Web教材一覧情報倫理・セキュリティ

本人認証(パスワード)の種類

キーワード

バイオメトリクス(生体認証)、ワンタイムパスワード、シングルサインオン、コールバック


本人認証の種類

本人であることを示す方法は、大きく3つに区分することができます。

バイオメトリクス(生体)認証

身体的特徴による認証
  指紋・掌紋:指紋の凹凸とセンサ表面の間に発生する静電容量を測定
  静脈:通常は掌の血管の分岐点の角度や分岐点間の長さの特徴
  網膜:近赤外線センサーを網膜に照射
  虹彩:カメラにより瞳を取り巻くドーナツ状の部分のしわの特徴
  声紋:音声データの周波数成分比較
行動的特徴による認証
  筆跡:署名文字の鑑定
  筆圧:署名するときの速度や筆圧の特徴

パスワードの運用

ワンタイムパスワード

1回しか有効でない使い捨てのパスワードのこと。アクセスのたびに異なるパスワードにすることにより、パスワードの漏洩、パソコンの紛失・盗難などに対処できます。特に、モバイル端末でのセキュリティ対策として利用されています。

その実現方法はまちまちですが、原理としては、毎度異なる文字列発生器(モノ)とパスワード(コト)を組み合わせて新しいパスワードとしてサーバにアクセスし、サーバはそれを解釈して認証します。そのため、事前にサーバと利用者が共通の取決めをしておく必要があります。

タイムスタンプ方式
利用者はトークンと呼ばれるパスワード生成器をもっています。トークンは時刻ごとに異なる文字列を発生します。その文字列と自分の固有のパスワードによりサーバにアクセスします。サーバは、どのトークンがどの時間にどの文字列を発生しているか同期していますので、トークンの所有者が正規の利用者であることを識別できます。
 タイムスタンプ方式では時刻同期が必須になります。トークンの文字列を得てからアクセスするまでの時間が長いと正しく識別されません。
チャレンジ・レスポンス方式
サーバにアクセスすると、サーバから毎回異なる「チャレンジ」という文字列が送られます。利用者は、レスポンス生成器(モノ)を持っており、それにパスワードとチャレンジ文字列を入力すると「レスポンス」という文字列が生成されます。そのレスポンス文字列でサーバにアクセスします。
 この方式では、レスポンス生成器とサーバに、文字列発生の共通ルール(関数)が組み込まれている必要があります。

シングルサインオン

利用者が一度認証を受けるだけで、許可されているすべての機能を利用できるようにする仕組みです。
 多くの利用にパスワードが設定されるようになりました。例えば、インターネットを介してアプリケーションを使うには、端末起動、LAN接続、インターネット接続、アプリケーション起動、データベースへのアクセスなど、それぞれの操作にパスワード入力を求められます。しかも、セキュリティを厳重にするため、あるいは、それぞれの機能の管理を容易にするために、機能ごとに異なるパスワードにしている場合もあります。
 認証情報の管理を一元化することによって、1回の認証だけでこれら一連の操作でのパスワード入力を不要にしたのがシングルサインオンです。

シングルサインオンの目的・要件として、
・認証を簡単にして、利用者の負担の軽減を図ること
・逆に、漏洩したときの被害が大きいので、より厳格な認証機能にすること
・システム管理者やアプリケーション開発者の負担を軽減するために、認証方法の標準化を図ること
の実現が必要になります。

その実現を支援するために、多様なツールが開発されていますが、基本的には、認証情報を格納する「ディレクトリ」と呼ばれる一種のデータベースの構築とそのアクセスの機能になります。アクセスでの標準プロトコルにLDAP(Lightweight Directory Access Protocol)があります。
 Webでのシングルサインオンには、Webサーバにシングルサインオン機能を組み込んだ「エージェント型」と、LANからWebサーバにアクセスするときの中継機に機能を組み込んだ「リバースプロキシ型」の2つがあります。リバースプロキシ型では個々のWebサーバの仕組みを変更する必要がなく設定できる特徴があります。

パスワード以外でのアクセス制限

コールバック

会社のネットワークにダイアルアップで接続するとき、それでは接続しないで、サーバから登録された端末の電話番号にコールバックすることにより接続します。これにより、登録以外の場所からのなりすましを防止します。


本シリーズの目次へ