Digital ESSAY「2 つで十分ですよ」

坂口 裕

今文字種が k 通りあるとして、n 文字か理カードが 1 枚しかないため、一回の攻撃なります。物理計算とかだと二乗より高次らなるパスワードを作る組み合わせの数を可能な端末は 1 台しかないため、この多重の項を無視したりするのと同じで、RAID

考えると、単純に k^n 通りということに分散攻撃を気にする必要がなく、回数制限とかと同様リスクを桁の単位で低下させるなります。なので、ランダムな n 文字がが成り立っているわけです。まあ、物理カことができるわけです。

パスワードにヒットする確率は 1/（k^n）

ードをコピーされてしまうならこの限りでこうした考え方が多段階認証の根っこにぐらいでしょう。m 回の試行が可能なら、はないわけですが、なので IC チップタイプあるわけですが、二段目以降については別m/（k^n） で す ね。 具 体 的 に 数 字 4 桁、への切り替えが進んでいると言えます。にパスワードである必要はありません。よ1 回試行だと k=10、n=4、m=1 なのでさて、ここでパスワードの文字列を倍くあるのが機材を持っていることを確認す

1/10,000 となります。3 回試行できるな（すなわち 2n 文字）にすることと、2 つるような手順で、例えばケータイやスマホら 1/3,333 ぐらいですね。パスワードをの異なるパスワードを 2 回に分けて入力に SMS で数桁の番号を送信し、その値を突破されないためには、試行回数に制限をすることを比較してみましょう。前者は入力させるというものです。送信したラン掛ける必要性が高いことがわかります。まn を 2n に す れ ば よ い の で、m/（k^2n）

ダムな数字がきちんと入力されることで、あそれでもネットワークを前提とした場合、と な り ま す。 数 字 8 桁、3 回 試 行 だ と

当該通信機器にアクセスして SMS を確認

同時に k^n 個の端末から 1 回試行されたら3/100,000,000=1/33,333,333 ぐ らできる状態にあると想定し、本人であるこ終わりなわけですから、回数制限の実装はいでしょうか。後者については最初のパスとを確認するわけです。この二段目の認証

割と非現実的、もしくは非実用的だったりワードが k^n 通り、2 番めのパスワードに対して同時 k^n アクセスで突破しようとします。なので、k とか n とかを十分大きが k^n-1 通りあるので、まあだいたい m/する場合、実際にはまず第一段の id/pass

くして、m が無制限だとしてもヒットする（k^n・（k^n-1））＝ m/（k^2n-k^n）ぐら

チェックを通過しなければならないため、までに十分長い試行を必要とするように構いとなります。数字 4 桁 2 つ、3 回試行な

少なくとも前段で設定された正しいトーク成することが一般的です。大文字小文字だ

ら 1/33,330,000 ぐらいでしょうか。要ンと共に番号を返す必要があります。仮にの記号だの言われているのはこの関係ですするにオーダーとしてはパスワードの桁数システムが同時に複数箇所からログインでね。これに対して銀行の ATM の場合は物を増やしたのと同程度の効果があることにきるようになっていたとしても、このトーは 1372 番目と 1373 番目の平均値だったことになります。可One Point BUZZ WORD

1371 人能性としてあり得るのは（1）中央値が 1372 番目と一緒（2）中央値が 1372 番目より大きい、のいずれかでしょう。仮に（2）だとすると、「中央値を下回る」のは 1372 人でなければいけま

某ニュースにて、「半数の 1371 人は、全体の中央値を下回っせん。一方、実数は 1371 人だったため、（2）ではないことがていて」という表現が流れたようです。脊髄反射的には当たり前わかります。すなわち、
1372 番目と 1373 番目は同じ値であり、... ですが、まあ真面目に考えてみましょう。

かつ 1371 番目より大きいことがわかります。つまり、この報

そもそも中央値とは、値の低い順に n 個並べていったとき、道は「中央値付近の 3 サンプルでは 1371 番目より 1372 番目n/2 番目の値のことを言います。n が奇数、例えば 2k+1 だっが大きく、1373 番目は 1372 番目と同じ値」である、というた場合、下から k+1 番目の値が中央値です。下に k 個、上に k厳然たる事実をやわらかく伝えてくれているわけです。下回って個あるわけですね。一方 n が偶数、たとえば 2k だった場合、kいたのが 1372 人であれば、1373 番目のサンプルは中央値よ番目と k+1 番目の平均を取るようです。ちょうど真ん中のサンり 0.5 以上大きいはずです。また、仮に 1372 番目と同じ値がプルがないからですね。

