パスワードを忘れた? アカウント作成
1403011 story
テクノロジー

パスワードがなくなる日、当分の間はやって来ない 48

ストーリー by reo
こんな未来は嫌だ 部門より

danceman 曰く、

IBM は昨年末、恒例の未来予測で「パスワード不要化」を挙げていたが (/.J 記事) 、カナダのカールトン大とマイクロソフトの研究者によれば、音声や顔認識、指紋、網膜認証といったものがパスワードに取って代わることは当分の間はないだろうとのこと (IEEE Security&Privacy Magazine の予稿[PDF]、本家 /. 記事より) 。

これまでパスワードはいずれなくなるものと考えられていたため、パスワードそのものにはこの 20 年間、何も進歩がみられなかった。一方、生体認証や PKI などパスワードに取って代わろうとした他の認証方法は、費用対効果、即時性、利便性といった点でパスワードには勝てなかったとしている。また、多くのシチュエーションにおいてパスワードの利用がふさわしいということを踏まえ、代わりとなる他認証方法を求めてさらに 20 年を無駄にすることはやめ、セキュリティー性をより高めるべくパスワード利用に対するサポート方法を考え直すべきであると結論づけている。加えて、パスワード認証が好ましくないようなシナリオの特定及びそういった場合の代替認証方法の特定を行うべきとしている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • ある個人をどこかで認証したら、そいつをずーっと追跡し続けて絶対見失わない事。つまりコンピューターネットワーク的には死角を無くす必要がある。

    だが、それを言うと "Big Brother!!" と言われるので、パスワードはなくならない。

    --
    fjの教祖様
  • タレコミは単に「PKI」とあるが、原文は「client-side public-key-infrastructure」だね。行間を読めば、SSL/TLのサーバー認証とかは、そこそこいけてるのではないかと。
    --
    iida
    • by Anonymous Coward

      サーバー認証でユーザーの識別はできんだろ。それは行間を読んでるんじゃなくて単に無関係な話にこじつけてるだけ。

      • 「サーバー」の「認証」なんだから「ユーザーの識別はできん」 (というか、ユーザーの識別をしない) のは当然。ポイントは、パスワードを使わずにしていること。
        --
        iida
        親コメント
        • by benzene975 (41852) on 2012年01月18日 17時11分 (#2082967) 日記

          本文によると、パスワードうんぬん言われているのは、一般ユーザーがコンピューターや携帯端末を使うときのことでは ?
          サーバーの認証の話を持ち出すのは誤りでしょう。
          それに、現在の一般的なシステムはパスワードが本人確認の役割を果たしているようなものですが、
          それを使わないとなると(このトピックはそういう話です)、どうやってユーザーの認証・識別をするのか、という問題になります。
          それなのに識別はできん、識別をしないのは当然と言われても困ります。(サーバーの認証なんだから、じゃなくてクライアントの話ですよこれ)

          # 行間を読む前にやることがあるのでは ?

          --
          自由の行使には責任を伴わなければならない
          親コメント
        • by Anonymous Coward

          つまりパスワード不要化とはまったく関係ない話ってことだろ。それともSSLで接続すればパスワードはいらないとでも言うのか? 馬鹿?

          • by Anonymous Coward

            ユーザーが一人一枚証明書を持てばユーザーの認証もできてしまうのでは?
            証明書の配付が面倒なのと、サイトをまたがって名寄せできてしまうので
            現実解としてはありえないとは思いますが。

  • openssh-lpkとか本家にマージされたら、証明書によるログインの普及が結構進むと思うんだけどな。
    セキュリティフックスなどの運用考えたら、パッチ当てるの大変だし・・・

    ついでに、ssh鍵をActiveDirectoryとかに入れられるようになったら、内部向けシステムとかの鍵認証が進みそう。

    --
    by rti.
  • IMEI、シリアル番号、WLANのMACアドレス、電話番号とか。 しかし、プライバシ保護の点で問題がある方法ばっかりですね。
    • by Anonymous Coward

