銀行からFedexでこんなものが送られてきた。「オンラインバンキング用セキュリティ番号生成装置」であります。その名もSecurity Token。
左側の白っぽいボタンを押すと自動的に番号が表示される。１分毎位に違う番号になる。オンラインバンキングにアクセスする際はこの番号が必ず必要。
いわゆる「two-factor authentication」の試みのひとつ。暗証番号で本人認証をするのは「本人しか知らないこと」がひとつしかないのでone- factor authentication。（口座番号は他人も知っている可能性があるから）
「暗証番号」＋「トークンが生成する番号」
の二つが必要なのでtwo-factor authenticationなのでした。米国Citibankでは、企業顧客全員にこれを発行することにしたとのこと。
ちなみに、Citiの企業口座アクセスの際には、トークンの番号以外に
１）ID
２）パスワード
３）もうひとつ３桁の番号
が必要。３番目のはバーチャルキーパッドでしか入力できない。マウスでカーソルを動かして、画面上に表示されるキーパッドを使って数字を入力。Keyloggerでキーボードのタイプ内容を盗まれる対策。
今回のセキュリティトークンは、安全対策のさらなる強化である。
が、しかしtwo-factor authenticationでは防げない犯罪もある、だから意味がない、という説を唱える人も。
防げない犯罪の例としては
１）trojan horse型
本人認証がすべて終わった後、送金をするところで、潜んでいたtrojan horseプログラムが勝手にワルモノのところに送金してしまう
２）man-in-the-middle型（訳すとしたら「中抜き」ですかね）
銀行などのサイトをURLを含め丸ごと偽造、そこにアクセスした人が情報を入力したところで、その情報を丸ごと盗んで本物の銀行サイトにアクセス、勝手な送金を行う
（2は、「URLも盗む」というところが結構大変だが、延々と準備を重ね、ほんの数時間で一気呵成に犯罪を行い、ささっと逃げれば可能そうだ。イメージとしては「Mission Impossible2」。ウクライナとナイジェリアとケイマンとスイスにチームを配置、一気にマネーロンダリングしておしまい、とか。）
とはいうものの、この無意味説は、その後two-factor authenticationを導入する企業（マイクロソフト含む）からの抗議もあったりして、唱えた人自らが「いや、でも完全に意味がないわけではない」と言い直したりしている。
two-factor authenticationの他の例では、携帯にショートメッセージで毎回違う番号を送る、という方法もある。これだと、新しいハードウェアはいらない。
（参考：ヨーロッパの銀行がどんな取り組みをしているかの記事）
＊＊＊
去年日本に行った時、オンラインのクレジットカード認証で、カード番号と有効期限を入れるだけでOKだったのがあって、びっくりした。（アメリカでは郵便番号を照会するために住所入力をさせられるのが普通。リアル店舗でも郵便番号を聞かれることがある。）これだったら、他人のカードをチラッと盗み見るだけで使えそう。大々的犯罪が起こりそうな危険を感じました。オンラインバンキングはさすがにそんなゆるゆるではないと思うが・・。
私が想像する日本で起こりえるシナリオとしては・・・・
性善説とITエンジニア不足により、ゆるゆるで本人認証
↓
ある日突然どっと犯罪が起こる
↓
大騒ぎ
↓
世界でも稀に見る強固なセキュリティ対策が導入される
「強固なセキュリティ対策」は「全携帯端末に虹彩認証」とかでしょうか。Citibankのトークンみたいなのは、技術的になんとなく中途半端で日本では普及しないような気がするので。どうでしょうね。
＊＊＊
ちなみに、このトークン、Made in Chinaである。製造元自体が犯罪組織と関係してたらどうするんだろう。インターポールに依頼して追いかけるのであろうか。何年か前に、アメリカのマクドナルドで
「過去１０数年間のクイズの景品は、すべてクイズ運営委託先が詐欺で奪い取っており、応募してくる普通の人にはひとつも当たっていませんでした」
という大事件が発覚した。「マクドナルドで〇〇に答えて、△△を当てよう」というアレです。賞品の中にはベンツなどの車もあって、詐欺総額は２千万ドル（２０億円超）。まぁ、いくらなんでも、銀行だったらしっかり管理すると思うけど。
しかし個人的に、「製造元が犯罪組織」よりも大きな問題となるのが
「私がトークンをなくす」
ということだ。物をなくすのが大変得意なので。「やれやれ、またひとつ失くして困るものが増えたよ」とため息をついております。
私にとって一番危険なのは自分。♪I’m a hazard to myself♪ というPinkの歌のフレーズが頭の中をエコーします、はい。（From "Don’t let me get me" ）
On Off and Beyond 
結局いたちごっこですね～。
生体認証が究極のセキュリティとして期待されていますが、生体認証した後のシステム処理をハックされたら結局はどうしようもないでしょうね。
