category:CrazySmall0JUGEMテーマ:セキュリティアップルがFBIに犯罪捜査の関係で個人情報を提供するのかどうかという話題はいつも混沌としている。アップルが拒否するのでFBIが独自にロック解除したなどとニュースにもなっていたことは記憶に新しい。一方で数万件の開示要求がくるという話もある。iCloudについて考えると、基本的にはエンドツーエンドの暗号化がされているはずなわけで、利用者以外が見れないようになっている構造のはずだが、実際にはアップル自身もスペアとなるキーを保持しているので、内部の誰かがそのスペアキーを利用して個人情報にアクセスすることは理屈の上では可能だ。FBIに個人情報を提出することもそのような理屈で技術的には可能なのである。この件については、賛成派と反対派がいて、反対派は、アップルがスペアキーを持つべきでないという主張をする。利便性を考えると利用者がパスワードを忘れた場合にどうするのかという問題が出てしまう。パスワードを再発行できないとそれはそれで問題なのだ。クラウドでデータが管理されているジレンマがここにある。スペアキーを持っていると個人情報にアクセス出来てしまうし、持たないと再発行ができない。クレイジースモールパスワードROM240を持っている人がいる前提だったら、アップルはスペアキーを捨てる決断が可能だ。利用者は手元のパスワードROM240内にしかパスワードが無いし、パスワード忘れも無くなる。実際にアップル内部でもスペアキーを捨てるかどうかは検討されているらしい。一つの解決案としては、パスワードROM240のような手元のデバイスを利用する人だけにスペアキーを捨てる選択肢を持たせることだろう。だれも解決できないこの問題について、具体案を出したので関係者はぜひ検討してほしい。category:CrazySmall0JUGEMテーマ:セキュリティもっともポピュラーな生体認証の端末はiPhoneやAndoroidスマホだろう。指紋認証や顔認証が多くの人々に利用されている。iPhoneの指紋認証はセロハンテープやグミに指紋を移せば突破できてしまう欠点があった。当然ながら当人が寝ている間や泥酔している間に指先を借りるだけで認証できてしまう。Appleもそのような欠点を改善するために顔認証への移行を模索しているのだろう。顔認証もいろいろと欠点はあり、寝起きの顔だと認識できないなど、使いにくいという意見も多い。生体認証はそれでもiPhoneでは主流の認証方法だろう。パスコードを入力する場面というのは少なくなるので、生体認証があればパスコードが不要と誤解する人も少なからずいる。確かに生体認証だけが認証として実装されている設計ならば、その通りだろう。実際には生体認証がうまくいかないことを考慮して代替手段としてのパスコード(パスワード)を設定する仕様となっている。普段は使用しないパスコードなので、かなり忘れやすい。賢い人は忘れやすいのを理解しているので、パスコードの使い回しをする。それでは危険度は増すばかりで何のための生体認証なのだろうかということになる。生体認証が当たり前の時代にあっても、パスコードの数は減らないし、パスワードを管理する必要性は全く減ってはいないのだ。生体認証があるにも関わらずパスコードを設定する必要があるのだろうか。スマホに限らず、例えば玄関ドアの指紋認証ロックであっても代替手段としてパスワードで認証をするものも多い。生体認証は常に100%の精度では無いので誤認識もありえる。技術的な未熟さは改善してきているものの、手袋をしていては指紋認証は出来ないし、マスクをしていると顔認証は機能しないといった問題もある。そのような使えない場面を想定すると、必然的に代替手段としてパスコードやジェスチャーでの認証が必要となってしまう。iPhoneの指紋認証や顔認証も単にパスコードを入れる手間を省く簡単操作としての役割と考えてもさほど間違いではない。いう意味では現状の生体認証の立ち位置はパスワード認証と純粋に比較する位置には無く、パスワード入力を便利にするツールとしての立ち位置に近いと言えるだろう。セキュリティ上の観点から考えると、少しばかり大雑把な言い方になるが、皮肉なことに生体認証を導入したほうがパスコード認証単体よりも危険度は高くなる。前述のように生体認証はもれなくパスコード認証もセットで付いてくるわけだから、生体認証を不正に突破される可能性のぶん危険度が増しているのだ。