マツジローのネットワークセキュリティ日記

アクセスカウンタ

zoom RSS ケータイメールで実現する Google の2段階認証システム

<<   作成日時 : 2010/09/22 21:46   >>

ブログ気持玉 0 / トラックバック 0 / コメント 0

Google、スマートフォン利用の2段階認証システムを公開―セキュリティーが飛躍的に強化

この記事を読んでぜひ自社のアプリケーションにも、この2段階認証システム(Two-step verification、2要素認証、との表記あり)を実装したいなーと思った方は多いのではないか?

なんていったって、いくらクドクド小姑のように
強度のあるパスワードを設定する。
アプリケーションごとに異なるパスワードを設定する。
と言ったところで、なかなかうまくいかない。
これが自分のところの従業員ならやりようもあるのだが、
お客様となるとどうでしょう?無理があります。

お客様の従業員がたまたまフィッシングにあって、盗まれたパスワードが「うちのアプリケーション」のパスワードと同一で・・・機密情報が漏洩した。

なんて、事故があったとしましょう。どのアプリケーションなんてのはすぐに広まるよー。
たしかに、お客様の従業員の教育が成ってないのは事実ですが、このアプリケーションには、何らの落ち度が無いと言いきれるでしょうか?
もっと積極的に防止策を取るべきではないでしょうか?
2段階認証システムがあれば、防げたはずです。

だから、この2段階認証システムを実装しましょう。
他社のアプリケーションが実装していないこのタイミングでやりましょう。
まず、注目されます。
顧客の信頼アップ間違いなしです。
それにどーせ近い将来2段階認証システムを実装せざるを得ないのですから。

でも、Googleの2段階認証システムはそんなに良いかなー
Googleの認証コードの送信方法は、SMSまたは音声なので、電話番号ベースな訳。だから非常に安全なのは良いとして。
これを使うには、スマートフォンがいるのだ。GoogleがAndroid, BlackBerry または iPhoneの3機種のみ。
このGoogleがAndroid, BlackBerry または iPhoneをひとり1台必要というのが非常に気に入らないのです。

http://code.google.com/p/google-authenticator/ によると、Multiple accounts との記述があるので、1つのスマートフォンで複数のアカウントの認証コード受信ができるかも?



お客さんに「弊社のアプリケーションを更に安全にお使いいただくために、2段階認証システムのご利用をお勧めします。ただし、ご利用にはAndroid, BlackBerry または iPhoneが必要です。」

なんてちょっと言いにくい。

そこで、提案なのです。んで、これはどうだろう?

認証コードの送信をケータイメールにしてはどうか?
安全性は劣る。メールは盗聴の危険が常にあるのでね。
でも今は、1段階認証システムなのだから、たとえ盗聴の危険があったとしても、格段にセキュアになることは間違いない。
それにどーせワンタイムパスワードなのだから、気にしなくても良いと思うのだが。
さらにメールの送信なら簡単だもんね。自分で立てても良いし、立てなくてもね。
あとメールならGoogle App Engineも直にサポートしている。

メールは盗聴があるからダメ!あっそー

ケータイだとメールを暗号化して送るわけにはいかないので、
じゃあ、XMPPってのはどうだろう?
デスクトップのXMPPクライアントに直接認証コードを送りつけるのも悪くない。
XMPPならGoogle App Engineも直にサポートしている。
さらに、XMPPなら暗号化されているので、盗聴の危険はない。

あと、認証コード
RFC4226によると、スマートフォン等のデバイスでの利用を想定して、6桁以上の数字となっている。
おそらく、Googleのもこいつに準拠のようだ
なので、認証コードの生成は単純に何も考えることはない
サーバーで乱数生成でよいのだ。

テーマ

関連テーマ 一覧


月別リンク

ブログ気持玉

クリックして気持ちを伝えよう!
ログインしてクリックすれば、自分のブログへのリンクが付きます。
→ログインへ

トラックバック(0件)

タイトル (本文) ブログ名/日時

トラックバック用URL help


自分のブログにトラックバック記事作成(会員用) help

タイトル
本 文

コメント(0件)

内 容 ニックネーム/日時

コメントする help

ニックネーム
本 文
ケータイメールで実現する Google の2段階認証システム マツジローのネットワークセキュリティ日記/BIGLOBEウェブリブログ
文字サイズ:       閉じる