Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。不正アクセスセキュリティ記事Weeklyレビューフォックスエスタ(私設研究所)プロフィール2018-02-18秘密の質問は回答を間違えた方が良い?つぶやいてみた。Lifehackerの1月17日記事に、パスワードを忘れた際の秘密の質問に対する内容がありました。www.lifehacker.jpこのテーマは繰り返し見てきた気がするのですが、秘密のパスワードなるものが大体において「自分で設定できない選択式である」事から派生している問題と、「設定した事を忘れている」問題からくるのではないでしょうか。後者であれば、良くありがちなのが・・・パスワードを忘れた上に、秘密の質問に対する答えまで忘れてしまうケース。日本を代表する開拓者グループ「TOKIO」の国分さんもひどい目にあってきたようです。www.rbbtoday.com「昔の犬の名前は?」という設問にしたのに答えを忘れてしまうことを明かした。するとオリエンタルラジオ・中田敦彦も「自分自身に結構な難問出しちゃう。(RBBTODAY記事より引用)更に古くに設定した秘密の質問だと、答えが「ひらがな」・「カタカナ」・「アルファベット」を間違えただけでも正解にたどり着けないケースもあり(せきゅりてぃ、セキュリティ、security)、自分の過去の行動パターンを思い浮かべながら・・・試行回数全てを間違った事は私もあります。一方で前者は、SNSの普及と共にリスクが上がってきています。2014年にハリウッドセレブのiCloudからプライベート写真が流出したケースでは、一部は「秘密の質問」が破られた事が原因だとされています。nlab.itmedia.co.jpよくありがちな、「秘密の質問」として挙げられるのが、「母親の旧姓は?」といった質問ですが、例えばFacebookの友達つながりで母親を探し、旧友との会話が除ければ容易に旧姓を知れてしまう場合もありますし、上記のような著名人であればタレント名鑑的なものだけでなくても、公表されているプロフィールや関連記事を丹念に探せば、答えにたどり着けてしまうかも知れません。お母さんの旧姓は出生地はペットの名前は初恋の人の名前は初めての海外旅行は卒業した小学校は卒業時の担任の先生は修学旅行で行った場所は思い出の場所は好きな食べ物は尊敬する人は初めて買った車は(某銀行の秘密の質問例)貴方がFacebookやTwitter等の使っているSNSのプロフィール欄にある卒業校情報、ペットの写真、同窓会の写真、恩師との会話のやりとり、車の写真、旅の情報・・・・ネット上にばら撒かれたSNSの個人情報をヒントに、もしかしたら秘密の質問への答えは推測できるという事はありませんでしょうか?あるいは会社の同僚や知人が、会話の中で、こうした質問への答えとなる情報を貴方が過去に与えていたとしたら、その同僚や知人が秘密の質問を破る可能性がありませんか?例えばアメリカだと、「好きな食べ物」の答えが「ピザ」である確率がかなり高いと(一説には20%以上とも)いわれています。先ほどの「母親の旧姓」に対する回答は日本だともう少し違う傾向があります。入れた際のヒット率が高いことです。(上位4苗字で約500万人の人口があります)つまり、秘密の質問に対して真面目に答える事が正しいとは言えなくなってきている状況なのです。した場合には一工夫する事が有効です。Lifehackerでは積極的に回答を「間違う」事を推奨していました。「母親の旧姓は?」と聞かれたら、母親が愛情表現に使っていたイラッとする言葉でも何でもいいので、好きな答えをつくり出しましょう。検索できない答えであれば、間違った答えをつくり出すことで、セキュリティを保つことができます。(Lifehacker記事より引用)例えば「出生地」の秘密の質問に対し、地名以外の回答、例えば「ハンバーグステーキ」と答える事によって、攻撃側が仮に貴方のSNSから(本当の)出生地が「広島」だと知ったとしても、秘密の質問を突破できない状況を作り出すことができます。言え、自分でもこの組み合わせを覚えてられなくなると、本人も認証に失敗してしまう事になるので、更に工夫が必要となります。Twitter上では先人達が創意工夫された回答例を出してらっしゃいました。「北斗の拳のラオウ」を知ってらっしゃる方であれば、こうした「台詞」をベースにした回答も有効だと思いますが、コールセンターにてオペレータに話す際には色々と面倒な(恥ずかしい)事が起こるようです。困った時のIPAさんですが、ずいぶん前に推奨案を出されてました。www.ipa.go.jp標準回答+自分の固定共通フレーズ、という考え方。これも固定共通フレーズを1つだけ覚えておけば良いので便利そうです。他のやり方で、(ここを攻撃者が見てない前提ですが)有効だろうと思うのは、同じ答えを繰り返すやり方です。「母親の旧姓」→「山田やまだ」という様な組み合わせです。同じ回答ではありますが、漢字からひらがな、というパターンだけ覚えておけば、回答の字数制限にひっかからないように気をつけるだけで、攻撃者の総当り攻撃がヒットする確率も減りますし、SNSから回答を類推されても強度は強いかと思います。「山田#やまだ」と、記号も入れる事で更に強度は増します。この位ならパターンを覚えておくのも大丈夫でしたらお勧めです。結局のところ・・・秘密の質問というセキュリティ手段も、パスワードと同じ課題を抱えているのかも知れません。「覚えやすい」けれど「強度がある」という課題を。Tumblr関連記事2021-08-01アンケートに気軽に答えてはいけない2018年にFacebookユーザの個人情報約5,000万件を不正窃取したケ...2021-07-02アメリカ人の約4割は恥ずかしいパスワードを使っているなかなか面白い調査データが公表されていました。J-CISPの資料がおもしろい。(470)調べてみた。(306)つぶやいてみた。(261)まとめてみた。)はてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。