FIDO2セキュリティキーによるパスワードレス・キャンパスネットワークの構築とその応用
Implementation of FIDO2 Server andPasswordless Network Using
Campus ID Type Security key
城西大学経営学部教授
杉本 理（すぎもとおさむ）：sam@josai.ac.jp

1.概要
大学のキャンパス・ネットワークをターゲットにしたサイバー攻撃は後を絶たず、海外の例では身代金約5000万円を支払った例も報告されている。これらの攻撃のほとん
どがフィッシングなどによるパスワードの漏洩に起因する。人的及び金銭的リソースが限られる大学等教育機関において情報資産を保護するためのベストプラクティ
スは何であるか。本研究ではサイバー攻撃の被害実態とその要因、高度なセキュリティと利便性を両立するパスワードレス・キャンパスネットワークに必要なFIDO2サーバーの実装とその応用について提案する。
Copyright Josai University

2. 研究の背景

Copyright Josai University

2.1 増え続けるサイバー攻撃

JPCERT/CC インシデント報告対応レポートより
Copyright Josai University

2.2 ランサムウェア

Copyright Josai University

2.2 ランサムウェア
日本企業の52％が過去12カ月以内にランサムウエアの攻撃を受けているほか、ランサムウエアの被害に遭った日本企業の32％が身代金の支払いに応じているという。またその平均額は117万ドル（約1億2300万円）にのぼる。

Copyright Josai University

2.3 攻撃対象の変化
最近では攻撃の対象が身代金を払わざるを得ない中小の組織である地方自治体、ライフライン、NGO、そして教育機関にシフトしてきている（ Deloitte Touche
Tohmatsu Limitedより）。

Copyright Josai University

教育機関が63％（直近4ヶ月）

Copyright Josai University

2.4 大学へのサイバー攻撃• お茶の水女子大学の例
2019年7月1日、お茶の水女子大学は所属教員１名のメー
ルアカウントが何者かの不正アクセスを受け、ID・パスワードが盗まれたことでアカウントが乗っ取られた。犯人は奪ったメールアカウントを利用し、合計2,215件のスパムメールを送信。さらにメールボックス内を閲覧されたことで以下の様な被害が出た。
•機密情報（氏名・所属・メールアドレス・電話番号など）•

内訳：教職員62件、学生88件、学外者77件
Copyright Josai University

2.4 大学へのサイバー攻撃• 慶應義塾大学の例
2020年9月湘南藤沢キャンパスの情報ネットワークシステ
ムおよび授業支援システム（SFC -SFS）において、何らかの方法でシステムの利用者19名（教職員）のIDおよびパスワードが窃取され、それを用いた外部からの不正アクセスと授業支援システムの脆弱性をついた攻撃により、同システムから利用者の個人 情報が漏洩した可能性があることが判明した。
•学生情報5088件、同顔写真18636件、単位取得情報4493件、教員情報2276件など

学術機関における被害としては過去最大規模
Copyright Josai University•

2.4 大学へのサイバー攻撃• 城西大学の例
同様にサイバー攻撃によるセキュリティ・インシデントがあり、二次被害が出ている。
① 2019年2月に学生のメールアカウントが19件乗っ取られ、踏み台となったため9,800通以上の迷惑メールが送信された。

② 2019年6月「教室コントロールシステム」に対する不正ア
クセスによって登録している利用者情報が外部に漏洩した。

Copyright Josai University

2.4 大学へのサイバー攻撃• 東京農工大学• 東京理科大学• 明治大学• 横浜市立大学

Copyright Josai University

2.4 大学へのサイバー攻撃• ユタ大学の例
2020年7月サーバー上の約0.02%のデータが漏洩
その後、学生の機密情報がブラックマーケットに晒されたことで身代金（解決金）約5000万円を支払った。
⇒米国では身代金を払う大学とそうでない大学が二分
Paid: Columbia College Chicago, UC San Francisco
Not to pay: Michigan State

Copyright Josai University

2.4 大学へのサイバー攻撃

Copyright Osamu Sugimoto2.5 感染経路“Phishing, the delivery mechanism of
choice for ransomware and othermalware” (Deloitte Touche Tohmatsu)“最近のランサムウェアはフィッシングやエクスプロイトを用いて侵入する ”(トレンドマイクロ）
Copyright Osamu Sugimoto

About 70％ is Phishing(2021/2Q)