(厳密にはパスコードを入力する場面が少なくなるのでスキミングの危険度は下がるから、トレードオフの関係にある。)結局、生体認証を使うかどうかに関わらず、依然としてパスワード管理は誰かがどこかでやらないといけない。自分で管理したい人は、パスワードマネージャー専用デバイスを使ってみることもぜひ検討してみてほしい。パスワードロム240のクラウドファンディングが多くの支持を受けて終了したが、その間にも世の中ではパスワード絡みの大きな事件が起こっていた。7payの不祥事である。今回はこの問題について考えてみようと思う。不正利用問題が発生してから2週間ほど経った今、様々な批判が記事となっている。それらの記事やテレビ等のメディアで大きく取り上げられているのは、パスワード再設定の仕様自体に問題があったというもの。2つの点が悪いとされている。一つは、任意のメールアドレスへ通知が出来てしまうという欠陥。一つはSMSによる2段階認証が無い欠陥。筆者も同意する部分は多いが、特にテレビにおいては、いささか2段階認証ならば安全が保障されていたかのように取り上げられられていて、少し違和感があった。最近になってネットではようやく2段階認証の危うさも指摘する識者も出てきていて、一時のバッシングが過熱していた状況よりは改善されてきたと思う。SMSによる2段階認証はその方法自体が詐欺の恰好のターゲットになる可能性もあるのだ。7payの不祥事によって、2段階認証イコール安全というフレームがマスコミによって一般的に広まってしまったのは功罪相半ばする。安全ならば、パスワードは忘れてもそのたびに再設定すればいいのだから覚えなくていいやと思う人だって出てくる。そもそもなぜ素人でも分かりそうな欠陥仕様となっていたのか。原因としては、安全よりも利便性をとったからだというのが大方の見方だ。その通りなのだろうと思う。ところで、筆者はパスワードロム240の開発にあたり、利便性よりも安全性を重視した。その結果、アプリとは連携しない、バックアップ機能は実装しないという仕様にした。一方で利便性としては、キーボード出力できることに重点を置き、パスワードは伏字表示のまま運用できることを重要視した。このコンセプトは間違っていなかったと思っている。Google、Yahoo!JAPAN、LINE)によるログインを一時停止したという。初期時点ではIDやパスワードの使いまわしについて注意を喚起する発表がされていた。一般的なセキュリティ強化の話として、多くの識者やメディアからのアドバイスでは、IDやパスワードの使い回しはやめるべきというものだった。その議論の一方で、パスワードの使い回しに対しての具体的解決方法を示す識者はほとんどいない。使いまわすなと言うだけなら簡単。実際に出来ていないのが問題なのだ。専門家が解決案を示せないのは、使い回しを防止する具体的方法が確立されていないからなのだと思う。確立していれば学校の教科書にも方法が載っていただろうし、それが無いのだから現時点では手探りの状況だと言える。やめるべきと言いながらやめる方法を示せないというのは残念なことだ。パスワード管理の専用デバイスを使っていただきたいと思う。7payがパスワード再設定で利便性を重視したのは、一つにはパスワードを忘れる人が多いという事実もあるだろう。その根本的問題を解決していかないことには第二、第三の7pay問題が今後発生するに違いない。2段階認証関連の詐欺も増えていくだろう。利用者がパスワードを個人で管理できていて、パスワード忘れの恐れが無いなら、再設定自体をオプションにすることがシステム設計上可能となる。再設定はパスワード管理の専用デバイスを使っている人にとっては不要だからだ。再設定を無効にすることができるならセキュリティリスクは下がることになる。現状の、アカウントはクラウドサービスで管理という世の中の流れに危うさを感じている人にも選択肢を与えられる方法だ。批判だけで終わらせるよりも何かの具体案を出すことは大事だと思う。クラウドファンディングでは多くの支持を受けることが出来た。実際に筆者と同意見の人も大勢いるという証拠だと思う。この場で一つの解決案は示した。あとは本気でID,パスワードについて考える人が増えるかどうかだろう。少なくともセキュリティ関連の専門家の人やIT教育の先生方は、パスワード使い回し問題の解決案を持っていてほしいと思う。パスワードロム240を使用してみよう2製品ホームページはこちら。本体に記録されたアカウントデータ(最大240件)を完全消去するには、右下のSWボタンを押しながらUSBケーブルを接続して起動する。