2005年03月23日(水) << 前の日記 | 次の日記 >>
これまでの03月23日 編集

■1 受け入れテストセキュリティチェックリスト for Webアプリケーション[http://www.geocities.jp/ikepy0n/securitycheck.html][セキュリティ]次の記事 >> このエントリーをはてなブックマークに追加

otsuneさんとこ[http://www.otsune.com/diary/2005/03/22.html#200503223] から。
「発注したWebアプリケーションの開発が終わって、納品されたときにやっておくべきセキュリティチェックの為のリスト」という立場が良いですね。
開発者がチェックするのは当然。

■ 関連記事

■2 PowerEdge SC420[http://jpapp1.jp.dell.com/jp/downloads/pdf/catalog/poweredge_sc420.pdf][おかいもの]<< 前の記事 | 次の記事 >> このエントリーをはてなブックマークに追加

「チケット使うと激安!」という情報が流れていたので、2台購入。消費税・送料込み45,399円(2台で)でした。
手持ちのパーツに要るもの足してちょっとしたサーバ作ろうと思っても、きっとこの金額にはなりそうにない。
メモリがECCなので買い足すと結構な値段になるし、普通のメモリとは混在不可の様なので、1台から抜いて刺しちゃうということを目論んで2台。

■ 関連記事

■3入院<< 前の記事 | 次の記事 >> このエントリーをはてなブックマークに追加

「母親が倒れた!」ということなので、お見舞いに。そこまで心配な状況では無いようだ。一安心。

■ 関連記事

■4休学<< 前の記事 | 次の記事 >> このエントリーをはてなブックマークに追加

大学によって、先生と相談。1年間ほど休学する方向で。

留年カウンセリング:

確かに、同級生がいなくなるし、下級生と一緒に授業受けないといけないし、就職の不安とか色々な不安が出てくるだろうから、カウンセリングも必要だよなって思ったんですが、良く見たら「留学カウンセリング」だった。

■ 関連記事

■5 ルービックキューブを揃える「レゴ」のロボット[http://jpbrown.i8.com/cubesolver.html]<< 前の記事 | 次の記事 >> このエントリーをはてなブックマークに追加

■ 関連記事

■6「おもちゃ」に生体情報を使う指紋認証製品[セキュリティ]<< 前の記事 | 次の記事 >> このエントリーをはてなブックマークに追加

この先、どの様なストーリー展開になるか分からないけれども、こういう製品を作る人は、生体認証の重要性を分かっていないのではないかと思う。こういう製品を薦めて良いのだろうか。
販売会社の人からは、あっさりと「そうです。 ある意味オモチャみたいなものですが、流出させたくないファイルにアクセスするために、二重・三重のハードルを加えることで、セキュリティーのレベルはかなり上がるんですよ。実際、会社に置いてあるコンピューターに、ハードディスクを外付けにできるくらい信用されている人になら、そのファイルは見られても構わないんじゃないですか?」と、明確な回答。そりゃそうだ。
生体情報は究極の個人情報だし、変更できないという特徴を持つ。 無くす心配や忘れる心配が非常に低いし、機器がきちんと作られていれば、なりすましの被害を受ける可能性も低い。
パスワードは使い分けをする。
パスワードは秘密の共有によるセキュリティだから、本当は全ての相手に対して各々別のパスワードを使用した方が良い。だけれども、ありとあらゆるものにいちいちユニークなパスワードを使うのは大変だから、レベルを分けて運用している人が多いと思う。
例えば、本当にセキュアなサーバに使うパスワードと、毎日、時には自分が管理していない端末からログインするために使うパスワードは分けている場合が多いだろう。相手が平文でパスワードを記憶しているかも知れない、よその掲示板等の削除用パスワードに同じパスワードを使う人もいないはずだ *1
こういった序列で行くと、生体情報を究極のパスワードあるいはIDとして使うためには、 生体認証機器は信用されなければならない[http://www.nantoka.com/~kei/diary/?200503a&to=200503091#T200503091]
生体情報そのものを内部に持つべきではないし *2 、自分が持ち歩くデバイスを介して本人であることの証明を行うシステムになっているべき *3 だ。
マイクロソフト社が、 指紋リーダー製品[http://www.asia.microsoft.com/japan/presspass/addcont.aspx?addid=605] を出しているけれども、
フィンガープリントリーダーは、 セキュリティを強化するための機能ではありません。企業ネットワークへのアクセスや、財務情報などの機密データを保護する目的では使用しないでください。
という様なレベルの安全性の様だ。こういう意識で指紋情報を扱ってもらうのは困る。
「指紋を使っているから安心」という様な「なんちゃって生体認証機器」が普及すると、生体情報のセキュアさが薄れてしまう。そうなってしまうと、きちんとした生体認証機器であっても、もはや安心して使えなくなってしまう。「おもちゃ」に生体情報を使ってはいけない。

