セキュアOSだから実現できる強固かつ柔軟な認証、NTTデータがTOMOYO Linux用いて開発

NTTデータは、オープンソースソフトウェアとして公開している「TOMOYO Linux」を用いた新たな認証方式のプロトタイプを開発した。

[ITmedia]

　NTTデータは10月13日、オープンソースソフトウェアとして公開しているセキュアOS、「TOMOYO Linux」を用いた新たな認証方式のプロトタイプを開発したことを発表した。特に、SSHサービスのパスワードを総当たりで試してホストへの侵入を試みる「SSHブルートフォースアタック」への効果が高いという。

　ユーザー認証はセキュリティの基本中の基本だ。しかし、一般的に用いられているIDとパスワードの組み合わせは、他人に容易に推測され、なりすましされる可能性が高い。事実、メンテナンス用に公開しているSSHサービスのパスワードをブルートフォース攻撃によって破り、侵入を試みるSSHブルートフォースアタックが近年急増しているという。

　一方、ICカードやバイオメトリクス認証、公開鍵認証ではより強固な本人確認が可能だが、コストや導入の手間がかかる点がネックとなっている。

　これに対しNTTデータでは、TOMOYO Linux上で複数の認証手段を実行することで、仮にSSH認証を破られてもその先の侵入を食い止める仕組みを開発した。セキュアOSが備える強制アクセス制御（MAC）を用い、SSHログインの後に、ログインしたユーザに回避することのできない追加的な認証を強制する。この方式により、SSH認証を突破されても、不正な操作を制限することが可能という。

　プロトタイプでは追加認証として、パスワードをキーボードから入力する際のスピード（打鍵タイミング）による方式と、あらかじめ登録した携帯電話を用いたワンタイムパスワードという2種類の認証手段を開発した。ただし、追加する認証の内容／段数は、必要に応じて任意にカスタマイズ可能であり、ほかにもさまざまな認証手段が考えられるとしている。

　NTTデータではこの追加認証方式を、既存の認証システムとは独立しているため制約が少ないうえに、強固な認証を実現できる方式とし、商用システムなどへ積極的に展開していく方針だ。また、今回開発したプロトタイプの認証手段を、TOMOYO Linuxプロジェクトにて公開する予定という。