man-in-the-middle型は詐欺行為ですよね。店舗を偽造する。。。ネット社会になろうが犯罪のパターンはあまり変わらないものですね。
いいねいいね
日本の銀行でもぼちぼち Security Token の導入ははじまっています（もっとも有料ですが）。でも Security Token が有効なのはせいぜい１・２個しか持たない場合ですね。もしそれ以上の Security Token を持たなければいけないようになったらやってられません 😛
あと、日本での最近のはやりは指または掌の静脈認証です。よく使うコンビニの ATM が対応したので、先日 静脈認証対応のキャッシュカードへの切換えを申し込みました。
いいねいいね
こんにちは。いつも楽しく読んでいます。
重箱の隅ですが、man-in-the-middleは「中間者」と訳すことが多いかと。
SSLに対する攻撃方法の一つのman-in-the-middle attackは「中間者攻撃」と呼ばれています。
いいねいいね
旧東京三菱銀行が1年ほど前から手のひら静脈認証を使ったICカードを導入していたので、新しいもの好きな私としては早速口座を作ってメインバンクにしちゃいました。やっぱりカードと通帳と印鑑と4桁の暗証番号を全部盗まれても(ほぼ)大丈夫という安心感はいいですね。家に空き巣が入って印鑑も通帳も根こそぎ盗まれて、一気に全財産を失って自己破産なんてのは目も当てられません。
ただし利用者は少なそうです。
いいねいいね
こんにちは。いつも楽しく拝見しています。数年前現NYC市長が作った会社でインターンしたときに、やはりこういうID装置がありました。金融情報端末で特定の操作をするときに必要だった様な気がします。客先での設定をするときには使った記憶が・・・ちなみに、ここのオフィスでは各自の端末へのログインは指紋でした。
いいねいいね
HSBCも昨年から全面的に導入しています。
これ電池切れたらどうするんだろうと思います。
いいねいいね
セキュリティ・トークン
先日、顧客企業からID・パスワードに加えて物理認証を加えたい、即ち「two-factor authentication」を実施したいとのご要望をいただきました。早速、Alternax Securekeyの説明に伺ったのですが、Alternaxと組み……
いいねいいね
こんにちわ。会社のVPNのログインで
似たようなID装置を使ってますが、電池入れそうな
感じじゃないですね。時計の自動巻きみたいな感じ
で発電とかしてるのかも。
それにしても、このMcDonald’s「大事件」の記事って、この日付だとみんな読むどころじゃあなかったでしょうね。
いいねいいね
こんにちは、ITインフラ関連の仕事をしております。
>これ電池切れたらどうするんだろうと思います。
iPod shuffleみたく電池交換できません。
電池切れより若干短い有効期限が設定されていて、
時期が来たら交換です。
小型化と、秘密鍵を長期間 使用できなくするための
工夫だと思います。
分解して中のデータを盗まれないようにするための工夫
（耐タンパー性）として、分解すると秘密鍵など記録内容が
消失するようにもなっています。
いいねいいね
ジャパンネット銀行（日本のネット専銀最大手）では７月以降前面切り替えですね。
http://www.japannetbank.co.jp/security/security/otp.html
いいねいいね
Bloomberg は、自分のPCには指紋認証パッド、持ち歩き用には同じ種類（形状は違いますが１分ごとに番号かわります）のtoken が配られていましたが、最近は、token の代わりに、持ち歩き用の指紋認証器（カードサイズ）が配布されているようです。
いいねいいね
こんにちは、Chikaです。
ほー、日本でもtoken型導入ですか。最近、とんと日本のニュースを読まないもので、失礼しました。man-in-the-middleも、ありがとうございました。（でも、中抜き、のほうがニュアンス伝わると思うんですが・・・）
しかし、番号表示Token、日本に普及するには、どうにもローテク過ぎる気がするんですが。chiakiさんがおっしゃっているような、「カードサイズ指紋認証器」（または、虹彩認証器）という方が日本っぽいハイテクイメージです。
が、しかし、しかし。マンガのYASHAで、虹彩認証の口座にアクセスするため、本当の持ち主を殺して生首を持ち出す、というプロットがありましたが、そういうのはちょっと困るので、番号生成器のほうがいいのかもしれません。
William Gibsonの小説（たしか、IDORU）では、空港のセキュリティチェックで、髪の毛を一本入れると、DNAマッチングで本人認証する、というのがありましたが、これも、本の中では、他人の毛を持ち込んで通り抜けてる人が登場、抜け穴ありまくり、ということで、who you are認証もなかなか難しそうですねぇ。
