パスワードは最後の世紀であり、将来、新しい認証方法と個人データの保存が必要になります

「ほとんどのロシア人がなぜサイバー詐欺の被害者になったのか」という記事を読んだ後、情報セキュリティに関する私の考えを共有することにしました。 記事は引用します、私は引用します：

この研究が示すように、ロシア人は不注意や怠nalな怠慢のためにサイバー詐欺師の「簡単な餌食」になります。 調査参加者の5人に1人は、メインメールボックスのパスワードを変更したことがありません。 ソーシャルネットワークでは、パスワードの変更頻度はさらに低くなります。38％は1年に1回しか変更せず、18％はまったく変更しません。 ただし、頻繁にパスワードを変更することは、サイバー詐欺から保護するための最も簡単で効果的な手段の1つです。 さらに悪いことに、回答者の25％は他のリソース（ソーシャルネットワーク、オンラインストア、その他のサービス）で電子メールパスワードを使用しています。 したがって、パスワードとアカウント情報が攻撃者の手に渡ると、彼らはあなたの機密情報だけでなくあなたのお金も手に入れることができます。

もちろん、パスワード自体の複雑さは非常に重要です。 ほとんどのユーザーは、文字と数字のみの非常に単純なパスワードを作成します。

理論的には、もちろん、すべてが単純に見えますが、そのような記事は問題の本質を考慮せず、反映しません。 現在、不正アクセスから情報を保護する問題はますます重要になっています。 しかし同時に、多くのインターネットリソースでは、適用されるセキュリティ要素は、セキュリティを確保する最も有名で古い方法の1つであるパスワードです。 残念ながら、多くのセキュリティ専門家の意見は、情報技術とユーザーの問題の開発における現在の傾向を考慮せずに、inertia性を生み出しています。 私の意見では、これは完全に正しいわけではありません。 そして、これに気づいている人々（たとえば、Googleや大規模なソーシャルネットワーク）は、私たちのソリューションを徐々に推進しています。



この記事では、すべてを順番に検討し、インターネット上の情報セキュリティに関連する問題を解決するためのソフトウェアとハ​​ードウェアの方法についての私のビジョンをHabrユーザーが説明します。



パスワードの問題

一般ユーザーのパスワードを使用する場合の主な問題を検討してください。

1）ユーザーが多くのサイトで同じまたは類似のパスワードを使用するのはなぜですか？

ユーザーはこれらのサイトを多数持つことができ、これらのパスワードが異なっていて複雑な場合、各リソースのパスワードをメモリに保存することは困難です。 多くの場合、インターネットリソースを長期間使用しないと、メモリ内のこのリソースのパスワードは忘れられます。 いつものように、サイトで認証しようとすると、パスワードを列挙するプロセスに変わり、パスワードの列挙の数は、キャプチャが読みにくいために制限されるか、非常に複雑になります。 同時に、これらのすべてのパスワードをこれらのサイトに残します。これらのパスワードは、サイト所有者が簡単なアルゴリズムを使用して簡単に保存できます。 承認プロセスが拷問になり、空の試みで終わる場合は非常に不便です。 したがって、多くの人が多くのリソースで1つの複雑なパスワードを覚えて使用しようとします。



2）ユーザーがパスワードを頻繁に変更しないのはなぜですか？ 同じ理由で。 パスワードを頻繁に変更すると、覚えておく必要があるパスワードの数が幾何学的に増加し、サイトでのログイン試行の失敗回数が増加することが保証されます。 結局のところ、最後のパスワードと以前のパスワードを覚えておく必要があります。 さらに、ほとんどのユーザーは、インターネットを使用する間ずっと登録したすべてのサイトをメモリに保存することはできません。 そのため、インターネット上では、長い間忘れられていた、放棄されたアカウントがたくさんあります。



パスワードを保存する場所と方法

これらの困難はすべて、同様に重要な問題を引き起こします。パスワードのすべての動物園を思い出せない場合、パスワードのリストをどこでどのように保持するかです。



電子形式の場合、さまざまな場所（自宅、職場、離れた場所）で作業する必要があるデスクトップおよびモバイルデバイスが多すぎるため、使用済みのすべてのデバイスまたはインターネット（たとえば、クラウドまたはメールボックス内）。 しかし、このオプションはセキュリティを大幅に低下させます。これらのデバイスの1つにアクセスするか、インターネット上のパスワードストアにアクセスすることにより、攻撃者はすべてのアカウントにアクセスし、場合によっては銀行口座にもアクセスします。 ブラウザにパスワードを保存することも非常に危険です。 ほとんどのブラウザでは、設定で保存されたパスワードを簡単に確認したり、組み込みデバッガのtype = "password"フィールドの値を変更したりできます。 そのため、パスワードを電子形式で保存する見込みはありません。



パスワードのリストを携帯している場合、それは安全ではありません-パーティー、職場、公共の場、路上で（おそらくブルートフォースを使用している場合でも）、または寝ている間にスリでパスワードを簡単に盗むことができます。



