1. 認証 (authentication) とは (1) 本物 本人であることを確認すること 送られた注文書は本物か パソコンやサーバへログインしたのは本人か メールを送信したのは本人か など (2) 認証の方法 1 本物認証 : 電子署名 ( ディジタル署名 ) 2ユーザ認証 : ユーザID+パスワード バイオメトリクス ( 生体 ) 認証 1 1
2. 電子署名 ( ディジタル署名 ) (1) 本人作成の文書であることを受信者が確認できる仕組み 手書きの署名や押印に相当 (2) 公開鍵暗号方式を利用 送信者は自分の秘密鍵 As で暗号化 受信者は As とペアで管理されている公開鍵 Ap で復号化 ( 解読 ) 解読できたら 送信者本人が作成の文書と確認 注文書 メール など 文書 文書 Ap で解読できたら A さん作成の文書と認証 A さん B さん 2 2
公開鍵方式による暗号通信 ( 復習 ) A さん B さん 平文 暗号化 暗号化されたメール 復号化 平文 どの鍵を使う? どの鍵を使う? (Ks(A) Kp(A)) (Ks(B) Kp(B)) 秘密鍵公開鍵秘密鍵公開鍵 A さんがヘ アで管理している B さんがヘ アで管理している 3 3
3. 電子署名の実際 注文書の暗号処理に時間がかかるため そのハッシュ値を求め それに署名 注文者 (A 氏 ) 業者など 注文書など 注文書など 例.MD5 例.MD5 ハッシュ値 ハッシュ関数 鍵 (Ks Kp) を管理 暗号化手順 + 秘密鍵 Ks(A) (A 氏 ) 署名付ハッシュ値 復号化手順 + 公開鍵 Kp(A) ハッシュ関数 ハッシュ値 ハッシュ値 A 氏から入手 署名検証 ( ハッシュ値比較 ) 4 4
参考ハッシュ関数の例 ハッシュ (hash) 関数 : 任意の長さのメッセージを短い固定長のハッシュ値に圧縮 変換し メッセージダイジェストを作成 MD5 のアルゴリズム (RFC1321) 入力バイト列 64B 64B 64B 1 ハ テ ィンク 処理 64B 64B 64B 56B 2 入力ハ イト列の長さ情報付加 64B 64B 64B 64B 8B 3MD ハ ッファ (32 ヒ ット 4 個 ) の初期化 464B フ ロックずつ逐次取り出し混ぜ合わせ処理 5 ハッシュ値 (128 ヒ ット ) として出力 5 5
4. 認証局 (CA) の必要性 Certificate Authority A さんの公開鍵と思って入手したものが実は偽物 (X の公開鍵 ) だったら?==> B さんは誤って認証してしまう! 本当に A さんの公開鍵であること を第三者に証明してもらう必要あり 文面は A さん記載の内容 As( 実は Xs) 文書 CA Ap( 実は Xp) 文書 正常に解読できたので A さんからの文書と誤認! A さん ( 実は X ) B さん 文面は A さん記載の内容 6 6
5. 認証局 (CA) の役割 電子証明書 ( 別名 : ディジタル証明書 ディジタル ID) の発行 ( 下図の 2 5) 証明書には 証明書の ID 有効期限 公開鍵 CA の署名などが含まれる 1Ap の登録 A さん CA 5Aさんの電子証明書 (CA 署名付き ) 2 電子証明書 (CA 署名付き ) 4A さんの電子証明書発行依頼 B さん 注文書 As 3 注文書 (A さん署名付き ) Ap 注文書 6 電子証明書から Ap を取得 復号化 7 7
6.S/MIME の暗号メール 署名メールのイメーシ Secure Multipurpose Internet Mail Extensions 暗号通信 電子署名 http://www.ipa.go.jp/security/pki/072.html 8 8
参考署名付メール 暗号メールの送信例 9 9
参考署名付メール 暗号メールの受信例 署名付メールの受信 ( リボンのマーク ) 暗号化メールの受信 10 10
7.SSL による暗号通信 Web クライアント 公開鍵 Kp( サーハ ) 公開鍵 Kp(CA) 秘密鍵 Ks(CA) を管理 3Kp(CA) で復号化 Kp(CA) 入手 認証局 (CA) 1SSL 要求ホ ート番号 443 2 サーハ の電子証明書 (CA 署名付き ) サーハ の電子証明書発行 Web サーバ CA 公開鍵 Kp( サーハ ) など CA 公開鍵 Kp( サーハ ) 秘密鍵 Ks( サーハ ) を管理 電子署名 共通鍵 Kc 生成用元テ ータ 4Kp( サーハ ) で暗号化 5Kc 生成用元テ ータ 6Ks( サーハ ) で復号化共通鍵 Kc 生成用元テ ータ 公開鍵暗号 クレシ ットカート 番号 期限 共通鍵 Kc 7 共通鍵 Kc で暗号化 8 クレシ ットカート 情報 共通鍵 Kc 9 共通鍵 Kc で復号化 クレシ ットカート 番号 期限 共通鍵暗号 CA:Certification Authority 暗号通信 SSL:Secure Sockets Layer 11 11
