2015年6月28日日曜日

Secure Quick Reliable Login

先日もBitCoinとイマイチ無関係な認証システムがBitCoin関連ニュースで紹介されていましたが、今度のはちょっと違う、かも?
SQRL Revolutionizing Web Site Login and Authentication
SQRLを実装したサイトに対しては、SQRLクライアントにマスターパスワードを入力するだけでログインすることができる、ようです。
SQRL
アルゴリズム的には256bitのハッシュと擬似乱数が仕込まれているということのようです。オープンソースなのでサイトへの実装も、独自クライアントの実装も可能のようです。

このシステムは2013年に提案されたのだそうですが、なぜ今になって取り上げられたのでしょう。そしてどうして現時点であまり普及していないのでしょう。

こういう記事が当時書かれていたりしますが、本質的な批判になっているのかな?
Debunking SQRL << Stack Exchange Blog
マスターパスワードを破られると全部破られる、というのはパスワード管理ツール(LastPassとか)と共通の問題だと思います。メールアドレスを使わないのでマスターパスワードをリカバーする手段がないというのは確かに問題かも、ですが、何かの手段を設ければいいだけにも聞こえます。

実際の現在の評価はどうなのでしょう。そしてBitCoin陣営ではどういう評価なのでしょうね。

2015年6月26日金曜日

Post-Quantum

量子コンピュータ実用化以降、暗号はどうなるのか。

「一年前にはVCは我々のことを笑って『お帰りください』という扱いだった」「しかし各社が量子コンピュータを作ると言い出している」「8ヶ月位前からもはや笑い事ではなくなってきた」

「バックドアじゃなくて、サイドドアを提供可能だ」(政府が好き勝手に暗号通信を覗き見できるのではなくて、然るべき手続きを経てコンセンサスがあるときだけ読み取ることが可能になる、ということらしい?)

いろいろ考えさせられることが書いてあります。原理がイマイチよく分からない…。
Post-Quantum Encryption No Longer A Laughing Matter
ちなみに文中、「McEliese」と書かれていますが、「McEliece」が正しいようです。
McEliece cryptosystem
それぞれが持っている部分鍵を持ち寄らないと解読できない、みたいなところは何となく分かるのですが。1人が全部の鍵を持っているから破られるのだ、というのも何となく分かる。

ちょっと気になる記事だったので取り上げてみました。

2015年6月21日日曜日

iOS9では2要素認証を標準装備、PINも6桁に。

Apple steps up security with native two-factor and 6-digit passcodes in iOS 9
むしろバージョン8まで何やってたんだって話だと思いますけどね。

先日のTouchIDの話も含めてAppleの意識ってちょっとズレてる気がするのですよね。

まあそれを言い出すと、セキュリティを真剣に考えている会社ってどこにあるんだろうという気はするのですよね。セキュリティを食い物にしている会社はたくさんあるんですけど…。

2015年6月2日火曜日

行動パターン認証と言えば…

たった今テレビでやっていましたが、JINS MEMEを掛けて歩くと「歩き方の癖」が判定できて「矯正」できるそうです。

その他コンディション判定などいろいろなことに使えそう、ということで考えられているようです。

矯正、というか、バランスとか健康とかの方向に話が行ってしまいがちになるのは何となく分かるのですが、

考えてみるとこちらを端末の代わりに情報収集に使ってProject Abucus相当のことをやってしまえば電池の消耗も気にしなくてよいし、いいんではないかな。

まあいずれにしてもこういうのは増えていくのだと思います。突破される確率はかなり低いと思うので案外普及するのは早いかもしれませんね。少なくとも指紋センサなんかよりは有望な気がします。

2015年6月1日月曜日

究極の行動パターン認証

 個人的に、これは予想の範囲内でした。
Google、パスワード入力を無用にする新プロジェクト「Project Abacus」を発表
端末で日常的に集めたデータを使って「本人っぽい行動」かどうかを判定するというもののようです。行動パターン認証をもっと緻密に精密にやりましょうという話ですね。