3秒程度押したままで、その後離すと、通常のログイン画面が表示されるのだが、よく見るとloginの横に-記号がついている。この状態でマスターパスワードを入力してSWボタンを押してログインしてみよう。すると、clearという表示のログイン画面のような画面に遷移する。ここで、消去用のパスワード68235を入力してSWボタンを押すと、消去が開始されるので本当に消去していい場合だけ実行しよう。通常の運用ではまず使用しない機能だと思う。本機が不要となり捨てる場合に実行するくらいか。この全消去を実行したとしてもマスターパスワードは引き続き使えるので、出荷状態に戻ったことになる。マスターパスワードは変更する方法が無いため、購入者が誰かに譲ったり転売することは控えるべきだ。消去が開始されると...のようなアニメーション表示となり、2分程度で完了してdoneと表示される。ケーブルを抜き差しして再起動後、ログインしてみると、登録データが消えているのが確認できるはずだ。ところで、本機に記録されたアカウントデータがクラッキングされることはあるだろうか?まず、パソコンやスマホのようなOSは搭載されていないので、ウィルス的なものが動作する可能性は無いだろう。唯一USBケーブルでつながっているのだが、パソコン側からアクセスしても単なるキーボードでしかないので、ウィルスや悪意のあるプログラムが感染する余地が無い。無線やBlueToothでは接続できない(物理的に実装されていない)次に、本体が悪意のある者に盗まれたらどうだろうか?この場合、マスターパスワードの記載紙が一緒に盗まれた場合は、ログインできるのでデータを見られてしまう。それは防ぎようがないのでマスターパスワードの記載紙は本体とは別の場所で管理すべきだろう。ここではマスターパスワードが分からないと仮定して考える。その場合ならログインできないので、データは見ることはできない。それは本当だろうか?仮に内部で使用されている電子部品から直接データを吸い上げたらどうだろうか?それを心配するのは、つまり悪意のある者が電子機器の専門家であり、本機を盗むか、偶然どこかで拾うかくらいしかありえそうにないので、その時点で可能性はかなり低いと言えるが、可能性が無いわけではない。データを入手できたとしても、マスターパスワードおよびアカウントデータは暗号化されているので解読は出来ないだろう。理論上100%出来ないとは言ってはいけないのだが、まず出来ないと考えていい。入手したデータを、別の購入した機体(マスターパスワードはあるとして)に移植したらどうだろうか?実は、それでも元のデータを見ることは出来ない。機体ごとに暗号化計算値が異なるからである。このようにかなり強固にデータは守られているので、金庫に預けたノートと思って使うことができるのだが、前述のように金庫の鍵に相当するマスターパスワードの管理だけは自分で行う必要がある。本機を紛失、故障の場合でもデータを失いたくない場合は、もう1台購入して、アカウント登録の手間は多少かかるけれども、フェイルセーフとして少しだけ我慢して2台同時に運用したほうがいいと思う。それで運用を継続していけるのだから2台揃えるのは最善の選択肢だと言える。パスワードをどう管理すべきかという話題で、まともな解決策を出した企業があるだろうか?おそらく、どの解決策においてもパソコンやクラウドの枠を超えることができない欠点があったに違いない。企業の巧みな宣伝文句により企業自身が危険な欠点を理解しているにも関わらず、自社サービスを拡販するために、危険がまるで無いかのように安全で便利なものだと信じさせれられてきた。本プロダクトは世の中が今この時点でまさにそのような安全神話に傾倒しつつあることに対するアンチテーゼでもある。すべてを否定するわけではなく、個人が自分自身でパスワードを管理したいという場合に自由と選択肢を与えるものだ。製品ホームページはこちら。category:CrazySmall0なぜセキュリティ関連企業はクラウドベースのパスワード管理を推奨するようになったのか?あくまで私見ですが、おそらく正解だと思ってます。結論から言いますと、ローカルアプリでやることが無くなったから、次に儲けられる場所としてクラウドに活路を見出そうとして苦心しているのだと考えられます。セキュリティ関連企業は、アンチウィルスソフトを主にWindowsパソコン用に販売してました。