見出し画像

セキュリティは守れない 三種統合認証(本人/機器/環境)が究極 パスワードは最早無意味になりつつある現実 当たり前過ぎて意識しなくなっていること

無力感だけが残る現実…

 本人を認証する手段としてのパスワード。10億件のパスワードが盗まれ、10ドルで販売中されていると言う現実…

 三種統合認証ってのが究極でこれしか無い。

本人認証 マルチバイオメトリックス
機器認証 TPMで公開鍵暗号・共通鍵暗号管理
環境認証 ホワイトリストで機器の内部のソフト管理

(これをセキュアなハードウェアたるTPMで管理)

一部人工知能に補足させますね。

本人認証

本人認証とは、組織やサービスに対して、その人が本人であることを証明するための手続きです。経済的・法的行為の入り口となるもので、権利義務の主体の確定にかかわる分野で適用されます。

本人認証には、次のような方法があります。

生体情報(顔認識、指紋スキャンなど)

ID文書(運転免許証、マイナンバーカードなど)

ナレッジベース(社会保障番号、誕生日、出生地など)

ワンタイムパスワード(電話番号や電子メールアドレスに送信されるコード)

本人認証は、クレジットカードの不正利用やなりすましを防ぐために利用されています。

クレジットカードの本人認証サービスには、次のようなものがあります。

3Dセキュア

Mastercard SecureCode

VISA認証サービス

J/Secure™

SafeKey(アメリカン・エキスプレス・セーフキー)

ProtectBuy(プロテクト・バイ)

バイオメトリックス

バイオメトリクス(Biometrics)とは、生物個体の固有の身体的または行動的特徴を用いて個人を認証する技術です。生体認証とも呼ばれ、顔や指紋、声、静脈など、さまざまな身体的特徴を認証に利用します。

バイオメトリクスは、パスワードやPINコードと比較してセキュリティが高く、なりすましが困難なため、金融機関や空港、コンサート会場など、高度なセキュリティが求められる場面でよく利用されています。

バイオメトリクスの代表的な例としては、次のようなものがあります。指紋認証、顔認証、音声認証、静脈認証、 虹彩認証。

バイオメトリクスは、物理的な鍵を持ち歩く必要がないため、紛失の心配もありません。また、非接触式の認証方式であれば、衛生面での抵抗を下げられるという利点もあります。

マルチバイオメトリックス
(マルチモーダルバイオメトリックス)

マルチバイオメトリクスとは、富士通が開発している複数のバイオメトリクス認証技術を組み合わせた認証システムです。指紋や声紋、顔、手のひら静脈などのバイオメトリクス(生体情報)を利用して、ユーザー認証を行います。

マルチバイオメトリクス認証システムでは、ユーザーや企業の好みや使い勝手で、使用するバイオメトリクスを選択できます。

例えば富士通さんのマルチバイオメトリクス認証技術としては、次のようなものがあります。

  • マスク着用時でも本人確認が可能な非接触な生体認証

  • 手のひら静脈認証センサーのユーザーインターフェースを改善し、使い勝手を向上させた認証技術

  • センサーに手のひらをかざす動作によって得られる静脈パターンを利用する非接触な認証技術

生体認証(バイオメトリクス認証)は、顔や指紋、声、静脈など本人を特定できる情報を事前にシステムへ登録しておき、本人が持つ身体的特徴と一致するかどうかを照合して認証します。

 因みに日立さんの説明もウェブから引用しますね。
 
顔、指紋、指静脈など、複数の生体情報を用いてユーザを判定する生体認証技術のこと。 複数の生体情報の照合結果を融合して判定するため、一つの生体情報だけを使って判定する場合より認証精度を高めることができる。


機器認証

機器認証とは、機器が正しい機器であることを確認するシステムです。機器認証によって、危険や誤動作、偽造品による被害を防止することができます。

機器認証の例としては、次のようなものがあります。スマートフォンやタブレットなどの端末認証、プルーフ機器の認証、医療機器の認証、 カメラの機器認証。

機器認証では、機器固有の値を用いて、その機器がなりすましではないことを確認します。認証には、パスワードや生体情報、暗号化技術などが用いられます。

機器認証の目的は、次のとおりです。

危険や誤動作を防止する

偽造品による被害を防ぐ

端末内に保存されているデータを保護する

端末の悪用による金銭的な損失やなりすましなどの被害を防ぐ

環境認証

 これは人工知能でも難しい様ですので私が簡単に…

環境認証とは、情報端末が正しいソフトウエア構成になって居ること(環境)を確認する為のホワイトリストと比較することでその健全性を担保するものです。

ホワイトリスト

ホワイトリストとは、安全な対象を定義したリストで、セキュリティ対策として利用されます。ホワイトリストに登録されている対象のみがアクセスや実行を許可されるため、未承認のアクセスや不正なプログラムを排除することができます。

