今日の認証における課題(ぼくなりの認証論)2018-11-20今日の認証における課題(ぼくなりの認証論)セキュリティオンラインでパーソナルなサービスを利用する際に必ず必要になる「認証」。今回は認証論というか、そもそも認証ってなに、という話。利用できるもの認証とは、「本当に私です」と証明するということ。なにをもって「証明」とするのか。「その人でなければ持っていないもの」。知識その人しか知り得ないこと。一般的なのはパスワード。ほかには秘密の質問など。手軽で、ハードや環境に依存しない。使い回せば危険だし、使いまわさなければ管理がくそめんどくさい。あと、忘れる可能性が常にある。所有物その人しか持ち得ないもの。オンラインバンキングに使うワンタイムパスワードカードなど。あれはFIDOと呼ばれる仕組みで、ざっくりいえばワンタイムパスワードカードの工場出荷時に乱数生成規則とアカウントを紐づけておいて、認証時に手元のワンタイムパスワードカードとサーバーで出す乱数が同じなら(=同じ規則=正規のワンタイムパスワードカード)認証完了というもの。Titanなど次々とエンドユーザー向けプロダクトが登場している。サービスベンダーとして導入するには、APIを利用する。(キーデバイスごとにIDが割り振られているので、IDとワンタイムパスワードの組み合わせをAPIで問い合わせる)あと、普通にメールアドレスとか電話番号、住所への郵送。所有者しか連絡内容を確認できないもの。「パスワードがわかればメールアドレスにアクセスできる」みたいな大元での認証がどうなっているかを考える必要がある。持ってさえいればいいので、管理がめっちゃ楽。失くす、盗まれるなど。あと、認証用のハードウェアをユーザーに持たせるのはなかなかハードルが高い。オンラインバンキングなどのセキュリティが重要なものか、組織内利用くらいの規模でないと厳しい。あと、ワンタイムパスワードの場合、YubiKeyなどの外部サービスを利用すれば依存になるし、利用しなければ相当管理運用が大変。所有物へのアクセスにパスワードなどを利用している可能性がある。将来的には一番有望視されてると思う、が、現状はまだ技術が追いついてない。