クラウドサービスもいいけど、オンプレミスを公開するパターンもなかなか・・・。
クラウドサービスを使うにしても認証を社内Active Directory とパスワードを合わせたいなどと要求を出すと、どうしても、オンプレミスのサーバーを公開する必要が出てくる。
そういう時、どうやってセキュリティーを高めるのか考えてみる。
ユーザー認証の強化の方法
IDを複雑にするのは運用上問題が多いので、パスワードを強力にするしかないけど現実は難しい。
「大文字、小文字、数字、記号の4種類を使って8文字以上かつ、誕生日、住所、電話番号、家族の名前、家族の生年月日、記念日に関連する情報は使ってはならない。パスワード変更の履歴は5個、同じパスワードを連続して設定できない。パスワードの有効期限は3か月」なんてルールを強制されたら、付箋とかノートにメモするよなぁ～
ワンタイムパスワードや乱数表を使うってのはパスワードをユーザーが覚えなくてよいメリットはあるけど、カードなどの管理や持ち運ぶのが面倒。10個のサービスすべてがワンタイムパスワードを採用して、カードを10枚持ち歩くなんて嫌だよね。
スマートカード、対応機器限られてるし～盗まれたらどうするの？4桁数字のPINなんて・・・
生体認証・・・機械どうするの！！一度複製されたら使えないよね～
などと、複雑化すると問題が出てくるので運用に耐えられない。
個人的には5文字以上で有効期限は40日とかでいいんじゃないかと思う。
銀行とかで使われている数字4桁なんて、だれかの誕生日に設定しろ！！と指示しているのと一緒だよね。それがダメというなら01**～12**、**01～**31の範囲くらいは設定できないようにしとけよ～って思う。なんで5桁にしなかったんだろう？と思う。5桁ならとりあえず誕生日+一文字とかにするので簡単に推測しにくく出来るのにね～～
有効期限も1か月単位で変更しにくいように微妙にずらすとか・・・
0401(mmdd)
130401(yymmdd)
20130401(yyyymmdd)
このパターンを設定しにくいルールを決めれば、それなりの強度を保てると思うんですけどね
パスワードのヒントもやめてほしいよなぁ～「初めて就職した時の初めての上司」？？誰だよそれ～
