認証の仕組み〜ベーシック認証からバイオメトリックス認証 まで


ベーシック認証とは?
自分のパソコンはやっぱり他の人には勝手に使われたくないですよね。 自分と他人をパソコン等が判断する方法を認証と呼びます。 では、どのようにすればパソコンがユーザを認証をする事が出来るのでしょうか?

良くある方法はIDとパスワードを入力する方法です。この方法は ベーシック認証と呼ばれ、一番普及している方法です。 このとき、ユーザがIDとパスワードをいれ、パソコンを使用できるように する作業をログインと呼びます。

では、全部ベーシック認証にすれば良いのでは?と思われるかもしれませんが、 そこには大きな落とし穴があります。

ベーシック認証の欠点

パスワードを解読してしまうツールは簡単に入手できるので、パスワードに 自分の誕生日や友人の名前、英語の単語をそのまま利用するのは大変危険です。 場合によっては数秒でパスワードが判明することができます。といってもランダム なパスワードを作ってもなかなか覚えられない、どこかにパスワード をメモしてしまう、などということも考えられます。メモを残すと他人に見られて ログインされてしまう....。ではどうすれば良いのでしょうか?

この欠点を克服するために考えられた方法がワンタイムパスワードと バイオメトリックスです。


ワンタイムパスワードとは?
ワンタイムパスワードとは、文字通り「一回しか使えないパスワード」 を使う方法です。ユーザは特別な機器を持ち、これを用いてパスワードを 生成します。そのユーザはそのパスワードを入力すればログインすることができます。 もし、再びログインしたい場合には特別な機器でもう一度パスワードを 生成する必要があります。この特別な機器を「トークン」と呼びます。

毎回パスワードは変化するのでユーザがトークンがないと ログインすることができません。そのため、パスワードを盗聴をされても、 盗聴者はログインできません。このトークンは専用機であったり、 携帯電話の場合もあります。

ワンタイムパスワードはトークンを使う必要があるので、ユーザ にトークンそのものの費用とそれ配る費用がかかります。しかしながら、 ベーシック認証よりもはるかにクラッキングしにくいので、 重要なシステムのログイン、遠隔地からのログイン (これをリモートログインと呼ぶ) には良く使われます。


バイオメトリックス認証とは
ベーシック認証ではユーザがパスワードを忘れる可能性が高い事が欠点 として挙げられます。そこで、パスワードを使わず認証を行う方法が考えられました。 それがバイオメトリックス認証です。バイオメトリックス認証ではユーザの 身体的特徴を使って認証を行います。

身体的特徴として有名なのが指紋です。指紋認証の機材は既に幅広く販売 されているために、もっとも身近なバイオメトリックス認証といえるでしょう。 しかし指紋の場合、ユーザの指紋が擦り切れ認証しにくくなったり、 ユーザの指紋認証に対する抵抗感 が強いことから他の方法が模索されてきました。(最近ではゴムを使って指紋認証 をクラッキングする方法が知られています。)

指紋以外で有力な認証としては「網膜」と「手のひらの静脈」を使った 認証が挙げられます。どちらもまだ普及には至っていませんがこれから 研究が進み、機材も低廉化することでしょう。

バイオメトリックス認証の特徴は非常にクラッキングしにくいことが 挙げられます。そのため、非常にセキュリティが要求される部屋の入退室 管理に使われることが多いです。


PAPとCHAP
さて、遠隔地から企業ネットワークにアクセスする方法を考えましょう。 通常のシステムではセキュリティ面から 遠隔地からのログインを専用に処理するサーバやルーターを設置します。 これをRASと呼びます。

遠隔地からの方法の一つとして、IDとパスワードをそのままRASに 送る方法をPAPと呼びます。仕組みは単純なので、良く使われていますが 盗聴されると盗聴者がログイン可能となるので、使用するのはなるべく避けた 方が良いでしょう。

PAPよりもセキュリティを高める方法としてワンタイムパスワードがありますが、 これは専用機を購入する必要があります。より簡便でセキュリティ強度が 保たれる方法としてCHAPが挙げられます。

CHAPではRASがユーザにチャレンジコードと呼ばれる文字列を送ります。 このチャレンジコードはRASで作成されたランダムな文字列です。 ユーザはチャレンジコードとパスワードからレスポンスコード を作成します。このレスポンスコードをRASに返す事によって、RASは ユーザの認証を行います。このとき、RASは自分が作成したチャレンジコードと ユーザパスワードからレスポンスコードを作成し、これが ユーザからのレスポンスコードが一致すれば、認証は成功ということになります。 チャレンジコード自体はランダムな文字列ですから、 それによって生成されたレスポンスコードを盗聴しても盗聴者は ユーザのパスワードがわからないのです。


遠隔地からの認証の補足
さて、先ほど遠隔地からのログインはRASによって処理されると書きました。 もしRASを多数設置するようになれば、RASの管理が非常に面倒になります。 例えば、ある人が全てのRASからログインできるようになれば、その人のID とパスワードを全てのRASのデータベースに書き込む必要があります。

そのため、RASにはパスワード等の認証データを置かず、別サーバに認証 情報を一括管理するようになりました。この認証データベース用サーバを RADIUSと呼びます。仮にユーザが増えてもRADIUSの設定を変えれば 全てのRASへの新ユーザのログインが可能となります。またRADIUSは 接続時間等のログを残す事が可能です。

電話を使って遠隔地からログインする時にはよりセキュリティが強固 な認証方法があります。一つは電話番号によって認証を行う方法です。 電話番号はユーザで勝手に変更できませんから、これは非常に強力 な認証方法と言えるでしょう。

また、電話からのログインで良く使われる方法としてコールバック が挙げられます。これは一度PAPやCHAP等で認証を行い、その後、 RASからユーザの携帯電話に接続を行う方法です。先ほど書いたように 電話番号は勝手に変更できませんから、確実に携帯電話保持者のみ 接続することができます。

「身近なセキュリティ」に戻る