個人情報漏洩対策～ユーザー認証について復習～

情報漏洩対策の基本の一つであるユーザー認証に触れたいと思います。

ちょっと堅い話ですが、あらゆるセキュリティの根本の話でいろんな場面で使える話なので、覚えといて損はないですよ。

ユーザー認証とは～認証区分による分類～

不正アクセスやなりすましを防止するために、システムを利用しようとする人物があらかじめシステムにアクセスすることが許可されているユーザであるかどうか、システムの利用に先立ち確認することが求められます。

システムを利用しようとする者が所有する知識、物、生体情報等と、システムにあらかじめ登録されている情報と照合することにより、システムを利用しようとする者があらかじめ登録されているユーザかどうかを確認します。

システムで取扱う個人情報の重要性及び量を考慮し、適切なユーザ認証方式を選択する、若しくは組合わせる必要がある。

知識による認証

ユーザ本人しか知らないはずの秘密情報を知っているかどうかで確認する方法です。

多くは、ユーザIDとパスワードを用いるパスワード認証ですね。

実装が容易であるという長所がある反面、第三者に推測されることや本人のパスワード忘れ等の危険性があります。

所有物による認証

本人しか持っていないはずのものを持っているかどうかで確認する方法。

主にICカードやトークン等を用います。

物理的に所持していなければ認証できないという安全性がある反面、偽造や盗難の危険性があります。

代表的な認証方式を次の通りです。

・デバイス認証
・電子証明書による認証
・トークンを利用したワンタイムパスワード認証

生体認証情報による認証

指紋、虹彩等の生体情報を用いた認証。

記憶・所有の必要がなく、利便性が高い。

しかし、ユーザの負担は軽い反面、認証のための特別な装置や高度な認証ソフトウェアが必要になります。

また、認証精度も100%ではない。

指紋認証、虹彩認証など

知識、所有物、生体認証情報のうち2つの認証方式を組合わせることを二因子認証といいます。

上記の組み合わせなどでこの二因子認証を行えば、高確率で漏洩を防げます。

具体的な実施事項

必須レベル

(1)アクセス権限を有するユーザ本人であることの識別と認証を実施すること

攻撃者による不正アクセス、又はなりすましに対する対策である。

(2)認証システムにおいて、異なるユーザには異なるユーザIDを用いること

ユーザIDの共有を防ぎ、また、ユーザに自分の行動の責任を負わせるために、異なるユーザには異なるユーザIDを用いる。

推奨レベル

(3)システムにログインしたまま一定時間操作が行われないユーザIDは、操作を再開するときに再度認証を行うこと

システムにログインしたまま一定時間操作が行われないセッションが存在する場合、そのセッションに対応するユーザは席を離れている可能性がある。

攻撃者が離席中のユーザになりすまして操作できないよう、一定時間操作が行われないセッションに対しては、操作を再開するときに再度認証を行う。

(4)一定期間システムに対してアクセスがないユーザIDは、これを停止すること長期間使われていないユーザIDが攻撃者によって不正に使用されても、そのユーザIDに対応するユーザが気づくことは難しく、ユーザは長期にわたってなりすまされる可能性がある。

そのため、なりすまし画起こる前に一定期間システムに対してアクセスがないユーザIDは、強制的に削除する。

(5)システムへのログイン成功時に、ユーザに対して以下の情報を提供すること

・前回のアクセス日付、時刻、状況

・前回ログイン以降、ログインが連続失敗していた場合、そのアクセス状況

ユーザが身に覚えのないログインに気づくことができるよう、システムへのログイン成功時に情報を提供する。

(6)システムへのログインが成功する前に、ログインを試みる者に対して以下の情報を提供しないこと

・システムの識別子、OSやネットワークサーバプログラムのバージョン等

・最後にログインしたユーザID

・認証が失敗した理由

以上の情報は、システムの脆弱性を突いた攻撃や、ユーザID及びパスワード特定の手がかりとなるため、システムにログインする前にはこれを提供しない。

(7)必要に応じて、パスワード認証以外の認証技術(例えば、指紋の検証、手書き署名の検証等の生体認証、及びICカード等のハードウェアトークンの使用)の採用を考慮すること

パスワードの管理はユーザに委ねられているため、脆弱なパスワードになりやすい傾向がある。

よって、重要なシステムに対しては、パスワード認証以外の認証技術(例えば、指紋等の身体的特徴による認証、ICカード等の所有物による認証)の採用を考慮する。

(8)メールサーバ上のメール送信(SMTP)及び取得(POP又はIMAP)アカウントの利用の際にユーザ認証を実施することメールの送受信におけるなりすましを防ぐために、メールサーバ上のメール送信(SMTP)及び取得(POP又はIMAP)アカウントの利用の際にユーザ認証を実施する。

(9)ユーザが利用する電子メールソフトは、起動パスワードを設定できるものを採用すること
攻撃者がユーザのメールの内容を閲覧できないよう、ユーザが利用する電子メールソフトは起動パスワードを設定できるものを採用する。

(10)重複ログイン数を制限する、又は個人ごとのトークンを利用する等によるユーザIDの共有防止対策を実施すること
ユーザIDの共有は対応するユーザを特定できないため、共有によって情報の漏洩又は改ざんが発生した場合、攻撃者を特定することが困難になる。

そのため、重複ログイン数を制限する、個人ごとのトークンを利用する等、ユーザIDの共有を防止する対策を実施する。

(11)リモートから接続する際は、ワンタイムパスワードや電子証明書等の強固な認証方法を利用すること
通信路の盗聴及びリプレイ攻略を受ける可能性があるため、コンピュータへリモートから接続する際は、ワンタイムパスワードや電子証明書等の強固な認証方法を利用する。

まとめ

今回は、ユーザー認証について色々まとめました。

多くの情報漏洩は、不正ログインなどの認証不足により起こります。

防ぎきれない面はありますが、最低限のラインは行いたいものですね。