高確率で正しく判定できるようにするにはどれくらいのデータを集めればいいのか、というのを考えてみると面白そうです。1人ビッグデータというか1人ディープラーニングというか。まあ確かにできそうな気がします。なまじっかな生体認証とかより精度が高そうな気もしますし、破りにくそうというのはすぐに分かる感じです。何が決め手で本人と判定しているのかが外から見て多分分からないはずなので。それでも偶然に誤まって認証成功してしまうことはありそうですが、それを有効に攻撃に使える攻撃者はいないだろうな、とは思います。

問題はやはり誤って認証失敗してしまった場合でしょう。落ち着いてやり直せば認証成功するというものではないですからね。その時のために代替認証手段を用意する、と、やってしまうと、つまりはせっかくの高度な認証システムを迂回できてしまうことになって、意味がありません。そこをどうするのかがちょっと注目ですね。

ちなみに、日常的に大量のデータを集めるために電池の消耗が激しくなってしまうらしい。まあ、そこまでも予想の範囲内。やれやれだぜ。

2015年5月31日日曜日

進化したDaS、もしくはセキュアジェスチャーテクノロジー

ロッキード・マーチンというと「あの」ロッキード事件の会社という印象ですね。今は旅客機は作ってなくて軍事用に特化しているようです。で、IT関連技術部門があって、そこが提供しているのがMandrake Secure Gesture Technologyだそうな。
Is swipe technology the future of authentication? -- GCN 
簡単に言うと、Draw-a-Secretの進化版。もうちょっと複雑化したもの。という感じですね。確かに精度を高めればセキュアにはなるかも知れませんが、そんなにうまくいくだろうか。

ロッキード・マーチンと組んでいたのはFixmoという会社のようですが、ライバル会社のGood Technology社に裁判で争った挙句に買収されてしまったようです。Fixmo社の各種Web記事に張られていたリンクはすべてjp.good.comへランディングする模様。これだとMandrakeの内容もよく分かりません。「Secure Gesture」がFixmo社の商標のようなので、主導権を握っていたのはFixmoだったのではないでしょうか。買収された経緯が経緯だけに技術としてどういう扱いを受けるかは…。

いずれにしても強化したDaSくらいでそんなに騒がないでほしいかな…アメリカは政府がセキュリティ強化のためにいろいろな施策を打っているようで、この記事も政府に売り込んだことで注目されたような話に聞こえます。 ロッキードが軍需産業で政府に近い関係だからという要素も考えなくてはならないのでしょうね、こういう場合。

2015年5月9日土曜日

TouchIDは誰があるいはどの指紋が認証を通ったかを教えてくれない

Appleの得意とする「使いやすさ」の裏にある危うさ、でしょうか。
Apple Touch ID design constraint raises authentication red flags - TechRepublic 
Touch IDは、いくつかの指紋を登録することができます。その際、その指紋が所有者本人のものであるかどうかをチェックすることはありません。

通常、シリアスなセキュリティにおける指紋認証では、指紋を登録するときに何らかの手段で(たとえば立会人がいて)本人が指紋を読ませていることを確認します。誰かの認証のための指紋として別人の指紋が登録されるという事態は基本的には防止措置が取られているはずです。そうでなければ何を認証しているかが分からなくなりますからね。

別人の指紋で認証できるようにしてしまうというのは例えて言えばICカードの入構証で扉を通過できる人間をコントロールしているときに、コピーカードを作成して他人に渡して使わせているようなものです。

もちろん、それでもその指紋が完全に信頼できる、かつ、どんな秘密も共有できる間柄の人間のものであれば問題はないのでしょう。そういう存在って何?自分の分身ですか?配偶者?いやいや、配偶者と言えども共有できない情報はあるでしょう。(そのことの良し悪しはさておき。)

実はもっと悪いことに、iOSの仕組み上、指紋は暗証番号さえ知っていれば登録できてしまうらしいです。なので、本当に他人であっても登録できてしまいます。そしてそれを本人に告げる必要はありませんし、本人に通知されることもありません。セキュリティは暗証番号のところで担保されているはずだから。

これは要するに、指紋認証のセキュリティ強度は数字4桁の暗証番号のそれと等しいということです。

そうやって本人の与り知らぬところで登録された指紋であっても、登録を通ってしまえばその指紋はその後事実上あらゆる情報へのアクセスに使えてしまいます。もちろんお金が絡むような処理もできてしまいます。その種の「こっそり登録された指紋」で何かが行われても本人に通知は行きません。理論上、その処理は本人が行ったものであるはずだとされているからです。