      IPアドレスを忘れてますよ

      • by Anonymous Coward
        日本の大手携帯電話キャリアが採用しているくらいだから、安全性と信頼性はピカイチなはず!
  • Suicaみたいなもので認証すれば、パスワードは必要なくなるかも。
    openIDみたいに認証サーバは一つ。
    カードは予備として少なくとも二枚所有。
    非公開のIDを記憶しておけば、カードを落として拾われても侵入されない。そのIDは覚え易いもので構わない。連続して認証に失敗したらカードが無効になるようにしておけば安全。

    • by Anonymous Coward

      そのIDは利用者にとってパスワードなんじゃないかとw

      結局、「アクセスしているのは誰だと名乗っているか」と、
      「本当にその人本人だろうか」という二つの条件が必要で、
      本人の認証には住基カードみたいな個人認証サービスが使えるとは思うんだよね。
      問題は「モノ」だと拾った人などの第三者が勝手に使えちゃうことなんだけど、
      これは「絶対になくさない」と「悪用したら死刑」で十分じゃないかと。

      • >そのIDは利用者にとってパスワードなんじゃないかとw

        いや、まあ、そうなんですけど。

        私の場合はパスワードは原則的にサービス毎に乱数で生成してます。
        メールアドレスをIDにするところが多いからね。

        それに比べれば、非公開のIDの方がまだ楽かな。
        パスワードを全く使わない、というよりも、ずっとずっと楽になって安全になる、というほうが重要かと思います。

        >これは「絶対になくさない」と「悪用したら死刑」で十分じゃないかと。

        これも確かにそうなんですが、悪用した人が捕まらないと、どうしようもないし。注意していても絶対落としそう。

        >住基カードみたいな個人認証サービス

        住基カードだとFacebookみたいな実名本人主義のところにはいいけど、普通の認証にはちと多げさかな。SuicaやWAONカードのような、買えば複数持てる、みたいなほうがあっていそう。住基カードみたいなものは中国あたりだと本人の割り出しに使えるから、当局側にはおいしそう。

        親コメント
        • by Anonymous Coward

          家の鍵もなくす人はなくすんですよね。
          でも、あれは鍵からは家や車などの対象が分からないからいいんですよね。

          なので、個人認証用の鍵を入れるデバイスは住基カードよりもっと自由な方がいいかな。
          ただし、国民総背番号制(韓国だかで使ってる番号みたいな)と結びつけて、
          一つの鍵でネットでもATMでも役所でも家の鍵でもなんでも共用できれば楽になる。
          分けたければ分けて登録することもできるようにして。
          難しいかなぁ。

          • >一つの鍵でネットでもATMでも役所でも家の鍵でもなんでも共用できれば楽になる

            たしかに。まあ、あまりに何でもというのも不安がありますね。技術的にもむずかしそう。

            親コメント
            • 「一つのランダム文字列が記録されたカード」(ユーザーは何が書かれているか知らない)で
              「各サービスにはその文字列+サイトURL等から真・パスワードが生成される」(完全一致パスワードの使い回しをしない)で
              「カードの文字列は一定期間ごとに変更されるが、そのカードを使い続ければ利用中のサービス上では自動で新しいパスワードに移行してくれる」で
              「パスワードとは別にカードの固有番号があり、紛失時にはその固有番号と身分証明によりサービスの停止等が可能」
              とすればなんとか・・・

              ケイタイのカンタンログインをもうちょい弄ればコレに近いことができそうだな。

              親コメント
    • by Anonymous Coward

      SUNのシンクライアントなんかもその手でしたね。
      カード一枚ガチャンとさせば自分のデスクトップが、どこのオフィス/支店であろうと手元にやってくるようなものでしたが。社員証や入退室管理を統合できるんじゃないでしょうか。
      IDなんか要りません。無くしたら無効化して再発行してもらえば。

      • 問題はカードリーダーですね。
        全ての機器につなげられるリーダーはないし。
        USBがない機器もあるし。

        それ以前にどうやって普及させるか?
        FacebookかGoogleならできるかも。

        携帯を使えないかな。パソコンにつなげないで携帯から認証する、無理かな?