[エレクトロニクス]Microsoft Fingerprint Reader [DG2-00003][http://www.amazon.co.jp/exec/obidos/ASIN/B0006O4IDA/keisdiary-22?dev-t=DDHPHE04VROHE%26camp=2025%26link_code=sp1]:

どうも、FireFoxで言うところの「マスターパスワード」の働きをしてくれる様に見えるが、どういう仕組みになっているのだろうか。買ってみようと思うが、以下は想像に基づいている。
FireFoxのマスターパスワードの場合、マスターパスワードを鍵として、他のサイトのパスワードを暗号化している。マスターパスワードの強度が十分にあって、暗号化の仕組みに問題が無ければ *4 、仮にディスクの内容をコピーされても解析できない仕組みを作ることが可能な筈だ。
ところが、この製品の場合、「鍵」になるものを置く場所が無いように思える。 デバイス自身が指紋認証をやって、マスター鍵によって各々のサイトの鍵を生成してくれるという仕組みになっているとすれば話は別だが、価格と売り方からしてそういう製品になっているとは思えない。
あるいは、指紋自身から不変の何らかの値を取り出して、それを鍵にするという方法も考えられるが、これは相当に困難な筈だ。
だとすると、想像するに、秘密の鍵を(この製品は知っている)ヒミツの方法でどこかに保管しておいて、指紋認証が成功した時に限り、その秘密の鍵をヒミツの方法で展開して、各サイトのパスワードを取り出す仕組みになっているのではなかろうか。
もっと単純に、各サイトのパスワードをヒミツの方法で暗号化しておいて、指紋認証が通った時だけ取り出しているのかも知れない。
この辺りは、実際に製品を手に入れて、指紋認証が通らなくなった場合にどうするかを見れば分かるだろうと思う。
もし「ヒミツ」に頼っている製品だとすると、解析されたら終わりだから、 セキュリティを強化するための機能ではありません。と言わざるを得ないだろう。
*1: 残念なことに多いらしい。ちなみに、この日記の掲示板の削除用パスワードは、ブラウザのCookieとして平文で保管されている。万が一、過去に大事なパスワードと同じものを入力してしまった人は、パスワードを変更することをお勧めする。
*2: 生体認証への根本的な疑問,[http://www.nantoka.com/~kei/diary/?200501c&to=200501262#T200501262] 続・バイオメトリクス認証機器は、バイオメトリクス情報そのものを保存してはいけない[http://www.nantoka.com/~kei/diary/?200501c&to=200501271#T200501271] 参照。
*3: 「モバイル機器の指紋認証デバイスに頼ってはいけない」〜生体認証デバイスは信頼されなければならない[http://www.nantoka.com/~kei/diary/?200503a&to=200503091#T200503091] 参照。
*4: ソースコードが公開されているのだから、あったら既に大騒ぎになっていると思われる。

■ 関連記事

■7日記800日[hns]<< 前の記事 このエントリーをはてなブックマークに追加

日記をWebに公開し始めたのは、 1998年10月14日[?199810b&to=199810140#199810140] なので2500日程度経っているけれども、書いていない日が結構あるので、記事を書いた日がどれ位あるのか数えたら、802日分あった。
結構な日数続いてる様だ。

■ 関連記事

以上、1 日分です。

指定日の日記を表示

前月 2005年03月 翌月
1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30 31

最近の日記

2019年04月01日

新元号「令和」について

2019年03月23日

DXアンテナ ワイヤレスチューナー メディアコンセント DMC10F1

2019年02月17日

#例のグラボを活用する

2019年01月03日

シリーズ5・myHomeAlexaで自分のCDをかける

2018年12月25日

シリーズ4・英語の楽曲・アルバム・アーティスト名をカタカナに直す

2018年12月23日

シリーズ3: Echo Dotがやってきた

2018年12月19日

続・Echo Dotがやってきた

分野別タイトル一覧


全て
CLIP
SYA!nikki
book
freebsd
hns
magic
おさけ
おしごと
お買いもの
ぐる
ごはん
アクセシビリティ
オープンソース
セキュリティ
音楽
地域情報化
電子自治体
日記

keikuma on Twitter

keikuma Name:前田勝之
Location:長崎市
Web:http://www.nantok...
Bio:前田勝之(まえだかつゆき)。長崎在住。コンサル、SE、プログラマー、 なんとか株式会社代表、非常勤講師(情報セキュリティ)。 セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。 ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。

サイト内検索

Google AdSense

Powered by hns-2.19.9, HyperNikkiSystem Project