また仕組み上、登録された指紋の間には区別がないそうです。アプリの側から見て、どの指紋で認証されたのか、という区別はできなくなっています。たとえば、右手の人差指で認証した場合にはAという動作をさせ、左手の親指で認証した場合にはBという動作をさせる、といった区別はできないわけです。

アプリは指紋認証が通ったという事実のみを用いて、それを全面的に信用して処理を進めるかどうか、という選択を強いられてしまいます。しかしこれは、仕組みがそうなっているのでアプリとしてはそうするしかありません。というかそれが問題だと思っている人が開発者にせよ利用者にせよほとんどいないというのが現状ではないでしょうか。

これ、意外と意識していない人が多そうですね。ちょっと薄ら寒くなってきました…。

iPhoneがTouch IDを搭載する前からスマートフォンに指紋センサが搭載された例はありました。しかし事実上iPhoneのTouch IDが「メインストリームで利用されている指紋センサ」であることはほぼ間違いないでしょう。そのセキュリティがこんな状況であるということはかなり問題であると思われます。

Appleは「Touch IDが気軽に使われる状況」がセキュリティを強化するために必要だと考えていると思います。高いセキュリティとユーザビリティを両立させる道具立てとしてある時点から以降の機種全てのホームボタンに指紋センサを組み込み、日常的に使ってもらい慣れてもらうために画面アンロックと指紋認証を一体化させるという方策を行いました。OSごとサポートして利便性を高める工夫をしています。しかしそこにはある種の限界があります。これがこのままの仕様で進むのであれば相当の問題に発展する可能性もあると思います。

今のところあまり話題になっていないのが気がかりです。

2015年5月2日土曜日

そのメガネは常時相手を分析しているわけだが

画像認識系の話題を二つ
Microsoft glasses will tell you how people FEEL: Patent reveals 'emo specs' that use sensors and cameras to read emotions of those around you
被写体の年齢を測定する「How Old Do I Look?」サービスを川崎関連の選手に使ったら精度がイマイチだった
この二つ、画像認識で被写体を解析するという性格の技術の話で、どちらもMicrosoftということで一緒に記事にしてみました。多分近い部門でやっているのだと思います。

が、後者を読むとわかりますが、精度が高そうには見えません。前者にしても、まあまだ明細書読んでないので分かりませんが、人間の顔の表情から感情を読み取るのとか、姿勢から退屈しているかどうかを判定するとか、まあできそうだと言えばそうですが、何かちょっと論理的な裏付けはどうなってるのかなー的な感じです。そう簡単には実用化しないだろうと思うのはGlassに組み込んだチップで計算できなさそうな気がするから。もちろんクラウドで処理するというのはありうるんでしょうけど。

ただ画像認識の精度はどんどん向上しているのだろうとは思います。思っても見ないことが簡単にできるようになっていったりするのでしょうかね。

2015年4月30日木曜日

メール配信業者の社員アカウントが破られユーザーはパスワード変更を余儀なくされる


大惨事ですね。鍵のキャビネットの鍵を破られると全ての部屋に入り放題になる。
この種のセキュリティリスクももっとキチンと運用しなくてはならなくなるのでしょうか。
難しい問題です。

耳紋認証


血縁関係を判別するには耳の形を見れば良い、というのはシャーロック・ホームズでしたっけ。確かにある種の認証に使えるかもと言われればそうかもと思います。スマートフォンならば否応なく耳を押し当てることになる(?)訳でそういう点でもある程度は理にかなっているのかな、と。とは言え、強度自体も心配ですし、「画期的な新技術!」みたいなことにならないかも心配です。

2015年4月26日日曜日

本当に強力なパスワードとは

なかなか面白いかも
We're stuck with passwords: Here's how to make them work better for you

実は結構意外なこの解説。問題はこういう長くてplainなパスワードを受け付けてもらえるかですかねえ。記号や数字を混ぜろと言われるとこういう置換えを使いたくなりますよね。

2015年4月7日火曜日

Interview with Jonathan LeBlanc from PayPal

こちらのインタビュー

Has the time come to kill the password?