一般に、パスワードをどこにどのように保存するかという質問に対する明確な答えはまだ個人的に見つかりませんでした。



すべてはどのように進化しましたか？

情報セキュリティ要件の作成に従うと、次の傾向に簡単に気付くことができます。

1）最初は、性別や神などのシンプルで便利なパスワードを使用して、不正アクセスから保護していました。

2）それから人々はそのようなパスワードが非常に簡単で、容易に推測されることに気づいた。 そのため、新しいパスワード要件が登場しました。パスワードの最小長は少なくとも6文字でなければなりません。

3）ほとんどのリソースは、必須の確認メールアドレスも入力しています。

4）captchaの形式のボットに対する保護があり、ログイン試行の失敗後に画像から文字を入力する必要があります。 インターネット上のほとんどのリソースで登録する場合、CAPTCHAも必須の属性になりました。

5）さらに、パスワードの要件はもう少し複雑です。最小パスワード長は少なくとも6文字である必要があり、さらにパスワードには必ず文字と数字の両方が含まれている必要があります。

6）時間が経つにつれて、ボットは単純なキャプチャをバイパスすることを学びました。これにより、さまざまなキャラクターの変形を使用したインターネット上の複雑なキャプチャの使用、取り消し線/取り消し線/曲線、異なる角度、異なる高さ、異なるインデント、異なる効果を使用したキャラクター明るさ/コントラストなど。 ユーザーが表示された文字を認識することが非常に困難になったため、これはこの保護のユーザーの認識を大きく悪化させました。

7）一方、一部のリソースでは、電話番号のSMS確認を使用した追加レベルの保護が導入され始めました。

8）次に、最も一般的な最小パスワード長が8文字に増加しました。

9）現在、多くのリソースで複雑なパスワードの使用が必要であることが観察されています。パスワードの最小長は少なくとも8文字である必要があります。さらに、パスワードには必ず数字と他の文字を含む大文字と小文字の両方が含まれている必要があります。 パスワードに個人データを含めることはお勧めしません。 つまり セキュリティ上の理由から、覚えるのが最も難しいパスワードを考え出す必要があります。



次は？

質問は合理的になります：次に何が起こるでしょうか？ 16〜24文字の超複雑なパスワードを記憶し、比ative的に「いまいましい足の休憩」と言っている超複雑なキャプチャを解読しようとする必要があります。 私の意見では、この領域は情報セキュリティの発展の行き止まりと見なされるべきであると多くの人が理解すべきです。 最大のセキュリティとユーザーの利便性の両方を兼ね備えた根本的に異なるソリューションが必要です。



私の意見では、これらの困難はすべて1つの方法でしか解決できません。各市民に1つのサンプルのデジタルパスポートを発行し、すべてのインターネットリソースで身元を確認することです。 また、デジタルパスポートを確認するには、インターネットリソースが市民の承認のために統合センターに要求を送信する必要があります。 ある程度まで、このようなソリューションはインターネット上の匿名性に終止符を打つことができますが、パスワードを使用する場合、上記のセキュリティ問題をすべて正常に解決します。 この場合、セキュリティの問題だけでなく、社会的な問題も解決できます。 たとえば、まだ法定年齢に達していないユーザーの「アダルトサイト」へのアクセスを閉じ、インターネット上の情報をコピーおよび配布する際の著作権の問題、インターネットリソースとユーザーの不正な関係における責任の問題、個人データの盗難、ネットワーク詐欺、詐欺の問題を解決する現金取引など



統一認可センターと市民のデジタルパスポート

気づいたら、「ユーザー」という言葉を「市民」という言葉に意図的に置き換えます。 したがって、デジタルパスポートの管理と発行は州レベルで対処する必要があることをほのめかします。 これにはいくつかの理由があります。 まず、インターネットを介してユーザーを認証するために単一の組織を信頼する人はいません。 このレベルの特権を受け取った人は、金融セクターを含むインターネット全体をほぼ完全に制御できます。 これにより、世界のどの国も許可されません。 第二に、立法レベルと関連する規制機関のみが、さまざまなインターネットリソースとユーザーの義務の実施を管理できます。 多くの人が推測するように、一部の州の法律は他の州の領土には適用されません。 また、これらの国の法律がデジタルパスポートの発行を規制し、インターネット上での市民の行動を制御するように、各国にシングルユーザー認証センターを作成する必要があります。 しかし同時に、単一の国の認証センターは、これらの国の認証センターで外国人のデジタルパスポートをチェックすることにより、他の国の市民の管理された透明な認証も確保する必要があります。



