WP-Single-Channel-Options-JP indd

Size: px

Start display at page:

Download "WP-Single-Channel-Options-JP-140210.indd"

たみえありたけ
7 years ago
Views:

1 シングルチャネルモード概要シングルチャネルモードは Swivel 認証システムの最も一般的な導入方法の一つですこのモードではユーザーがチャレンジ ( セキュリティストリングス ) を受け取るのと同じチャネル ( 通信経路 ) を使ってレスポンス ( ワンタイムパスワード ) を送ります本ホワイトペーパーはこのアプローチの柔軟性について概観した上で管理コンソールからあるいは html 認証ダイアログのカスタマイズによって実現可能ないくつかのオプションについてご説明します

ってレスポンス ( ワンタイムパスワード ) を送ります本ホワイトペーパーはこのアプローチの柔軟性について概観した上で

2 はじめにシングルチャネルモードは Swivel 認証システムの最も一般的な導入方法の一つですこのモードではユーザーがチャレンジ ( セキュリティストリングス ) を受け取るのと同じチャネル ( 通信経路 ) を使ってレスポンス ( ワンタイムパスワード ) を送りますこのモードは通常はブラウザー上の認証ダイアログに TURing イメージを表示する方法で利用されますこのアプローチには以下の様な多くのメリットがあります配備 ( 導入 ) が簡単利用が簡単 ( 使いやすい ) 表示方法や入力方法を非常に柔軟にカスタマイズできる本ホワイトペーパーはこのアプローチの柔軟性について概観した上で管理コンソールからあるいは html 認証ダイアログのカスタマイズによって実現可能ないくつかのオプションについてご説明します全ての認証フォームにおいて必須とされるのは Swivel のチャレンジを表示してユーザーからの入力を受け付けることだけですそのためこのアプローチは非常に柔軟で多様な導入形態に対応できます TURing Image 最も一般的な実装方法はログイン画面にセキュリティストリングスのイメージを表示するものですこれは認証のために Swivel サーバーに接続するログインフォームに html を埋め込むことで実現できますこのオプションのデフォルトは TURing イメージです図 1: TURing イメージこのとき異なる背景色や枠線を選んでイメージにテーマを適用する事ができます ( 例えば背景色をモノクロにするなど ) 異なるフォントやバックグラウンドを使うことにより TURing イメージは OCR 攻撃に対して防御力を高めることができますこの他イメージの防御力を高めるためには以下の様な方法があります同じストリングスに対して異なるフォントを使う文字をジグザグに配置して横一列に並ばないようにする文字の太さを変える ( アルファモード )

管理コンソールからあるいは html 認証ダイアログのカスタマイズによって実現可能ないくつかのオプションについてご説明します全ての認証フォームにおいて必須とされるのは Swivel のチャレンジを表示してユーザーからの入力を受け付けることだけですそのためこのアプローチは非常に柔軟で多様な導入形態に

3 BUTton TURing のオプションとしてセキュリティストリングスのイメージを 2 次元のパターンで表示する様々な方法があります図 2 が BUTton レイアウトの例です 2 次元の配列にはユーザーが PIN を覚えやすくする効果があります例えば 1379 という PIN を設定したユーザーであれば Z のパターンとして覚えることもできます異なるバックグラウンドフォントを使ったオプションもあります図 2: BUTton 配列のセキュリティストリングスの例アニメーションその他のオプションとしてはイメージのアニメーションがあります TURing イメージのアニメーションを行う主な理由はスクリーンキャプチャタイプの攻撃に対抗するためですセキュリティストリングスのキャラクターを点滅させるようにしてどの一瞬にも一部の文字しか表示されないようにすればスクリーンショットをとっても一部の文字列しか取得できませんサンプルレートの低いビデオにも同様の効果が期待できますアニメーションの設定は Swivel 管理コンソールから行うことができ以下のようなオプションを設定できますアニメーションパターン一度に表示する文字数アニメーションのループ回数図 3: ジグザグ配置でアニメーションする TURing イメージ

主な理由はスクリーンキャプチャタイプの攻撃に対抗するためですセキュリティストリングスのキャラクターを点滅させるようにしてどの一瞬にも一部の文字しか表示されないようにすればスクリーンショットをとっても一部の文字列しか取得できませんサンプルレートの低いビデオにも

4 カスタマイゼーション本ホワイトペーパーでは基本的にはそのまま使えるオプションを紹介していますがこれらのイメージをどう表示するかをお客様が細かく設定することもできますフォントおよびバックグラウンド全てのイメージで使用されるフォントおよびイメージは Swivel サーバー上のセットリストからランダムに選ばれますさらにサーバーが用意したフォントおよびバックグラウンドに制限されずに自分でそれらをアップロードして使うこともできますマスクその他カスタマイズが可能な要素としてはマスクがありますこれはイメージ全体の形を決めるものです TURing イメージについてはマスクは基本的にはフレーム ( 長方形 ) でフレームに様々な色を割り当てることができますその他のタイプのイメージについてはマスクは全体の形だけでなくボタンの大きさや配置を決めることができイメージをどのようにユーザーに見せるかをほぼ無限に設定できます PINpad PINpad のオプション設定は上記とは違ったアプローチですセキュリティストリングスが単一のイメージでなく 10 個の独立したイメージとして表示されるからですこれらのイメージが認証フォームと統合されランダムに配置された文字盤として表示されます何故この様なアプローチがとられるかというと PINpad はユーザーが覚えている PIN の配置に従ってボタンをクリックすることによって正しいワンタイムパスワードを入力できるようになっているからですこれによりキーロガーによる攻撃に対抗すると同時に新しいユーザー体験を提供します図 4: PINpad