なかなか示唆に富んだインタビューだと思います。

「パスワード」という形が終わりを迎えつつあるのは、そもそも人間には「パスワード」が難しすぎるからだという議論が繰り返されているようです。FIDOにも関わっているようです。オープンソースハードウェアによる物理認証センサの発展に関しても触れています。

そして、結論として、パスワードは今後もなくなることはないが、より異なった形に発展していくのだと言います。パスワードシステムというか、認証システムというのはつまり「自分が何者であるか」という主張とそれを検証するための情報の組み合わせにより実現されるのであり、それが「ユーザー名」と「パスワード」という形を取る必要は必ずしもないのだ、ということです。生体認証を始めとする様々な技術が新たな「パスワード」、異なった形の認証システムを形成していくのだろう、という結びになっています。

とはいえ、結局は今の形の「パスワード」は終わりを迎えるのだという主張であるとも読めます。言い方だけの問題でしょうか。

FIDOの人々が「パスワードを殺したがっている」というのは何となくわかったような気がします。

2015年3月16日月曜日

Yahoo!、パスワードなしのログインを導入

Yahoo shows off password-free logins and new encrypted email technology

Yahoo!は「on-demand」ログインという仕組みを導入するそうです。単純にパスワード入力欄を省略し、その代わりに「ワンタイムパスワードを送信」ボタンを提示。ボタンを押すとワンタイムパスワードが送られてくるのでそれを入力してログインするということだそうです。

つまりワンタイムパスワードの送られてくる(例えば)携帯電話を誰かに奪われてしまえばおしまいという非常にデンジャラスな仕掛けです。

もっとも固定パスワード自体が非常に脆弱なので変わらない、という考え方もあるかも知れません。

パスワードレスが今後どこまで広がるのかはちょっと注目かも知れません。

2015年3月7日土曜日

Clef

Clef – Enhanced 2FA Security Inspired By Bitcoin

Bitcoinにヒントを得た二要素認証…と言うので期待したのですが…。これが話題のバーチャルトークンってやつなんですかね。結局Bitcoinのアカウントの認証に使われているっていうだけの話に聞こえます。

更にいうと公開鍵暗号だから安全という話はFIDOの時にも出てきましたが、そんなに単純な話ではありませんよね。どうしてこんな記事になっちゃうんだろう。

2015年2月25日水曜日

子供たちのパスワード問題

OLPC(One Laptop Per Child)というプロジェクトがあります。子供ひとりに一台のコンピュータを、というプロジェクトです。ここ数日の報道ではXO-Infinityという新型の開発を発表したことが取り上げられています。
OLPCの新型 XO-infinity 発表、子供と成長するモジュラー型コンバーチブルタブレット
このデバイスそのものが主題ではありません。このサイトを訪問して記事を読んでいて気がついたのがこれです。
Teacher, I can’t forget my password. - Solving the password problem for our schools
子供にパスワードを覚えておくようにと言っても難しいでしょう。一般的には教師が子供たちのユーザー名とパスワードを一覧にした紙を持っていて対処するようです。しかしプライバシーやセキュリティが守られるにこしたことはありませんよね。ではどうやって…。

もちろん、この方式は教室の中で、信頼に結ばれた師弟の間でしか通用しないものです。でもちょっとだけ、未来のパスワード、についてのヒントが含まれているような気がします。もちろん、子供たちはパスワードの意味や重要性を理解できていないからこうなるのです。では我々はパスワードの意味や重要性をどれくらい理解できているのでしょうね。

2015年2月22日日曜日

Passage

おっと「バーチャルトークン」と近いのかなこれ。

面倒なパスワード入力が不要に!「Passage」の画像認証で楽々ログイン

「パソコンのカメラの前に、設定してあった画像を提示する」
「Passage」の画像認証アルゴリズムは、画像のわずかな違いをも検出する。人の目では差異が見分けられないようなレベルも判別するため、安心である。」

ツッコミどころその一は、カメラを備えている機器とは別の画像を取り出すためのデバイスがもう一つ必要というところ。これは見たところスマートフォンのアプリのようなので、もう一台のスマートフォンとかタブレットとかWebカメラ内蔵パソコンとかで認証するときに使うことになるわけですね。それってどうなんでしょうか。スマートフォン一台しか持ってない人、いると思いますけどね。

