対象:ITコンサルティング
回答数: 4件
回答数: 5件
回答数: 6件
おせわになっております。以前に鍵配送問題で質問させていただいた者です。パスワードについて素朴な質問をさせていただきます。
企業が記録媒体(or 盗難)を紛失してしまったときの定番のコメントに「パスワードを掛けているから大丈夫です」というものがあります。しかしながら、そのパスワードの強度について言及した例を知りません。
そこで、セキュリティの強度がパスワードの強度に依存しているとき(注1)、パスワードの強度は何ビット以上だと安心できるのでしょうか?記録媒体の紛失(or 盗難)後の発表(注2)で「物理乱数で何ビットのパスワードを掛けているから大丈夫です」と発表して恥かしくないビット数です。
どうぞご教授お願いいたします。
注1
暗号アルゴリズムの強度に対してパスワードの強度が低い場合など。
注2
「充分な強度のパスワードを掛けていれば発表する必要は無いだろう」という指摘はとりあえず置いておいてください。
Moriya, Tomoさん ( 東京都 / 男性 / 30歳 )
回答:3件
安心するには「人」だと思います
はじめまして、ひけしやの佐藤と申します。
よろしくお願いします。
ご質問のパスワードの強度について、これは技術が進めばより強固なものが出てきます。
しかしその反面で「100%安全なパスワード」は存在しないという事も事実かと思います。
どの様なアルゴリズムであれ、いずれは破られてしまいます。
そういう事から考えると、情報を漏洩させて時点で「安心」とは「恥ずかしくない」という事ではなくなっていると思います。
所詮は「情報を漏洩させたが、解読されない(だろう)」という事にしか過ぎません。
情報セキュリティで「安心」を高めたいのであれば、技術的な対策も大事ですが、「人」に対する対策もあわせて考えるべきだと思いますが、いかがでしょうか?
ここまで読んで頂きありがとうございます。
ひけしやISOコンサルティングポータルサイト
回答専門家
- 運営 事務局
- (東京都 / 編集部)
- 専門家プロファイル
登録している専門家やQ&Aやコラムといったコンテンツをご紹介
専門家プロファイルに登録をしている皆様の記事や、Q&A、まとめ記事など編集部でピックアップしたものを定期的に配信していきます。よろしくお願いいたします。
運営 事務局が提供する商品・サービス
記事制作に関するご相談
谷口 浩一
Webプロデューサー
5
「鍵」を扱う人間の行動が一番の鍵!
結局こういうことだと思うんです。
こんにちは。
チームデルタの谷口です。
僕らにできるのは製品の選択だけです。
現在入手できる暗号化機能つきUSBメモリやポータブルHDでは、AES256bitあたりが最高ですよね。
今、これ以上の製品がなければこれが最高であり、それ以上のことはできません。
でも、そうした製品を安価に入手できます。
たとえば、ポータブル記憶媒体のセキュリティを考えるとき、アルゴリズム強度や鍵長よりも、もっともっと大切なのは、鍵であり、パスフレーズです。
データが解読される危険は、アルゴリズムや鍵長よりもはるかに高い確率で人の行動に潜んでいます。
すなわち、鍵やパスフレーズの扱いです。
''共通鍵''はバレちゃったらアウトです。
短くかつ、辞書アタックで簡単に見つかるような並びのパスフレーズを使うなら、アルゴリズム強度が高く、最長の鍵長(今なら256bit)であっても、あまり意味がないことになります。
因みに、アルゴリズム強度と鍵長による「確かさ」にどうしても頼りたいなら、こんな話があります。
富士通は昨年、AES256bitの最高速暗号化機能と全データを1秒以下で完全に無効化する「瞬間無効化機能」を搭載したHDを発表。
「電子レンジでチン」するのではなくデータを瞬間で無効化する機能の中身とは、「鍵の変更により1秒以内で無効化を実現している」だったそうです。
つまり、データは、まんまそこにあるが、鍵がないので解読できない。
よって実質的に利用不可能、という意味で「無効化」と表現したようなんです。
富士通さんが、AES256bitで鍵かけたんで安心です、と言っているのと同意義ですね。
富士通さんが言うくらいだから、Moriya, Tomoさんが言っても恥ずかしくないのでは?(笑)
ご参考になれば幸いです。
成功するWeb戦略とホームページ制作のチームデルタ
谷口浩一
評価・お礼
Moriya, Tomoさん
ご回答ありがとうございます。
256bitですか。手で入力できるビット数ではもはや無いですね。
岡本 興一
ITコンサルタント
-
パスワードを破られる確率なら・・
ここでおっしゃっているパスワードの強度の意味が、パスワードそのものが意図せぬ第三者にわかってしまう可能性が高いか低いかという意味ならば、重要なことは文字数と、組み合わせの数になります。
したがって、使う文字数が多くなればなるほど、文字種類が多くなればなるほど、パスワードの強度は上がっていきます。
とはいえ、ご質問の意味が、パスワードの強度ではなく、データの暗号化強度という意味ではないか?と推察します。
その場合、残念ながらこれさえあれば大丈夫というものはありません。
暗号化技術と解析技術、演算速度は日々進化しており、本日の時点では「おそらく」安全と言えても、明日は危険になるかもしれないからです。
しかしながら、暗号化強度が高いアルゴリズムとは、「短時間で解析する方法が見つかっていない」手法とほぼ同義であると考えて良いと思います。
そうした意味で、谷口さんのおっしゃっているAES は、普及している方法(コスト的に安価で、利用するために必用な機器やソフトウェアを入手しやすい方法)の中では、2009年8月1日次点ではほぼ安全な手法と言えると思います。
なお、どんな手法を使うかは、守るべき情報の内容、重要度等のリスクを考え、かけることのできるコストとのバランスで決まります。
これさえやっておけば大丈夫という手法がない以上、常にバランスを考えることが必用です。
コストを度外視できるなら、普及はしていない最新のアルゴリズムを使うことで強度を上げることができます。
ご参考になれば幸いです。
集客につながるホームページ
ネットとセキュリティ〜ウィジット株式会社
岡本興一
(現在のポイント:-pt)
このQ&Aに類似したQ&A
表示中のコンテンツに関連する専門家サービスランキング