ヤフー(株)と独立行政法人 産業技術総合研究所(産総研) 情報セキュリティーセンターは23日、東京・六本木の六本木ミッドタウンのヤフー社内会議室にプレス関係者を集め、昨年1月に共同研究の開始を表明していた抜本的なフィッシング詐欺への対策技術について、このたび成果をまとめ、2007年度中にヤフーが行なっているオークションサービス“Yahoo!オークション”の一部ユーザーを対象に、βテストを開始すると発表した。将来的にはオープンソースコミュニティーにソースコードを提供して、ウェブサーバー側(Apache)とクライアント(Firefox/Internet Explorerなどのウェブブラウザー)への実装を目指すとともに、インターネットでの標準規格化(RFC)に向けた提案を進めるという。
説明に立ったYahoo! JAPANオークション事業 事業部長の八代峰樹氏
産総研情報セキュリティ研究センターの副研究センター長の渡辺 創氏
これは、既存のHTTP/HTTPSの延長上で利用でき、サーバー側にもクライアント側にも負担(手間やコスト)をかけない形で、ウェブサイトの認証や中継サーバーを用いた盗聴(詐取)にも高い安全性を実現するべく開発された技術だという。
具体的には、以下のような特徴がある。
- ウェブブラウザー(当初はFirefoxのアドインソフトとして提供)のツールバーに、ID/パスワードを入力する専用フォームを実装
- ユーザーが入力したパスワードに加えて、毎回異なる乱数、および接続しようとするサイトの固有情報を用いた暗号化(PAKE方式にホスト名識別による変形を実施)を相互に行なうことで、ID/パスワードが盗聴されにくい個人認証を実現
ウェブブラウザー(Firefox)のアドインとして、ツールバーに“M”のアイコンが出る。この認証技術を使ったサイトにアクセスすると、写真のように自動的にユーザー名とパスワードを記入する欄が表示される
正しいIDとパスワードを記入すると、暗号化されたパスワードがやりとりされて認証が行なわれ、無事サイトにアクセスできる。このときにはアイコンが緑に変わり、アクセスしているIDのみが表示される
今回の発表会でデモされた内容では、まず本技術によってID/パスワードの入力が必要なサイトにアクセスしようとすると、ウェブブラウザーのツールバーに組み込まれたID/パスワードの入力欄が自動的に露出して、ユーザーに入力を促す。
ツールバーに入力欄を設けた理由は、フィッシングサイトによってはあたかも本物のウェブサイトと同じようなダイアログボックスを表示したり、ダイアログボックスに見せかけたウェブページの入力フォームを持つものも出てきているため、と説明する。
不正なサイトに誘導された場合(下)でも、ユーザーIDからパスワードが検出できないため、認証が行なわれない。このとき不正なサイトに送られるパスワードもランダム情報を含めて多重に暗号化されているため、元のパスワードが盗み出される心配もないという
ここに入力したパスワードは、まずクライアント側で乱数(接続しようとするたびに変化)を用いた暗号化を実施。さらに接続先サーバーの固有情報(IPアドレスなどを例に挙げて説明)による変形(暗号化)を実行。そのデータをサーバーに送信する。
一方でサーバー側では、入力されたIDから接続しようとしているユーザーのパスワード情報を検索して、クライアント側とは独立した乱数で暗号化。さらにサーバーの固有情報で変形して、そのデータをクライアントに送信する。
相互に受け取ったデータを、双方の乱数でさらに変形することにより、同一性を確認して認証を行なうという(上記の説明は、ごく簡単に説明した技術概要であり、実際の手順とは異なる)。正しく認証が行なわれると、ツールバーが緑色に変わり、接続先が正しいサイトであることが視覚的にも確認できる。
この技術のメリットをまとめた表
この方法はISO(国際標準化機構)/IEC(国際電気標準会議)で標準化されている認証技術“PAKE”(Password Authenticated Key Exchange)を拡張したもので、既存のプロトコル(HTTP/HTTPS)と組み合わせて利用できるのが特徴。仮に途中で認証途中のデータを盗聴されても、乱数を含んで暗号化されたデータのため、元のパスワードが漏洩する危険はないという。さらに、サーバー(ホスト)の固有情報を利用するため、情報を盗み見ようとする中継サーバーが間に入っても、そのサーバーとの接続が確立しないので高い安全性が保てるとしている。
本技術を標準化し、普及に向けて取り組むというロードマップ
今後は、2007年度中にYahoo!オークションで実証実験を経て、ウェブブラウザーへの搭載を働きかけ、2010年ごろにYahoo!オークションで本格利用を開始。並行してIETF(Internet Engineering Task Force)での議論を通じて標準化(RFC化)を目指して活動していく、としている。