ツッコミどころその二は、パソコンに搭載されているWebカメラって今でもそんなに解像度高くない気がするんですけど…。「人の目では差異が見分けられないようなレベルを判別」するのはそんなに簡単ではないと思います。表示する側も…まあ今のスマートフォンの解像度なら一応充分ではあるかも知れませんが…。

つまるところ、第一に、表示解像度が高過ぎるために元画像の表示が変わってしまう可能性がある(超解像とかありますし)こと、第二に、どうしても一旦別のデバイスに表示させた画像を再度光学読み取りしていることにより画像が変わってしまう可能性があること、そういうのを補正していると読み取り精度は逆に下る気がするのですが。

バーチャルトークンが想定しているのは、特徴点を抽出して照合しやすいランダムパターンでしょうから、自然画像を処理して使おうというこちらはまた別の技術なのかも知れません。ただ、どうもこれも宣伝文句通りではない何かを裏に抱えているような気もしますね…。

2015年2月21日土曜日

パスワードをアップグレードしよう

まあ、いろいろ書いてますが、要するにテキストパスワードが安全な時代は戻ってこないということではあると思います。
Password security: Time for an upgrade?
今後のセキュリティに考えられる手段は、「多要素認証」「画像パスワード」「バーチャルトークン」「次世代生体認証」だそうです。

バーチャルトークンというのはあまりこれまで取り上げられなかったものだと思いますが、実際に使われているものがあるんでしょうかね…セキュリティというよりは、次世代パーティーチケットという風情ですが。

ここでも心拍認証の話が出てきていますね。ここでわざわざ「次世代生体認証」というからには現世代の生体認証にはあまり信頼を置いていないということなのだと思います。心拍認証は確かに新しい方式ですし偽造しにくいのかなあという印象はあります。今後もっと画期的な技術が考案されるというのもありえないことではないとは言えます。

こんなブログをやっていながら何ですが、ここに画像パスワード(Graphical Passwords)が出てくるのはちょっと意外な気もします。かなり以前からいろんな人がアイデアを出していて、実用になっているのはAndroidの9ドットDaSだけという状況を見ると、今後も「ちゃんとしたセキュリティ」としてメインストリームに出てくるような気がしないのですね。(Windows 8の画像ジェスチャは「6文字程度のパスワード」と言い切っている時点で議論の対象にならない。もちろんAndroidのDaSもiOSの4桁PINに比べればまともというレベルで、強力というわけではないですけど。)

まだまだセキュリティの模索の時代は続きそうな気はします。

Windows 10とFIDOアライアンス

FIDOアライアンスが日本で記者発表を行ったようですね。そしてWindows 10は生体認証を標準サポートし、パスワードを使わないセキュリティ設定でFIDO2.0準拠の実装に移行することを発表したようです。

パスワードのことは忘れよう。MicrosoftはWindows 10で生体認証へ移行する。

指紋認証については、ここに書いてあることに尽きるでしょう。

Chaos Computer ClubがiPhone 5sの指紋センサーを迂回したと発表

どうも怖いのはせめてU2Fというのならいいのですが、UAFって経路と秘密情報の保管場所の保護の話しかしてなくて、生体認証自体の強度についてはあまり語っていないところ。生体認証関係のコンポーネントのメーカーが絡んでいるとすると弱点を宣伝するわけはないよねえという話はあります。

FIDO Alliance (OAuth.jp)

を読むと、どうもFIDOは二要素認証にはあまり積極的ではないようにも思えます。UAFは「パスワードを廃止してもっと使いやすい認証」と謳えますが、U2Fはそうではないからなのかなあという気はします。

どうもセキュリティについて真剣に考えてる団体であるようには思えないんだよな…。とはいえ、FIDO2.0がどうなるかはまだ決まってない部分も多いわけなので、様子を見たいとは思うのですが。

One finger doesn't begin to define Windows 10 authentication, FIDO

2015年2月7日土曜日

Away-to-Lockがこれからのトレンドですかね?

