セキュリティ強化に向けた選択

「パスワードのない世界」でクラウドを守る――注目されるオープン規格（1/2 ページ）

パスワードによるユーザー認証は、多くの問題に見舞われた長い歴史がある。本稿ではセキュリティの専門家が、クラウドでのユーザー認証にまつわる悩みが各種のオープン規格によってどう解決できるのかを解説する。

公開 2015年09月16日 12時01分

著者

Rob Shapland

[TechTarget]

印刷する

FIDO公式サイト《クリックで拡大》

　クラウドサービスは企業にとって評判の良い効果的な選択肢であることが実証されている。だが、人気が高まるにつれて、クラウドサービスがハッカーの標的になることも増えている。

　多くのクラウドサービスプロバイダーは、ユーザー名とパスワードの組み合わせを利用してユーザーを認証している。これは、他のサービスでも同様だ。この方法の問題点は、無防備なユーザーがフィッシング攻撃の標的になりやすいことである。

併せて読みたいお薦め記事

パスワードのない世界

クラウドのセキュリティ

パスワードによる認証はもう限界

　筆者がセキュリティの専門家としてフィッシング攻撃のテストを行ったとき、テスト対象となった従業員の約半数がフィッシングメールの指示に従い、知らないうちに自分のユーザー名とパスワードを明かしてしまうことが判明した。たった1人のユーザーがフィッシング攻撃にだまされるだけで大規模な損害が生じることは言うまでもない。そのユーザーがクラウド管理コンソールへのアクセス権を持っている場合は、特に損害が大きくなる。

　クラウドでのユーザー認証のセキュリティを強化するために、クラウドサービスプロバイダーはクラウドでのオープン認証規格の使用を支持している。例えば、米FIDO Allianceの「Fast IDentity Online（FIDO）」、米OASISの「Security Assertion Markup Language（SAML）」、米OpenID Foundationの「OpenID」などだ。これらの規格ではパスワードだけを頼りにすることはなく、パスワードなしの認証（生体認証など）や2要素認証（USBドングルをPCに接続するなど）を用いる。

　最近、パスワードに関する深刻なハッキングについて耳にしない週はほとんどない。セキュリティ侵害の突破口として貧弱なパスワードを悪用するか、インターネット上のパスワードデータベースをハッキングして中身を公開するか、いずれかの事案が毎週のように発生している。クラウドのセキュリティでは、膨大な量のユーザーデータの安全を確保することが最重要事項なので、上述の新しいオープンな認証方式は大いに役立つ可能性がある。

クラウドでのオープン認証規格の仕組み

　FIDOは認証専用の規格だ。FIDO最大のメリットは公開鍵暗号を利用していることにある。つまり、ユーザー認証の詳細情報がアプリケーションで保存されることもなければ、パスワードがサーバに送信されるように認証の詳細が送信されることもない。生体認証データはデバイス上にとどまり、サーバに保存されることはない。このメリットは過小評価すべきではないだろう。このメリットのおかげで、パスワードを標的にした重大な攻撃が途中で停止するのだから。例えば、サーバのデータベースをハッキングしてパスワードを吐き出させるような攻撃はこれで阻止できる。

　SAMLは、通信にXMLを使用する異なるシステムだ。XMLを使用すると、任意のシステムと連係するように構成できる。SAMLは、一元管理されたストレージシステムを使用して資格情報を格納している。この仕組みにより、ハッカーが資格情報へのアクセスを得る機会は減少し、より簡単にシングルサインオン（SSO）機能を実現することができる。一方、OpenIDは一元管理された規格だ。OpenIDでは、ユーザーが中央システムに登録すると、OpenIDをサポートしている任意のWebサイトでユーザーの認証が可能になる。OpenIDのメリットは使いやすさである。そのため採用される機会は比較的多い。これはまた、Webサイトが自前で認証メカニズムを構築する必要がなくなることも意味する（自前で構築した認証メカニズムは貧弱な場合が多い）。

次ページへ MicrosoftやGoogleも支持