常に最新にするためにユーザは月額契約をしていたわけですが、macOSのほうはOS標準でもアンチウィルス機能があったり、macOS自体を狙うウィルスの数がWindowsよりも少ないということもあって、主戦場はWindowsだったわけです。ここ10年程でパソコンよりもスマホやタブレットが増えてきて、AndroidやiOS機器のユーザー数が増えましたが、それらのOS上でアンチウィルスソフトができることはユーザーレベルのアプリの制限からして限られます。無いほうがいい程度の価値しかないのです。Windows10の時代になってOS自体のアンチウィルス性能も安定してきました。最近の研究ではOS標準だけで問題ないという調査結果もあるほどで、別途アンチウィルスのためにソフトを購入する必要性が薄れてきました。一部のメーカーでは最後の投げ売りとばかりに永年無料の商品を販売したり、フリーのアンチウィルスソフトでも十分に使えるものも出てきました。そのような事情でセキュリティ関連企業のかつてドル箱コンテンツであったパソコンローカルで動作するアンチウィルスソフトの売り上げは減ったのです。Windows上でやることが無くなってしまった以上、なんとか次の儲けられる市場を探す必要があったのでしょう。アカウント管理をクラウドサービスで管理するということをやり始めます。ユーザーにはそれが安全でかつ便利という宣伝を行うのです。ソーシャルログインが一般化する中でユーザーもそれほど抵抗なくクラウドサービスを利用するようになります。どの企業も同じ流れでサービス展開していくので、あとは囲い込みの競争になるのです。これがおそらく知っていてもそうとは言えない不都合な真実でしょう。一度少しだけ世の中の流れに乗らずに歩みを止めてみませんか?そして考えてみて良ければそのままでもいいですし、悪ければなにか変える必要があります。変えてみようと思った方は自分の手元で管理できるパスワードマネージャ専用ガジェットを使ってみましょう。使う手間は少しあります。category:CrazySmall0銀行口座やクレジットカードの暗証番号を見直してみよう例えば、銀行口座やクレジットカードを複数所持している場合、暗証番号を同じにしている人はいませんか?誕生日をそのまま使っている人はいませんか?学校のIT教育ではパスワードや暗証番号の使いまわしはいけないと教えていたはずなのに、とても危険な設定を自ら行っているのです。人生を左右するかもしれない財産管理においてでもです。いざ使う時になったら忘れていたというどうしようもない不便を知っているからです。忘れることは人間として当然なことで、それが普通の人であり、仕方がないことなのに銀行は暗証番号の管理責任を個人に丸投げするだけなのです。あなたが、自分で自分の財産を守るには、暗証番号を管理できるデバイスが必要です。それがあれば、忘れても良いのです、そしてより安全なランダムな暗証番号を使うことができます。クレイジースモールパスワードロム240はあなたの脳に変わる外部記憶となります。既存のパスワードマネージャで銀行の暗証番号を預けることが出来るものはあるでしょうか?仕様としてできるものはあるかもしれませんが、ウイルス感染やクラウドからの情報漏洩の危険を考えると、少なくとも私は預けたいと思うものは見つけられませんでした。パスワードロム240を使用してみよう。製品ホームページはこちら。1件につきパスワードは2つ登録できるので最大480件のパスワード登録ができる。本体はUSBケーブルで接続してバスパワーで動作するので、パソコンに接続するとログイン画面がでる。起動時間は1秒くらいで待つことはない。電源OFFはケーブルを抜くだけである。付属のマスターパスワードの用紙があるので、5桁の番号を入力する。本体背面にジョイスティックがあるので、上下で数値を変更。中央下のRボタンで右にカーソル移動、左下のLボタンで左にカーソル移動できる。入力直後は数値は表示されるが、覗き込み防止のためすぐに*表示となる。10秒程度操作しないとスリープとなる。スリープ機能はこのログイン画面以外では機能しないようになっている。ログアウト忘れを防ぐためだ。自動ログアウト機能はない。右下のSWボタンを押すと認証されてアカウントテーブル画面になる。パスワードを間違えた場合は、エラー表示となり、数秒待つと再度ログイン画面に戻る。再度打ち直してログイン実行する必要があるが、連続で間違うと待ち時間が長くなる。これによって不正ログインを諦めるような設計方針だ。