Chromebookなんて誰が使ってんだよ的な話はあると思うので(とはいえ日本での普及が遅いだけのような気もちょっとするけど)もう一件


Macbook用、ですかね。Bluetoothでペアリングされており、距離が遠くなると自動的にロックする。アンロックは自動で行われるようにすることもできるが、システムパスワードとの二要素認証が必要になるよう設定することもできる。(つまりSesami 2を持って座った上でパスワードも正しく入力しなくてはいけない、ということ。)

今はBLEがあるので実用的には大丈夫だと思います。昔これをやろうとしたら電力消費とかいろいろ障害があったと思うので。ある意味長年あったものなんだけど環境が整ったということですかね。

Bluetoothでやるのであれば普通のスマートフォンでもできる気がするな。そういうアプリ売ってたりするのかな…。

まあ何にしても手軽さという意味ではこのトークン、悪くないとは思います。二要素認証が設定できるのは強みでしょうね。このままでソフトさえ開発すればWindowsでもChromebookでもAndroidでも使えるようになるような気がします。



2015年2月1日日曜日

心拍認証デバイス販売中

心拍認証を実現するデバイスが実際に発売されるようです。

トロント発Nymiはあなたの心拍でパスワードを置き換える

もとの記事でも紹介されていたBionym社が社名を製品名「Nymi」と同じにしたのですね。

Nymi社のNymi bandは現在開発者バージョン(Discovery Kit)を149ドルで販売中。同じ価格で一般ユーザーバージョンを予約受付中だそうです。

LollipopのSmart Lock

CNETの記事

ChromebookがAndroidスマートフォンでアンロックできる

Android Wearを装着している間はAndroidスマートフォンがロックされないままで使えるようになるというSmart Lock機能が、Chromebookでも利用可能になったとのこと。Androidスマートフォンを持ったままChromebookに向かうと自動的にアンロックされるらしい。

FIDOアライアンスもこういうのを想定しているのでしょうかね?

ちなみにLollipopのSmart Lockだと「特定の場所にいるときはロックがかからなくなる」機能も実装されているそうです。(自宅にいる時はずっとロックされずに使い続けられる機能。)

利便性とセキュリティはトレードオフです。だからほんとうに安全なときくらいはロック機能を外してもいいのかなという気はします。

ただ、安全だろうと思って設定していても、いつ状況が変わるかは分かりません。本当は状況を察知してロックしてくれるくらいになってくれるといいのかな。これもGORT君の仕事かな。

7インチタブレットでは画像認証は使いにくい!

TechRepublicの記事です。

Windows 8.1の画像認証をやめてPINにすることにした

ざっくり訳すと

「Office Depotで99ドルで叩き売りになってたHP Stream 7を衝動買いして、使い始めてすぐに、普段使っているパスワードをタブレットのソフトキーボードで入力するのはとても面倒だと気がついた。」

「そういう人のために画像認証があるんじゃないか!ということで画像認証を使い始めたのだがこれが何だかちっとも使いものにならない。どう考えても正しく入力しているのにログインに失敗することが頻繁にある。」

「もっと単純にPINでログインできるようにすればいいんじゃないかと思って、iOSのPIN入力画面の画像を持ってきて画像認証に貼ってみた。」(注:この発想が普通じゃないと思うんだけど。(笑))

「しかし数字ボタンの中央を正確にタップしないとやっぱり認証しない。」(注:つまり数字ボタンの画像が大きすぎたということですが。)

「そこで結局あきらめてPIN認証に切り替えることにした。」(注:最初からPIN認証モードが用意されているんですね。)

Microsoft/Windows 8(8.1)の画像認証については「6文字程度のパスワードに相当するセキュリティ」ということで安全性には問題があるという認識はありましたけど、認識率についてはあれだけたくさん特許を出してるんだし多少ラフになぞっても大丈夫になってるもんだと思っていました。

(もちろん、あまりにもラフに認証できてしまうのは問題ですが、もともと6文字程度しかないのなら徹底的に利便性に振るのもありかとは思うのですが。)

しかしTechRepublicに記事を書く人ですらこんな有り様なのでは心許ないとしか言いようがありませんね。もちろん、癖みたいなものに左右される気がしますし、根気よく慣れていけば人間のほうがキャリブレートされてしまうかもしれないのですが。

画像認証がなかなか主流にならない(もちろんAndroidの9ドット認証(Draw-A-Secret)なんかは成功している部類だとは思いますが)のはこういうことがあるからなんだろうな、と改めて考えたのでありました。