        親コメント
        • by Anonymous Coward

          物理キーは物理的に発行して渡す手間コストがありますし、落として止めずに放置とか、悪意ある人にこっそり譲渡とかできちゃうのでPublicな無料サービスには基本的には向きませんね。
          現実との結合を重視する、Facebookなら身分証明書にひもづいたものとして発行していろいろな場所で身分証明書的に使えるようにするサービス始めるかもしれませんけど。採用時人となりを見るために提示を求める企業とか出るにちがいありません。

  • by Anonymous Coward on 2012年01月18日 15時09分 (#2082880)

    目が潰れたら網膜認証は使えないし、
    指を落とされたら指紋認証は使えないし、
    芝刈り機に巻き込まれたら掌紋も手のひら静脈も使えない。

    脳が吹っ飛ばされたらどうせ死んでるのでパスワードでいいよ。

    • by nemui4 (20313) on 2012年01月18日 15時33分 (#2082902) 日記

      目が潰れたら認証画面は見えないし
      指を落とされたらパスワードを入力できないし。
      芝刈り機に巻き込まれたら痛くてそれどころじゃない。

      脳が吹っ飛ばされたらどうせ死んでるのでパスワードでいいよ。

      #あれ?

      親コメント
  • by Limbodot (42869) on 2012年01月18日 15時45分 (#2082910) 日記

    生態認証は、アカウントを共用できない。この1点だけでも普及しないと思う。
    図書館の検索パソコンなんかもそうだし、adminのパスワードを管理者複数名で共有してる組織なんてザラだと思うんですが。
    だっていちいちアカウント新たに作りたくないしぃ。

    • by digoh (17917) on 2012年01月19日 11時04分 (#2083371) 日記

      指紋認証のUSBメモリとかありますけど、10本まで登録できるんで
      「お前は人差し指、お前は中指、お前は薬指な」って感じで複数人を登録して使い回してます。
      一つのアカウントに複数の生体記録を登録できればいいんじゃないですかね?

      #おまけ話
      問題は、誰がどの指にどの指を登録したか忘れること。
      誰か一人アカウントを停止しようとしたとき、どの指を消せばいいか分からなかったり、
      「右人差し指と左人差し指」を登録したつもりが「右人差し指と右中指」だったりして左人差し指で何度こすっても認証されなかったり……。

      親コメント
    • by Anonymous Coward

      管理者全員の生体認証と紐付ければいいだけ

  • by Anonymous Coward on 2012年01月18日 12時03分 (#2082718)

    ところが増えているような気がします。

    それやると、パスワードの統一がなくなるのはわかるのですが、覚えられなくって、安直なパスワードリセットに頼ることにならないのかなぁ………

    • by Anonymous Coward

      PKI導入前のうちのシステムがそうなってた。
      その時はパスワードフレーズを複数作って合体パターンを変えて使ってた。
      フレーズを3つ用意したら、3x2で6パターン。
      各フレーズは意味のある単語を避けると吉。
      フレーズがバレたら元も子もないな。
      忘れても5・6回チャレンジしたら入れた。

  • by Anonymous Coward on 2012年01月18日 12時05分 (#2082720)

    と読んで、大衆心理の話かと思いました。

  • by Anonymous Coward on 2012年01月18日 13時17分 (#2082781)

    認証情報を含むUSBメモリとか。
    パスワードを記憶するよりは、物理鍵(のようなもの)を管理する方が、
    普通の人には管理スキルが備わってると思うけれど。

    • http://japan.cnet.com/news/sec/20075851/ [cnet.com]

       「いずれはパスワードを完全に廃止する。.Net技術をベースとしたフレームワークにスマートカードが組み込まれる日が待ち遠しい」(Gates)

      それでどうなったか、というのは予稿によりますと

      Approaches that require client hardware (e.g., fingerprints, smartcards) face an obvious chicken-and-egg barrier. Physical tokens are expensive and few users aspire to carry the dozens that would be required to replace all of their passwords.

