のパスワードに頼る方式 -- では不十分なのです。
パスワード自体が問題
ポストイットにパスワードを書いてＰＣのモニタに貼り付けておくよりはPass2Goを使ってリムーバブルディスクにパスワードを記憶させておく方がよっぽどましなのはその通りですが、問題はどのようにパスワードを記憶しておくかということではなくて、結局そのパスワードを使わなければならないということなのです。
安全とは限らないネットワークで安全とは限らないＰＣを使う
ネットカフェや図書館、大学など公衆の場所でＰＣを使う場合、それらのＰＣがトロイの木馬型のプログラムに感染していないかどうかを確認することは大変困難なことです。もしその種のプログラムが仕掛けられていれば遠く離れたハッカーにパスワードを盗みとられる可能性があるのです。マスターパスワード入力後
Pass2Goにより保存されたユーザ名とパスワードの組合せは、そのUSBフラッシュドライブをUSBポートに挿入した段階で読み出すことが出来ないのは確かにその通りです。しかし、マスターパスワードを入力した後では、トロイの木馬型プログラムがキーボードやスクリーンを監視して情報を盗むということは有り得ます。いくらやっても
いくつかの会社が指紋認証を可能にしたUSBフラッシュドライブを開発しています。例えば Lexar JumpDrive TouchGuardは$70, 256 MB のドライブです。指紋はとても良いマスターパスワードです。しかしネットカフェのＰＣのトロイの木馬型プログラムは指紋認証が終えた後、キーボードやスクリーンを監視して情報を盗むことが可能なのです。USBフラッシュにパスワードを入れて持ち運んでいるからといって、それを誰もが使用できるＰＣで使うことは安全とは言えません。パスワードそのものが問題なのです。
２要素認証とチャレンジ/レスポンス認証
強力なパスワードより良いものは？ 答えは２要素認証とチャレンジ/レスポンス認証です。これらの概念は単純なものです：
２要素認証
２要素認証では２つのもの、”持っているもの”と”知っているもの”により認証を行います。成功している例としては銀行のカードと暗証番号です。誰かが銀行のカードを盗んだとしても暗証番号を言い当てることは難しいでしょう。しかも失敗が許される３回のうちに。チャレンジ/レスポンス認証
銀行のカードは磁気の帯にユーザの口座情報が入った単なるプラスチックのカードですが、USBフラッシュドライブには単にバイト列を記憶する以上の容量があります。またデジタル証明書を持ち運ぶことも可能です。スマートデバイスのみが応答可能なチャレンジワードをサーバが発行することが可能です。私は従来からこの手のデバイスを”USBキー”と呼んでいます。それはちょうど車のエンジンキーのようなイメージです。
U.S. Bancorp がUSBキーを採用
Verisign はセキュア認証トークンを銀行や企業に販売し始めた会社の１つですが、同社によれば全米第６位のフィナンシャルサービス会社である U.S. Bancorpがその顧客に対してセキュアUSBキーを配付し始めるだろうということです。私はこれをオンライン顧客のための２要素認証の最初のステップだと考えています。
Verisignのセキュリティサービス担当副社長のMark Griffithsはこの認証USBトークンが７つまでのデジタル証明書を格納できると言っています。
次世代の多目的トークンではユーザがボタンを押すと６桁の数字を表示するようになっていて、この数字はサーバが有効なパスワードとして認める数字であり、ユーザの４桁の暗証番号とリンクしているのです。
ワンタイムパスワードと多目的USBキー
電子メールへのリモートアクセスなどの多くのビジネスアプリケーションではワンタイムパスワードで十分なものもあります。トロイの木馬型プログラムが仕掛けられていて、たとえパスワードが盗まれたとしても、その盗んだパスワードを使用する事はできないからです。
さらにもっと重要なアプリケーションの場合（オンラインバンキング等）USBキーのチャレンジ／レスポンス能力によりさらに高い安全性をもたらします。
ハッキングされた公衆のＰＣの場合、メールの内容や銀行の残高など、画面に表示されるものならなんでも盗み取られる可能性があります。しかしハッカーがあなたのメールアカウントでメールサーバにログインしたり、あなたの銀行の口座にログインしてあなたのお金をどこかに送るということはまず無理です。
結論
Verisign社のGriffithsによれば24時間体制で盗難や紛失に対応するバックエンドサーバーシステムを完備したセキュアトークンは5,000人規模のユーザに対してそのコストが年間$25から$35になるだろうとのことです。もしこれによりパスワードを使わなくて済みハッカーからの盗み見を心配しなくてよいのなら、大変安い買い物だと私は思います。
しかし現在のところ残念ながら一般の個人向けについてのこのようなUSBキーはありません。
その日がくるまで、私は公衆のＰＣを使ってワンタイムパスワード以外でメールアカウントにログインすることを勧めることはできませんし、また完全なチャレンジ/レスポンス認証が無い限り銀行の口座にログインすることを勧めることもできません。
"チョット待って！"と言うかもしれない。それぞれのサーバ用にいくつものUSBキーを持ち歩かなければならないの？
ひとつのキーですべてのサーバに対応するための標準作業が現在進行中で、これについては休暇明けの2005年1月11日に述べる予定です。
