ユーザーが覚えているパスワードで認証するだけでセキュリティを維持するのは難しい、ということで、最近は二段階認証を導入するサービスが増えています。GoogleではSMSや携帯メールでワンタイムパスワードを伝えてきますし、Twitterでは、初めて使うデバイスやアプリケーションからのログインがあった場合には、すでに利用されているアプリケーションで認証を確認します。オンラインバンキングでも最近はログインするとメール通知でワンタイムパスワードを伝えてくるところもあります。二段階認証では以下の2つのことを実施します。本来認証しているはずの人間にコールバックコールバック時にワンタイムパスワードを伝える流れとしてはこういう感じです。俺:もしもし、カーチャン、俺だよ。歴代プリキュア全部言えるから間違いないよ母:そうかい。(ちょっと折り返して確認しよう、ということでこちらから自分が持っている電話帳をもとに電話かける)母:もしもし、あんたかい、もしそうなら、キュアピースの決め台詞を言っておくれ俺:(電話をかけ直して)ピカピカぴかりんじゃんけんポン母:あんただね。何の用だい?この例では、母親はキュアピースの合言葉は自分からは言いませんが、普通はワンタイムパスワードは、コールバックしてきた方が伝えます。母親が口にするのは恥ずかしいワードです。俺にかけ直してもらっていますが、これはウェブでの二段階認証のイメージと合わせるためです。普通はコールバックしたら直接その場で確認とは思いますが、ここでは二段階認証にはコールバックという要素が必要ということが言えればいいので突っ込みはここまで。おれおれ詐欺はコールバックが怖いので、コールバックを阻止するために電話番号が変わったと説明したり、間髪入れずに訪問したりと、あの手この手を使ってきます。パスワード再発行による擬似二段階認証はどれくらい実用的か少なくとも現時点では二段階認証の安全性はかなり高いといえるのですが、サービス側も簡単に導入できる手段ではないので、対応していないサービスも多々有ります。そこで、代替出来る方法はないか考えてみました。いうことで、代替手段になる方法として「パスワード再発行手続き」を考えました。ほとんどのウェブサービスにはパスワード再発行手続きがあります。この手続にはコールバックが含まれているので、その点では二段階認証の条件の一つを満たします。パスワード再発行の手続きはサイトによって違うので、一概に擬似二段階認証になりうるとはいえないのですが、そうはいってもなりうるサイトはかなり多そうです。ITパスポート受験登録サイトで、擬似二段階を試してみたどのサイトがテストで適切か考えてみました。GoogleやTwitterは普段メインで使っているのでテストで問題がでたら洒落になりません。試すのであればセキュリティ意識の高いサイトのほうがいいです。情報処理推進機構(IPA)のサイトで試してみることにしました。試してみるのはITパスポートのサイトです。https://www3.jitec.ipa.go.jp/JitesCbt/index.htmlすでにITパスポートにはユーザー登録済みです。パスワード変更サイトに飛ぶ前に受験申し込みページに一旦行きます。利用者IDをお持ちの方のボタンをクリック利用者ログインのページが現れたら、パスワード再発行のボタンを押します。いうことでパスワード再発行画面にたどり着きます。メールアドレスと生年月日、入れたくないが仕方ないこういう画面が出てきます。登録済みメールアドレスを入れる操作をすることで、それが覗き見されるとパスワード再発行を受信するメールアドレスがバレてしまいます。このメールアドレスが乗っ取られるとかなり致命的です。生年月日情報ですが、これも知られると別のサイトで同じようにパスワードリセットが出来ます。クレジットカード会社などでは、生年月日で本人確認を行うので、ここでもなりすまし情報として使われてしまいます。これが頻繁に利用し、高度なセキュリティを必要とするサイトであれば、利用者IDを入れるだけでコールバックしてくる仕組みのほうが望ましいです。それはそれで別の問題が発生し、IDだけで通知をするのはお手軽すぎ、再発行手続きスパムを起こしうる事前にコールバック連絡先を登録していなければならないということになります。この操作を外でやるとすると拒否したいです。今の私は自社のPC上で他に誰も居ないところで操作しています。覗かれる心配は低いと考えます。いうことで、ここでは割りきって利用者IDと登録済みメールアドレスと生年月日の情報を入れます。これらの情報は秘密の情報ではありませんが、組み合わせる必要があるので、単純にでたらめでは手続きが進みません。その意味で、第一段目の認証が行われていると言っていいでしょう。仮パスワードが平文メールで届いたので、即座にログインこの手続を行うと、仮パスワードが暗号化されず平文で書かれたメールが利用者宛に届きます。