DX時代に必要なセキュリティの知識～認証編～
•Download as PPTX, PDF•
0 likes•108 views
DXの阻害要因の上位課題にあげられるセキュリティ。昨今も移行期において様々な問題が起きています。 システム管理者としても利用者としても、セキュリティについての理解を深めておきましょう。今回は初歩的な認証の話。 みんな、そんなにメンドクサくないんだから、二段階認証しようよ！
Recommended
More Related Content
More from kojirokishi
Recently uploaded
Recently uploaded (9)
DX時代に必要なセキュリティの知識～認証編～
- 7. 認証とは何か？ざっくり言うと… ● ざっくり言うと ○ その人であると確かめるのが認証 ○ その人がやって良いことか確かめて許可するのが認可 ● 元々は２個イチで考えられてたけど、最近は他の人（システム）が認証してく れて、その結果を以て許可をすることも多くなってきました 例）Googleアカウントで認証して、ゲームを楽しむなど OK! いらっしゃ いませ。 〇〇さん。
- 9. 認証の種類 ● 何かしらの対面窓口業務 免許証を出して「実物」で「写真の顔」などで認証 ● 銀行のATM キャッシュカードの「実物」と「暗証番号（4ケタ）」で認証 ※認証とは異なりますが、ICカードにより偽造防止もやってます ● インターネットのサイト 「アカウント」と「パスワード」で認証 ※メールアドレスの存在確認が認証の一部として使われることもありますが、 明確な認証とはならないでしょう（存在確認としてはあり） ● 金融やインフラ関連のサイト 「アカウント」と「パスワード」とSMS等の「ワンタイムパスワード」で認証 ※OTPはSMS、OTPアプリ、ハードウェアキーなどがあります
- 10. 認証の種類 ● 何かしらの対面窓口 免許証を出して「実物」で「写真の顔」などで認証 ● 銀行のATM キャッシュカードの「実物」と「暗証番号（4ケタ）」で認証 ※認証とは異なりますが、ICカードにより偽造防止もやってます ● インターネットのサイト 「アカウント」と「パスワード」で認証 ※メールアドレスの存在確認が認証の一部として使われることもありますが、 明確な認証とはならないでしょう（存在確認としてはあり） ● 金融やインフラ関連のサイト 「アカウント」と「パスワード」とSMS等の「ワンタイムパスワード」で認証 ※OTPはSMS、OTPアプリ、ハードウェアキーなどがあります 従来のオフラインな認証 DX後のオンラインな認証
- 11. 認証の種類 ● 何かしらの対面窓口 免許証を出して「実物」で「写真の顔」などで認証 ● 銀行のATM キャッシュカードの「実物」と「暗証番号（4ケタ）」で認証 ※認証とは異なりますが、ICカードにより偽造防止もやってます ● インターネットのサイト 「アカウント」と「パスワード」で認証 ※メールアドレスの存在確認が認証の一部として使われることもありますが、 明確な認証とはならないでしょう（存在確認としてはあり） ● 金融やインフラ関連のサイト 「アカウント」と「パスワード」とSMS等の「ワンタイムパスワード」で認証 ※OTPはSMS、OTPアプリ、ハードウェアキーなどがあります 従来のオフラインな認証 対面なので実物があり、顔認証や４ケタの暗証番号という 脆弱な要素やチェック方法でもある程度セキュリティが保たれる
- 12. 認証の種類 ● 何かしらの対面窓口 免許証を出して「実物」で「写真の顔」などで認証 ● 銀行のATM キャッシュカードの「実物」と「暗証番号（4ケタ）」で認証 ※認証とは異なりますが、ICカードにより偽造防止もやってます ● インターネットのサイト 「アカウント」と「パスワード」で認証 ※メールアドレスの存在確認が認証の一部として使われることもありますが、 明確な認証とはならないでしょう（存在確認としてはあり） ● 金融やインフラ関連のサイト 「アカウント」と「パスワード」とSMS等の「ワンタイムパスワード」で認証 ※OTPはSMS、OTPアプリ、ハードウェアキーなどがあります オンライン処理になり、またセンシティブ情報取り扱いが増えたこと で、多要素認証などで情報源の確からしさを確認する必要性が高まっ た
- 14. 参考 ● セキュリティ強化するには暗号化暗号化～と聴きますが、通信の暗号化と情報 の暗号化があり、何に対する対策なのかは意識しておきましょう ファイルを暗号化して、盗ま れても開けないように 通信している内容を暗号化しやり とり内容が読まれないように もちろん保持中も 暗号化 データ入手したけ ど見れない(T .T) 何やりとりしてる かわからない(T .T) 門番がしっかりし てて入れない(T .T) 内部犯行も取り出 せない(T .T) マルウェアで暗号化 前の情報見よう(^ v^) 無理して見る必要 もないわな(^ v^) 接続元を詐称すれ ば入れるぜ(^ v^) 標的型攻撃＆フィッシン グで内部から崩そ(^ v^)
- 18. 確からしさを高めるためにやってきたイタチごっこ ● 初期 ○ システム管理者： IDとパスワード自由に決めてね ○ 悪者： みんなパスワード「abcdef」とか「password」とかやし リストにして順番にクラックしたろ（リスト型、辞書型） ● みんなパスワード簡単すぎるわ！ちゃんとして！ ○ システム管理者： IDやパスワードは人に教えないように！ パスワードは8文字以上、複数の文字種で作って！ あと、定期的に変えて！ ○ 悪者： まぁ、特定の誰かじゃないなら無作為ランダムで大量に試したらええわ 総当たり攻撃（ブルートフォース）やぁ～、パスワード変えても関係ないし ● IDが公開情報やからパスワード総当たりされるんや！ ○ システム管理者： １IDに連続したエラーはロックかけるで！ ○ 悪者： ほんだらパスワード固定で総当たり（リバースブルートフォース）するわ ● 接続元ごとにアタックを見抜くんや！ ○ システム管理者： 接続元のIPが同一の場合、連続NGは遮断するで！ ○ 悪者： まぁ、プロキシ通したり、複数のIPからゆっくり攻撃させてもらいますわぁ ● 接続元の確からしさを高めるために多要素認証するんや！ ○ システム管理者： SMS認証やメールアドレス認証導入や！ ログイン画面 ユーザID PW しかし、現物 が仮想化され と、この方式 のであった…