何個も続いていたとしたら、「中央値以下」だったサンプル数はさて、全体の半数が「中央値を下回る」状況を考えてみましょ1372 を上回っていたはずです。それではなぜこのような表現をう。この報道では n が 2,744 人で偶数、中央値を下回ったのがしたのでしょうか。おそらくはこの値、「1371」の読み方に掛1,371 人だったようです。2,744/2=1372 ですから、中央値かってるんじゃないですかね。イミ ... おや、誰か来たようだ

28

FDI・2021・12

クン発行枚数は原理的に管理可能であり、したものですが、当時の部署で保持してい必要だとしても、電話を受けるだけなら初k^n 攻撃をしようとしているかどうかは機たコーポレートカードは特区の昔に解約さ期状態でもなんとかなりそうです。しかた

械的に検出可能でしょう。3 箇所から同時れていたようで、たまたま年払い（にするないので、せっかく作った梱包を開けてスぐらいならまあ、おそらく同一人が複数端と安くなるところ）だったので、発見が遅マホを取り出し、しかも電池がほとんどな末からアクセスしようとしているのでしょれた形だったのでした。

かったので起動する程度まで充電し、電源うけど、これが 1,000 とか 10,000 とかしかたないなー、と管理画面からアクセをいれて可能な限り「あとで設定する」をになると急速にアヤシくなってくるので、スしようとしたのですが、よく考えたら二選択し、最短時間で電話を受けられる状態認証を拒否することができるかもしれませ

段階認証にしてたのでした。そして、二段まで持っていきます。試しに手元の別のスん。

階認証に使う端末として設定してたのが、マホから当該番号に電話すると、きちんととはいえ、二段階認証は結構面倒なため、つい先程リセットして綺麗サッパリすべて呼び出し音がなりました。リセットするま

多くのサービスでは「端末認証」的な緩和の情報を消去して梱包したスマホだったのえに回線を解約しなくて本当に良かった！

策が取られている場合が多いようです。具です。

体的には二段階認証に成功した場合、その端末は確認ずみであると解釈し、適当な有これで電話では受けられるようになった

いやー焦った焦った。気がついたときさーっと血の気が引きました。

ので、あらためて二段階認証の方法を電話認証に変更し、無事二段階認証を突破でき

効期限を持ったクッキーを保存しておくと用意されていた二段階認証の手段は、認たのでした。二段階認証を秒でキャンセルいうものです。次回認証時に期限が有効な証アプリ、SMS、電話で連絡の 3 通りでしたのは言うまでもありません。アブねぇ

クッキーがあれば、二段階目を省略できるした。このうち認証アプリについては、二アブねぇ。

ようになってます。仮にこのブラウザを第段階認証で使うように設定していなかった

こういうことがあるため、二段階認証を三者が使ったとしても、そもそも一段回目ため、今更どうにもなりません。SMS に設定する場合、連絡手段は可能な限り広くの認証を突破できない（はず）なので、一ついては、ついさっきフルリセットしたデしておかないと危なくていけませんな。今段目を突破できた以上、そのブラウザを信ータを入れ直さないと使えるようになりま回も複数個登録してはいたのですが、残念頼してもよかろうというわけです。頻繁にせん。電話について確認しましたが、登録ながらコロナと端末変更という二乗の項がアクセスするならこの恩恵があるわけです

されている電話番号は会社の番号と、つい無視できない状態だったのをギリで回避でが、四半期に一度ぐらいしかアクセスしなさっきフルリセットしたスマホの 2 つだけきたところです。というわけで頑張って 4い場合、毎回 2 段階認証が必要になったりでした。深夜のリモートワーク中なので、つは登録しときましょうね、本当に ...

するわけではあります。

受けてくれる人もおらず、会社の電話は使さて先日、社用携帯の切り替えがありまえません。スマホはガムテでがんじがらめした。業者さんの方でキッティングして出になった箱の中です。別の電話番号に連絡荷して頂いてるパターンなので、番号の引させようと思うき継ぎもなく切り替えることになりました。と、管理画面からまあ今まで使ってたスマホはあまり電話と変更する必要があしては使っていなかったため、番号が変わります。で、管理ってもさほど困ることはありません。とい

画面に入るためにうわけで、古いスマホから必要なデータだ

は、二段階認証をけ移行して、さっさと完全にリセットし、突破できなければ梱包して箱に入れ、あとは発送するだけだなりません。詰んったのでした。

だ、と思いました。

で、その状況で飛び込んできたのが、解でも落ち着いて約し忘れなサーバに設定していたコーポレ

考えてみたとこートカードが無効で、未払いの請求が来てろ、SMS を 受 信る、という情報です。今はなき部署で契約するには再設定がHiroyasu Sakaguchi株式会社 IMAGICA Lab.

新設、リニューアルに関わらず何でもご相談ください。

43
29

FDI・2021・12