2019-07-08この記事は約4分で読めます。ブログが書けてないhisayukiです。まとめスポンサーリンク必要性もはやユーザー名とパスワードだけで情報を守れる世界はとうに終わってます。パスワードの定期変更とか、桁数とか、使用文字種類とかはやらないよりマシくらいで考えましょう。ちなみにパスワードの総当たり攻撃を、GPU搭載コンピュータで行った場合の実験結果です。英子文字のみのパスワードとか10桁でも半日で総当たりされます。英大小文字+数字+記号だとしても7桁以下はたった5時間で突破されます。英大小文字+数字で9桁以上推奨ですね。いっても、オンラインサービスでこんな総当たり攻撃したら普通ならパスワードの入失敗回数でアカウントロックがかかると思います。今回セブンは失敗制限をかけてなかったとのこと・・・このように必ずしもすべてのサイトが攻撃対策してるわけではないのです。そのためパスワードは「既に知られているもの」と考えて、対策をする必要があります。そこで用意られるのが二段階認証や多要素認証と言われる、パスワード以外の認証ステップの追加です。認証の3要素という3つの要素を複数組み合わせたものです。同一の要素を利用した場合は多要素認証にならないため、多要素認証と言いつつ二段階認証だったりする場合もあります。物を盗まれたり紛失しない限りは突破されない。キャッシュカードとかICカードとかワンタイムパスワード用トークン(ソフトではなく物理的なもの)など。人の持つ身体的特徴や行動的特徴で認証する方法。3要素の中で一番突破されにくい認証方法だが、基本代わりも効かない。名前のとおり、認証が2ステップになるものです。多要素認証も認証までに二段階になることが多いので、二段階認証の1つだと思ってます。こちらは単一要素でも二段階になっていれば二段階認証となります。パスワード+秘密の合言葉とかでもOKです。パスワードと何を使うかが大事で、今回の7ペイみたいに誕生日とかFB探したら載ってそうな情報で二段階にしても速攻突破されます。メールはメールサーバーへログインするためのパスワードになるので知識認証になるので知識認証(パスワード)+知識認証(メールサーバーへのパスワード)となり二段階認証ではありますが単要素認証になります。クイズを出したら不正解者多数だった件7payが世の中を騒がせて、2段階認証という言葉がホットワードとなったりしてますね。Authenticatio..togetter.com意外と正解率が低いことと、僕自身もちゃんと理解してなかったなーって思ったので。二段階認証を導入すると決めた7ペイですがどのような仕組みで作ってくるのか楽しみです。多要素を使ってくるのか知識認証+知識認証の突破されやすい仕組みを作ってくるのか・・・ただ、利便性だけを求めるとセキュアにするほど利便性は落ちます。最近はそもそもパスワード認証という仕組みから人々を開放するFIDO2という認証の仕組みが進んでます。今回はそこには触れませんが、おいおい調べていこうかなと思います。見つかりませんでした。コメントをキャンセルメールアドレスが公開されることはありません。