Ref: JPCERT/CC Incident Report(2Q2021)
Copyright Osamu Sugimoto2.6 被害の要因＃１• 巧妙化するフィッシング
• リアルタイム・フィッシングが主流＊ハードトークンなどのTOTPは役に立たない✕
Copyright Josai Universityリアルタイム・フィッシング
kyufukin.soumugo.jp / soumu-go-jp など

Copyright Josai Universityリアルタイム・フィッシング
アマゾン：2017～

フィッシング対策協議会より
Copyright Osamu Sugimotoリアルタイム・フィッシング
アマゾン：2017～

フィッシング対策協議会より

Copyright Osamu Sugimoto2.6 被害の要因#2• パスワードの多さ＊城西大学（11個以上）：
WiFi、共有PC、Web財務、JUNavi（Campusmate）、WebClass、Cypochi（CMS）、給与明細システム、DataBrain、VPN、図書館システム、科研費、各種学会＊慶應大学SFC（7個以上）
WiFi、WiFi（研究室）、 Eduroam、CANVAS、CNS、
keio.jp、科研費、各種学会

Copyright Josai University

2.6 被害の要因#3• パスワードの使いまわし（IPA：2020年度情報セキュリティの脅威に対する意識調査）

Copyright Josai University

2.7 Research Question• 人的・金銭的リソースが限られている大学のキャンパスネットワーク環境において、学生の情報など情報資産を守るベストプラクティスは何か？

• 海外大学ではどうしているのか？
• 例えば多要素認証を導入した場合の問題点や課題は何か？解決方法は？

Copyright Josai University

3. 大学におけるベストプラクティス

Copyright Josai University

3.1 多要素認証（MFA）の導入
Microsoft社とGoogle社の例

Microsoft社では同社のクラウドサービスに対して一日3億程度の悪意のあるサインイン攻撃があり、同社の研究によるとMFAを適用することでこれらの99.9％は防御可能であると発表。
Google社はリカバリー用電話番号とそれを用いたSMSによるMFAを有効化するだけでもボットによるGoogleAccountへの攻撃の100％、フィッシングの99％、標的型攻撃の66％を防御できると発表。
Copyright Josai University

3.2 Stanford/MITの例
Duoによる2要素認証

Copyright Josai University

3.3 MFAの問題点とパスワードレス• 多要素認証は複数デバイスによる認証がほとんど⇒パスワードのみに比べて利便性に欠けるため普及を阻害• パスワードレスによる多要素認証は複数デバイスによる認証の必要はない＝ワン・デバイス⇒パスワードレス認証はFIDO2セキュリティ・キーを利用してワン・デバイスで多要素認証を実現＝利便性を損なわない・もちろんパスワードも流出しない
Copyright Josai University

3.4 Campus ID=Security Key
1. Something you have:身分証

Copyright Josai University

2. Something you are:指紋

3.4 Campus ID=Security Key大学環境では「生体」＋「所持」の2要素認証がMust⇒ AuthenticatorやDuoは「なりすまし」や「代返」防止にならない（友人のスマホを持ち歩く）⇒ 非生体型のセキュリティキーも「なりすまし」や「代返」防止にならない（友人のキーを持ち歩く）⇒ 「所持」がExtra Itemにならない（身分証）⇒ 忘れた時に事務室で対応可能：運用⇒ 紛失時に届けられる可能性大：運用
Copyright Josai University

4. FIDO2サーバーの構築とその応用

Copyright Josai University

Copyright Josai University

Josai Attendance Management System(JAMS)
キャンパス・学部(Campus/Dept.)

Professor(教員)CampusID(ATKey.Card) for Professor

JAMS(FIDO2 Server)

Class(授業)CampusID(ATKey.Card) for StudentStudent(学生)Josai Attendance Management System(JAMS)
FIDO2 password-less Login to Start Class
FIDO2 パスワードレスログインをして教員アカウントから授業開始

Professor(教員)Start Class(授業開始)

Class(授業)Attend class(授業参加)

FIDO2 password-less Login to Attend Class
FIDO2 パスワードレスログインをして学生アカウントから授業出席

✖
代返
ピ逃げ

Attendance by the student him/her FIDO2 SecurityKey ID card with his/her registered fingerprint.(学生本人による本人の指紋が登録されたFIDO2セキュリティキーで出席)4.1 JAMS機能（一部）• 学術機関としては（たぶん）世界初のFIDO2アプリ
ケーション・サーバー（ハイブリッド授業にも対応）• アドミン・教員・学生の3レベルの権限• アドミン：キャンパス（学部）、時間割、授業、教員・学生の登録• 教員：授業の詳細登録（遅刻限界時間、受講者など）• 学生：自身の受講科目への出席・出席状況の閲覧など