日本のオンラインショッピングのクレジットカード決済がいい加減なのは、多分クレジットカード決済する件数が少ないからでしょうねぇ。クレジットカード使えないショップが多いし、使えても、リアルタイム決済じゃないところも多々あるし。（後になって、「やっぱりこのクレジットカードは使えません」というメールが来たり）
いいねいいね
いまはどうなっているのかはわかりませんが、将来的には生体反応のチェックも必須になるんじゃないでしょうか。虹彩認証の場合は瞳孔収縮、静脈認証の場合は血流あたり。
いいねいいね
こんにちは。
Bloomberg の認証マシンについては、もらおうかどうしようかと思ったことがあり、以前、説明画面のキャプチャを取る形で取ってあります。
ご興味ある方は、こちらでごらんください。
http://www.imagestation.com/album/pictures.html?id=2106819333&code=21879703&mode=invite&DCMP=isc-email-AlbumInvite
password を聞かれたら、私が名前欄に書いた first name を入力してください。
＃ある程度時間が経つと、見れなくなりますがご容赦ください。
今のところ、日本でこんなの配ってるところは、他に知りません。
いいねいいね
初めまして、Takurouといいます。
面白い話なので私も参加。
私自身、生体認証をしたことがないのですが、聞いた範囲では生体認証の場合、うまく認識できないことがあるので、いざという時の暗証番号があると聞いています。
皆さんの場合、そのような暗証番号は設定されていないのでしょうか。
もし、そんな暗証番号があるなら生体認証の意味が半減するのですが、どのようになっているのか経験者の方教えて頂けませんか。
いいねいいね
chiakiさんが会社名を挙げられているので、前回は伏せましたが、私がBloombergにいたときは、指紋照合ログインに対する「いざと言うときの暗証番号」っていうのは設定しませんでした。でもケガややけどしちゃったりして、登録してある指がつかえなかったらどうするんだろうなぁ、とは思いましたけど。
いいねいいね
>まく認識できないことがあるので、いざという時の暗証番号があると聞いています。
旧東京三菱の生体認証だとそういう番号はありません。暗証番号というものはありますが、それは生体認証に加えて利用するもので、生体認証の代用品ではありません。
具体的にいうと、ICキャッシュカード＋手のひら静脈＋暗証番号の三つが揃わないと預金を操作できないようになっています。手のひらについては右手と左手の両方を登録しますが、引き出す際はどちらか片方でOKです。手を骨折してギプスで固めている時とか、大怪我して片腕を失った場合などはもう一方の手で認証するんでしょうね。
両腕とも失った場合はどうするか？
その場合は通常の身分証明書や住民票の写しなどに加えて医者の治療証明書?とかを持ち込んで、「両腕を失ったので生体認証を解除する」という手続きを取るんでしょうね。（両腕を失うほどの大事故を経験した場合は、オマケで命も失うことの方が多いかもしれないけど。。。）幸いなことにまだそういう経験はしていません。
いいねいいね
Chikaです。
持ち主の知識をはるかに超えて、皆さんのお役に立っているMy Blog。すばらしいです。皆様、discussionご参加ありがとうございます。もっとどんどんいろいろ教えてくれ～、です。
いいねいいね
ちょっと調べて見ました。
http://nb.nikkeibp.co.jp/indomitable/column/info_read/20051214005100.shtml
これが全てではないと思いますが、生体認証も結局過信は禁物といった所でしょうか。
だいたい、生体認証と別の暗証番号を組み合わせる事自体、生体認証のみでは問題ありと考えているということかもしれませんね。
いいねいいね
ここのブログでかかれてた通り、CITIのOTPトークンではかなわないman-in-the-middleがとうとう出てきましたね。。
http://itpro.nikkeibp.co.jp/article/USNEWS/20060713/243303/
OTPトークンでも相互認証できる方式も検討されているので、リスクが高くなれば、こちらの方式に移行していくのかもしれませんね。。
【相互認証】
まずユーザからサーバへのOPT値送信が完了した後、値が正しかったら、次にサーバからカウンタを繰り上げて次のOTP値を生成し、ユーザに表示、ユーザが自分のトークンで目視するという方法
いいねいいね
バイオメトリックス
バイオメトリックス
バイオがつくと、勝手に遺伝子工学とかそんな
雰囲気に思ってしまうのは私だけでしょうか[:？:]
調べてみたら、よく見かけるシステムだったんですね[:嬉しい:]
語源は、英語。
そして、バイオメトリクスとは、その人だけの身体的特徴を
個人の識別に用いる技術のこと。
生体認証技術ともいいますね。[:拍手:]
金融機関では、手のひらの静脈認証を導入しているので、
見たことありますよね。
その他、網膜（瞳）や指紋などがあり、マンションや会社…
いいねいいね