パスワード認証の強化策

抄録

近年多くの大学では，さまざまな事務処理をWebインターフェース(ブラウザ)で行うようになってきている。構成員は，学内に設置された事務処理(サービス)システムがにログイン(認証)した上でそのサービスシステムを利用するが，多くの大学ではその認証方法として「ユーザID&固定パスワード」による方式を採用している。固定パスワードによる認証は導入が容易であり，すでにネットワーク上の大半のサービスシステムで採用されているためか馴染み深い反面，パスワードクラッキングなどセキュリティ上の問題を多く抱えている。本論文では，既存の固定パスワード認証システムを利用しつつ，学外からのアクセスに対しては「認証シャッター」を経た2要素認証にする方法を述べる。認証シャッターの考え方は2014年に[11]で提案されたもので，シャッターが閉じている間はたとえ正しいユーザIDとパスワードを送信しても，認証サーバへの照会を行わないというものである。これにより，四六時中なりすましログインの窓口を開けている固定パスワード認証システムの安全性を格段に高めることができる。本論文で提案するシステム構成は，ユーザおよびサービスシステムの他にシャッター制御センターを合わせた3者間認証になっており，シャッターを開けるためには，ユーザはシャッター制御センターに対して記憶および所有物の2要素認証をパスする必要がある。そのため，シャッターを開けてログインしたユーザ本人の確からしさ(認証レベル)を上げることができ，より安全にサービスシステムを運用できるようになる。