そのような認証センターには100％のセキュリティ保護が必要であると主張する人もいます。 また、1つのロックに対して100％の保護はないため、既存のパスワード保護を各サイトで数百万のロックとして使用することをお勧めします。 各インターネットリソースがユーザーアカウントのセキュリティを個別に決定する必要がある場合、既存のバージョンよりもはるかに効率的かつ確実に単一の認証センターの信頼性を確保することに注意してください。 また、サイトにはユーザーデータのセキュリティを確保するための必須要件がないため、これらのリソースの信頼性の程度を確実に知る人はいません。 さらに、今日のほとんどのリソースは、ユーザーデータをサードパーティに転送したり、公開したりする場合でも、ほとんどのサイトのルールセットは法的拘束力のあるドキュメントではないため、責任を回避できます。



一般に、通常のパスポートは常に偽造されようとしているため、詐欺師との戦いは常に続きます。 これは、ウイルスとウイルス対策の闘いにほぼ似ています。 新しいウイルスに対する100％の保護を保証するウイルス対策はありませんが、新しいウイルスの出現が迅速に分析され、そのような脅威に対する保護が作成されます。 また、統合認証センターは、24時間体制でデータを改ざんする試みを監視し、特定されたすべてのセキュリティの脅威を迅速に修正する必要があります。 たとえば、貯蓄銀行のウェブサイトでのオンラインバンキング業務を信頼する場合、州レベルで規制されている単一の認証センターに個人データを委託することができます。



インターネット上で匿名性を排除する問題に悩んでいる人は、パスワードを使用するサイトで古典的な認証スキームを使用できます。 結局のところ、デジタルパスポートの使用は、通常の登録および承認スキームの破棄を必ずしも必要としない代替手段となります。 匿名性を重視する人は従来の承認スキームを使用でき、利便性とセキュリティを重視する人はデジタルパスポートを使用した承認を使用できます。



国内のインターネットリソースに必須の要件は1つだけです。デジタルパスポートを使用して市民の承認をサポートする必要があります。 同時に、デジタルパスポートの転送はインターネットリソースを介して行われるべきではなく、ユーザーと単一の認証センター間で直接検証される必要があります。 インターネットリソースは、単一の認証センターの最終決定のみを受け取る必要があります。サイト上のユーザーを認証するか、拒否します。



デジタルパスポートはどうあるべきか

セキュリティの観点から、これまでの最高の保護は、3回の試行からPINコードで保護されたUSBトークンと、（オプションで）統合された指紋スキャナーによって提供されます。 承認プロセスでは、個人のデジタル署名で署名されたバイオメトリック指紋のデジタルコピーの単一の承認センターへの転送を使用できます（秘密キーを使用した暗号変換）。 同時に、USBトークンと使用されたキーからバイオメトリック指紋のデジタルコピーを抽出することはできません。また、2番目の公開キーペアを持っている人だけが送信されたデータを解読できます。 各認証中の傍受から保護するために、送信されるデータは一意である必要があります。たとえば、認証ごとに、バイオメトリックフィンガープリントのコピーとともに、認証成功のランダム文字列とカウンタ値を暗号化します。 さらに、公開鍵と秘密鍵の個人セットを事前に作成して保存し、鍵の使用期間全体（たとえば10年から20年以内）に保存し、トークンが認証時にサーバーと日付を比較し、現在の日付に必要な鍵でデータに署名するとさらに良い。 同時に、公開キーも確実に保護し、承認サーバー上にのみ配置する必要があります（たとえば、受信したデータの正確性をチェックするが、インターネットへの直接アクセスがない単一の承認センターの内部サーバー内）。



技術的な面からは、これはすべて実行可能です。 また、アダプタを介して通常のUSBポートに挿入されたスタブ（スマートフォンやタブレットに適した）に似た小さなマイクロUSBトークンを作成することをお勧めします。 同じUSBアダプターに、指紋スキャナーを実装できます。 また、USBアダプターを取り外すと、SMS認証やモバイルデバイスのセンサーを使用した指紋スキャンなど、追加の検証レベルが自動的にアクティブになります。



ピンコード付きの指紋スキャナーは、デジタルパスポートの盗難や紛失に対する保護を提供する必要があります。 スキャナーから受信した指紋は、デジタルバイオメトリック指紋の保存されたコピーを使用して、USBトークン自体で検証する必要があります。 これにより、盗まれたまたは朝のデジタルドキュメントを使用する可能性がなくなり、デジタルパスポートの盗難が無用の活動に変わります。



現在の8-10ビットのパスワードと比較して、128-1024ビットの暗号キーのより効果的な信頼性を疑う人はいません。 さらに、認証ごとに暗号化の初期データが変更され、デジタル署名が毎日自動的に置き換えられる場合。 これはすべてのシステム管理者の夢です）システム管理といえば、この認証方法はオペレーティングシステムの認証プロセスでうまく実装でき、企業環境の情報技術を保護するために積極的に使用でき、システム管理者からこの問題の頭痛を完全に取り除きます。



詳細については、次のトピック「パスワード保護の代わりに電子デジタル署名を使用する認証スキーム」で、EDSを使用してインターネット上で認証スキームを提案しました。