ありがちな自動的にメモリを全消去するような実装ではない。こどもがおもちゃと勘違いしていじっている間にデータが消去されたのでは笑い話にもならないからだ。アカウントテーブルはページ番号が上部に表示されていて、1ページから40ページまでジョイスティックの左右で移動できる。ジョイスティックをスライドさせると移動中はページ番号だけの表示なので高速に遷移する。はじめはなにも登録していないので、表示されるものはない。1ページに6件のアカウントが登録できる。見出しとして1件につき2行(1行が8文字なので16文字)が表示される。基本的にスクロールで移動するのではないので、ぱっと見でなにが登録されているかが分かる。検索機能は無いが、どのページあたりに登録したかというのがだいたい分かっていれば探すのには困らないだろう。この画面からLボタンを長押しすることでログアウトする。ログアウト時に前回見ていた位置が記憶されるので、次回はその位置から表示される。ページ内はジョイスティックの上下でカーソル移動する。登録したいページと位置を自由に決めてSWボタンを押すとアカウント画面になる。ここでは、アカウントの連番の管理番号が表示されていて、実際に登録されたタイトル、ID、パスワード(2つ)が表示される。各項目は半角で最大32文字が登録可能だ。項目はジョイスティックの上下で移動する。Lボタンでアカウントテーブルに戻る。タイトルおよびIDは32文字表示されていて、パスワードは**表示固定だ。タイトルを選んで、SWボタンを押すと、編集画面になる。1文字目にカーソルがあるのでジョイスティックの左右で文字種が選択できる。文字種は数値、アルファベット小文字、アルファベット大文字、記号の4種だ。ジョイスティックの上下で選択された文字種の中から文字を選択する。ちなみに大抵の操作は、ボタン押しやジョイスティックスライドのままだと連続的に動作するようになっている。起動時のSWボタン長押し、Lボタン長押しでログアウトおよびSWボタン長押しで編集完了、の場合の3つの操作だけボタンを長押しすると通常と異なる動作となる。文字が決まったらカーソルを右に移動するためRボタンを押す。上下には移動できない。カーソル左移動はLボタンとなるが、バックスペースとして動作する。Rボタンを何度も押すとスペースが入ることになるので、文末がスペースにならないように注意したい。文末の文字上にカーソルが表示されていれば問題ない。1行は8文字なので、9文字目は2行目になる。このように最大32文字入力可能だ。入力が終わったらSWボタンを長押ししてアカウント画面に戻る(編集が記憶される)。ここで、SWボタンを普通に押すと編集が破棄されるので注意が必要だ。アカウント画面ではパスワードは伏字なので参照するための操作として、長押ししないでSWボタンを押すことで、アカウント画面と編集画面を簡単に切り替えられる操作となっている。編集画面は伏字にはならない。アカウント画面からはキーボード出力ができる。各項目にカーソルを移動してRボタンを押すことでキーボード出力される。記号が含まれている場合、文字化けすることがある。これは本体がUSキーボードとして動作するためで、パソコンやスマホのOSの認識が日本語キーボードの場合に起こる現象だ。取説やホームぺージのセットアップを読んで事前に設定しておくと文字化けしないで正しく動作する。キーボード出力した際に文字に下線が入る場合は、日本語変換のモードになっているので、入力前には直接入力できるよにIMEをOFFする必要がある。IMEがONのままだと、ローマ字変換などがされて文字化けする可能性がある。アルファベットの先頭を自動的に大文字に変換する、カンマを自動的に変換する、など補完機能が動作していると文字化けの原因になるので、直接入力ができる状態にしておくことは必須である。Web画面などでは例えば電話番号の入力欄では自動的にIMEがOFFになるなどの動作が多いが、これはWeb画面の作りが親切かどうかによるのであまりあてにならない。パスワードマネージャには自動的にパスワードを生成する機能がつきものだが、本機もその機能がある。やり方としては編集画面で1文字目にカーソルを合わせて(つまりなにも入力されていない状態で)Lボタンを押す。すると16文字のランダムな文字が生成される。その後にこれを編集しても構わない。Lボタンで文字を消して1文字目に戻り、再度Lボタンを押すと再度16文字生成されるが、生成規則が切り替わっているので、生成規則2種を切り替える場合はやり直し操作を1度行えばいいということだ。