日本カード情報セキュリティ協議会
ベンダー部会プレゼンテーション
二要素認証ソリューション
ＭａｇｉＰａｓｓ（マギパス）御紹介
２０１４年１月２２日
トーテックアメニティ
テクニカルサービス事業部
1トーテックアメニティ会社概要
金沢営業所
高岡営業所

本社
（名古屋）

岐阜事業所

【設 立】 昭和46年5月20日【資本金】 1億8,062万円【売上高】 163億387万円（連結）*2012年3月期【社員数】 1816名（連結）*2013年4月末現在【事業内容】
1.システムインテグレーション（SI）事業
2.ソフトウェア開発請負、機械・電気・電子設計派遣事業

大阪事業所
東北オフィス

東京本社
福岡事業所

トヨタ事業所東濃・各務原・春日井・刈谷ＳＣ

2セキュリティ関連ビジネス
テクニカルサービス事業部
・・・

テクニカルアウトソーシング

第2営業部 （東京・大阪）
セキュリティビジネス担当営業

トーテックサイバーセキュリティ研究所
所長 藤原 礼征 著
2012年3月
中経出版社より上梓
サイバースペースを安全に使いこなす能力は、すべての企業人にとって大きな競争力の源泉である。
本書はその羅針盤となる必携書である。
奈良先端科学技術大学院大学准教授
門林 雄基*2010年4月より活動開始

セキュリティシステム部 （東京・大阪）
セキュリティ製品開発担当
セキュリティ製品インテグレーション*2012年1月より活動開始

トーテックサイバーセキュリティ研究所
顧問）門林 雄基 奈良先端科学技術大学院大学 情報科学研究科准教授・博士（工学）顧問）浅沼 宏和 株式会社TMAコンサルティング 代表©TOTEC AMENITY LIMITED. 20143

ネットワークセキュリティ製品
データファイルに関する強固なEASY FILE EXPRESS

入口対策、出口対策を実現

MagiPass

Webアプリケーション

NetRAPTOR
通信証跡を解析し、標的型攻撃の出口対策を実現

モバイルや在宅環境などからアプリケーションへの安全な二要素認証を実現©TOTEC AMENITY LIMITED. 2014

4

MagiPass
二要素認証による不正アクセス防止©TOTEC AMENITY LIMITED. 20145

パスワードが盗まれても安全にログイン

パスワード ワンタイムパスワード

×

ワンタイムパスワードで認証拒否

パスワード
ワンタイムパスワード
ID、パスワードを詐取取
二要素認証（通常のパスワード“記憶”とワンタイムパスワード“媒体での自動生成”）により、標的型攻撃等でパスワードが漏洩しても、詐取者は目標のサーバにログインすることはできず攻撃は完遂しない©TOTEC AMENITY LIMITED. 20146

による安全なOTP認証(1) 多数の利用者が参照するであろうサイトにマルウェアを仕掛ける(1)(2)(2) 有害サイトにアクセスし、(3) マルウェアに感染、ボット化

(3)

(4)

(6)

利用者（被害者）(5)(8)(4) ボット化した利用者端末が攻撃者に操作される(5) 攻撃者がなりすまし操作により、金融機関にワンタイムパスワードを要求(6) 発行されたワンタイムパスワードが盗まれる(7)(7) 盗んだワンタイムパスワードによりインターネットバンキングにログイン(8) 不正送金を行う※いくつかのニュースソースから推測できるワンタイム・パスワード詐取の手口

7

とは• 弊社が提供するワンタイムパスワードを使った二要素認証ソリューション
• PIN(Personal Identification Number、個人を認証するパスワード) とトークンデバイスという物理的・機械的な要素を組合わせて強固で安全な認証を提供• トークンデバイスにYubiKey（Yubico社）を採用• デバイスは電池が不要で半永久的に利用が可能• VMware ESXi version 5 環境で動作するVirtual Applianceと1.8cm
して提供
4.5cm

8

製品コンセプト• 誰でも、すぐに使える簡単な利用方法の実現• トークン・デバイスを配布するだけですぐ使える• 提供者側のコスト・管理負担が少なくて済む9

ワンタイムパスワードの特長
••
•
•
•
•
•

万一の万一のパスワード漏洩
パスワード漏洩に漏洩に対してもセキュリティしてもセキュリティをセキュリティを保持
標的型サイバー
標的型サイバー攻撃
サイバー攻撃に攻撃に対して、して、パスワード盗用
パスワード盗用の盗用の危険を危険を回避⇒ログインにログインに使用される
使用されるパスワードされるパスワードはパスワードは毎回自動生成⇒盗用された
盗用されたパスワードされたパスワードをパスワードを使って不正って不正ログイン
不正ログイン不可
ログイン不可⇒キーロガーがキーロガーが仕組まれても仕組まれてもパスワードまれてもパスワード盗聴
パスワード盗聴は
盗聴は無意味物理的トークン
物理的トークンをトークンを盗まない限
まない限りパスワード盗用
パスワード盗用は盗用は困難
アクセス権保有者
アクセス権保有者の権保有者の確実な確実な個人認証環境を個人認証環境を提供