      • 高いハードウェアが必要だから普及しない→普及しないからハードウェアが高い→(略)
      • 複数パスワードを置き換えるには複数の物理鍵をジャラジャラ持ち歩かなくちゃいけない、けどそんなことをしたい人は少ない

      といった問題で失敗したと分析されていますね。

      親コメント
    • by Anonymous Coward

      住基カードですね。
      あとキャッシュカードとかクレジットカードとか……あれ?

      #/.の認証がICカードとかアホですよ?

  • by Anonymous Coward on 2012年01月18日 13時42分 (#2082804)

    さぁ、みんなで一つになろう。

  • by Anonymous Coward on 2012年01月18日 14時10分 (#2082834)

    普通に指紋認証してるよ。

  • by Anonymous Coward on 2012年01月18日 15時18分 (#2082889)

    詳しくないからよくわからないが、結局は、ハードで読取り、デジタルデータにしてサーバーに送り認識させるんだろうけど、
    そのデジタルデータが盗まれたら終わりでは?
    パスワードとやってることは同じで形が変わっただけのような。

    暗号化などで盗聴防止するのかもしれないが、そもそもの暗号化前のオリジナルデータが盗まれない保証はない。
    指紋だと、日頃いろんなものを触りまくってるわけで、パスワードを書いたポストイットをそこら中に貼りまくってるのと同じ気がする。(そこから生体認証できるくらいまで復元するのは大変だろうけど)

    フィッシング詐欺があるように、生体デジタルデータを抜き取るハードも広まるだろうし、握手するだけで取られるかもしれない。
    網膜でも遠くからでも採れるようになるかもしれないし、寝てる間にとられるかもしれない(パスワード記憶なら盗られない)。

    さらに、生体認証の場合、「変更が効かない」。一度盗まれたら死ぬまですり替わりが可能になる。パスワードの変更が効かない。セッション固定化してID盗まれるようなもの。
    それなら、まだICカードを基本とし、盗まれたらそのICは完全に無効にして新しいカードを使用する、というほうが安全な気がする。
    古いICカードに紐づいた情報をどうやって新しいICカードへどう移行させるか(どう本人確認するのか)が必要になるけど。

    パスワードを記憶するのが一番簡単で安全なのかもしれない。

    • by Anonymous Coward

      実物は知りませんが、恐らく読み取り装置自体をサーバが認証する手順が入っていて、信用できる読み取り装置が目の前の生体から取得したと言っている情報しか受け付けないようになっていると思います。

      人間に例えるとこんな感じ:

      子分「スズキと名乗るこれこれこういう奴が取引したいと言っています。」
      親分「そいつはスズキで間違いない。よし、分かった。」

      謎男「スズキと名乗るこれこれこういう奴が取引したいと言っています。」
      親分「そいつはスズキで間違いないが、その前にお前は誰だ?」

      騙し方としては、スズキ氏に変装して子分を騙すか、子分に変装して親分を騙すかになります。
      スズキ氏の特徴を知っていれば変装の助けにはなりますが、子分が変装をチェックできれば騙せません。

  • by Anonymous Coward on 2012年01月18日 21時59分 (#2083151)

    パスワードに必要なのは文字入力デバイス。qwertyであれ、画面上のソフトウェアキーボードであれ、ケータイのテンキーであれ認証したい機器で文字入力ができないものは滅多にない。
    これほどモバイルやデスクトップ問わず普及した認証デバイスが他にあろうか?あるならそれが取って代わればいいのよ。

    # 次点はカメラかマイクかな

typodupeerror

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

読み込み中...