Copyright Josai University4.2 JAMSの運用手順
1.学生の指紋登録• Windowsの【設定】→【アカウント】→【サインインオプション】→【セキュリティキー】から教員の端末にて登録• ベンダー支給のアプリから教員の端末にて登録• 時間割や遅刻・欠席条件・授業を設定・登録
2.JAMSへのセキュ • 学生ごとにセキュリティキー（Campus ID）を登録
リティキー登録

3.出席管理• 教員がJAMS上で授業開始• 学生が自身の端末もしくは教員の端末にて出席登録

Copyright Josai University

4.2.1 指紋の登録

ファームウェアを変更し、学生は指紋登録できない仕様となっている
Copyright Josai University

4.2.2 セキュリティキーの登録

Copyright Josai University

4.2.3 出席登録

Copyright Josai University

4.3 JAMS：トラブル対応• 学生がCampus ID（セキュリティキー）を忘れた・紛
失した時⇒事務室やITセンターで予備のセキュリティキーを付
与• 指紋認証ができなくなった時（できない学生含む）⇒Windowsの設定から指紋を再登録⇒指紋ではなくPINで対応（75人中1名）
Copyright Josai University

JAMS Demo
https://www.youtube.com/watch?v=CUnOLJYKftc

Copyright Josai University

FIDO2 Windows Login Demo
https://www.youtube.com/watch?v=GplGtFsczEA

Copyright Josai University

4.4 JAMSの応用• 学内開催の検定試験（日商）にも採用予定（12月）• 面接入試試験への応用を検討中（12月～1月）⇒次スライド• 薬剤室等入退室管理への応用を検討中（薬学部）

Copyright Josai University

4.4 JAMSの応用• オンライン面接入試試験

ATKey.Pro:Authentrend
Copyright Josai University

オンライン面接入試プロセス＊指定校入試やスポーツ推薦入試を対象とし、高校のPC教室での受験とする＊あらかじめ本学教職員が先方のPC教室にて動作確認を行う＊面接入試なのでカメラと併用となる
受験生
申込書類

1. 郵送もしくはWeb申請からのデータ連携

3. 指紋登録
2. セキュリティキー配布(PINコード=受験番号）

4. セキュリティキー情報と受験生情報を登録（受験生情報はWeb申請からのデータ連携が理想）

5. 指紋認証を行い面接を開始

入替防止

5. 結論• CSIRT（Computer Security Incident Response Team)を中心にMFA対応（理想的にはパスワードレス）をすべき• 米国では身代金を支払うかどうかで大学の対応が分かれた。日本においても対応を協議しておくべき• JAMSによって「代返」や「なりすまし」が無くなり、学びの質が上がることで退学者防止につながる可能性がある。
現在データを収集中：次の機会に報告したい• JAMSは他大学の利用も可能な仕様になっている。利用
してみたい大学関係者はぜひご連絡いただきたい
Copyright Josai University参考文献（抜粋）• 五味，大神．(2018)．FIDO認証とその技術．IEICE Fundamentals Review，V12＃２• IPA（独立行政法人 情報処理推進機構）. (2020). 2019年度情報セキュリティの脅威に対する意識調査.

• JPCERT/CC. (2021). インシデント報告対応レポート• MagazinePC. (2020年11月18日). 2020's Most Common Passwords Are Laughably
Insecure. 参 照 先 : PC Magazine: https://www.pcmag.com/news/2020s-mostcommon-passwords-are-laughably-insecure• Yahoo! JAPAN. (2019年2月20日). 「安全・安心・便利」FIDO（ファイド）を使ったパス
ワードレスログインとは. 参照先: 「安全・安心・便利」FIDO（ファイド）を使ったパスワードレスログインとは: https://about.yahoo.co.jp/info/blog/20190220/fido.html• フィッシング対策協議会. (2021年1月). 2021/01 フィッシング報告状況. 参照先: フィッシング対策協議会: https://www.antiphishing.jp/report/monthly/202101.html
Copyright Josai UniversityThank you!

Copyright Josai University