り当てることができますその他のタイプのイメージについてはマスクは全体の形だけでなくボタンの大きさや配置を決めることができイメージをどのようにユーザーに見せるかをほぼ無限に設定できます PINpad PINpad のオプション設定は上記とは違ったアプローチですセキュリティストリングスが単一のイメージでなく 10

5 タスクバークライアントブラウザ上にイメージを表示させないオプションが Swivel タスクバークライアントですこれはシンプルなソフトウェアでブラウザ内からセキュリティストリングスを要求してイメージを取得するのと同じ機能を持っています図 5: タスクバークライアントの例この方法の欠点は全てのユーザーにクライアントを配布しなければならないことですしかし同時にブラウザ上にセキュリティストリングスのイメージを表示する必要が無くなりますから man-in-the-browser に対しての防御が可能ですフォームのカスタマイゼーションセキュリティストリングスの取り扱いとログインページでの表示方法を変えることによりユーザー体験をさらにカスタマイズすることができます PINpad 以外のイメージについては適切な html ファイルを組み込むことによってイメージを表示させることができます <img src= これはユーザー名を読み込んで動的に html ファイルを作り出すような JavaScript を作って組み込むことによっても実現できます以下の様にログインフォームに JavaScript の機能 ( 例えば showturing など ) を呼び出すボタンを付けて呼び出すことなどです <input type='button' onclick='showturing()' value=' Get Image' /></td> 上記以外のやりかたでも同様のことができます例えばユーザー名フィールドに onblur プロパティを使えばフォーカスが外れている間特定のイメージを表示させることができます <input type="text" id="username" onblur=ʼshowturing()ʼ>

をさらにカスタマイズすることができます PINpad 以外のイメージについては適切な html ファイルを組み込むことによってイメージを表示させることができます <img src= http://<swivel_ip:port>/proxy/scimage?

6 PINpad PINpad は 10 個の独立したイメージによって構成されておりログインフォームによってどのような配列を作り出すことも可能です例えば以下の様に単純な表を作って表示するなどです <table> <tr> <td>username</td><td><input type="text" id = "username" onblur=showstring();></ Input></td></tr> <tr> <td colspan =2> <table> <tr> <td onclick=addotc("1")> <img id="1"></img> </td> <td onclick=addotc("2")> <img id="2"></img> </td> <td onclick=addotc("3")> <img id="3"></img> </td> showstring 機能が適切に配置を行います

Input></td></tr> <tr> <td colspan =2> <table> <tr> <td onclick=addotc("1")> <img id="1"></img> </td> <td

7 ワンタイムパスワードの入力ユーザーがどのようにワンタイムパスワードを入力するかについても細かく設定することができます TURing や PATtern などについてはデフォルトではキーボードからの入力を想定していますが PINpad ではユーザーが PIN をクリックによって入力しますしかし入力方法はそれらに限定されているわけではありません PINpad で設定できるひとつのバリエーションは PIN をクリックする代わりに特定の数値のイメージ上にカーソルを一定時間置くことによって入力させることですこれはユーザーがキーボード入力やマウスのクリックを必要としないためキーロガーやスクリーンキャプチャなどの攻撃に対しても防御できることが特徴ですほとんどの Swivel の実装形態において標準の html/javascript を用いて実装することができますこの PINpad の入力方法と TURing イメージによるセキュリティストリングスの表示を組み合わせることが可能ですセキュリティストリングスを TURing イメージで表示し PINpad のボタンにカーソルを合わせることでキー入力やマウスクリック無しにワンタイムパスワードを入力することが可能になります結論シングルチャネルオプションの考え方は非常にシンプルですユーザーにセキュリティストリングスを含んだイメージを表示しユーザーがそれに対して適切な対応をすることで認証を行います非常に単純なモデルですが様々なイメージ表示の方法や入力方法を組み合わせることによりお客様のご要望に合うよう簡単にカスタマイズできます Security Strings 合同会社東京都千代田区一番町 6 番地相模屋本社ビル 7F

できることが特徴ですほとんどの Swivel の実装形態において標準の html/javascript を用いて実装することができますこの PINpad の入力方法と TURing イメージによるセキュリティストリングスの表示を組み合わせることが可能ですセキュリティストリングスを TURing イメージで表示し

2 Wee とは Wee はホームページの更新ツールです Wee はサイトの枠組みをWeb 製作業者が作成し更新はお客様に自由にしていただこうというコンセプトの製品ですインターネットに繋がる場所ならどこからでもブラウザでホームページ

2 Wee とは Wee はホームページの更新ツールです Wee はサイトの枠組みをWeb 製作業者が作成し更新はお客様に自由にしていただこうというコンセプトの製品ですインターネットに繋がる場所ならどこからでもブラウザでホームページ 1 ホームページ更新ツール Wee&Wee Mobile のご紹介 http//www.i 2 Wee とは Wee はホームページの更新ツールです Wee はサイトの枠組みをWeb 製作業者が作成し更新はお客様に自由にしていただこうというコンセプトの製品ですインターネットに繋がる場所ならどこからでもブラウザでホームページの