パスワード認証の安全性

質問

大学生です。自身が所属するサークルで今、流行のインターネットストレージを導入しようと考えています。導入を検討しているのは、NTTコミュニケーションズのcocoaです。http://cocoa.ntt.com/cc_pc/UA001
サークルの写真などをみんなで共有できたり、さらにメーリングリストと連動できたりと本当に便利だな、と思うのですが怖いのがセキュリティなのです。パスワード認証とSSL通信がついていると書いてあるのですが、これってどれくらい安全なのでしょうか？よくパスワード保護がついているHPってありますが、あのパスワードって簡単に破ることができるってインターネット上でよく書かれているのを目にします。もしcocoaがハッカーに狙われて、認証システムが破られた場合、ハッカーが手に入れられる情報の類は何なのでしょうか？彼らが認証を破ったという表現を使う時は、IDとパスワードの対応表を手に入れたということなのでしょうか？それとも予めIDがハッカーに知られていた場合、パスワードが何か知ることができてなりすまし認証ができたということなのでしょうか？ハッカー関係のことは疎くてよくわかりません。どうか教えていただけませんでしょうか？

友人のサークルで写真をパスワード付きHPにアップロードしておいたら、それが破られてしまいサークルの女の子にストーカーがついてしまったという事件がありました。知らない男に後をつけられただけではなく、メールアドレスまで知られ、HPでアップロードした写真を送りつけられて、「逃げられないよ」というメッセージまできたそうです。サークル内の人間のいたずらとは思えません。こんな事件を自分のサークルでは起こしたくないので、安全性に関して調べたくて、質問した次第です。
参考書なども存在するようでしたら、是非教えていただけませんでしょうか？よろしくお願いします。

回答No.2

chinensis · ベストアンサー

＃１です。

ちょっと内容がばらばらになってますが、一応アドバイスとして受け止めていただければ幸いです。

＞パスワードは破られるってよくハッカーのひとって言いますよね。それってどういう意味なのかな？と疑問に思っています。

基本的に「憶測」または桁数が小さければ「総当り」でも破れます。銀行の暗証番号が突破されづらいのは、
１．IDが物理的（カード）
２．失敗回数に制限がある
ため（キーの二重化）で、パスワード認証でもロックされる類のもの（一日3回等）が比較的安全なのはそのためです。ただし、一般のユーザーID＆パスワード認証は銀行のようにIDが物理的でないため、脆弱性は否めません。
また、憶測されやすい暗証番号（生年月日、電話番号等）について銀行が注意を呼びかけているのも、上記の理由によります。（3回以内に合致する可能性があるため）

ISPが「なりすまし（他人のユーザーIDを利用して本人になりすましてアクセスすること）」に対して注意を呼びかけるのは、IDが入手しやすいため、パスワードを憶測しづらくすることで不正利用を妨げる意味を持たせたいのだと思います。

これらも、銀行のカードに比べて格段にユーザーIDが入手しやすい（ある意味公開されている）ネット独特のシステムのためです。これを「便利」ととるか「危険」ととるのかは利用者の判断に委ねられると思っています。即ち被害に合った際のデメリットをちゃんと認識して、利用されるのが賢明かと。

また、なりすまし対策として、アクセスログを公開してもらえるかどうかもISPに伺っておくのも一つの手ではあるかと思います。

※ちなみに銀行では正しい暗証番号の管理をしている限り特定金額まで「賠償」してくれますので、利用者が安心できるとも言えます。

＞サーバーに何か作用を与えるとISPがもっているIDとパスワードの対応表が出てくるとかそういう類なのでしょうか？

これはDBサーバーがハッキングされない限り漏れることはありえません。また、DBサーバーは通常外部からアクセス可能な場所には設置しませんので、逆を言えば漏れる場合は、
１．既にそのISPのサーバー全てが乗っ取られている
２．内部から手引きしている（情報漏洩）
の何れかとなります。
※直接ODBCのプロトコルを接続する手段があれば無いこともないですが、それを推察するぐらいならスーパーユーザー（管理者）のパスワードを推察する方が簡単です。

お礼

ありがとうございます。
IDなどを盗み見されたりといった所から徐々に破られていきそうな印象を受けました。IDさえ分かればひたすらパスワードをランダムに打ち込んでいけば、いずれ、破ることもできそうですね。なりすましは意外に近い人のほうがやる可能性は高そうですね。またなりすましのプロとかも業界には存在しそうですね。ただ、サークル活動くらいでしたら、IDとパスワードでSSLになっていれば、十分安全な気がしてきました。業務用のサーバー認証はきっと全然違う方法をとっているのでしょうね。
非常に参考になりました。ありがとうございます。

補足

質問の主旨から外れてしまいますが、気になって仕方がないので、お伺いいたします。最近VPNという言葉をよく効きます。会社員の方が自宅から会社の内部情報を安全に参照できて非常に便利だという話をききました。サーバー内の情報を本当に安全にするには、VPNのような技術を使うしかないのでしょうか。最近は認証キーの情報の入ったUSBフラッシュメモリを差し込んだうえ、IDとパスワードを入力しないとアクセスできないようにすることができるなんて話も聞きます。一体、どれくらいやれば安全なのでしょうか？アクセスログは不正アクセスがあったことに気がつき、パスワードを変更できるという点しか安全性を高めている気がしないのです。
何度も何度もお伺いしてしまい大変恐縮です。

回答No.1

chinensis

はっきり書きますと「100%の安全はありません」。
とりあえずアドバイスだけ以下に記載しておきますので、気になるようでしたら目を通してみてください。

不正アクセスに関しましては、確証が得られれば立件すればいいと思います。その際にはISPも協力させられます。

基本的に「サーバー上に入っている情報」は盗まれる可能性があります。そのため、同一サーバーに全部の情報を入れるのは愚か者の考えです。例えば写真と名簿とメーリングリストをそれぞれ別のサーバーで構築してあれば、どれか一つがハッキングされたとしても（名簿はちょっとまずいですがそもそも入れませんよね）たいしたことはありません。もちろん複数のサーバーの管理方法（パスワード等）が同じではほとんど意味がありませんが、ハッキングする側にしても「あなたのサークル」を狙っているのであればともかく、普通は「ハッキングしやすいサーバー」を狙っているのであって、たまたま同じサークルのサーバーが立て続けにハッキングされる確立は無視できるレベルだと思います。（もちろん、各サーバーには別のサーバーの事は一切記載してあってはなりませんが）

また、不正アクセスにつきましては、
１．パスワードの頻繁な更新
２．アクセスログの管理
３．休眠ユーザーのアカウント停止
等をまめに行えば、ハッキングされた場合、かなりの確率で発見出来ます。（というか、ハッキングされづらくなります）
それと、運営しているISPさんもプロですので、ご質問者様のお持ちになっている不安につきましては相談できると思います。かなり漠然とした不安に感じられますので、まずはISPにご質問者さまの抱かれている不安について説明を求められるのも一案かと。

お礼

ありがとうがざいます。
情報が守れればそれで良いのですが、ハッキングの手法などが若干わかっているとどの程度のことをされるのか目星がつくので少しは安心できるかなと思って質問しました。

ISPに質問をしたところなりすましが一番危険なので、パスワードの管理をしっかりとしてくださいと言われました。でも、パスワードは破られるってよくハッカーのひとって言いますよね。それってどういう意味なのかな？と疑問に思っています。サーバーに何か作用を与えるとISPがもっているIDとパスワードの対応表が出てくるとかそういう類なのでしょうか？