ホワイトリストの活用例としては、次のようなものがあります。

Webフィルタリングによるマルウェア対策

USBメモリ経由のマルウェア感染防止

メールや電話の着信・受信を許可する対象の指定

暗号資産を取り扱う国内取引所の登録制

ホワイトリスト方式のメリットは、高いレベルで組織のセキュリティを維持できることです。一方、デメリットとしては、制限の度合いが高い点や、リストの生成に時間や工数が割かれる点が挙げられます。

ホワイトリストと似た言葉に「ブラックリスト」がありますが、これはあらかじめ危険な対象をリストに定義し、それらのアクセスや実行を禁止する手法です。


これしか2000年頃から無いとずっとTCG

を介し、理事何かも送り出して普及させてきましたが… まぁ情報セキュリティへのリテラシーの有無が採用の分水嶺ですね。

 それでも最近TPMが標準搭載される様になってやっと時代が追い付いて来た感覚です。

これもインテルさんの例を人工知能に説明させますね。

インテル TPM

インテル TPM(トラステッド・プラットフォーム・モジュール)は、インテルのコンピューターに搭載されているセキュリティ技術です。暗号化アルゴリズムや鍵生成器、乱数生成器などを備え、パスワードや証明書、指紋などの重要な情報を安全に保管します。

TPM の主な機能は次のとおりです。

ハードウェアレベルの保護を提供する

マルウェアやサイバー攻撃から PC を保護する

プラットフォーム認証を可能にする

暗号化キーやセキュリティ証明書などを生成する

TPM 2.0 は、Windows 11 を実行するために必要です。

TPM 2.0 を搭載しているかどうかは、マザーボードによって異なります。また、製造元によってファームウェアでオフになっている可能性もあります。

TPM 2.0 を有効にするには、マザーボードの UEFI(BIOS)設定画面で、Intel Platform Trust Technology(Intel PTT)の項目を有効にする必要があります。

と言うことで、老兵としては只管(ひたすら)今後に期待するばかりです。



経緯

………………………………………………………………………………………

 アマゾンを語るメールが私のスマホの受信模ボックスに…
偶々プライム会員の契約を変更した直後だったのです。
 夫婦共々プライム会員でした。しかし私はプライムビデオを使う訳でもなく単純に迅速な配達と送料のメリット享受のみの利用。完全年金生活になったのを期に、吾妹もプライム会員の家族会員としたのでした。

 その直後、プライム会員の契約変更に伴う個人情報のアップデートを促すメールと云う偶然のタイミング。しかも発信アドレスは裸のアドレスではなく「アマゾン」と変換されて居たので素直に信じてしまいました。
 メールを開いて全文を読み、怪しさを感ぜずURLをクリック。氏名と住所と電話番号まで入れてやっと違和感… 覚醒しました。魔が差した事に気付いたのでした。勿論即座に離脱。

閑話
 そもそも…
 始めての出会いは鉄鋼会社のサラリーマンになって界面解析の研究をしていた時のこと。何時もの様に事務所を出て、研究設備の有る実験棟の分析電子顕微鏡
(今は見違える程スマートですね~)

とその附属のX線分析装置

https://www.edax.co.jp/products/eds

https://www.edax.co.jp/

の電源を入れたのでした。何時も通り日付を入力。
 時は1980年代中頃のクリスマスイブ。グリーンモニターのブラウン管が明るくなり画面が立ち上がると何とクリスマス・ツリーが画面一杯に…
 海外の方の洒落たプログラミングにほっこりしたのでした…

 この手の悪戯が私の知っているハッカーとの出会いかなぁ…

 お次はイスラエルに駐在していた時。総合商社さんのテルアビブオフィスを間借りしての駐在事務所開設。当時、最軽量だったソニーのVAIOを開いてメールチェック。日本イスラエル商工会議所と所長でもある商社さんの方の日本からのメールに添付ファイルが。普通に信用して開けたら画面一杯に何と花火が…
 中々洒落てるなとお電話したら、
それはウイルスです。ごめんなさい。
とのこと。

 そして最近パソコンにセキュリティソフトで駆除できない危険なファイルをバッチで手動駆除したばかり。

 3度目。

閑話休題

 そしてそのパソコンセキュリティソフトで駆除できないファイルのバッチ処理の2日後の今回だったのでした。(笑)

 4度目が立て続けに…

 キャリアさんのメールフィルタリングサービスを最強にして、良くメールが届かないと言われる不便を甘受していたのに、何とそれをかい潜ってフィッシングメールが受信ボックスに入ってきたのでした。

アドレスも,co.jp
でも調べたらFishingメール

しかも何と今日も別のメールアドレスで同一内容のメールが…

 勿論即座に通報し、かつ削除しました。

 話は戻って魔が差した後直ぐにセキュリティソフトから警告が届きました。

覆水盆に返らず

我が身の不手際を悔やむばかりです。

今後気をつけるしか術がないのが現実と言う何とも情けないオチ…

お粗末(笑)

