パスワードに頼るパスワード代替技術

（3）2要素認証

　パスワードを記憶するだけの1要素認証よりも、パスワードの記憶と認証用所持物（トークン）を組み合わせた2要素認証のほうが桁違いに高いセキュリティを実現できる。これは一見、反論不可能のように思われます。第1要素（パスワード）が盗まれる確率を仮に1％とし、第2要素（ハードウェア・トークンや携帯電話などの認証用所持物）を盗まれる確率を仮に1％とすれば、両方が同時に盗まれる確率は計算上は0.01％になるのですから。

　屋内であれば、端末のパスワード・ロックが無断解除されてしまう確率は、計算通り0.01％と考えても問題はないでしょう。端末は机に固定されており、認証用所持物は利用者のポケットやカバンにあるか首からぶらさがっている環境なら、ロック状態の端末から利用者が遠ざかる時には、利用者の頭脳（パスワード記憶）もトークンも端末から離れるからです。

　しかし、これが屋外、すなわち端末がトークンとともに利用者に張り付いている環境では事情が異なってきます。端末もトークンも100％の確率で利用者の衣服かカバンの中にあると承知している攻撃者は、端末が盗めるのであれば当然ながら認証用所持物も同時に盗むであろうことを想定しておくべきです。認証用所持物の保持による保護に期待できなければ、端末を盗用から守るのはパスワードの記憶だけになってしまいます。

　屋内で有効だから屋外でも有効だろうと思い込むのは避けるべきです。にもかかわず、両者の違いについて余りに無頓着な議論が多すぎます。

（4）PKI（公開鍵暗号基盤）

　「PKI（公開鍵暗号基盤技術）ないしPKI搭載ICカードを使用するのでセキュリティは万全です」と言われると、何となく高度な技術で守られているので安全・安心と思ってしまいます。

　しかしながら、PKIが有する暗号・認証・署名機能は、あくまで正規の利用者の手中に格納媒体がある場合にのみ効用を発揮するものです。その格納媒体が盗用された場合には正規の利用者とは異なる他人をしっかりと認証するだけに終わってしまいます。

　「PKI搭載ICカードはPKIを搭載しているため、パスワードの保護なしでもID／パスワードより本人認証効果が高い」というのは間違いです。パスワードで保護されるPKI搭載ICカードが、単なるID／パスワードよりもセキュリティが高いのは当然ですが、これは2要素法（記憶＋所有物）が単一要素法よりセキュリティが高いという構造によるものです。PKIの効用ではありません。

　このように、実際には存在していないレベルのセキュリティが、あたかも存在しているかのごとく誤って思い込んでしまっている例が少なくありません。中には、セキュリティ強度が実際には下がっているにもかかわず、上がっていると思い込んでしまう事例さえ見られます。

　そんな事例を題材にしたパロディ漫画を見ていただきましょう。

【シーン1】

鍵屋：この貧弱な扉では泥棒を防げません。もっと頑丈な扉が必要です。

主人：お任せしますわ。

【シーン2】

鍵屋：ご覧下さい。頑丈な扉を取り付けました。

主人：新しい扉の横に、「貧弱だ」といわれた古い扉が残っているようですけど、これは？

鍵屋：新しい扉は頑丈ですから泥棒を受け入れることはありません。でもあまりに頑丈なので、家の人でも時々、入れないことがあるのです。その時には古い扉から入ってもらえます」

【シーン3】

鍵屋：つまり、泥棒を防ぐのは新しい頑丈な扉、家の人は今までの扉からも家の中に入れるのです。安全だし、しかも便利でしょう！

主人：扉が倍で安全も倍ということね。そのうえ便利だし。これでぐっすり安眠できそうね。

【シーン4】

主人：ZZZ･･･。

泥棒：なにを考えているんだか。よその家より楽勝だぜ。

　何でこうなってしまうのか、もうお分かりかと思います。次回は、“頑丈な扉”として昨今話題になっている（5）生体認証（バイオメトリクス）を題材に、詳しく解説します。ご期待ください。

筆者プロフィール

鵜野幸一郎（うの・こういちろう）
日本セキュアテック研究所　代表。1971年慶應義塾大学経済学部卒業、日本IBM入社。渡米中に米IBMの同僚および米政府関係者に接したことで、国家・企業の運営において情報セキュリティ基盤の確立が必須であり、日本がOECD加盟各国の中では極めて脆弱なことを実感。日本IBM退社後、2002年に日本セキュアテック研究所を設立し、情報セキュリティとりわけ電子的本人認証および暗号鍵の運用を中心に研究している。
2011年には、日本セキュリティ・マネジメント学会（会長：佐々木良一東京電機大学教授）による「社会への提言」として『誰でも安心して使えるパスワードの実現に向けて』を代表世話人として発表したほか、バイオメトリクスと認識・認証シンポジウムにてセキュリティ製品サービスの優良誤認排除を趣旨とした『屋外環境における救済パスワード運用に関して』を発表した。2011～2013年かけては日本情報経済社会推進協会（JIPDEC）における電子的本人認証の研究タスクおよび検討会の事務局長を務める。
ブログサイト：http://yuryogonin.cocolog-nifty.com/blog/

本記事はIT Leadersから転載しています。今後の公開分も含めて、全編はhttp://it.impressbm.co.jp/taxonomy/term/3273でご覧いただけます。