兵庫WEB制作.com

【シリーズ:セキュリティ】パスワード認証について

2018年5月30日

ユーザID(ユーザ名)とパスワードを組み合わせて行う認証がパスワード認証です。

ネットワーク上で、パスワードをそのまま送信すると盗聴される恐れがあり、通信経路を通るデータを盗聴されても不正にアクセスされないように、いくつか対策があります。

情報セキュリティの基礎

パスワードをネットワーク上で送信する方法

1.平文で送信

パスワードをそのままネットワーク上に流す方法で、盗聴される危険はあるものの、メールの送受信などはいまだに使われていることがあります。

2.読めなくして送信

チャレンジレスポンシブ方式を用います。(後述)

3.毎度変更する方法

ワンタイムパスワード方式で、パスワードを毎回変更する方法です。(後述)

4.送る経路を暗号化

送る経路を暗号化して送る方法です。

パスワード認証

チャレンジレスポンシブ方式

前述の、パスワードを読めなくして送信する方法に、チャレンジレスポンシブ方式というものがあります。

認証場所(サーバ)が毎回異なる情報(チャレンジ)を被認証者(ユーザ)に送る方式で、毎回異なる情報(チャレンジ)は、乱数や時刻を使用して、適当に決められます。

被認証者(ユーザ)は、毎回異なる情報(チャレンジ)にパスワードを加えて演算した結果(レスポンス)を返し、認証場所(サーバ)では、毎回異なる情報(チャレンジ)と結果(レスポンス)を比較し、認証の可否を決定します。

ワンタイムパスワード

ネットワーク上に流れるパスワードを毎度変える方法を、ワンタイムパスワードといいます。

代表的な手法が、以下2つになります。

1.セキュリティトークン

物理的に認証の助けとなるデバイスを、トークン(セキュリティトークン)といいます。

認証サーバと時刻同期したワンタイムパスワードを、トークンの表示部に表示し、認証の助けをします。

2.S/Key

ハッシュ関数(※)というものを利用して、ワンタイムパスワードを生成します。

乱数で作られた種(シード)を基に、ハッシュ関数(※)で必要な回数の演算が行われます。

※ハッシュ関数については別記事に記載する予定です。
 ここでは、入力した値に対して、まったく別の値が出力されるという暗号方式という程度の認識でよいかと思います。

【ホームページの制作・更新・運用】お困りのことがあればご相談ください

カテゴリ

最新コラム

Facebook TWITTER LINE