ニュース
公開鍵証明書なしに相互認証できる認証方式が国際標準化
～産総研開発、匿名認証も実現
2017年11月13日 13:17
国立研究開発法人 産業技術総合研究所(以下産総研)は、同研究所開発のパスワード認証方式が、国際標準規格として発行されたことを発表した。
産総研 情報技術研究部門 高機能暗号研究グループ 辛星漢主任研究員、情報技術研究部門 古原和邦総括研究主幹らが、ISO(国際標準化機構)とIEC(国際電気標準会議)の第一合同技術委員会に提案し、「AISTパスワード認証方式」が「ISO/IEC 11770-4:2017」として発行、「AIST匿名パスワード認証方式」も「ISO/IEC 20009-4:2017」として発行され、それぞれ国際標準規格となった。
新たな認証方式である「AISTパスワード認証方式」では、公開鍵証明書なしに、パスワードのみで安全な認証を実現。「AIST匿名パスワード認証方式」では、匿名状態のままで特定の権限や属性の有無を認証できるという。
これにより、産総研ではフィッシング攻撃対策や匿名によるサービス提供など、安全なインターネット社会の実現に貢献するとしている。
インターネットなど公衆回線上でユーザーを認証する方法として、パスワード認証は広く使われているが、認証やパスワードを暗号化して送受信するために、公開鍵証明書を用いたサーバー認証と、「SSL/TLS」など暗号化通信プロトコルとを併用することが一般的となっている。
しかし、公開鍵証明書を用いたSSL/TLSの上でのパスワード認証方式を含む既存の認証方式は、以下のような問題を抱えており、解決が求められている。
- 公開鍵証明書の取得、配備などに手間がかかる
- 暗号化や復号に要する計算量が大きいため、搭載プロセッサの性能が低く消費電力に制約のあるIoT機器での利用が困難
- 公衆回線上でパスワードを暗号化して送信していたとしても、暗号文からオフライン全数探索(通信路を盗聴するなどして攻撃者がサーバーやクライアントと通信することなくパスワードを試す攻撃。パスワードを大量かつ並列して試せるほか、パスワードが試されていることをサーバー側で検知できないため、認証の失敗回数に応じてアカウントを一定期間ロックするなどの対策が取れない問題もある)によるパスワードの復元が可能
- フィッシング攻撃でユーザーがブラウザの警告を見逃すと、パスワードが盗まれてしまう
- サーバーからパスワードなどを含むデータが漏洩した場合、オフライン全数探索なしにユーザーになりすますことが可能で、パスワードリスト攻撃への対策が求められる
近年では、学会や標準化団体で新たな方式を提案/選定するさい、証明可能安全性(方式を解読することが数学的に安全、現実的に解くことが不可能とされている数学の難問を解くことと等価であること)が必要条件の1つとなっているが、今回のパスワード認証方式は、上記の問題を解決でき、かつ証明可能安全性を有するという。
AISTパスワード認証方式(AKAM3)は、公開鍵証明書を使わずに、パスワードのような短い秘密情報のみで、ユーザーとサーバーの相互認証を安全に実現するというもの。
公開鍵証明書を使った認証方式と異なり、公開鍵証明書の検証処理が不要なため、同レベルの安全性を保証する「ISO/IEC 11770-4(第一版)」に掲載の既存の認証方式に比べて、少ない計算量で相互認証を実現できるという。
パスワードの特定に対しては、構成を認証の確認時に用いる値を乱数と区別できないようにすることで、オフライン全数探索されても、攻撃者がパスワード探索に成功したかどうかを判別不可能にできるという。また、パスワード自体ではなく、乱数を付加した情報をやり取りすることで、フィッシング攻撃によるパスワード詐取を防ぐとする。
AKAM3は、従来のパスワード認証方式と同様に、ユーザー認証を必要とする電子メールや電子商取引、インターネットバンキングなどの各種サービス、アプリケーション、IoT機器へのログインなどに適用可能で、産総研ではIoT向けの通信プロトコル「MQTT (Message Queueing Telemetry Transport)」へ適用するための研究も進めているという。
AIST匿名パスワード認証方式(SKI mechanism)は、パスワード認証時、「ユーザーが誰であるか」を特定せずに、ユーザーがある集団に属しているか否かをサーバーが確認できる、匿名認証を実現。
特定の属性を有している集団を指定することにより、そのユーザーがその属性を有していることを属性認証サーバーに示しつつ、サーバーからはユーザーがその属性を有していること以外の情報を特定できない「属性認証」も、同パスワードを用いて実現できるという。
産総研では、方式の応用先として、組織内からの告発であることが確認できる内部告発、ある属性を持っていることが確認できる匿名のアンケート、サービス受給資格であることが確認できる匿名カウンセリング(医療相談、悩み相談、いじめ相談など)、目的限定型の匿名通信路、秘匿検索、秘匿マッチングなどを挙げている。