パスワードがリセットされたので、書かれている仮パスワードでログインしてくれ、ということです。メールで平文送信は全く安全ではありません。言って、ITパスポートの受験のためにSMSの連絡先を教えたいかと言われると、それはそれで抵抗があります。ITパスポートのサイトも、そういう想定はしていないようです。そんなに重要ではないサイトにSMS連絡先を教えるほうがリスキーなので、割りきります。メールを受信したら即座に仮パスワードでITパスポートの受験サイトにログインします。本人がパスワードを覚えなくて良いという最大のメリットログインしたら、すぐにパスワードを変更します。変更するパスワードはでたらめです。TypeBというソフトでパスワードを生成しています。TypeBhttp://www.vector.co.jp/soft/winnt/util/se161038.htmlITパスワードのパスワード変更ページでは、パスワードフィールドにコピーアンドペーストすることは出来ませんでしたので、PasswordCreatorで生成したパスワードを手動で入力します。本当はキーを打ちたくないので、コピペしたいのですが、そういう仕様であれば仕方がありません。私は自分の操作を再現される方が危険と考えるのですが、コピペでクリップボードに情報が入るほうが危険という考え方もあるので、この制限はそれはそれで理にかなっています。いうことで、パスワードを変更しました。いう手続ですので、私はITパスポートサイトのパスワードを覚えていません。これは最大のメリットです。パスワード再発行で一度サイトのパスワード管理の安全性を確認した方がいいところで、私は以前、パスワードの定期的更新は更新履歴からパスワード変更ルールを推測されるので危険、と主張しました。パスワードの定期的変更がセキュリティ対策として危険であることにGoogleとIPAは気づいているそれに対して、こういう反論がありました。サービス提供者側のパスワードはハッシュ化されているので漏洩してもルールは推測されない私は「パスワードを漏らす張本人はほとんどの場合隣人か本人」という考えをとっているので、本人側のパスワード操作が漏れてしまってはサービス側がハッシュ化していようが無意味と考えますが、確かに、パスワードがハッシュ化されていればルールの推測はされにくいでしょう。主張としては正しいと思います。本当にサービス提供者側でパスワードがハッシュ化されているか、試してみましょう。その確認手段として有効なのが「パスワード再発行」です。ITパスポートの場合は、仮パスワードがメールに記述されていました。ここで仮パスワードではなく、今使っているパスワードを全く暗号化せず平文通知してくるなら、そのサービスはパスワードをハッシュ化していないもしくはハッシュ化データと別の生データを格納していると確実に言えます。(逆は言えませんが)。いくつかのウェブサービスを試してみましたが、残念ながら、2015年の現時点でも、利用者が登録したパスワードを平文メールで返してくるセキュリティ意識の低いウェブサービスは存在します。いうサービスを使わないに越したことはありませんが、使わざるを得ない、もしくはそこまでセキュリティに拘る必要がないのであれば、パスワード再発行による擬似二段階認証は安全性を確保するのに有効な手段になります。ログインパスワードをデタラメにすることが出来、ほかのサイトで利用されているパスワードの推測ができなくなるからです。確認メールが転送されたり盗聴されたりするリスクはあるのですが、被害に合うのはそのサイトに関してだけに限定されます。対策としてマシだといえるでしょう。結論:そんなに頻繁に使わないサイトなら、擬似二段階認証は結構安全パスワード再発行による擬似二段階認証ですが、正直煩雑です。GmailやTwitterなどのように頻繁に使うサイトでは使い勝手が格段に落ちます。手続きの内容によってはパスワードが平文メールで送られてくるので、安全性はやや落ちます。今回例にしたITパスワードのサイトのように、受験の時ぐらいしか使わない、一度合格したらまずアクセスすることのないようなサイトであれば、この擬似二段階認証で高い安全性が保てます。コストも掛かりません。最初に使うパスワードを覚える必要がないので本人からパスワードが漏洩することがありません。覚える必要がないということは本人の精神的安定につながります。一つ気にしなければならないのは、「再発行メールによるスパム」ですが、再発行を促すだけならウザったいだけですし、スパムアクセスだと認定されれば運用主体であるIPAが対応してくれるでしょう。ITパスポートは現時点では確かに一度合格したらまずアクセスすることのないようなサイトですが、これは数年後には変化するような気がします。TOEICのように、何度も受験する意味がある試験にかわる、そう推測しています。その時にはもしかしたら今とは違う認証形式になっているかもしれません。ネットワークスペシャリスト。