- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2020-02-15T17:23:39+09:00","","")
#author("2020-02-15T18:08:57+09:00","","")
[[IPAセキュリティPT評価版]]
*システム管理者の資格情報の保護 [#e9d5340b]
システム管理者は、アカウント管理、バックアップ、アクセスコントロール管理、ログ保全など、システム運営における重要な業務を担います。攻撃者にシステム管理者の資格情報が窃取された場合、情報漏洩、情報資産の改ざん、ログの消去、踏み台による他への攻撃など、広範囲な被害が予想されます。従って、システム管理者の認証情報は、重要な情報資産や個人情報と同等以上の保護が必要です。
システム管理者は、アカウント管理、バックアップ、アクセスコントロール管理、ログ保全など、システム運営における重要な業務を担います。攻撃者にシステム管理者の資格情報が窃取された場合、情報漏洩、情報資産の改ざん、ログの消去、踏み台による他への攻撃など、広範囲な被害が予想されます。従って、システム管理者の認証情報は、重要な情報資産や個人情報と同等以上の保護が必要です。~
一方で、パスワードという知識要素の認証は、ログ分析以外に危殆化を知ることができません。例え、定期変更を設定したとしても、次に変更される時期までは、攻撃されるリスクが残ります。~
そこで、多要素認証をもちいてシステム管理者の資格情報を保護し、資格情報の窃取、漏洩を防ぎ、情報資産の保全を強化します。
**認証の要素 [#x93385c1]
認証の要素は、知識、生体、所有の3つが認証要素としてあげられます。
|要素|例|課題|
|知識|パスワード、PIN|危殆化（漏洩）したことがわからない|
|所有|ICカード、USBトークン|ICカードの場合リーダーが必要|
|生体|顔、指紋、静脈|読み取り装置が必要|
**多要素認証 [#l3bf73e9]
多要素認証とは、知識、所有、生体という認証要素を複数、同時に満たす必要があります。NIST SP800-63B では、次の方式、もしくは組み合わせが要求されています。
|Authenticator|内容|h
|多要素OTPデバイス|PIN を入力することでワンタイムパスワードを生成するデバイス|
|多要素暗号ソフトウェア|PIN を入力することで秘匿エリアに保存された電子証明書が読み出せるソフトウェア|
|多要素暗号デバイス|PIN を入力することで秘匿エリアに保存された電子証明書が読み出せるデバイス|
|記憶シークレット＋ルックアップシークレット|パスワードと乱数表、リカバリコードの組み合わせ|
|記憶シークレット＋経路外|パスワードとSMSによるコード送信|
|記憶シークレット＋単一要素OTPデバイス|パスワードとワンタイムパスワード生成デバイス|
|記憶シークレット＋単一要素暗号ソフトウェア|パスワードとOSの秘匿エリアに保存された電子証明書|
|記憶シークレット＋単一要素暗号デバイス|パスワードとデバイスの秘匿エリアに保存された電子証明書|
**多要素認証とは [#p0ef7c46]
多要素認証とは、知識、生体、所有の2つ以上の異なる認証要素を組み合わせるもので、かつ、同時に満たすものとされています。銀行のATMで現金を引き出す際は、キャッシュカード（ICカードの所有）を挿入し、暗証番号（知識）を入力するという、多要素認証の代表的なものといえます。~
情報システムでよく使われる多要素認証として、クライアントでは、Note PC での指紋認証+ PIN、顔認証+ PIN があげられます。長いパスフレーズに比べて入力のストレスが低いのが特長です。一方で、対象機器に認証装置が必要なためサーバー等には向いていません。~
サーバーでの多要素認証では、電子証明書が入った USB トークン（所有）とPIN（知識）の組み合わせが代表的です。USB トークンに PIN を設定することにより、正しい PIN が入力された時だけ電子証明書が読み出せます。誤った PIN が規定回数以上入力されると、USB トークンがロックされます。