………………………………………………………………………………………

経緯

 みずほ銀行のスマートフォンのアプリなどから利用するサービス「みずほダイレクト」を利用していたら、つながりにくい状態でした。暫くするとやっぱり…
という話。

 余りにもタイムリーな上に、昨日取り上げた「DDoS(ディードス)攻撃」が原因とみられるということで…

 具体的にはこんな感じ…

出典

 日テレさんはもっと突っ込んでこんな書きっぷり…

 「DDoS(ディードス)攻撃」が原因とみられるというとまで…

 銀行さんとしては仔細を一般に公開する義務は無いので表に出るのは此処までの情報なのでしょうけど… 

 これ、散発的に行われてぃすが、何れ同時多発的にやられる日が来ると思われるわけでその時が怖いですよね。リアル世界の有事に重ねられて、サイバーでも混乱させられると言うことなんでしょうけど…

 因みにみずほ銀行さん、日本興業銀行・第一勧業銀行・富士銀行の経営統合で生まれていて、3行独自のシステムの統合の難しさをずっと味わわれて居るとお見受けします。

 一般的に早期にシステ化している企業程古いシステムのソフトウェア資産がスパゲッティ状態になっていて手に負えない… 製造業なんてその典型で、そのノウハウを活かして前向きにそのノウハウを外販するシステム会社迄を作っちゃうなんてノリも散見されます。

 製造業の世界の例の様に、社内のシステムの保守でも苦労するのに、3社を統合するというのは最早神業ですよね~。

 今回、被害に遭われたみずほ銀行さんの例ではシステムだけの問題じゃない様ですが…

 このDDoS攻撃をみずほ銀行さんの様な一般に公開しているサービスでは防ぐのは難しい。

ご参考

DDoS攻撃とは? 意味と読み方、対策方法 | NTTコミュニケーションズ 法人のお客さま

 ですからまして有事に社会全体を相手に同時多発的にやられたら… と思うと… 杞憂とは言えない世界ですよね。

 という事で

情報機器のセキュリティはできる限りの事は尽くす少なくとも公知の怪しいサービスは使わない

のが大人のお作法

というのは、せめてもの対策なんでしょうね。

 今年を振り返ると、私の経験から実感できる本当に不味いことがアバランシェの様に起こった年という感じです。
 天災に加え、欧州や中東での武力を用いた一方的な現状変更、国内ではハング・パーラメントと人災が続きました。少し無力感を感じちゃいますが…

 その1つ情報セキュリティについても矢張り無力感が…

………………………………………………………………………………………

 既報でお示しした大人のお作法。
再掲しますが…

情報機器のセキュリティはできる限りの事は尽くす
少なくとも公知の怪しいサービスは使わない

のが大人のお作法

 ネットワーク経由でのサービスを享受する限り悪意あるハッカーや海外の諜報機関は最早やりたい放題で狙われたら最早素人では打つ手無しです。まぁ、公知の情報になっている事だけでも…国の機関ですら(日本どころか米国までも)情報を抜き取られたりされていますので…

唯一ネットワークに情報機器を繋がないと言うのは有りです。

唯一ネットワークに情報機器を繋がないと言うのは有りです。

 という展開と… その締めで

超蛇足

 AI駆使してファイアウォールなんかも楽々越えられちゃうんで無力感が有ります。まじでネットワークに繋がないしか無い。と言っても既に情報ダダ漏れですから終わっちゃってますかね…

と結ばさせて頂きました。

 その辺の話か良くまとまった報道が出ましたのでご紹介します。特に国というレベルでの活動という大きな話…

“ネットワーク経由でのサービスを享受する限り悪意あるハッカーや海外の諜報機関は最早やりたい放題で狙われたら最早素人では打つ手無しです。まぁ、公知の情報になっている事だけでも…国の機関ですら(日本どころか米国までも)情報を抜き取られたりされていますので…

唯一ネットワークに情報機器を繋がないと言うのは有りです。“

というのが実感出来る内容だと思います。

公知の怪しいサービスも実名がでてますし…

私は、実名を開示出来る立場に有りませんが、此方の内容は公知という扱いになって居るので気が楽です。

まぁ、この情報は正に氷山の一角で、私企業さんでもある程度は纏めていて、例えばこんな感じ…

NHKさんもこんな感じで

こちらですらその意味で氷山の一角。

 此処まで来てしまうと無力感しか無いというのも実感として共有頂けるかと思います。

 Again, だからこそ、そうは言っても…

情報機器のセキュリティはできる限りの事は尽くす少なくとも公知の怪しいサービスは使わない

のが大人のお作法

というオチなんです。

蛇足
 無力感を認識していますが、少なくとも出来ることはするという意味で、発信する事は諦めていません。


 



いいなと思ったら応援しよう!

この記事が参加している募集