参考電子証明書の例 :Verisign 社 12 12
8. ユーザ ID+ パスワード方式 (1) パソコンやサーバへのログイン時 正当な利用者であること の確認に利用 (2) 他人に利用されないための対策 1 ワンタイム パスワード ( 使い捨てハ スワート ) 時刻などに基づき毎回異なるハ スワート を生成 例.SecureID カート ( 米 RSA 社 )( 次頁スライド ) 2 パスワード自身は NW 上に送信しない 盗まれても安全な計算値に変えて送信 例.CHAP(Challenge Handshake Authentication P.) 乱数, ハ スワート などを用いた演算 クライアント ユーザ ID チャレンシ ( 乱数 ) レスホ ンス ( 演算結果 ) サーハ 認証処理 13 13
安全なパスワードの構成法 1 子音を抽出 2 大文字と小文字を併用 3 記号で分割 両端を囲む 他人に推測されず 自分で覚えやすいもの 意味の通らない 大文字 小文字 数字 記号を織り混ぜた文字列 許された範囲で長くした文字列 パソコン ( 覚えやすい言葉など ) 1 語呂合わせで変換 PSKN- PsKn- <Ps$Kn> 8so5n- 8So5N- 8S o 5N 2 子音を大文字に 3 記号を挿入 (a) 安全なパスワード (b) 解読されにくいパスワードの構成例 14 14
9. ワンタイムパスワードの例 読売 20080808 15 15
10. チャレンジ レスポンス方式の概要 チャレンジ C が毎回異なる レスポンス R も毎回変わる パスワード S はクライアント サーバのそれぞれに秘密裏に保持 f は一方向ハッシュ関数 C,R が盗まれても S は求まらない クライアント ハ スワート S 1 チャンレンシ C( 乱数 ) 認証サーバ ハ スワート S ハッシュ関数 f(c S) 2 レスホ ンス : チャレンシ とハ スワート のハッシュ値 R=f(C S) 3 許可または拒否 登録済みのハ スワート S と以前送信したチャレンシ C のハッシュ値を計算し 受信したハッシュ値 R と比較 結果 16 16
11. バイオメトリクス認証の主な方式 ユーサ 自身の生体的な特徴を利用 忘れる心配がない http://jp.fujitsu.com/group/labs/techinfo/techguide/list/biometrics.html(2006.12.3) 17 17
参考静脈認証技術 日本発の技術 小型化 低価格化が進んでいる 例.3.9cm 3.4cm 1.5cm 3~4 万円 富士通製 三菱東京 UFJ 銀行 日立製 三井住友銀行 ( 日経産業 2006.10.27) 18 18
顔認証機能を採用した iphonex 出典 :YouTube 19 19
12. ファイアウォールの構成例 インターネット ルータ ファイアウォール バリアセグメント プロキシサーバ Web サーバ DNS サーバ メールサーバ ファイアウォール ファイアウォール DMZ( 非武装セグメント ) 社内ネットワーク ( 企業内 LAN) PC PC PC PC バリアセグメント : ファイアウォールよりインターネット側の公開セグメント DNS:Domain Name System DMZ(DeMilitarized Zone): インターネットと内部 LAN との境界部分に設けられるセグメント 20 20
13. ファイアウォール機能 : ハ ケットフィルタリンク クライアント IP アト レス :192.169.0.1 ファイアウォール サーバ IPアト レス :128.0.0.1 ホ ート :21 IP アト レス : その他 インターネット パケットフィルタリング 許可 禁止 フィルタの例 ルール 方向送信元 IP アト レス 宛先 IP アト レス プロトコル 動作 A 内 All 128.0.0.1 ホ ート 21 TCP 禁止 B 内 192.169.0.1 128.0.0.1 ホ ート 21 TCP 許可 21 21
14. ファイアウォール機能 : フ ロキシ (proxy) 内部ネットワークとインターネットとの接続の際 セキュリティ確保と高速アクセスを実現するために設置されるサーバ ネットワークに出入りするアクセスを一元管理し 内部から特定の種類の接続のみを許可したり 外部からの不正なアクセスを遮断するために利用される プロキシとは 代理 の意味で ユーザーに代わって業務を代行するサーバのこと クライアント 内部接続 アプリケーションレベルゲートウェイ TELNET フ ロキシ FTP フ ロキシ HTTP フ ロキシ SMTP フ ロキシ インターネット サーバ 22 22