りそなダイレクト Type Blue [resonabank.co.jp]の認証方式は、チャレンジ&レスポンス認証方式の一種で、ご利用カード [resonabank.co.jp]に記載された「あ～と」までの20の乱数表の数字のうち、サーバ側から要求された任意の2つのチャレンジコードに対応する乱数を入力して認証する方式で、一部ではマトリックス暗証方式と呼ばれることもあるようです。無論、ここでいうマトリックス暗証方式や、チャレンジ&レスポンス認証方式といった用語は、OSに実装されたユーザー認証方式と概念は似ていますが、実装は異なります
りそな (スコア:0)
近々マトリックス認証も廃止するみたいです。
安価で比較的セキュアな手法だと思うのですが、なぜ今になってTypeRedに後退するのか不思議です。
Re:りそな (スコア:3, 参考になる)
例えばNEC システム建設のSECURE MATRIX [nesic.co.jp]のページに出ている例では、2回の認証の内1桁目は7と4ですが、1つ目のマトリックスで7、2つ目のマトリックスで4となるのは左上しかありません。同様に2, 5, 7桁目は1通りに確定しますし、その他の桁も2, 3通りに絞れます。結局全体として24通りにまで絞ることができてしまいます。
もちろん
Re:りそな (スコア:1)
チャレンジ&レスポンス認証に関しては、高木先生が2年ほど前に指摘 [hatena.ne.jp]されていますが、原則的に乱数表から採番可能な乱数の組み合わせの数、例えばりそなTypeblueの場合だと20の乱数表から2個の組み合わせですから380通り、東京三菱ダイレクト [btm.co.jp]の場合だと、25の乱数表から2の組み合わせですから600の組み合わせになりこれが強度になります。こう言った認証方式を取っている銀行としては、大手行だと他にみずほ銀行(30通り)、三井住友銀行(240通り)、UFJ銀行(990通り)などがあります
問題は、乱数表はインターネットバンキングに加入して1度もログインしていない状態での強度ですから、回線やキーロガーに対しては認証を繰り返しているうちに強度は低下します。大手5行の中で、ログイン認証にチャレンジコード認証を採用しているのは、東京三菱、りそなTypeBlueの二つで他行は別にIDとログイン用のパスワードの組み合わせで認証し、振込や投資性商品の購入などの場面で確認用に使用しているに過ぎません
ところが、乱数表が記載されたサービス利用カードは原則的に一度発行すれば更新はされません。三井住友銀行などは、要望すれば無料で新たな乱数表を送付してくれるようですが、東京三菱銀行の場合には乱数表の再発行は原則的に再発行手数料と煩雑な手続が必要です。さらに、ログイン時にチャレンジコードが必要な東京三菱の場合、連続して振込みを行わない限りは、取引途中にチャレンジコードの要求はありません
元々、チャレンジコード&レスポンス認証方式は、盗聴の可能性があるテレホンバンキングのような通信経路がセキュアではないリモートチャネル向けに開発された認証方式をインターネットバンキングに流用したものです。しかし、大手銀行はインターネットバンキングに関しては通信経路がSSL通信を行っている理由をもって通信経路がセキュアであり、認証回数によって強度は低下しないと考えているようで、かつて乱数表の発行期日や有効期限を定めていた銀行も無期限に有効としています。しかし、仮にその主張が正しいとしても、第一に通信経路がセキュアとは限らないテレフォンバンキングでも同じチャレンジコード認証を使用しているので、テレフォンバンキングとインターネットバンキングの双方を利用している顧客にとってはやはり強度は低下すること。第二に、通信経路はセキュアであってもキーロガーが介在すればやはり強度は低下します
さらに、運用方法によっても強度は変化します。例えば、高木先生がご指摘のように、りそなTypeblueと東京三菱銀行はログイン時にチャレンジコード認証を行うので認証回数が多く、強度の低下も早いと言えます。また、東京三菱銀行は携帯アプリバンキング [btm.co.jp]やアカウントアグリケーションサービス [btm.co.jp]の利用には、乱数表に記載された25個すべての乱数を入力する必要があり、この時点で盗聴やキーロガーが仕掛けられていたら強度はゼロになります。また、フィッシング詐欺対策としても極めて問題があるでしょう
最も問題なのがみずほ銀行で、みずほ銀行は大手行では(初期状態では)最弱の30通りの強度しか持ちませんが、これは振込みなどの取引時に「ご利用カード」に記載された6桁の確認番号を使用します。テレフォンバンキングでは、取引時に例えば「右から2桁目の数字を入力してください」という自動音声が流れて、6桁中のチャレンジコードに対応する数字を入力すると確かに初期状態では30通りの強度がありますが、インターネットバンキングの振込み確認時には、6桁すべての入力の必要がありますから、1度でもインターネットバンキングを使用して振込みを行えば強度はゼロになります
このように、チャレンジコード&レスポンス認証方式は、感覚としてはIDとパスワードの組み合わせよりもセキュアに思えるかもしれませんが、実質的に乱数表の再発行ができない以上、ユーザー自身で変更が可能なID･パスワード方式よりもむしろ柔軟性がかけますし、運用方法によってはむしろ危険な場合もあります。一方で、りそなTyperedのように、IDとパスワードで認証している場合でも、ログインパスワードと取引用パスワードを分離し、パスワード設定から一定期間が経過すれば自動的に変更を要求する銀行が大半で、一概にセキュアではないとは言えないのではないかと思います
Re:りそな (スコア:1)
パスワードには、サイトごとに異なるパスワードを覚えきれないという問題もあって、複数のサイトで同じパスワードを使いまわすとか、一度設定したらほとんど変更しないとか、安全とはいえない使い方がされている場合も多いのではないかと思います。自分もその一人ですが。
某銀行でパスワード変更を要求されたので変更したら、結局思い出せなくなって、その後使わなく (使えなく) なったということもあったりします。パスワードを安全に管理するのは難しいですね。