ユーザー名とパスワードを分散化
クラックするのは14万倍難しい、新パスワード暗号化方式
パスワードの流出事故は後を絶たない。だがTide Foundationが発表した暗号化メカニズムを使えば、流出したパスワードが悪用されるのを防げるかもしれない。少なくとも従来のハッシュよりは強力だ。
非営利団体Tide Foundationが暗号化のセキュリティメカニズムを発表した。同団体によると、パスワードクラックを14万倍難しくするという。
このメカニズムは「splintering」(分化)と呼ばれている。これは、先例のないレベルの保護実現を目的に、分散技術を用いてユーザー名とパスワードを小さな要素に分解するという、他に例のない暗号化方式だ。
この方式によってsplinteringしたパスワードを完全に復元するのは「途方もなく」困難になるとしている。リバースエンジニアリングやブルートフォース攻撃など、数多くの手口を駆使しても困難なことは言うまでもない。
このメカニズムを正式にリリースする前に、splinteringしたパスワードをクラッキングできるかどうかの戦いをハッカーに挑んだ。成功すれば1ビットコイン(約8500ポンド)の報奨金と、勝ち誇る権利を与えるとした。
3カ月間に650万回以上クラッキングが試みられたが、誰も成功していない。
Tide Foundationはエンジニアチームと起業家で構成され、包括的な技術インフラを開発している。その設立目的は、パスワードのクラッキングを数百万倍難しくすることだけではない。個人データの管理を一般消費者の手に取り戻し、さまざまな保護機会を作り出すことだ。
このアプローチは、ビットコインの秘密鍵に近いセキュリティレベルでユーザー名とパスワードによる認証を可能にする。しかも、使い慣れたユーザー名とパスワードの操作性が変わることはない。
企業から見れば、任意のWebサイトのユーザーインタフェースにこの認証方式を統合できるというのがTide Foundationの見解だ。
Tide Foundationのエンジニアは、この手法を集中的な研究プロジェクトで検証している。この検証には、以前の攻撃で流出したLinkedInの6000万件の資格情報が利用された。エンジニアチームは、この検証でsplinteringメカニズムを導入すると、辞書攻撃による侵害の確率が100%から0.00072%に低下することを確認した。
「LinkedInから流出したユーザー名とパスワードのデータベースはハッシュ化され、ソルト化(訳注)されていたが、闇市場に出回ったときには6000万件のパスワード全てがクラックされていた」と話すのは、暗号化の専門家で、同社のアドバイザーを務めるウィリー・スシロ氏だ。
訳注:パスワードなどをハッシュ化する際に加えるランダムなデータ。
「これに対してTide Foundationのアルゴリズムは非常に強力で、脆弱(ぜいじゃく)性はかなり少ない。当チームは、このアルゴリズムが個人データのセキュリティを桁違いに強化することを期待している」(スシロ氏)
Tide Foundationの共同創立者であるドミニク・バリャドリッド氏によると、Tide Protocolは「持続可能な個人データのエコシステム」に力を与えるグローバルスタンダードになることを目的としているという。
「Tide Protocolは企業がプライバシーのコンプライアンスを維持し、データ侵害によってもたらされるリスクを軽減し、顧客からの信頼を高めて優れたビジネスを行うのを助けるだろう」(バリャドリッド氏)
「データを収集する企業は、アクセスが許可され、関連性が高く、モチベーションの高い対象者にアクセスすることが可能になる。最も重要なのは、一般消費者が自身のデータと、そのデータにアクセスするユーザーやツールとそのデータにアクセスする理由を管理し、データの取引に合意した場合はそのデータを収益化できる形で共有できるようにすることだ」(バリャドリッド氏)
Tide Foundationの諮問委員会と運営委員会は、グローバルメディア企業、金融業界、政界のリーダー、暗号学の世界的に有名な学者、経験豊富な起業家による設立チームで構成され、個人データの力と所有権に大きな変化をもたらすことを目的としている。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly日本語版
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[AvePoint Japan株式会社] SCS評価制度の死角は“SaaSの中” クラウド標準機能では届かない領域とは? -
製品資料
[デジタルサーカス株式会社] 5分で分かる、「オープンソースCMS」比較ガイド -
製品資料
[デジタルサーカス株式会社] 1つのアプリを各国で運用 多言語モバイルアプリを簡単に開発・導入できる方法 -
製品資料
[ニュータニックス・ジャパン合同会社] 複雑化するKubernetes運用、VMとコンテナの二重管理を解消する方法は? -
市場調査・トレンド
[アルプス システム インテグレーション株式会社] 急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要?
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
2
米国防総省で300万人分の個人情報が流出 その「意外な原因」と教訓
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
PHPはそもそも必要か? 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
5
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
6
金融・通信で情報漏えいが続出 IPAとJPCERT/CCが情シスに求める緊急点検
-
7
「年1回の外部診断」が限界に 大手小売が脆弱性管理を内製化・一元化した方法
-
8
京王電鉄・東京メトロの被害から学ぶ境界防衛 ITの侵害はどこまで波及するか
-
9
PHP2Shellの「事前の情報流出」でパニックに パッチ公開を巡る“混乱劇”
-
10
Googleの業務向けAIエージェント「Gemini Agent」が登場 しかし課題は山積み
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する? 超速の攻撃からエンドポイントを保護する方法
-
2
最速72分でデータが流出? 最新の脅威トレンドや侵入手法から分かった防衛策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
2026年のサイバーセキュリティには何が必要か? 最新データに学ぶ傾向と対策
-
5
「IT史に名を残すシステム障害」8選
-
6
「EDR」選定ガイド:比較・検討フェーズで整理すべきポイントを解説
-
7
10G回線の真価をフルに享受するには? 導入前にチェックしたいポイント
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ?
-
9
MDMだけでは防げない? Appleデバイスに潜む5つのセキュリティギャップ
-
10
なぜRPA導入は頓挫する? シナリオ作成の壁を乗り越える解決策とは
TechTargetジャパン SNS
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー