（note-1.htm）　研究・備忘ノート

1.「パスワードについて」　　12/27/2001UP　note-1.htm
2.「本人の確認について」　12/28/2001UP　note-2.htm
3.「暗号化方式について」　12/30/2001　note-3.htm(工事中)
4.

1.「パスワードについて」

◆     「情報システム管理者心得帳」小浜健二著、中央経済社、平成5年11月
　　　　ｐｐ.127-129からの概要抜粋を主体に注記も加えた。

・長さは、4桁以上8桁以内程度の英数字がいい（と本には書いてしまった）。
　　（注）しかし英数字も大文字・小文字を混ぜ、特殊記号も入れた方がよい。
　　　　長さも、8桁にこだわらず、「pass-phrase」というように意味を持たせた
　　　　長いpasswordでもよかろう。たとえば、「√5＝Fuji36Ω7Q」とかね。
　　　　しかし辞書にある単語をそのまま使用したりすると、辞書を用いたpassword
　　　　cracking　attackの餌食になる危険がある。

　　（注）ＣＰＵで不可能とされる処理をチャーリー・カウマンなどのように
　　　2の64乗とすれば、安全なpasswordは６４ビット（十進数で２０桁）
　　　が必要で、これ以下の場合はオフラインでpassword推測をされる危険がある。
　　　（「セキュリテイハンドブック�U」日本セキュリテイマネジメント学会編、p.111）

・個人別とする。

　　（注）「グループID」とか「デスクID」なんていうのがある。
　　　　これを個人別ではなく、業務のユニットにID＝passwordとして
　　　　使用している企業がある。つまり、複数人で使用するので、もう、
　　　　ID=passwordとしてしまって同じものを使う、というひどいもの。
　　　　たとえば、「引き込み外注」などで、外注要員には、同じID,
　　　　同じpasswordなんていうひどい委託企業は、もう無いかな。

・初めて与えるときは、password使用依頼書を徴取し、仮のpasswordを与える。
　ユーザは受領後、ユーザ自身が自分用のpasswordに変更する。
　　（注）最初のpasswordはデフォールトなので、変更しないと駄目、
　　　　というシステムに作りこむのがよい。

・Passwordは３ケ月程度で変更することとし、満了期限が接近したらlogonの都度、
　　warning　message（passwordを変更せよとの警告文）を画面上に出す。

・     満了期限を経過してしまったら、また初めに返って依頼書を徴取するという
　　厳格な方式と、小企業の場合などでは、電話などで本人を確認後、旧passwordを
　　入力させて、新passwordへの期限後変更を容認する方式とがある。
　　　（注）後者の方式は、あまり良くない。しり抜けだから。

・     passwordの変更は、ユーザ自身で行う方式が良い。Password管理者に変更依頼書を
　　提出させてpassword管理者が変更する方式もあるが、ユーザ数が多くなると管理者の
　　作業負担が多くなる。また、管理者といえども個人のpasswordを知るのはよくない。

・     ユーザがpasswordを忘れてしまった場合には、依頼書を徴取して、仮のpasswordを
　　与え、ユーザ自身に変更させる（初回の場合に同じ）。

・     passwordの入力を数回（３回程度）間違えたら、無効としてしまい、また、
　　初回と同じ手順を踏ませる。
　　　　（注）入力してきた端末を使用不可（ロック）する方式もあるが、これは逆に
　　　　　業務妨害のために、わざとロック多発にされる危険がある。このような危険に
　　　　　備えて、わざとpasswordチェックの処理速度を遅くして推測の施行を行いにくく
　　　　　したり、探知の時間稼ぎをする方法もある（「セキュリテイハンドブック�U」p.111）

　　・     passwordは当然、画面上に表示しない。桁数だけアステリスク（＊）で表示する。

　　・     password　fileは暗号化する。このようにPassword管理者自身も他人のpasswordを
　　　知ることは出来ない方が良い。
　　
　　・     現行passwordを、新passwordに変更する際には、一定回は異なるpassword
　　　　　とすること。
　　　　　
　　　　少なくとも３回は毎回異なるpasswordを登録させる。すなわち最初のpassword
　　　　が1234、２回目が5678、３回目が9012ならば、４回目はまた1234でも良い。
　　　　　（注）これを３回以上、たとえば10回とかにしてる企業もある。
　　　　　　　　また、ただ3回変更すればよい、というものでもない。たとえば、変更するのが面倒
　　　　　　　　なひとは、変更する際に続けて、1234から5678、そして9012、そしてまた1234と
　　　　　　　　一時に変更してしまえば、また元のｐａｓｓｗｏｒｄの1234に戻ることができる。こうして
　　　　　　　　一年中同じｐａｓｓｗｏｒｄを使うこともできるんや　(>_<)
　　　
◆     「ダイナミックパスワード」前掲書。ｐ.149

　　logonの都度、毎回異なるpasswordを入力させる方式。これには道具を利用するものと、
簡単な算法を利用するものとがある。後者にはたとえばpasswordの最後尾2桁を数字に
しておき、毎回数字1ずつ加算するなんていう単純なものもある。前者は電卓みたいな
形態のpassword生成器を利用する。

　まずホストの端末にID番号を入力すると、「チャレンジ番号」が返還される。
　そこでこの数字をこの生成器に入力する。この機器の中には一定の算式が組み込まれて
　いて、そのチャレンジ番号に対応するpasswordが表示窓に示される。これを「見て」、　
　　passwordをホストの端末に入力してシステムの中に「入れ込む」ので、See　Through
　　といわれることもある。

　問題はこの生成器の安全度である。この機器の算法を調べようと機器を分解した場合には、
　その途端に自ら無効となる仕掛けになっている。

（注）「ワンタイムパスワード」「使い捨てパスワ−ド」ともいう。ところで、紛失・盗難
　　　の場合にはどうなるのか。最初に入力するID番号などが知られている場合には危険だ
　　　なぁ。
　　　このチャレンジ方式には、「時間同期方式」がある。つまり生成器とホストサーバ
　　　が時間で同期しており、時間をパラメータにした算式でチャレンジ番号を返してくる
　　　（「インターネットセキュリテイがわかる」セキュリテイ研究会編、技術評論社、
　　　　平成12年3月、pp.172-173）。　

◆　最後にパスワードの返却

　　この言葉ちょっとfunnyだよね。返却はIDと一緒になるから。passwordだけ返却します、というのは
　スーパーバイザーとか補助者とか以外には無いだろうから。

　　IDの返却乃至削除は、人事部と連動して速やかに行うこと。退職者のIDやパスワードがいつまでも
使用可能のまま残ってる、なんてのは論外。人事部から即刻通知させIDを削除（ないし使用禁止）に
する。外資系の場合には、悪意ある従業員の解雇なんてことがあるので、この方式（即削除）は特に厳格
に行っている。

　（注）ついでにIDについて。IDを社員番号にしてる企業は結構多い。社員番号の付け方だが、創業以来
　　の一連番号なんて企業もあるし、YYGNNNなんてのもある。これは最初の2桁が入社年（西暦の下2桁）
　でGは男女の別、NNNはその年次の一連番号（多くの場合、氏名のアルファベット順とか五十音順）。

　この方式では、2000年問題で、ちょっと困ったかね。男女別も性差別になるかな　(>_<)

　IDに職場コードを織り込んでる企業がある。例えば人事部はPDXXX、システム部はISｘｘｘとか。このメリット
　は、IDにより表示するmenuを簡単に特定できることにある。つまり会社のどこからアクセスしても、そのID
　を入れると、人事部なりシステム部なりの専用menuが表示される。ま、しかし、これも良し悪しだよね。

　人事のような機密情報をどこでも見れる、なんてのはどうかな。やっぱり、端末の方の物理的情報で限定
すべきだよね。また、その人間が職場を異動になると、いちいちIDも変更せねばならず面倒だよね。