そのほかに生成規則の設定はないので、迷うことは無いだろう。16文字固定かというと、16文字あれば十分に強固であることが知られているからだ。他のパスワードマネージャの場合は文字数や文字種などを細かくユーザーに設定させるが、正直言ってユーザーはなにを設定すればいいのか迷うだけだと思う。本機ではユーザーが本体上で設定しなければならないことは最小限となっている、というかほぼ何もなく極めて単純かつ簡単に動作する。製品ホームページはこちら。次回はデータの全クリアの方法と暗号化保存についてお話する予定。category:CrazySmall0JUGEMテーマ:セキュリティ年々管理しなくてはいけないパスワードって増えていきますよね。ネットショッピングするにしても、ショップの会員になるためのアカウント作成が必要であったり、マイナンバー登録だって4種類も暗証番号が必要だったりと、いったいいくつパスワードが必要なんだと。多い人だったら100個は超えるのではないでしょうか?そうなると覚えるのはほぼ不可能です。同じパスワードを使いまわしてしまったり、覚えやすい生年月日をもじったり、そんなことをやりはじめます。それはいけないことと言われて変更したら、いや変更するほうが実はリスク高いとか専門家が言い出す始末。したらいいのでしょう。人類の頭の限界は超えてます。その悩みは確実にIT企業も理解してます。chromeの自動入力は便利ですし、クラウドで管理される有償サービスもいろいろあります。メーカーPCならパスワード管理ソフトがインストール済かもしれません。chromeの自動入力は便利ですが、その仕組みは理解してません。どこに保存されているのかも知りません。知らない間に勝手に便利にしてくれました。いう感覚の人も多いのではないでしょうかなんだかわからないけど使わされている。考えるとそれはとてつもなく怖いことです。どこかにとんでもない穴があるのではないかと。将来的にも大丈夫なのかと。Facebookのパスワードずさん管理の例もありますし、大企業だから大丈夫とも言えません。Yahooの情報流出の例のようにむしろ大企業だから狙われて流出の危険があるのではとも思えてしまいます。毎年のようにそういうニュースは耳にします。アプリに任せても、ウイルスに感染しないかとか、バージョンアップで互換性無くならないかとか、バージョンアップ強制でお金がかからないかとか、バックドアがないかとか、いろいろ不安要素はあります。PCが壊れることもあるでしょうし、クラウドのサービスが停止するときもあるでしょう。クレジットカードや銀行口座の暗証番号を預ける気にはとてもなりません。考えることを放棄して、全権を大会社のIT企業にゆだねて月額料金を払えばいいのでしょうか。自分で管理するよりはよほどましという意見もあるようです。いやな胸騒ぎを無くしたいなら、いっそのこと原始的方法で紙のノートに書くほうがいいのではないかとすら思います。少なくとも自分で管理している感覚にはなりそうです。盗難や紛失、盗み見があるかもしれません。人前でノートは広げられません。堅牢でかつ便利なものはないかと探すと、世の中にはパスワードマネージャの専用デバイスなるものがいくつかありました。ノートよりはよさそうですが、よくよく調べると結局パソコンアプリ連携が必要だったりと単体の動作に難があるものが多いです。アプリ利用を是とするなら、そもそも専用デバイスに頼る必要もなく、はじめからアプリだけでいいのではと思う本末転倒感があります。データは暗号化して保存し、パスワードは伏字のままで使用できるもの。この当たり前なことができないパスワードマネージャも存在します。デバイス単体で完結するもので、それでいて便利で小さくて容量十分で信頼性がありセキュリティがしっかりしたもので手ごろ価格。そんなわがままをかなえるものはなかなかありません。Japanで作りました。自信をもってお届けします。クレジットカードや銀行口座の暗証番号も管理することのできる本格的なものです。キーボード出力ができるので自動的な入力が可能で、アプリやクラウドサービスでは不可能なOSのログインにも使うことができます。第一弾のキーボード+マウスと同様に、アプリ連携しないなど、思い切って割り切った部分があります。それを利点と感じられる方々にぜひご利用いただきたいです。パスワードロム240は生涯の伴侶となるパスワード管理デバイスです。