10ユニークな入力方式

パスワード発行例
パスワード発行例
totec01blhfefetivgekkvrrvivgfhrjvehlggckikfe
totec01blhfefetivgekkvrrvivgfhrjvehlggckikfe
totec01blhfefcihiehcuuucjfkhjibrdvrtgdrkfbrl
totec01blhfefcihiehcuuucjfkhjibrdvrtgdrkfbrl
totec01blhfegjhcgjkhfrkbkkugkujrgvenjvvrngfv
totec01blhfegjhcgjkhfrkbkkugkujrgvenjvvrngfv
PIN＋

ワンタイムパスワード©TOTEC AMENITY LIMITED. 20141111

生成したパスワード例

による認証操作（イメージ）
1)パソコンのUSB ポートにトークン・デバイスを挿入する
2)インターネット・バンキングのログイン画面にアクセスする
3)ID とパスワードを手入力する（要素1）4)続けてパスワードの入力領域でトークン・デバイスを指で触り、トークン・デバイスから自動的にワンタイムパスワード（要素2）を入力する
5)ログイン処理の実行を行い、ログイン成功

13

認証の流れ
① ログインリクエスト② 認証リクエスト
認証リクエスト③ 認証結果応答
認証結果応答④ 接続確立接続確立

パスワード ワンタイムパスワード
④
①

②
③

ワンタイムパスワード文字列
ワンタイムパスワード文字列
ccccccbgjfccirrhrefbcfjfkfjftgvijrctktikcghtccccccbgjfccirrhrefbcfjfkfjftgvijrctktikcght

トークンID:12
トークンID:12桁
ワンタイムパスワード:32桁
ID:12桁 ワンタイムパスワード:32:32桁

14利用環境（OSなど）
OSをOSを選ばない
MagiPassのハードウェアトークンはUSBキーボードとして認識されMagiPassるため、WindowsやMac、Linuxなどの各種OSをはじめ、iPadなどで用いられるiOSやAndroidなどのタブレット端末やシンクライアン
ト環境など、USB接続をサポートしている様々な環境で利用可能
NFC対応もリリース済み
３２ｂｉｔ／３２ｂｉｔ／６４ｂｉｔ／６４ｂｉｔ
６４ｂｉｔ対応可
ｂｉｔ対応可15

入力デバイスの特長• 所有者のID確認と認証のためのワンタイムパスワードを生成するトークンデバイス• カウンタ同期方式を採用• デバイスへは自動入力方式を採用• USB接続で、ドライバを必要としない• USBメモリを禁止しているパソコンでも使用可能• 電池や時計、表示部や機械的なボタンを有していない• 個々のデバイスは固有のAESキーを持っている• 二種類のパスワード発行が可能
16

はコストが安価• デバイスには電池が不要

4.5cm

1.8cm

– 電池のコストがゼロ– 電池交換の手間がゼロ• 最適なコストパフォーマンスのライセンス価格– 100ユーザ以下ならデバイスと合わせて100万円以下から– 1000ユーザなら300万円• 仮想環境で利用可能– バーチャルアプライアンスだからハードウェアを選ばない– 仮想化によるハードウエア独立性– アクティブディレクトリとの連携認証機能– 多数のアカウントに対する管理機能の強化– 冗長構成による高可用性
17他のワンタイムパスワード製品と比較
液晶表示デバイス

電池交換が必須

イメージ認証

7080
7459
0885
8309

4.5cm

3904
4658
4374
4700

ソフトウェアトークン

1.8cm

手入力する ⇒ ７４８９４３５４

電池交換不要
タッチするだけ！

⇒ blhfefetivgekkvrrvivgfhrjvehlggckikfe©TOTEC AMENITY LIMITED. 20141818

特長のまとめ1.8cm• 配布が簡単

4.5cm– 例えば普通郵便(※1)でも送れる形状– 小さい、軽い、壊れない• 登録が簡単– ユーザを選択– デバイスにタッチ– 割り当て（登録）完了• 使い方が簡単– PCに挿入してタッチするだけ– 入力は不要(※1)実際に配布されるときは、セキュリティ上安全な方法で配布いただくことを強くお薦めします。

©TOTEC AMENITY LIMITED. 201419

弊社専任販売部門（東京/大阪）

トーテックアメニティ株式会社
テクニカルサービス事業部 第２営業部〒１４１－００３２ 東京都品川区大崎1-11-1〒５３２－０００３ 大阪市淀川区宮原４－６－１８ 新大阪和幸ビル ８階
20本日は、御清聴いただき、誠にありがとうございました21